Zugriff auf private Dienste aktivieren

Auf dieser Seite erfahren Sie, wie Sie die VPC-IP-Adressbereiche (Virtual Private Cloud) erstellen, die AlloyDB für PostgreSQL für den Zugriff auf private Dienste benötigt. Eine Übersicht darüber, wie AlloyDB den Zugriff auf private Dienste verwendet, damit die internen Ressourcen miteinander kommunizieren können, finden Sie unter Zugriff auf private Dienste.

Wenn Sie eine Konfiguration für den Zugriff auf private Dienste in einem VPC-Netzwerk (Virtual Private Cloud) erstellen möchten, das sich im selben Google Cloud Projekt wie Ihr AlloyDB-Cluster befindet, führen Sie zwei Vorgänge aus:

  • Erstellen Sie einen zugewiesenen IP-Adressbereich im VPC-Netzwerk.

  • Erstellen Sie eine private Verbindung zwischen dem VPC-Netzwerk und dem zugrunde liegenden Google Cloud VPC-Netzwerk. Sie können den Zugriff auf private Dienste auch so konfigurieren, dass Ihr AlloyDB-Cluster mit Ressourcen in einem separaten Google Cloud Projekt verbunden wird. Dazu müssen Sie die VPC-Netzwerke der beiden Projekte mit der gemeinsam genutzten VPCzusammenführen.

Hinweis

  • Das Projekt von Google Cloud , das Sie verwenden, muss für den Zugriff auf AlloyDB aktiviert sein.
  • Sie benötigen eine der folgenden IAM-Rollen im Projekt von Google Cloud , das Sie verwenden:
    • roles/alloydb.admin (die vordefinierte IAM-Rolle „AlloyDB Admin“)
    • roles/owner (einfache IAM-Rolle „Inhaber“)
    • roles/editor (einfache IAM-Rolle „Bearbeiter“)

    Wenn Sie keine dieser Rollen haben, wenden Sie sich an den Organisationsadministrator, um Zugriff anzufordern.

  • Um eine Konfiguration für den Zugriff auf private Dienste zu erstellen, benötigen Sie außerdem die folgenden IAM-Berechtigungen:
    • compute.networks.list
    • compute.addresses.create
    • compute.addresses.list
    • servicenetworking.services.addPeering

VPC-IP-Adressbereiche erstellen

Console

  1. Rufen Sie die Seite "VPC-Netzwerke" auf.

    Zur Seite VPC-Netzwerke

  2. Wählen Sie das Projekt aus, in dem sich AlloyDB und das VPC-Netzwerk befinden.

  3. Klicken Sie auf den Namen des VPC-Netzwerk, das Sie für den Zugriff auf private Dienste verwenden möchten.

  4. Scrollen Sie auf der Seite VPC-Netzwerkdetails in der Liste der Tabs zum Tab Zugriff auf private Dienste und klicken Sie darauf.

  5. Klicken Sie auf dem Tab Zugriff auf private Dienste auf den Tab Diensten zugewiesene IP-Bereiche.

  6. Klicken Sie auf IP-Bereich zuweisen.

  7. Geben Sie in den Feldern Name und Beschreibung einen Namen und eine Beschreibung für den zugewiesenen Bereich ein.

  8. Geben Sie einen Wert für IP-Bereich für die Zuweisung an:

    • Wenn Sie einen IP-Adressbereich angeben möchten, klicken Sie auf Benutzerdefiniert und geben Sie einen CIDR Block ein, z. B. 192.168.0.0/16.

      Um ausreichend Adressraum für AlloyDB bereitzustellen, empfehlen wir eine Präfixlänge von 16 oder weniger.

    • Wenn Sie eine Präfixlänge angeben möchten und Google einen verfügbaren Bereich auswählen soll, gehen Sie so vor:

      1. Klicken Sie auf Automatisch.

      2. Geben Sie eine Präfixlänge als einfache Zahl ein, z. B. 16.

  9. Klicken Sie auf Zuweisen , um den zugewiesenen Bereich zu erstellen.

  10. Klicken Sie auf dem Tab Zugriff auf private Dienste auf den Tab Private Verbindungen zu Diensten.

  11. Klicken Sie auf Verbindung erstellen , um eine private Verbindung zwischen Ihrem Netzwerk und einem Dienstersteller herzustellen.

  12. Prüfen Sie, ob Google Cloud Platform der verbundene Dienstersteller ist.

  13. Wählen Sie unter Zugewiesene Bereiche den zugewiesenen IP-Bereich aus, den Sie zuvor erstellt haben.

  14. Klicken Sie auf Verbinden , um die Verbindung zu erstellen.

gcloud

Wenn Sie die gcloud CLI verwenden möchten, können Sie die Google Cloud CLI installieren und initialisieren oder Sie können Cloud Shell verwenden.

  1. Verwenden Sie den gcloud config set Befehl, um das Standardprojekt auf das Projekt festzulegen, in dem sich AlloyDB und das VPC Netzwerk befinden.

    gcloud config set project PROJECT_ID

    Ersetzen Sie PROJECT_ID durch die ID des Projekts, in dem sich AlloyDB und das VPC-Netzwerk befinden.

  2. Verwenden Sie den gcloud compute addresses create Befehl, um einen zugewiesenen IP Adressbereich zu erstellen.

    Um ausreichend Adressraum für AlloyDB bereitzustellen, empfehlen wir eine Präfixlänge von 16 oder weniger.

    • Legen Sie einen Adressbereich und eine Präfixlänge (Subnetzmaske) mit den Flags --addresses und --prefix-length fest. Wenn Sie beispielsweise den CIDR Block 192.168.0.0/16 zuordnen möchten, geben Sie 192.168.0.0 für die Adresse und 16 für die Präfixlänge an.

          gcloud compute addresses create RESERVED_RANGE_NAME \
        --global \
        --purpose=VPC_PEERING \
        --addresses=192.168.0.0 \
        --prefix-length=16 \
        --description="DESCRIPTION" \
        --network=VPC_NETWORK

      Ersetzen Sie Folgendes:

      • RESERVED_RANGE_NAME: ein Name für den zugewiesenen Bereich, z. B. my-allocated-range

      • DESCRIPTION: eine Beschreibung für den Bereich, z. B. allocated for my-service

      • VPC_NETWORK: der Name Ihres VPC-Netzwerks, z. B. my-vpc-network. Bei einem freigegebene VPC-Netzwerk legen Sie den voll qualifizierten Pfad des VPC-Netzwerks fest, z. B. projects/cymbal-project/global/networks/shared-vpc-network.

    • Wenn Sie nur eine Präfixlänge (Subnetzmaske) angeben möchten, verwenden Sie das Flag --prefix-length. Wenn Sie den Adressbereich weglassen, Google Cloud wählt automatisch einen nicht verwendeten Adressbereich in Ihrem VPC-Netzwerk aus.

      Im folgenden Beispiel wird ein nicht verwendeter IP-Adressbereich mit einer Präfixlänge von 16 Bit ausgewählt:

          gcloud compute addresses create RESERVED_RANGE_NAME \
        --global \
        --purpose=VPC_PEERING \
        --prefix-length=16 \
        --description="DESCRIPTION" \
        --network=VPC_NETWORK

    Im folgenden Beispiel wird eine private Verbindung zu Google erstellt, damit die VM Instanzen im default VPC-Netzwerk den Zugriff auf private Dienste verwenden können, um die Google-Dienste zu erreichen, die sie unterstützen.

        gcloud compute addresses create google-managed-services-default \
        --global \
        --purpose=VPC_PEERING \
        --prefix-length=16 \
        --description="peering range for Google" \
        --network=default

  3. Verwenden Sie den gcloud services vpc-peerings connect Befehl, um eine private Verbindung zu erstellen.

        gcloud services vpc-peerings connect \
        --service=servicenetworking.googleapis.com \
        --ranges=RESERVED_RANGE_NAME \
        --network=VPC_NETWORK

    Ersetzen Sie Folgendes:

    • RESERVED_RANGE_NAME: der Name des zugewiesenen IP-Adressbereichs, den Sie erstellt haben

    • VPC_NETWORK: der Name Ihres VPC-Netzwerks

    Der Befehl initiiert einen Vorgang mit langer Ausführungszeit und erstellt einen Vorgangsnamen.

  4. Prüfen Sie, ob der Vorgang erfolgreich war.

        gcloud services vpc-peerings operations describe
    --name=OPERATION_NAME

    Ersetzen Sie OPERATION_NAME durch den Vorgangsnamen, der im vorherigen Schritt zurückgegeben wurde.

Weitere Informationen