סקירה כללית על Private Service Connect

כדי ליצור קישוריות פרטית ומאובטחת בין רשתות ה-VPC לבין המכונות של AlloyDB ל-PostgreSQL בלי להגדיר קישור בין רשתות VPC שכנות (peering), אתם יכולים להשתמש ב-Private Service Connect. ב-Private Service Connect אפשר להשתמש בתרחישי הקישוריות הבאים:

  • להתחבר למכונה של AlloyDB מכמה רשתות VPC ששייכות לקבוצות, לצוותים, לפרויקטים או לארגונים שונים.
  • מתחברים למכונה ראשית, למכונה של מאגר קריאה או למכונה משנית.

ב-Private Service Connect נעשה שימוש במושגים "צרכן" ו"בעלים". לדוגמה, רשת ה-VPC שלכם היא הצרכן של שירות AlloyDB שפורסם על ידי Google Cloud, שהוא היצרן. לקישוריות נכנסת, מכונות AlloyDB מפרסמות כתובת URL של קובץ מצורף לשירות, מזהה ייחודי שמשמש להתחברות למכונה, והרשתות המורשות בפרויקטים המורשים יוצרות נקודת קצה (endpoint) כדי ליצור חיבור מאובטח לשירות AlloyDB.

כדי ליצור קישוריות יוצאת, ברשתות הצרכן יוצרים ומנהלים מחברי רשת של Private Service Connect. מכונות AlloyDB משתמשות במחברי הרשת האלה כדי לנהל את הקישוריות לפעולות יוצאות, כמו העברה או עטיפות של נתונים זרים (FDW).

למידע מפורט על השימוש ב-Private Service Connect ב-AlloyDB, קראו את המאמר התחברות למכונה באמצעות Private Service Connect.

מדיניות החיבור לשירות

מדיניות חיבור לשירות מאפשרת לכם לאשר ל-AlloyDB ליצור חיבור Private Service Connect בין AlloyDB לבין רשתות VPC של צרכנים. כתוצאה מכך, אתם יכולים להקצות נקודות קצה של Private Service Connect באופן אוטומטי. לדוגמה, אתם יכולים ליצור מדיניות חיבור לשירות באחת או יותר מרשתות ה-VPC (של הצרכן) ולציין גם רשת משנה. תת-הרשת משמשת להקצאת כתובות IP לנקודות הקצה שנוצרות באופן אוטומטי באמצעות המדיניות להתחברות ל-AlloyDB. במדיניות מוגדרת גם מגבלת חיבורים שקובעת כמה נקודות קצה אפשר ליצור.

מידע נוסף על מדיניות החיבור לשירות זמין במאמר מידע על כללי מדיניות של חיבור לשירות.

קובץ מצורף עם השירות

כשיוצרים מכונה של AlloyDB באשכול שמופעל בו Private Service Connect, ‏ AlloyDB יוצרת צירוף שירות ייחודי למכונה הזו. לכל מכונה ראשית, מכונה של מאגר קריאה או מכונה משנית שנוצרת, נוצרת כתובת URL ייחודית של צירוף שירות. כתובת ה-URL של צירוף השירות משמשת ליצירת נקודת קצה (endpoint) של Private Service Connect לפרויקט או לרשת.

מחבר רשת

כדי לאפשר קישוריות יוצאת ממכונה של AlloyDB לפרויקט הצרכן, צריך ליצור חיבור רשת בתוך ה-VPC והפרויקט. מחבר הרשת הזה, שהוא משאב אזורי, משמש כנקודת החיבור. אפשר ליצור חיבור לרשת שיכול לקבל חיבורים באופן אוטומטי (ACCEPT_AUTOMATIC) או באופן ידני (ACCEPT_MANUAL). מידע נוסף על יצירת חיבור לרשת זמין במאמר יצירה וניהול של חיבורים לרשת.

נקודת קצה מסוג Private Service Connect

נקודת קצה (endpoint) של Private Service Connect היא כלל העברה שמשויך לכתובת IP פנימית. כשיוצרים אשכול ומכונה עם Private Service Connect, אפשר לאפשר ל-AlloyDB ליצור נקודות קצה באופן אוטומטי או ליצור את נקודת הקצה באופן ידני. כשיוצרים את נקודת הקצה באופן ידני, צריך לציין את חיבור השירות שמשויך למכונה של AlloyDB. אחרי שהיא נוצרת, אפשר לגשת למכונה דרך נקודת הקצה ברשת ה-VPC.

שמות ורשומות DNS

כמה נקודות קצה ברשתות VPC שונות יכולות להתחבר לקובץ מצורף אחד של שירות, ולכן כל מכונה של AlloyDB מספקת שם DNS ייחודי שנוצר מראש (pscDnsName). אתם יכולים להשתמש בשם ה-DNS הזה כדי ליצור רשומת DNS באזור פרטי של Cloud DNS לכל רשת VPC של צרכן, שממפה את ה-pscDnsName של המכונה לכתובת ה-IP הפנימית של נקודת הקצה של Private Service Connect באותה רשת:

  • ‫AlloyDB Auth Proxy ומחברי שפות ל-AlloyDB: דורשים רשומת DNS פרטית שמפנה את ה-pscDnsName של המכונה לכתובת ה-IP הפנימית של נקודת הקצה של Private Service Connect.
  • חיבורים ישירים (כמו psql): יכולים להתחבר באמצעות כתובת ה-IP הפנימית של נקודת הקצה של Private Service Connect ישירות, או באמצעות שם ה-DNS הפרטי שהוגדר. מומלץ להשתמש בשם ה-DNS כדי שאפליקציות יוכלו להשתמש בשם מארח עקבי בכמה רשתות.

פרויקטים מותרים של Private Service Connect

כשיוצרים מכונה של AlloyDB, אפשר להגדיר לאילו פרויקטים מרשת ה-VPC תהיה גישה למכונה בתוך אשכול AlloyDB.

לכל פרויקט מותר ברשת ה-VPC, יוצרים נקודת קצה ייחודית של Private Service Connect. אם לא מאשרים פרויקט באופן מפורש, עדיין אפשר ליצור נקודת קצה למכונות בפרויקט, אבל נקודת הקצה נשארת במצב PENDING.

מגבלות

  • אפשר ליצור נקודות קצה של Private Service Connect גם בטווחים של RFC 1918 וגם בטווחים שהם לא RFC 1918.
  • אין תמיכה בפענוח DNS פרטי לחיבורים יוצאים של Private Service Connect (למשל, כשמשתמשים ב-foreign data wrappers או ב-dblink).

המאמרים הבאים