Introduzione alle origini dati self-hosted

Gemini Enterprise può connettersi in modo sicuro a origini dati di terze parti, self-hosted e gestite dal cliente. Queste connessioni vengono stabilite tramite i servizi di producer di Private Service Connect.

Questo modello di connettività garantisce che i dati sensibili rimangano sotto il tuo controllo e nei limiti della rete, consentendo al contempo a Gemini Enterprise di accedere e utilizzare le informazioni contenute in queste origini dati. L'utilizzo di Private Service Connect consente di stabilire un canale di comunicazione sicuro e scalabile, bypassando la rete internet pubblica e riducendo al minimo i potenziali rischi per la sicurezza associati alle configurazioni di rete tradizionali.

Pattern di accesso per le origini dati con hosting autonomo.
Pattern di accesso per le origini dati self-hosted

Gemini Enterprise supporta i seguenti pattern di origini dati self-hosted:

  • On-premise o multi-cloud: origini dati di cui è stato eseguito il deployment nel tuo data center o in un altro provider di servizi cloud (ad esempio, Amazon Web Services EC2 o EKS o macchine virtuali Microsoft Azure), utilizzando la connettività di rete ibrida.

  • Google Kubernetes Engine: origini dati ospitate all'interno dei cluster GKE.

  • Google Cloud Compute Engine: origini dati di cui è stato eseguito il deployment su VM Google Compute Engine.

Utilizzo di Private Service Connect con servizi self-hosted

Private Service Connect è una funzionalità di rete che consente l'accesso privato dalla rete Virtual Private Cloud di un consumer ai servizi gestiti. Google Cloud Crea una connessione sicura ed esplicita tra un consumer di servizi e un producer di servizi, eliminando la necessità di peering Virtual Private Cloud, routing complessi o indirizzi IP pubblici.

Puoi configurare un deployment di Private Service Connect di Gemini Enterprise con:

  • Gemini Enterprise come consumer di servizi

  • La tua rete, contenente bilanciatori del carico che fanno riferimento a risorse on-premise, multi-cloud o Google Cloud di computing, come producer di servizi

Per informazioni sugli aspetti specifici dell'utilizzo di Private Service Connect per connettere il tuo servizio self-hosted a Gemini Enterprise, consulta le sezioni seguenti.

Configurazione della rete VPC e delle subnet

Tieni presente che:

  • L'allocazione dei proxy avviene a livello di VPC, non a livello di bilanciatore del carico. Devi creare una subnet solo proxy in ogni regione di una rete virtuale (VPC) in cui utilizzi bilanciatori del carico basati su Envoy. Se esegui il deployment di più bilanciatori del carico nella stessa regione e nella stessa rete VPC, questi condividono la stessa subnet solo proxy per il bilanciamento del carico.

  • I probe del controllo di integrità provengono dai proxy Envoy che si trovano nella subnet solo proxy all'interno della regione. Affinché i probe del controllo di integrità funzionino correttamente, devi creare regole firewall nell'ambiente esterno che consentano al traffico dalla subnet solo proxy di raggiungere i backend esterni.

  • La subnet solo proxy è la subnet di origine che ha come target il database cross-cloud. Assicurati che questa subnet venga annunciata da un router Cloud. Per saperne di più, consulta Annuncio di subnet VPC specifiche.

  • La subnet solo proxy deve essere inclusa nella lista consentita del firewall on-premise o cross-cloud.

  • Devi creare subnet solo proxy indipendentemente dal fatto che la rete VPC sia in modalità automatica o personalizzata. Una subnet solo proxy deve fornire almeno 64 indirizzi IP. Questo requisito corrisponde a una lunghezza del prefisso pari o inferiore a /26. La dimensione della subnet consigliata è /23 (512 indirizzi solo proxy).

Subnet NAT Private Service Connect

I pacchetti provenienti dalla rete VPC del consumer vengono tradotti utilizzando il NAT di origine (SNAT), in modo che gli indirizzi IP di origine originali vengano convertiti in indirizzi IP di origine dalla subnet NAT nella rete VPC del producer. Le subnet NAT di Private Service Connect non possono ospitare carichi di lavoro.

La dimensione minima della subnet per un NAT Private Service Connect è /29. Puoi aggiungere altre subnet NAT a un collegamento di servizio in qualsiasi momento, senza interrompere il traffico.

Puoi monitorare i servizi pubblicati utilizzando dashboard predefinite o Google Cloud metriche per il consumo NAT di Private Service Connect.

Configurazione del bilanciatore del carico

Un producer di servizi inserisce la propria applicazione o il proprio servizio dietro un Google Cloud bilanciatore del carico interno. Ti consigliamo di utilizzare un bilanciatore del carico proxy TCP interno. Se utilizzi Google Kubernetes Engine, puoi utilizzare un bilanciatore del carico di rete passthrough interno.

Poiché Gemini Enterprise non è disponibile in tutte le località, devi abilitare l'accesso globale quando crei la regola di forwarding del bilanciatore del carico interno. Se non abiliti l'accesso globale, la creazione dell'endpoint per Gemini Enterprise (il consumer di servizi) potrebbe non riuscire. Assicurati di aver abilitato l'accesso globale prima di creare il collegamento di servizio Private Service Connect. Per saperne di più sull'accesso client per i bilanciatori del carico interni, consulta Accesso client.

Configurazione del collegamento di servizio

Per pubblicare un servizio utilizzando Private Service Connect, un producer di servizi crea un collegamento di servizio. Questo collegamento consente ai consumer di servizi, come Gemini Enterprise, di connettersi al servizio del producer. Per informazioni sulla pubblicazione di un servizio e sulla creazione di un collegamento di servizio, consulta Pubblicare un servizio.

Il producer di servizi ha due opzioni principali per controllare le connessioni dei consumer, gestite utilizzando le seguenti preferenze di connessione:

  • Accetta automaticamente tutte le connessioni: consente a qualsiasi consumer di connettersi, senza approvazione esplicita.

  • Accetta connessioni per i progetti selezionati (approvazione esplicita): richiede di approvare manualmente ogni progetto che richiede una connessione. Con questa opzione, puoi scegliere di accettare o rifiutare un progetto.

    Se utilizzi l'approvazione esplicita del progetto, per stabilire una connessione al collegamento di servizio devi:

    1. Crea un datastore (ad esempio, un Jira Data Center datastore).

    2. Nella pagina Private Service Connect della Google Cloud console, accetta la connessione in attesa dal progetto tenant di Gemini Enterprise per il nuovo datastore. Puoi identificare il progetto tenant in base al relativo ID progetto, che termina con -tp. Per saperne di più, consulta Gestire le richieste di accesso a un servizio pubblicato.

    3. Nella pagina Gemini Enterprise della Google Cloud console, in Datastore, fai clic sul nome del nuovo datastore per visualizzarne lo stato. Lo stato del datastore viene visualizzato nella pagina Dati.

    Non puoi visualizzare l'ID progetto tenant di Gemini Enterprise finché non crei un datastore. Lo stato del datastore rimane Creazione finché non accetti la connessione del progetto in Private Service Connect.

Quando crei un collegamento di servizio, non selezionare il protocollo proxy a meno che non sia supportato dal servizio self-hosted. In caso contrario, si verifica un errore SSL/TLS. Puoi deselezionare il protocollo proxy modificando il collegamento di servizio.

Configurazione del firewall

Configura regole firewall in entrata per consentire il traffico tra la subnet NAT di Private Service Connect e le VM di backend nel bilanciatore del carico del servizio producer. Se utilizzi un NEG ibrido o internet come backend, non sono necessarie regole firewall.

Passaggi successivi