Verbindungsoption auswählen

Wenn Sie die richtige Netzwerktopologie und Verbindungsmethode für Ihre AlloyDB for PostgreSQL-Arbeitslast auswählen möchten, vergleichen Sie private IP-Adressen (Zugriff auf private Dienste oder Private Service Connect), öffentliche IP-Adressen, direkte Verbindungen, den AlloyDB Auth-Proxy und die AlloyDB Language Connectors:

  • Welche Art von Netzwerkeinrichtung für AlloyDB verwendet werden soll.
  • Sichere Verbindung herstellen
  • Best Practices für Verbindungen
  • Wie sich der Standort Ihrer Arbeitslast auf Ihre Konnektivitätsanforderungen auswirkt.

Weitere Informationen finden Sie in der Verbindungsübersicht.

Empfohlene Optionen für die Verbindung mit AlloyDB

In der folgenden Tabelle finden Sie empfohlene Verbindungsoptionen für Ihre Arbeitslasten:

Arbeitslast bewerten

Bevor Sie eine Verbindungsoption auswählen, sollten Sie Ihre Arbeitslast bewerten. AlloyDB unterstützt die Konnektivität für Ihre Arbeitslastumgebung für Folgendes:

  • Cloud Run, Cloud Shell und SaaS-Produkte von Drittanbietern
  • Cloud Run-Funktionen
  • Flexible App Engine-Umgebung und App Engine-Standardumgebung
  • Google Kubernetes Engine und Compute Engine

  • Lokale Umgebungen

    Arbeitslastumgebung Private IP-Adresse Öffentliche IP-Adresse Beschreibung
    Direkt Connector Direkt Connector
    Entwickler-Laptop ❌️ ❌️ ✅ ✅ Wir empfehlen, den Befehl gcloud beta alloydb connect zu verwenden. Alternativ können Sie den Auth-Proxy mit öffentlicher IP-Adresse verwenden. Eine Verbindung zu einer privaten IP-Adresse ist möglich, erfordert jedoch eine zusätzliche Einrichtung.
    Cloud Shell ❌ ❌ ✅ ✅ Wir empfehlen, den Befehl gcloud beta alloydb connect zu verwenden. Alternativ können Sie den Auth-Proxy mit öffentlicher IP-Adresse aus Cloud Shell verwenden. Eine Verbindung zu einer privaten IP-Adresse ist möglich, erfordert jedoch eine zusätzliche Einrichtung.
    Cloud Run, Cloud Run Functions ✅ ✅ ✅ ✅ Erfordert einen Connector für Serverloser VPC-Zugriff oder ausgehenden Direct VPC-Traffic.
    App Engine Standard, Flex ✅ ✅ ✅ ✅ Erfordert einen Connector für Serverloser VPC-Zugriff.
    GKE, Compute Engine ✅ ✅ ✅ ✅ Wir empfehlen, eine private IP-Adresse zu verwenden. Verwenden Sie den Zugriff auf private Dienste, wenn Sie kein transitives VPC-Netzwerk-Peering benötigen. Andernfalls verwenden Sie Private Service Connect.
    Lokal ✅ ✅ ✅ ✅ Für die private IP-Adresse ist ein Netzwerkpfad von der lokalen Umgebung zur Zielinstanz erforderlich. Eine öffentliche IP-Adresse mit Sprach-Connectors oder mit dem Auth-Proxy ist eine sichere Alternative, die keine umfangreiche Netzwerkeinrichtung erfordert.

Best Practices für die Konnektivität basierend auf Ihrer Arbeitslast

Beachten Sie beim Herstellen einer Verbindung zu AlloyDB die folgenden Punkte, die von Ihrer Arbeitslastumgebung abhängen.

Cloud Shell

  • Verwenden Sie den Auth-Proxy mit einer öffentlichen IP-Adresse, um eine Verbindung zu Cloud Shell herzustellen. Cloud Shell unterstützt keine Verbindung zu einem VPC-Netzwerk (Virtual Private Cloud). Es besteht keine Verbindung zu Instanzen für den Zugriff auf private Dienste oder Private Service Connect. Außerdem hat Cloud Shell keine stabile ausgehende IP-Adresse für die Verwendung in autorisierten externen Netzwerken. Wenn Sie den Auth-Proxy oder die Sprach-Connectors nicht verwenden, müssen Sie alle IP-Adressbereiche zulassen, z. B. 0.0.0.0/0. Wir raten von diesem Ansatz für Produktionsinstanzen ab.

Cloud Run und Cloud Run Functions

  • Bei privaten IP-Adressen sollten sowohl direkte Verbindungen als auch Sprach-Connectors oder der Auth-Proxy ausgehenden Direct VPC-Traffic verwenden.
  • Für öffentliche IP-Adressen müssen Sie Sprach-Connectors oder den Auth-Proxy verwenden. Alternativ können Sie alle IP-Adressbereiche, z. B. 0.0.0.0/0, in autorisierten externen Netzwerken zulassen. Dieser Ansatz wird jedoch aufgrund des Sicherheitsrisikos für Produktionsinstanzen nicht empfohlen.

App Engine-Standardumgebung und flexible App Engine-Umgebung

  • Verwenden Sie einen Connector für Serverloser VPC-Zugriff für private IP-Adressen, unabhängig davon, ob Sie einen Sprach-Connector oder den Auth-Proxy verwenden.
  • Für öffentliche IP-Adressen müssen Sie Sprach-Connectors oder den Auth-Proxy verwenden. Alternativ können Sie alle IP-Adressbereiche (z. B. 0.0.0.0/0) in autorisierten externen Netzwerken zulassen. Aus Sicherheitsgründen empfehlen wir diesen Ansatz jedoch nicht für Produktionsinstanzen.

GKE und Compute Engine

  • Sie können sowohl direkte Verbindungen als auch Sprach-Connectors oder den Auth-Proxy verwenden, um eine Verbindung zu AlloyDB herzustellen.

Lokal

  • Sie können sowohl direkte Verbindungen als auch Sprach-Connectors oder den Auth-Proxy verwenden, um eine Verbindung zu AlloyDB herzustellen. Die Sprach-Connectors und der Auth-Proxy erstellen keinen Netzwerkpfad. Prüfen Sie, ob ein Netzwerkpfad zwischen Ihrer Arbeitslast und der AlloyDB-Instanz vorhanden ist.

Sichere Verbindungen mit dem AlloyDB Auth-Proxy und Connectors

Die AlloyDB Language Connectors und der AlloyDB Auth-Proxy bieten erweiterte Sicherheitsfunktionen wie die IAM-Datenbankauthentifizierung und mTLS. Diese Funktionen erfordern jedoch eine zusätzliche Einrichtung. Direkte Verbindungen sind zwar standardmäßig verschlüsselt, unterstützen aber keine Clientzertifikate oder höheren SSL-Modi (verify-ca und verify-full). Wir empfehlen, Sprach-Connectors oder den Auth-Proxy mit öffentlicher IP-Adresse zu verwenden und direkte Verbindungen für private IP-Adressen nur dann zu verwenden, wenn Sprach-Connectors oder der Auth-Proxy nicht möglich sind.

Die IAM-Datenbankauthentifizierung unterstützt zwei Ansätze: die individuelle Authentifizierung und die Gruppenauthentifizierung. Die Gruppenauthentifizierung wird für die Datenbankversion POSTGRES_15 und höher unterstützt. Verwaltetes Verbindungs-Pooling wird nicht unterstützt.

Verbindungsmethode Verschlüsselte Verbindung IAM-Authentifizierung IAM-Autorisierung mTLS
Direkte Verbindung ✅ ✅ ❌ ❌
Sprach-Connectors oder Auth-Proxy ✅ ✅ ✅ ✅

Best Practices für sichere Verbindungen

  • Wenn Sie einen Cluster erstellen, müssen Sie eine private IP-Schnittstelle angeben, damit der Cluster erstellt werden kann. Wenn Sie eine öffentliche IP-Adresse verwenden möchten, empfehlen wir, Private Service Connect als private IP-Schnittstelle auszuwählen.
  • Verwenden Sie Language Connectors oder den Auth-Proxy für Sicherheitsfunktionen wie IAM-Autorisierung und -Authentifizierung sowie mTLS, auch wenn dafür ein gewisser Einrichtungsaufwand erforderlich ist. Dieser Ansatz eignet sich beispielsweise, wenn Sie den AlloyDB Auth-Proxy als Sidecar ausführen oder einen AlloyDB Language Connector verwenden möchten. Wenn Sie Sprach-Connectors oder den Auth-Proxy verwenden, kann es bei Ihrer Datenbankverbindung zu einer geringfügigen Erhöhung der Latenz kommen.
  • Verwenden Sie direkte Verbindungen für eine optimale Leistung und wenn Sprach-Connectors oder der Auth-Proxy nicht möglich sind. Direkte Verbindungen sind standardmäßig verschlüsselt (sslmode=require), unterstützen jedoch keine Clientzertifikate oder höheren SSL-Modi. Verwenden Sie direkte Verbindungen nur, wenn Sprach-Connectors oder der Auth-Proxy nicht verwendet werden können.

Netzwerktopologie bewerten

Für die Netzwerktopologie empfehlen wir, den Zugriff auf private Dienste für AlloyDB-Verbindungen zu verwenden. Verwenden Sie Private Service Connect, um Probleme mit transitivem Peering bei mehreren VPC-Netzwerken zu vermeiden. Öffentliche IP-Adressen eignen sich für Verbindungen von Nicht-Google Cloud -SaaS-Produkten, insbesondere wenn private IP-Adressen unpraktisch sind.

Netzwerktopologie Multi-VPC-Verbindungen Nicht-Google-SaaS-Clients Unterstützt lokale Verbindungen Beschreibung
Zugriff auf private Dienste ❌ ❌ ✅ Transitive VPC-Konnektivität wird standardmäßig nicht unterstützt. Sie können einen SOCKS5-Proxy manuell für die VPC-übergreifende Verbindung ausführen. Dieser Ansatz ist jedoch komplex.
Private Service Connect ✅ ❌ ✅ Bietet die einfachste Konfiguration, wenn Sie von mehr als einem VPC-Netzwerk aus eine Verbindung zu AlloyDB herstellen möchten.
Öffentliche IP-Adresse ✅ ✅ ✅ Damit Sie die CIDR-Bereiche der Quellarbeitslast für autorisierte externe Netzwerke nicht identifizieren müssen, sollten Sie öffentliche IP-Adressen am besten mit den Language Connectors oder dem Auth-Proxy kombinieren.

Best Practices für die Konnektivität basierend auf Ihrer Netzwerktopologie

  • Standardmäßig wird der Zugriff auf private Dienste verwendet.
  • Wenn Sie mit mehreren VPC-Netzwerken arbeiten, können Sie Private Service Connect verwenden, um Probleme mit transitivem Peering zu umgehen.
  • Wählen Sie für Produkte, die nicht vonGoogle Cloud stammen, eine öffentliche Netzwerktopologie, wenn Sie Software-as-a-Service-Produkte (SaaS) einbinden, die nicht auf Google Cloudgehostet werden, insbesondere wenn eine private IP-Verbindung nicht möglich ist. Private IP-Adressen sind standardmäßig aktiviert. Sie müssen öffentliche IP-Adressen in diesen Szenarien also explizit konfigurieren.
  • Verwenden Sie nach Möglichkeit die Sprach-Connectors oder den Auth-Proxy, wenn Sie eine öffentliche IP-Adresse verwenden, um eine sichere Verbindung herzustellen, ohne autorisierte externe Netzwerke konfigurieren zu müssen.

Nächste Schritte