מבוא למקורות נתונים באירוח עצמי

‫Gemini Enterprise יכול להתחבר בצורה מאובטחת למקורות מידע של צד שלישי שמנוהלים על ידי הלקוח ומאוחסנים בשרתים שלו. החיבורים האלה נוצרים באמצעות שירותי ההפקה של Private Service Connect.

מודל הקישוריות הזה מבטיח שהמידע הרגיש יישאר בשליטה ובגבולות הרשת שלכם, ועדיין יאפשר ל-Gemini Enterprise לגשת למידע שבמקורות הנתונים האלה ולהשתמש בו. באמצעות Private Service Connect אתם יכולים ליצור ערוץ תקשורת מאובטח וניתן להתאמה, לעקוף את האינטרנט הציבורי ולצמצם את סיכוני האבטחה הפוטנציאליים שקשורים להגדרות רשת רגילות.

דפוסי גישה למקורות נתונים באירוח עצמי.
דפוסי גישה למקורות נתונים באירוח עצמי

‫Gemini Enterprise תומך בתבניות הבאות של מקורות נתונים באירוח עצמי:

  • במקום הפיזי או בכמה עננים: מקורות נתונים שנפרסו במרכז הנתונים שלכם או אצל ספק שירותי ענן אחר (לדוגמה, Amazon Web Services EC2 או EKS, או מכונות וירטואליות של Microsoft Azure), באמצעות קישוריות רשת היברידית.

  • ‫Google Kubernetes Engine: מקורות נתונים שמתארחים באשכולות GKE.

  • ‫Google Cloud Compute Engine: מקורות נתונים שנפרסו במכונות וירטואליות של Google Compute Engine.

שימוש ב-Private Service Connect עם שירותים באירוח עצמי

‫Private Service Connect הוא Google Cloud תכונה של רשת שמאפשרת גישה פרטית מרשת של ענן וירטואלי פרטי (VPC) של צרכן לשירותים מנוהלים. הוא יוצר חיבור מאובטח ומפורש בין צרכן השירות לבין הבעלים של השירות המנוהל, וכך מבטל את הצורך בקישור בין רשתות VPC שכנות, בניתוב מורכב או בכתובות IP ציבוריות.

אתם יכולים להגדיר פריסה של Gemini Enterprise Private Service Connect באמצעות:

  • ‫Gemini Enterprise כצרכן השירות

  • הרשת שלכם, שמכילה מאזני עומסים שמפנים למשאבים מקומיים, למשאבים בכמה עננים או למשאבי Google Cloud , בתור הבעלים של השירות המנוהל

בקטעים הבאים מפורט מידע על היבטים ספציפיים של השימוש ב-Private Service Connect כדי לחבר את השירות באירוח עצמי ל-Gemini Enterprise.

הגדרת רשת VPC ורשת משנה

חשוב לזכור:

  • הקצאת שרתי ה-proxy היא ברמת ה-VPC, ולא ברמת מאזן העומסים. בכל אזור של רשת וירטואלית (VPC) שבו אתם משתמשים במאזני עומסים מבוססי-Envoy, אתם צריכים ליצור רשת משנה של שרתי proxy בלבד. אם פורסים כמה מאזני עומסים באותו אזור ובאותה רשת VPC, הם חולקים את אותה רשת משנה של שרתי proxy בלבד לאיזון עומסים.

  • בדיקות תקינות מגיעות משרתי ה-proxy של Envoy שנמצאים ברשת המשנה של שרתי proxy בלבד באזור. כדי שבדיקות התקינות יפעלו כמו שצריך, צריך ליצור כללי חומת אש בסביבה החיצונית שמאפשרים לתנועה מתת-הרשת של שרת ה-proxy בלבד להגיע לשרתים העורפיים החיצוניים.

  • רשת המשנה לשרתי proxy בלבד היא רשת המשנה של המקור שמטרגטת את מסד הנתונים חוצה-העננים. מוודאים שרשת המשנה הזו מפורסמת על ידי Cloud Router. מידע נוסף זמין במאמר פרסום של רשתות משנה ספציפיות של VPC.

  • רשת המשנה proxy-only חייבת להיות ברשימת ההיתרים של חומת האש המקומית או של חומת האש ב-Cross-Cloud.

  • אתם צריכים ליצור רשתות משנה של שרתי proxy בלבד, גם אם רשת ה-VPC היא במצב אוטומטי וגם אם היא במצב מותאם אישית. תת-רשת של שרת proxy בלבד צריכה לספק 64 כתובות IP או יותר. היא מתאימה לאורך קידומת של /26 או קצר יותר. גודל רשת המשנה המומלץ הוא ‎/23 (512 כתובות proxy-only).

רשת משנה של NAT ב-Private Service Connect

המנות מרשת ה-VPC של הצרכן מתורגמות באמצעות NAT של מקור (SNAT), כך שכתובות ה-IP המקוריות שלהן מומרות לכתובות IP של מקור מרשת המשנה של ה-NAT ברשת ה-VPC של היצרן. אי אפשר לארח עומסי עבודה ברשתות משנה של Private Service Connect ל-NAT.

גודל תת-הרשת המינימלי ל-NAT של Private Service Connect הוא ‎/29. אתם יכולים להוסיף עוד רשתות משנה של NAT לצירוף שירות בכל שלב, בלי להפריע לתנועה.

אתם יכולים לעקוב אחרי שירותים שפורסמו באמצעות מרכזי בקרה מוגדרים מראש או מדדי Google Cloud לצריכת NAT של Private Service Connect.

הגדרת מאזן העומסים

הבעלים של השירות המנוהל ממקם את האפליקציה או השירות שלו מאחורי Google Cloud מאזן עומסים פנימי. מומלץ להשתמש במאזן עומסים פנימי בשרתי proxy של TCP. אם אתם משתמשים ב-Google Kubernetes Engine, אתם יכולים להשתמש במאזן עומסי רשת פנימי מסוג Pass-through.

‫Gemini Enterprise לא זמין בכל המיקומים, לכן צריך להפעיל גישה גלובלית כשיוצרים את כלל ההעברה של מאזן העומסים הפנימי. אם לא תפעילו גישה גלובלית, יכול להיות שלא תצליחו ליצור נקודת קצה ל-Gemini Enterprise (צרכן השירות). לפני שיוצרים את חיבור השירות של Private Service Connect, צריך לוודא שהפעלתם את הגישה הגלובלית. מידע נוסף על גישת לקוח למאזני עומסים פנימיים זמין במאמר גישת לקוח.

הגדרת צירוף השירות

כדי לפרסם שירות באמצעות Private Service Connect, הבעלים של השירות המנוהל יוצר צירוף שירות. החיבור הזה מאפשר לצרכני השירות, כמו Gemini Enterprise, להתחבר לשירות של היצרן. במאמר פרסום שירות מוסבר איך מפרסמים שירות ויוצרים חיבור לשירות.

לבעלים של השירות המנוהל יש שתי אפשרויות עיקריות לשליטה בחיבורים של הצרכנים, באמצעות העדפות החיבור הבאות:

  • אישור אוטומטי של כל החיבורים: כל צרכן יכול להתחבר בלי אישור מפורש.

  • אישור חיבורים לפרויקטים שנבחרו (אישור מפורש): צריך לאשר באופן ידני כל פרויקט שמבקש להתחבר. באפשרות הזו, אתם יכולים לבחור אם לאשר או לדחות פרויקט.

    אם אתם משתמשים באישור פרויקט מפורש, כדי ליצור חיבור לחיבור השירות, אתם צריכים לבצע את הפעולות הבאות:

    1. יוצרים מאגר נתונים (לדוגמה, מאגר נתונים של Jira Data Center).

    2. בדף Private Service Connect במסוף Google Cloud, מאשרים את החיבור בהמתנה מהפרויקט של הדייר (tenant) ב-Gemini Enterprise למאגר הנתונים החדש. אפשר לזהות את הפרויקט של הדייר בענן לפי מזהה הפרויקט, שמסתיים ב--tp. מידע נוסף זמין במאמר ניהול בקשות גישה לשירות שפורסם.

    3. בדף Gemini Enterprise במסוף Google Cloud , בקטע Data stores, לוחצים על השם של מאגר הנתונים החדש כדי לראות את הסטטוס שלו. הסטטוס של מאגר הנתונים מוצג בדף Data שלו.

    מזהה הפרויקט של דייר Gemini Enterprise לא מופיע עד שיוצרים מאגר נתונים. הסטטוס של מאגר הנתונים נשאר Creating עד שמאשרים את החיבור לפרויקט ב-Private Service Connect.

כשיוצרים קובץ מצורף של שירות, אל תבחרו בפרוטוקול proxy אלא אם הוא נתמך על ידי השירות באירוח עצמי. אם תעשו את זה, תופיע שגיאת SSL/TLS. כדי לבטל את הבחירה בפרוטוקול ה-proxy, צריך לערוך את קובץ ה-attachment של השירות.

הגדרת חומת האש

מגדירים כללי חומת אש לתעבורת נתונים נכנסת כדי לאפשר תעבורת נתונים בין רשת המשנה של Private Service Connect NAT לבין המכונות הווירטואליות בקצה העורפי במאזן העומסים של שירות ה-producer. אם אתם משתמשים ב-NEG היברידי או ב-NEG באינטרנט בתור קצה עורפי, אין צורך בכללי חומת אש.

המאמרים הבאים