リバース SSH トンネルを使用して接続を構成する

MySQL   |  PostgreSQL   |  PostgreSQL to AlloyDB

概要

安全なリバース SSH トンネルを介して、移行先の AlloyDB データベースから移行元のデータベースへの接続を確立できます。この方法では、 Google Cloud プロジェクトの踏み台インスタンスと、ソース データベースに接続できるマシン（ネットワーク上のノートパソコンなど）が必要です。

重要: 移行元が VPN（AWS や独自のオンプレミス VPN など）の内部にある場合、移行元接続プロファイルでは、移行元の IP アドレスとポートではなく、VPN の IP アドレスとポートを使用する必要があります。

Database Migration Service（PostgreSQL から AlloyDB）は、移行の作成時に必要な情報を収集し、すべてを設定するためのスクリプトを自動生成します。

次の図をご覧ください。

リバース SSH トンネルを設定する

次の手順は、移行ジョブの作成の Database Migration Service フローで実行され、移行元データベースと AlloyDB インスタンスの間にリバース SSH トンネルを設定します。パラメータを指定したら、移行元のデータベースと Google Cloudの両方に接続できるマシンで一連の gcloud コマンドを実行します。

1. 移行元データベースと AlloyDB インスタンス間の接続の確立に使用する VM インスタンスを選択します。通常、これは新しい AlloyDB データベースにアクセスするアプリケーションが実行されている VPC で実行されている VM です。VM インスタンスは SSH トンネルの踏み台サーバーとして機能します。

2. この目的には、既存の Compute Engine VM インスタンスを使用できます。

   1. リストから Compute Engine VM インスタンスを選択します。

   2. SSH トンネルで使用できる空きポートを指定します。

   注: リバース SSH トンネルを機能させるには、ターゲット サーバーの /etc/ssh/sshd_config ファイルで `GatewayPorts` パラメータを `yes` に設定します。ファイルを更新したら、sudo systemctl restart sshd.service コマンドを使用して sshd サービスを再起動します。
   
   既存の VM の構成を変更しない場合は、新しい VM を作成します。

3. この手順で新しい VM を作成することもできます。CREATE A COMPUTE ENGINE VM INSTANCE を選択すると、生成されたスクリプトに作成手順が含まれます。

   1. VM インスタンスの名前を指定します。

   2. VM のマシンタイプを選択します。

   3. VM のサブネットを指定する

   注: スクリプトで作成された Compute Engine VM インスタンスは、Database Migration Service によって管理されません。作成された場合、組織には標準料金に基づいてインスタンスの料金が請求され、不要になった場合のインスタンスの削除など、インスタンスの管理はお客様の責任となります。

4. [スクリプトを表示] をクリックして、生成されたスクリプトを表示します。

   デフォルトでは、スクリプトは Compute Engine VM サーバーのパブリック IP アドレスを生成します。IP アドレスをプライベートにする場合は、次の操作を行います。

   • --no-address フラグを追加して、gcloud compute instances create コマンドを変更します。
   • --internal-ip フラグを追加して、gcloud compute ssh コマンドを変更します。

   また、共有 VPC のサブネットに踏み台インスタンス VM を作成する場合は、生成されたスクリプトの export SUBNET_NAME コマンドを変更して /projects/project_name/regions/region_name/subnetworks/subnetwork_name を指すようにします。

   次に例を示します。

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name は、共有 VPC が配置されているプロジェクトの名前です。プロジェクトにはリージョンとサブネットワークがあります。region_name と subnetwork_name は、VPC プロジェクトに関連付けられているリージョンとサブネットワークの名前です。

   移行元データベースの pg_hba.conf ファイルのレプリケーション接続セクション、または AWS RDS セキュリティ グループ定義を更新して、AlloyDB VPC の IP アドレス範囲からの接続を受け入れるようにします。

5. ソース データベースと Compute Engine VM の両方にアクセスできるマシンでスクリプトを実行します。このスクリプトは、次のオペレーションを実行します。

   • Compute Engine VM を SSH トンネル踏み台サーバーとして構成します。

   • ソース データベースと VPC の間に安全な SSH 接続を確立します。

   • 新しい Compute Engine VM を作成する場合は、スクリプトが正常に実行されたら、スクリプトの出力から VM サーバーの IP をコピーし、指定されたテキスト フィールドに入力します。AlloyDB インスタンスは、後で移行ジョブをテストまたは開始するときに必要に応じて更新されます。

6. [構成して続行] をクリックします。

7. 移行ジョブを検証して、移行元のデータベース インスタンスから移行先の AlloyDB データベース インスタンスにデータが正しく移行されたことを確認します。

8. 移行元が VPN（AWS の VPN や独自のオンプレミス VPN など）の内部にある場合は、 VPN を介して VPC を接続するセクションに進み、移行元 VPN と Google Cloud VPN が協調するように構成する方法について確認してください。

9. 移行ジョブを構成し、接続を確認し、必要に応じて VPN を正常に構成したら、ジョブを実行できます。