Gemini Enterprise peut se connecter de manière sécurisée à des sources de données tierces auto-hébergées et gérées par le client. Ces connexions sont établies via les services de producteur Private Service Connect.
Ce modèle de connectivité garantit que les données sensibles restent sous votre contrôle et dans les limites de votre réseau, tout en permettant à Gemini Enterprise d'accéder aux informations contenues dans ces sources de données et de les utiliser. L'utilisation de Private Service Connect vous permet d'établir un canal de communication sécurisé et évolutif, en contournant l'Internet public et en minimisant les risques de sécurité potentiels associés aux configurations réseau traditionnelles.
Gemini Enterprise est compatible avec les modèles de sources de données auto-hébergées suivants :
Sur site ou multicloud : sources de données déployées dans votre centre de données ou chez un autre fournisseur de services cloud (par exemple, Amazon Web Services EC2 ou EKS, ou des machines virtuelles Microsoft Azure), à l'aide d'une connectivité réseau hybride.
Google Kubernetes Engine : sources de données hébergées dans des clusters GKE.
Google Cloud Compute Engine : sources de données déployées sur des VM Google Compute Engine.
Utiliser Private Service Connect avec des services auto-hébergés
Private Service Connect est une fonctionnalité de mise en réseau Google Cloud qui permet un accès privé depuis le réseau cloud privé virtuel d'un client aux services gérés. Il crée une connexion sécurisée et explicite entre un client et un producteur de services, ce qui élimine le besoin d'appairage de cloud privé virtuel, de routage complexe ou d'adresses IP publiques.
Vous pouvez configurer un déploiement Private Service Connect Gemini Enterprise avec les éléments suivants :
Gemini Enterprise en tant que consommateur de services
Votre réseau, contenant des équilibreurs de charge qui référencent des ressources de calcul sur site, multicloud ou Google Cloud , en tant que producteur de services
Pour en savoir plus sur des aspects spécifiques de l'utilisation de Private Service Connect pour connecter votre service auto-hébergé à Gemini Enterprise, consultez les sections suivantes.
Configuration du réseau et des sous-réseaux VPC
Tenez bien compte des éléments suivants :
Le proxy est alloué au niveau du VPC, et non au niveau de l'équilibreur de charge. Vous devez créer un sous-réseau proxy réservé dans chaque région d'un réseau virtuel (VPC) où vous utilisez des équilibreurs de charge basés sur Envoy. Si vous déployez plusieurs équilibreurs de charge dans la même région et le même réseau VPC, ils partagent le même sous-réseau proxy réservé pour l'équilibrage de charge.
Les vérifications d'état proviennent des proxys Envoy situés dans le sous-réseau proxy réservé de la région. Pour que ces vérifications d'état fonctionnent correctement, vous devez créer des règles de pare-feu dans l'environnement externe qui autorisent le trafic provenant du sous-réseau proxy réservé à accéder à vos backends externes.
Le sous-réseau proxy réservé est le sous-réseau source ciblant la base de données cross-cloud. Assurez-vous que ce sous-réseau est annoncé par un routeur Cloud Router. Pour plus d'informations, consultez la section Annoncer des sous-réseaux VPC spécifiques.
Le sous-réseau proxy réservé doit figurer sur la liste d'autorisation du pare-feu sur site ou cross-cloud.
Vous devez créer des sous-réseaux proxy réservés, pour les réseaux VPC en mode automatique comme pour ceux en mode personnalisé. Un sous-réseau proxy réservé doit fournir au moins 64 adresses IP. Cela correspond à une longueur de préfixe inférieure ou égale à /26. La taille de sous-réseau recommandée est /23 (512 adresses proxy réservées).
Sous-réseau NAT Private Service Connect
Les paquets du réseau VPC du client sont traduits à l'aide de la traduction NAT source (SNAT) afin que leurs adresses IP sources d'origine soient converties en adresses IP sources du sous-réseau NAT du réseau VPC du producteur. Les sous-réseaux Private Service Connect pour NAT ne peuvent pas héberger de charges de travail.
La taille minimale du sous-réseau pour un NAT Private Service Connect est /29. Vous pouvez ajouter des sous-réseaux NAT à un rattachement de service à tout moment, sans interrompre le trafic.
Vous pouvez surveiller les services publiés à l'aide de tableaux de bord prédéfinis ou de métriques Google Cloud pour la consommation NAT de Private Service Connect.
Configuration de l'équilibreur de charge
Un producteur de services place son application ou son service derrière un équilibreur de charge interneGoogle Cloud . Nous vous recommandons d'utiliser un équilibreur de charge proxy TCP interne. Si vous utilisez Google Kubernetes Engine, vous pouvez utiliser un équilibreur de charge réseau passthrough interne.
Étant donné que Gemini Enterprise n'est pas disponible dans tous les emplacements, vous devez activer l'accès mondial lors de la création de la règle de transfert de l'équilibreur de charge interne. Si vous n'activez pas l'accès mondial, la création du point de terminaison pour Gemini Enterprise (le consommateur de services) peut échouer. Assurez-vous d'avoir activé l'accès mondial avant de créer le rattachement de service Private Service Connect. Pour en savoir plus sur l'accès client pour les équilibreurs de charge internes, consultez Accès client.
Configuration du rattachement de service
Pour publier un service à l'aide de Private Service Connect, un producteur de services crée un rattachement de service. Ce rattachement permet aux clients du service, tels que Gemini Enterprise, de se connecter au service du producteur. Pour en savoir plus sur la publication d'un service et la création d'un rattachement de service, consultez Publier un service.
Le producteur de services dispose de deux options principales pour contrôler les connexions des clients, gérées à l'aide des préférences de connexion suivantes :
Accepter automatiquement toutes les connexions : cela permet à n'importe quel client de se connecter, sans approbation explicite.
Accepter les connexions pour les projets sélectionnés (approbation explicite) : vous devez approuver manuellement chaque projet qui demande une connexion. Cette option vous permet d'accepter ou de refuser un projet.
Si vous utilisez l'approbation explicite du projet, vous devez procéder comme suit pour établir une connexion à votre rattachement de service :
Créez un data store (par exemple, un data store Jira Data Center).
Sur la page Private Service Connect de la console Google Cloud, acceptez la connexion en attente du projet locataire Gemini Enterprise pour votre nouveau data store. Vous pouvez identifier le projet locataire par son ID de projet, qui se termine par
-tp. Pour en savoir plus, consultez Gérer les requêtes d'accès à un service publié.Sur la page Gemini Enterprise de la console Google Cloud , dans Datastores, cliquez sur le nom de votre nouveau data store pour afficher son état. L'état du data store s'affiche sur sa page Données.
Vous ne pouvez pas voir l'ID du projet locataire Gemini Enterprise tant que vous n'avez pas créé de data store. L'état du data store reste Création jusqu'à ce que vous acceptiez la connexion au projet dans Private Service Connect.
Lorsque vous créez un rattachement de service, ne sélectionnez pas le protocole proxy, sauf s'il est compatible avec le service auto-hébergé. Cela entraînerait une erreur SSL/TLS. Vous pouvez désélectionner le protocole proxy en modifiant le rattachement de service.
Configuration du pare-feu
Configurez des règles de pare-feu d'entrée pour autoriser le trafic entre le sous-réseau NAT Private Service Connect et les VM de backend dans l'équilibreur de charge du service producteur. Si vous utilisez un NEG hybride ou Internet comme backend, les règles de pare-feu ne sont pas requises.
Étapes suivantes
Pour en savoir plus sur l'intégration de Gemini Enterprise à Private Service Connect, consultez les ateliers de programmation suivants sur Google Developer Codelabs :
Pour en savoir plus sur l'utilisation d'un équilibreur de charge interne sur des réseaux VPC dans Google Kubernetes Engine, consultez Créer un équilibreur de charge interne sur des réseaux VPC.