בחירת אפשרות קישוריות

כדי לבחור את הטופולוגיה של הרשת ואת שיטת החיבור שמתאימות לעומס העבודה של AlloyDB ל-PostgreSQL, אתם יכולים להשוות בין כתובת IP פרטית (גישה לשירותים פרטיים או Private Service Connect), כתובת IP ציבורית, חיבורים ישירים, שרת ה-proxy לאימות ב-AlloyDB ומחברי השפות ל-AlloyDB:

  • איזה סוג של הגדרת רשת מתאים ל-AlloyDB.
  • איך להתחבר בצורה מאובטחת.
  • שיטות מומלצות לחיבור.
  • איך המיקום של עומס העבודה משפיע על דרישות הקישוריות.

מידע נוסף זמין בסקירה הכללית על חיבורים.

האפשרויות המומלצות להתחברות ל-AlloyDB

בטבלה הבאה מפורטות אפשרויות הקישוריות המומלצות לעומסי העבודה שלכם:

הערכת עומס העבודה

לפני שבוחרים אפשרות קישוריות, צריך להעריך את עומס העבודה. ב-AlloyDB יש תמיכה בקישוריות לסביבת עומס העבודה שלכם, במקרים הבאים:

  • ‫Cloud Run,‏ Cloud Shell ומוצרי SaaS שאינם של Google
  • פונקציות Cloud Run
  • סביבה גמישה ב-App Engine וסביבת ברירת המחדל ב-App Engine
  • ‫Google Kubernetes Engine ו-Compute Engine

  • סביבות מקומיות

    סביבת עומס העבודה כתובת IP פרטית כתובת IP ציבורית תיאור
    ישיר מחבר ישיר מחבר
    מחשב נייד של מפתח ❌️ ❌️ ✅ ✅ מומלץ להשתמש בפקודה gcloud beta alloydb connect. לחלופין, אפשר להשתמש ב-Auth Proxy עם כתובת IP ציבורית. אפשר להתחבר לכתובת IP פרטית, אבל צריך הגדרה נוספת.
    Cloud Shell ❌ ❌ ✅ ✅ מומלץ להשתמש בפקודה gcloud beta alloydb connect. לחלופין, אפשר להשתמש ב-Auth Proxy עם כתובת IP ציבורית מ-Cloud Shell. אפשר להתחבר לכתובת IP פרטית, אבל צריך הגדרה נוספת.
    ‫Cloud Run, פונקציות Cloud Run ✅ ✅ ✅ ✅ נדרש מחבר של חיבור לרשת VPC או Direct VPC egress.
    ‫App Engine Standard, ‏ Flex ✅ ✅ ✅ ✅ נדרש חיבור לרשת VPC ללא שרת.
    ‫GKE, ‏ Compute Engine ✅ ✅ ✅ ✅ מומלץ להשתמש בכתובת IP פרטית. אתם יכולים להשתמש בגישה לשירותים פרטיים כשאתם לא צריכים קישור טרנזיטיבי בין רשתות VPC שכנות (peering). אחרת, צריך להשתמש ב-Private Service Connect.
    מקומי ✅ ✅ ✅ ✅ כדי להשתמש בכתובת IP פרטית, צריך נתיב רשת מהמכונה המקומית למכונת היעד. כתובת IP ציבורית עם מחברי שפה או עם Auth Proxy היא חלופה מאובטחת שלא דורשת הגדרת רשת נרחבת.

שיטות מומלצות לקישוריות בהתאם לעומס העבודה

כשמתחברים ל-AlloyDB, צריך להביא בחשבון את הדברים הבאים בהתאם לסביבת עומס העבודה.

Cloud Shell

  • משתמשים בשרת proxy לאימות עם כתובת IP ציבורית כדי להתחבר ל-Cloud Shell. ב-Cloud Shell אי אפשר להתחבר לרשת של ענן וירטואלי פרטי (VPC). אין לו קישוריות למכונות של גישה לשירותים פרטיים או של Private Service Connect. בנוסף, ל-Cloud Shell אין כתובת IP יוצאת יציבה לשימוש ברשתות חיצוניות מורשות. אם אתם לא משתמשים ב-Auth Proxy או במחברים לשפות, אתם צריכים לאשר את כל טווחי כתובות ה-IP, לדוגמה 0.0.0.0/0. אנחנו לא ממליצים על הגישה הזו למכונות בסביבת הייצור.

‫Cloud Run ופונקציות Cloud Run

  • בכתובת IP פרטית, גם חיבורים ישירים וגם מחברי שפה או שרת ה-proxy לאימות צריכים להשתמש ב-Direct VPC egress.
  • בכתובת IP ציבורית, צריך להשתמש במחברים של שפות או ב-Auth Proxy. לחלופין, אתם יכולים לאפשר את כל טווחי כתובות ה-IP (לדוגמה, 0.0.0.0/0) ברשתות חיצוניות מורשות, אבל הגישה הזו לא מומלצת למכונות בסביבת הייצור בגלל סיכוני האבטחה.

סביבת ברירת המחדל ב-App Engine וסביבה גמישה ב-App Engine

  • להשתמש במחבר של חיבור לרשת (VPC) מאפליקציית serverless לכתובת IP פרטית, גם אם משתמשים במחבר שפה וגם אם משתמשים בשרת proxy לאימות.
  • כדי להשתמש בכתובת IP ציבורית, צריך להשתמש במחברים של שפות או ב-Auth Proxy. לחלופין, אתם יכולים לאשר את כל טווחי כתובות ה-IP (לדוגמה, 0.0.0.0/0) ברשתות חיצוניות מורשות. עם זאת, בגלל סיכוני אבטחה, אנחנו לא ממליצים על הגישה הזו למכונות בסביבת הייצור.

‫GKE ו-Compute Engine

  • כדי להתחבר ל-AlloyDB, אתם יכולים להשתמש בחיבורים ישירים, ב-Language Connectors או ב-Auth Proxy.

מקומי

  • כדי להתחבר ל-AlloyDB, אתם יכולים להשתמש בחיבורים ישירים, במחברי שפה או בשרת proxy לאימות. המחברים של השפה ואימות שרת ה-Proxy לא יוצרים נתיב רשת. מוודאים שיש נתיב רשת בין עומס העבודה לבין המכונה של AlloyDB.

חיבורים מאובטחים באמצעות שרת proxy לאימות ומחברים של AlloyDB

מחברי השפות ל-AlloyDB ו-AlloyDB Auth Proxy מספקים אמצעי אבטחה משופרים כמו אימות מסד נתונים באמצעות ניהול זהויות והרשאות גישה (IAM) ו-mTLS, אבל התכונות האלה דורשות הגדרה נוספת. חיבורים ישירים מוצפנים כברירת מחדל, אבל הם לא תומכים באישורי לקוח או במצבי SSL מתקדמים יותר – verify-ca ו-verify-full. מומלץ להשתמש במחברי שפה או בשרת proxy לאימות עם כתובת IP ציבורית, ולהשתמש בחיבורים ישירים לכתובת IP פרטית רק כשאי אפשר להשתמש במחברי שפה או בשרת proxy לאימות.

אימות מסד נתונים ב-IAM תומך בשתי גישות: אימות אישי ואימות קבוצתי. אימות קבוצתי נתמך בגרסת מסד הנתונים POSTGRES_15 ואילך, ולא תומך במאגר חיבורים מנוהל.

שיטת החיבור חיבור מוצפן אימות IAM הרשאת IAM mTLS
קישור ישיר ✅ ✅ ❌ ❌
מחברי שפה או אימות שרת proxy ✅ ✅ ✅ ✅

שיטות מומלצות לקישוריות מאובטחת

  • כשיוצרים אשכול, צריך לציין ממשק IP פרטי כדי שאפשר יהיה ליצור את האשכול. אם אתם רוצים להשתמש בכתובת IP ציבורית, מומלץ לבחור ב-Private Service Connect כממשק ה-IP הפרטי.
  • כדאי להשתמש במחברי שפה או בשרת proxy לאימות בשביל תכונות אבטחה כמו אימות והרשאה של IAM ו-mTLS, למרות שהם דורשים הגדרה מסוימת. לדוגמה, הגישה הזו מתאימה אם רוצים להריץ את שרת ה-Proxy לאימות של AlloyDB כ-sidecar או אם רוצים להשתמש במחבר שפות ל-AlloyDB. אם אתם משתמשים במחברי שפה או בשרת proxy לאימות, יכול להיות שזמן האחזור של החיבור למסד הנתונים יתארך קצת.
  • כדאי להשתמש בחיבורים ישירים כדי להשיג ביצועים אופטימליים, וכשאי אפשר להשתמש במחברי שפה או בשרת proxy לאימות. חיבורים ישירים מוצפנים כברירת מחדל (sslmode=require), אבל הם לא תומכים באישורי לקוח או במצבי SSL מתקדמים יותר. השתמשו בחיבורים ישירים רק אם אי אפשר להשתמש במחברי שפה או בשרת proxy לאימות.

הערכת הטופולוגיה של הרשת

בטופולוגיה של הרשת, מומלץ להשתמש בגישה לשירותים פרטיים לחיבורים של AlloyDB. כדי להימנע מבעיות של קישור טרנזיטיבי בין רשתות VPC שכנות, אתם יכולים להשתמש ב-Private Service Connect. כתובת IP ציבורית מתאימה לחיבורים ממוצרים שהם לאGoogle Cloud SaaS, במיוחד כשכתובת IP פרטית לא מעשית.

הטופולוגיה של הרשת חיבורים לכמה רשתות VPC לקוחות SaaS שאינם של Google תמיכה בחיבורים מקומיים תיאור
גישה לשירותים פרטיים ❌ ❌ ✅ כברירת מחדל, אין תמיכה בקישוריות VPC טרנזיטיבית. אפשר להריץ שרת proxy מסוג SOCKS5 באופן ידני כדי להתחבר בין רשתות VPC, אבל זו גישה מורכבת.
התחברות לשירות פרטי ✅ ❌ ✅ ההגדרה הכי פשוטה כשרוצים להתחבר ל-AlloyDB מיותר מרשת VPC אחת.
כתובת IP ציבורית ✅ ✅ ✅ כדי להימנע מהצורך לזהות את טווחי ה-CIDR של עומס העבודה במקור לרשתות חיצוניות מורשות, מומלץ לשלב כתובת IP ציבורית עם מחברי שפה או עם שרת Proxy לאימות.

שיטות מומלצות לקישוריות על סמך הטופולוגיה של הרשת

  • ברירת המחדל היא גישה לשירותים פרטיים.
  • כשעובדים עם כמה רשתות VPC, אפשר להשתמש ב-Private Service Connect כדי לעקוף בעיות של קישור טרנזיטיבי בין רשתות שכנות (peering).
  • במוצרים שהם לאGoogle Cloud , כדאי לבחור טופולוגיה של רשת ציבורית כשמשלבים מוצרים של תוכנה כשירות (SaaS) שלא מתארחים ב- Google Cloud, במיוחד אם אי אפשר להתחבר לכתובת IP פרטית. כתובת IP פרטית מופעלת כברירת מחדל, לכן צריך להגדיר במפורש כתובת IP ציבורית בתרחישים האלה.
  • כדי ליצור חיבור מאובטח בלי להגדיר רשתות חיצוניות מורשות, כדאי להשתמש ב-Language Connectors או ב-Auth Proxy כשמשתמשים בכתובת IP ציבורית.

המאמרים הבאים