Landing Zone là foundation trước khi deploy bất kỳ workload nào. Không có Landing Zone, mỗi team tự tạo project → billing không kiểm soát, IAM loạn, network flat, không audit trail.

Với Landing Zone: centralized governance, Org Policies làm guardrail, networking nhất quán, audit logs và billing budgets tự động — theo GCP Cloud Adoption Framework (Learn · Lead · Scale · Secure).

Shared VPC tách network governance (host project quản subnets, firewall, routes) khỏi service projects gắn workload. Private Service Connect thay VPC peering cho kết nối dịch vụ nội bộ; Cloud NAT + Cloud Router cho egress có kiểm soát. Chi tiết Shared VPC và bảng so sánh với peering nằm ở mục Shared VPC Deep Dive.

Cloud SQL: bật audit/slow query flags → log tự động vào Cloud Logging → sink BigQuery hoặc Pub/Sub → ES. GKE: Fluentbit built-in (Autopilot) đưa stdout vào Cloud Logging; có thể thêm Vector/Alloy cho multi-sink tới Loki.

# Cloud SQL — audit + slow query
resource "google_sql_database_instance" "prod" {
  settings {
    database_flags {
      name  = "cloudsql.enable_pgaudit"
      value = "on"
    }
    database_flags {
      name  = "log_min_duration_statement"
      value = "1000"
    }
    database_flags {
      name  = "log_connections"
      value = "on"
    }
  }
}

# Log sink → BigQuery
resource "google_logging_project_sink" "cloudsql_bq" {
  name        = "cloudsql-to-bigquery"
  destination = "bigquery.googleapis.com/projects/${var.project}/datasets/audit_logs"
  filter      = "resource.type=cloudsql_database"
}

# Log sink → Pub/Sub → ES pipeline
resource "google_logging_project_sink" "to_pubsub" {
  name        = "logs-to-pubsub"
  destination = "pubsub.googleapis.com/projects/${var.project}/topics/logs-export"
  filter      = "resource.type=k8s_container OR resource.type=cloudsql_database"
}

GCP: Internet → Cloud Armor → GLB (HTTPS) → NEG (pod IP trực tiếp). Không cần Ingress controller riêng như AWS LBC — GLB là managed edge của GCP.

Sơ đồ dưới mô tả thứ tự kiểm soát từ Internet vào workload: Cloud Armor trên GLB → IAP (zero-trust nội bộ) → VPC Service Controls + firewall → IAM / Workload Identity → Secret Manager + CMEK + Binary Authorization.

Mọi Terraform module follow pattern labeling nhất quán: label derive từ basename(abspath(path.module)) — Cost breakdown chính xác theo team/product; terraform-module tự cập nhật khi rename folder.

locals {
  default_labels = {
    (basename(abspath(path.module))) = var.name
    "terraform-module" = basename(abspath(path.module))
    "product"          = var.product
    "team"             = var.team
    "environment"      = var.environment
  }
  merged_labels = merge(local.default_labels, var.labels)
}

Wiki HTML có thêm sơ đồ VMCluster full (~1020×620) và pipeline Vector/Fluentbit — không nhúng nguyên văn để giữ bundle nhẹ; bảng và bullet phía trên giữ đúng semantics (Tier A).

Secret Manager đủ cho static secrets và WIF-native. OpenBao/Vault khi cần dynamic secrets, cross-cloud, policy chi tiết hơn IAM. External Secrets Operator là bridge chuẩn từ store → Kubernetes Secret.

Wiki có sơ đồ OpenBao + ESO + SM trên GKE; ở đây giữ bảng so sánh và luồng vận hành tương đương Tier A.

Workload Identity bind Kubernetes ServiceAccount với GCP Service Account qua OIDC: metadata server trên node intercept, exchange token qua Cloud STS — không cần JSON key trên pod.

Wiki HTML có thêm flow runtime (metadata server → STS → GCP API) và các bước Terraform setup — có thể mở file gốc khi cần chi tiết từng bước; bảng trên bao phủ semantics chính (Tier A).