Présentation des adresses IP privées

Pour conserver le trafic de votre base de données au sein d'un réseau privé et réduire votre surface d'attaque, vous pouvez vous connecter à vos instances AlloyDB pour PostgreSQL à l'aide d'adresses IP privées. Comme les adresses IP privées sont internes à votre réseau et inaccessibles depuis l'Internet public, elles limitent l'accès réseau aux points de terminaison privés autorisés.

Méthodes de connectivité IP privée

Pour accéder à vos instances AlloyDB à l'aide d'une adresse IP privée, vous pouvez choisir l'accès aux services privés ou Private Service Connect. Chaque méthode de connexion offrant des avantages et des inconvénients distincts, utilisez les informations de ce document pour choisir l'approche la mieux adaptée à vos besoins spécifiques.

Accès aux services privés

L'accès aux services privés est mis en œuvre sous la forme d'une connexion d'appairage de cloud privé virtuel (VPC) entre votre réseau VPC et le réseau VPC Google Cloud sous-jacent où réside votre instance AlloyDB pour PostgreSQL. La connexion privée permet aux instances de VM de votre réseau VPC de communiquer avec les services auxquels vous accédez exclusivement à l'aide d'adresses IP internes. Les instances de VM n'ont pas besoin d'accès à Internet ni d'adresses IP externes pour accéder aux services disponibles via l'accès aux services privés.

Pour automatiser la configuration des clusters AlloyDB avec l'accès aux services privés à l'aide de Terraform, consultez Déployer AlloyDB à l'aide de Terraform.

Pour en savoir plus sur l'utilisation de l'accès aux services privés pour la connectivité, consultez Présentation de l'accès aux services privés.

Private Service Connect

Private Service Connect vous permet de créer des connexions privées et sécurisées entre vos réseaux VPC et un service Google Cloud , tel qu'AlloyDB pour PostgreSQL. Vous pouvez vous connecter à votre instance AlloyDB à partir de plusieurs réseaux VPC appartenant à différents groupes, équipes, projets ou organisations. Lorsque vous créez un cluster AlloyDB, vous pouvez l'activer pour qu'il soit compatible avec Private Service Connect. Lorsque vous créez une instance AlloyDB dans le cluster, vous spécifiez les projets de votre réseau VPC qui peuvent y accéder.

Pour en savoir plus sur l'utilisation de Private Service Connect, consultez la présentation de Private Service Connect et la vidéo Qu'est-ce que Private Service Connect ?.

Choisir entre les méthodes à utiliser

Avant de décider d'utiliser l'accès aux services privés ou Private Service Connect comme méthode de connexion, tenez compte de la comparaison suivante :

Accès aux services privés Private Service Connect
Nécessite la réservation d'une plage CIDR (/24 au minimum) à partir du réseau VPC client. Une plage d'adresses IP est réservée, qu'elles soient utilisées ou non, ce qui verrouille toutes les adresses IP de la plage. Nécessite une seule adresse IP pour créer une règle de transfert au niveau du point de terminaison par réseau VPC.
Accepte uniquement les connexions provenant de clients situés dans les plages d'adresses IP RFC 1918 (10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16). Si vous avez besoin d'une connectivité à partir de clients situés en dehors des plages RFC 1918, utilisez Private Service Connect. Les plages RFC 1918 et non-RFC 1918 peuvent être utilisées pour les points de terminaison.
Se connecte aux projets du même réseau VPC. Se connecte à plusieurs réseaux VPC ou projets.
Idéal pour les scénarios à petite échelle avec un seul VPC. Idéal pour les configurations multi-VPC à grande échelle.
Coût minimal, car vous utilisez l'appairage de VPC existant inclus dans votre projet. Coût plus élevé que l'accès aux services privés en raison des coûts par point de terminaison et par heure, et du transfert de données par Gio.
Moins isolé que Private Service Connect en raison de l'appairage de réseaux VPC. Plus isolé en raison de la séparation des réseaux VPC du client et du producteur.
Les connexions sont bidirectionnelles, ce qui permet le trafic entrant et sortant. Par défaut, les connexions sont unidirectionnelles et n'autorisent que les connexions entrantes. Une configuration supplémentaire est requise pour les connexions sortantes.

Étapes suivantes