Escolher uma opção de conectividade

Para selecionar a topologia de rede e o método de conexão certos para sua carga de trabalho do AlloyDB para PostgreSQL, compare o IP particular (acesso a serviços particulares ou Private Service Connect), o IP público, as conexões diretas, o proxy de autenticação do AlloyDB e os conectores de linguagem do AlloyDB:

  • Que tipo de configuração de rede usar com o AlloyDB.
  • Como se conectar com segurança.
  • Práticas recomendadas de conexão.
  • Como o local da carga de trabalho afeta os requisitos de conectividade.

Para mais informações, consulte a Visão geral da conexão.

Opções recomendadas para se conectar ao AlloyDB

Use a tabela a seguir para saber as opções de conectividade recomendadas para suas cargas de trabalho:

Avaliar a carga de trabalho

Antes de escolher uma opção de conectividade, avalie sua carga de trabalho. O AlloyDB é compatível com a conectividade do ambiente de carga de trabalho para o seguinte:

  • Cloud Run, Cloud Shell e produtos SaaS que não são do Google
  • Cloud Run functions
  • Ambiente flexível do App Engine e ambiente padrão do App Engine
  • Google Kubernetes Engine e Compute Engine

  • Ambientes locais

    Ambiente de carga de trabalho IP particular IP público Descrição
    Direto Conector Direto Conector
    Laptop do desenvolvedor ❌️ ❌️ ✅ ✅ Recomendamos que você use o comando gcloud beta alloydb connect. Como alternativa, use o proxy de autenticação com IP público. É possível se conectar ao IP privado, mas isso requer uma configuração adicional.
    Cloud Shell ❌ ❌ ✅ ✅ Recomendamos que você use o comando gcloud beta alloydb connect. Como alternativa, use o Auth Proxy com IP público do Cloud Shell. É possível se conectar ao IP privado, mas isso requer uma configuração adicional.
    Cloud Run, Cloud Run functions ✅ ✅ ✅ ✅ Requer um conector de acesso VPC sem servidor ou uma saída de VPC direta.
    App Engine Standard, Flex ✅ ✅ ✅ ✅ Requer um conector de acesso VPC sem servidor.
    GKE, Compute Engine ✅ ✅ ✅ ✅ Recomendamos que você use o IP particular. Use o acesso a serviços particulares quando não precisar de peering de rede VPC transitivo. Caso contrário, use o Private Service Connect.
    No local ✅ ✅ ✅ ✅ O IP particular requer um caminho de rede do local para a instância de destino. O IP público com conectores de linguagem ou com o proxy de autenticação é uma alternativa segura que não requer uma configuração de rede extensa.

Práticas recomendadas de conectividade com base na sua carga de trabalho

Ao se conectar ao AlloyDB, considere o seguinte com base no ambiente de carga de trabalho.

Cloud Shell

  • Use o Auth Proxy com IP público para se conectar ao Cloud Shell. O Cloud Shell não é compatível com a conexão a uma rede de nuvem privada virtual (VPC). Ele não tem conectividade com instâncias de acesso a serviços particulares ou do Private Service Connect. Além disso, o Cloud Shell não tem um endereço IP de saída estável para uso em redes externas autorizadas. Se você não usar o proxy de autenticação ou os conectores de linguagem, será necessário permitir todos os intervalos de endereços IP, por exemplo, 0.0.0.0/0. Não recomendamos essa abordagem para instâncias de produção.

Cloud Run e Cloud Run functions

  • Para IP privado, as conexões diretas e os conectores de linguagem ou o proxy de autenticação precisam usar a saída de VPC direta.
  • Para IP público, use Language Connectors ou o Auth Proxy. Como alternativa, é possível permitir todos os intervalos de endereços IP, por exemplo, 0.0.0.0/0, em redes externas autorizadas, mas essa abordagem não é recomendada para instâncias de produção devido ao risco de segurança.

Ambiente padrão do App Engine e ambiente flexível do App Engine

  • Use um conector de acesso VPC sem servidor para IP particular, independentemente de estar usando um conector de linguagem ou o proxy de autenticação.
  • Para IP público, use conectores de linguagem ou o proxy de autenticação. Como alternativa, é possível permitir todos os intervalos de endereços IP (por exemplo, 0.0.0.0/0) em redes externas autorizadas. No entanto, devido aos riscos de segurança, não recomendamos essa abordagem para instâncias de produção.

GKE e Compute Engine

  • É possível usar conexões diretas e conectores de linguagem ou o proxy de autenticação para se conectar ao AlloyDB.

No local

  • É possível usar conexões diretas e conectores de linguagem ou o proxy de autenticação para se conectar ao AlloyDB. Os conectores de linguagem e o proxy de autenticação não criam um caminho de rede. Verifique se há um caminho de rede entre a carga de trabalho e a instância do AlloyDB.

Conexões seguras com o proxy de autenticação e os conectores do AlloyDB

Os conectores de linguagem do AlloyDB e o proxy de autenticação do AlloyDB oferecem recursos de segurança aprimorados, como autenticação de banco de dados do Identity and Access Management (IAM) e mTLS, mas esses recursos exigem configuração adicional. As conexões diretas, embora criptografadas por padrão, não são compatíveis com certificados do cliente ou modos SSL mais altos: verify-ca e verify-full. Recomendamos que você use os conectores de linguagem ou o proxy de autenticação com IP público e use conexões diretas para IP particular somente quando os conectores de linguagem ou o proxy de autenticação não forem viáveis.

A autenticação de banco de dados do IAM é compatível com duas abordagens: autenticação individual e autenticação de grupo. A autenticação de grupo é compatível com a versão POSTGRES_15 e posteriores do banco de dados, mas não com o pool de conexões gerenciado.

Método de conexão Conexão criptografada Autenticação do IAM Autorização do IAM mTLS
Conexão direta ✅ ✅ ❌ ❌
Conectores de linguagem ou o proxy de autenticação ✅ ✅ ✅ ✅

Práticas recomendadas para conectividade segura

  • Ao criar um cluster, é preciso especificar uma interface de IP particular para que o cluster possa ser criado. Se você quiser usar o IP público, recomendamos que escolha o Private Service Connect como a interface de IP privado.
  • Use conectores de linguagem ou o proxy de autenticação para recursos de segurança, como autorização e autenticação do IAM e mTLS, mesmo que eles exijam alguma configuração. Por exemplo, essa abordagem é adequada se você quiser executar o proxy de autenticação do AlloyDB como um sidecar ou usar um conector de linguagem do AlloyDB. Se você usar conectores de linguagem ou o proxy de autenticação, sua conexão de banco de dados poderá ter um pequeno aumento na latência.
  • Use conexões diretas para ter o melhor desempenho e quando os conectores de linguagem ou o proxy de autenticação não forem viáveis. As conexões diretas são criptografadas por padrão (sslmode=require), mas não são compatíveis com certificados do cliente ou modos SSL mais avançados. Só use conexões diretas quando os conectores de linguagem ou o proxy de autenticação não puderem ser usados.

Avaliar a topologia de rede

Para a topologia de rede, recomendamos que você use o acesso a serviços particulares para conexões do AlloyDB. Use o Private Service Connect para evitar problemas de peering transitivo com várias redes VPC. O IP público é adequado para conexões de produtos que não são SaaS doGoogle Cloud , especialmente quando o IP privado é impraticável.

Topologia de rede Conexões de várias VPCs Clientes de SaaS que não são do Google Compatível com conexões locais Descrição
Acesso privado a serviços ❌ ❌ ✅ A conectividade transitiva de VPC não é compatível por padrão. É possível executar um proxy SOCKS5 manualmente para conectividade entre VPCs, mas essa abordagem é complexa.
Private Service Connect ✅ ❌ ✅ Oferece a configuração mais simples para se conectar ao AlloyDB em mais de uma rede VPC.
IP público ✅ ✅ ✅ Para evitar a identificação dos intervalos CIDR da carga de trabalho de origem para redes externas autorizadas, o IP público é melhor combinado com os conectores de linguagem ou o proxy de autenticação.

Práticas recomendadas de conectividade com base na topologia de rede

  • O padrão é o acesso a serviços particulares.
  • Ao lidar com várias redes VPC, use o Private Service Connect para evitar problemas de peering transitivo.
  • Para produtos que não são doGoogle Cloud , escolha uma topologia de rede pública ao fazer a integração com produtos de software como serviço (SaaS) que não estão hospedados no Google Cloud, especialmente se a conectividade de IP privado não for viável. O IP privado é ativado por padrão. Portanto, é necessário configurar explicitamente o IP público nesses cenários.
  • Sempre que possível, use os conectores de linguagem ou o proxy de autenticação ao usar o IP público para estabelecer uma conexão segura sem precisar configurar redes externas autorizadas.

A seguir