הפעלת גישה לשירותים פרטיים

כדי לאפשר למכונות של AlloyDB ל-PostgreSQL לתקשר באופן פרטי עם משאבים ברשת של הענן הווירטואלי הפרטי (VPC) ועם שירותים בניהול Google, אתם יכולים להקצות טווחי כתובות IP של VPC וליצור חיבור לגישה לשירותים פרטיים. במאמר מידע על גישה לשירותים פרטיים מוסבר איך AlloyDB משתמש בגישה לשירותים פרטיים כדי לאפשר למשאבים הפנימיים שלו לתקשר זה עם זה.

כדי ליצור הגדרה של גישה לשירותים פרטיים ברשת VPC שנמצאת באותו פרויקט ב-Google Cloud כמו אשכול AlloyDB, צריך לבצע שתי פעולות:

  • יוצרים טווח של כתובות IP שהוקצו ברשת ה-VPC.

  • יוצרים חיבור פרטי בין רשת ה-VPC לבין רשת ה-VPC הבסיסית של Google Cloud . אתם יכולים גם להגדיר גישה לשירותים פרטיים כדי לחבר את אשכול AlloyDB למשאבים שנמצאים בפרויקטGoogle Cloud נפרד. כדי לעשות את זה, צריך למזג את רשתות ה-VPC של שני הפרויקטים באמצעות VPC משותף.

לפני שמתחילים

  • Google Cloud לפרויקט שבו אתם משתמשים צריכה להיות גישה ל-AlloyDB.
  • בפרויקט ב- Google Cloud שבו אתם משתמשים, צריך להיות לכם אחד מתפקידי ה-IAM הבאים:
    • ‫roles/alloydb.admin (תפקיד IAM מוגדר מראש של אדמין ב-AlloyDB)
    • ‫roles/owner (תפקיד ה-IAM הבסיסי "בעלים")
    • ‫roles/editor (תפקיד העריכה הבסיסי ב-IAM)

    אם לא הוקצו לכם התפקידים האלה, פנו לאדמין הארגוני כדי לבקש גישה.

  • כדי ליצור הגדרת גישה לשירותים פרטיים, צריך גם את הרשאות ה-IAM הבאות:
    • compute.networks.list
    • compute.addresses.create
    • compute.addresses.list
    • servicenetworking.services.addPeering

יצירת טווחי כתובות IP של VPC

המסוף

  1. נכנסים לדף VPC networks.

    כניסה לדף VPC networks

  2. בוחרים את הפרויקט שבו נמצאים AlloyDB ורשת ה-VPC.

  3. לוחצים על השם של רשת ה-VPC שבה רוצים להשתמש לגישה לשירותים פרטיים.

  4. בדף פרטי רשת VPC, גוללים ברשימת הכרטיסיות עד לכרטיסייה גישה לשירותים פרטיים ולוחצים עליה.

  5. בכרטיסייה Private services access, לוחצים על הכרטיסייה Allocated IP ranges for services.

  6. לוחצים על Allocate IP range.

  7. בשדות Name ו-Description, מזינים שם ותיאור לטווח שהוקצה.

  8. מציינים ערך של טווח כתובות IP להקצאה:

    • כדי לציין טווח של כתובות IP, לוחצים על Custom ומזינים בלוק CIDR, כמו 192.168.0.0/16.

      כדי לספק מרחב כתובות מספיק ל-AlloyDB, מומלץ להשתמש באורך קידומת של 16 או פחות.

    • כדי לציין אורך קידומת ולאפשר ל-Google לבחור טווח זמין, פועלים לפי השלבים הבאים:

      1. לוחצים על אוטומטי.

      2. מזינים את אורך הקידומת כמספר פשוט, למשל 16.

  9. לוחצים על Allocate כדי ליצור את הטווח שהוקצה.

  10. בכרטיסייה Private services access, לוחצים על הכרטיסייה Private connections to services.

  11. לוחצים על Create connection כדי ליצור חיבור פרטי בין הרשת שלכם לבין הבעלים של השירות המנוהל.

  12. מוודאים ש-Google Cloud הוא הבעלים של השירות המנוהל המחובר.

  13. בשדה Assigned allocation, בוחרים את טווח כתובות ה-IP שהקציתם קודם.

  14. לוחצים על קישור כדי ליצור את הקישור.

gcloud

כדי להשתמש ב-CLI של gcloud, אתם יכולים להתקין ולהפעיל את Google Cloud CLI או להשתמש ב-Cloud Shell.

  1. משתמשים בפקודה gcloud config set כדי להגדיר את פרויקט ברירת המחדל לפרויקט שבו נמצאים AlloyDB ורשת ה-VPC.

    gcloud config set project PROJECT_ID

    מחליפים את PROJECT_ID במזהה הפרויקט שבו נמצאים AlloyDB ורשת ה-VPC.

  2. משתמשים בפקודה gcloud compute addresses create כדי ליצור טווח כתובות IP מוקצה.

    כדי לספק מספיק מרחב כתובות ל-AlloyDB, מומלץ להשתמש באורך קידומת של 16 או פחות.

    • כדי לציין טווח כתובות ואורך קידומת (מסכה של רשת משנה), משתמשים בדגלים --addresses ו---prefix-length. לדוגמה, כדי להקצות את בלוק ה-CIDR‏ 192.168.0.0/16, מציינים את הכתובת 192.168.0.0 ואת אורך הקידומת 16.

          gcloud compute addresses create RESERVED_RANGE_NAME \
        --global \
        --purpose=VPC_PEERING \
        --addresses=192.168.0.0 \
        --prefix-length=16 \
        --description="DESCRIPTION" \
        --network=VPC_NETWORK

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫RESERVED_RANGE_NAME: שם לטווח שהוקצה, למשל my-allocated-range

      • ‫DESCRIPTION: תיאור הטווח, למשל allocated for my-service

      • ‫VPC_NETWORK: השם של רשת ה-VPC, למשל my-vpc-network. אם משתמשים ברשת VPC משותפת, צריך להגדיר את הנתיב המלא של רשת ה-VPC, לדוגמה: projects/cymbal-project/global/networks/shared-vpc-network.

    • כדי לציין רק אורך קידומת (מסכה של רשת משנה), משתמשים בדגל --prefix-length. אם משמיטים את טווח הכתובות,Google Cloud בוחר באופן אוטומטי טווח כתובות שלא נמצא בשימוש ברשת ה-VPC.

      בדוגמה הבאה נבחר טווח כתובות IP שלא נמצא בשימוש, עם אורך קידומת של 16 ביטים:

          gcloud compute addresses create RESERVED_RANGE_NAME \
        --global \
        --purpose=VPC_PEERING \
        --prefix-length=16 \
        --description="DESCRIPTION" \
        --network=VPC_NETWORK

    בדוגמה הבאה נוצר חיבור פרטי ל-Google, כדי שמכונות ה-VM ברשת ה-VPC‏ default יוכלו להשתמש בגישה לשירותים פרטיים כדי להגיע לשירותי Google שתומכים בה.

        gcloud compute addresses create google-managed-services-default \
        --global \
        --purpose=VPC_PEERING \
        --prefix-length=16 \
        --description="peering range for Google" \
        --network=default

  3. משתמשים בפקודה gcloud services vpc-peerings connect כדי ליצור חיבור פרטי.

        gcloud services vpc-peerings connect \
        --service=servicenetworking.googleapis.com \
        --ranges=RESERVED_RANGE_NAME \
        --network=VPC_NETWORK

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫RESERVED_RANGE_NAME: השם של טווח כתובות ה-IP שהקציתם ויצרתם

    • ‫VPC_NETWORK: השם של רשת ה-VPC

    הפקודה מפעילה פעולה ממושכת ומחזירה את שם הפעולה.

  4. בודקים אם הפעולה הצליחה.

        gcloud services vpc-peerings operations describe \
        --name=OPERATION_NAME

    מחליפים את OPERATION_NAME בשם הפעולה שהתקבל בשלב הקודם.

המאמרים הבאים