Présentation de Private Service Connect

Pour établir une connectivité privée et sécurisée entre vos réseaux de cloud privé virtuel (VPC) et vos instances AlloyDB pour PostgreSQL sans configurer l'appairage de réseaux VPC, vous pouvez utiliser Private Service Connect. Private Service Connect est compatible avec les scénarios de connectivité suivants :

  • Vous pouvez vous connecter à une instance AlloyDB à partir de plusieurs réseaux VPC appartenant à différents groupes, équipes, projets ou organisations.
  • Connectez-vous à une instance principale, à une instance de pool de lecture ou à une instance secondaire.

Private Service Connect utilise le concept de client et de producteur. Par exemple, votre réseau VPC est le consommateur du service AlloyDB publié par Google Cloud, qui est le producteur. Pour la connectivité entrante, les instances AlloyDB publient une URL de rattachement de service, un identifiant unique utilisé pour se connecter à une instance, et les réseaux autorisés dans les projets autorisés créent un point de terminaison pour établir une connexion sécurisée au service AlloyDB.

Pour la connectivité sortante, les réseaux clients créent et gèrent des rattachements de réseau Private Service Connect. Les instances AlloyDB utilisent ces rattachements de réseau pour gérer la connectivité des opérations sortantes, telles que la migration ou les wrappers de données étrangers (FDW).

Pour en savoir plus sur l'utilisation de Private Service Connect dans AlloyDB, consultez Se connecter à une instance à l'aide de Private Service Connect.

Règle de connexion au service

Une règle de connexion de service vous permet d'autoriser AlloyDB à créer une connexion Private Service Connect entre AlloyDB et les réseaux VPC clients. Vous pouvez ainsi provisionner automatiquement des points de terminaison Private Service Connect. Par exemple, vous pouvez créer une règle de connexion de service dans un ou plusieurs de vos réseaux VPC (consommateurs) et spécifier un sous-réseau. Le sous-réseau permet d'allouer des adresses IP aux points de terminaison créés automatiquement via la règle pour se connecter à AlloyDB. La règle définit également une limite de connexion qui détermine le nombre de points de terminaison pouvant être créés.

Pour en savoir plus sur les règles de connexion au service, consultez À propos des règles de connexion au service.

Rattachement de service

Lorsque vous créez une instance AlloyDB dans un cluster sur lequel Private Service Connect est activé, AlloyDB crée un rattachement de service unique pour cette instance. Pour chaque instance principale, instance de pool de lecture ou instance secondaire créée, une URL de rattachement de service unique est générée. Cette URL de rattachement de service permet de créer un point de terminaison Private Service Connect pour votre projet ou votre réseau.

Rattachement de réseau

Pour activer la connectivité sortante d'une instance AlloyDB vers votre projet client, vous devez créer un rattachement de réseau dans ce VPC et ce projet. Ce rattachement de réseau, qui est une ressource régionale, sert de point de connexion. Vous pouvez créer un rattachement de réseau qui accepte les connexions automatiquement (ACCEPT_AUTOMATIC) ou manuellement (ACCEPT_MANUAL). Pour en savoir plus sur la création d'un rattachement de réseau, consultez Créer et gérer des rattachements de réseau.

Point de terminaison Private Service Connect

Un point de terminaison Private Service Connect est une règle de transfert associée à une adresse IP interne. Lorsque vous créez un cluster et une instance avec Private Service Connect activé, vous pouvez laisser AlloyDB créer automatiquement des points de terminaison pour vous ou créer le point de terminaison manuellement. Lorsque vous créez le point de terminaison manuellement, vous devez spécifier le rattachement de service associé à l'instance AlloyDB. Le réseau VPC peut ensuite accéder à l'instance via le point de terminaison.

Noms et enregistrements DNS

Étant donné que plusieurs points de terminaison de différents réseaux VPC peuvent se connecter à un seul rattachement de service, chaque instance AlloyDB fournit un nom DNS pré-généré unique (pscDnsName). Vous pouvez utiliser ce nom DNS pour créer un enregistrement DNS dans une zone Cloud DNS privée pour chaque réseau VPC client qui mappe le pscDnsName de l'instance à l'adresse IP interne du point de terminaison Private Service Connect de ce réseau :

  • Proxy d'authentification AlloyDB et connecteurs de langage AlloyDB : nécessitent un enregistrement DNS privé qui résout le pscDnsName de l'instance en adresse IP interne du point de terminaison Private Service Connect.
  • Connexions directes (telles que psql) : peuvent se connecter en utilisant directement l'adresse IP interne du point de terminaison Private Service Connect ou le nom DNS privé configuré. Nous vous recommandons d'utiliser le nom DNS afin que les applications puissent utiliser un nom d'hôte cohérent sur plusieurs réseaux.

Projets Private Service Connect autorisés

Lorsque vous créez une instance AlloyDB, vous pouvez définir les projets de votre réseau VPC qui peuvent accéder à l'instance AlloyDB au sein du cluster AlloyDB.

Pour chaque projet autorisé dans votre réseau VPC, créez un point de terminaison Private Service Connect unique. Si un projet n'est pas explicitement autorisé, vous pouvez toujours créer un point de terminaison pour les instances du projet, mais le point de terminaison reste à l'état PENDING.

Limites

  • Les points de terminaison Private Service Connect peuvent être créés dans les plages RFC 1918 et non-RFC 1918.
  • La résolution DNS privée pour les connexions sortantes Private Service Connect (par exemple, lors de l'utilisation de wrappers de données externes ou de dblink) n'est pas prise en charge.

Étapes suivantes