リバース SSH トンネルを使用して接続を構成する

MySQL   |  PostgreSQL   |  PostgreSQL から AlloyDB

概要

安全なリバース SSH トンネルを介して、移行先データベースから移行元データベースへの接続を確立できます。この方法では、 プロジェクトに踏み台インスタンス VM と、移行元データベースに接続できるマシン（ネットワーク上のノートパソコンなど）が必要です。 Google Cloud

重要: 移行元が VPN（AWS の VPN や独自のオンプレミス VPN など）の内部にある場合は、移行元接続プロファイルで移行元の IP アドレスとポートではなく、VPN の IP アドレスとポートを使用する必要があります。

PostgreSQL 向けの Database Migration Service は、移行の作成時に必要な情報を収集し、すべてを設定するためのスクリプトを自動生成します。

次の図をご覧ください。

リバース SSH トンネルを設定する

移行ジョブを作成するための Database Migration Service フローで次の手順を実行して、移行元データベースと Cloud SQL インスタンスの間にリバース SSH トンネルを設定します。いくつかのパラメータを指定したら、移行元データベースとgcloud の両方に接続できるマシンで一連のコマンドを実行します。 Google Cloud

1. 移行元データベースと Cloud SQL インスタンス間の接続の確立に使用する VM インスタンスを選択します。通常、これは新しい Cloud SQL データベースにアクセスするアプリケーションが実行される VPC で実行されている VM です。VM インスタンスは SSH トンネル踏み台サーバーとして機能します。

2. この目的で既存の Compute Engine VM インスタンスを使用できます。

   1. リストから Compute Engine VM インスタンスを選択します。

   2. SSH トンネルで使用できる空きポートを指定します。

   注: リバース SSH トンネルが機能するには、ターゲット サーバーの /etc/ssh/sshd_config ファイルで `GatewayPorts` パラメータを `yes` に設定します。ファイルを更新したら、sudo systemctl restart sshd.service コマンドを使用して sshd サービスを再起動します。
   
   既存の VM の構成を変更しない場合は、 新しい VM を作成します。

3. このステップで新しい VM を作成することもできます。[CREATE A COMPUTE ENGINE VM INSTANCE] を選択すると、生成されたスクリプトに作成手順が含まれます。

   1. VM インスタンスの名前を指定します。

   2. VM のマシンタイプを選択します。

   3. VM のサブネットを指定します。

   注: スクリプトで作成された Compute Engine VM インスタンスは、Database Migration Service によって管理されません。作成された場合、組織には標準料金に基づいてインスタンスの料金が請求され、不要になった場合のインスタンスの削除など、インスタンスの管理を担当します。

4. [スクリプトを表示] をクリックして、生成されたスクリプトを表示します。

   デフォルトでは、スクリプトは Compute Engine VM サーバーのパブリック IP アドレスを生成します。IP アドレスをプライベートにする場合は、次の操作を行います。

   • gcloud compute instances create コマンドに --no-address フラグを追加して変更します。
   • gcloud compute ssh コマンドに --internal-ip フラグを追加して変更します。

   また、共有 VPC 上のサブネットに踏み台インスタンス VM を作成する場合は、生成されたスクリプトの export SUBNET_NAME コマンドを /projects/project_name/regions/region_name/subnetworks/subnetwork_name を指すように変更します。

   次に例を示します。

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name は、共有 VPC が配置されているプロジェクトの名前です。プロジェクトにはリージョンとサブネットワークがあります。region_name と subnetwork_name は、VPC プロジェクトに関連付けられているリージョンとサブネットワークの名前です。

   `pg_hba.conf` ファイルのレプリケーション接続セクション、または移行元データベースの AWS RDS セキュリティ グループ定義を更新して、 Cloud SQL VPC の IP アドレス範囲からの接続を受け入れるようにします。 pg_hba.conf

5. 移行元データベースと Compute Engine VM の両方にアクセスできるマシンでスクリプトを実行します 。このスクリプトは、次の操作を実行します。

   • Compute Engine VM を SSH トンネル踏み台サーバーとして構成します。

   • 移行元データベースと VPC の間に安全な SSH 接続を確立します。

   • 新しい Compute Engine VM を作成する場合は、スクリプトが正常に 実行されたら、スクリプトの出力から VM サーバーの IP をコピーし、指定されたテキスト フィールドに 入力します。移行ジョブをテストまたは開始すると、必要に応じて Cloud SQL インスタンスが更新されます。

6. [構成して続行] をクリックします。

7. 移行ジョブを検証して、移行元データベース インスタンスから移行先の Cloud SQL データベース インスタンスにデータが正しく移行されたことを確認します。

8. 移行元が VPN（AWS の VPN や独自のオンプレミス VPN など）の内部にある場合は、 VPN を介して VPC を接続するのセクションに進み、 移行元 VPN と Google Cloud VPN が連携するように構成する方法について確認してください。

9. 移行ジョブを構成し、接続を確認し、必要に応じて VPN を正常に構成したら、ジョブを実行できます。