Private Service Connect

Auf dieser Seite werden Konzepte im Zusammenhang mit Private Service Connect beschrieben. Sie können Private Service Connect für folgende Zwecke verwenden:

  • Verbindung zu einer AlloyDB for PostgreSQL-Instanz von mehreren VPC-Netzwerken (Virtual Private Cloud) aus herstellen, die zu verschiedenen Gruppen, Teams, Projekten oder Organisationen gehören.
  • Verbindung zu einer primären Instanz oder einem ihrer Lesereplikate oder zu einer sekundären Instanz herstellen.

Mit Private Service Connect können Sie eine private und sichere Verbindung zwischen Ihren VPC-Netzwerken und einem Google Cloud Dienst wie AlloyDB erstellen.

Private Service Connect verwendet das Konzept von Dienstnutzer und Dienstersteller. Ihr VPC-Netzwerk ist beispielsweise der Dienstnutzer des AlloyDB-Dienstes, der von Google Cloud, dem Dienstersteller, veröffentlicht wurde. Für eingehende Verbindungen veröffentlichen AlloyDB-Instanzen eine Dienstanhang-URL, eine eindeutige Kennung, die zum Herstellen einer Verbindung zu einer Instanz verwendet wird. Die zulässigen Netzwerke in den zulässigen Projekten erstellen einen Endpunkt, um eine sichere Verbindung zum AlloyDB-Dienst herzustellen.

Für ausgehende Verbindungen erstellen und verwalten Dienstnutzernetzwerke Private Service Connect-Netzwerkanhänge. AlloyDB-Instanzen verwenden diese Netzwerkanhänge, um die Verbindung für ausgehende Vorgänge wie Migrationen oder Fremddaten-Wrapper (Foreign Data Wrappers, FDWs) zu verwalten.

Ausführliche Informationen zur Verwendung von Private Service Connect in AlloyDB finden Sie unter Verbindung zu einer Instanz über Private Service Connect herstellen.

Richtlinie für Dienstverbindungen

Mit einer Richtlinie für Dienstverbindungen können Sie AlloyDB autorisieren, eine Private Service Connect-Verbindung zwischen AlloyDB und VPC-Netzwerken von Dienstnutzern zu erstellen. Dadurch können Sie Private Service Connect-Endpunkte automatisch bereitstellen. Sie können beispielsweise eine Richtlinie für Dienstverbindungen in einem oder mehreren Ihrer VPC-Netzwerke (Dienstnutzer) erstellen und auch ein Subnetz angeben. Das Subnetz wird verwendet, um den Endpunkten IP-Adressen zuzuweisen, die automatisch über die Richtlinie erstellt werden, um eine Verbindung zu AlloyDB herzustellen. Die Richtlinie definiert auch ein Verbindungslimit, das bestimmt, wie viele Endpunkte erstellt werden können.

Weitere Informationen zu Richtlinien für Dienstverbindungen finden Sie unter Richtlinien für Dienstverbindungen.

Dienstanhang

Wenn Sie eine AlloyDB-Instanz in einem Cluster mit aktiviertem Private Service Connect erstellen, erstellt AlloyDB einen Dienstanhang, der für diese Instanz eindeutig ist. Für jede erstellte primäre Instanz, Lesepoolinstanz oder sekundäre Instanz wird eine eindeutige Dienstanhang-URL generiert. Diese Dienstanhang-URL wird verwendet, um einen Private Service Connect-Endpunkt für Ihr Projekt oder Netzwerk zu erstellen.

Netzwerkanhang

Wenn Sie die ausgehende Verbindung von einer AlloyDB-Instanz zu Ihrem Dienstnutzerprojekt aktivieren möchten, müssen Sie einen Netzwerkanhang in dieser VPC und diesem Projekt erstellen. Dieser Netzwerkanhang, eine regionale Ressource, dient als Verbindungspunkt. Sie können einen Netzwerkanhang erstellen, der Verbindungen automatisch (ACCEPT_AUTOMATIC) oder manuell (ACCEPT_MANUAL) akzeptieren kann. Weitere Informationen zum Erstellen eines Netzwerkanhangs finden Sie unter Netzwerkanhänge erstellen und verwalten.

Private Service Connect-Endpunkt

Ein Private Service Connect-Endpunkt ist eine Weiterleitungsregel, die einer internen IP-Adresse zugeordnet ist. Wenn Sie einen Cluster und eine Instanz mit aktiviertem Private Service Connect erstellen, können Sie AlloyDB Endpunkte automatisch erstellen lassen oder den Endpunkt manuell erstellen. Wenn Sie den Endpunkt manuell erstellen, müssen Sie den Dienstanhang angeben, der der AlloyDB-Instanz zugeordnet ist. Das VPC-Netzwerk kann dann über den Endpunkt auf die Instanz zugreifen.

DNS-Namen und -Einträge

Da mehrere Endpunkte eine Verbindung zu einem einzelnen Dienstanhang herstellen können, empfehlen wir, einen DNS -Namen zu verwenden, um unabhängig vom Netzwerk, zu dem der Endpunkt gehört, eine konsistente Verbindung zum Dienstanhang herzustellen. Der DNS-Name wird verwendet, um den DNS-Eintrag in einer privaten DNS-Zone für das entsprechende VPC-Netzwerk zu erstellen.

Zulässige Private Service Connect-Projekte

Wenn Sie eine AlloyDB-Instanz erstellen, können Sie festlegen, welche Projekte aus Ihrem VPC-Netzwerk auf die AlloyDB-Instanz im AlloyDB-Cluster zugreifen können.

Erstellen Sie für jedes zulässige Projekt in Ihrem VPC-Netzwerk einen eindeutigen Private Service Connect-Endpunkt. Wenn ein Projekt nicht explizit zugelassen ist, können Sie weiterhin einen Endpunkt für die Instanzen im Projekt erstellen. Der Endpunkt hat jedoch weiterhin den Status PENDING.

Beschränkungen

  • Private Service Connect-Endpunkte können sowohl in RFC 1918 als auch in Nicht-RFC 1918-Bereichen erstellt werden.
  • Die private DNS-Auflösung für ausgehende Private Service Connect-Verbindungen (z. B. bei Verwendung von Fremddaten-Wrappern oder dblink) wird nicht unterstützt.

Nächste Schritte