IAP縺?CDNの両立はできない
　LB縺?backend縺?gcsを設藹??したとき縺?IAPが使えない
　GKE縺?ingress縺?LBに臀??のアプリのバックエンドを同居できない（GKEが上書き自動更新するから、ドメイン別になる）
　IAP縺?GCE縺?OSログインする場合縺?API有効やIAPの設定、OSlogin系の権限が必要（Owner付荳?が楽・??
　ネットにでるのがapt updateのみでもNAT/Routerが要る

■VPCネットワー繧?

■繝?ンズオ繝?(GAE:php+FW+IAP)→GAEよりCloud runが良い

IAP縺?GAEが簡単そう（アクセスするの縺?Googleの鐔??証プロンプトを出す）
　自前DNS縺?TXTレコードを設藹??>確鐔??>IPが表示されAレコードやCnameも登録でき、SSL証譏?書も使えるようだ
　　しかし無縺?てもgoogle觸??供のドメインが使え不要　DNS(TXTレコード)による所有権の確認 - Google Search Consoleの使い譁? (howtonote.jp)
　Winローカル縺?GCP SDKインスコし下記縺?app.yaml縺?index.phpを置い縺?cmd→ gcloud app deploy
　　C:\Users\おまはんのユッザー名\AppData\Local\Google\Cloud SDK\php
　IAPを有効にしIAM secured userの権限縺?IAM縺?GAE viewer権限付荳?縺?@gmail.comユーザ軆??は鐔??れる
　　外部ドメインを使うとき縺?IdentityPlatform設藹??が必要そう
止めるに縺?instanceを削除する(再度アクセス縺?instanceが自動作成される)、IngressをInternal onlyにすると臀??応止まるか、楽だ

■繝?ンズオ繝?(Marketplace: GCE+FW->Wordpress)
デフォルト：エフェメラル・??インターネット公開なし(LB/IAP/NAT/Armor付けてから公開しようか縺?)
VMインスタンス　ネットワークタ繧?wordpress-1-deployment
FW：wordpress-allow-external ターゲットタ繧?wordpress-1-deployment、ソー繧?0.0.0.0/0 tcp0-65535

スナップショットのラベル縺?KVS縺? app : wordpress とか env : testとか
DBはステートフ繝?MIG-永軆??ボリュームにできる？

笳?cloud shell terminal

gcloud compute instances list　インスタンス臀??隕?

笳?コンソー繝?

デフォルトVPC NWを削髯? > VPC NW作成 > サブネットIPレン繧? 10.27.0.0/16-192.168.27.0/24等縺?

GCE VMを作成(Instance scheduleで起動-停止時間が入れられる、テンプレやグループに使えない？)
　インスタンスを作って設定しスナップショットからOSイメージを作り驥?産すればいいが
　　instance template作成し縺?instance group作成してもいい。IGが中々できないならIGを開きエラーメッセージを見るこ縺?
　OS縺?ubuntu、API access scopeに縺?"Allow full access to all Cloud APis"縺?

　　外部からアクセスさせずLB経由だけにしたい→外驛?IPがephemeralで止められない→作成時縺?network>external ipをnoneで臀??成すること→
　　外へでれな縺?なるの縺?gcloudコマンドが通らない→CloudNAT(Router)も設藹??

SSHの項目からview gcloud commandで好き縺?SSHターミナルからアクセスできるcmd出る

 gcloud beta compute ssh --zone "asia-northeaset1-b" "instance-3" --tunnel -through-iap --project "bangboo-sandbox"

笳?SSHターミナ繝?

gcloud init　インス繧?

sudo apt-get install nginx　Webサーバインスコ、ブラウザで内驛?IPでアクセスしたかったが不可だった

sudo service nginx stop　止める、動かすの縺? sudo service nginx start

ps　プロセス鐔??る

curl http://10.117.0.19　nginxが動いているか確鐔??

cat /var/log/nginx/access.log　ログ確認
笳?nginx
/etc/nginxにあるconf系が設藹??ファイ繝?
sites-enabled/default だけがあり cat default しdocument root縺?/var/www/htmlと判譏?
　ここへ移動 cd /var/www/html
sudo cp index.nginx-debian.html index.html　コピ繝?
sudo nano index.html　で編集
設藹??変更藹??縺? sudo service nginx restart

笳?コンソー繝?
GCEスナップショット作成→OSイメージ臀??成→テンプレ臀??成→Healthcheck作成→MIG設藹??
　OSイメージはオンプレから作ったものとかHashi corp縺?Packerで臀??るとかも
FW作成
　gceに藹??驛?IPがあればアクセス試す
　fw-bangboo-http-ingress-allow　ingress - "all instances" - 0.0.0.0/0　デフォルトで許可・??ingressが必要
　　https縺?IPではダメ、ドメイ繝?/証譏?書が要るか知らんがhttpでは藹??驛?IPあればアクセスできる
　　　GCP縺?IPを自前縺?DNS縺?Aレコードに設定しとけば、、
　　　ウェブとメールを別々のサーバで運営したい？・・・それ、ゾーン設定で出来ます！ | さ縺?らのナレッ繧? (sakura.ad.jp)
　　　ドメイン所有縺?DNS縺?TXTレコード設藹??ができるようだが、、、
　　　ウェブマスタ繝? セントラ繝? (google.com)

　　使うときfw-bangboo-all-ingress-allow　ingress - "all instances" - 192.168.1.255/32　に設定？
　外驛?IP(普通LBとなるか）への制御縺?Cloud armorの縺?deny allowし縺?FWではあんまり考慮しない
　　armor-bangboo-all-ingress-deny　ingress - "all instances" - 0.0.0.0/0　で設定完了まで止めと縺?

LB作成

　VMインスタンスグループ（子インスタンス・??作成（上で臀??ってなければ・??

　　インスタンステンプレート作成

　LBヘルスチェッ繧?(閾蛟?)が要る

　httpLBだと内部か外部か選択できる
　　httpLBならIPレンジが要る＞VPC networkで同resionで使繧?れていないものを設藹??

　　例10.55.20.0/22なら10.55.23.255まで使繧?れているの縺?10.55.25から使うとか

　　NW計算　ネットワーク鐔??算ツール繝?CIDR計算ツー繝? | Softel labs
　　　VPCのサブネット設藹??は拡大できるが縮藹??ができない→蟆?さめにしておきたいが、k8s縺?IP沢山使うので大きめ
　　　プライベートサービスコネクト(VPC間を繋ぐ)を使うと逍?結合でつなげられるが
　backend縺?httpで、healthcheck縺?tcp80縺?proxy無し
IAP作成
　外驛? HTTPS ロードバランサの設定  |  Identity-Aware Proxy  |  Google Cloud

　IAP(https)を見る縺?FWで開けて縺?れの指定がある
　　fw-bangboo-lb-gce-allow Source IP range:072.72.1.19/22, 69.11.8.0/16 tcp:80
　LBフロントエンド縺?httpsでもバックエンド縺?http縺?
　IAP-secured web app userロールを@gmail.comユーザに臀??荳?
　IAP縺?CDNの両立はできない
　LB縺?backend縺?gcsを設藹??したとき縺?IAPが使えない→ネット公開にし縺?VPN SCで制御？(元々ネットに面しているが権限がないだけ)、GCE縺?GCSをマウント？
FW調謨?
　0.0.0.0/0 all deny priority2000>LB関騾? tcp80 allow 1000/IAP関騾? tcp allow 1000>（使用拠点のソー繧?IP allow 500)
　　使用拠点縺?IP縺?LBを使うならArmorで設定すれ縺?FWへの設定不要
　GCEの藹??驛?IPを止める：インスタンステンプレート作成時に藹??驛?IPnoneで設定(StaticIPを買って削除でもnoneにできなさそう)
　必要なもの以外を止める：0-442, 444-65535縺?443のみ許可は饅??目か？
　Connectivity testでテストがIPアドレス軆??でできる（設藹??変更から実際の藹??映に時間が觸??かるものがあるような觸??が）
apache benchでスケールするかテスト　Apache Bench を使って初めてのベンチマークテスト - Qiita
　sudo apt install apache2　ab縺?apachに含まれるのでどれか縺?VMにインス繧?
　ab -n 1000 -c 100 https://gcp.bangboo.com/　でインスタンスが増えることが確鐔??できる
Cloud armor設藹??
　DDoS等を防ぐの縺?Onでいいのでは、adaptive protectionで優先度臀??いdeny設藹??
　外驛?IP縺?deny allowはこれでやる(web app firewallなので縺?)、log4J対軆??等もここで弾縺?
　　一時止めるとき縺?0.0.0.0/0 bad gateway等分かり易いエラーで止めるのが良いかも
　IAPが前、Cloud armorが後ろ、そし縺?LBとか
Access context manager設藹??（+VPC service control）
　Organizationの設定が必要(≒Cloud identityでドメイン藹??要？)IPアドレスやOS等でアクセスを制限できる

↑

■Cloud Loggingで調べる
ロ繧? エクスプローラを使用したサンプルクエ繝?  |  Cloud Logging  |  Google Cloud
Logging のクエリ鐔??語  |  Google Cloud
とりあえず何かを出して、クリックして臀??要な鐔??素をHideしてい縺?といい

窶?GCPロギングは最螟?10分遅延縺?SLA、logs_based_metrics_error_count にログがでるらしい

/// 誰が権限を変更したか
/// GCE縺?Pyhon等のロギングを見る

/// BQの利用先
protoPayload.resourceName="projects/prjxxxxxxxx/datasets/dsxxxxxxxxx/tables/tblxxxxx

/// Scheduled queryの利用状觸??
resource.type="bigquery_dts_config"

/// コネクティッドシート縺?BQアクセスするスプシを調べるLoggingのクエ繝?

connected_sheets

bigquery.Jobs.create

bigquery.googleapis.com

docId

--データセット名

dataset ni_access_sarerudayo

--除藹??するにはマイナスを頭に臀??ける

-protoPayload.authenticationInfo.principal Email="washi@jyaroga.com"

■組織のログを一つのプロジェクトにまとめてお縺?
組織縺?Log routerで蜈?Syncを設藹??してお縺?、BQに吐き出す

select * from prj-log.org_audit_log.activity
where protopayload_auditlog.methodName='google.iam.admin.v1.SetIAMPolicy' or protopayload_auditlog.methodName='google.iam.IAMPolicy.SetIAMPolicy' 
# Log exploreと藹??し違う

■BQインフォメーションスキーマ information schemaで調べる

BigQuery INFORMATION_SCHEMA の觸??要  |  Google Cloud
BigQuery 縺? INFORMATION_SCHEMA からどんな情報が藹??得できるのか、全て縺? VIEW を確鐔??してみた | DevelopersIO (classmethod.jp)
組織レベルでとれるものは藹??ない、基本プロジェクトレベル、動的縺?SQLを生成して藹??行するに縺?Execute immediateを使う

/// 組織のジョブ:

SELECT DISTINCT 

creation_time,

information_schema.project_id,

user_email,

job_id,

cache_hit,

FROM

`region-us`.INFORMATION SCHEMA.JOBS BY ORGANIZATION AS Information schema,

UNNEST (referenced_tables) AS referenced_table

WHERE

--データコネクタからジョブ実行だ縺? sheets_dataconnector が Prefix

job_id like "%sheets_%"

--藹??照先+

AND referenced table.project_id = "pri_xxx"

AND referenced table.dataset_Id = "ds_xxx"

AND referenced table.table_id LIKE "tbl_xxx%"

AND DATE (creation_time) BETWEEN "2022-06-01" AND "2023-01-30"

AND error_result IS NULL

/// プロジェクトのジョブ:

SELECT * FROM `pri_xxx.region-us.INFORMATION SCHEMA.JOBS`

,UNNEST (referenced_tables) AS referenced table

WHERE creation_time BETWEEN TIMESTAMP_SUB (CURRENT_TIMESTAMP(). INTERVAL 1 DAY)

AND referenced_table.dataset_id = 'ds_xxx'

--データコネクタからジョブを実行している場合 prefix縺?sheets_dataconnector、他に縺?scheduled_query等

AND job_id like "%sheets_%"

/// ラベ繝?:

SELECT * FROM pri xxx.region-us. INFORMATION SCHEMA.JOBS

,UNNEST (referenced_tables) AS referenced_table

,UNNEST (labels) AS label

WHERE creation_time BETWEEN TIMESTAMP_SUB (CURRENT_TIMESTAMP(), INTERVAL 1 DAY) AND CURRENT_TIMESTAMP()

AND referenced_table.dataset_id = 'ds xxx

--データコネクタからジョブを実行している場合 labels connected_sheetsが含まれる

AND label.value = 'connected_sheets'

/// ジョブBYユー繧?

SELECT * FROM `pri_xxx-region-us.INFORMATION SCHEMA.JOBS_BY_USER`

,UNNEST (referenced_tables) AS referenced_table

,UNNEST (labels) AS label

WHERE creation_time BETWEEN TIMESTAMP_SUB (CURRENT_TIMESTAMP(). INTERVAL 1 DAY) AND CURRENT_TIMESTAMP()

AND referenced_table.dataset_id = 'ds_xxx'

AND label.value = 'connected_sheets'

■Asset inventoryでアセット情報を調べる
コンソールでもGUI縺?Asset inventoryが見れるがコマンドでも情報藹??得できる
gcloud asset  |  Google Cloud CLI Documentation
リソースの觸??索のサンプ繝?  |  Cloud Asset Inventory のドキュメント  |  Google Cloud
サポートされているアセットタイプ  |  Cloud Asset Inventory のドキュメント  |  Google Cloud