בחירה של אופן ההתחברות ל-Cloud SQL

בדף הזה מוסברות הדרכים השונות להתחבר למכונה של Cloud SQL.

לפני שמתחברים למכונת Cloud SQL, צריך להחליט איך לפרוס ולהגדיר את מכונת Cloud SQL ואת משאבי הרשת התומכים. אם מכונת Cloud SQL כבר מוגדרת ופרוסה, תוכלו להיעזר בדף הזה כדי להבין את הדרכים השונות שבהן אפשר לחבר את הלקוחות למכונה הקיימת.

סוג כתובת ה-IP: פרטית או ציבורית

כשיוצרים מכונה של Cloud SQL בפעם הראשונה, אפשר לבחור אם להגדיר אותה עם כתובת IP ציבורית, כתובת IP פרטית או שילוב של שתיהן.

אתם בוחרים את הגדרת כתובת ה-IP של המכונה בהתאם לדרישות של האפליקציה. אחרי שמגדירים את המכונה, מציינים כתובת IP ציבורית, כתובת IP פרטית או במקרים מסוימים שם DNS במחרוזת החיבור של הלקוח.

כתובת IP פרטית כתובת IP ציבורית
תיאור כתובת IP פנימית, פרטית, רק לרשת של ענן וירטואלי פרטי (VPC) כתובת IP חיצונית (ציבורית) עם גישה לאינטרנט
נקודות התפצלות

האם אתם צריכים להתחבר מלקוחות שמארחים ברשתות VPC בתוך Google Cloud או מלקוחות שיש להם גישה לרשתות VPC האלה?

אם כן, בוחרים כתובת IP פרטית למכונה.

האם אתם צריכים להתחבר מלקוחות מחוץ לרשת ה-VPC של Google Cloudדרך האינטרנט הציבורי?

אם כן, בוחרים כתובת IP ציבורית למכונה.
אפשרויות הגדרה

אפשר להגדיר את הסוגים הבאים של רשתות פרטיות:

  • ‫Private Service Connect: התחברות למכונות של Cloud SQL מכמה רשתות VPC ששייכות לקבוצות, לפרויקטים או לארגונים שונים. ‫Private Service Connect היא האפשרות שמוגדרת כברירת מחדל לקישוריות IP פרטית בפרויקטים חדשים.
  • גישה לשירותים פרטיים: התחברות למכונות Cloud SQL מרשת VPC אחת, על סמך קישור בין רשתות VPC שכנות (peering).

    • למידע נוסף על בחירת הגדרה של רשת פרטית, קראו את המאמר אפשרויות להגדרת כתובת IP פרטית.

כשמתחברים ישירות למכונה באמצעות כתובת IP ציבורית, צריך להגדיר רשתות מורשות.

אפשרות נוספת ומאובטחת יותר להתחבר למכונת Cloud SQL שמשתמשת בכתובת IP ציבורית היא באמצעות מחבר Cloud SQL (כמו Cloud SQL Auth Proxy או אחד ממחברי השפה של Cloud SQL).

הוראות להוספת כתובת IP ציבורית למופע זמינות במאמר בנושא הגדרת כתובת IP ציבורית.

כדי להתחבר למכונת Cloud SQL באמצעות כתובת IP ציבורית, אפשר להשתמש בלקוח psql או בלקוח אחר שזמין.
סיכום

המלצה: כדי לשפר את האבטחה, מומלץ להגדיר את המכונה עם כתובת IP פרטית, אלא אם יש לכם דרישות ספציפיות למכונה של Cloud SQL עם גישה לאינטרנט, או אם אתם מתחברים מלקוח שלא עומד בדרישות של VPC.

סוג החיבור: מחבר Cloud SQL או חיבור ישיר

כשיוצרים חיבור למכונה של Cloud SQL, אפשר להשתמש במחבר של Cloud SQL או ליצור חיבור ישיר.

מחבר Cloud SQL הוא Cloud SQL Auth Proxy או אחד ממחברי השפה של Cloud SQL.

חיבור ל-Cloud SQL קישור ישיר
תיאור ‫Cloud SQL Auth Proxy (שרת proxy בצד הלקוח) ו-Cloud SQL Language Connectors (ספריות בצד הלקוח) מאפשרים גישה פשוטה ומאובטחת למכונות של Cloud SQL, במיוחד כשמתחברים למכונה באמצעות כתובת IP ציבורית. חיבור ישיר מלקוח למכונה של Cloud SQL מספק חיבור עם זמן אחזור קצר יותר. אפשר ליצור חיבור ישיר מכתובת IP ציבורית או פרטית.
נקודות התפצלות

כדאי להשתמש במחברים של Cloud SQL בתרחישים הבאים:

  • כשרוצים להתחבר למכונה של Cloud SQL באמצעות כתובת IP ציבורית בלי להגדיר רשתות מורשות.
  • כשרוצים להצפין באופן אוטומטי את התנועה אל מסד הנתונים וממנו באמצעות אימות של זהות השרת והלקוח, בלי לנהל אישורי SSL.
  • כשמשתמשים באימות של מסד נתונים באמצעות IAM ורוצים לרענן באופן אוטומטי את טוקני הגישה מסוג OAuth 2.0.
  • כשמתחברים מלקוח או מאפליקציה שמשתמשים בכתובת IP ארעית או בכתובת IP שמוקצית באופן דינמי. הגדרת IP דינמית יכולה להיות נפוצה באפליקציות של פלטפורמה כשירות (PaaS).

היתרונות של שימוש בקישור ישיר:

  • זמן אחזור קצר יותר בהשוואה לחיבורים באמצעות מחברי Cloud SQL.
  • בניגוד למחברים של Cloud SQL, אין תלות בחבילה או בספרייה נוספת.
  • כשמשתמשים בחיבור ישיר, אתם אחראים לקבוע את הגדרות ה-SSL/TLS.
אפשרויות הגדרה

כדי להגדיר אישורי SSL/TLS במכונה של Cloud SQL ובמחשב הלקוח:

  1. בחירת מצב CA של השרת עבור המכונה.
  2. מגדירים את המכונה כך שההצפנה באמצעות SSL/TLS תהיה חובה לחיבורים במכונה.
  3. יוצרים אישורי לקוח.
  4. מורידים את אישורי השרת והלקוח.
סיכום

כשמתחברים למופע Cloud SQL, אפשר להשתמש במחבר Cloud SQL או להתחבר ישירות מלקוחות.

המלצה כללית: אם אתם מתחברים למכונה באמצעות כתובת IP פרטית, השתמשו בחיבור ישיר. מומלץ גם לאכוף SSL ולהגדיר אישורי SSL/TLS לחיבור.

אם אתם מתחברים למכונה באמצעות כתובת IP ציבורית, אתם צריכים להשתמש ב-Cloud SQL Connector (או ב-Cloud SQL Auth Proxy או באחד מ-Cloud SQL Language Connectors).

סוג האימות של מסד הנתונים: IAM או מובנה

כשמתחברים למופע, צריך לבצע אימות כמשתמש מסד נתונים. אפשר לבחור בין אימות מובנה לבין אימות מסד נתונים של IAM.

אימות מסד נתונים ב-IAM אימות מובנה
תיאור אימות מסד נתונים של IAM מאפשר לכם לבצע אימות למסדי נתונים באמצעות חשבונות משתמשים וחשבונות שירות של Google Cloud IAM, באמצעות טוקני גישה לטווח קצר במקום סיסמאות. אתם יכולים לנהל את ההרשאות במסד הנתונים באמצעות חשבונות משתמשים ב-IAM, כמו משתמשים, חשבונות שירות וקבוצות. אימות מובנה משתמש בשמות משתמשים וסיסמאות מקומיים במסד הנתונים כדי לאמת משתמשים במסד הנתונים.
נקודות התפצלות האם אתם מעדיפים לרכז את ניהול המשתמשים בשירותי Google Cloudבאמצעות IAM ב- Google Cloud? אם כן, השתמשו באימות של מסד הנתונים באמצעות IAM. האם יש לכם אפליקציות או תהליכי עבודה שמסתמכים על אימות מובנה של מסד נתונים? אם כן, צריך להשתמש באימות מובנה.
אפשרויות הגדרה

אתם יכולים להשתמש באימות של מסד נתונים באמצעות IAM למשתמשי IAM ספציפיים, לחשבונות שירות ספציפיים ולקבוצות. מידע נוסף זמין במאמר ניהול משתמשים באמצעות אימות מסד נתונים של IAM .

אם אתם משתמשים במחבר של Cloud SQL, המחבר מטפל ברענון האוטומטי של טוקני הגישה של IAM. מידע נוסף זמין במאמר בנושא אימות אוטומטי של מסד נתונים של IAM.

 אתם יכולים להשתמש באימות מובנה של מסד הנתונים ולהגדיר מדיניות סיסמאות ברמת המופע וברמת המשתמש. מידע נוסף זמין במאמר אימות מובנה.
סיכום המלצה: אלא אם יש לכם אפליקציות או תהליכי עבודה שתלויים באימות מובנה של מסד נתונים, מומלץ להשתמש באימות מסד נתונים של IAM בכל הזדמנות.

הסרת אפשרויות הרשת ממכונה

ב-Cloud SQL אפשר להסיר ממכונה את אפשרויות הרשת הבאות:

  • כתובת IP ציבורית ממכונה עם גישה לשירותים פרטיים וכתובת IP ציבורית
  • כתובת IP ציבורית ממכונה עם כתובת IP ציבורית, גישה לשירותים פרטיים ו-Private Service Connect
  • ‫Private Service Connect ממכונה עם Private Service Connect וגם עם גישה לשירותים פרטיים
  • ‫Private Service Connect ממכונה עם Private Service Connect, גישה לשירותים פרטיים וכתובת IP ציבורית

הפעלת אפשרויות הרשת של מכונה

ב-Cloud SQL אפשר להפעיל את אפשרויות החיבור הבאות למכונות:

  • גישה לשירותים פרטיים במכונה עם כתובת IP ציבורית בלבד
  • ‫Private Service Connect במכונה עם גישה לשירותים פרטיים בלבד
  • ‫Private Service Connect במכונה עם גישה לשירותים פרטיים וגם עם כתובת IP ציבורית
  • כתובת IP ציבורית במכונה עם גישה לשירותים פרטיים בלבד

מגבלות

  • אי אפשר ליצור מכונה עם כתובת IP ציבורית ועם Private Service Connect.
  • אי אפשר להסיר את הגישה לשירותים פרטיים ממכונה עם גישה לשירותים פרטיים ו-Private Service Connect.
  • אי אפשר להסיר גישה לשירותים פרטיים ממופע עם גישה לשירותים פרטיים וכתובת IP ציבורית.
  • אם יש לכם מכונה שמשתמשת רק בכתובת IP ציבורית, אתם לא יכולים להפעיל גם את הגישה לשירותים פרטיים וגם את Private Service Connect בו-זמנית. קודם מפעילים את הגישה לשירותים פרטיים, ואז מפעילים את Private Service Connect.
  • אי אפשר להשתמש ברשתות מורשות כדי ליצור רשימת היתרים שמבוססת על כתובות IP עבור מכונות Private Service Connect.

כלים להתחברות ל-Cloud SQL

בטבלה הבאה מפורטות כמה אפשרויות להתחברות ל-Cloud SQL:

אפשרות החיבור מידע נוסף
Cloud SQL Auth Proxy
‫ה-CLI של gcloud
מחברים של שפות ב-Cloud SQL
Cloud Shell
Cloud Code
Google Cloud Data Agent Kit
התחברות באמצעות כלים של צד שלישי לניהול מסדי נתונים
pgAdmin
Toad Edge
Blendo

פתרון בעיות

אם נתקלתם בבעיות בחיבור, תוכלו להיעזר בדפים הבאים כדי לנפות באגים או למצוא פתרונות לבעיות מוכרות:

המאמרים הבאים