Présentation de Private Service Connect dans Cloud SQL

Ce document décrit les concepts associés à Private Service Connect. Vous pouvez utiliser Private Service Connect pour les opérations suivantes :

  • Fournissez une connectivité réseau privée à une instance Cloud SQL à partir de plusieurs réseaux de cloud privé virtuel (VPC) appartenant à différents groupes, équipes, projets ou organisations.
  • Fournir une connectivité réseau à une instance principale Cloud SQL ou à l'une de ses instances répliquées avec accès en lecture.

Private Service Connect est la méthode de connectivité privée par défaut pour les instances Cloud SQL dans les nouveaux projets.

Point de terminaison Private Service Connect

Vous pouvez utiliser des points de terminaison Private Service Connect pour accéder de manière privée aux instances Cloud SQL depuis vos réseaux VPC clients. Ces points de terminaison sont des adresses IP internes associées à une règle de transfert qui fait référence à un rattachement de service d'une instance Cloud SQL.

Vous pouvez laisser Cloud SQL créer automatiquement le point de terminaison ou le créer manuellement.

Créer un point de terminaison automatiquement

Pour que Cloud SQL crée automatiquement un point de terminaison, procédez comme suit :

  1. Créez une règle de connexion de service dans vos réseaux VPC.

  2. Créez une instance Cloud SQL avec Private Service Connect activé pour l'instance et configurez l'instance pour créer automatiquement un point de terminaison. Lors de la création de l'instance, spécifiez les paramètres de connexion automatique, tels que les réseaux VPC et les projets.

    Cloud SQL localise la règle de connexion au service dans ces réseaux et crée un point de terminaison Private Service Connect qui pointe vers le rattachement de service de l'instance.

    Une fois que vous avez créé l'instance et que Cloud SQL a créé le point de terminaison, les clients des réseaux VPC correspondants peuvent se connecter à l'instance à partir du point de terminaison, soit via une adresse IP, soit via un enregistrement DNS.

Créer un point de terminaison manuellement

Pour créer un point de terminaison manuellement, procédez comme suit :

  1. Créez une instance Cloud SQL avec Private Service Connect activé pour l'instance.
  2. Obtenez l'URI du rattachement de service dont vous avez besoin pour créer le point de terminaison manuellement.

  3. Réservez une adresse IP interne dans votre réseau VPC pour le point de terminaison et créez un point de terminaison avec cette adresse.

    Une fois que vous avez créé l'instance et que Cloud SQL a créé le point de terminaison, les clients des réseaux VPC correspondants peuvent se connecter à l'instance à partir du point de terminaison, soit via une adresse IP, soit via un enregistrement DNS.

Règle de connexion au service

Une règle de connexion de service vous permet d'autoriser une classe de service spécifiée à créer une connexion Private Service Connect entre des réseaux VPC. Vous pouvez ainsi provisionner automatiquement des points de terminaison Private Service Connect.

Vous pouvez créer au plus une règle pour chaque combinaison de classe de service, de région et de réseau VPC. Une règle détermine l'automatisation de la connectivité du service pour cette combinaison spécifique. Lorsque vous configurez une règle, vous sélectionnez un sous-réseau. Le sous-réseau permet d'allouer des adresses IP aux points de terminaison que vous créez via la règle. Si plusieurs règles de connexion de service partagent la même région, vous pouvez réutiliser le même sous-réseau pour toutes les règles.

Par exemple, si vous souhaitez utiliser l'automatisation de la connectivité du service avec deux services dans trois régions différentes, créez six règles. Vous pouvez utiliser au moins trois sous-réseaux, un pour chaque région.

Après avoir créé une règle de connexion de service, vous ne pouvez mettre à jour que les sous-réseaux et la limite de connexion de la règle. Si vous devez mettre à jour d'autres champs, procédez comme suit :

  1. Supprimez toutes les connexions qui utilisent la règle.
  2. Supprimez la stratégie.
  3. Créez une règle.

Rattachement de service

Lorsque vous créez une instance Cloud SQL et que vous la configurez pour qu'elle utilise Private Service Connect, Cloud SQL crée automatiquement un rattachement de service pour l'instance. Un rattachement de service est un point de rattachement que les réseaux VPC utilisent pour accéder à l'instance.

Vous créez un point de terminaison Private Service Connect que le réseau VPC utilise pour se connecter au rattachement de service. Cela permet au réseau d'accéder à l'instance.

Chaque instance Cloud SQL possède un rattachement de service auquel le point de terminaison Private Service Connect peut se connecter via le réseau VPC. S'il existe plusieurs réseaux, chacun d'eux possède son propre point de terminaison.

Noms et enregistrements DNS

Pour les instances sur lesquelles Private Service Connect est activé, nous vous recommandons de vous connecter à l'aide d'un nom DNS, car différents réseaux peuvent se connecter à la même instance et les points de terminaison Private Service Connect de chaque réseau peuvent avoir des adresses IP différentes. De plus, le proxy d'authentification Cloud SQL nécessite des noms DNS pour se connecter à ces instances. Consultez Configurer le DNS dans Private Service Connect.

Vous pouvez utiliser l'automatisation DNS pour provisionner et gérer automatiquement les enregistrements DNS de vos instances Cloud SQL dans vos réseaux VPC client autorisés.

Projets Private Service Connect autorisés

Pour vous connecter à des instances Cloud SQL sur lesquelles Private Service Connect est activé, vous devez ajouter au moins un projet à sa liste d'autorisation.

Cette liste d'autorisation contrôle les connexions à partir des points de terminaison Private Service Connect :

  • Si un projet figure dans la liste des projets autorisés, vous pouvez créer un point de terminaison Private Service Connect dans ce projet et vous connecter à votre instance Cloud SQL.
  • Si un projet ne figure pas dans la liste des projets autorisés, vous pouvez toujours essayer de créer un point de terminaison. Toutefois, la connexion sera bloquée et le nouveau point de terminaison restera à l'état PENDING tant que vous n'aurez pas ajouté ce projet à la liste d'autorisation.

Suppression et rapprochement de projets

Si vous supprimez un projet de la liste des projets autorisés :

  • Pour toutes les créations d'instances Cloud SQL, les clones et les activations de Private Service Connect en août 2026 et après, le comportement de rapprochement des connexions est activé par défaut et ne peut pas être désactivé. Lorsque vous supprimez un projet de la liste des projets autorisés, toutes les connexions Private Service Connect existantes du projet supprimé sont immédiatement fermées (rapprochées). Cela signifie que les applications utilisant des points de terminaison Private Service Connect dans ces projets supprimés ne peuvent plus se connecter à l'aide de ces points de terminaison.
  • Pour les instances créées avant août 2026, lorsque vous supprimez un projet de la liste des projets autorisés, les applications utilisant des points de terminaison Private Service Connect dans ces projets supprimés continuent de se connecter jusqu'à ce que vous supprimiez manuellement ces points de terminaison.

Propagation des points de terminaison Private Service Connect

Par défaut, les connexions Private Service Connect ne sont pas transitives à partir des réseaux VPC appairés. Vous devez créer un point de terminaison Private Service Connect dans chaque réseau VPC qui doit se connecter à votre instance Cloud SQL. Par exemple, si vous avez trois réseaux VPC qui doivent se connecter à votre instance, vous devez créer trois points de terminaison Private Service Connect, soit un point de terminaison pour chaque réseau VPC.

Toutefois, en propageant les points de terminaison Private Service Connect via le hub Network Connectivity Center, ces points de terminaison peuvent être accessibles par n'importe quel autre réseau VPC spoke du même hub. Le hub fournit un modèle de gestion de la connectivité centralisé pour interconnecter les réseaux VPC spoke aux points de terminaison Private Service Connect.

La fonctionnalité de propagation de connexion dans NCC est utile dans le cas d'utilisation suivant pour les déploiements Private Service Connect :

Vous pouvez utiliser un réseau VPC de services communs pour créer plusieurs points de terminaison Private Service Connect. En ajoutant un seul réseau VPC de services communs au hub NCC, tous les points de terminaison Private Service Connect du réseau VPC deviennent accessibles de manière transitive aux autres réseaux VPC spoke via le hub. Cette connectivité élimine la nécessité de gérer individuellement chaque point de terminaison Private Service Connect dans chaque réseau VPC.

Pour savoir comment utiliser le hub NCC pour propager des points de terminaison Private Service Connect vers des réseaux VPC spoke, consultez l'atelier de programmation sur la propagation de Private Service Connect avec NCC.

Backend Private Service Connect

Vous pouvez utiliser des backends Private Service Connect comme alternative aux points de terminaison Private Service Connect pour accéder aux instances Cloud SQL. Pour plus de simplicité, nous vous recommandons de vous connecter à vos instances Cloud SQL à l'aide de points de terminaison Private Service Connect. Pour plus de contrôle et de visibilité, vous pouvez vous connecter à l'aide de backends Private Service Connect.

Pour utiliser des backends Private Service Connect, vous devez configurer les ressources suivantes pour chaque port de diffusion sur lequel vous souhaitez accéder à une instance Cloud SQL donnée :

Les ports de diffusion compatibles avec PostgreSQL sont les suivants :

Connexions sortantes Private Service Connect

Vous pouvez associer une interface Private Service Connect à vos instances Cloud SQL existantes sur lesquelles Private Service Connect est activé à l'aide d'un rattachement de réseau pour permettre à votre instance Cloud SQL d'établir des connexions sortantes vers votre réseau. Pour vous connecter à l'interface Private Service Connect de votre réseau, vous avez besoin d'un rattachement de réseau nouveau ou existant dans votre projet Google Cloud .

Vous pouvez utiliser la connectivité sortante pour migrer des données d'un serveur externe de votre réseau, utiliser des extensions PostgreSQL qui nécessitent une connexion sortante vers votre instance Cloud SQL ou effectuer une migration homogène à l'aide de Database Migration Service.

Limites

Si vous configurez la connectivité sortante sur l'instance répliquée de reprise après sinistre (DR), après une opération de commutation ou de basculement d'instance répliquée, lorsque l'instance répliquée de reprise après sinistre est promue en instance principale, la connectivité sortante continue de fonctionner sur la nouvelle instance principale créée. Si vous ne configurez pas la connectivité sortante sur l'instance répliquée de DR, vous devez activer la connectivité sortante Private Service Connect sur la nouvelle instance principale pour que le service continue de fonctionner après une opération de permutation ou de basculement de l'instance répliquée.

Lorsque vous utilisez une interface Private Service Connect avec un rattachement de réseau pour créer des connexions sortantes vers votre réseau à partir de votre instance Cloud SQL, tenez compte des limites suivantes :

  • L'activation ou la désactivation de la connectivité sortante Private Service Connect nécessite un temps d'arrêt. Cette opération devrait prendre environ huit minutes, avec un temps d'arrêt d'environ trois minutes.

  • L'adresse IP du serveur de destination doit se trouver dans une plage d'adresses IP RFC 1918. Les adresses IP publiques et les plages d'adresses IP privées non RFC 1918, telles que la plage RFC 6598 100.64.0.0/10, ne sont pas acceptées. Si vous utilisez un nom d'hôte ou un DNS pour votre connexion sortante, le nom DNS doit pouvoir être résolu publiquement et correspondre à une plage d'adresses IP RFC 1918.

  • Les adresses IPv6 ne sont pas acceptées.

  • Si l'adresse IP de connectivité sortante entre en conflit avec l'adresse IP eth0 ou la règle de transfert Private Service Connect, l'adresse IP risque de ne pas se connecter correctement. Pour en savoir plus, consultez la présentation de Private Service Connect.

  • Vous ne pouvez pas activer la connectivité sortante Private Service Connect lorsque vous créez l'instance Cloud SQL. Pour activer la connectivité sortante, vous devez modifier les paramètres de votre instance après sa création.

  • Si votre instance est configurée à la fois pour l'accès aux services privés et pour Private Service Connect, vous ne pouvez pas activer la connectivité sortante de Private Service Connect pour votre instance.

  • La connectivité sortante de Private Service Connect ne peut pas être activée sur les instances de pool de lecture.

Pour en savoir plus sur la configuration de la connectivité sortante pour votre instance Cloud SQL, consultez Configurer la connectivité sortante.

Étapes suivantes