Visão geral do Private Service Connect

Para estabelecer uma conectividade privada e segura entre suas redes de nuvem privada virtual (VPC) e suas instâncias do AlloyDB para PostgreSQL sem configurar o peering de rede VPC, use o Private Service Connect. O Private Service Connect é compatível com os seguintes cenários de conectividade:

  • Conectar-se a uma instância do AlloyDB por meio de várias redes VPC que pertencem a diferentes grupos, equipes, projetos ou organizações.
  • Conectar-se a uma instância primária, uma instância de pool de leitura ou uma instância secundária.

O Private Service Connect usa o conceito de consumidor e produtor. Por exemplo, sua rede VPC é o consumidor do serviço do AlloyDB publicado pelo Google Cloud, que é o produtor. Para conectividade de entrada, as instâncias do AlloyDB publicam um URL de anexo de serviço, um identificador exclusivo usado para se conectar a uma instância, e as redes permitidas nos projetos permitidos criam um endpoint para estabelecer uma conexão segura com o serviço do AlloyDB.

Para conectividade de saída, as redes de consumidores criam e gerenciam anexos de rede do Private Service Connect. As instâncias do AlloyDB usam esses anexos de rede para gerenciar a conectividade de operações de saída, como migração ou wrappers de dados externos (FDW, na sigla em inglês).

Para informações detalhadas sobre como usar o Private Service Connect no AlloyDB, consulte Conectar-se a uma instância usando o Private Service Connect.

Política de conexão de serviço

Com uma política de conexão de serviço, você autoriza o AlloyDB a criar uma conexão do Private Service Connect entre o AlloyDB e as redes VPC do consumidor. Assim, é possível provisionar endpoints do Private Service Connect automaticamente. Por exemplo, é possível criar uma política de conexão de serviço em uma ou mais redes VPC (do consumidor) e também especificar uma sub-rede. A sub-rede é usada para alocar endereços IP para os endpoints criados automaticamente pela política para se conectar ao AlloyDB. A política também define um limite de conexão que determina quantos endpoints podem ser criados.

Para mais informações sobre a política de conexão de serviço, consulte Sobre as políticas de conexão de serviço.

Anexo de serviço

Quando você cria uma instância do AlloyDB em um cluster com o Private Service Connect ativado, o AlloyDB cria um anexo de serviço exclusivo para essa instância. Para cada instância primária, de pool de leitura ou secundária criada, um URL de anexo de serviço exclusivo é gerado. Esse URL de anexo de serviço é usado para criar um endpoint do Private Service Connect para seu projeto ou rede.

Anexo de rede

Para ativar a conectividade de saída de uma instância do AlloyDB para seu projeto de consumidor, é necessário criar um anexo de rede nessa VPC e nesse projeto. Esse anexo de rede, que é um recurso regional, atua como o ponto de conexão. É possível criar um anexo de rede que aceite conexões automaticamente (ACCEPT_AUTOMATIC) ou manualmente (ACCEPT_MANUAL). Para mais informações sobre como criar um anexo de rede, consulte Criar e gerenciar anexos de rede.

Endpoint do Private Service Connect

Um endpoint do Private Service Connect é uma regra de encaminhamento associada a um endereço IP interno. Ao criar um cluster e uma instância com o Private Service Connect ativado, você pode permitir que o AlloyDB crie endpoints automaticamente ou criá-los manualmente. Como parte da criação manual do endpoint, é necessário especificar o anexo de serviço associado à instância do AlloyDB. A rede VPC pode acessar a instância por meio do endpoint.

Nomes e registros DNS

Como vários endpoints em diferentes redes VPC podem se conectar a um único anexo de serviço, cada instância do AlloyDB fornece um nome DNS pré-gerado exclusivo (pscDnsName). Use esse nome DNS para criar um registro DNS em uma zona particular do Cloud DNS para cada rede VPC de consumidor que mapeia o pscDnsName da instância para o endereço IP interno do endpoint do Private Service Connect nessa rede:

  • Proxy de autenticação do AlloyDB e conectores de linguagem do AlloyDB: exigem um registro DNS particular que resolva o pscDnsName da instância para o endereço IP interno do endpoint do Private Service Connect.
  • Conexões diretas (como psql): podem se conectar usando o endereço IP interno do endpoint do Private Service Connect diretamente ou o nome de DNS particular configurado. Recomendamos usar o nome DNS para que os aplicativos possam usar um nome de host consistente em várias redes.

Projetos do Private Service Connect permitidos

Ao criar uma instância do AlloyDB, é possível definir quais projetos da rede VPC podem acessar a instância do AlloyDB no cluster do AlloyDB.

Para cada projeto permitido na sua rede VPC, crie um endpoint exclusivo do Private Service Connect. Se um projeto não for permitido explicitamente, você ainda poderá criar um endpoint para as instâncias do projeto, mas o endpoint permanecerá no estado PENDING.

Limitações

  • Os endpoints do Private Service Connect podem ser criados nos intervalos RFC 1918 e não RFC 1918.
  • Não há suporte para a resolução de DNS particular para conexões de saída do Private Service Connect (como ao usar wrappers de dados externos ou dblink).

A seguir