Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

プライベートエンドポイントを介してリージョンとマルチリージョンの Google API にアクセスする

このドキュメントでは、Private Service Connect エンドポイントを使用して、サポートされている Google API のリージョンエンドポイントとマルチリージョンエンドポイントに接続する方法について説明します。

他の Private Service Connect 構成については、Private Service Connect をご覧ください。

必要なロール

接続するサブネットと同じプロジェクトにエンドポイントを作成する場合は、プロジェクトに必要なロールをご覧ください。

共有 VPC を使用していて、サービスプロジェクトでエンドポイントを作成し、ホストプロジェクトのサブネットに接続する場合は、次のロールが必要です。

サービスプロジェクトに付与されたプロジェクトに必要なロール
ホストプロジェクトに付与された共有 VPC 構成に必要な追加のロール

プロジェクトに必要なロール

リージョンエンドポイントにアクセスする Private Service Connect エンドポイントの管理に必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

エンドポイントを作成、表示、削除する: プロジェクトに対する Compute ネットワーク管理者（roles/compute.networkAdmin）
エンドポイントの DNS エントリを構成する: プロジェクトに対する DNS 管理者（roles/dns.admin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

共有 VPC 構成に必要な追加のロール

ホストプロジェクトのサブネットの IP アドレスを使用するサービスプロジェクトにエンドポイントを作成する場合は、プロジェクトのロール（サービスプロジェクト）に加えて、次の権限が必要です。

ユーザーとネットワーク接続サービスアカウントの両方に、ホストプロジェクトに対する権限が必要です。

ユーザーアカウントに付与するロール

Google API のリージョンエンドポイントにアクセスする Private Service Connect エンドポイントの管理に必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

ホストプロジェクトの IP アドレスを使用するエンドポイントを作成、表示、削除する:
- サービスプロジェクトに対する Compute ネットワーク管理者（roles/compute.networkAdmin）
- ホストプロジェクトに対する Compute ネットワークユーザー（roles/compute.networkUser）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

これらの事前定義ロールには、Google API のリージョンエンドポイントにアクセスする Private Service Connect エンドポイントの管理に必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

Google API のリージョンエンドポイントにアクセスする Private Service Connect エンドポイントを管理するには、次の権限が必要です。

ホストプロジェクトの IP アドレスを使用するエンドポイントを作成、表示、削除する:
- ホストプロジェクトに対する compute.networks.use
- ホストプロジェクトに対する compute.subnetworks.use

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

ネットワーク接続サービスアカウントに付与するロール

service-PROJECT_NUMBER@gcp-sa-networkconnectivity.iam.gserviceaccount.com に、Google API のリージョンエンドポイントにアクセスする Private Service Connect エンドポイントを管理するために必要な権限があることを確認するには、service-PROJECT_NUMBER@gcp-sa-networkconnectivity.iam.gserviceaccount.com に次の IAM ロールを付与するよう管理者に依頼してください。

重要: これらのロールは、ユーザーアカウントではなく service-PROJECT_NUMBER@gcp-sa-networkconnectivity.iam.gserviceaccount.com に付与する必要があります。正しいプリンシパルにロールを付与しないと、権限エラーが発生する可能性があります。

ホストプロジェクトの IP アドレスを使用するエンドポイントを作成、表示、削除する: ホストプロジェクトに対する Compute ネットワークユーザー（roles/compute.networkUser）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限

Google API のリージョンエンドポイントにアクセスする Private Service Connect エンドポイントを管理するには、次の権限が必要です。

ホストプロジェクトの IP アドレスを使用するエンドポイントを作成、表示、削除する:
- ホストプロジェクトに対する compute.networks.get
- ホストプロジェクトに対する compute.networks.use
- ホストプロジェクトに対する compute.subnetworks.get
- ホストプロジェクトに対する compute.subnetworks.use

管理者は、カスタムロールや他の事前定義ロールを使用して、service-PROJECT_NUMBER@gcp-sa-networkconnectivity.iam.gserviceaccount.com にこれらの権限を付与することもできます。

始める前に

Google Cloud CLI をインストールします。インストール後、次のコマンドを実行して Google Cloud CLI を初期化します。
```
$ gcloud init
```
外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

注: すでに gcloud CLI をインストールしている場合は、gcloud components update を実行して、最新バージョンがインストールされていることを確認してください。
Compute Engine、Network Connectivity Center、Cloud DNS の各 API を有効にします。
API を有効にするために必要なロール
API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法をご覧ください。
API を有効にする
Private Service Connect エンドポイントを介してアクセスするターゲットサービスの API を有効にします。たとえば、spanner.me-central2.rep.googleapis.com にアクセスする場合は、Cloud Spanner API を有効にします。Private Service Connect では、API は自動的に有効になりません。
下り（外向き）ファイアウォールルールでエンドポイントへのトラフィックが許可されていることを確認します。VPC ネットワークのデフォルトのファイアウォール構成には暗黙の下り（外向き）許可ルールが含まれ、このトラフィックが許可されます。トラフィックをブロックする優先度の高い下り（外向き）ルールがないことを確認します。

リージョン Private Service Connect エンドポイントを作成する

リージョン Private Service Connect エンドポイントを作成して、ターゲット Google API のリージョンエンドポイントまたはマルチリージョンエンドポイントにリクエストを送信できます。

サポートされているリージョンエンドポイントとマルチリージョンエンドポイントの一覧については、リージョンサービスエンドポイントをご覧ください。

コンソール

Google Cloud コンソールで、[Private Service Connect] ページに移動します。

[Private Service Connect] に移動
[エンドポイントを接続] をクリックします。
[ターゲット] で [Google API] を選択します。
[範囲] リストで、[リージョン] を選択します。
[リージョン] リストで、使用するリージョンを選択します。
[ターゲットサービス] リストで、アクセスするサービスを選択します。
[エンドポイント名] にエンドポイントの名前を入力します。
[ネットワーク] で、ネットワークを選択します。
[サブネットワーク] で、サブネットワークを選択します。
[IP アドレス] で、次のいずれかを行い、IP アドレスを構成します。
- [自動割り当て] を選択して、新しい静的 IP アドレスを自動的に割り当てて予約します。
- リストから静的 IP アドレスを選択します。
- [IP アドレスを作成] をクリックして、新しい静的 IP アドレスを予約します。
省略可: VPC ネットワーク内のすべてのリージョンからエンドポイントを利用できるようにするには、[グローバルアクセスを有効にする] を選択します。
[エンドポイントを追加] をクリックします。

gcloud

gcloud network-connectivity regional-endpoints create コマンドを使用して、エンドポイントを作成します。

gcloud network-connectivity regional-endpoints create ENDPOINT_NAME \
    --region=REGION \
    --address=ADDRESS \
    --network=projects/PROJECT_ID/global/networks/NETWORK_NAME \
    --subnetwork=projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
    --target-google-api=REP_DNS_NAME

エンドポイントを他のリージョンのリソースで使用できるようにするには、--enable-global-access フラグを追加します。

次のように置き換えます。

ENDPOINT_NAME: エンドポイントの名前。
REGION: エンドポイントを作成するリージョン。
ADDRESS: エンドポイントに使用する IPv4 アドレスまたは /96 IPv6 アドレス。省略すると、サブネットワークの IPv4 アドレスが割り振られます。次のいずれかの形式で指定してください。
- IPv4 アドレス（例: 10.0.0.2）。
- IPv4 または IPv6 アドレスリソースの URI（例: projects/PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME）。
PROJECT_ID: エンドポイントを作成するプロジェクト。
NETWORK_NAME: エンドポイントの VPC ネットワークの名前。
SUBNET_NAME: エンドポイントを接続するサブネット。
REP_DNS_NAME: 接続するリージョンサービスエンドポイントまたはマルチリージョンエンドポイントのホスト名。たとえば、spanner.me-central2.rep.googleapis.com（リージョン）または storage.us.rep.googleapis.com（マルチリージョン）。

API

projects.locations.regionalEndpoints.create メソッドを使用してエンドポイントを作成します。

HTTP メソッドと URL:

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/regionalEndpoints?regionalEndpointId=ENDPOINT_NAME

  {
    "accessType": "REGIONAL",
    "address": "ADDRESS",
    "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
    "subnetwork": "projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
    "targetGoogleApi": "REP_DNS_NAME"
  }

次のように置き換えます。

PROJECT_ID: エンドポイントのプロジェクト ID。
REGION: エンドポイントを作成するリージョン。
ENDPOINT_NAME: エンドポイントの名前。
ADDRESS: エンドポイントに使用する IPv4 アドレスまたは /96 IPv6 アドレス。省略すると、サブネットワークの IPv4 アドレスが割り振られます。次のいずれかの形式で指定してください。
- IPv4 アドレス（例: 10.0.0.2）。
- IPv4 または IPv6 アドレスリソースの URI（例: projects/PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME）。
NETWORK_NAME: エンドポイントの VPC ネットワークの名前。
SUBNET_NAME: エンドポイントを接続するサブネットの名前。
REP_DNS_NAME: 接続するリージョンサービスエンドポイントまたはマルチリージョンエンドポイントのホスト名。たとえば、spanner.me-central2.rep.googleapis.com（リージョン）または storage.us.rep.googleapis.com（マルチリージョン）。

共有 VPC サービスプロジェクトにリージョン Private Service Connect エンドポイントを作成する

共有 VPC を使用している場合は、ホストプロジェクトのサブネットの IP アドレスを使用するサービスプロジェクトにエンドポイントを作成できます。 Google Cloud コンソールを使用してこの構成を作成することはできません。gcloud CLI または API を使用する必要があります。

gcloud

gcloud compute addresses create コマンドを使用して、リージョンエンドポイントで使用する静的 IP アドレスを予約します。静的 IP アドレスの使用は、IPv4 では省略可能ですが、IPv6 では必須です。

サービスプロジェクトにアドレスリソースを作成し、ホストプロジェクトのサブネットを指定します。
```
gcloud compute addresses create ADDRESS_NAME \
    --region=REGION \
    --subnet=projects/HOST_PROJECT/regions/REGION/subnetworks/HOST_SUBNET \
    --ip-version=IP_VERSION \
    --project=SERVICE_PROJECT
```
次のように置き換えます。
- ADDRESS_NAME: 予約済みの IP アドレスに割り当てる名前。
- REGION: エンドポイントの IP アドレスのリージョン。これは、サービスプロデューサーのサービスアタッチメントが含まれているのと同じリージョンに存在している必要があります。
- HOST_PROJECT: ホストプロジェクトのプロジェクト ID。
- HOST_SUBNET: エンドポイント IP アドレスのサブネットの名前。
- IP_VERSION: IP アドレスの IP バージョン。IPV4 または IPV6 のいずれかです。デフォルトは IPV4 です。IPV6 を指定するには、内部 IPv6 アドレス範囲を持つサブネットに IP アドレスが接続されている必要があります。
- SERVICE_PROJECT: サービスプロジェクトのプロジェクト ID
gcloud network-connectivity regional-endpoints create コマンドを使用して、サービスプロジェクトにリージョンエンドポイントを作成します。
```
gcloud network-connectivity regional-endpoints create ENDPOINT_NAME \
    --region=REGION \
    --address=ADDRESS \
    --network=projects/HOST_PROJECT/global/networks/HOST_NETWORK \
    --subnetwork=projects/HOST_PROJECT/regions/REGION/subnetworks/HOST_SUBNET \
    --target-google-api=REP_DNS_NAME \
    --project=SERVICE_PROJECT
    
```
エンドポイントを他のリージョンのリソースで使用できるようにするには、--enable-global-access フラグを追加します。

次のように置き換えます。
- ENDPOINT_NAME: エンドポイントの名前。
- REGION: エンドポイントを作成するリージョン。
- ADDRESS: エンドポイントに使用する IPv4 アドレスまたは /96 IPv6 アドレス。省略すると、サブネットワークの IPv4 アドレスが割り振られます。次のいずれかの形式で指定してください。
  - IPv4 アドレス（例: 10.0.0.2）。
  - IPv4 または IPv6 アドレスリソースの URI。アドレスリソースは、ホストプロジェクトではなくサービスプロジェクトに作成する必要があります。例: projects/SERVICE_PROJECT/regions/REGION/addresses/ADDRESS_NAME
  - HOST_PROJECT: ホストプロジェクトの ID。
- HOST_NETWORK: ホストプロジェクトの VPC ネットワークの名前。
- HOST_SUBNET: エンドポイントを接続するホストプロジェクトのサブネット。
- REP_DNS_NAME: 接続するリージョンサービスエンドポイントまたはマルチリージョンエンドポイントのホスト名。たとえば、spanner.me-central2.rep.googleapis.com（リージョン）または storage.us.rep.googleapis.com（マルチリージョン）。
- SERVICE_PROJECT: サービスプロジェクトのプロジェクト ID

API

リージョンエンドポイントに使用する静的 IP アドレスを予約します。静的 IP アドレスの使用は、IPv4 では任意ですが、IPv6 では必須です。

サービスプロジェクトにアドレスリソースを作成し、ホストプロジェクトのサブネットを指定します。
```
POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT/regions/REGION/addresses
```
```
{
    "name": "ADDRESS_NAME",
    "addressType": "INTERNAL",
    "subnetwork": "projects/HOST_PROJECT/regions/REGION/subnetworks/HOST_SUBNET",
    "ipVersion": "IP_VERSION"
}
```
次のように置き換えます。
- SERVICE_PROJECT: サービスプロジェクトの ID。
- REGION: エンドポイントのリージョン。これは、接続するリージョンエンドポイントと同じリージョンにする必要があります。
- ADDRESS_NAME: 静的 IP アドレスに割り当てる名前。
- HOST_PROJECT: ホストプロジェクトの ID。
- HOST_SUBNET: IP アドレスを予約する共有 VPC ネットワーク内のサブネット。
- IP_VERSION: IP アドレスの IP バージョン。IPV4 または IPV6 のいずれかです。デフォルトは IPV4 です。IPV6 を指定するには、内部 IPv6 アドレス範囲を持つサブネットに IP アドレスが接続されている必要があります。
projects.locations.regionalEndpoints.create メソッドを使用して、Private Service Connect エンドポイントを作成します。

HTTP メソッドと URL:
```
POST https://networkconnectivity.googleapis.com/v1/projects/SERVICE_PROJECT/locations/REGION/regionalEndpoints?regionalEndpointId=ENDPOINT_NAME
```
```
{
  "accessType": "REGIONAL",
  "address": "ADDRESS",
  "network": "projects/HOST_PROJECT/global/networks/HOST_NETWORK",
  "subnetwork": "projects/HOST_PROJECT/regions/REGION/subnetworks/HOST_SUBNET",
  "targetGoogleApi": "REP_DNS_NAME"
}
```
次のように置き換えます。
- SERVICE_PROJECT: サービスプロジェクトの ID。
- REGION: エンドポイントを作成するリージョン。
- ENDPOINT_NAME: エンドポイントの名前。
- ADDRESS: エンドポイントに使用する IPv4 アドレスまたは /96 IPv6 アドレス。省略すると、サブネットワークの IPv4 アドレスが割り振られます。次のいずれかの形式で指定してください。
  - IPv4 アドレス（例: 10.0.0.2）。
  - IPv4 または IPv6 アドレスリソースの URI（例: projects/SERVICE_PROJECT/regions/REGION/addresses/ADDRESS_NAME）。
- HOST_PROJECT: ホストプロジェクトの ID。
- HOST_NETWORK: ホストプロジェクト内のネットワークの名前。
- HOST_SUBNET: エンドポイントを接続するホストプロジェクトのサブネットの名前。
- REP_DNS_NAME: 接続するリージョンサービスエンドポイントまたはマルチリージョンエンドポイントのホスト名。たとえば、spanner.me-central2.rep.googleapis.com（リージョン）または storage.us.rep.googleapis.com（マルチリージョン）などです。

エンドポイントの一覧を取得する

構成したエンドポイントの一覧を取得できます。

コンソール

Google Cloud コンソールで、[Private Service Connect] ページに移動します。

[Private Service Connect] に移動
[接続エンドポイント] タブをクリックします。

リージョンエンドポイントターゲットを含むすべてのエンドポイントが表示されます。

gcloud

gcloud network-connectivity regional-endpoints list コマンドを使用します。

gcloud network-connectivity regional-endpoints list \
    --region=REGION

REGION は、一覧取得するエンドポイントのリージョンに置き換えます。

API

projects.locations.regionalEndpoints.list メソッドを使用します。

GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/regionalEndpoints

次のように置き換えます。

PROJECT_ID: エンドポイントのプロジェクト ID。
REGION: 一覧取得するエンドポイントのリージョン。

エンドポイントが機能していることを確認する

エンドポイントが構成されている VPC ネットワークとリージョンに仮想マシン（VM）インスタンスを作成します。VM で次のコマンドを実行して、Private Service Connect エンドポイントが機能していることを確認します。エンドポイントは ping（ICMP）リクエストに応答しません。

IPv4 エンドポイントを検証するには、次の操作を行います。
```
curl --connect-to REP_DNS_NAME:443:ADDRESS:443 \
'https://REP_DNS_NAME/PATH'
```

IPv6 エンドポイントを確認するには、次の操作を行います。

curl -6 --connect-to REP_DNS_NAME:443:[ADDRESS]:443 \
'https://REP_DNS_NAME/PATH'

次のように置き換えます。

REP_DNS_NAME: ターゲットリージョンエンドポイントまたはマルチリージョンエンドポイントの公開 DNS 名（例: spanner.me-central2.rep.googleapis.com、storage.us.rep.googleapis.com）。
ADDRESS: エンドポイントの IP アドレス。
PATH: このサービスによって提供されるリソースへのパス。たとえば、多くのサービスでは、パス $discovery/rest?version=v1 のディスカバリドキュメントが提供されています。

次のリクエストの例では、IP アドレス 192.168.1.100 のエンドポイントが me-central2 のリージョンエンドポイントから Cloud Spanner API ディスカバリドキュメントをリクエストできるかどうかをテストします。

curl --connect-to spanner.me-central2.rep.googleapis.com:443:192.168.1.100:443 \
'https://spanner.me-central2.rep.googleapis.com/$discovery/rest?version=v1'

エンドポイントの限定公開 DNS エントリを作成する

クライアントが Private Service Connect エンドポイントにリクエストを送信できるように、限定公開 DNS エントリを作成する必要があります。

ターゲットのリージョンエンドポイントまたはマルチリージョンエンドポイントと同じホスト名を使用する限定公開ゾーンを作成し、そのゾーンに apex レコードを作成することをおすすめします。

Private Service Connect エンドポイントのターゲットが spanner.me-central2.rep.googleapis.com の場合は、spanner.me-central2.rep.googleapis.com の apex レコードを含む spanner.me-central2.rep.googleapis.com の限定公開ゾーンを作成します。
Private Service Connect エンドポイントのターゲットが storage.us.rep.googleapis.com の場合は、storage.us.rep.googleapis.com の apex レコードを含む storage.us.rep.googleapis.com の限定公開ゾーンを作成します。

ドメインの apex にレコードを作成すると、他のエンドポイントの一般公開ホスト名（logging.me-central2.rep.googleapis.com など）にアクセスできます。

以降のセクションでは、Cloud DNS を使用して限定公開ゾーンと apex DNS レコードを作成する方法について説明します。

限定公開ゾーンを作成する

コンソール

Google Cloud コンソールで、[DNS ゾーンの作成] ページに移動します。

[DNS ゾーンの作成] に移動
[ゾーンのタイプ] で [限定公開] を選択します。
[ゾーン名] に名前を入力します。たとえば、Private Service Connect エンドポイントが spanner.me-central2.rep.googleapis.com を指している場合は、「spanner-me-central2-rep-googleapis-com」と入力します。
[DNS 名] に、ターゲットリージョンエンドポイントのホスト名を指定し、末尾にドットを付けます。例: spanner.me-central2.rep.googleapis.com.
（省略可）説明を追加します。
[オプション] で、[デフォルト（限定公開）] を選択します。
限定公開ゾーンを表示する VPC ネットワークを選択します。選択した VPC ネットワークのみが、ゾーン内のレコードを照会できます。
[作成] をクリックします。

gcloud

dns managed-zones create コマンドを実行します。

gcloud dns managed-zones create ZONE_NAME \
    --dns-name=REP_DNS_NAME. \
    --networks=VPC_NETWORK_LIST \
    --visibility=private \
    --description="Private zone for REP_DNS_NAME"

次のように置き換えます。

ZONE_NAME: ゾーンの名前（例: spanner-me-central2-rep-googleapis.com）。
DESCRIPTION: ゾーンの説明
REP_DNS_NAME: ゾーンの DNS サフィックス。ターゲットリージョンエンドポイントのホスト名を使用します（例: spanner.me-central2.rep.googleapis.com）。
VPC_NETWORK_LIST: ゾーンに対するクエリ実行が許可されている VPC ネットワークのカンマ区切りのリスト。

API

managedZones.create メソッドを使用して、POST リクエストを送信します。

HTTP メソッドと URL:

POST https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones

リクエストの本文（JSON）:

{
  "name": "ZONE_NAME",
  "dnsName": "REP_DNS_NAME.",
  "description": "DESCRIPTION",
  "visibility": "private",
  "privateVisibilityConfig": {
    "kind": "dns#managedZonePrivateVisibilityConfig",
    "networks": [
      {
        "kind": "dns#managedZonePrivateVisibilityConfigNetwork",
        "networkUrl": "NETWORK_1_URL"
      },
      {
        "kind": "dns#managedZonePrivateVisibilityConfigNetwork",
        "networkUrl": "NETWORK_2_URL"
      }
    ]
  }
}

次のように置き換えます。

PROJECT_ID: DNS ゾーンのプロジェクト ID。
ZONE_NAME: このリージョンエンドポイント用に作成した限定公開ゾーンの名前。
REP_DNS_NAME: 作成するレコードの FQDN。ターゲットのリージョンエンドポイントのホスト名（例: spanner.me-central2.rep.googleapis.com）を使用します。
DESCRIPTION: DNS ゾーンの説明。
NETWORK_1_URL と NETWORK_2_URL: ゾーンに対するクエリ実行が許可されている VPC ネットワークの完全な URL（例: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME）。

ゾーンに DNS レコードを追加する

コンソール

Google Cloud コンソールで、Cloud DNS の [ゾーン] ページに移動します。

Cloud DNS の [ゾーン] に移動
レコードを追加するマネージドゾーンの名前をクリックします。
[ゾーンの詳細] ページで、[標準を追加] をクリックします。
[レコードセットの作成] ページの [DNS 名] フィールドは空白のままにします。このフィールドを空白のままにすると、ドメインの apex にリソースレコードが作成されます。
[リソースレコードのタイプ] で [A] を選択します。
[IPv4 アドレス] フィールドに、Private Service Connect エンドポイントの IP アドレスを入力または選択します。
[作成] をクリックします。

gcloud

リソースレコードセットを追加するには、gcloud dns record-sets create コマンドを使用します。

gcloud dns record-sets create REP_DNS_NAME \
    --rrdatas=ADDRESS \
    --type=RECORD_TYPE \
    --ttl=TTL \
    --zone=ZONE_NAME

次のように置き換えます。

REP_DNS_NAME: 作成するレコードの FQDN。ターゲットのリージョンエンドポイントのホスト名（例: spanner.me-central2.rep.googleapis.com）を使用します。
ADDRESS: Private Service Connect エンドポイントの IP アドレス。
RECORD_TYPE: DNS レコードのタイプ（たとえば、IPv4 レコードの場合は A、IPv6 レコードの場合は AAAA）。
TTL: リゾルバがこのリソースレコードセットをキャッシュに保存する秒単位の TTL（例: 300）
ZONE_NAME: このリージョンエンドポイント用に作成した限定公開ゾーンの名前。

API

リソースレコードセットを作成するには、resourceRecordSets.create メソッドを使用します。

HTTP メソッドと URL:

POST https://www.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones/ZONE_NAME/rrsets

リクエストの本文（JSON）:

{
  "name": "REP_DNS_NAME.",
  "type": "RECORD_TYPE",
  "ttl": TTL,
  "rrdatas": [ "ADDRESS" ]
}

次のように置き換えます。

PROJECT_ID: DNS ゾーンのプロジェクト ID。
ZONE_NAME: このリージョンエンドポイント用に作成した限定公開ゾーンの名前。
REP_DNS_NAME: 作成するレコードの FQDN。ターゲットのリージョンエンドポイントのホスト名（例: spanner.me-central2.rep.googleapis.com）を使用します。
RECORD_TYPE: DNS レコードのタイプ（たとえば、IPv4 レコードの場合は A、IPv6 レコードの場合は AAAA）。
TTL: リゾルバがこのリソースレコードセットをキャッシュに保存する秒単位の TTL（例: 300）
ADDRESS: Private Service Connect エンドポイントの IP アドレス。

限定公開のエンドポイント名を使用するようにクライアントを構成する

公開 DNS 名ではなく限定公開 DNS 名を使用するようにクライアントを構成する必要があります。カスタムエンドポイントを使用するように構成する方法については、クライアントまたはクライアントライブラリのドキュメントをご覧ください。次のページでは、一般的なクライアントの構成手順について説明します。

Python: クライアントオプションで api_endpoint を構成できます。
Go: ClientOptions で WithEndpoint を構成できます。
.NET: クライアントのビルダークラスで Endpoint を構成できます。
Java: クライアントの設定クラスで setEndpoint を構成できます。
gcloud: gcloud CLI で api_endpoint_overrides を構成できます。

エンドポイントに関する詳細情報を取得する

エンドポイントの構成の詳細を表示できます。

gcloud

gcloud network-connectivity regional-endpoints describe コマンドを使用します。

gcloud network-connectivity regional-endpoints describe \
    ENDPOINT_NAME --region=REGION

次のように置き換えます。

ENDPOINT_NAME: エンドポイントの名前。
REGION: エンドポイントのリージョン。

API

projects.locations.regionalEndpoints.get コマンドを使用します。

GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/regionalEndpoints/ENDPOINT_NAME

次のように置き換えます。

PROJECT_ID: エンドポイントのプロジェクト ID。
REGION: 一覧取得するエンドポイントのリージョン。
ENDPOINT_NAME: エンドポイントの名前。

グローバルアクセス構成を更新する

リージョンエンドポイントのターゲットを持つ Private Service Connect エンドポイントは更新できません。エンドポイントのグローバルアクセス設定を変更する必要がある場合は、エンドポイントを削除し、必要なグローバルアクセス設定を持つ新しいエンドポイントを作成します。

エンドポイントを削除する

エンドポイントを削除できます。

gcloud

gcloud network-connectivity regional-endpoints delete コマンドを使用します。

gcloud network-connectivity regional-endpoints delete \
    ENDPOINT_NAME --region=REGION

次のように置き換えます。

ENDPOINT_NAME: エンドポイントの名前。
REGION: エンドポイントのリージョン。

API

projects.location.regionalEndpoints.delete コマンドを使用します。

DELETE https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/regionalEndpoints/ENDPOINT_NAME

次のように置き換えます。

PROJECT_ID: エンドポイントのプロジェクト ID。
REGION: エンドポイントのリージョン。
ENDPOINT_NAME: エンドポイントの名前。

ハイブリッドネットワークからエンドポイントにアクセスする

Cloud Interconnect または Cloud VPN トンネル用の VLAN アタッチメントを使用して Google Cloud に接続しているネットワーク上のクライアントは、Private Service Connect エンドポイントにアクセスできます。

VLAN アタッチメントまたは Cloud VPN トンネルは、エンドポイントと同じ VPC ネットワーク（または共有 VPC ネットワーク）で終端する必要があります。ピアリングされた VPC ネットワーク内のクライアントはエンドポイントに到達できません。
グローバルアクセスが構成されている場合、VLAN アタッチメントまたは Cloud VPN トンネルからのクライアントトラフィックは、別のリージョンのエンドポイントに到達できます。
VLAN アタッチメントでは、Dataplane v1 と Dataplane v2 の両方がサポートされています。Dataplane のバージョンの詳細については、Dataplane v2 をご覧ください。

相手側のネットワークのシステムを構成して、限定公開 DNS ゾーンにクエリを実行できるようにする必要があります。

Cloud DNS を使用して限定公開 DNS ゾーンを実装した場合は、次の手順を完了します。

他のネットワークが接続する VPC ネットワークにインバウンドサーバーポリシーを作成します。
他のネットワークが接続する VPC ネットワークで、VLAN アタッチメントまたは Cloud VPN トンネルが配置されているリージョンのインバウンドフォワーダーエントリポイントを特定します。
VPC ネットワークに接続する VLAN アタッチメントまたは Cloud VPN トンネルと同じリージョン内のインバウンドフォワーダーのエントリポイントにエンドポイントの DNS 名を転送するように、他のネットワークのシステムと DNS ネームサーバーを構成します。

プライベート エンドポイントを介してリージョンとマルチリージョンの Google API にアクセスする コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

必要なロール

プロジェクトに必要なロール

共有 VPC 構成に必要な追加のロール

ユーザー アカウントに付与するロール

必要な権限

ネットワーク接続サービス アカウントに付与するロール

必要な権限

始める前に

リージョン Private Service Connect エンドポイントを作成する

コンソール

gcloud

API

共有 VPC サービス プロジェクトにリージョン Private Service Connect エンドポイントを作成する

gcloud

API

エンドポイントの一覧を取得する

コンソール

gcloud

API

エンドポイントが機能していることを確認する

エンドポイントの限定公開 DNS エントリを作成する

限定公開ゾーンを作成する

コンソール

gcloud

API

ゾーンに DNS レコードを追加する

コンソール

gcloud

API

限定公開のエンドポイント名を使用するようにクライアントを構成する

エンドポイントに関する詳細情報を取得する

gcloud

API

グローバル アクセス構成を更新する

エンドポイントを削除する

gcloud

API

ハイブリッド ネットワークからエンドポイントにアクセスする

プライベートエンドポイントを介してリージョンとマルチリージョンの Google API にアクセスする

ユーザーアカウントに付与するロール

ネットワーク接続サービスアカウントに付与するロール

共有 VPC サービスプロジェクトにリージョン Private Service Connect エンドポイントを作成する

グローバルアクセス構成を更新する

ハイブリッドネットワークからエンドポイントにアクセスする