リバース SSH トンネルを使用して接続を構成する

安全なリバース SSH トンネルを介して、移行先データベースから移行元データベースへの接続を確立できます。この方法では、 プロジェクトに Google Cloud 踏み台インスタンスと、移行元データベースに接続できるマシン（ネットワーク上のノートパソコンなど）が必要です。

重要: 移行元が VPN 内にある場合（AWS 内や独自のオンプレミス VPN など）、移行元接続プロファイルでは、移行元の IP アドレスとポートではなく、VPN の IP アドレスとポートを使用する必要があります。

Database Migration Service は、移行の作成時に必要な情報を収集し、すべてを設定するスクリプトを自動生成します。

図 1.移行ネットワーキングの例: SSH トンネル経由の移行元接続。（クリックして拡大）

リバース SSH トンネルを設定する

移行ジョブを作成するための Database Migration Service フローで次の手順を実行して、移行元 データベースと Cloud SQL インスタンスの間にリバース SSH トンネルを設定します。パラメータを指定したら、移行元データベースと Google Cloudの両方に接続できるマシンで一連の gcloud コマンドを実行します。

1. 移行元データベースと Cloud SQL インスタンス間の接続を確立するために使用する VM インスタンスを選択します。通常、これは新しい Cloud SQL データベースにアクセスするアプリケーションが実行される VPC で実行されている VM です。VM インスタンスは SSH トンネル踏み台サーバーとして機能します。

2. この目的には、既存の Compute Engine VM インスタンスを使用できます。

   1. リストから Compute Engine VM インスタンスを選択します。

   2. SSH トンネルで使用できる空きポートを指定します。

   注: リバース SSH トンネルが機能するには、ターゲット サーバーの /etc/ssh/sshd_config ファイルで `GatewayPorts` パラメータを `yes` に設定します。ファイルを更新したら、sudo systemctl restart sshd.service コマンドを使用して sshd サービスを再起動します。
   
   既存の VM の構成を変更しない場合は、 新しい VM を作成します。

3. この手順で新しい VM を作成することもできます。[CREATE A COMPUTE ENGINE VM INSTANCE] を選択すると、生成されたスクリプトに作成手順が含まれます。

   1. VM インスタンスの名前を指定します。

   2. VM のマシンタイプを選択します。

   3. VM のサブネットを指定します。

   注: スクリプトで作成された Compute Engine VM インスタンスは、Database Migration Service によって管理されません。作成された場合、組織には標準料金に基づいてインスタンスの料金が請求され、不要になった場合のインスタンスの削除など、インスタンスの管理を行う必要があります。

4. [スクリプトを表示] をクリックして、生成されたスクリプトを表示します。

   デフォルトでは、スクリプトは Compute Engine VM サーバーのパブリック IP アドレスを生成します。IP アドレスをプライベートにする場合は、次の操作を行います。

   • gcloud compute instances create コマンドを変更して、 --no-address フラグを追加します。
   • --internal-ip フラグを追加して、gcloud compute ssh コマンドを変更します。

   また、共有 VPC 上のサブネットに踏み台インスタンス VM を作成する場合は、生成されたスクリプトの export SUBNET_NAME コマンドを /projects/project_name/regions/region_name/subnetworks/subnetwork_name を指すように変更します。

   次に例を示します。

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name は、共有 VPC が配置されているプロジェクトの名前です。プロジェクトにはリージョンとサブネットワークがあります。region_name と subnetwork_name は、VPC プロジェクトに関連付けられているリージョンとサブネットワークの名前です。

5. 移行元データベースと Compute Engine VM の両方にアクセスできるマシンでスクリプトを実行します 。このスクリプトは、次の操作を実行します。

   • Compute Engine VM を SSH トンネル踏み台サーバーとして構成します。

   • 移行元データベースと VPC の間に安全な SSH 接続を確立します。

   • 新しい Compute Engine VM を作成する場合は、スクリプトの実行が完了したら、スクリプト出力から VM サーバーの IP をコピーして、表示されたテキスト フィールドに入力します。移行ジョブをテストまたは開始すると、必要に応じて Cloud SQL インスタンスが更新されます。

6. [構成して続行] をクリックします。

7. 移行ジョブを確認して、移行元データベース インスタンスから移行先 Cloud SQL データベース インスタンスにデータが正しく移行されたことを確認します。

8. ネットワーク アーキテクチャによっては、システムに追加の VPN ゲートウェイを設定する必要があります。詳細については、Cloud VPN のドキュメントの 次のページ Google Cloud と AWS の間に HA VPN 接続を作成する または Google Cloud と Azure の間に HA VPN 接続を作成する をご覧ください。

9. 移行ジョブが構成され、接続性が確認され、必要に応じて VPN が正常に構成されたら、ジョブを実行できます。