Panoramica di Private Service Connect in Cloud SQL

Questo documento descrive i concetti associati a Private Service Connect. Puoi utilizzare Private Service Connect per:

  • Fornire connettività di rete privata a un'istanza Cloud SQL da più reti Virtual Private Cloud (VPC) appartenenti a gruppi, team, progetti o organizzazioni diversi.
  • Fornire connettività di rete a un'istanza Cloud SQL principale o a una delle sue repliche di lettura.

Private Service Connect è il metodo di connettività privata predefinito per le istanze Cloud SQL nei nuovi progetti.

Endpoint Private Service Connect

Puoi utilizzare gli endpoint Private Service Connect per accedere privatamente alle istanze Cloud SQL dalle tue reti VPC consumer. Questi endpoint sono indirizzi IP interni associati a una regola di forwarding che fa riferimento a un collegamento al servizio di un'istanza Cloud SQL.

Puoi fare in modo che Cloud SQL crei l'endpoint automaticamente o puoi crearlo manualmente.

Crea un endpoint automaticamente

Per fare in modo che Cloud SQL crei automaticamente un endpoint, segui questi passaggi:

  1. Crea una policy di connessione al servizio nelle reti VPC.

  2. Crea un'istanza Cloud SQL con Private Service Connect abilitato per l'istanza e configurala in modo che crei automaticamente un endpoint. Durante la creazione dell'istanza, specifica i parametri di connessione automatica, come le reti VPC e i progetti.

    Cloud SQL individua la policy di connessione al servizio in queste reti e crea un endpoint Private Service Connect che punta al collegamento al servizio dell'istanza.

    Dopo aver creato l'istanza e dopo che Cloud SQL ha creato l'endpoint, i client nelle reti VPC corrispondenti possono connettersi all'istanza dall'endpoint, tramite un indirizzo IP o un record DNS.

Crea un endpoint manualmente

Per creare un endpoint manualmente:

  1. Crea un'istanza Cloud SQL con Private Service Connect abilitato per l'istanza.
  2. Recupera l'URI del collegamento al servizio necessario per creare manualmente l'endpoint.

  3. Prenota un indirizzo IP interno nella tua rete VPC per l'endpoint e crea un endpoint con quell'indirizzo.

    Dopo aver creato l'istanza e dopo che Cloud SQL ha creato l'endpoint, i client nelle reti VPC corrispondenti possono connettersi all'istanza dall'endpoint, tramite un indirizzo IP o un record DNS.

Policy di connessione al servizio

Una policy di connessione ai servizi ti consente di autorizzare una classe di servizi specificata a creare una connessione Private Service Connect tra reti VPC. Di conseguenza, puoi eseguire il provisioning automatico degli endpoint Private Service Connect.

Puoi creare un massimo di una policy per ogni combinazione di classe di servizio, regione e rete VPC. Una policy determina l'automazione della connettività dei servizi per quella combinazione specifica. Quando configuri una policy, selezioni una subnet. La subnet viene utilizzata per allocare gli indirizzi IP per gli endpoint che crei tramite la policy. Se più policy di connessione ai servizi condividono la stessa regione, puoi riutilizzare la stessa subnet per tutte le policy.

Ad esempio, se vuoi utilizzare l'automazione della connettività dei servizi con due servizi in tre regioni diverse, crea sei policy. Puoi utilizzare un minimo di tre subnet: una per ogni regione.

Dopo aver creato una policy di connessione al servizio, puoi aggiornare solo le subnet e il limite di connessioni della policy. Se devi aggiornare altri campi, segui questi passaggi:

  1. Rimuovi tutte le connessioni che utilizzano la policy.
  2. Elimina la policy.
  3. Crea una nuova policy.

Collegamento servizio

Quando crei un'istanza Cloud SQL e la configuri per l'utilizzo di Private Service Connect, Cloud SQL crea automaticamente un collegamento al servizio per l'istanza. Un collegamento al servizio è un punto di collegamento utilizzato dalle reti VPC per accedere all'istanza.

Crei un endpoint Private Service Connect utilizzato dalla rete VPC per connettersi al collegamento al servizio. In questo modo la rete può accedere all'istanza.

Ogni istanza Cloud SQL ha un collegamento al servizio a cui l'endpoint Private Service Connect può connettersi tramite la rete VPC. Se sono presenti più reti, ognuna ha il proprio endpoint.

Nomi e record DNS

Per le istanze con Private Service Connect abilitato, ti consigliamo di connetterti utilizzando un nome DNS, perché reti diverse possono connettersi alla stessa istanza e gli endpoint Private Service Connect in ogni rete potrebbero avere indirizzi IP diversi. Inoltre, il proxy di autenticazione Cloud SQL richiede i nomi DNS per connettersi a queste istanze. Consulta Configura il DNS in Private Service Connect.

Puoi utilizzare l'automazione DNS per eseguire automaticamente il provisioning e la gestione dei record DNS per le tue istanze Cloud SQL nelle reti VPC consumer autorizzate.

Progetti Private Service Connect consentiti

Per connetterti alle istanze Cloud SQL con Private Service Connect abilitato, devi aggiungere almeno un progetto alla relativa lista consentita.

Questa lista consentita controlla le connessioni dagli endpoint Private Service Connect:

  • Se un progetto è nell'elenco dei progetti consentiti, puoi creare correttamente un endpoint Private Service Connect in quel progetto e connetterti alla tua istanza Cloud SQL.
  • Se un progetto non è nell'elenco dei progetti consentiti, puoi comunque provare a creare un nuovo endpoint. Tuttavia, la connessione verrà bloccata e il nuovo endpoint rimarrà nello stato PENDING finché non aggiungi il progetto alla lista consentita.

Rimozione e riconciliazione dei progetti

Se rimuovi un progetto dall'elenco dei progetti consentiti:

  • Per tutte le creazioni, i cloni e le attivazioni di Private Service Connect delle istanze Cloud SQL ad agosto 2026 e successivamente, il comportamento di riconciliazione della connessione è abilitato per impostazione predefinita e non può essere disabilitato. Quando rimuovi un progetto dall'elenco dei progetti consentiti, tutte le connessioni Private Service Connect esistenti dal progetto rimosso vengono chiuse (riconciliate) immediatamente. Ciò significa che le applicazioni che utilizzano gli endpoint Private Service Connect nei progetti rimossi non possono continuare a connettersi utilizzando questi endpoint.
  • Per le istanze create prima di agosto 2026, quando rimuovi un progetto dall'elenco dei progetti consentiti, le applicazioni che utilizzano gli endpoint Private Service Connect nei progetti rimossi continuano a connettersi finché non rimuovi manualmente gli endpoint.

Propagazione endpoint Private Service Connect

Per impostazione predefinita, le connessioni Private Service Connect non sono transitive dalle reti VPC in peering. Devi creare un endpoint Private Service Connect in ogni rete VPC che deve connettersi alla tua istanza Cloud SQL. Ad esempio, se hai tre reti VPC che devono connettersi alla tua istanza, devi creare tre endpoint Private Service Connect, uno per ogni rete VPC.

Tuttavia, propagando gli endpoint di Private Service Connect tramite l'hub di Network Connectivity Center, questi endpoint possono essere raggiungibili da qualsiasi altra rete VPC spoke nello stesso hub. L'hub fornisce un modello di gestione della connettività centralizzato per interconnettere le reti VPC spoke agli endpoint Private Service Connect.

La funzionalità di propagazione della connessione in NCC offre i seguenti vantaggi per i deployment di Private Service Connect:

Puoi utilizzare una rete VPC di servizi comuni per creare più endpoint Private Service Connect. Aggiungendo una singola rete VPC di servizi comuni all'hub NCC, tutti gli endpoint Private Service Connect nella rete VPC diventano accessibili in modo transitivo ad altre reti VPC spoke tramite l'hub. Questa connettività elimina la necessità di gestire singolarmente ogni endpoint Private Service Connect in ogni rete VPC.

Per scoprire come utilizzare l'hub NCC per propagare gli endpoint Private Service Connect alle reti VPC spoke, consulta il codelab sulla propagazione di Private Service Connect con NCC.

Backend Private Service Connect

Puoi utilizzare i backend Private Service Connect come alternativa agli endpoint Private Service Connect per accedere alle istanze Cloud SQL. Per facilità d'uso, ti consigliamo di connetterti alle tue istanze Cloud SQL utilizzando gli endpoint Private Service Connect. Per un maggiore controllo e una maggiore visibilità, puoi connetterti utilizzando i backend Private Service Connect.

Per utilizzare i backend Private Service Connect, devi configurare le seguenti risorse per ogni porta di distribuzione su cui vuoi accedere a una determinata istanza Cloud SQL:

Le porte di pubblicazione supportate per PostgreSQL sono le seguenti:

Connessioni in uscita di Private Service Connect

Puoi collegare un'interfaccia Private Service Connect alle tue istanze Cloud SQL abilitate per Private Service Connect esistenti utilizzando un collegamento di rete per consentire all'istanza Cloud SQL di stabilire connessioni in uscita alla tua rete. Per connetterti all'interfaccia Private Service Connect della tua rete, devi avere un collegamento di rete nuovo o esistente all'interno del tuo progetto Google Cloud .

Puoi utilizzare la connettività in uscita per eseguire la migrazione dei dati da un server esterno all'interno della tua rete, utilizzare le estensioni PostgreSQL che richiedono una connessione in uscita alla tua istanza Cloud SQL o eseguire una migrazione omogenea utilizzando Database Migration Service.

Limitazioni

Se configuri la connettività in uscita sulla replica di disaster recovery (RE), dopo un'operazione di cambio o failover della replica, quando la replica di RE viene promossa a istanza principale, la connettività in uscita continua a funzionare sulla nuova istanza principale creata. Se non configuri la connettività in uscita sulla replica di RE, affinché il servizio continui a funzionare dopo un'operazione di cambio o failover della replica, devi abilitare la connettività in uscita di Private Service Connect sulla nuova istanza principale.

Quando utilizzi un'interfaccia Private Service Connect con un collegamento di rete per creare connessioni in uscita alla tua rete dalla tua istanza Cloud SQL, tieni presente le seguenti limitazioni:

  • L'abilitazione o la disabilitazione della connettività in uscita di Private Service Connect richiede tempi di inattività. Il completamento di questa operazione dovrebbe richiedere circa 8 minuti, con un tempo di inattività di circa 3 minuti.

  • L'indirizzo IP del server di destinazione deve rientrare in un intervallo IP RFC 1918. Gli indirizzi IP pubblici e gli intervalli IP privati non RFC 1918, come l'intervallo RFC 6598 100.64.0.0/10, non sono supportati. Se utilizzi un nome host o un DNS per la connessione in uscita, il nome DNS deve essere risolvibile pubblicamente e deve essere risolto in un intervallo IP RFC 1918.

  • Gli indirizzi IPv6 non sono supportati.

  • Se l'indirizzo IP della connettività in uscita è in conflitto con l'IP eth0 o con la regola di forwarding di Private Service Connect, l'indirizzo IP potrebbe non connettersi correttamente. Per saperne di più, consulta la panoramica di Private Service Connect.

  • Non puoi abilitare la connettività in uscita di Private Service Connect quando crei l'istanza Cloud SQL. Per abilitare la connettività in uscita, devi modificare le impostazioni dell'istanza dopo la creazione.

  • Se l'istanza è configurata sia per l'accesso privato ai servizi sia per Private Service Connect, non puoi attivare la connettività in uscita di Private Service Connect per l'istanza.

  • La connettività in uscita di Private Service Connect non può essere abilitata sulle istanze del pool di lettura.

Per saperne di più su come configurare la connettività in uscita per la tua istanza Cloud SQL, consulta Configura la connettività in uscita.

Passaggi successivi