Visão geral do acesso a serviços particulares

Para permitir que os clientes na sua rede de nuvem privada virtual (VPC) se comuniquem de forma privada com as instâncias do AlloyDB para PostgreSQL, configure o acesso a serviços particulares. O acesso a serviços particulares estabelece uma conexão de peering de rede VPC particular entre sua rede VPC e a rede gerenciada pelo Google que hospeda os recursos internos exigidos pelas instâncias do AlloyDB.

Para uma visão geral de como as conexões de rede funcionam com o AlloyDB, consulte Visão geral da conexão.

Conectividade entre clusters e recursos internos

O acesso a serviços particulares permite que os clusters do AlloyDB se comuniquem com os recursos internos que os ativam.

Instâncias e recursos internos

Os clusters e as instâncias do AlloyDB criados no projeto do Google Cloud dependem de muitos recursos internos de baixo nível do Google Cloud. Isso inclui as instâncias de máquina virtual (VM) que servem como nós e balanceadores de carga do AlloyDB ou os volumes de armazenamento que contêm seus dados. Todos os recursos que alimentam um cluster são executados em um projeto doGoogle Cloud que é interno e gerenciado pelo Google.

Em geral, você não se conecta diretamente a esses recursos internos. Em vez disso, você gerencia clusters e instâncias pelo console do Google Cloud ou pela Google Cloud CLI. Seus aplicativos se conectam às instâncias do AlloyDB pelos endereços IP privados para consultar e modificar seus dados. O AlloyDB usa APIs internas para transmitir suas solicitações administrativas ou consultas de dados para os recursos do cluster, conforme necessário.

uma instância do AlloyDB funciona como uma abstração lógica dessa coleção complexa de partes. Ao oferecer um endereço IP estático e particular e uma interface de banco de dados consistente e compatível com PostgreSQL, o AlloyDB pode atualizar livremente as rotas de rede interna de uma instância ativa ou realocar os recursos internos dela. Essa arquitetura oferece capacidade de processamento otimizada e alta disponibilidade sem inatividade ou interrupção.

Como os clusters usam o acesso a serviços particulares

Os clusters e as instâncias do AlloyDB no seu projeto se comunicam com os recursos internos por meio do acesso a serviços particulares. Isso estabelece uma conexão permanente com peering entre uma rede VPC no seu próprio projeto e a rede VPC separada usada pelo projeto gerenciado pelo Google que hospeda os recursos internos. Com essa conexão, os clusters e as instâncias do AlloyDB no seu projeto podem se conectar aos recursos internos usando endereços IP particulares, como se estivessem localizados na rede VPC do seu próprio projeto.

A configuração do acesso a serviços privados com uma rede VPC do Google Cloud envolve a reserva de um ou mais blocos de endereços IP privados contíguos. Depois que o Google Cloud estabelece uma conexão de peering entre a rede VPC do seu projeto e a rede VPC do projeto interno, o AlloyDB aplica endereços dos seus blocos de IP reservados aos recursos de baixo nível que suas instâncias exigem. Essa conexão permite a conectividade de rede privada entre todas as partes de trabalho dos clusters.

Ao criar um cluster do AlloyDB que usa o acesso a serviços particulares (em vez do Private Service Connect), é necessário especificar uma rede VPC no projeto que esteja configurada para o acesso a serviços particulares. Seu projeto já pode ter uma rede VPC qualificada disponível, especialmente se ele já trabalhou com o AlloyDB ou outro produto do Google Cloud que exige acesso a serviços particulares. Se o projeto não tiver uma rede VPC configurada para acesso a serviços particulares, configure uma antes de criar um cluster com acesso a serviços particulares.

Não é possível alterar a configuração de acesso a serviços particulares de um cluster depois que o AlloyDB o cria.

Configurações de acesso a serviços particulares compatíveis

O AlloyDB pode usar configurações de acesso a serviços privados em redes VPC que residem no mesmo projeto que o AlloyDB ou que residem em outros projetos.

Uma rede VPC no mesmo projeto do cluster

A configuração da conectividade do AlloyDB usando uma rede VPC que reside no mesmo projeto do Google Cloud do cluster do AlloyDB depende de já existir uma configuração de acesso a serviços particulares na rede VPC:

uma rede VPC compartilhada;

Para configurar a conectividade do AlloyDB usando uma rede VPC que reside em um projeto do Google Cloud diferente daquele que contém o cluster do AlloyDB, siga estas etapas:

  1. Configure o projeto em que a rede VPC reside para a VPC compartilhada, com ele como o projeto host e o projeto em que o AlloyDB reside como um projeto de serviço.

  2. Verifique se a configuração de acesso a serviços particulares da rede VPC tem espaço de endereço IP suficiente para o AlloyDB e aumente o espaço de endereço, se necessário.

  3. Configure os usuários que podem criar recursos do AlloyDB como administradores de projetos de serviço com acesso aos intervalos de endereços IP alocados apropriados na configuração de acesso a serviços particulares.

  4. Ao usar a Google Cloud CLI para criar um cluster ou uma instância do AlloyDB com uma rede VPC compartilhada, use o caminho totalmente qualificado da rede VPC, por exemplo, projects/cymbal-project/global/networks/shared-vpc-network.

Para mais informações sobre a VPC compartilhada, consulte Visão geral da VPC compartilhada e Como provisionar a VPC compartilhada.

Considerações sobre o tamanho do intervalo de endereços IP

É importante escolher um intervalo de endereços de acesso a serviços particulares que seja amplo o suficiente para acomodar as necessidades do AlloyDB, bem como de qualquer outro serviço doGoogle Cloud que exija endereços IP do mesmo pool de endereços. É possível ajustar o tamanho desse pool a qualquer momento.

O AlloyDB usa uma sub-rede de tamanho /24 em cada região em que você implanta um cluster. O tamanho mínimo é um único bloco /24 (256 endereços), mas o recomendado é um bloco /16 (65.536 endereços). Esse intervalo permite criar clusters e instâncias em várias regiões e ainda deixar muitos endereços IP disponíveis para outros Google Cloud serviços.

Quando você provisiona novas instâncias em clusters configurados com acesso a serviços particulares, o AlloyDB implanta os recursos em sub-redes regionais recém-criadas ou atuais que foram criadas anteriormente pelo AlloyDB. Se uma sub-rede atual estiver suficientemente cheia, o AlloyDB vai criar uma nova sub-rede na mesma região, desde que o intervalo de endereços IP alocado seja grande o suficiente para criar uma sub-rede adicional de tamanho /24. Se o espaço de endereço IP disponível para o AlloyDB não for grande o suficiente para criar a sub-rede, a tentativa de criar o cluster ou a instância vai falhar. É preciso aumentar o espaço de endereço IP para resolver a falta de endereços antes de tentar criar o cluster ou a instância novamente. Para mais informações sobre como aumentar o espaço de endereços IP, consulte Aumentar o espaço de endereços IP disponível para o AlloyDB no seu projeto. Se você não precisar mais de um intervalo de endereços IP alocado depois de excluir todos os clusters e instâncias que o utilizam, consulte Remover um intervalo alocado de acesso a serviços particulares.

Intervalos de IP públicos usados de maneira privada

O AlloyDB não é compatível com o uso de intervalos de IP público de uso particular (PUPI, na sigla em inglês) ao usar o acesso a serviços particulares. Para se conectar ao AlloyDB de cargas de trabalho usando intervalos de endereços IP públicos usados de modo privado (PUPI, na sigla em inglês), use o Private Service Connect.

Limitações

  • As conexões de acesso a serviços privados são limitadas aos intervalos de IP RFC 1918.

A seguir