הפעלת גישה לשירותים פרטיים

בתור בעלים של שירות מנוהל, תוכלו לאפשר לצרכני השירות להקצות משאבים עם כתובות IP פרטיות (RFC 1918) וציבוריות. כשצרכני שירות רוצים להשתמש בכתובות IP פרטיות, עליהם להשתמש בגישה לשירותים פרטיים. עם זאת, צרכני שירות יכולים להשתמש בגישה לשירות פרטי רק אם האפשרות הזו קיימת בשירות המנוהל שלכם. כדי להציע קישוריות פרטית, צריך לבצע תהליך הצטרפות חד-פעמי.

בתהליך ההצטרפות תצטרכו להשתמש ב-Service Networking API וביחידות ייעודיות לדיירים בענן. לקבלת הוראות מפורטות מומלץ לפנות לנציג Google.

סקירה כללית

בקטעים הבאים מתוארים הרכיבים והטופולוגיה הכללית של הרשת שנדרשים להפעלת גישה לשירותים פרטיים עבור השירות המנוהל שלכם.

יחידות ייעודיות לדיירים בענן

כשצרכן שירות מפעיל את השירות המנוהל, נוצרת יחידה ייעודית לדייר בענן שמקשרת בין הארגון שלכם ב-Google Cloud לפרויקט של צרכן השירות. Google Cloud ביחידות ייעודיות לדיירים בענן מתבצעת הפרדה של המשאבים ועלויות החיוב בין צרכני שירות שונים.

יש שתי יחידות ייעודיות לדיירים בענן לכל צרכן שירות. יחידה אחת לשירות המנוהל שלכם ויחידה נוספת לשירות לניהול הרשאות הגישה הפרטית. השירות המנוהל הוא השירות החיצוני שאתם מציעים לצרכני השירות. בשירות לניהול הרשאות הגישה הפרטית מנוהלים החיבורים הפרטיים עם רשתות ה-VPC של צרכני השירות. היחידות הייעודיות לדיירים בענן צריכות להיות באותוGoogle Cloud ארגון שבו נמצא השירות המנוהל שלכם.

Service Networking

‏Service Networking מאפשר אוטומציה של הגדרת הקישוריות הפרטית (באמצעות קישור בין רשתות VPC שכנות – peering) ביניכם לבין צרכן השירות. ההפעלה של Service Networking והשימוש בו מבוצעים באותו הפרויקט שבו יצרתם את השירות לניהול הרשאות הגישה הפרטית. זהו פרויקט שונה מהפרויקט שכולל את השירות המנוהל.

כשצרכן שירות יוצר חיבור פרטי עם השירות המנוהל שלכם, ב-Service Networking נוצרים פרויקט מארח VPC משותף ורשת VPC משותפת. הפרויקט המארח והרשת נוצרים בתיקייה מוגדרת מראש Google Cloud בארגון שלכם. צריך לציין את שם התיקייה כחלק מתהליך ההצטרפות. הפרויקט והרשת נמצאים ביחידה ייעודית לדייר בענן, כך שהם מבודדים ויכולים לשמש רק את צרכן השירות.

אחרי שרשת ה-VPC המשותפת נוצרת באמצעות Service Networking, נוצר באופן אוטומטי גם קישור בין רשתות VPC שכנות (peering) – חיבור בין רשת ה-VPC המשותפת לבין רשת ה-VPC הספציפית של צרכן השירות.

כמו כן, צרכני השירות צריכים לספק הקצאה של טווח כתובות IP כשהם יוצרים את החיבור הפרטי. בהקצאה נשמרות כתובות IP שרק אתם, בתור בעלים של שירות מנוהל, יכולים להשתמש בהן. לדוגמה, אם צרכן מסוים מקצה משאב, בעזרת Service Networking תוכלו ליצור תת-רשתות ברשת ה-VPC המשותפת. לגבי טווח כתובות ה-IP של תת-הרשת, Service Networking בוחר טווח באופן אוטומטי מתוך הטווח שהוקצה. התהליך הזה מונע התנגשויות בין רשת ה-VPC המשותפת לבין רשת ה-VPC של צרכן השירות.

פרויקטים של שירות VPC משותף

כאשר השירות שלכם מקצה משאב של צרכן שירות בפעם הראשונה, השירות המנוהל מקצה אותו לפרויקט של שירות VPC משותף שמצורף לפרויקט המארח ב-Service Networking. הקישור של VPC משותף מאפשר למשאבים בפרויקט השירות להשתמש בתת-רשתות ברשת ה-VPC המשותפת.

בשירות המנוהל שלכם נוצר פרויקט השירות ביחידה ייעודית לדייר בענן ובתיקייה מוגדרת מראש, כפי שצוינו בתהליך ההצטרפות. התיקייה והיחידה הייעודית לדייר בענן קשורות לשירות המנוהל, והן שונות מאלה שבשימוש על ידי Service Networking.

הטופולוגיה של הרשת

בדוגמה הבאה מוצג צרכן שירות יחיד עם קישוריות פרטית לבעלים יחיד של שירות מנוהל. צרכן השירות מקצה שני משאבים באזורים שונים. כל משאב נמצא באזור אחר, לכן הם כלולים בתת-רשתות שונות.

סקירה כללית על Service Networking לבעלים של שירות מנוהל (לחצו כדי להגדיל)

  • יש שני פרויקטים של נקודות קצה (Endpoint): אחד לשירות המנוהל ואחד לשירות לניהול הרשאות הגישה הפרטית. שניהם צריכים להשתייך לאותו Google Cloud ארגון.

  • בארגון Google Cloud יש שתי תיקיות – אחת לכל אחד משירותי נקודות הקצה (Endpoint). התיקייה של השירות לניהול הרשאות הגישה הפרטית מכילה פרויקט מארח של VPC משותף לחיבור הפרטי. התיקייה של השירות המנוהל מכילה פרויקט שירות למשאבים של צרכני השירות.

    • בכל תיקייה, הפרויקטים שקשורים לצרכני השירות כלולים ביחידות ייעודיות לדיירים בענן. שתי היחידות הייעודיות לדיירים בענן משויכות ל-consumer-project-a.

  • צרכני שירות צריכים ליזום את החיבור הפרטי (שהוא גם קישור בין רשתות VPC שכנות). עליהם לספק הקצאה של טווח כתובות IP לחיבור הפרטי, ומשם מתקבלות כתובות ה-IP של תת-הרשתות. מידע נוסף על השלבים של צרכני השירות זמין במאמר הגדרת הגישה לשירותים פרטיים.

    • אם אתם מציעים מספר שירותים, צרכני השירות זקוקים רק לחיבור פרטי אחד. כלל התנועה מצרכני השירות ואליהם עוברת דרך הפרויקט המארח של ה-VPC המשותף.

  • בפרויקט יחיד של צרכן שירות, ניתן לאפשר לכמה רשתות VPC להתחבר באופן פרטי לשירותים שלכם. לשם כך יש צורך בפרויקט מארח של VPC משותף לכל רשת VPC מחוברת. עם זאת, אפשר לכלול את כל הפרויקטים האלה באותה יחידה ייעודית לדייר בענן מסוג consumer-project-a.

  • בפרויקט המארח, עליכם להגדיר מסלולים וכללי חומת אש כדי לאפשר קישוריות למשאבים חדשים. מאחר ששירותים אחרים יכולים להשתמש באותה רשת VPC משותפת, בעזרת הכללים האלה יכולים ניתן לאפשר או לדחות קישוריות בין השירותים השונים.

תהליך ההצטרפות

בקטע הזה פירטנו את השלבים בתהליך ההצטרפות באופן כללי. עליכם לבצע אותם בכל שירות מנוהל שיציע קישוריות פרטית. למידע נוסף, אפשר לפנות לנציג Google.

  1. יוצרים שירות לניהול הקישור בין רשתות שכנות (peering).

    זהו שירות מנוהל שנוצר על ידי בעלים של שירות מנוהל באמצעות Service Management ו-Endpoints API. למידע נוסף, אפשר לפנות לנציג Google.

  2. מוסרים לנציג Google את פרטי ההגדרה האלה:

    • הטווח המינימלי של כתובות IP שצרכני שירות חייבים להקצות כשהם מתחברים אליכם, מוגדר כאורך של קידומת IPv4. אם אתם מציעים כמה שירותים, כדאי לאפשר למשתמשים להקצות טווח גדול יותר של כתובות IP, למשל /16.
    • מזהה התיקייה שבה נוצרים פרויקטים מארחים של VPC משותף באמצעות השירות לניהול הרשאות הגישה הפרטית. תוכלו לחפש את מזהה התיקייה ב-Resource Manager.
    • החשבון לחיוב שמשויך לארגון שבו נוצרים פרויקטים מארחים של VPC משותף באמצעות השירות לניהול הרשאות הגישה הפרטית.
    • חשבונות המשתמשים (בדרך כלל אלה מספרי חשבונות שירות) שדרכם מנוהלים כללי חומת האש ברשת של הפרויקט המארח.

  3. מפעילים את ממשק ה-API של Compute Engine.

    לכל פרויקט מארח של VPC משותף צריך להפעיל את ‏API compute.googleapis.com. אפשר לבצע זאת באמצעות ממשקי Service Usage API או דרך הגדרות הפרויקט.

    כשמסיימים להקצות את המשאבים, צריך להגדיר כללי חומת אש לרשת ה-VPC המשותפת בפרויקט המארח. כדי לגשת לרשת ה-VPC צריך להשתמש בזהות שסיפקתם בתהליך ההצטרפות. אם אתם מציעים שירותים אחרים, יכול להיות שהשירותים האלה משתמשים באותה רשת VPC. לכן חשוב לא ליצור כללים שעלולים לאפשר או לדחות בטעות תנועה לשירותים אחרים.

  4. מעדכנים את צרכני השירות.

    צריך לעדכן את צרכני השירות שעליהם ליצור חיבור פרטי. מידע נוסף זמין במאמר הגדרת הגישה לשירותים פרטיים. צרכני השירות צריכים לספק את הפרטים הבאים:

    • שם הפרויקט והרשת שבהם רוצים ליצור קישוריות פרטית.
    • האזור ב-Cloud שבו המשאבים יוקצו.

המאמרים הבאים