Découvrir Google Cloud Platform (GCP)

Google Cloud Platform (GCP) rassemble l'infrastructure que Google utilise pour ses propres produits, avec une particularité d'organisation : tout y appartient à un projet. Cette leçon facultative relie les notions que la formation a posées sans fournisseur (modèles de service, régions et zones, hiérarchie de comptes, identités, réseau, stockage, calcul) au vocabulaire de Google Cloud, puis vous fait faire un premier pas avec gcloud : s'authentifier, vérifier le projet actif, lister. Elle s'adresse à qui doit lire ou piloter un projet Google Cloud sans l'avoir jamais ouvert.

Ce que vous allez apprendre

• Traduire une notion neutre de la formation en service ou en terme Google Cloud.
• Situer une ressource dans la hiérarchie organisation, dossier, projet.
• Expliquer ce que change un VPC global avec des sous-réseaux régionaux.
• Vous connecter avec gcloud, vérifier le projet actif et lister des ressources.

Prérequis

Cette leçon est facultative : le reste du parcours n'en dépend pas. Elle suppose les leçons neutres qu'elle prolonge : les modèles IaaS, PaaS et SaaS, les régions, zones de disponibilité et zones locales, la hiérarchie de comptes et l'IAM. Aucun compte Google Cloud n'est nécessaire pour lire ; il en faut un, relié à un compte de facturation, pour rejouer la section sur la ligne de commande.

Comment Google Cloud nomme-t-il les notions de la formation ?

Chaque notion neutre a un nom propre chez Google Cloud, et le tableau suivant donne la correspondance à garder en tête pour lire sa documentation. Les noms changent d'un fournisseur à l'autre, les concepts se transposent ; la colonne de droite signale l'écart qui piège le plus souvent une personne venue d'un autre cloud.

Notion neutre	Terme Google Cloud	Écart à connaître
Machine virtuelle	Compute Engine	une instance vit dans une zone précise
Code sans serveur / conteneur managé	Cloud Run, Cloud Run functions
Kubernetes managé	GKE (Google Kubernetes Engine)	mode Autopilot ou Standard
Stockage d'objets	Cloud Storage (buckets)	nom de bucket unique au niveau mondial
Disque attaché (bloc)	Persistent Disk, Hyperdisk	zonal, ou régional pour certains types
Réseau privé	VPC	global ; ses sous-réseaux sont régionaux
Filtrage réseau	règles de pare-feu VPC	portent sur le réseau, pas sur la machine
Identités et droits	IAM, comptes de service	un rôle s'accorde sur un niveau de la hiérarchie
Garde-fou hérité	politiques d'organisation	s'attachent à l'organisation, à un dossier ou à un projet
Métriques et journaux	Cloud Monitoring, Cloud Logging
Journal d'audit	Cloud Audit Logs	trace les opérations d'administration et, si on les active, les accès aux données
Étiquetage	labels (étiquettes clé-valeur)	à ne pas confondre avec les tags de Google Cloud
Facture et budget	budgets de facturation de Cloud Billing	rattachés au compte de facturation, avec alertes de seuil
Entrepôt analytique	BigQuery	sans serveur à gérer

Glissez pour voir

Le piège d'étiquetage tient au vocabulaire : chez Google Cloud, trois notions voisines portent un nom proche et ne se confondent pas.

• Les labels sont les étiquettes clé-valeur qui servent à filtrer et à ventiler la facture.
• Les tags (ceux de Resource Manager) sont des ressources de gouvernance, définies au niveau de l'organisation ou du projet et héritées par les ressources enfants : ils permettent de conditionner un droit IAM ou une politique d'organisation.
• Les network tags sont propres au réseau : des chaînes posées sur des machines virtuelles, que les règles de pare-feu et les routes VPC peuvent cibler.

Pour lire chaque ligne dans son contexte, la formation couvre le VPC et ses équivalents, la sécurité réseau, le stockage et les machines.

Comment Google Cloud organise-t-il projets et ressources ?

Google Cloud organise tout en quatre niveaux, du haut vers le bas : organisation, dossiers, projets, ressources, et l'unité de travail est le projet. C'est la plus grande différence de mentalité avec AWS, où l'on raisonne d'abord par compte. Un projet porte les API activées, le lien de facturation, les permissions et les collaborateurs ; toute ressource lui appartient.

1. L'organisation est la racine, liée au domaine de l'entreprise.
2. Les dossiers, facultatifs et imbricables, regroupent des projets par équipe, département ou environnement.
3. Les projets sont l'unité d'isolation de base.
4. Les ressources (machines, buckets, bases) vivent dans un projet.

Un projet se désigne de trois façons : un nom libre, un identifiant (project ID) unique au niveau mondial et immuable, un numéro. Les commandes gcloud attendent l'identifiant. Un droit accordé à un niveau descend sur tout ce qui se trouve en dessous, selon la logique de la leçon sur les comptes et la hiérarchie ; les politiques d'organisation posent les garde-fous correspondants, comme dans la leçon sur les garde-fous et l'étiquetage. Source : hiérarchie des ressources Google Cloud.

Comment Google Cloud découpe-t-il régions, zones et réseau ?

Une région Google Cloud contient plusieurs zones, nommées par une lettre : europe-west9 est la région de Paris, europe-west9-a l'une de ses zones. Chaque fournisseur a sa propre convention de nommage des zones ; la leçon sur les régions et les zones en explique le découpage général. Une machine Compute Engine vit dans une zone précise, un bucket Cloud Storage dans une région, une paire de régions ou un ensemble multirégional.

La particularité réseau est le VPC global : un seul réseau couvre toutes les régions, et ses sous-réseaux sont régionaux, donc répartis sur toutes les zones de leur région. Chez AWS, un VPC est cantonné à une région et il faut relier les réseaux entre régions. Chez Google Cloud, deux machines de régions différentes peuvent se parler par adresse privée dans le même VPC, sans appairage. Cela ne dispense pas de poser des règles : le filtrage passe par des règles de pare-feu VPC, appliquées par étiquette réseau ou par compte de service. Source : VPC Google Cloud.

Comment IAM gère-t-il les droits chez Google Cloud ?

IAM accorde un rôle à un principal sur une ressource, et ce droit descend dans la hiérarchie. Un principal est un compte Google, un groupe, ou un compte de service, l'identité d'une application ou d'une machine. Un rôle est un ensemble de permissions : les rôles basiques (Owner, Editor, Viewer) sont très larges, les rôles prédéfinis sont propres à un service, et les rôles personnalisés servent quand aucun ne convient. On accorde le rôle le plus étroit sur le niveau le plus bas possible, selon la leçon sur le moindre privilège.

Pour une machine, on rattache un compte de service à l'instance : les bibliothèques obtiennent des jetons courts auprès du service de métadonnées, sans clé à stocker, comme le décrit la leçon sur les identifiants courts. Évitez de créer des clés de compte de service : ce sont des secrets de longue durée. Source : présentation d'IAM.

Comment faire ses premiers pas avec gcloud ?

Le premier pas se fait en quatre gestes : installer gcloud, s'authentifier, choisir le projet, puis lister. L'outil est fourni par le Google Cloud CLI, installé depuis la documentation officielle.

gcloud --version
gcloud auth login
gcloud auth list

gcloud auth login ouvre le navigateur pour associer votre compte à la CLI ; gcloud auth list affiche le compte actif. Il reste à choisir le projet, puisque rien ne s'exécute sans lui :

gcloud projects list
gcloud config set project <identifiant-du-projet>
gcloud config list

La dernière commande est le réflexe à garder : elle affiche le compte et le projet de la configuration active, donc elle répond à « où suis-je connecté ? » avant toute modification. gcloud init enchaîne ces étapes de façon interactive. Vous pouvez ensuite lister :

gcloud compute zones list --filter="region:europe-west9"
gcloud storage ls

La première commande affiche les zones de la région de Paris. La seconde liste les buckets du projet ; si aucun n'existe, la sortie est vide. Trois messages d'erreur sont fréquents : The required property [project] is not currently set signifie qu'aucun projet n'est défini dans la configuration active, et gcloud config set project le corrige ; API [compute.googleapis.com] not enabled que l'API doit être activée dans le projet, par gcloud services enable compute.googleapis.com ; PERMISSION_DENIED que le principal n'a pas le rôle requis sur ce niveau, ou qu'une politique d'organisation l'interdit.

Que coûte Google Cloud, et que reste-t-il de gratuit ?

Google Cloud facture à l'usage, par projet rattaché à un compte de facturation. Un nouveau client peut recevoir un crédit d'essai, et une liste de produits reste gratuite dans des limites mensuelles. Les montants et les durées évoluent : consultez la page officielle du niveau gratuit Google Cloud avant de bâtir un plan dessus, et posez un budget avec alerte dès le premier projet. Les remises sur usage soutenu ou sur engagement dépendent de la famille de machines : lisez la leçon sur les modèles tarifaires avant de chiffrer.

Google Cloud est souvent cité pour la donnée (BigQuery), l'IA et Kubernetes, que Google a créé avant de le confier à la CNCF : voyez le guide Kubernetes pour ce que GKE opère à votre place. Pour des raisons de souveraineté, le fournisseur reste soumis au droit américain : la leçon sur la souveraineté technologique de la stack en détaille les conséquences.

À retenir

• Chaque notion neutre a un nom Google Cloud : VM = Compute Engine, objets = Cloud Storage, droits = IAM, garde-fou = politique d'organisation.
• L'unité de travail est le projet : il porte les API activées, la facturation et les permissions, sous des dossiers et une organisation.
• Le VPC est global, ses sous-réseaux sont régionaux ; un droit accordé en haut de la hiérarchie descend sur tout ce qui est dessous.
• Pour une machine, un compte de service rattaché remplace une clé stockée.
• gcloud config list avant toute création : il dit dans quel projet vous allez agir.

Contrôle de connaissances

Vérifiez que l'essentiel de cette leçon est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →