+86 189 8218 1436 周一至五 10:00-22:00

谷歌GCP云服务器代维护

GCP谷歌云服务器代维护 2020年2月24日

Google Cloud Platform 免费使用300美金须考虑的风险分析

免费的东西总会吸引人去尝试使用！但Google提供的免费300美金的额度，是以「试用」为目的，若使用这个一年300美金的免费试用期，用以建置公司重要的服务的话，需要考虑哪些风险呢？本文就来向各位说明说明。

Google Cloud Platform 提供免费300美金的目的

2017年时，Google在其举办的「Google Cloud NEXT」大会上宣布：将原为2个月/300美金的试用期，延长为一年/300美金试用期。借以让开发人员能有更充裕的时间熟悉GCP、这个AI、ML、Big Data、Infra 全包的巨大公有云环境。

免费的公有云听起来十分吸引人，因此想将正式服务转移上去的大有人在。但当你打算把正式的服务放到GCP试用专案内时，为了避免严重、不可回复的损失，有哪些必须优先考量的限制与风险呢？

Google Cloud Platform 免费300美金试用的限制

免费试用期内所有GCP的服务皆可免费使用，但有以下限制：

  • Compute Engine（GCE）
    • 专案底下最多只能使用8vCPU
    • 无法为执行个体加装GPU
    • 若遇到配额（Quota）上限，无法请Google 协助提高配额
  • Cloud TPU 无法在免费试用期使用

Google Cloud Platform 免费300美金试用的风险

风险一、无预期的服务中断

这里指的服务中断并不包含因主机管理造成的中断，如CPU超载、记忆体用尽、储存空间用尽、防火墙等。服务中断大致分类如下，将在下方段落个别说明：

一、违反Google免费试用条款，Google会将执行个体强制停止
二、300美金/12个月其中一个用尽，为了避免信用卡被扣款，所有付费的资源都会被停止
三、无SLA保证，若因Google试用期间造成损失并不负责

一、违反Google免费试用条款，Google会将执行个体强制停止

若是违反了Google免费试用条款，Google会将您的执行个体停权、须修复并请Google审核后，才能重新将该执行个体开机运作。

此外，免费试用期对于GCE多了一项限制：不能进行采集虚拟货币相关的运算，俗称挖矿。
若系统侦测到执行个体进行挖矿，会强制将该执行个体停止，如下图。

Screenshot_127

不论是有意要进行挖矿或是被入侵进而挖矿，都算是违反试用条款，执行个体会被强制停止，并要求修复后再告知Google重新审核。

Screenshot_1281

二、300美金/12个月其中一个用尽，为避免信用卡被扣款，所有付费的资源都会被停止

若300美金或1年其中一个条件用尽时，付费的资源会被强制关闭，以避免产生费用造成信用卡扣款。同时也会造成GCE的执行个体被关闭，服务中断。

三、无SLA保证，若因Google试用期间造成损失并不负责

试用期间内的所有服务皆无提供SLA。SLA是服务层级协议（Service Level Agreement），基本上提供正常运作时间的保证，万一未达SLA，Google会提供赔偿，而试用期间不为此协议所包含。

Screenshot_129

风险二、错误操作以至于开始扣款

300美金/1年试用期间内是不会产生费用的。但若有人按到升级正式帐户，便会在300美金用完后开始扣款。

Screenshot_130-1024x106

风险三、资料遗失

若免费试用的300美金/1年到期后，30天未升级成正式帐户，该专案会被移除且无法复原，即使找Google技术支援也于事无补。

对于Google而言，一年免费300美金仅是用于「试用」目的，用于搬上GCP前先使用300美金做PoC。建议测试皆正常可用后，请将正式环境升级成付费帐户，以避免不必要的风险。

 

GCP服务器关闭很可怕？教您降低被Google停止使用的概率

先前闹得沸沸扬扬的GCP无预警关闭事件，对于负责主机管理的人而言，可说是很大的冲击。平时就必须想尽办法维持主机在任何环境下都可以维持高可用性，结果可能预想、规划好的计画，Google却突然地全部停权。不仅百般无奈，可能也会造成业务上的损失。而Google也在此事发生后重新检讨因应做法，因此本文将介绍如何避免此类事件发生。

为何Google会试图将我的GCP无预警关闭？

GCP停权一般可以分为两种方式：专案停权与帐单帐户停权，两者都可能导致您的服务无法继续运作。

专案停权

Screenshot_128

所有GCP的资源，不管是VM（GCE）、Google App Engine、Cloud Storage、Cloud DNS等，皆是隶属在专案底下。而Google与其他公有云厂商一样，有自己的服务条款、与可接受使用政策（Acceptable Use Policy）。

而服务条款4.1明确定义：若客户发现任何应用程序、项目或客户数据违反AUP，客户应立即暂停应用程序、项目或删除相关的客户数据。客户未能按照前一句中的说明暂停或删除的话，Google可能会明确要求客户这样做。如果客户未能在二十四小时内遵守Google的要求，则Google可能会停用该项目或应用程序，抑或停用该帐户，直到此类违规行为得到纠正。

也就是说若今天违反条款，Google有权利将运作中的资源中止。若不接受条款也无法使用GCP。

帐单帐户停权

billing-account-suspended-1

Google使用自动规则来检查每个用户的付款方式（信用卡、付款资讯等），若Google认为信用卡或付款资讯有问题、又或是有逾期未付的款项，都可能会造成帐单帐户停权，而与该帐单帐户连结的专案也会因计费功能被停用，而导致专案内的计费资源被暂停。

如何避免GCP停权？

一样可以分为专案与帐单帐户来看的话：

避免专案被停权的方法

如果要将服务放在GCP上面运行，请确保运行的服务没有违反AUP，简言之便是不侵犯他人的著作权、不进行非法活动、散播病毒、干扰其他人的服务。但若是GCE被恶意人士入侵，进行上述活动，也会使您的专案、服务遭到停权。故建议参考Google的最佳做法来加强GCE的安全性：

  • 安全地连接到您的实例。对于面向外部的应用程序，最好正确配置防火墙并保护端口。有关保护实例的提示，请参阅安全连接到VM实例。若是企业则可参阅网络和安全性。
  • 确保项目防火墙不对互联网上的每个人开放。将所有防火墙规则保持为0.0.0 / 0意味着Internet上的任何源都可以建立与您的实例的连接。除非您特别希望公开实例，否则一般的最佳做法是仅允许访问您的应用程序，并且仅允许您的应用程序需要访问的端口。有关防火墙的最佳实践信息，请参阅「使用网络和防火墙的计算引擎」指南中的防火墙规则和防火墙。
  • 使用强密码。密码确保只有经过授权的人才能访问您的实例。有关创建强密码的信息，请参阅创建强密码。此外，请记住保护用于访问Cloud Platform Console的Gmail帐户。有关保护Gmail帐户的提示，请参阅Gmail安全检查清单。
  • 确保所有软件都是最新的。确保您安装的软件是最新的，并且没有可能危害您实例的已知漏洞。
  • 通过监控API密切监控项目使用情况，以识别异常项目使用情况。Google Cloud Platform提供Stackdriver日志记录。Stackdriver Logging使您可以从Google Cloud Platform上的应用程序和服务收集和存储日志。您可以使用日志记录创建基于日志的度量标准，以监视和警告异常行为。有关更多信息，请参阅Stackdriver日志记录文档。调查任何可疑用法，以确保您的实例未被恶意软件劫持。

避免帐单帐户被停权的方法

请填写正确的付款资讯、并提供多张信用卡，以确保不会因单一张信用卡问题造成欠费。也可直接请经销商进行费用代缴，由于经销商与Google有契约关系，不会受到自动规则停权的影响。
※详情可参考Google官方说明

希望此文可以降低GCP用户的恐惧，尤其是已经有大型项目在GCP上运作的客户，藉由上述方式去避免无预警停权的可能！