Gemini Enterprise peut se connecter de manière sécurisée à des sources de données tierces, auto-hébergées et gérées par le client. Ces connexions sont établies via des services de producteur Private Service Connect.
Ce modèle de connectivité garantit que les données sensibles restent sous votre contrôle et dans les limites de votre réseau, tout en permettant à Gemini Enterprise d'accéder aux informations contenues dans ces sources de données et de les utiliser. Private Service Connect vous permet d'établir un canal de communication sécurisé et évolutif, en contournant l'Internet public et en minimisant les risques de sécurité potentiels associés aux configurations réseau traditionnelles.
Gemini Enterprise est compatible avec les schémas de sources de données auto-hébergées suivants :
Sur site ou multicloud : sources de données déployées dans votre centre de données ou chez un autre fournisseur de services cloud (par exemple, Amazon Web Services EC2 ou EKS, ou des machines virtuelles Microsoft Azure), à l'aide d'une connectivité réseau hybride.
Google Kubernetes Engine : sources de données hébergées dans des clusters GKE.
Google Cloud Compute Engine : sources de données déployées sur des VM Google Compute Engine.
Utiliser Private Service Connect avec des services auto-hébergés
Private Service Connect est une Google Cloud fonctionnalité de mise en réseau qui permet un accès privé d'un réseau cloud privé virtuel client à des services gérés. Elle crée une connexion sécurisée et explicite entre un client de service et un producteur de services, ce qui élimine le besoin d'appairage de cloud privé virtuel, de routage complexe ou d'adresses IP publiques.
Vous pouvez configurer un déploiement Private Service Connect Gemini Enterprise avec les éléments suivants :
Gemini Enterprise en tant que client de service
Votre réseau, contenant des équilibreurs de charge qui référencent des ressources sur site, multicloud ou Google Cloud de calcul, en tant que producteur de services
Pour en savoir plus sur les aspects spécifiques de l'utilisation de Private Service Connect pour connecter votre service auto-hébergé à Gemini Enterprise, consultez les sections suivantes.
Configuration du réseau et du sous-réseau VPC
Tenez bien compte des éléments suivants :
Le proxy est alloué au niveau du VPC, et non au niveau de l'équilibreur de charge. Vous devez créer un sous-réseau proxy réservé dans chaque région d'un réseau virtuel (VPC) où vous utilisez des équilibreurs de charge basés sur Envoy. Si vous déployez plusieurs équilibreurs de charge dans la même région et le même réseau VPC, ils partagent le même sous-réseau proxy réservé pour l'équilibrage de charge.
Les vérifications d'état proviennent des proxys Envoy situés dans le sous-réseau proxy réservé de la région. Pour que ces vérifications d'état fonctionnent correctement, vous devez créer des règles de pare-feu dans l'environnement externe qui autorisent le trafic provenant du sous-réseau proxy réservé à accéder à vos backends externes.
Le sous-réseau proxy réservé est le sous-réseau source ciblant la base de données multicloud. Assurez-vous que ce sous-réseau est annoncé par un routeur Cloud Router. Pour plus d' informations, consultez la section Annoncer des sous-réseaux VPC spécifiques.
Le sous-réseau proxy réservé doit figurer sur la liste d'autorisation du pare-feu sur site ou multicloud.
Vous devez créer des sous-réseaux proxy réservés, que votre réseau VPC soit en mode automatique ou personnalisé. Un sous-réseau proxy réservé doit fournir au moins 64 adresses IP. Cela correspond à une longueur de préfixe inférieure ou égale à /26. La taille de sous-réseau recommandée est de /23 (512 adresses proxy réservées).
Sous-réseau NAT Private Service Connect
Les paquets du réseau VPC du client sont traduits à l'aide de la traduction NAT source (SNAT) afin que leurs adresses IP sources d'origine soient converties en adresses IP sources du sous-réseau NAT du réseau VPC du producteur. Private Service Connect pour les sous-réseaux NAT ne peut pas héberger de charges de travail.
La taille minimale d'un sous-réseau pour un NAT Private Service Connect est de /29. Vous pouvez ajouter des sous-réseaux NAT supplémentaires à un rattachement de service à tout moment, sans interrompre le trafic.
Vous pouvez surveiller les services publiés à l'aide de tableaux de bord prédéfinis ou de Google Cloud métriques pour la consommation NAT Private Service Connect.
Configuration de l'équilibreur de charge
Un producteur de services place son application ou son service derrière un Google Cloud équilibreur de charge interne. Nous vous recommandons d'utiliser un équilibreur de charge proxy TCP interne. Si vous utilisez Google Kubernetes Engine, vous pouvez utiliser un équilibreur de charge réseau passthrough interne.
Gemini Enterprise n'étant pas disponible dans toutes les régions, vous devez activer l'accès mondial lorsque vous créez la règle de transfert de l'équilibreur de charge interne. Si vous n'activez pas l'accès mondial, la création de points de terminaison pour Gemini Enterprise (le client de service) peut échouer. Assurez-vous d'avoir activé l'accès mondial avant de créer le rattachement de service Private Service Connect. Pour en savoir plus sur l'accès client pour les équilibreurs de charge internes, consultez la section Accès client.
Configuration du rattachement de service
Pour publier un service à l'aide de Private Service Connect, un producteur de services crée un rattachement de service. Ce rattachement permet aux clients de service, tels que Gemini Enterprise, de se connecter au service du producteur. Pour en savoir plus sur la publication d'un service et la création d'un rattachement de service, consultez la section Publier un service.
Le producteur de services dispose de deux options principales pour contrôler les connexions des clients, gérées à l'aide des préférences de connexion suivantes :
Accepter automatiquement toutes les connexions : permet à n'importe quel client de se connecter, sans approbation explicite.
Accepter les connexions pour les projets sélectionnés (approbation explicite) : vous devez approuver manuellement chaque projet qui demande une connexion. Avec cette option, vous pouvez choisir d'accepter ou de refuser un projet.
Si vous utilisez l'approbation explicite du projet, vous devez procéder comme suit pour établir une connexion à votre rattachement de service :
Créez un data store (par exemple, un datastore data store Data Center).
Sur la page Private Service Connect de la Google Cloud console, acceptez la connexion en attente du projet locataire Gemini Enterprise pour votre nouveau data store. Vous pouvez identifier le projet locataire par son ID de projet, qui se termine par
-tp. Pour en savoir plus, consultez la section Gérer les requêtes d'accès à un service publié.Sur la page Gemini Enterprise de la Google Cloud console, dans Datastores, cliquez sur le nom de votre nouveau data store pour afficher son état. L'état du data store s'affiche sur sa page Données.
Vous ne pouvez pas voir l'ID du projet locataire Gemini Enterprise tant que vous n'avez pas créé de data store. L'état du data store reste Création jusqu'à ce que vous acceptiez la connexion du projet dans Private Service Connect.
Lorsque vous créez un rattachement de service, ne sélectionnez pas le protocole proxy , sauf s'il est compatible avec le service auto-hébergé. Dans le cas contraire, une erreur SSL/TLS se produit. Vous pouvez désélectionner le protocole proxy en modifiant le rattachement de service.
Configuration du pare-feu
Configure règles de pare-feu d'entrée pour autoriser le trafic entre le sous-réseau NAT Private Service Connect et les VM de backend dans l'équilibreur de charge du service producteur. Si vous utilisez un NEG hybride ou Internet comme backend, les règles de pare-feu ne sont pas obligatoires.
Étape suivante
Pour en savoir plus sur l'intégration de Gemini Enterprise à Private Service Connect, consultez les ateliers de programmation suivants sur Google Developers Codelabs :
Pour en savoir plus sur l'utilisation d'un équilibreur de charge interne sur plusieurs réseaux VPC dans Google Kubernetes Engine, consultez la section Créer un équilibreur de charge interne sur plusieurs réseaux VPC.