Présentation de l'accès aux services privés

Pour permettre aux clients de votre réseau cloud privé virtuel (VPC) de communiquer de manière privée avec vos instances AlloyDB pour PostgreSQL, vous pouvez configurer l'accès aux services privés. L'accès aux services privés établit une connexion d'appairage de réseaux VPC privée entre votre réseau VPC et le réseau géré par Google qui héberge les ressources internes requises par vos instances AlloyDB.

Pour obtenir une présentation générale du fonctionnement des connexions réseau avec AlloyDB, consultez Présentation de la connexion.

Connectivité entre les clusters et les ressources internes

L'accès aux services privés permet aux clusters AlloyDB de communiquer avec les ressources internes qui les activent.

Instances et ressources internes

Les clusters et instances AlloyDB que vous créez dans votre projetGoogle Cloud reposent sur de nombreuses ressources internes de bas niveau Google Cloud. Il s'agit notamment des instances de machine virtuelle (VM) qui servent de nœuds et d'équilibreurs de charge AlloyDB, ou des volumes de stockage qui contiennent vos données. Toutes les ressources qui alimentent un cluster s'exécutent dans un projetGoogle Cloud interne à Google et géré par Google.

En général, vous ne vous connectez pas directement à ces ressources internes. À la place, vous gérez les clusters et les instances via la console Google Cloud ou Google Cloud CLI. Vos applications se connectent aux instances AlloyDB via leurs adresses IP privées pour interroger et modifier vos données. AlloyDB utilise des API internes pour transmettre vos requêtes d'administration ou vos requêtes de données aux ressources de votre cluster, si nécessaire.

Une instance AlloyDB sert d'abstraction logique de cet ensemble complexe de composants. En vous offrant une adresse IP statique privée et une interface de base de données cohérente compatible avec PostgreSQL, AlloyDB peut mettre à jour librement les routes réseau internes d'une instance active ou déplacer ses ressources internes. Cette architecture offre un débit optimisé et une haute disponibilité sans temps d'arrêt ni interruption.

Comment les clusters utilisent l'accès aux services privés

Les clusters et instances AlloyDB de votre projet communiquent avec leurs ressources internes via l'accès aux services privés. Cela établit une connexion appairée permanente entre un réseau VPC de votre propre projet et le réseau VPC distinct utilisé par le projet géré par Google qui héberge les ressources internes. Grâce à cette connexion, les clusters et les instances AlloyDB de votre projet peuvent se connecter à leurs ressources internes à l'aide d'adresses IP privées, comme s'ils se trouvaient sur le réseau VPC de votre propre projet.

La configuration de l'accès aux services privés avec un réseau VPC Google Cloud implique de réserver un ou plusieurs blocs d'adresses IP privées contiguës. Une fois que Google Cloud a établi une connexion d'appairage entre le réseau VPC de votre projet et le réseau VPC du projet interne, AlloyDB applique les adresses de vos blocs d'adresses IP réservés aux ressources de bas niveau requises par vos instances. Cette connexion permet une connectivité réseau privée entre toutes les parties de vos clusters.

Lorsque vous créez un cluster AlloyDB qui utilise l'accès aux services privés (plutôt que Private Service Connect), vous devez spécifier un réseau VPC dans votre projet qui est configuré pour l'accès aux services privés. Votre projet dispose peut-être déjà d'un réseau VPC éligible, en particulier si vous avez déjà utilisé AlloyDB ou un autre produit Google Cloud qui nécessite un accès aux services privés. Si votre projet ne dispose pas d'un réseau VPC configuré pour l'accès aux services privés, vous devez en configurer un avant de créer un cluster avec accès aux services privés.

Vous ne pouvez pas modifier la configuration de l'accès aux services privés d'un cluster après qu'AlloyDB l'a créé.

Configurations d'accès aux services privés compatibles

AlloyDB peut utiliser des configurations d'accès aux services privés dans des réseaux VPC qui résident dans le même projet qu'AlloyDB ou dans d'autres projets.

Un réseau VPC dans le même projet que votre cluster

La configuration de la connectivité AlloyDB à l'aide d'un réseau VPC qui réside dans le même projet Google Cloud que votre cluster AlloyDB dépend de l'existence d'une configuration d'accès aux services privés dans le réseau VPC :

Un réseau VPC partagé

Pour configurer la connectivité AlloyDB à l'aide d'un réseau VPC qui réside dans un projet Google Cloud différent de celui contenant votre cluster AlloyDB, procédez comme suit :

  1. Configurez le projet dans lequel réside le réseau VPC pour le VPC partagé, en tant que projet hôte et le projet dans lequel AlloyDB réside en tant que projet de service.

  2. Assurez-vous que la configuration de l'accès aux services privés du réseau VPC dispose d'un espace d'adressage IP suffisant pour AlloyDB et augmentez l'espace d'adressage si nécessaire.

  3. Configurez les utilisateurs pouvant créer des ressources AlloyDB en tant qu'administrateurs de projet de service ayant accès aux plages d'adresses IP allouées appropriées dans la configuration de l'accès aux services privés.

  4. Lorsque vous utilisez Google Cloud CLI pour créer un cluster ou une instance AlloyDB avec un réseau VPC partagé, veillez à utiliser le chemin d'accès complet du réseau VPC, par exemple projects/cymbal-project/global/networks/shared-vpc-network.

Pour en savoir plus sur le VPC partagé, consultez Présentation du VPC partagé et Provisionner un VPC partagé.

Éléments à prendre en compte concernant la taille de la plage d'adresses IP

Il est important de choisir une plage d'adresses d'accès aux services privés suffisamment large pour répondre aux besoins d'AlloyDB, ainsi que de tout autre serviceGoogle Cloud nécessitant des adresses IP du même pool d'adresses. Vous pouvez ajuster la taille de ce pool à tout moment.

AlloyDB utilise un sous-réseau de taille /24 dans chaque région où vous déployez un cluster. La taille minimale est un seul bloc /24 (256 adresses), mais la taille recommandée est un bloc /16 (65 536 adresses). Cette plage vous permet de créer des clusters et des instances dans plusieurs régions, tout en laissant de nombreuses adresses IP disponibles pour d'autres services Google Cloud .

Lorsque vous provisionnez de nouvelles instances dans des clusters configurés avec l'accès aux services privés, AlloyDB déploie les ressources dans des sous-réseaux régionaux existants ou nouvellement créés qui ont été précédemment créés par AlloyDB. Si un sous-réseau existant est suffisamment plein, AlloyDB crée un sous-réseau dans la même région, à condition que la plage d'adresses IP allouée soit suffisamment grande pour créer un sous-réseau supplémentaire de taille /24. Si l'espace d'adressage IP existant disponible pour AlloyDB n'est pas assez grand pour créer le sous-réseau, votre tentative de création du cluster ou de l'instance échoue. Vous devez augmenter l'espace d'adressage IP pour résoudre le manque d'adresses avant de réessayer de créer le cluster ou l'instance. Pour en savoir plus sur l'augmentation de l'espace d'adresses IP, consultez Augmenter l'espace d'adresses IP disponible pour AlloyDB dans votre projet. Si vous n'avez plus besoin d'une plage d'adresses IP allouée après avoir supprimé tous les clusters et instances qui l'utilisent, consultez Supprimer une plage allouée pour l'accès aux services privés.

Plages d'adresses IP publiques utilisées en mode privé

AlloyDB n'accepte pas l'utilisation de plages d'adresses IP publiques utilisées en mode privé (PUPI) lors de l'utilisation de l'accès aux services privés. Pour vous connecter à AlloyDB à partir de charges de travail utilisant des plages d'adresses IP publiques utilisées en mode privé (PUPI), vous devez utiliser Private Service Connect.

Limites

  • Les connexions d'accès aux services privés sont limitées aux plages d'adresses IP RFC 1918.

Étapes suivantes