Pilih opsi konektivitas

Untuk memilih topologi jaringan dan metode koneksi yang tepat untuk workload AlloyDB untuk PostgreSQL, bandingkan IP pribadi (akses layanan pribadi atau Private Service Connect), IP publik, koneksi langsung, Proxy Auth AlloyDB, dan Konektor Bahasa AlloyDB:

  • Jenis penyiapan jaringan yang akan digunakan dengan AlloyDB.
  • Cara terhubung dengan aman.
  • Praktik terbaik koneksi.
  • Bagaimana lokasi workload memengaruhi persyaratan konektivitas Anda.

Untuk mengetahui informasi selengkapnya, lihat Ringkasan koneksi.

Opsi yang direkomendasikan untuk terhubung ke AlloyDB

Gunakan tabel berikut untuk mempelajari opsi konektivitas yang direkomendasikan untuk workload Anda:

Evaluasi workload Anda

Sebelum memilih opsi konektivitas, nilai workload Anda. AlloyDB mendukung konektivitas untuk lingkungan workload Anda untuk hal berikut:

  • Cloud Run, Cloud Shell, dan produk SaaS non-Google
  • Cloud Run Functions
  • Lingkungan fleksibel App Engine dan lingkungan standar App Engine
  • Google Kubernetes Engine dan Compute Engine

  • Lingkungan lokal

    Lingkungan workload IP Pribadi IP Publik Deskripsi
    Langsung Konektor Langsung Konektor
    Laptop developer ❌️ ❌️ ✅ ✅ Sebaiknya gunakan perintah gcloud beta alloydb connect. Atau, Anda dapat menggunakan Proxy Auth dengan IP publik. Menghubungkan ke IP pribadi dapat dilakukan, tetapi memerlukan penyiapan tambahan.
    Cloud Shell ❌ ❌ ✅ ✅ Sebaiknya gunakan perintah gcloud beta alloydb connect. Atau, Anda dapat menggunakan Proxy Auth dengan IP publik dari Cloud Shell. Menghubungkan ke IP pribadi dapat dilakukan, tetapi memerlukan penyiapan tambahan.
    Cloud Run, Cloud Run Functions ✅ ✅ ✅ ✅ Memerlukan konektor Akses VPC Serverless atau egress VPC Langsung.
    App Engine Standard, Flex ✅ ✅ ✅ ✅ Memerlukan konektor Akses VPC Serverless.
    GKE, Compute Engine ✅ ✅ ✅ ✅ Sebaiknya gunakan IP pribadi. Gunakan akses layanan pribadi jika Anda tidak memerlukan Peering Jaringan VPC transitif. Jika tidak, gunakan Private Service Connect.
    Lokal ✅ ✅ ✅ ✅ IP pribadi memerlukan jalur jaringan dari infrastruktur lokal ke instance target. IP Publik dengan Konektor Bahasa atau dengan Proxy Auth adalah alternatif aman yang tidak memerlukan penyiapan jaringan yang ekstensif.

Praktik terbaik untuk konektivitas berdasarkan workload Anda

Saat Anda terhubung ke AlloyDB, pertimbangkan hal berikut berdasarkan lingkungan workload Anda.

Cloud Shell

  • Gunakan Proxy Auth dengan IP publik untuk terhubung dengan Cloud Shell. Cloud Shell tidak mendukung koneksi ke jaringan Virtual Private Cloud (VPC). Instance ini tidak memiliki konektivitas ke instance akses layanan pribadi atau Private Service Connect. Selain itu, Cloud Shell tidak memiliki alamat IP keluar yang stabil untuk digunakan di jaringan eksternal yang diizinkan. Jika Anda tidak menggunakan Proxy Auth atau Language Connector, Anda harus mengizinkan semua rentang alamat IP—misalnya, 0.0.0.0/0. Kami tidak merekomendasikan pendekatan ini untuk instance produksi.

Cloud Run dan Cloud Run Functions

  • Untuk IP pribadi, koneksi langsung dan Language Connector atau Proxy Auth harus menggunakan egress VPC Langsung.
  • Untuk IP publik, Anda harus menggunakan Language Connectors atau Auth Proxy. Atau, Anda dapat mengizinkan semua rentang alamat IP—misalnya, 0.0.0.0/0—di jaringan eksternal yang diizinkan, tetapi pendekatan tersebut tidak direkomendasikan untuk instance produksi mengingat risiko keamanannya.

Lingkungan standar App Engine dan lingkungan fleksibel App Engine

  • Gunakan konektor Akses VPC Serverless untuk IP pribadi, terlepas dari apakah Anda menggunakan Language Connector atau Proxy Auth.
  • Untuk IP publik, Anda harus menggunakan Language Connector atau Proxy Auth. Atau, Anda dapat mengizinkan semua rentang alamat IP (misalnya, 0.0.0.0/0) di jaringan eksternal yang diizinkan. Namun, karena risiko keamanan, kami tidak merekomendasikan pendekatan ini untuk instance produksi.

GKE dan Compute Engine

  • Anda dapat menggunakan koneksi langsung dan Language Connector atau Proxy Auth untuk terhubung ke AlloyDB.

Lokal

  • Anda dapat menggunakan koneksi langsung dan Language Connector atau Proxy Auth untuk terhubung ke AlloyDB. Language Connector dan Proxy Auth tidak membuat jalur jaringan. Pastikan ada jalur jaringan antara workload Anda dan instance AlloyDB.

Koneksi yang aman dengan Proxy Auth AlloyDB dan konektor

Konektor Bahasa AlloyDB dan Proxy Auth AlloyDB menyediakan fitur keamanan yang ditingkatkan seperti autentikasi database Identity and Access Management (IAM) dan mTLS, tetapi fitur ini memerlukan penyiapan tambahan. Koneksi langsung, meskipun dienkripsi secara default, tidak mendukung sertifikat klien atau mode SSL yang lebih tinggi—verify-ca dan verify-full. Sebaiknya gunakan Language Connector atau Proxy Auth dengan IP publik, dan gunakan koneksi langsung untuk IP pribadi hanya jika Language Connector atau Proxy Auth tidak memungkinkan.

Autentikasi database IAM mendukung dua pendekatan: autentikasi individu dan autentikasi grup. Autentikasi grup didukung untuk versi database POSTGRES_15 dan yang lebih baru, serta tidak mendukung penggabungan koneksi terkelola.

Metode koneksi Koneksi terenkripsi Autentikasi IAM Otorisasi IAM mTLS
Koneksi langsung ✅ ✅ ❌ ❌
Konektor Bahasa atau Proxy Auth ✅ ✅ ✅ ✅

Praktik terbaik untuk konektivitas yang aman

  • Saat membuat cluster, Anda harus menentukan antarmuka IP pribadi agar cluster dapat dibuat. Jika Anda ingin menggunakan IP publik, sebaiknya pilih Private Service Connect sebagai antarmuka IP pribadi.
  • Gunakan Language Connector atau Proxy Auth untuk fitur keamanan seperti otorisasi dan autentikasi IAM, serta mTLS, meskipun memerlukan beberapa penyiapan. Misalnya, pendekatan ini sangat cocok jika Anda ingin menjalankan Proxy Auth AlloyDB sebagai sidecar atau ingin menggunakan Konektor Bahasa AlloyDB. Jika Anda menggunakan Language Connector atau Proxy Auth, koneksi database Anda mungkin mengalami sedikit peningkatan latensi.
  • Gunakan koneksi langsung untuk performa yang optimal, dan saat Konektor Bahasa atau Proxy Auth tidak memungkinkan. Koneksi langsung dienkripsi secara default (sslmode=require), tetapi tidak memiliki dukungan untuk sertifikat klien atau mode SSL yang lebih tinggi. Hanya gunakan koneksi langsung jika Konektor Bahasa atau Proxy Auth tidak dapat digunakan.

Menilai topologi jaringan Anda

Untuk topologi jaringan, sebaiknya gunakan akses layanan pribadi untuk koneksi AlloyDB. Gunakan Private Service Connect untuk menghindari masalah peering transitif dengan beberapa jaringan VPC. IP publik cocok untuk koneksi dari produk non-SaaSGoogle Cloud , terutama jika IP pribadi tidak praktis.

Topologi jaringan Koneksi multi-VPC Klien SaaS non-Google Mendukung koneksi lokal Deskripsi
Akses layanan pribadi ❌ ❌ ✅ Konektivitas VPC transitif tidak didukung secara default. Anda dapat menjalankan proxy SOCKS5 secara manual untuk konektivitas lintas VPC, tetapi pendekatan ini rumit.
Private Service Connect ✅ ❌ ✅ Menyediakan konfigurasi paling sederhana saat Anda ingin terhubung ke AlloyDB dari lebih dari satu jaringan VPC.
IP Publik ✅ ✅ ✅ Agar tidak perlu mengidentifikasi rentang CIDR workload sumber untuk jaringan eksternal yang diizinkan, IP publik sebaiknya dipasangkan dengan Language Connector atau Proxy Auth.

Praktik terbaik untuk konektivitas berdasarkan topologi jaringan Anda

  • Default ke akses layanan pribadi.
  • Saat Anda menangani beberapa jaringan VPC, gunakan Private Service Connect untuk menghindari masalah peering transitif.
  • Untuk produk non-Google Cloud SaaS, pilih topologi jaringan publik saat Anda berintegrasi dengan produk Software-as-a-Service (SaaS) yang tidak dihosting di Google Cloud, terutama jika konektivitas IP pribadi tidak memungkinkan. IP pribadi diaktifkan secara default, jadi Anda harus mengonfigurasi IP publik secara eksplisit dalam skenario ini.
  • Jika memungkinkan, gunakan Language Connector atau Proxy Auth saat Anda menggunakan IP publik untuk mendapatkan koneksi yang aman tanpa harus mengonfigurasi jaringan eksternal yang diizinkan.

Langkah berikutnya