限定公開のウェブアプリをデプロイする

Private Service Connect（PSC）URL を作成して、環境内の限定公開アプリを接続します。

PSC URL を設定するには、内部ロードバランサを作成し、内部 IP アドレスを使用するサービス アタッチメントを作成します。

内部ロードバランサを作成する

Google Workspace の限定公開アプリは、グローバル アクセスを有効にした内部ロードバランサの背後で公開する必要があります。詳しくは、自動承認でサービスを公開するをご覧ください。

コンピューティング リソースまたは GKE リソース用の内部ロードバランサを作成する

始める前に: 安全な HTTPS 通信を許可するには、ポート 443 でリクエストを処理するように構成されたインスタンス グループを設定します。[バックエンド] 構成タブでインスタンス グループが選択されます。

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。
2. [ロードバランサを作成] をクリックします。
3. [ネットワーク ロードバランサ（TCP/SSL）の構成を開始] をクリックし、以下を選択します。
   1. ロードバランサの種類 - [ネットワーク ロードバランサ（TCP/UDP/SSL）]を選択します。
   2. プロキシまたはパススルー - [パススルー] を選択しまます。
   3. インターネット接続可能または内部専用 - [内部] を選択します。
   4. [次へ] をクリックします。
   5. [続行] をクリックします。
4. ロードバランサの名前を入力し、ロードバランサをデプロイするリージョンとネットワークを選択します。
   重要: ロードバランサ用に選択するネットワークは、インスタンス グループで使用されているネットワークと同じである必要があります。
5. [バックエンドの構成] タブを選択します。
   1. プロトコル - [TCP] を選択します。
   2. IP スタックタイプ - [IPv4] を選択します。
   3. インスタンス グループを選択します。
      インスタンス グループを作成するには、インスタンス グループに移動します。
   4. リストからヘルスチェックを選択します。新しいヘルスチェックを作成するには:
      1. [ヘルスチェックを作成] を選択します。
      2. ヘルスチェックの名前を入力します（例: ping-port）。
      3. リージョン スコープを選択します。
      4. プロトコルに [HTTPS] を選択します。
      5. ポートは 443 のままにします。
      6. [プロキシのプロトコル] で [なし] を選択します。
      7. [リクエストパス] は「/」のままにします。
      8. ログを有効にします。
      9. ヘルス条件はデフォルト値のままにします。
6. [フロントエンドの構成] タブを選択します。
   1. （省略可）フロントエンドの名前を入力します。
   2. [IP バージョン] で [IPv4] を選択します。
   3. サブネットワークを選択します。
   4. 内部 IP の目的として [共有しない] を選択します。
   5. [ポート] で [単一] を選択します。
   6. ポート番号 443 を入力します。
   7. [グローバル アクセス] で [有効] を選択します。
7. [確認と完了] タブを選択して、ロードバランサの構成設定を確認します。
8. [作成] をクリックします。

Cloud Run リソース用の内部ロードバランサを作成する

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。
2. [ロードバランサを作成] をクリックします。
3. [アプリケーション ロードバランサ（HTTP/S）の構成を開始] をクリックし、次のいずれかを選択します。
   1. ロードバランサの種類 - [アプリケーション ロードバランサ（HTTP/HTTPS）] を選択します。
   2. インターネット接続可能または内部専用 - [内部] を選択します。
   3. クロスリージョンまたは単一リージョンのデプロイ - [単一リージョン] を選択します。
   4. [次へ] をクリックします。
   5. [設定] をクリックします。
4. ロードバランサの名前を入力し、ロードバランサをデプロイするリージョンとネットワークを選択します。
5. [バックエンドの構成] タブを選択します。
   1. バックエンド サービスを作成または選択します。
   2. サービスを作成する場合は、バックエンド タイプとして [サーバーレス ネットワーク エンドポイント グループ] を選択し、ネットワーク エンドポイント グループを選択します。
   3. サーバーレス ネットワーク エンドポイントがない場合は、新しいエンドポイントを作成するオプションを選択します。
      サーバーレス ネットワーク エンドポイント グループを作成する前に、エンドポイント グループが参照する Cloud Run サービスを作成します。
6. [フロントエンドの構成] タブを選択します。
   1. プロトコル - [HTTPS] を選択します。
   2. サブネットワークを選択します。
   3. サブネットを予約していない場合は、画面上の手順に沿ってサブネットを予約します。
   4. グローバル アクセスを有効にします。
   5. 新しい証明書を作成するか、既存の証明書を選択します。
7. [作成] をクリックします。

サービス アタッチメントの URL を作成する

PSC の URL を設定するには、内部 IP アドレスを使用するサービス アタッチメントを作成します。

1. Google Cloud コンソールで [Private Service Connect] ページに移動します。
2. [サービスを公開] タブをクリックします。
3. [サービスを公開] をクリックします。
4. 公開するサービスのロードバランサの種類を選択します。
   • 内部パススルー ネットワーク ロードバランサ
   • リージョン内部プロキシ ネットワーク ロードバランサ
   • リージョン内部アプリケーション ロードバランサ
5. 公開するサービスをホストする内部ロードバランサを選択します。
   選択した内部ロードバランサの詳細情報が [ネットワーク] フィールドと [リージョン] フィールドに挿入されます。
6. [サービス名] に、サービス アタッチメントの名前を入力します。
7. サービスに 1 つ以上のサブネットを選択します。新しいサブネットを追加する場合は、次の方法で作成します。
   • [新しいサブネットの予約] をクリックします。
   • サブネットの名前と説明（省略可）を入力します。
   • サブネットのリージョンを選択します。
   • サブネットに使用する IP 範囲を入力し、[追加] をクリックします。
8. [接続の設定] で、[すべての接続を自動的に受け入れる] を選択します。
9. [サービスを追加] をクリックします。
10. 公開済みのサービスをクリックします。[サービス アタッチメント] フィールドのサービス アタッチメント名を使用して、URL を作成します。
    https://googleapis.com/compute/v1/SERVICE_ATTACHMENT_NAME
11. Google Workspace で限定公開アプリを追加する際に URL を入力します。アプリを Workspace アカウントに追加するをご覧ください。