Интеграция L7-балансировщика с Cloud CDN и Object Storage с помощью консоли управления

Чтобы настроить интеграцию L7-балансировщика с Yandex Cloud CDN и Yandex Object Storage с помощью консоли управления, Yandex Cloud CLI или API:

1. Подготовьте облако к работе.
2. Создайте и настройте публичную зону DNS.
3. Добавьте сертификат в Certificate Manager.
4. Создайте облачную сеть и подсети.
5. Создайте группу безопасности.
6. Создайте бакет в Object Storage.
7. Загрузите файл сервиса в бакет.
8. Создайте группу бэкендов в Application Load Balancer.
9. Создайте HTTP-роутер и виртуальный хост.
10. Создайте L7-балансировщик.
11. Создайте CDN-ресурс.
12. Создайте ресурсную запись CNAME для CDN-ресурса.
13. Проверьте работу сервиса.

Если созданные ресурсы вам больше не нужны, удалите их.

Поддерживаемые инструментыПоддерживаемые инструменты

Для выполнения шагов можно использовать различные поддерживаемые инструменты. Бо́льшую часть шагов можно выполнить с помощью любого из стандартных инструментов: консоли управления, интерфейсов командной строки Yandex Cloud CLI и API Yandex Cloud. В каждом шаге перечислены поддерживаемые для него инструменты.

Некоторые инструменты поддерживаются не для всех шагов: через Yandex Cloud CLI сейчас нельзя создать группу бэкендов в Application Load Balancer с бакетами в качестве бэкендов.

Подготовьте облако к работеПодготовьте облако к работе

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

В качестве примера будет использоваться каталог с именем example-folder.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость поддержки инфраструктуры входят:

• плата за хранение данных в Object Storage, операции с ними и исходящий трафик (см. тарифы Object Storage);
• плата за использование вычислительных ресурсов L7-балансировщика (см. тарифы Application Load Balancer);
• плата за исходящий трафик с CDN-серверов (см. тарифы Cloud CDN);
• плата за публичные DNS-запросы и DNS-зоны, если вы используете Yandex Cloud DNS (см. тарифы Cloud DNS).

Создайте и настройте публичную зону DNSСоздайте и настройте публичную зону DNS

Чтобы настроить публичную зону DNS в инфраструктуре Yandex Cloud:

1. Делегируйте ваш домен сервису Cloud DNS. Для этого в личном кабинете вашего регистратора домена укажите в настройках домена адреса DNS-серверов ns1.yandexcloud.kz и ns2.yandexcloud.kz.

2. Создайте публичную зону DNS в Yandex Cloud DNS.

   Консоль управления

   Yandex Cloud CLI

   API

   1. В консоли управления выберите каталог example-folder.

   2. Перейдите в сервис Cloud DNS.

   3. Нажмите Создать зону.

   4. Задайте настройки зоны, соответствующие вашему домену:

      1. Зона — доменная зона. Название зоны должно заканчиваться точкой. Например, название доменной зоны example.com. соответствует домену example.com. Чтобы создать доменную зону с нелатинскими символами, используйте кодировку Punycode.
      2. Тип — Публичная.
      3. Имя — my-domain-zone.

   5. Нажмите Создать.

   Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

   По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

   По умолчанию секреты создаются в том же каталоге, что и подключения. Чтобы создать секрет в другом каталоге, в параметре --secret-folder-id укажите идентификатор этого каталога (для этого вам потребуется роль resource-manager.user на целевой каталог). Каталоги для подключения и секрета должны находиться в одном облаке. После создания подключения вы не сможете изменить этот параметр.

   Выполните команду:

   yc dns zone create \
     --name my-domain-zone \
     --zone <имя_домена> \
     --public-visibility
   

   Где --zone — имя вашего домена, например example.com.. Значение параметра --zone должно заканчиваться точкой. Например, название доменной зоны example.com. соответствует домену example.com.

   Результат:

   id: dns6b0mdas5r********
   folder_id: b1gt6g8ht345********
   created_at: "2026-02-05T10:42:16.017Z"
   name: my-domain-zone
   zone: example.com.
   public_visibility: {}
   

   Подробнее о команде yc dns zone create читайте в справочнике CLI.

   Чтобы создать публичную зону DNS, воспользуйтесь методом REST API create для ресурса DnsZone или вызовом gRPC API DnsZoneService/Create.

Добавьте сертификат в Certificate ManagerДобавьте сертификат в Certificate Manager

Поддерживаются сертификаты из Yandex Certificate Manager. Вы можете выпустить новый сертификат Let's Encrypt® или загрузить собственный.

Сертификат должен находиться в том же каталоге, в котором расположен ваш CDN-ресурс.

В настоящем руководстве рассматривается сценарий, при котором для CDN-ресурса создается новый сертификат от Let's Encrypt®.

1. Добавьте в сервис Certificate Manager сертификат от Let's Encrypt® для вашего домена:

   Консоль управления

   Yandex Cloud CLI

   API

   1. В консоли управления выберите каталог example-folder.
   2. Перейдите в сервис Certificate Manager.
   3. Нажмите Добавить сертификат и выберите Сертификат от Let's Encrypt.
   4. В открывшемся окне в поле Имя укажите mymanagedcert.
   5. В поле Домены укажите имя вашего домена, например example.com.
   6. Выберите тип проверки прав на домен DNS.
   7. Нажмите Создать.

   Выполните команду:

   yc certificate-manager certificate request \
     --name mymanagedcert \
     --challenge dns \
     --domains <имя_домена>
   

   Где <имя_домена> — имя вашего домена. Например: example.com.

   Результат:

   id: fpq7t9dpi4o0********
   folder_id: b1gt6g8ht345********
   created_at: "2026-02-05T11:00:15.952968372Z"
   name: mymanagedcert
   type: MANAGED
   domains:
     - example.com
   status: VALIDATING
   updated_at: "2026-02-05T11:00:15.952968372Z"
   

   Подробнее о команде yc certificate-manager certificate request читайте в справочнике CLI.

   Сохраните идентификатор (id) созданного сертификата: он пригодится при создании CDN-ресурса.

   Чтобы добавить сертификат, воспользуйтесь методом REST API requestNew для ресурса Certificate или вызовом gRPC API CertificateService/RequestNew.

   В списке сертификатов появится новый сертификат со статусом Validating. Этот статус означает, что запрос на выпуск сертификата от Let's Encrypt® создан, и для его успешной обработки вам необходимо пройти процедуру проверки прав на домен.

2. Для успешного выпуска сертификата пройдите проверку прав на домен:

   Консоль управления

   Yandex Cloud CLI

   API

   1. В консоли управления выберите каталог example-folder.
   2. Перейдите в сервис Certificate Manager.
   3. В списке сертификатов выберите mymanagedcert.
   4. В открывшемся окне в блоке Проверка прав на домены выберите CNAME-запись и ниже в секции с вашим доменом нажмите Создать запись.
   5. В открывшемся окне подтвердите создание ресурсной записи.

   Проверка прав на домен может занять от нескольких минут до нескольких дней — дождитесь ее успешного завершения. В результате сертификат будет выпущен и перейдет в статус Issued.

   1. Получите значения ресурсной записи, необходимой для прохождения проверки:

      yc certificate-manager certificate get \
        --name mymanagedcert \
        --full
      

      Результат:

      id: fpq7t9dpi4o0********
      folder_id: b1gt6g8ht345********
      created_at: "2026-02-05T11:00:15.952Z"
      name: mymanagedcert
      type: MANAGED
      domains:
        - example.com
      status: VALIDATING
      updated_at: "2026-02-05T11:00:15.952Z"
      challenges:
        - domain: example.com
          type: DNS
          created_at: "2026-02-05T11:00:15.952968372Z"
          updated_at: "2026-02-05T11:00:19.659820021Z"
          status: PENDING
          message: Create a record in your DNS provider.
          dns_challenge:
            name: _acme-challenge.example.com.
            type: CNAME
            value: fpq7t9dpi4o0********.cm.yandexcloud.net.
        - domain: example.com
          type: DNS
          created_at: "2026-02-05T11:00:15.952968372Z"
          updated_at: "2026-02-05T11:00:19.659820021Z"
          status: PENDING
          message: Create a record in your DNS provider.
          dns_challenge:
            name: _acme-challenge.example.com.
            type: TXT
            value: 77LcWo8-Qx4sHJuFDoNCpptLZkyWVW5A2dY********
      

      Подробнее о команде yc certificate-manager certificate get читайте в справочнике CLI.

      Сохраните значение поля value из раздела с типом CNAME в блоке challenges.dns_challenge. Это значение понадобится на следующем шаге.

   2. Создайте ресурсную запись CNAME для прохождения проверки ваших прав на домен:

      yc dns zone add-records \
        --name my-domain-zone \
        --record "_acme-challenge 600 CNAME <значение_dns_challenge>"
      

      Где <значение_dns_challenge> — сохраненное на предыдущем шаге значение, необходимое для проверки прав на домен с помощью CNAME-записи.

      Результат:

      +--------+------------------------------+-------+------------------------------------------+-----+
      | ACTION |             NAME             | TYPE  |                   DATA                   | TTL |
      +--------+------------------------------+-------+------------------------------------------+-----+
      | +      | _acme-challenge.example.com. | CNAME | fpq7t9dpi4o0********.cm.yandexcloud.net. | 600 |
      +--------+------------------------------+-------+------------------------------------------+-----+
      

      Подробнее о команде yc dns zone add-records читайте в справочнике CLI.

      Проверка прав на домен может занять от нескольких минут до нескольких дней — дождитесь ее успешного завершения. В результате сертификат будет выпущен и перейдет в статус Issued.

   3. Убедитесь, что статус сертификата изменился на Issued:

      yc certificate-manager certificate get \
        --name mymanagedcert
      

      Результат:

      id: fpq7t9dpi4o0********
      folder_id: b1gt6g8ht345********
      created_at: "2026-02-05T11:00:15.952Z"
      name: mymanagedcert
      type: MANAGED
      domains:
        - example.com
      status: ISSUED
      issuer: CN=R12,O=Let's Encrypt,C=US
      subject: CN=example.com
      serial: 57bc7967996d73d63d9d52e337c********
      updated_at: "2026-02-05T13:29:23.658Z"
      issued_at: "2026-02-05T13:29:23.658Z"
      not_after: "2026-05-06T12:30:49Z"
      not_before: "2026-02-05T12:30:50Z"
      

      Сохраните полученный идентификатор сертификата — он понадобится позднее при создании CDN-ресурса.

   Для получения информации, необходимой для прохождения процедуры проверки прав на домен, воспользуйтесь методом REST API get для ресурса Certificate или вызовом gRPC API CertificateService/Get с параметром view=FULL.

   Чтобы создать ресурсную запись CNAME в зоне DNS, воспользуйтесь методом REST API updateRecordSets для ресурса DnsZone или вызовом gRPC API DnsZoneService/UpdateRecordSets.

   Примечание

   Чтобы DNS-проверка прав на домен по записи CNAME прошла успешно, для поддомена _acme-challenge проверяемого доменного имени не должно быть других ресурсных записей, кроме CNAME. Например, для имени _acme-challenge.example.com. должна существовать только CNAME-запись и не должно быть TXT-записи.

   Если управление вашим доменом осуществляется вне платформы Yandex Cloud, создайте необходимую ресурсную запись для проверки прав на домен с использованием инструментов, которые предоставляет ваш администратор домена. Подробнее читайте в разделе Проверка прав на домен.

Создайте облачную сеть и подсетиСоздайте облачную сеть и подсети

Все ресурсы будут относиться к одной облачной сети.

Создайте группу безопасностиСоздайте группу безопасности

Группы безопасности содержат правила, которые разрешают L7-балансировщику получать входящий трафик и отправлять его на бакеты-бэкенды.

Чтобы создать группы безопасности:

yc vpc security-group create example-sg \
  --network-name example-network \
  --rule "direction=egress,port=any,protocol=any,v4-cidrs=[0.0.0.0/0]" \
  --rule "direction=ingress,port=80,protocol=tcp,v4-cidrs=[0.0.0.0/0]" \
  --rule "direction=ingress,port=443,protocol=tcp,v4-cidrs=[0.0.0.0/0]" \
  --rule "direction=ingress,port=30080,protocol=tcp,predefined=loadbalancer_healthchecks"

id: enp9dpfa774h********
folder_id: b1gt6g8ht345********
created_at: "2026-02-05T12:29:47Z"
name: example-sg
network_id: enpqm699f18v********
status: ACTIVE
rules:
  - id: enpa11mk1r50********
    direction: EGRESS
    protocol_name: ANY
    protocol_number: "-1"
    cidr_blocks:
      v4_cidr_blocks:
        - 0.0.0.0/0
  - id: enp4aob2uiam********
    direction: INGRESS
    ports:
      from_port: "80"
      to_port: "80"
    protocol_name: TCP
    protocol_number: "6"
    cidr_blocks:
      v4_cidr_blocks:
        - 0.0.0.0/0
  - id: enpn8onb4lda********
    direction: INGRESS
    ports:
      from_port: "443"
      to_port: "443"
    protocol_name: TCP
    protocol_number: "6"
    cidr_blocks:
      v4_cidr_blocks:
        - 0.0.0.0/0
  - id: enp6j82kiu2p********
    direction: INGRESS
    ports:
      from_port: "30080"
      to_port: "30080"
    protocol_name: TCP
    protocol_number: "6"
    predefined_target: loadbalancer_healthchecks

Создайте бакет в Object StorageСоздайте бакет в Object Storage

yc storage bucket create \
  --name <имя_бакета> \
  --public-read \
  --public-list

name: my-cdn-bucket
folder_id: b1gt6g8ht345********
anonymous_access_flags:
  read: true
  list: true
default_storage_class: STANDARD
versioning: VERSIONING_DISABLED
created_at: "2026-02-05T12:35:03.639102Z"
resource_id: e3e8qar9vrim********

Загрузите файл сервиса в бакетЗагрузите файл сервиса в бакет

1. Создайте файл index.html со следующим содержимым:

   <!DOCTYPE html>
   <html>
     <head>
       <title>My service</title>
     </head>
     <body>
       <p>The service is working</p>
     </body>
   </html>
   

2. Загрузите файл в бакет:

   Консоль управления

   Yandex Cloud CLI

   API

   1. В консоли управления выберите каталог example-folder.
   2. Перейдите в сервис Object Storage.
   3. Выберите бакет, созданный ранее.
   4. Нажмите кнопку Загрузить и выберите для загрузки файл index.html.
   5. В открывшемся окне с подтверждением загрузки нажмите Загрузить.

   Загрузите в бакет файл index.html:

   yc storage s3api put-object \
     --bucket <имя_бакета> \
     --key index.html \
     --content-type "text/html" \
     --body <локальный_путь_к_файлу>
   

   Где:

   • --bucket — имя созданного ранее бакета.
   • --body — локальный путь, по которому находится созданный ранее HTML-файл. Например: ./index.html.

   Результат:

   etag: '"2f613d0f35668e1d98fa9c6b********"'
   request_id: a809736f********
   

   Подробнее о команде yc storage s3api put-object читайте в справочнике CLI.

   Воспользуйтесь методом REST API upload.

Создайте группу бэкендов в Application Load BalancerСоздайте группу бэкендов в Application Load Balancer

Создайте HTTP-роутер и виртуальный хостСоздайте HTTP-роутер и виртуальный хост

Создайте L7-балансировщикСоздайте L7-балансировщик

Создайте CDN-ресурсСоздайте CDN-ресурс

Создайте ресурсную запись CNAME для CDN-ресурсаСоздайте ресурсную запись CNAME для CDN-ресурса

На обновление записей на DNS-серверах может потребоваться несколько часов. После этого вы сможете проверить работу сервиса.

Если управление вашим доменом осуществляется вне платформы Yandex Cloud, создайте необходимую ресурсную запись для CDN-ресурса с использованием инструментов, которые предоставляет ваш администратор домена. Подробнее читайте в разделе Проверка прав на домен.

Проверьте работу сервисаПроверьте работу сервиса

Чтобы проверить работу сервиса, откройте в браузере адрес https://example.com/index.html (где вместо example.com — имя вашего домена). Если все было настроено правильно, вы должны увидеть страницу с таким содержанием:

<!DOCTYPE html>
<html>
  <head>
    <title>My service</title>
  </head>
  <body>
    <p>The service is working</p>
  </body>
</html>

Как удалить созданные ресурсыКак удалить созданные ресурсы

Чтобы остановить работу инфраструктуры и перестать платить за созданные ресурсы:

1. Если вы настраивали CNAME-записи в Cloud DNS, удалите зону DNS example-dns-zone.
2. Удалите CDN-ресурс с основным доменным именем example.com.
3. Удалите L7-балансировщик example-balancer.
4. Удалите все объекты из бакета.
5. Удалите бакет.
6. Удалите подсети example-subnet-kz1-a, example-subnet-kz1-b и example-subnet-kz1-d.
7. Удалите группу безопасности example-sg.
8. Удалите сеть example-network.
9. При необходимости удалите сертификат mymanagedcert.

См. такжеСм. также

• Интеграция L7-балансировщика с Cloud CDN и Object Storage с помощью Terraform