Visão geral do Private Service Connect no Cloud SQL

Neste documento, descrevemos os conceitos associados ao Private Service Connect. É possível usar o Private Service Connect para o seguinte:

  • Fornecer conectividade de rede privada a uma instância do Cloud SQL de várias redes de nuvem privada virtual (VPC) que pertencem a diferentes grupos, equipes, projetos ou organizações.
  • Fornecer conectividade de rede a uma instância principal do Cloud SQL ou a qualquer uma das réplicas de leitura dela.

O Private Service Connect é o método de conectividade privada padrão para instâncias do Cloud SQL em novos projetos.

Endpoint do Private Service Connect

É possível usar endpoints do Private Service Connect para acessar instâncias do Cloud SQL de maneira particular nas redes VPC do consumidor. Esses endpoints são endereços IP internos associados a uma regra de encaminhamento que faz referência a um anexo de serviço de uma instância do Cloud SQL.

É possível fazer com que o Cloud SQL crie o endpoint automaticamente ou criá-lo manualmente.

Criar um endpoint automaticamente

Para que o Cloud SQL crie um endpoint automaticamente, faça o seguinte:

  1. Crie uma política de conexão de serviço nas suas redes VPC.

  2. Crie uma instância do Cloud SQL com o Private Service Connect ativado e configure a instância para criar um endpoint automaticamente. Ao criar a instância, especifique parâmetros de conexão automática, como redes VPC e projetos.

    O Cloud SQL localiza a política de conexão de serviço nessas redes e cria um endpoint do Private Service Connect que aponta para o anexo de serviço da instância.

    Depois que você cria a instância e o Cloud SQL cria o endpoint, os clientes nas redes VPC correspondentes podem se conectar à instância pelo endpoint, usando um endereço IP ou um registro DNS.

Criar um endpoint manualmente

Para criar um endpoint manualmente, faça o seguinte:

  1. Crie uma instância do Cloud SQL com o Private Service Connect ativado para a instância.
  2. Consiga o URI do anexo de serviço necessário para criar o endpoint manualmente.

  3. Reserve um endereço IP interno na rede VPC para o endpoint e crie um endpoint com esse endereço.

    Depois que você cria a instância e o Cloud SQL cria o endpoint, os clientes nas redes VPC correspondentes podem se conectar à instância pelo endpoint, usando um endereço IP ou um registro DNS.

Política de conexão de serviço

Uma política de conexão de serviço permite autorizar uma classe de serviço especificada a criar uma conexão do Private Service Connect entre redes VPC. Como resultado, é possível provisionar endpoints do Private Service Connect automaticamente.

É possível criar no máximo uma política para cada combinação de classe de serviço, região e rede VPC. Uma política determina a automação da conectividade do serviço para essa combinação específica. Ao configurar uma política, você seleciona uma sub-rede. A sub-rede é usada para alocar endereços IP para os endpoints criados por meio da política. Se várias políticas de conexão de serviço compartilharem a mesma região, será possível reutilizar a mesma sub-rede para todas as políticas.

Por exemplo, se você quiser usar a automação de conectividade de serviço com dois serviços em três regiões diferentes, crie seis políticas. É possível usar no mínimo três sub-redes, uma para cada região.

Depois de criar uma política de conexão de serviço, só será possível atualizar as sub-redes e o limite de conexão da política. Se você precisar atualizar outros campos, faça o seguinte:

  1. Remova todas as conexões que usam a política.
  2. Exclua a política.
  3. Crie uma nova política.

Anexo de serviço

Quando você cria uma instância do Cloud SQL e a configura para usar o Private Service Connect, o Cloud SQL cria automaticamente um anexo de serviço para a instância. Um anexo de serviço é um ponto de anexo que as redes VPC usam para acessar a instância.

Crie um endpoint do Private Service Connect que a rede VPC usa para se conectar ao anexo de serviço. Isso permite que a rede acesse a instância.

Cada instância do Cloud SQL tem um anexo de serviço ao qual o endpoint do Private Service Connect pode se conectar pela rede VPC. Se houver várias redes, cada uma tem seu próprio endpoint.

Nomes e registros DNS

Para instâncias com o Private Service Connect ativado, recomendamos usar o nome DNS porque redes diferentes podem se conectar à mesma instância e os endpoints do Private Service Connect em cada rede podem ter endereços IP diferentes. Além disso, o proxy de autenticação do Cloud SQL exige nomes DNS para se conectar a essas instâncias. Consulte Configurar o DNS no Private Service Connect.

Use a automação de DNS para provisionar e gerenciar automaticamente registros DNS para suas instâncias do Cloud SQL nas redes VPC de consumidor autorizadas.

Projetos do Private Service Connect permitidos

Para se conectar a instâncias do Cloud SQL que têm o Private Service Connect ativado, é necessário adicionar pelo menos um projeto à lista de permissões.

Essa lista de permissões controla as conexões de endpoints do Private Service Connect:

  • Se um projeto estiver na lista de projetos permitidos, será possível criar um endpoint do Private Service Connect nele e se conectar à instância do Cloud SQL.
  • Se um projeto não estiver na lista de projetos permitidos, você ainda poderá tentar criar um novo endpoint. No entanto, a conexão será bloqueada, e o novo endpoint vai permanecer no estado PENDING até que você adicione esse projeto à lista de permissões.

Remoção e reconciliação de projetos

Se você remover um projeto da lista de projetos permitidos:

  • Para todas as criações, clones e ativações do Private Service Connect de instâncias do Cloud SQL em agosto de 2026 e depois, o comportamento de reconciliação de conexão é ativado por padrão e não pode ser desativado. Quando você remove um projeto da lista de projetos permitidos, todas as conexões do Private Service Connect do projeto removido são imediatamente encerradas (reconciliadas). Isso significa que os aplicativos que usam endpoints do Private Service Connect nesses projetos removidos não podem continuar se conectando usando esses endpoints.
  • Para instâncias criadas antes de agosto de 2026, quando você remove um projeto da lista de projetos permitidos, os aplicativos que usam endpoints do Private Service Connect nesses projetos removidos continuam se conectando até que você remova manualmente esses endpoints.

Propagação de endpoint do Private Service Connect

Por padrão, as conexões do Private Service Connect não são transitivas de redes VPC com peering. É necessário criar um endpoint do Private Service Connect em cada rede VPC que precisa se conectar à instância do Cloud SQL. Por exemplo, se você tiver três redes VPC que precisam se conectar à sua instância, crie três endpoints do Private Service Connect, um para cada rede VPC.

No entanto, ao propagar endpoints do Private Service Connect pelo hub do Network Connectivity Center, esses endpoints podem ser acessados por qualquer outra rede VPC spoke no mesmo hub. O hub fornece um modelo de gerenciamento de conectividade centralizado para interconectar redes VPC spoke a endpoints do Private Service Connect.

O recurso de propagação de conexão no NCC beneficia o seguinte caso de uso para implantações do Private Service Connect:

É possível usar uma rede VPC de serviços comuns para criar vários endpoints do Private Service Connect. Ao adicionar uma única rede VPC de serviços comuns ao hub do NCC, todos os endpoints do Private Service Connect na rede VPC se tornam acessíveis de forma transitiva para outras redes VPC spoke por meio do hub. Essa conectividade elimina a necessidade de gerenciar individualmente cada endpoint do Private Service Connect em cada rede VPC.

Para saber como usar o hub do NCC para propagar endpoints do Private Service Connect para redes VPC spoke, consulte o codelab de propagação do NCC—Private Service Connect.

Back-end do Private Service Connect

É possível usar back-ends do Private Service Connect como alternativa aos endpoints do Private Service Connect para acessar instâncias do Cloud SQL. Para facilitar o uso, recomendamos que você se conecte às instâncias do Cloud SQL usando endpoints do Private Service Connect. Para mais controle e visibilidade, é possível se conectar usando back-ends do Private Service Connect.

Para usar back-ends do Private Service Connect, configure os seguintes recursos para cada porta de exibição em que você quer acessar uma determinada instância do Cloud SQL:

As portas de exibição compatíveis com o SQL Server são as seguintes:

Conexões de saída do Private Service Connect

É possível anexar uma interface do Private Service Connect às suas instâncias do Cloud SQL com o Private Service Connect ativado usando um anexo de rede para permitir que a instância do Cloud SQL faça conexões de saída com sua rede. Para se conectar à interface do Private Service Connect da sua rede, você precisa de um anexo de rede novo ou atual no projeto do Google Cloud .

É possível usar a conectividade de saída para migrar dados de um servidor externo na sua rede, usar um servidor vinculado que requer uma conexão de saída ou fazer uma migração homogênea usando o Database Migration Service.

Limitações

Se você configurar a conectividade de saída na réplica de recuperação de desastres (DR), após uma operação de alternância ou failover de réplica, quando a réplica de DR for promovida para a instância principal, a conectividade de saída continuará funcionando na nova instância principal criada. Se você não configurar a conectividade de saída na réplica de DR, para que o serviço continue funcionando após uma operação de alternância ou failover de réplica, será necessário ativar a conectividade de saída do Private Service Connect na nova instância principal.

Ao usar uma interface do Private Service Connect com um anexo de rede para criar conexões de saída com sua rede a partir da instância do Cloud SQL, observe as seguintes limitações:

  • A ativação ou desativação da conectividade de saída do Private Service Connect requer inatividade. Essa operação leva cerca de 8 minutos para ser concluída, com um tempo de inatividade aproximado de 3 minutos.

  • O endereço IP do servidor de destino precisa estar em um intervalo de IP RFC 1918. Não há suporte para endereços IP públicos e intervalos de IP privados não RFC 1918, como o intervalo RFC 6598 100.64.0.0/10. Se você estiver usando um nome do host ou DNS para sua conexão de saída, o nome DNS precisará ser resolvido publicamente e resolvido para um intervalo de IP RFC 1918.

  • Os endereços IPv6 não são aceitos.

  • Se o endereço IP de conectividade de saída entrar em conflito com o IP de eth0 ou com a regra de encaminhamento do Private Service Connect, talvez o endereço IP não se conecte corretamente. Para mais informações, consulte Visão geral do Private Service Connect.

  • Não é possível ativar a conectividade de saída do Private Service Connect ao criar a instância do Cloud SQL. Para ativar a conectividade de saída, edite as configurações da instância após a criação.

  • Se a instância estiver configurada para o acesso a serviços privados e o Private Service Connect, não será possível ativar a conectividade de saída do Private Service Connect para a instância.

Para mais informações sobre como configurar a conectividade de saída para sua instância do Cloud SQL, consulte Configurar a conectividade de saída.

A seguir