Private Service Connect

Wenn Sie eine private, sichere Verbindung zwischen Ihren VPC-Netzwerken (Virtual Private Cloud) und Ihren AlloyDB for PostgreSQL-Instanzen herstellen möchten, ohne VPC-Netzwerk-Peering zu konfigurieren, können Sie Private Service Connect verwenden. Private Service Connect unterstützt die folgenden Verbindungsszenarien:

  • Sie können eine Verbindung zu einer AlloyDB-Instanz von mehreren VPC-Netzwerken aus herstellen, die zu verschiedenen Gruppen, Teams, Projekten oder Organisationen gehören.
  • Verbindung zu einer primären Instanz, einer Lesepoolinstanz oder einer sekundären Instanz herstellen

Private Service Connect verwendet das Konzept von Nutzer und Ersteller. Ihr VPC-Netzwerk ist beispielsweise der Nutzer des von Google Cloudveröffentlichten AlloyDB-Dienstes, der der Ersteller ist. Für eingehende Verbindungen veröffentlichen AlloyDB-Instanzen eine Dienstanhangs-URL, eine eindeutige Kennung, die zum Herstellen einer Verbindung mit einer Instanz verwendet wird. Die zulässigen Netzwerke in den zulässigen Projekten erstellen einen Endpunkt, um eine sichere Verbindung zum AlloyDB-Dienst herzustellen.

Für ausgehende Verbindungen erstellen und verwalten Nutzernetzwerke Private Service Connect-Netzwerkanhänge. AlloyDB-Instanzen verwenden diese Netzwerkanhänge, um die Verbindung für ausgehende Vorgänge wie Migrationen oder Fremddaten-Wrapper (FDW) zu verwalten.

Ausführliche Informationen zur Verwendung von Private Service Connect in AlloyDB finden Sie unter Verbindung zu einer Instanz über Private Service Connect herstellen.

Richtlinie für Dienstverbindungen

Mit einer Richtlinie für Dienstverbindungen können Sie AlloyDB autorisieren, eine Private Service Connect-Verbindung zwischen AlloyDB und Nutzer-VPC-Netzwerken zu erstellen. So können Sie Private Service Connect-Endpunkte automatisch bereitstellen. Sie können beispielsweise eine Richtlinie für Dienstverbindungen in einem oder mehreren Ihrer (Nutzer-)VPC-Netzwerke erstellen und auch ein Subnetz angeben. Das Subnetz wird verwendet, um den Endpunkten IP-Adressen zuzuweisen, die automatisch über die Richtlinie erstellt werden, um eine Verbindung zu AlloyDB herzustellen. Die Richtlinie definiert auch ein Verbindungslimit, das bestimmt, wie viele Endpunkte erstellt werden können.

Weitere Informationen zu Richtlinien für Dienstverbindungen finden Sie unter Informationen zu Richtlinien für Dienstverbindungen.

Dienstanhang

Wenn Sie eine AlloyDB-Instanz in einem Cluster mit aktiviertem Private Service Connect erstellen, erstellt AlloyDB einen Dienstanhang, der für diese Instanz eindeutig ist. Für jede erstellte primäre Instanz, Lesepoolinstanz oder sekundäre Instanz wird eine eindeutige Dienstanhang-URL generiert. Diese Dienstanhang-URL wird verwendet, um einen Private Service Connect-Endpunkt für Ihr Projekt oder Netzwerk zu erstellen.

Netzwerkanhang

Damit eine ausgehende Verbindung von einer AlloyDB-Instanz zu Ihrem Nutzerprojekt hergestellt werden kann, müssen Sie einen Netzwerkanhang in dieser VPC und diesem Projekt erstellen. Dieser Netzwerkanhang, der eine regionale Ressource ist, fungiert als Verbindungspunkt. Sie können einen Netzwerkanhang erstellen, der Verbindungen automatisch (ACCEPT_AUTOMATIC) oder manuell (ACCEPT_MANUAL) akzeptiert. Weitere Informationen zum Erstellen eines Netzwerkanhangs finden Sie unter Netzwerkanhänge erstellen und verwalten.

Private Service Connect-Endpunkt

Ein Private Service Connect-Endpunkt ist eine Weiterleitungsregel, die einer internen IP-Adresse zugeordnet ist. Wenn Sie einen Cluster und eine Instanz mit aktiviertem Private Service Connect erstellen, können Sie AlloyDB automatisch Endpunkte erstellen lassen oder den Endpunkt manuell erstellen. Beim manuellen Erstellen des Endpunkts müssen Sie den Dienstanhang angeben, der der AlloyDB-Instanz zugeordnet ist. Das VPC-Netzwerk kann dann über den Endpunkt auf die Instanz zugreifen.

DNS-Namen und -Einträge

Da mehrere Endpunkte in verschiedenen VPC-Netzwerken eine Verbindung zu einem einzelnen Dienstanhang herstellen können, stellt jede AlloyDB-Instanz einen eindeutigen, vorab generierten DNS-Namen (pscDnsName) bereit. Sie können diesen DNS-Namen verwenden, um einen DNS-Eintrag in einer privaten Cloud DNS-Zone für jedes Nutzer-VPC-Netzwerk zu erstellen, der den pscDnsName der Instanz der internen IP-Adresse des Private Service Connect-Endpunkts in diesem Netzwerk zuordnet:

  • AlloyDB Auth-Proxy und AlloyDB Language Connectors: Erfordern einen privaten DNS-Eintrag, der den pscDnsName der Instanz in die interne IP-Adresse des Private Service Connect-Endpunkts auflöst.
  • Direkte Verbindungen (z. B. psql): Können entweder direkt über die interne IP-Adresse des Private Service Connect-Endpunkts oder über den konfigurierten privaten DNS-Namen verbunden werden. Wir empfehlen, den DNS-Namen zu verwenden, damit Anwendungen einen einheitlichen Hostnamen in mehreren Netzwerken verwenden können.

Zulässige Private Service Connect-Projekte

Wenn Sie eine AlloyDB-Instanz erstellen, können Sie festlegen, welche Projekte aus Ihrem VPC-Netzwerk auf die AlloyDB-Instanz im AlloyDB-Cluster zugreifen können.

Erstellen Sie für jedes zulässige Projekt in Ihrem VPC-Netzwerk einen eindeutigen Private Service Connect-Endpunkt. Wenn ein Projekt nicht explizit zugelassen ist, können Sie weiterhin einen Endpunkt für die Instanzen im Projekt erstellen. Der Endpunkt hat jedoch weiterhin den Status PENDING.

Beschränkungen

  • Private Service Connect-Endpunkte können sowohl in RFC 1918- als auch in Nicht-RFC 1918-Bereichen erstellt werden.
  • Die private DNS-Auflösung für ausgehende Private Service Connect-Verbindungen (z. B. bei Verwendung von Foreign Data Wrappern oder dblink) wird nicht unterstützt.

Nächste Schritte