Descripción general de Private Service Connect

Para establecer una conectividad privada y segura entre tus redes de nube privada virtual (VPC) y tus instancias de AlloyDB para PostgreSQL sin configurar el intercambio de tráfico entre redes de VPC, puedes usar Private Service Connect. Private Service Connect admite los siguientes casos de uso de conectividad:

  • Conectarte a una instancia de AlloyDB desde varias redes de VPC que pertenezcan a organizaciones, grupos, equipos o proyectos diferentes.
  • Conectarte a una instancia principal, una instancia de grupo de lectura o una instancia secundaria

Private Service Connect usa el concepto de consumidor y productor. Por ejemplo, tu red de VPC es el consumidor del servicio de AlloyDB publicado por Google Cloud, que es el productor. Para la conectividad entrante, las instancias de AlloyDB publican una URL de adjunto de servicio, un identificador único que se usa para conectarse a una instancia, y las redes permitidas dentro de los proyectos permitidos crean un extremo para establecer una conexión segura con el servicio de AlloyDB.

Para la conectividad saliente, las redes de consumidores crean y administran adjuntos de red de Private Service Connect. Las instancias de AlloyDB usan estos adjuntos de red para administrar la conectividad de las operaciones salientes, como la migración o los wrappers de datos externos (FDW).

Para obtener información detallada sobre el uso de Private Service Connect en AlloyDB, consulta Conéctate a una instancia con Private Service Connect.

Política de conexión de servicios

Una política de conexión de servicio te permite autorizar a AlloyDB para que cree una conexión de Private Service Connect entre AlloyDB y las redes de VPC de los consumidores. Como resultado, puedes aprovisionar extremos de Private Service Connect de forma automática. Por ejemplo, puedes crear una política de conexión de servicio en una o más de tus redes de VPC (de consumidor) y, además, especificar una subred. La subred se usa para asignar direcciones IP a los extremos que se crean automáticamente a través de la política para conectarse a AlloyDB. La política también define un límite de conexiones que determina cuántos extremos se pueden crear.

Para obtener más información sobre la política de conexión de servicios, consulta Acerca de las políticas de conexión de servicios.

Adjunto de servicio

Cuando creas cualquier instancia de AlloyDB dentro de un clúster habilitado para Private Service Connect, AlloyDB crea un adjunto de servicio único para esa instancia. Para cada instancia principal, instancia de grupo de lectura o instancia secundaria que se crea, se genera una URL de adjunto de servicio única. Esta URL del adjunto de servicio se usa para crear un extremo de Private Service Connect para tu proyecto o red.

Adjunto de red

Para habilitar la conectividad saliente desde una instancia de AlloyDB a tu proyecto de consumidor, debes crear un adjunto de red dentro de esa VPC y ese proyecto. Este adjunto de red, que es un recurso regional, actúa como el punto de conexión. Puedes crear un adjunto de red que pueda aceptar conexiones de forma automática (ACCEPT_AUTOMATIC) o manual (ACCEPT_MANUAL). Para obtener más información sobre cómo crear un adjunto de red, consulta Crea y administra adjuntos de red.

Extremo de Private Service Connect

Un extremo de Private Service Connect es una regla de reenvío asociada con una dirección IP interna. Cuando creas un clúster y una instancia habilitados para Private Service Connect, puedes permitir que AlloyDB cree extremos automáticamente o crearlos de forma manual. Como parte de la creación manual del extremo, debes especificar el adjunto de servicio asociado con la instancia de AlloyDB. Luego, la red de VPC puede acceder a la instancia a través del extremo.

Nombres y registros DNS

Debido a que varios extremos en diferentes redes de VPC pueden conectarse a un solo adjunto de servicio, cada instancia de AlloyDB proporciona un nombre de DNS único generado previamente (pscDnsName). Puedes usar este nombre de DNS para crear un registro DNS en una zona del DNS privada de Cloud DNS para cada red de VPC del consumidor que asigne el pscDnsName de la instancia a la dirección IP interna del extremo de Private Service Connect en esa red:

  • Proxy de autenticación de AlloyDB y conectores de lenguajes para AlloyDB: Requieren un registro DNS privado que resuelva el pscDnsName de la instancia en la dirección IP interna del extremo de Private Service Connect.
  • Conexiones directas (como psql): Se pueden conectar con la dirección IP interna del extremo de Private Service Connect directamente o con el nombre de DNS privado configurado. Te recomendamos que uses el nombre de DNS para que las aplicaciones puedan usar un nombre de host coherente en varias redes.

Proyectos de Private Service Connect permitidos

Cuando creas una instancia de AlloyDB, puedes definir qué proyectos de tu red de VPC pueden acceder a la instancia de AlloyDB dentro del clúster de AlloyDB.

Para cada proyecto permitido en tu red de VPC, crea un extremo único de Private Service Connect. Si un proyecto no se permite de forma explícita, puedes crear un extremo para las instancias del proyecto, pero este permanece en un estado PENDING.

Limitaciones

  • Los extremos de Private Service Connect se pueden crear en rangos RFC 1918 y que no sean RFC 1918.
  • No se admite la resolución de DNS privada para las conexiones salientes de Private Service Connect (como cuando se usan wrappers de datos externos o dblink).

¿Qué sigue?