Panoramica di Private Service Connect

Per stabilire una connettività privata e sicura tra le tue reti Virtual Private Cloud (VPC) e le tue istanze AlloyDB per PostgreSQL senza configurare il peering di rete VPC, puoi utilizzare Private Service Connect. Private Service Connect supporta i seguenti scenari di connettività:

  • Connetterti a un'istanza AlloyDB da più reti VPC appartenenti a gruppi, team, progetti o organizzazioni diversi.
  • Connettiti a un'istanza principale, a un'istanza del pool di lettura o a un'istanza secondaria.

Private Service Connect utilizza il concetto di consumer e producer. Ad esempio, la tua rete VPC è il consumer del servizio AlloyDB pubblicato da Google Cloud, che è il producer. Per la connettività in entrata, le istanze AlloyDB pubblicano un URL di collegamento al servizio, un identificatore univoco utilizzato per connettersi a un'istanza, e le reti consentite all'interno dei progetti consentiti creano un endpoint per stabilire una connessione sicura al servizio AlloyDB.

Per la connettività in uscita, le reti consumer creano e gestiscono i collegamenti di rete Private Service Connect. Le istanze AlloyDB utilizzano questi collegamenti di rete per gestire la connettività per le operazioni in uscita, come la migrazione o i wrapper di dati esterni (FDW).

Per informazioni dettagliate sull'utilizzo di Private Service Connect in AlloyDB, consulta Connettiti a un'istanza utilizzando Private Service Connect.

Policy di connessione al servizio

Una policy di connessione ai servizi consente di autorizzare AlloyDB a creare una connessione Private Service Connect tra AlloyDB e le reti VPC consumer. Di conseguenza, puoi eseguire il provisioning degli endpoint Private Service Connect automaticamente. Ad esempio, puoi creare una policy di connessione ai servizi in una o più reti VPC (consumer) e specificare anche una subnet. La subnet viene utilizzata per allocare gli indirizzi IP per gli endpoint creati automaticamente tramite la policy per connettersi ad AlloyDB. La policy definisce anche un limite di connessioni che determina il numero di endpoint che possono essere creati.

Per saperne di più sulla policy di connessione ai servizi, consulta Informazioni sulle policy di connessione ai servizi.

Collegamento servizio

Quando crei un'istanza AlloyDB all'interno di un cluster abilitato per Private Service Connect, AlloyDB crea un collegamento al servizio univoco per l'istanza. Per ogni istanza principale, istanza del pool di lettura o istanza secondaria creata, viene generato un URL di collegamento al servizio univoco. Questo URL del collegamento al servizio viene utilizzato per creare un endpoint Private Service Connect per il tuo progetto o la tua rete.

Collegamento di rete

Per abilitare la connettività in uscita da un'istanza AlloyDB al tuo progetto consumer, devi creare un collegamento di rete all'interno del VPC e del progetto. Questo collegamento di rete, che è una risorsa di regione, funge da punto di connessione. Puoi creare un collegamento di rete che può accettare connessioni automaticamente (ACCEPT_AUTOMATIC) o manualmente (ACCEPT_MANUAL). Per saperne di più sulla creazione di un collegamento di rete, consulta Crea e gestisci i collegamenti di rete.

Endpoint Private Service Connect

Un endpoint Private Service Connect è una regola di forwarding associata a un indirizzo IP interno. Quando crei un cluster e un'istanza abilitati per Private Service Connect, puoi consentire ad AlloyDB di creare automaticamente gli endpoint o di crearli manualmente. Durante la creazione manuale dell'endpoint, devi specificare il collegamento al servizio associato all'istanza AlloyDB. La rete VPC può quindi accedere all'istanza tramite l'endpoint.

Nomi e record DNS

Poiché più endpoint in reti VPC diverse possono connettersi a un singolo collegamento al servizio, ogni istanza AlloyDB fornisce un nome DNS pregenerato univoco (pscDnsName). Puoi utilizzare questo nome DNS per creare un record DNS in una zona Cloud DNS privata per ogni rete VPC consumer che mappa il pscDnsName dell'istanza all'indirizzo IP interno dell'endpoint Private Service Connect in quella rete:

  • Proxy di autenticazione AlloyDB e AlloyDB Language Connector: richiedono un record DNS privato che risolva il pscDnsName dell'istanza nell'indirizzo IP interno dell'endpoint Private Service Connect.
  • Connessioni dirette (come psql): possono connettersi utilizzando direttamente l'indirizzo IP interno dell'endpoint Private Service Connect o il nome DNS privato configurato. Ti consigliamo di utilizzare il nome DNS in modo che le applicazioni possano utilizzare un nome host coerente su più reti.

Progetti Private Service Connect consentiti

Quando crei un'istanza AlloyDB, puoi definire quali progetti della tua rete VPC possono accedere all'istanza AlloyDB all'interno del cluster AlloyDB.

Per ogni progetto consentito nella tua rete VPC, crea un endpoint Private Service Connect univoco. Se un progetto non è consentito esplicitamente, puoi comunque creare un endpoint per le istanze nel progetto, ma l'endpoint rimane nello stato PENDING.

Limitazioni

  • Gli endpoint di Private Service Connect possono essere creati sia negli intervalli RFC 1918 che in quelli non RFC 1918.
  • La risoluzione DNS privata per le connessioni in uscita di Private Service Connect (ad esempio quando si utilizzano wrapper di dati esterni o dblink) non è supportata.

Passaggi successivi