LiveRamp 是一家数据协作公司。其平台让品牌、发布商及其合作伙伴能够连接并使用客户数据进行营销和效果衡量，这使数据安全和访问控制成为其所有系统的核心。
这样的公司在采用一朵新的云时，关于网络、项目和权限的最初决策是最难回头的。在第一个生产工作负载到来之前把基础打好，比日后围绕它重构要便宜得多。
项目
LiveRamp 的首个 Google Cloud 基础环境围绕精细 IAM、分离的 GKE 控制平面、拆分的环境和共享 VPC 网络构建。SEYA 设计并搭建了这套基础环境。
LiveRamp 首次采用 Google Cloud，对基础环境有明确要求：分布在不同地区的工程团队都能访问，能够扩展，默认安全，并且可由中央平台团队管理。
SEYA 的工作就是这套基础环境。我们审查了 LiveRamp 现有的架构和上云计划，提出了一套符合 Google Cloud 实践的目标设计，随后搭建了相应的共享网络、GKE 布局、组织结构和 IAM 模型，以及一个运营可观测性平台。
交付成果：
基于对 LiveRamp 现有设计及其约束的审查而制定的 Google Cloud 目标架构
GCP 网络：公共服务 VPC、中转 VPC、生产和非生产宿主 VPC、VPN 连接和 VPC 对等连接
在共享 VPC 内，控制平面与工作节点分离的 GKE 集群
生产与非生产环境拆分的 Google Cloud 组织结构
面向地理上分散团队的精细 IAM，包括为 Google 托管服务和应用栈定制的角色
Google Cloud 上的运营可观测性平台
面临的挑战
首个云基础环境是一次性决定网络如何分段、环境如何隔离、谁能做什么的机会。跳过这一步的团队，最终会面对随意创建的项目、扁平的网络，以及没人能解释的 IAM 绑定，而修复的成本会随着每一个部署在其上的工作负载而增长。
LiveRamp 的工程团队分布在多个地区，都需要访问新平台，而工作负载从一开始就要运行在 Kubernetes 上。基础环境必须同时满足四项要求：团队可访问、工作负载可扩展、与客户数据相称的安全性，以及对运营团队的可管理性。
我们的专长
SEYA 与 LiveRamp 团队一起审查了现有架构，找出了其中会制约迁移到 Google Cloud 的部分。在此基础上，我们提出了一套符合 Google Cloud 在组织、网络和身份方面推荐实践的目标架构。
设计在构建前已与 LiveRamp 达成一致，因此随后的网络、GKE 和 IAM 工作实施的是客户架构师已经审阅过的方案。
我们的方案
SEYA 实施的网络设计围绕三类 VPC 展开：承载集中运行服务的公共服务 VPC、负责环境间路由的中转 VPC，以及相互独立的生产和非生产宿主 VPC。VPN 提供进入整个环境的连接，VPC 对等连接把需要互通的网络连接起来。
GKE 控制平面与工作节点在共享 VPC 内分离，集群管理流量和应用流量相互隔离，平台团队可以控制每个集群落在哪个网络。
SEYA 定义了环境拆分的 Google Cloud 组织结构，以及一套足够精细的 IAM 模型，让不同地区的团队无需宽泛权限即可独立工作。为 Google 托管服务和 LiveRamp 的应用栈创建了自定义角色，访问权限跟随岗位而非默认角色。Google Cloud 上的运营可观测性平台补齐了这套基础环境的最后一块。
交付的价值
对 CTO 或平台负责人来说，这样一套基础环境的价值在于它一次性回答了哪些问题。共享服务有唯一的归属。生产和非生产是权限不同的两个地方。任何新项目都继承网络和身份模型，而不是自己发明一套。
在共享 VPC 内把 GKE 控制平面与工作节点分离，让平台团队掌控集群挂接在哪里、流量如何流动，而应用团队仍然拥有集群内部运行内容的所有权。
带自定义角色的精细 IAM 意味着，某个地区的工程师可以被精确授予其岗位在某项 Google 托管服务或应用栈上所需的权限，而这项授权的审查和撤销都不会影响其他任何人。
成果
LiveRamp 对其跨项目的 Google Cloud 基础设施有了更精细的控制：共享服务集中在一个 VPC 中，生产与非生产在组织、网络和 IAM 层面均保持隔离。
地理上分散的团队在各自岗位专属的权限下使用平台，运营可观测性平台让负责运营这套基础环境的团队能看到整个环境中正在发生的事情。
示意图：生产和非生产各有自己的宿主 VPC，每个 VPC 中 GKE 控制平面都与工作节点分开；公共服务 VPC 由两者共享。
示意图：环境隔离和访问控制在组织层面设定，新项目直接继承，无需各自定义。
示意图：目标设计在任何构建开始之前就已达成一致，运营（共享服务、控制、可观测性）作为基础环境的一部分提前规划。
正准备启用 Google Cloud，或即将增加第二个区域或团队？
SEYA 可以审查您当前的架构，并设计一个让平台团队有成长空间的着陆区。联系我们：hello@seyagroup.io。
联系我们
发送有关云、平台、数据或可靠性项目的咨询。营销邮件在表单中为单独选项。