שימוש ב-Private Service Connect עם Looker (Google Cloud Core)‎

אפשר להשתמש ב-Private Service Connect כדי לגשת למופע של Looker (Google Cloud core) עם חיבורים פרטיים או כדי לחבר מופע של Looker (Google Cloud core) עם חיבורים פרטיים לשירותים פנימיים או חיצוניים אחרים. כדי להשתמש ב-Private Service Connect, מופע Looker (Google Cloud core) צריך לעמוד בקריטריונים הבאים:

‫Private Service Connect מאפשר גישה נכנסת ל-Looker (ליבת Google Cloud) באמצעות נקודות קצה או בק-אנדים. קבוצות של נקודות קצה ברשת (NEGs), אחרי שהן נחשפות כיצרני שירותים של Private Service Connect, מאפשרות ל-Looker (ליבת Google Cloud) לגשת למשאבים מקומיים יוצאים, לסביבות מרובות עננים, לעומסי עבודה ב-VPC או לשירותי אינטרנט.

כדי לקבל מידע נוסף על Private Service Connect, אפשר לצפות בסרטונים What is Private Service Connect?‎ ו-Private Service Connect and Service Directory: A revolution to connect your application in Cloud.

קובץ מצורף עם השירות

כשיוצרים מופע של Looker (Google Cloud core) שמופעל בו Private Service Connect, ‏ Looker (Google Cloud core) יוצר באופן אוטומטי קובץ מצורף לשירות עבור המופע. חיבור שירות הוא נקודת חיבור שרשתות VPC משתמשות בה כדי לגשת למופע. ל-Service Attachment יש URI שמשמש ליצירת חיבורים. אפשר למצוא את ה-URI הזה בDetails tab בדף ההגדרה של המופע במסוף Google Cloud .

לאחר מכן יוצרים בק-אנד של Private Service Connect שרשת VPC אחרת משתמשת בו כדי להתחבר לקובץ המצורף של השירות. כך הרשת יכולה לגשת למכונה של Looker (Google Cloud core).

עדכון של קובץ מצורף לשירות

כדי להפעיל תכונות חדשות כמו גישה גלובלית ותעודות שמנוהלות על ידי Google, נקודות הקצה (endpoints) או הבק-אנדים של Private Service Connect (PSC) בכניסה למופע צריכים להצביע על קובץ מצורף לשירות מעודכן. מידע נוסף והוראות זמינים בדף העברת חיבורים של Private Service Connect ל-URI החדש של קובץ השירות.

שימוש בגישה גלובלית

מכונות Looker (ליבת Google Cloud) שמשתמשות במזהה ה-URI המעודכן של קובץ מצורף לשירות Private Service Connect תומכות בגישה גלובלית. גישה גלובלית מאפשרת לכם ליצור נקודת קצה (endpoint) של Private Service Connect באזור אחר מהאזור של מכונת Looker (Google Cloud core). לדוגמה, אם המופע נמצא באזור us-central1, אפשר ליצור מאזן עומסים עם קבוצה של נקודות קצה ברשת (NEG) מסוג Private Service Connect באזור us-west1 כדי לגשת למופע.

כדי להפעיל את התכונה הזו, צריך לבחור באפשרות הפעלת גישה גלובלית בכלל ההעברה עבור הקצה העורפי או נקודת הקצה של Private Service Connect.

גישה נכנסת

בעיות בגישה נכנסת בהגדרת ניתוב מלקוחות אל Looker (הליבה של Google Cloud). ‫Looker (Google Cloud core) שנפרס באמצעות Private Service Connect תומך בחיבורים לקצה העורפי לגישה נכנסת.

‫Private Service Connect מאפשר לכם לשלוח תעבורת נתונים לנקודות קצה ולשרתי קצה עורפיים שמעבירים את תעבורת הנתונים ל-Looker (הליבה של Google Cloud).

צרכני שירות יכולים לגשת למופעים של Private Service Connect ב-Looker (ליבת Google Cloud) דרך מאזן עומסים של אפליקציות אזוריות חיצוני או באופן פרטי דרך קצה עורפי של Private Service Connect. עם זאת, Looker (Google Cloud core) תומך בדומיין מותאם אישית יחיד, ולכן הגישה הנכנסת למופע Looker (Google Cloud core) חייבת להיות ציבורית או פרטית, ולא ציבורית ופרטית.

קצה עורפי

פריסת הבק-אנדים מתבצעת באמצעות קבוצות של נקודות קצה ברשת (NEGs), שמאפשרות לצרכנים להפנות תעבורה ציבורית ופרטית למאזן העומסים שלהם לפני שהתעבורה מגיעה לשירות Private Service Connect, וגם מציעות סיום של אימות אישורים. באמצעות מאזן עומסים, קצוות עורפיים מספקים את האפשרויות הבאות:

  • ניראות (כל חיבור מתועד)
  • שילוב עם Cloud Armor
  • הסרת מיתוג מכתובות URL ואישורים בצד הלקוח
  • הוספת פרטים לבקשה (הוספת כותרות בקשה בהתאמה אישית)

שימוש באישור שמנוהל על ידי Google עם דומיין מותאם אישית

עכשיו אפשר להשתמש באישור שמנוהל על ידי Google עבור דומיינים מותאמים אישית בפורמט *.private.looker.app. כדי לעשות זאת, צריך להגדיר את שרת ה-DNS הפרטי כך שיפנה את הדומיין המותאם אישית (לדוגמה, my-instance.private.looker.app) לכתובת ה-IP של נקודת הקצה (endpoint) של ה-PSC.

מכיוון ש-Google מנהלת את האישור של הדומיין *.private.looker.app, אתם לא צריכים ליצור או לנהל אישורים משלכם.

אתם יכולים להמשיך להשתמש בדומיינים מותאמים אישית אחרים, אבל תצטרכו לנהל אותם ולספק אישורים משלכם עבורם. מידע נוסף מופיע בדף התיעוד בנושא שימוש בדומיין מותאם אישית עם אישורים שמנוהלים על ידי Google.

גישה לשירותים יוצאים

‫Looker (ליבת Google Cloud) פועל כצרכן שירות כשמתבצעת תקשורת עם שירותים אחרים ב-VPC, ברשת מרובת עננים או באינטרנט. התחברות לשירותים האלה מ-Looker (ליבת Google Cloud) נחשבת לתנועה יוצאת.

אם רוצים להתחבר לשירות חיצוני שמשתמש בפרוטוקול האינטרנט הרגיל, HTTPS, עם היציאות הזמינות 443 או 8443, אפשר להשתמש ביציאה מקורית מבוקרת של Looker (Google Cloud core) ובהגדרה Global FQDN כדי להגדיר את החיבור. עם זאת, אם השירות החיצוני משתמש בפרוטוקול אחר, צריך לפרסם אותו באמצעות Private Service Connect כדי לאפשר לו להתחבר למופע Looker (Google Cloud core) באמצעות Local FQDN.

כדי להתחבר לשירותים שפורסמו, פועלים לפי השלבים הבאים:

  1. מוודאים שהשירות פורסם. חלק מהשירותים יכולים לטפל בזה בשבילכם. לדוגמה, ב-Cloud SQL אפשר ליצור מכונה עם Private Service Connect מופעל. Google Cloud אחרת, פועלים לפי ההוראות לפרסום שירות באמצעות Private Service Connect ונעזרים בהנחיות הנוספות בהוראות ל-Looker (Google Cloud core).
  2. מציינים את החיבור היוצא (egress) מ-Looker (Google Cloud core) לשירות.

כשניגשים לשירותים באמצעות Private Service Connect, אפשר להשתמש ב-NEGs עם קישוריות היברידית או ב-NEGs עם קישוריות לאינטרנט:

‫Private Service Connect מחבר את Looker (הליבה של Google Cloud) לשירותים באמצעות מאזני עומסים ו-NEGs היברידיים או אינטרנטיים.

  • קבוצת נקודות קצה (NEG) לקישוריות היברידית מספקת גישה לנקודות קצה פרטיות, כמו נקודות קצה מקומיות או מרובות עננים. קבוצת נקודות קצה ברשת (NEG) עם קישוריות היברידית היא שילוב של כתובת IP ויציאה שמוגדרות כקצה עורפי למאזן עומסים. הוא נפרס באותו VPC כמו Cloud Router. הפריסה הזו מאפשרת לשירותים ב-VPC להגיע לנקודות קצה שניתן לנתב אליהן דרך קישוריות היברידית, כמו Cloud VPN או Cloud Interconnect.

  • קבוצת נקודות קצה באינטרנט מספקת גישה לנקודות קצה ציבוריות, למשל נקודת קצה של GitHub. קבוצת נקודות קצה באינטרנט מציינת בק-אנד חיצוני למאזן העומסים. אפשר לגשת לשרת העורפי החיצוני הזה שאליו מתייחסת קבוצת ה-NEG של האינטרנט דרך האינטרנט.

אפשר ליצור חיבור יוצא מ-Looker (Google Cloud core) לספקי שירות בכל אזור. לדוגמה, אם יש לכם מכונות של Cloud SQL Private Service Connect באזורים us-west1 ו-us-east4, אתם יכולים ליצור חיבור יוצא ממכונה של Looker (Google Cloud core) Private Service Connect שנפרסה ב-us-central1.

שני קבצים מצורפים של שירותים אזוריים עם שמות דומיין ייחודיים יצוינו באופן הבא. הדגלים --region מתייחסים לאזור של מכונת Private Service Connect של Looker (ליבת Google Cloud), בעוד שהאזורים של מכונות Cloud SQL כלולים במזהי ה-URI של הקבצים המצורפים לשירות:

gcloud looker instances update looker-psc-instance \
--psc-service-attachment domain=sql.database1.com,attachment=projects/123/regions/us-west1/serviceAttachments/sql-database1-svc-attachment --region=us-central1 \
--psc-service-attachment domain=sql.database2.com,attachment=projects/123/regions/us-east4/serviceAttachment/sql-database2-svc-attachment --region=us-central1

כדי לאפשר גישה יוצאת לשירותים מנוהלים שאינם של Google, צריך להפעיל גישה גלובלית במאזן העומסים של הספק כדי לאפשר תקשורת בין אזורים.

המאמרים הבאים