Zugriff auf private Dienste – Übersicht

Damit Clients in Ihrem VPC-Netzwerk (Virtual Private Cloud) privat mit Ihren AlloyDB for PostgreSQL-Instanzen kommunizieren können, können Sie den Zugriff auf private Dienste konfigurieren. Über den Zugriff auf private Dienste wird eine private VPC-Netzwerk-Peering-Verbindung zwischen Ihrem VPC-Netzwerk und dem von Google verwalteten Netzwerk hergestellt, in dem die internen Ressourcen gehostet werden, die von Ihren AlloyDB-Instanzen benötigt werden.

Eine allgemeine Übersicht über die Funktionsweise von Netzwerkverbindungen mit AlloyDB finden Sie unter Verbindungsübersicht.

Konnektivität zwischen Clustern und internen Ressourcen

Mit dem Zugriff auf private Dienste können AlloyDB-Cluster mit den internen Ressourcen kommunizieren, die sie aktivieren.

Instanzen und interne Ressourcen

Die AlloyDB-Cluster und -Instanzen, die Sie in IhremGoogle Cloud -Projekt erstellen, basieren auf vielen internen, untergeordneten Google Cloud-Ressourcen. Dazu gehören die VM-Instanzen, die als AlloyDB-Knoten und Load Balancer dienen, oder die Speicher-Volumes, die Ihre Daten enthalten. Alle Ressourcen, die einen Cluster unterstützen, werden in einemGoogle Cloud -Projekt ausgeführt, das intern ist und von Google verwaltet wird.

Im Allgemeinen stellen Sie keine direkte Verbindung zu diesen internen Ressourcen her. Stattdessen verwalten Sie Cluster und Instanzen über die Google Cloud Console oder die Google Cloud CLI. Ihre Anwendungen stellen über die privaten IP-Adressen eine Verbindung zu AlloyDB-Instanzen her, um Ihre Daten abzufragen und zu ändern. AlloyDB verwendet interne APIs, um Ihre Verwaltungsanfragen oder Datenabfragen nach Bedarf an die Ressourcen Ihres Clusters weiterzuleiten.

Eine AlloyDB-Instanz fungiert als logische Abstraktion dieser komplexen Sammlung von Teilen. Durch die Bereitstellung einer privaten, statischen IP-Adresse und einer konsistenten, PostgreSQL-kompatiblen Datenbankschnittstelle kann AlloyDB die internen Netzwerkrouten einer aktiven Instanz frei aktualisieren oder ihre internen Ressourcen verschieben. Diese Architektur bietet optimierten Durchsatz und Hochverfügbarkeit ohne Ausfallzeiten oder Unterbrechungen.

So verwenden Cluster den Zugriff auf private Dienste

Die AlloyDB-Cluster und -Instanzen in Ihrem Projekt kommunizieren über den Zugriff auf private Dienste mit ihren internen Ressourcen. Dadurch wird eine permanente Peering-Verbindung zwischen einem VPC-Netzwerk in Ihrem eigenen Projekt und dem separaten VPC-Netzwerk hergestellt, das vom von Google verwalteten Projekt verwendet wird, in dem die internen Ressourcen gehostet werden. Über diese Verbindung können die AlloyDB-Cluster und -Instanzen in Ihrem Projekt über private IP-Adressen eine Verbindung zu ihren internen Ressourcen herstellen, so als ob sie sich im VPC-Netzwerk Ihres eigenen Projekts befinden würden.

Wenn Sie den Zugriff auf private Dienste mit einem Google Cloud -VPC-Netzwerk konfigurieren, müssen Sie einen oder mehrere Blöcke zusammenhängender privater IP-Adressen reservieren. Nachdem Google Cloud eine Peering-Verbindung zwischen dem VPC-Netzwerk Ihres Projekts und dem VPC-Netzwerk des internen Projekts hergestellt hat, weist AlloyDB den Low-Level-Ressourcen, die Ihre Instanzen benötigen, Adressen aus Ihren reservierten IP-Blöcken zu. Diese Verbindung ermöglicht eine private Netzwerkverbindung zwischen allen funktionierenden Teilen Ihrer Cluster.

Wenn Sie einen AlloyDB-Cluster erstellen, der den Zugriff auf private Dienste (anstelle von Private Service Connect) verwendet, müssen Sie ein VPC-Netzwerk in Ihrem Projekt angeben, das für den Zugriff auf private Dienste konfiguriert ist. In Ihrem Projekt ist möglicherweise bereits ein geeignetes VPC-Netzwerk verfügbar, insbesondere wenn Sie in Ihrem Projekt bereits mit AlloyDB oder einem anderen Google Cloud -Produkt gearbeitet haben, das Zugriff auf private Dienste erfordert. Wenn für Ihr Projekt kein VPC-Netzwerk für den Zugriff auf private Dienste eingerichtet ist, müssen Sie eines konfigurieren, bevor Sie einen Cluster mit Zugriff auf private Dienste erstellen.

Sie können die Konfiguration für den Zugriff auf private Dienste eines Clusters nicht mehr ändern, nachdem AlloyDB den Cluster erstellt hat.

Unterstützte Konfigurationen für den Zugriff auf private Dienste

AlloyDB kann Konfigurationen für den Zugriff auf private Dienste in VPC-Netzwerken verwenden, die sich im selben Projekt wie AlloyDB oder in anderen Projekten befinden.

Ein VPC-Netzwerk im selben Projekt wie Ihr Cluster

Wie Sie die AlloyDB-Konnektivität über ein VPC-Netzwerk konfigurieren, das sich im selben Google Cloud -Projekt wie Ihr AlloyDB-Cluster befindet, hängt davon ab, ob im VPC-Netzwerk bereits eine Konfiguration für den Zugriff auf private Dienste vorhanden ist:

Ein freigegebene VPC-Netzwerk

So konfigurieren Sie die AlloyDB-Konnektivität über ein VPC-Netzwerk, das sich in einem Google Cloud Projekt befindet, das sich von dem Projekt unterscheidet, das Ihren AlloyDB-Cluster enthält:

  1. Konfigurieren Sie das Projekt, in dem sich das VPC-Netzwerk befindet, für eine gemeinsam genutzte VPC, wobei es als Hostprojekt und das Projekt, in dem sich AlloyDB befindet, als Dienstprojekt dient.

  2. Achten Sie darauf, dass die Konfiguration des Zugriffs auf private Dienste des VPC-Netzwerk genügend IP-Adressraum für AlloyDB hat, und erhöhen Sie den Adressraum bei Bedarf.

  3. Konfigurieren Sie Nutzer, die AlloyDB-Ressourcen erstellen können, als Dienstprojektadministratoren mit Zugriff auf die entsprechenden zugewiesenen IP-Adressbereiche in der Konfiguration für den Zugriff auf private Dienste.

  4. Wenn Sie die Google Cloud CLI verwenden, um einen AlloyDB-Cluster oder eine AlloyDB-Instanz mit einem freigegebene VPC-Netzwerk zu erstellen, müssen Sie den vollständig qualifizierten Pfad des VPC-Netzwerks verwenden, z. B. projects/cymbal-project/global/networks/shared-vpc-network.

Weitere Informationen zur freigegebene VPC finden Sie unter Gemeinsam genutzte VPC – Übersicht und Gemeinsam genutzte VPC bereitstellen.

Überlegungen zur Größe des IP-Adressbereichs

Es ist wichtig, einen Adressbereich für den Zugriff auf private Dienste auszuwählen, der groß genug ist, um die Anforderungen von AlloyDB sowie aller anderenGoogle Cloud -Dienste zu erfüllen, die IP-Adressen aus demselben Adresspool benötigen. Sie können die Größe dieses Pools jederzeit anpassen.

AlloyDB verwendet in jeder Region, in der Sie einen Cluster bereitstellen, ein Subnetz der Größe /24. Die Mindestgröße ist ein einzelner /24-Block (256 Adressen). Die empfohlene Größe ist ein /16-Block (65.536 Adressen). Mit diesem Bereich können Sie Cluster und Instanzen in mehreren Regionen erstellen und trotzdem genügend IP-Adressen für andere Google Cloud -Dienste verfügbar halten.

Wenn Sie neue Instanzen in Clustern bereitstellen, die für den Zugriff auf private Dienste konfiguriert sind, stellt AlloyDB die Ressourcen in neu erstellten oder vorhandenen regionalen Subnetzen bereit, die zuvor von AlloyDB erstellt wurden. Wenn ein vorhandenes Subnetz ausreichend voll ist, erstellt AlloyDB ein neues Subnetz in derselben Region, sofern der zugewiesene IP-Adressbereich groß genug ist, um ein zusätzliches Subnetz der Größe /24 zu erstellen. Wenn der für AlloyDB verfügbare IP-Adressbereich nicht groß genug ist, um das Subnetz zu erstellen, schlägt der Versuch, den Cluster oder die Instanz zu erstellen, fehl. Sie müssen den IP-Adressbereich vergrößern, um den Adressmangel zu beheben, bevor Sie versuchen, den Cluster oder die Instanz zu erstellen. Weitere Informationen zum Erhöhen des IP-Adressbereichs finden Sie unter Den für AlloyDB verfügbaren IP-Adressbereich in Ihrem Projekt erhöhen. Wenn Sie einen zugewiesenen IP-Adressbereich nicht mehr benötigen, nachdem Sie alle Cluster und Instanzen gelöscht haben, die ihn verwenden, finden Sie weitere Informationen unter Zugewiesenen Bereich für den Zugriff auf private Dienste entfernen.

Privat verwendete öffentliche IP-Bereiche

AlloyDB unterstützt die Verwendung von privat verwendeten öffentlichen IP-Adressbereichen (Privately Used Public IP, PUPI) nicht, wenn der Zugriff auf private Dienste verwendet wird. Wenn Sie von Arbeitslasten, die privat verwendete öffentliche IP-Adressbereiche (PUPI) verwenden, eine Verbindung zu AlloyDB herstellen möchten, müssen Sie Private Service Connect verwenden.

Beschränkungen

  • Verbindungen für den Zugriff auf private Dienste sind auf RFC 1918-IP-Bereiche beschränkt.

Nächste Schritte