Panoramica dell'accesso privato ai servizi

Per consentire ai client della tua rete Virtual Private Cloud (VPC) di comunicare privatamente con le tue istanze AlloyDB per PostgreSQL, puoi configurare l'accesso privato ai servizi. L'accesso privato ai servizi stabilisce una connessione di peering di rete VPC privata tra la tua rete VPC e la rete gestita da Google che ospita le risorse interne richieste dalle tue istanze AlloyDB.

Per una panoramica generale del funzionamento delle connessioni di rete con AlloyDB, consulta Panoramica della connessione.

Connettività tra cluster e risorse interne

L'accesso privato ai servizi consente ai cluster AlloyDB di comunicare con le risorse interne che li abilitano.

Istanze e risorse interne

I cluster e le istanze AlloyDB che crei nel tuo progettoGoogle Cloud si basano su molte risorse interne di basso livello Google Cloud. Queste includono le istanze di macchine virtuali (VM) che fungono da nodi e bilanciatori del carico AlloyDB o i volumi di archiviazione che contengono i tuoi dati. Tutte le risorse che alimentano un cluster vengono eseguite all'interno di un progettoGoogle Cloud interno e gestito da Google.

In genere, non ti connetti direttamente a queste risorse interne. Invece, gestisci i cluster e le istanze tramite la console Google Cloud o Google Cloud CLI. Le tue applicazioni si connettono alle istanze AlloyDB tramite i loro indirizzi IP privati per eseguire query e modificare i tuoi dati. AlloyDB utilizza API interne per trasmettere le richieste amministrative o le query sui dati alle risorse del cluster, in base alle esigenze.

un'istanza AlloyDB funge da astrazione logica di questa complessa raccolta di parti. Offrendoti un indirizzo IP statico privato e un'interfaccia di database coerente e compatibile con PostgreSQL, AlloyDB può aggiornare liberamente le route di rete interne di un'istanza attiva o spostare le sue risorse interne. Questa architettura offre un throughput ottimizzato e un'alta affidabilità senza tempi di inattività o interruzioni.

In che modo i cluster utilizzano l'accesso privato ai servizi

I cluster e le istanze AlloyDB nel tuo progetto comunicano con le risorse interne tramite l'accesso privato ai servizi. In questo modo viene stabilita una connessione in peering permanente tra una rete VPC nel tuo progetto e la rete VPC separata utilizzata dal progetto gestito da Google che ospita le risorse interne. Tramite questa connessione, i cluster e le istanze AlloyDB nel tuo progetto possono connettersi alle proprie risorse interne utilizzando indirizzi IP privati, proprio come se si trovassero all'interno della rete VPC del tuo progetto.

La configurazione dell'accesso privato ai servizi con una rete VPC Google Cloud prevede la prenotazione di uno o più blocchi di indirizzi IP privati contigui. Dopo che Google Cloud ha stabilito una connessione di peering tra la rete VPC del tuo progetto e la rete VPC del progetto interno, AlloyDB applica gli indirizzi dei blocchi IP riservati alle risorse di basso livello richieste dalle tue istanze. Questa connessione consente la connettività di rete privata tra tutte le parti operative dei tuoi cluster.

Quando crei un cluster AlloyDB che utilizza l'accesso privato ai servizi (anziché Private Service Connect), devi specificare una rete VPC all'interno del progetto configurata per l'accesso privato ai servizi. Il tuo progetto potrebbe già avere una rete VPC idonea disponibile, soprattutto se hai già lavorato con AlloyDB o un altro prodotto Google Cloud che richiede l'accesso privato ai servizi. Se nel tuo progetto non è configurata una rete VPC per l'accesso privato ai servizi, devi configurarne una prima di creare un cluster con accesso privato ai servizi.

Non puoi modificare la configurazione dell'accesso privato ai servizi di un cluster dopo che AlloyDB ha creato il cluster.

Configurazioni di accesso privato ai servizi supportate

AlloyDB può utilizzare le configurazioni di accesso privato ai servizi nelle reti VPC che si trovano nello stesso progetto di AlloyDB o in altri progetti.

Una rete VPC nello stesso progetto del cluster

La configurazione della connettività AlloyDB utilizzando una rete VPC che si trova nello stesso progetto Google Cloud del tuo cluster AlloyDB dipende dalla presenza o meno di una configurazione di accesso privato ai servizi nella rete VPC:

Una rete VPC condiviso

Per configurare la connettività di AlloyDB utilizzando una rete VPC che si trova in un progetto Google Cloud diverso da quello contenente il cluster AlloyDB, completa i seguenti passaggi:

  1. Configura il progetto in cui risiede la rete VPC per il VPC condiviso, con questo progetto come progetto host e il progetto in cui risiede AlloyDB come progetto di servizio.

  2. Assicurati che la configurazione dell'accesso privato ai servizi della rete VPC abbia spazio di indirizzi IP sufficiente per AlloyDB e, se necessario, aumenta lo spazio di indirizzi.

  3. Configura gli utenti che possono creare risorse AlloyDB come amministratori dei progetti di servizio con accesso agli intervalli di indirizzi IP allocati appropriati nella configurazione dell'accesso privato ai servizi.

  4. Quando utilizzi Google Cloud CLI per creare un cluster o un'istanza AlloyDB con una rete VPC condiviso, assicurati di utilizzare il percorso completo della rete VPC, ad esempio projects/cymbal-project/global/networks/shared-vpc-network.

Per ulteriori informazioni sul VPC condiviso, consulta Panoramica del VPC condiviso e Provisioning del VPC condiviso.

Considerazioni sulle dimensioni dell'intervallo di indirizzi IP

È importante scegliere un intervallo di indirizzi di accesso privato ai servizi sufficientemente ampio da soddisfare le esigenze di AlloyDB e di qualsiasi altro servizioGoogle Cloud che richiede indirizzi IP dello stesso pool di indirizzi. Puoi modificare le dimensioni di questo pool in qualsiasi momento.

AlloyDB utilizza una subnet di dimensioni /24 in ogni regione in cui esegui il deployment di un cluster. Sebbene la dimensione minima sia un singolo blocco /24 (256 indirizzi), la dimensione consigliata è un blocco /16 (65.536 indirizzi). Questo intervallo ti consente di creare cluster e istanze in più regioni, lasciando comunque molti indirizzi IP disponibili per altri servizi Google Cloud .

Quando esegui il provisioning di nuove istanze in cluster configurati con l'accesso privato ai servizi, AlloyDB esegue il deployment delle risorse in subnet regionali appena create o esistenti, create in precedenza da AlloyDB. Se una subnet esistente risulta sufficientemente piena, AlloyDB crea una nuova subnet nella stessa regione, a condizione che l'intervallo di indirizzi IP allocato sia abbastanza grande da creare una subnet aggiuntiva di dimensioni /24. Se lo spazio di indirizzi IP esistente disponibile per AlloyDB non è sufficiente per creare la subnet, il tentativo di creare il cluster o l'istanza non va a buon fine. Devi aumentare lo spazio degli indirizzi IP per risolvere la carenza di indirizzi prima di riprovare a creare il cluster o l'istanza. Per saperne di più sull'aumento dello spazio di indirizzi IP, consulta Aumenta lo spazio di indirizzi IP disponibile per AlloyDB all'interno del progetto. Se non hai più bisogno di un intervallo di indirizzi IP allocato dopo aver eliminato tutti i cluster e le istanze che lo utilizzano, consulta Rimuovi un intervallo allocato per l'accesso privato ai servizi.

Intervalli IP pubblici utilizzati privatamente

AlloyDB non supporta l'utilizzo di intervalli di indirizzi IP pubblici utilizzati privatamente (PUPI) quando utilizzi l'accesso privato ai servizi. Per connetterti ad AlloyDB dai workload che utilizzano intervalli di indirizzi IP pubblici utilizzati privatamente (PUPI), devi utilizzare Private Service Connect.

Limitazioni

  • Le connessioni di accesso privato ai servizi sono limitate agli intervalli IP RFC 1918.

Passaggi successivi