自行託管資料來源簡介

Gemini Enterprise 可安全連結至客戶管理、自行託管的第三方資料來源。這些連線是透過 Private Service Connect 生產端服務建立。

這種連線能力模式可確保機密資料仍由您控管，並保留在網路邊界內，同時允許 Gemini Enterprise 存取及使用這些資料來源中的資訊。使用 Private Service Connect，即可建立安全且可擴充的通訊管道，繞過公開網際網路，並盡可能降低與傳統網路設定相關的潛在安全風險。

自行託管資料來源的存取模式。
自行託管資料來源的存取模式

Gemini Enterprise 支援下列自行託管的資料來源模式：

  • 地端部署或多雲端：使用混合式網路連線，在資料中心或其他雲端服務供應商 (例如 Amazon Web Services EC2 或 EKS，或 Microsoft Azure 虛擬機器) 部署的資料來源。

  • Google Kubernetes Engine：託管於 GKE 叢集的資料來源。

  • Google Cloud Compute Engine：部署在 Google Compute Engine VM 上的資料來源。

搭配使用 Private Service Connect 與自行託管的服務

Private Service Connect 是 Google Cloud 網路功能，可讓用戶從虛擬私有雲網路，以私人方式存取代管服務。這項服務會在服務消費者和服務生產者之間建立安全、明確的連線，因此不需要虛擬私有雲對接、複雜的轉送或公開 IP 位址。

您可以透過下列方式，設定 Gemini Enterprise Private Service Connect 部署作業：

  • Gemini Enterprise 做為服務消費者

  • 您的網路，包含參照地端部署、多雲端或 Google Cloud 運算資源的負載平衡器，做為服務生產者

如要瞭解使用 Private Service Connect 將自行託管服務連結至 Gemini Enterprise 的特定方面，請參閱下列各節。

虛擬私有雲網路和子網路設定

請注意以下幾點：

  • Proxy 分配是在虛擬私有雲層級進行，而非負載平衡器層級。您必須在使用 Envoy 型負載平衡器的虛擬網路 (VPC) 中，為每個區域建立一個僅限 Proxy 子網路。如果您在同一個區域和同一個虛擬私有雲網路中部署多個負載平衡器，這些負載平衡器會共用同一個僅限 Proxy 的子網路，用於負載平衡。

  • 健康狀態檢查探測源自位於區域內僅限 Proxy 子網路中的 Envoy Proxy。為確保健康狀態檢查探測正常運作，您必須在外部環境中建立防火牆規則，允許流量從僅限 Proxy 的子網路傳送至外部後端。

  • Proxy 專用子網路是指定跨雲端資料庫的來源子網路。請確認這個子網路是由 Cloud Router advertise。詳情請參閱「advertise 特定虛擬私有雲子網路」。

  • Proxy 專用子網路必須列入地端部署或跨雲端防火牆的許可清單。

  • 無論虛擬私有雲網路是自動模式還是自訂模式，都必須建立僅限 Proxy 的子網路。僅限 Proxy 的子網路必須提供 64 個以上的 IP 位址。其對應的前置碼長度為 /26 以下。建議的子網路大小為 /23 (512 個 Proxy 專用位址)。

Private Service Connect NAT 子網路

系統會使用來源網路位址轉譯 (SNAT) 轉譯用戶端虛擬私有雲網路的封包，將原始來源 IP 位址轉換為供應商虛擬私有雲網路中 NAT 子網路的來源 IP 位址。Private Service Connect for NAT 子網路無法託管工作負載。

Private Service Connect NAT 的子網路大小下限為 /29。您隨時可以將其他網路位址轉譯子網路新增至服務連結，不會中斷流量。

您可以使用預先定義的資訊主頁或 Google Cloud 指標，監控已發布的服務，瞭解 Private Service Connect NAT 的用量。

負載平衡器設定

服務生產者會將其應用程式或服務置於Google Cloud 內部負載平衡器後方。建議您使用內部 TCP Proxy 負載平衡器。如果使用 Google Kubernetes Engine，則可使用內部直通式網路負載平衡器。

由於 Gemini Enterprise 並非在所有地區都可用，因此建立內部負載平衡器轉送規則時，必須啟用全域存取權。如果未啟用全域存取權，Gemini Enterprise (服務用戶) 的端點建立作業可能會失敗。建立 Private Service Connect 服務連結前，請務必啟用全域存取權。如要進一步瞭解內部負載平衡器的用戶端存取權，請參閱「用戶端存取權」。

服務連結設定

如要使用 Private Service Connect 發布服務，服務生產者必須建立服務連結。這項連結可讓 Gemini Enterprise 等服務消費者連線至供應商的服務。如要瞭解如何發布服務及建立服務連結，請參閱「發布服務」。

服務生產者有兩種主要選項可控管消費者連線，並使用下列連線偏好設定進行管理：

  • 「Automatically accept all connections」(自動接受所有連線)：允許任何用戶端連線，不需明確核准。

  • 接受所選專案的連線 (明確核准)：您必須手動核准每個要求連線的專案。您可以選擇接受或拒絕專案。

    如果您使用明確專案核准，則必須執行下列操作，才能建立與服務連結的連線：

    1. 建立資料儲存庫 (例如 Jira Data Center 資料儲存庫)。

    2. 在 Google Cloud控制台的「Private Service Connect」頁面中，接受 Gemini Enterprise 租戶專案對新資料儲存庫的待處理連線。租戶專案 ID 的結尾為 -tp，可用來識別租戶專案。詳情請參閱「管理已發布服務的存取要求」。

    3. 在 Google Cloud 控制台的「Gemini Enterprise」頁面，點選「Data stores」(資料儲存庫) 中的新資料儲存庫名稱，即可查看狀態。資料儲存庫的狀態會顯示在「Data」(資料) 頁面。

    必須先建立資料儲存庫，才能查看 Gemini Enterprise 租戶專案 ID。在您接受 Private Service Connect 中的專案連線之前，資料儲存庫狀態會維持「Creating」(建立中)。

建立服務連結時，除非自行託管的服務支援Proxy 通訊協定，否則請勿選取該通訊協定。否則會發生 SSL/TLS 錯誤。如要取消選取 Proxy 通訊協定，請編輯服務連結。

防火牆設定

設定輸入防火牆規則，允許 Private Service Connect NAT 子網路與供應商服務負載平衡器中的後端 VM 之間的流量。如果使用混合型或網際網路 NEG 做為後端，則不需要防火牆規則。

後續步驟