שימוש ב-Private Service Connect עם Looker (Google Cloud Core)‎

אתם יכולים להשתמש ב-Private Service Connect כדי לגשת למופע של Looker (Google Cloud core) עם חיבורים פרטיים, או כדי לחבר מופע של Looker (Google Cloud core) עם חיבורים פרטיים לשירותים פנימיים או חיצוניים אחרים. כדי להשתמש ב-Private Service Connect, מופע Looker (Google Cloud core) צריך לעמוד בקריטריונים הבאים:

‫Private Service Connect מאפשר גישה נכנסת ל-Looker (ליבת Google Cloud) באמצעות נקודות קצה או בק-אנדים. אחרי שחושפים קבוצות של נקודות קצה ברשת (NEGs) כיצרני שירותים של Private Service Connect,‏ Looker (ליבת Google Cloud) יכול לגשת למשאבים יוצאים מקומיים, לסביבות מרובות עננים, לעומסי עבודה של VPC או לשירותי אינטרנט.

כדי לקבל מידע נוסף על Private Service Connect, אפשר לצפות בסרטונים What is Private Service Connect?‎ ו-Private Service Connect and Service Directory: A revolution to connect your application in Cloud.

קובץ מצורף עם השירות

כשיוצרים מופע של Looker (Google Cloud core) שמופעל בו Private Service Connect, ‏ Looker (Google Cloud core) יוצר באופן אוטומטי קובץ מצורף לשירות עבור המופע. שירות מצורף הוא נקודת צירוף שרשתות VPC משתמשות בה כדי לגשת למופע. לחיבור השירות יש URI שמשמש ליצירת חיבורים. אפשר למצוא את ה-URI הזה בDetails tab בדף ההגדרה של המופע במסוף Google Cloud .

לאחר מכן יוצרים בק-אנד של Private Service Connect שרשת VPC אחרת משתמשת בו כדי להתחבר לקובץ המצורף של השירות. כך הרשת יכולה לגשת למכונה של Looker (Google Cloud core).

עדכון של קובץ מצורף של שירות

כדי להפעיל תכונות חדשות כמו גישה גלובלית ותעודות שמנוהלות על ידי Google, נקודות הקצה (endpoints) או הבק-אנדים של Private Service Connect (PSC) בכניסה למופע צריכים להצביע על קובץ מצורף לשירות מעודכן. מידע נוסף והוראות זמינים בדף העברת חיבורים של Private Service Connect ל-URI החדש של קובץ השירות.

שימוש בגישה גלובלית

מכונות Looker (ליבת Google Cloud) שמשתמשות במזהה ה-URI המעודכן של קובץ מצורף לשירות Private Service Connect תומכות בגישה גלובלית. גישה גלובלית מאפשרת ליצור נקודת קצה (endpoint) של Private Service Connect באזור אחר מהאזור של מופע Looker (Google Cloud core). לדוגמה, אם המופע נמצא באזור us-central1, אפשר ליצור מאזן עומסים עם קבוצה של נקודות קצה ברשת (NEG) מסוג Private Service Connect באזור us-west1 כדי לגשת למופע.

כדי להפעיל את התכונה הזו, צריך לבחור באפשרות הפעלת גישה גלובלית בכלל ההעברה של הקצה העורפי או נקודת הקצה של Private Service Connect.

גישה נכנסת

בעיות בגישה נכנסת בהגדרת ניתוב מלקוחות אל Looker (הליבה של Google Cloud). ‫Looker (Google Cloud core) שנפרס עם Private Service Connect תומך בחיבורי קצה עורפי לגישה נכנסת.

‫Private Service Connect מאפשר לכם לשלוח תעבורה לנקודות קצה ולשרתי קצה עורפיים שמעבירים את התעבורה ל-Looker (ליבת Google Cloud).

צרכני שירות יכולים לגשת למופעים של Private Service Connect ב-Looker (ליבת Google Cloud) דרך מאזן עומסים של אפליקציות אזוריות חיצוני או באופן פרטי דרך קצה עורפי של Private Service Connect. עם זאת, Looker (Google Cloud core) תומך בדומיין מותאם אישית יחיד, ולכן הגישה הנכנסת למופע Looker (Google Cloud core) צריכה להיות ציבורית או פרטית, ולא ציבורית ופרטית.

בק-אנד

פריסת הבק-אנדים מתבצעת באמצעות קבוצות של נקודות קצה ברשת (NEGs), שמאפשרות לצרכנים להפנות תעבורה ציבורית ופרטית למאזן העומסים שלהם לפני שהתעבורה מגיעה לשירות Private Service Connect, וגם מציעות סיום של אימות אישורים. באמצעות מאזן עומסים, קצוות עורפיים מספקים את האפשרויות הבאות:

שימוש באישורים שמנוהלים על ידי Google עם דומיין מותאם אישית

אפשר להשתמש באישור שמנוהל על ידי Google עבור דומיינים מותאמים אישית שמשתמשים בפורמט *.private.looker.app. כדי לעשות זאת, צריך להגדיר את שרת ה-DNS הפרטי כך שיפנה את הדומיין המותאם אישית (לדוגמה, my-instance.private.looker.app) לכתובת ה-IP של נקודת הקצה של PSC.

מכיוון ש-Google מנהלת את האישור לדומיין *.private.looker.app, אתם לא צריכים ליצור או לנהל אישורים משלכם.

תוכלו להמשיך להשתמש בדומיינים מותאמים אישית אחרים, אבל תצטרכו לנהל אותם ולספק להם אישורים משלכם. מידע נוסף מופיע בדף שימוש בדומיין בהתאמה אישית עם אישורים שמנוהלים על ידי Google.

גישה לשירותים של שיחות יוצאות

‫Looker (ליבת Google Cloud) פועל כצרכן שירות כשמתבצעת תקשורת עם שירותים אחרים ב-VPC, ברשת מרובת עננים או באינטרנט. התחברות לשירותים האלה מ-Looker (הליבה של Google Cloud) נחשבת לתנועה יוצאת.

אם רוצים להתחבר לשירות חיצוני שמשתמש בפרוטוקול האינטרנט הרגיל, HTTPS, עם היציאות הזמינות 443 או 8443, אפשר להשתמש ביציאה מקורית מבוקרת של Looker (Google Cloud core) ובהגדרה Global FQDN כדי להגדיר את החיבור. עם זאת, אם השירות החיצוני משתמש בפרוטוקול אחר, צריך לפרסם אותו באמצעות Private Service Connect כדי לאפשר לו להתחבר למופע Looker (Google Cloud core) באמצעות Local FQDN.

כדי להתחבר לשירותים שפורסמו, פועלים לפי השלבים הבאים:

  1. מוודאים שהשירות פורסם. שירותים מסוימים Google Cloud , כמו Cloud SQL, יכולים לטפל בזה בשבילכם. למשל, ב-Cloud SQL אפשר ליצור מכונה עם Private Service Connect מופעל. אחרת, פועלים לפי ההוראות לפרסום שירות באמצעות Private Service Connect ונעזרים בהנחיות הנוספות בהוראות של Looker (Google Cloud core).
  2. מציינים את החיבור היוצא (egress) מ-Looker (Google Cloud core) לשירות.

כשניגשים לשירותים באמצעות Private Service Connect, אפשר להשתמש ב-NEGs עם קישוריות היברידית או ב-NEGs עם קישוריות לאינטרנט:

‫Private Service Connect מחבר את Looker (הליבה של Google Cloud) לשירותים באמצעות מאזני עומסים ו-NEGs היברידיים או אינטרנטיים.

  • קבוצת נקודות קצה (NEG) לקישוריות היברידית מספקת גישה לנקודות קצה פרטיות, כמו נקודות קצה מקומיות או מרובות עננים. ‫NEG קישוריות היברידית היא שילוב של כתובת IP ויציאה שהוגדרו כקצה עורפי למאזן עומסים. הוא נפרס באותו VPC כמו Cloud Router. הפריסה הזו מאפשרת לשירותים ב-VPC להגיע לנקודות קצה שניתן לנתב אליהן דרך קישוריות היברידית, כמו Cloud VPN או Cloud Interconnect.

  • קבוצת נקודות קצה ברשת האינטרנט מספקת גישה לנקודות קצה ציבוריות, למשל נקודת קצה של GitHub. קבוצת נקודות קצה ברשת האינטרנט מציינת קצה עורפי חיצוני למאזן העומסים. אפשר לגשת לשרת העורפי החיצוני הזה שאליו מתייחס ה-NEG של האינטרנט דרך האינטרנט.

אפשר ליצור חיבור יוצא מ-Looker (Google Cloud core) לספקי שירות בכל אזור. לדוגמה, אם יש לכם מכונות של Cloud SQL Private Service Connect באזורים us-west1 ו-us-east4, אתם יכולים ליצור חיבור יוצא ממכונה של Looker (Google Cloud core) Private Service Connect שנפרסה ב-us-central1.

שני קבצים מצורפים של שירותים אזוריים עם שמות דומיין ייחודיים יצוינו באופן הבא. הדגלים --region מתייחסים לאזור של מכונת Private Service Connect של Looker (ליבת Google Cloud), ואילו האזורים של מכונות Cloud SQL כלולים במזהי ה-URI של הקבצים המצורפים לשירות שלהן:

gcloud looker instances update looker-psc-instance \
--psc-service-attachment domain=sql.database1.com,attachment=projects/123/regions/us-west1/serviceAttachments/sql-database1-svc-attachment --region=us-central1 \
--psc-service-attachment domain=sql.database2.com,attachment=projects/123/regions/us-east4/serviceAttachment/sql-database2-svc-attachment --region=us-central1

כדי לאפשר גישה יוצאת לשירותים לא מנוהלים של Google, צריך להפעיל גישה גלובלית במאזן העומסים של הספק כדי לאפשר תקשורת בין אזורים.

המאמרים הבאים