Section 3:
Ensuring the Successful Operation of a Cloud Solution

# IAP 経由 SSH（本番推奨）
gcloud compute ssh INSTANCE_NAME --zone=ZONE --tunnel-through-iap
 
# OS Login 有効化（プロジェクト全体）
gcloud compute project-info add-metadata --metadata enable-oslogin=TRUE
 
# OS Login IAM ロール付与
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:user@example.com" \
  --role="roles/compute.osLogin"
 
# インスタンス一覧・詳細確認
gcloud compute instances list
gcloud compute instances describe INSTANCE_NAME --zone=ZONE
 
# 起動・停止・削除
gcloud compute instances start INSTANCE_NAME --zone=ZONE
gcloud compute instances stop INSTANCE_NAME --zone=ZONE

# スナップショット作成
gcloud compute disks snapshot DISK_NAME \
  --snapshot-names=SNAPSHOT_NAME \
  --zone=ZONE \
  --storage-location=REGION
 
# スナップショットスケジュール作成（毎日 04:00）
gcloud compute resource-policies create snapshot-schedule POLICY_NAME \
  --region=REGION \
  --max-retention-days=7 \
  --daily-schedule \
  --start-time=04:00
 
# ディスクへのスケジュール適用
gcloud compute disks add-resource-policies DISK_NAME \
  --resource-policies=POLICY_NAME --zone=ZONE
 
# イメージ作成（--family で最新版管理）
gcloud compute images create IMAGE_NAME \
  --source-disk=DISK_NAME \
  --source-disk-zone=ZONE \
  --family=MY_IMAGE_FAMILY
 
# 最新イメージの参照（常に最新版を使う）
gcloud compute images describe-from-family MY_IMAGE_FAMILY \
  --project=PROJECT_ID

# クラスタ認証情報の取得
gcloud container clusters get-credentials CLUSTER_NAME --zone=ZONE
 
# インベントリ確認
kubectl get nodes -o wide
kubectl get pods --all-namespaces -o wide
kubectl get services --all-namespaces
kubectl get statefulsets --all-namespaces
 
# ノードプール追加（GPU 対応）
gcloud container node-pools create GPU_POOL \
  --cluster=CLUSTER_NAME --zone=ZONE \
  --machine-type=n1-standard-4 \
  --accelerator=type=nvidia-tesla-t4,count=1 \
  --enable-autoscaling \
  --min-nodes=0 --max-nodes=5
 
# ノードプール削除
gcloud container node-pools delete POOL_NAME \
  --cluster=CLUSTER_NAME --zone=ZONE
 
# Deployment ローリングアップデート
kubectl set image deployment/MY_DEPLOY container=NEW_IMAGE:TAG -n NAMESPACE
 
# ロールバック
kubectl rollout undo deployment/MY_DEPLOY -n NAMESPACE
 
# Pod ログ確認
kubectl logs POD_NAME -n NAMESPACE --tail=100 -f

# HPA 作成（CPU 70% でスケール）
kubectl autoscale deployment MY_DEPLOY \
  --cpu-percent=70 \
  --min=2 \
  --max=20
 
# HPA マニフェスト（CPU + Memory）
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
spec:
  minReplicas: 2
  maxReplicas: 20
  metrics:
  - type: Resource
    resource:
      name: cpu
      target:
        type: Utilization
        averageUtilization: 70
 
# VPA マニフェスト（updateMode: Initial 推奨）
apiVersion: autoscaling.k8s.io/v1
kind: VerticalPodAutoscaler
spec:
  updatePolicy:
    updatePolicy:
      updateMode: "Initial"  

# トラフィックを向けずに新バージョンをデプロイ
gcloud run deploy SERVICE_NAME \
  --image=IMAGE_URL \
  --region=REGION \
  --no-traffic
 
# カナリアデプロイ（10% だけ新バージョンへ）
gcloud run services update-traffic SERVICE_NAME \
  --to-revisions=revision-00002=10,revision-00001=90 \
  --region=REGION
 
# 最新リビジョンに 100% 切り替え
gcloud run services update-traffic SERVICE_NAME \
  --to-latest --region=REGION
 
# ロールバック
gcloud run services update-traffic SERVICE_NAME \
  --to-revisions=revision-00001=100 --region=REGION
 
# オートスケーリング設定
gcloud run services update SERVICE_NAME \
  --region=REGION \
  --min-instances=1 \
  --max-instances=100 \
  --concurrency=80

# GPU 搭載 VM インスタンス作成
gcloud compute instances create GPU_VM \
  --zone=ZONE \
  --machine-type=n1-standard-4 \
  --accelerator="type=nvidia-tesla-t4,count=1" \
  --maintenance-policy=TERMINATE \
  --metadata="install-nvidia-driver=True"
 
# Spot VM でコストを最大 90% 削減（学習ジョブ向け）
gcloud compute instances create SPOT_GPU_VM \
  --provisioning-model=SPOT \
  --accelerator="type=nvidia-tesla-t4,count=1" \
  --maintenance-policy=TERMINATE
 
# Cloud TPU VM の作成
gcloud compute tpus tpu-vm create TPU_NAME \
  --zone=ZONE \
  --accelerator-type=v4-8 \
  --version=tpu-vm-tf-2.12.0

# Uniform Bucket-Level Access 有効化（推奨）
gcloud storage buckets update gs://BUCKET_NAME \
  --uniform-bucket-level-access
 
# 公開アクセス防止（誤公開防止）
gcloud storage buckets update gs://BUCKET_NAME \
  --public-access-prevention
 
# バージョニング有効化
gcloud storage buckets update gs://BUCKET_NAME --versioning
 
# 保持ポリシー（30 日間削除禁止）
gcloud storage buckets update gs://BUCKET_NAME \
  --retention-period=30d
 
# ソフトデリート（30 日間復元可能）
gcloud storage buckets update gs://BUCKET_NAME \
  --soft-delete-duration=30d

{
  "lifecycle": {
    "rule": [
      {
        "action": { "type": "SetStorageClass", "storageClass": "NEARLINE" },
        "condition": { "age": 30, "matchesStorageClass": ["STANDARD"] }
      },
      {
        "action": { "type": "SetStorageClass", "storageClass": "COLDLINE" },
        "condition": { "age": 90 }
      },
      {
        "action": { "type": "Delete" },
        "condition": { "age": 365 }
      },
      {
        "action": { "type": "Delete" },
        "condition": { "numNewerVersions": 3, "isLive": false }
      }
    ]
  }
}
 
# ポリシー適用
gcloud storage buckets update gs://BUCKET_NAME \
  --lifecycle-file=lifecycle.json

# BigQuery ドライランでコスト試算（必須手順）
bq query --use_legacy_sql=false --dry_run \
  'SELECT col1, col2 FROM \`project.dataset.table\`
   WHERE DATE(_PARTITIONTIME)="2025-01-01"'
 
# Cloud SQL Auth Proxy 経由で接続（推奨）
./cloud-sql-proxy PROJECT_ID:REGION:INSTANCE --port=5432 &
psql "host=127.0.0.1 port=5432 dbname=DB user=USER"
 
# Cloud Spanner クエリ
gcloud spanner databases execute-sql DB_NAME \
  --instance=INSTANCE \
  --sql="SELECT * FROM Users WHERE UserId = 1"
 
# Firestore データベース一覧
gcloud firestore databases list

# Cloud SQL バックアップ作成
gcloud sql backups create --instance=INSTANCE_NAME
 
# Cloud SQL PITR（特定時点への復元）
gcloud sql instances restore-backup TARGET_INSTANCE \
  --restore-instance=SOURCE_INSTANCE \
  --backup-time="2025-01-15T10:00:00Z"
 
# Spanner バックアップ作成
gcloud spanner backups create BACKUP_NAME \
  --instance=INSTANCE --database=DB \
  --expiration-date="2025-12-31T00:00:00Z"
 
# Firestore エクスポート
gcloud firestore export gs://BACKUP_BUCKET/backup \
  --collection-ids=COLLECTION1,COLLECTION2
 
# Firestore インポート
gcloud firestore import gs://BACKUP_BUCKET/backup

# KMS キーリングとキーの作成
gcloud kms keyrings create KEY_RING --location=REGION
gcloud kms keys create KEY_NAME \
  --keyring=KEY_RING --location=REGION \
  --purpose=encryption
 
# Cloud SQL で CMEK を使用してインスタンス作成
gcloud sql instances create INSTANCE_NAME \
  --database-version=POSTGRES_15 \
  --region=REGION \
  --disk-encryption-key=projects/PROJECT/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY_NAME
 
# Cloud Storage バケットで CMEK を設定
gcloud storage buckets create gs://BUCKET_NAME \
  --location=REGION \
  --default-encryption-key=projects/PROJECT/locations/REGION/keyRings/RING/cryptoKeys/KEY

# サブネットの IP 範囲を拡張（/24 → /22）
gcloud compute networks subnets expand-ip-range SUBNET_NAME \
  --region=REGION \
  --prefix-length=22
 
# 静的内部 IP の予約
gcloud compute addresses create INTERNAL_IP \
  --region=REGION \
  --subnet=SUBNET_NAME \
  --addresses=10.0.0.100
 
# 静的外部 IP の予約（リージョナル）
gcloud compute addresses create EXTERNAL_IP \
  --region=REGION
 
# 静的外部 IP の予約（グローバル LB 用）
gcloud compute addresses create GLOBAL_IP --global
 
# 予約済み IP 一覧
gcloud compute addresses list
 
# 未使用 IP の解放（課金停止）
gcloud compute addresses delete IP_NAME --region=REGION
 
# カスタム静的ルートの追加
gcloud compute routes create ROUTE_NAME \
  --network=VPC_NAME \
  --destination-range=10.20.0.0/16 \
  --next-hop-vpn-tunnel=VPN_TUNNEL \
  --next-hop-vpn-tunnel-region=REGION \
  --priority=1000

# プライベート DNS ゾーンの作成（VPC 内部用）
gcloud dns managed-zones create PRIVATE_ZONE \
  --dns-name="internal.example.com." \
  --visibility=private \
  --networks=VPC_NAME
 
# DNS A レコードの追加
gcloud dns record-sets create www.example.com. \
  --zone=ZONE_NAME --type=A \
  --ttl=300 --rrdatas=34.100.0.1
 
# Cloud Router の作成（Cloud NAT の前提条件）
gcloud compute routers create ROUTER_NAME \
  --region=REGION --network=VPC_NAME
 
# Cloud NAT の作成
gcloud compute routers nats create NAT_NAME \
  --router=ROUTER_NAME \
  --region=REGION \
  --auto-allocate-nat-external-ips \
  --nat-all-subnet-ip-ranges \
  --enable-logging
 
# DNS レコード一覧
gcloud dns record-sets list --zone=ZONE_NAME

# SSH を特定 IP からのみ許可（タグベース）
gcloud compute firewall-rules create allow-ssh-corp \
  --network=VPC_NAME \
  --action=ALLOW \
  --direction=INGRESS \
  --rules=tcp:22 \
  --source-ranges=203.0.113.0/24 \
  --target-tags=ssh-allowed \
  --priority=1000
 
# Egress ルール（送信トラフィック制御）
gcloud compute firewall-rules create deny-egress \
  --network=VPC_NAME \
  --action=DENY \
  --direction=EGRESS \
  --rules=all \
  --destination-ranges=10.99.0.0/16
 
# ルールの一時無効化（削除せず）
gcloud compute firewall-rules update RULE_NAME --disabled
 
# ファイアウォールログの有効化
gcloud compute firewall-rules update RULE_NAME --enable-logging
 
# Cloud NGFW ポリシーの作成
gcloud compute network-firewall-policies create POLICY_NAME --global
 
# NGFW ポリシーを VPC に関連付け
gcloud compute network-firewall-policies associations create \
  --firewall-policy=POLICY_NAME \
  --network=VPC_NAME \
  --global-firewall-policy

displayName: "High CPU Usage Alert"
conditions:
  - displayName: "CPU utilization > 80% for 5min"
    conditionThreshold:
      filter: >
        resource.type = "gce_instance" AND
        metric.type = "compute.googleapis.com/instance/cpu/utilization"
      comparison: COMPARISON_GT
      thresholdValue: 0.8
      duration: "300s"
      aggregations:
        - alignmentPeriod: "60s"
          perSeriesAligner: ALIGN_MEAN
combiner: OR
notificationChannels:
  - projects/PROJECT_ID/notificationChannels/CHANNEL_ID
documentation:
  content: "CPU 使用率が 80% を超えました。\\nRunbook: https://wiki.example.com/runbooks/cpu"
  mimeType: "text/markdown"

# VPC Flow Logs の有効化（サブネット単位）
gcloud compute networks subnets update SUBNET_NAME \
  --region=REGION \
  --enable-flow-logs \
  --logging-flow-sampling=0.5
 
# ファイアウォールログの有効化（ルール単位）
gcloud compute firewall-rules update RULE_NAME --enable-logging
 
# BigQuery へのログシンク作成
gcloud logging sinks create bq-audit-sink \
  bigquery.googleapis.com/projects/PROJECT/datasets/DATASET \
  --log-filter='logName="projects/PROJECT/logs/cloudaudit.googleapis.com%2Factivity"'
 
# シンク SA に BigQuery 権限付与（必須！）
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:SINK_SA@gcp-sa-logging.iam.gserviceaccount.com" \
  --role="roles/bigquery.dataEditor"
 
# ログバケットの作成（1 年保持）
gcloud logging buckets create BUCKET_NAME \
  --location=REGION \
  --retention-days=365
 
# ログフィルタリング確認
gcloud logging read 'severity="ERROR" AND resource.type="gce_instance"' \
  --limit=50 --freshness=1h

# Ops Agent のインストール（Debian/Ubuntu）
curl -sSO https://dl.google.com/cloudagents/add-google-cloud-ops-agent-repo.sh
sudo bash add-google-cloud-ops-agent-repo.sh --also-install
 
# ステータス確認
sudo systemctl status google-cloud-ops-agent
 
# GKE で Managed Prometheus を有効化
gcloud container clusters update CLUSTER_NAME \
  --zone=ZONE \
  --enable-managed-prometheus

# /etc/google-cloud-ops-agent/config.yaml
logging:
  receivers:
    app_logs:
      type: files
      include_paths: [/var/log/myapp/*.log]
  exporters:
    google: { type: google_cloud_logging }
  service:
    pipelines:
      app_pipeline:
        receivers: [app_logs]
        exporters: [google]
 
---
# Managed Prometheus PodMonitoring
apiVersion: monitoring.googleapis.com/v1
kind: PodMonitoring
metadata:
  name: my-app-monitoring
spec:
  selector:
    matchLabels: { app: my-app }
  endpoints:
  - port: metrics
    interval: 30s
    path: /metrics