Verbindung zu Cloud SQL herstellen

Auf dieser Seite finden Sie eine Übersicht über die Möglichkeiten, wie Sie eine Verbindung zu Ihrer Cloud SQL-Instanz herstellen können.

Bevor Sie eine Verbindung zu einer Cloud SQL-Instanz herstellen können, müssen Sie entscheiden, wie Sie Ihre Cloud SQL-Instanz und die unterstützenden Netzwerkressourcen bereitstellen und konfigurieren möchten. Wenn Ihre Cloud SQL-Instanz bereits konfiguriert und bereitgestellt ist, finden Sie auf dieser Seite Informationen zu den verschiedenen Möglichkeiten, wie Sie Ihre Clients mit der vorhandenen Instanz verbinden können.

IP-Adresstyp: privat oder öffentlich

Wenn Sie Ihre Cloud SQL-Instanz zum ersten Mal erstellen, können Sie auswählen, ob Sie die Instanz mit einer öffentlichen IP-Adresse, einer privaten IP-Adresse oder einer Kombination aus beiden konfigurieren möchten.

Sie wählen die IP-Adresskonfiguration Ihrer Instanz basierend auf Ihren Anwendungsanforderungen aus. Nachdem Sie die Instanz konfiguriert haben, geben Sie im Verbindungsstring des Clients entweder eine öffentliche IP-Adresse, eine private IP-Adresse oder in einigen Fällen einen DNS-Namen an.

Private IP-Adresse Öffentliche IP-Adresse
Beschreibung Interne, nur für das VPC-Netzwerk (Virtual Private Cloud) bestimmte (private) IP-Adresse Eine externe, über das Internet zugängliche (öffentliche) IP-Adresse
Entscheidungspunkte

Müssen Sie eine Verbindung von Clients herstellen, die in VPC-Netzwerken in Google Cloud gehostet werden, oder von Clients, die Zugriff auf diese VPC-Netzwerke haben?

Wenn ja, wählen Sie eine private IP-Adresse für die Instanz aus.

Müssen Sie eine Verbindung von Clients außerhalb des Google Cloud-VPC-Netzwerk über das öffentliche Internet herstellen?

Wenn ja, wählen Sie eine öffentliche IP-Adresse für die Instanz aus.
Konfigurationsoptionen

Die folgenden Arten von privaten Netzwerkkonfigurationen werden unterstützt:

  • Private Service Connect: Verbindung zu Cloud SQL-Instanzen aus mehreren VPC-Netzwerken herstellen, die zu verschiedenen Gruppen, Projekten oder Organisationen gehören. Private Service Connect ist die Standardoption für die Verbindung über private IP-Adressen für neue Projekte.
  • Zugriff auf private Dienste: Verbindung zu Cloud SQL-Instanzen von einem einzelnen VPC-Netzwerk basierend auf VPC-Netzwerk-Peering herstellen.

    • Weitere Informationen zur Auswahl einer privaten Netzwerkkonfiguration finden Sie unter Konfigurationsoptionen für private IP-Adressen.

Wenn Sie eine direkte Verbindung zu einer Instanz über eine öffentliche IP-Adresse herstellen, müssen Sie autorisierte Netzwerke konfigurieren.

Eine weitere, sicherere Alternative für die Verbindung mit einer Cloud SQL-Instanz, die eine öffentliche IP-Adresse verwendet, ist die Verwendung eines Cloud SQL-Connectors (z. B. des Cloud SQL Auth-Proxys oder eines der Cloud SQL-Sprach-Connectors).

Eine Anleitung zum Hinzufügen einer öffentlichen IP-Adresse zu Ihrer Instanz finden Sie unter Öffentliche IP-Adresse konfigurieren.

Wenn Sie eine Verbindung zu einer Cloud SQL-Instanz über eine öffentliche IP-Adresse herstellen möchten, können Sie den mysql-Client oder einen anderen verfügbaren Client verwenden.
Zusammenfassung

Empfehlung: Aus Sicherheitsgründen empfehlen wir, Ihre Instanz mit einem privaten IP-Adresstyp zu konfigurieren, es sei denn, Sie haben bestimmte Anforderungen an eine über das Internet zugängliche Cloud SQL-Instanz oder Sie stellen eine Verbindung von einem Client her, der die Anforderungen für eine VPC nicht erfüllt.

Verbindungstyp: Cloud SQL-Connector oder direkt

Wenn Sie eine Verbindung zu einer Cloud SQL-Instanz herstellen, können Sie einen Cloud SQL-Connector verwenden oder eine direkte Verbindung herstellen.

Ein Cloud SQL-Connector ist entweder der Cloud SQL Auth-Proxy oder einer der Cloud SQL Language Connectors.

Cloud SQL-Connector Direkte Verbindung
Beschreibung Der Cloud SQL Auth-Proxy, ein clientseitiger Proxy, und die Cloud SQL Language Connectors, clientseitige Bibliotheken, bieten einen vereinfachten und sicheren Zugriff auf Ihre Cloud SQL-Instanzen, insbesondere wenn Sie eine Verbindung zu einer Instanz über eine öffentliche IP-Adresse herstellen. Eine direkte Verbindung von einem Client zu einer Cloud SQL-Instanz bietet eine Verbindung mit geringerer Latenz. Eine direkte Verbindung kann entweder über eine öffentliche oder eine private IP-Adresse hergestellt werden.
Entscheidungspunkte

Cloud SQL-Connectors sind in den folgenden Szenarien nützlich:

  • Wenn Sie eine Verbindung zu einer Cloud SQL-Instanz über eine öffentliche IP-Adresse herstellen möchten, ohne autorisierte Netzwerke konfigurieren zu müssen.
  • Wenn Sie den Traffic zur und von der Datenbank automatisch mit Server- und Client-Identitätsüberprüfung verschlüsseln möchten, ohne SSL-Zertifikate verwalten zu müssen.
  • Wenn Sie die IAM-Datenbankauthentifizierung verwenden und Ihre OAuth 2.0-Zugriffstokens automatisch aktualisieren möchten.
  • Wenn Sie eine Verbindung von einem Client oder einer Anwendung herstellen, die eine dynamisch zugewiesene oder sitzungsspezifische IP-Adresse verwendet. Die dynamische IP-Konfiguration ist für PaaS-Anwendungen (Platform as a Service) üblich.

Eine direkte Verbindung bietet folgende Vorteile:

  • Geringere Latenz im Vergleich zu Verbindungen mit Cloud SQL-Connectors.
  • Im Gegensatz zu Cloud SQL-Connectors sind keine zusätzlichen Paket- oder Bibliotheksabhängigkeiten erforderlich.
  • Wenn Sie eine direkte Verbindung verwenden, sind Sie für die Konfiguration der SSL/TLS-Einstellungen verantwortlich.
Konfigurationsoptionen

So konfigurieren Sie SSL/TLS-Zertifikate auf der Cloud SQL-Instanz und für Ihren Client:

  1. Wählen Sie einen Modus für die Serverzertifizierungsstelle für Ihre Instanz aus.
  2. Konfigurieren Sie Ihre Instanz so, dass die SSL/TLS-Verschlüsselung für Verbindungen auf der Instanz erzwungen wird.
  3. Clientzertifikate erstellen
  4. Laden Sie die Server- und Clientzertifikate herunter.
Zusammenfassung

Wenn Sie eine Verbindung zu einer Cloud SQL-Instanz herstellen, können Sie entweder einen Cloud SQL-Connector verwenden oder eine direkte Verbindung von Clients herstellen.

Allgemeine Empfehlung: Wenn Sie eine Verbindung zu einer Instanz über eine private IP-Adresse herstellen, verwenden Sie eine direkte Verbindung. Wir empfehlen außerdem, SSL zu erzwingen und SSL/TLS-Zertifikate für Ihre Verbindung zu konfigurieren.

Wenn Sie eine Verbindung zu einer Instanz über eine öffentliche IP-Adresse herstellen, verwenden Sie einen Cloud SQL-Connector (entweder den Cloud SQL Auth-Proxy oder einen der Cloud SQL Language Connectors).

Datenbankauthentifizierungstyp: IAM oder integriert

Wenn Sie eine Verbindung zu einer Instanz herstellen, müssen Sie sich als Datenbanknutzer authentifizieren. Sie können zwischen der integrierten Authentifizierung und der IAM-Datenbankauthentifizierung wählen.

Authentifizierung der IAM-Datenbank Integrierte Authentifizierung
Beschreibung Mit der IAM-Datenbankauthentifizierung können Sie sich mit Google Cloud IAM-Nutzer- und -Dienstkonten bei Datenbanken authentifizieren, indem Sie kurzlebige Zugriffstokens anstelle von Passwörtern verwenden. Sie können Datenbankberechtigungen mithilfe von IAM-Hauptkonten wie Nutzern, Dienstkonten und Gruppen verwalten. Bei der integrierten Authentifizierung werden lokale Nutzernamen und Passwörter der Datenbank verwendet, um Datenbanknutzer zu authentifizieren.
Entscheidungspunkte Möchten Sie die Nutzerverwaltung für Google Cloud-Dienste mit IAM in Google Cloudzentralisieren? Wenn ja, verwenden Sie die IAM-Datenbankauthentifizierung. Haben Sie Anwendungen oder Workflows, die von der integrierten Datenbankauthentifizierung abhängen? Falls ja, verwenden Sie die integrierte Authentifizierung.
Konfigurationsoptionen

Sie können die IAM-Datenbankauthentifizierung für einzelne IAM-Nutzer, einzelne Dienstkonten und Gruppen verwenden. Weitere Informationen finden Sie unter Nutzer mit IAM-Datenbankauthentifizierung verwalten .

Wenn Sie einen Cloud SQL-Connector verwenden, übernimmt der Connector die automatische Aktualisierung der IAM-Zugriffstokens. Weitere Informationen finden Sie unter Automatische IAM-Datenbankauthentifizierung.

 Sie können die integrierte Datenbankauthentifizierung verwenden und Passwortrichtlinien auf Instanz- und Nutzerebene konfigurieren. Weitere Informationen finden Sie unter Integrierte Authentifizierung.
Zusammenfassung Empfehlung: Wenn Sie keine Anwendungen oder Workflows haben, die von der integrierten Datenbankauthentifizierung abhängen, sollten Sie nach Möglichkeit die IAM-Datenbankauthentifizierung verwenden.

Netzwerkoptionen aus einer Instanz entfernen

Cloud SQL unterstützt das Entfernen der folgenden Netzwerkoptionen aus einer Instanz:

  • Öffentliche IP-Adresse von einer Instanz mit Zugriff auf private Dienste und öffentlicher IP-Adresse
  • Öffentliche IP-Adresse von einer Instanz mit öffentlicher IP-Adresse, Zugriff auf private Dienste und Private Service Connect
  • Private Service Connect von einer Instanz mit Private Service Connect und Zugriff auf private Dienste
  • Private Service Connect von einer Instanz mit Private Service Connect, Zugriff auf private Dienste und öffentlicher IP-Adresse

Netzwerkoptionen für eine Instanz aktivieren

Cloud SQL unterstützt die Aktivierung der folgenden Verbindungsoptionen für Instanzen:

  • Zugriff auf private Dienste auf einer Instanz nur mit öffentlicher IP-Adresse
  • Private Service Connect auf einer Instanz, die nur Zugriff auf private Dienste hat
  • Private Service Connect auf einer Instanz mit Zugriff auf private Dienste und öffentlicher IP-Adresse
  • Öffentliche IP-Adresse auf einer Instanz, die nur Zugriff auf private Dienste hat

Beschränkungen

  • Sie können keine Instanz mit einer öffentlichen IP-Adresse und Private Service Connect erstellen.
  • Sie können den Zugriff auf private Dienste nicht von einer Instanz mit Zugriff auf private Dienste und Private Service Connect entfernen.
  • Sie können den Zugriff auf private Dienste nicht von einer Instanz mit Zugriff auf private Dienste und öffentlicher IP-Adresse entfernen.
  • Wenn Sie eine Instanz haben, die nur öffentliche IP-Adressen verwendet, können Sie nicht gleichzeitig den Zugriff auf private Dienste und Private Service Connect aktivieren. Aktivieren Sie zuerst den Zugriff auf private Dienste und dann Private Service Connect.
  • Sie können autorisierte Netzwerke nicht für IP-Adress-basierte Zulassungslisten für Private Service Connect-Instanzen verwenden.

Tools zum Herstellen einer Verbindung zu Cloud SQL

Die folgende Tabelle enthält einige Optionen für die Verbindung zu Cloud SQL:

Verbindungsoption Weitere Informationen
Cloud SQL Auth-Proxy
gcloud CLI
Cloud SQL-Sprachverbindungen
Cloud Shell
Apps Script
Cloud Code
Google Cloud Data Agent Kit
Verbindung mithilfe von Drittanbieter-Datenbankverwaltungstools herstellen
MySQL Workbench
Toad for MySQL
SQuirrel SQL
phpMyAdmin

Fehlerbehebung

Wenn beim Herstellen der Verbindung Probleme auftreten, lesen Sie die folgenden Seiten für das Debugging oder zur Suche nach Lösungen für bekannte Probleme:

Nächste Schritte