Para permitir que los clientes de tu red de nube privada virtual (VPC) se comuniquen de forma privada con tus instancias de AlloyDB para PostgreSQL, puedes configurar el acceso privado a servicios. El acceso privado a servicios establece una conexión privada de intercambio de tráfico entre redes de VPC entre tu red de VPC y la red administrada por Google que aloja los recursos internos que requieren tus instancias de AlloyDB.
Para obtener una descripción general de cómo funcionan las conexiones de red con AlloyDB, consulta Descripción general de las conexiones.
Conectividad entre clústeres y recursos internos
El acceso privado a servicios permite que los clústeres de AlloyDB se comuniquen con los recursos internos que los habilitan.
Instancias y recursos internos
Los clústeres y las instancias de AlloyDB que creas en tu proyecto deGoogle Cloud dependen de muchos recursos internos de bajo Google Cloud nivel. Entre estos, se incluyen las instancias de máquina virtual (VM) que funcionan como nodos de AlloyDB y balanceadores de cargas, o los volúmenes de almacenamiento que contienen tus datos. Todos los recursos que potencian un clúster se ejecutan dentro de un proyecto deGoogle Cloud que es interno y que administra Google.
Por lo general, no te conectas directamente a estos recursos internos. En su lugar, administras clústeres e instancias a través de la consola de Google Cloud o Google Cloud CLI. Tus aplicaciones se conectan a las instancias de AlloyDB a través de sus direcciones IP privadas para consultar y modificar tus datos. AlloyDB usa APIs internas para pasar tus solicitudes administrativas o consultas de datos a los recursos de tu clúster según sea necesario.
una instancia de AlloyDB actúa como una abstracción lógica de esta colección compleja de partes. Al AlloyDB ofrecerte una dirección IP estática y privada, y una interfaz de base de datos coherente y compatible con PostgreSQL, puede actualizar libremente las rutas de red internas de una instancia activa o reubicar sus recursos internos. Esta arquitectura proporciona una capacidad de procesamiento optimizada y alta disponibilidad sin tiempo de inactividad ni interrupciones.
Cómo usan los clústeres el acceso privado a servicios
Los clústeres y las instancias de AlloyDB de tu proyecto se comunican con sus recursos internos a través del acceso privado a servicios. Esto establece una conexión permanente con intercambio de tráfico entre una red de VPC en tu propio proyecto y la red de VPC independiente que usa el proyecto administrado por Google que aloja los recursos internos. A través de esta conexión, los clústeres y las instancias de AlloyDB de tu proyecto pueden conectarse a sus recursos internos con direcciones IP privadas, como si estuvieran ubicados dentro de la red de VPC de tu propio proyecto.
La configuración del acceso privado a servicios con una red de VPC de Google Cloud implica reservar uno o más bloques de direcciones IP privadas contiguas. Después de que Google Cloud establece una conexión de intercambio de tráfico entre la red de VPC de tu proyecto y la red de VPC del proyecto interno, AlloyDB aplica direcciones de tus bloques de IP reservados a los recursos de bajo nivel que requieren tus instancias. Esta conexión permite la conectividad de red privada entre todas las partes de trabajo de tus clústeres.
Cuando creas un clúster de AlloyDB que usa el acceso privado a servicios (en lugar de Private Service Connect), debes especificar una red de VPC dentro de tu proyecto que esté configurada para el acceso privado a servicios. Es posible que tu proyecto ya tenga una red de VPC apta disponible, en especial si ya trabajaste con AlloyDB o con otro producto de Google Cloud que requiera acceso privado a servicios. Si tu proyecto no tiene una red de VPC configurada para el acceso privado a servicios, debes configurar una antes de crear un clúster con acceso privado a servicios.
No puedes cambiar la configuración de acceso privado a servicios de un clúster después de que AlloyDB lo haya creado.
Configuraciones de acceso privado a servicios compatibles
AlloyDB puede usar parámetros de configuración de acceso privado a servicios en redes de VPC que residen en el mismo proyecto que AlloyDB o que residen en otros proyectos.
Una red de VPC en el mismo proyecto que tu clúster
La forma en que configuras la conectividad de AlloyDB con una red de VPC que reside en el mismo proyecto de Google Cloud que tu clúster de AlloyDB depende de si ya existe una configuración de acceso privado a servicios en la red de VPC:
Si la red de VPC aún no tiene configurado el acceso privado a servicios, crea una configuración de acceso privado a servicios.
Si la red de VPC ya tiene una configuración de acceso privado a servicios, asegúrate de que la configuración tenga suficiente espacio de direcciones IP para AlloyDB y, si es necesario, aumenta el espacio de direcciones.
Una red de VPC compartida
Para configurar la conectividad de AlloyDB con una red de VPC que reside en un proyecto de Google Cloud que es diferente del que contiene tu clúster de AlloyDB, completa los siguientes pasos:
Configura el proyecto en el que reside la red de VPC para la VPC compartida, con ella como el proyecto host y el proyecto en el que reside AlloyDB como un proyecto de servicio.
Asegúrate de que la configuración de acceso privado a servicios de la red de VPC tenga suficiente espacio de direcciones IP para AlloyDB y, si es necesario, aumenta el espacio de direcciones.
Configura a los usuarios que pueden crear recursos de AlloyDB como administradores de proyectos de servicio con acceso a los rangos de direcciones IP asignados adecuados en la configuración de acceso privado a servicios.
Cuando uses Google Cloud CLI para crear un clúster o una instancia de AlloyDB con una red de VPC compartida, asegúrate de usar la ruta de acceso completamente calificada de la red de VPC, por ejemplo,
projects/cymbal-project/global/networks/shared-vpc-network.
Para obtener más información sobre la VPC compartida, consulta Descripción general de la VPC compartida y Aprovisiona la VPC compartida.
Consideraciones sobre el tamaño del rango de direcciones IP
Es importante elegir un rango de direcciones de acceso privado a servicios que sea lo suficientemente amplio como para satisfacer las necesidades de AlloyDB, así como cualquier otro servicio deGoogle Cloud que requiera direcciones IP del mismo grupo de direcciones. Puedes ajustar el tamaño de este grupo en cualquier momento.
AlloyDB usa una subred de tamaño /24 en cada región en la que
implementas un clúster. Si bien el tamaño mínimo es un solo bloque /24 (256 direcciones), el tamaño recomendado es un bloque /16 (65,536 direcciones). Este rango te permite
crear clústeres e instancias en varias regiones y, aun así, dejar muchas direcciones IP
disponibles para
otros Google Cloud servicios.
Cuando aprovisionas instancias nuevas en clústeres configurados con acceso privado a servicios, AlloyDB implementa los recursos en subredes regionales recién creadas o existentes que AlloyDB creó antes. Si se determina que una subred existente está lo suficientemente llena, AlloyDB crea una subred nueva en la misma región, siempre que el rango de direcciones IP asignado sea lo suficientemente grande como para crear una subred adicional de tamaño /24. Si el espacio de direcciones IP existente disponible para AlloyDB no es lo suficientemente grande como para crear la subred, fallará el intento de crear el clúster o la instancia. Debes aumentar el espacio de direcciones IP para resolver la escasez de direcciones antes de volver a intentar crear el clúster o la instancia. Para obtener más información sobre cómo aumentar el espacio de direcciones IP, consulta Aumenta el espacio de direcciones IP disponible para AlloyDB en tu proyecto. Si ya no necesitas un rango de direcciones IP asignado después de borrar todos los clústeres y las instancias que lo usan, consulta Quita un rango asignado de acceso privado a servicios.
Rangos de IP públicas de uso privado
AlloyDB no admite el uso de rangos de direcciones IP públicas de uso privado (PUPI) cuando se usa el acceso privado a servicios. Para conectarte a AlloyDB desde cargas de trabajo que usan rangos de IP pública de uso privado (PUPI), debes usar Private Service Connect.
Limitaciones
- Las conexiones de acceso privado a servicios se limitan a los rangos de IP de RFC 1918.
¿Qué sigue?
Obtén más información sobre el acceso privado a servicios en Google Cloud.
Aumenta el espacio de direcciones IP disponible para AlloyDB dentro de tu proyecto.
Implementa AlloyDB con acceso privado a servicios con Terraform.