Gemini Enterprise può connettersi in modo sicuro a origini dati di terze parti self-hosted gestite dal cliente. Queste connessioni vengono stabilite tramite i servizi producer di Private Service Connect.
Questo modello di connettività garantisce che i dati sensibili rimangano sotto il tuo controllo e all'interno dei confini della tua rete, consentendo al contempo a Gemini Enterprise di accedere e utilizzare le informazioni contenute in queste origini dati. L'utilizzo di Private Service Connect ti consente di stabilire un canale di comunicazione sicuro e scalabile, bypassando l'internet pubblico e riducendo al minimo i potenziali rischi per la sicurezza associati alle configurazioni di rete tradizionali.
Gemini Enterprise supporta i seguenti pattern di origini dati in hosting autonomo:
On-premise o multi-cloud: origini dati di cui è stato eseguito il deployment nel tuo data center o in un altro provider cloud (ad esempio Amazon Web Services EC2 o EKS o macchine virtuali Microsoft Azure), utilizzando la connettività di rete ibrida.
Google Kubernetes Engine: origini dati ospitate all'interno dei cluster GKE.
Google Cloud Compute Engine: origini dati di cui è stato eseguito il deployment su VM di Google Compute Engine.
Utilizzo di Private Service Connect con servizi self-hosted
Private Service Connect è una funzionalità di networking di Google Cloud che consente l'accesso privato da una rete virtual private cloud di un consumer ai servizi gestiti. Crea una connessione esplicita e sicura tra un consumer di servizi e un producer di servizi, eliminando la necessità di peering Virtual Private Cloud, routing complesso o indirizzi IP pubblici.
Puoi configurare un deployment di Private Service Connect di Gemini Enterprise con:
Gemini Enterprise come consumer del servizio
La tua rete, contenente i bilanciatori del carico che fanno riferimento a risorse on-premise, multi-cloud o Google Cloud , in qualità di producer di servizi
Per informazioni su aspetti specifici dell'utilizzo di Private Service Connect per connettere il tuo servizio self-hosted a Gemini Enterprise, consulta le sezioni seguenti.
Configurazione della rete VPC e delle subnet
Tieni presente che:
L'allocazione del proxy avviene a livello di VPC, non di bilanciatore del carico. Devi creare una subnet solo proxy in ogni regione di una rete virtuale (VPC) in cui utilizzi i bilanciatori del carico basati su Envoy. Se esegui il deployment di più bilanciatori del carico nella stessa regione e nella stessa rete VPC, questi condividono la stessa subnet solo proxy per il bilanciamento del carico.
I probe del controllo di integrità provengono dai proxy Envoy che si trovano nella subnet solo proxy all'interno della regione. Affinché i probe del controllo di integrità funzionino correttamente, devi creare regole firewall nell'ambiente esterno che consentano al traffico proveniente dalla subnet solo proxy di raggiungere i backend esterni.
La subnet solo proxy è la subnet di origine che ha come target il database cross-cloud. Assicurati che questa subnet sia annunciata da un router Cloud. Per saperne di più, consulta Annuncia subnet VPC specifiche.
La subnet solo proxy deve essere inclusa nella lista consentita del firewall on-premise o cross-cloud.
Devi creare subnet solo proxy indipendentemente dal fatto che la rete VPC sia in modalità automatica o personalizzata. Una subnet solo proxy deve fornire almeno 64 indirizzi IP. Questo requisito corrisponde a una lunghezza del prefisso pari o inferiore a /26. La dimensione consigliata della subnet è /23 (512 indirizzi solo proxy).
Subnet NAT Private Service Connect
I pacchetti della rete VPC consumer vengono tradotti utilizzando il source NAT (SNAT), in modo che i relativi indirizzi IP di origine originali vengano convertiti in indirizzi IP di origine della subnet NAT nella rete VPC del producer. Le subnet Private Service Connect per NAT non possono ospitare workload.
La dimensione minima della subnet per un NAT Private Service Connect è /29. Puoi aggiungere altre subnet NAT a un collegamento al servizio in qualsiasi momento, senza interrompere il traffico.
Puoi monitorare i servizi pubblicati utilizzando dashboard predefinite o metriche Google Cloud per il consumo NAT di Private Service Connect.
Configurazione del bilanciatore del carico
Un producer di servizi posiziona la propria applicazione o il proprio servizio dietro un bilanciatore del carico internoGoogle Cloud . Ti consigliamo di utilizzare un bilanciatore del carico proxy TCP interno. Se utilizzi Google Kubernetes Engine, puoi utilizzare un bilanciatore del carico di rete passthrough interno.
Poiché Gemini Enterprise non è disponibile in tutte le località, devi attivare l'accesso globale quando crei la regola di forwarding del bilanciatore del carico interno. Se non attivi l'accesso globale, la creazione dell'endpoint per Gemini Enterprise (il consumer di servizi) potrebbe non riuscire. Assicurati di aver abilitato l'accesso globale prima di creare il collegamento al servizio Private Service Connect. Per saperne di più sull'accesso client per i bilanciatori del carico interni, consulta Accesso client.
Configurazione del collegamento al servizio
Per pubblicare un servizio utilizzando Private Service Connect, un producer di servizi crea un collegamento al servizio. Questo collegamento consente ai consumer di servizi, come Gemini Enterprise, di connettersi al servizio del producer. Per informazioni sulla pubblicazione di un servizio e sulla creazione di un collegamento a un servizio, consulta Pubblica un servizio.
Il producer di servizi ha due opzioni principali per controllare le connessioni dei consumer, gestite utilizzando le seguenti preferenze di connessione:
Accetta automaticamente tutte le connessioni: consente a qualsiasi consumer di connettersi senza approvazione esplicita.
Accetta connessioni per i progetti selezionati (approvazione esplicita): devi approvare manualmente ogni progetto che richiede una connessione. Con questa opzione, puoi scegliere di accettare o rifiutare un progetto.
Se utilizzi l'approvazione esplicita del progetto, per stabilire una connessione al collegamento al servizio devi:
Crea un datastore (ad esempio un datastore Jira Data Center).
Nella pagina Private Service Connect della console Google Cloud, accetta la connessione in attesa dal progetto tenant di Gemini Enterprise per il nuovo datastore. Puoi identificare il progetto tenant tramite il relativo ID progetto, che termina con
-tp. Per saperne di più, consulta Gestisci le richieste di accesso a un servizio pubblicato.Nella pagina Gemini Enterprise della console Google Cloud , in Datastore, fai clic sul nome del nuovo datastore per visualizzarne lo stato. Lo stato del datastore viene visualizzato nella pagina Dati.
Non puoi visualizzare l'ID progetto tenant di Gemini Enterprise finché non crei un datastore. Lo stato del datastore rimane Creazione finché non accetti la connessione al progetto in Private Service Connect.
Quando crei un collegamento al servizio, non selezionare il protocollo proxy, a meno che non sia supportato dal servizio self-hosted. In questo modo si verifica un errore SSL/TLS. Puoi deselezionare il protocollo proxy modificando il collegamento al servizio.
Configurazione del firewall
Configura le regole firewall in entrata per consentire il traffico tra la subnet NAT di Private Service Connect e le VM di backend nel bilanciatore del carico del servizio producer. Se utilizzi un NEG ibrido o internet come backend, le regole firewall non sono necessarie.
Passaggi successivi
Per saperne di più su come Gemini Enterprise si integra con Private Service Connect, consulta i seguenti codelab su Google Developer Codelabs:
Per saperne di più sull'utilizzo di un bilanciatore del carico interno tra reti VPC su Google Kubernetes Engine, consulta Crea un bilanciatore del carico interno tra reti VPC.