בחירה של אופן ההתחברות ל-Cloud SQL

בדף הזה מוסברות הדרכים השונות להתחבר למכונה של Cloud SQL.

לפני שמתחברים למכונה של Cloud SQL, צריך להחליט איך לפרוס ולהגדיר את המכונה של Cloud SQL ואת משאבי הרשת שתומכים בה. אם כבר הגדרתם ופרסתם את מכונת Cloud SQL, תוכלו להיעזר בדף הזה כדי להבין את הדרכים השונות שבהן אפשר לחבר את הלקוחות למכונה הקיימת.

סוג כתובת ה-IP: פרטית או ציבורית

כשיוצרים מכונה של Cloud SQL בפעם הראשונה, אפשר לבחור אם להגדיר אותה עם כתובת IP ציבורית, כתובת IP פרטית או שילוב של שתיהן.

אתם בוחרים את הגדרת כתובת ה-IP של המכונה בהתאם לדרישות של האפליקציה. אחרי שמגדירים את המכונה, מציינים כתובת IP ציבורית, כתובת IP פרטית או במקרים מסוימים שם DNS במחרוזת החיבור של הלקוח.

כתובת IP פרטית כתובת IP ציבורית
תיאור כתובת IP פנימית (פרטית) ברשת של ענן וירטואלי פרטי (VPC) בלבד כתובת IP חיצונית (ציבורית) עם גישה לאינטרנט
נקודות התפצלות

האם אתם צריכים להתחבר מלקוחות שמתארחים ברשתות VPC ב- Google Cloud או מלקוחות שיש להם גישה לרשתות ה-VPC האלה?

אם כן, בוחרים כתובת IP פרטית למכונה.

האם אתם צריכים להתחבר מלקוחות מחוץ לרשת ה-VPC של Google Cloudדרך האינטרנט הציבורי?

אם כן, בוחרים כתובת IP ציבורית למכונה.
אפשרויות להגדרות אישיות

אפשר להגדיר את הסוגים הבאים של רשתות פרטיות:

  • ‫Private Service Connect: התחברות למכונות Cloud SQL מכמה רשתות VPC ששייכות לקבוצות, לפרויקטים או לארגונים שונים. ‫Private Service Connect היא האפשרות שמוגדרת כברירת מחדל לקישוריות IP פרטית בפרויקטים חדשים.
  • גישה לשירותים פרטיים: התחברות למכונות Cloud SQL מרשת VPC אחת, על סמך קישור בין רשתות VPC שכנות (peering).

    • למידע נוסף על בחירת הגדרה של רשת פרטית, קראו את המאמר אפשרויות להגדרת כתובת IP פרטית.

כשמתחברים ישירות למכונה באמצעות כתובת IP ציבורית, צריך להגדיר רשתות מורשות.

דרך חלופית ומאובטחת יותר להתחבר למכונה של Cloud SQL שמשתמשת בכתובת IP ציבורית היא להשתמש במחבר של Cloud SQL (כמו Cloud SQL Auth Proxy או אחד ממחברי השפה של Cloud SQL).

הוראות להוספת כתובת IP ציבורית למכונה מפורטות במאמר הגדרת כתובת IP ציבורית.

כדי להתחבר למכונה של Cloud SQL באמצעות כתובת IP ציבורית, אתם יכולים להשתמש בלקוח mysql או בלקוח זמין אחר.
סיכום

המלצה: כדי לשפר את האבטחה, מומלץ להגדיר את המכונה עם כתובת IP פרטית, אלא אם יש לכם דרישות ספציפיות למכונה של Cloud SQL עם גישה לאינטרנט, או אם אתם מתחברים מלקוח שלא עומד בדרישות של VPC.

סוג החיבור: מחבר Cloud SQL או חיבור ישיר

כשיוצרים חיבור למכונה של Cloud SQL, אפשר להשתמש במחבר של Cloud SQL או ליצור חיבור ישיר.

מחבר Cloud SQL הוא Cloud SQL Auth Proxy או אחד ממחברי השפה של Cloud SQL.

מחבר Cloud SQL קישור ישיר
תיאור ‫Cloud SQL Auth Proxy (שרת proxy בצד הלקוח) ו-Cloud SQL Language Connectors (ספריות בצד הלקוח) מאפשרים גישה פשוטה ומאובטחת למכונות של Cloud SQL, במיוחד כשמתחברים למכונה באמצעות כתובת IP ציבורית. חיבור ישיר מלקוח למכונה של Cloud SQL מספק חיבור עם זמן אחזור קצר יותר. אפשר ליצור חיבור ישיר מכתובת IP ציבורית או פרטית.
נקודות התפצלות

כדאי להשתמש במחברים של Cloud SQL בתרחישים הבאים:

  • כשרוצים להתחבר למכונה של Cloud SQL באמצעות כתובת IP ציבורית בלי להגדיר רשתות מורשות.
  • כשרוצים להצפין באופן אוטומטי את התנועה אל מסד הנתונים וממנו, באמצעות אימות זהות של השרת והלקוח, בלי לנהל אישורי SSL.
  • כשמשתמשים באימות של מסד נתונים באמצעות IAM ורוצים לרענן באופן אוטומטי את טוקני הגישה מסוג OAuth 2.0.
  • כשמתחברים מלקוח או מאפליקציה שמשתמשים בכתובת IP זמנית או בכתובת IP שמוקצית באופן דינמי. הגדרת IP דינמית יכולה להיות נפוצה באפליקציות של פלטפורמה כשירות (PaaS).

היתרונות של שימוש בקישור ישיר:

  • זמן אחזור קצר יותר בהשוואה לחיבורים באמצעות מחברי Cloud SQL.
  • בניגוד למחברים של Cloud SQL, אין תלות בחבילה או בספרייה נוספת.
  • כשמשתמשים בחיבור ישיר, אתם אחראים לקבוע את הגדרות ה-SSL/TLS.
אפשרויות להגדרות אישיות

כדי להגדיר אישורי SSL/TLS במכונה של Cloud SQL ובמחשב הלקוח:

  1. בחירת מצב CA של השרת למכונה.
  2. מגדירים את המכונה כך שתאכוף הצפנת SSL/TLS לחיבורים במכונה.
  3. יוצרים אישורי לקוח.
  4. מורידים את אישורי השרת והלקוח.
סיכום

כשמתחברים למכונה של Cloud SQL, אפשר להשתמש במחבר של Cloud SQL או להתחבר ישירות מלקוחות.

המלצה כללית: אם אתם מתחברים למכונה באמצעות כתובת IP פרטית, השתמשו בחיבור ישיר. אנחנו גם ממליצים לאכוף SSL ולהגדיר אישורי SSL/TLS לחיבור.

אם אתם מתחברים למכונה באמצעות כתובת IP ציבורית, השתמשו במחבר של Cloud SQL (‏Cloud SQL Auth Proxy או אחד ממחברי השפה של Cloud SQL).

סוג האימות של מסד הנתונים: IAM או מובנה

כשמתחברים למכונה, צריך לבצע אימות כמשתמש במסד הנתונים. אפשר לבחור בין אימות מובנה לבין אימות מסד נתונים של IAM.

אימות מסד נתונים ב-IAM אימות מובנה
תיאור אימות מסד נתונים באמצעות IAM מאפשר לבצע אימות במסדי נתונים באמצעות חשבונות משתמשים וחשבונות שירות של Google Cloud , באמצעות טוקני גישה לטווח קצר במקום סיסמאות. אתם יכולים לנהל את ההרשאות למסד הנתונים באמצעות חשבונות משתמשים ב-IAM, כמו משתמשים, חשבונות שירות וקבוצות. אימות מובנה משתמש בשמות משתמשים ובסיסמאות מקומיים של מסד הנתונים כדי לאמת את המשתמשים במסד הנתונים.
נקודות התפצלות האם אתם מעדיפים לרכז את ניהול המשתמשים בשירותי Google Cloudבאמצעות IAM ב- Google Cloud? אם כן, השתמשו באימות של מסד הנתונים באמצעות IAM. האם יש לכם אפליקציות או תהליכי עבודה שמסתמכים על אימות מובנה של מסד נתונים? אם כן, צריך להשתמש באימות מובנה.
אפשרויות להגדרות אישיות

אתם יכולים להשתמש באימות של מסד נתונים באמצעות IAM למשתמשי IAM ספציפיים, לחשבונות שירות ספציפיים ולקבוצות. מידע נוסף זמין במאמר ניהול משתמשים באמצעות אימות מסד נתונים של IAM .

אם אתם משתמשים במחבר של Cloud SQL, המחבר מטפל ברענון האוטומטי של טוקני הגישה של IAM. מידע נוסף זמין במאמר אימות אוטומטי של מסד נתונים באמצעות IAM.

 אתם יכולים להשתמש באימות מובנה של מסד הנתונים ולהגדיר כללי מדיניות לסיסמאות ברמת המכונה וברמת המשתמש. מידע נוסף זמין במאמר אימות מובנה.
סיכום המלצה: אם אין לכם אפליקציות או תהליכי עבודה שתלויים באימות מובנה של מסד נתונים, השתמשו באימות של מסד נתונים ב-IAM כשאפשר.

הסרת אפשרויות הרשת ממכונה

ב-Cloud SQL אפשר להסיר ממכונה את אפשרויות הרשת הבאות:

  • כתובת IP ציבורית ממכונה עם גישה לשירותים פרטיים וגם כתובת IP ציבורית
  • כתובת IP ציבורית ממכונה עם כתובת IP ציבורית, גישה לשירותים פרטיים ו-Private Service Connect
  • ‫Private Service Connect ממכונה עם Private Service Connect וגם עם גישה לשירותים פרטיים
  • ‫Private Service Connect ממכונה עם Private Service Connect, גישה לשירותים פרטיים וכתובת IP ציבורית

הפעלת אפשרויות הרשת של מכונה

ב-Cloud SQL אפשר להפעיל את אפשרויות החיבור הבאות למכונות:

  • גישה לשירותים פרטיים במכונה עם כתובת IP ציבורית בלבד
  • ‫Private Service Connect במכונה עם גישה לשירותים פרטיים בלבד
  • ‫Private Service Connect במכונה עם גישה לשירותים פרטיים וכתובת IP ציבורית
  • כתובת IP ציבורית במכונה עם גישה לשירותים פרטיים בלבד

מגבלות

  • אי אפשר ליצור מכונה עם כתובת IP ציבורית וגם עם Private Service Connect.
  • אי אפשר להסיר את הגישה לשירותים פרטיים ממכונה עם גישה לשירותים פרטיים ו-Private Service Connect.
  • אי אפשר להסיר את הגישה לשירותים פרטיים ממכונה עם גישה לשירותים פרטיים וכתובת IP ציבורית.
  • אם יש לכם מכונה שמשתמשת רק בכתובת IP ציבורית, אתם לא יכולים להפעיל גם את הגישה לשירותים פרטיים וגם את Private Service Connect בו-זמנית. קודם מפעילים את הגישה לשירותים פרטיים, ואז מפעילים את Private Service Connect.
  • אי אפשר להשתמש ברשתות מורשות כדי להוסיף לרשימת ההיתרים כתובות IP של מכונות Private Service Connect.

כלים להתחברות ל-Cloud SQL

בטבלה הבאה מפורטות כמה אפשרויות להתחברות ל-Cloud SQL:

אפשרות החיבור מידע נוסף
Cloud SQL Auth Proxy
ה-CLI של gcloud
מחברים של שפות ב-Cloud SQL
Cloud Shell
Apps Script
Cloud Code
Google Cloud Data Agent Kit
התחברות באמצעות כלים של צד שלישי לניהול מסדי נתונים
MySQL Workbench
Toad for MySQL
SQuirrel SQL
phpMyAdmin

פתרון בעיות

אם נתקלתם בבעיות בחיבור, תוכלו להיעזר בדפים הבאים כדי לנפות באגים או למצוא פתרונות לבעיות מוכרות:

המאמרים הבאים