Übersicht über Private Service Connect in Cloud SQL

In diesem Dokument werden Konzepte im Zusammenhang mit Private Service Connect beschrieben. Sie können Private Service Connect für Folgendes verwenden:

  • Private Netzwerkverbindung zu einer Cloud SQL-Instanz von mehreren VPC-Netzwerken (Virtual Private Cloud) aus herstellen, die zu verschiedenen Gruppen, Teams, Projekten oder Organisationen gehören.
  • Netzwerkverbindung zu einer primären Cloud SQL-Instanz oder einem ihrer Lesereplikate herstellen.

Private Service Connect ist die standardmäßige private Konnektivität für Cloud SQL-Instanzen in neuen Projekten.

Private Service Connect-Endpunkt

Sie können Private Service Connect-Endpunkte verwenden, um privat von Ihren Nutzer-VPC-Netzwerken aus auf Cloud SQL-Instanzen zuzugreifen. Diese Endpunkte sind interne IP-Adressen, die mit einer Weiterleitungsregel verknüpft sind, die auf einen Dienstanhang einer Cloud SQL-Instanz verweist.

Sie können den Endpunkt entweder automatisch von Cloud SQL erstellen lassen oder ihn manuell erstellen.

Endpunkt automatisch erstellen

So lassen Sie Cloud SQL automatisch einen Endpunkt erstellen:

  1. Erstellen Sie eine Richtlinie für Dienstverbindungen in Ihren VPC-Netzwerken.

  2. Erstellen Sie eine Cloud SQL-Instanz, für die Private Service Connect aktiviert ist, und konfigurieren Sie die Instanz so, dass automatisch ein Endpunkt erstellt wird. Geben Sie beim Erstellen der Instanz Parameter für die automatische Verbindung an, z. B. VPC-Netzwerke und Projekte.

    Cloud SQL sucht die Richtlinie für Dienstverbindungen in diesen Netzwerken und erstellt einen Private Service Connect-Endpunkt, der auf den Dienstanhang der Instanz verweist.

    Nachdem Sie die Instanz erstellt haben und Cloud SQL den Endpunkt erstellt hat, können die Clients in den entsprechenden VPC-Netzwerken über den Endpunkt eine Verbindung zur Instanz herstellen, entweder über eine IP-Adresse oder einen DNS-Eintrag.

Endpunkt manuell erstellen

So erstellen Sie einen Endpunkt manuell:

  1. Erstellen Sie eine Cloud SQL-Instanz, für die Private Service Connect aktiviert ist.
  2. Rufen Sie den URI des Dienstanhangs ab, den Sie zum manuellen Erstellen des Endpunkts benötigen.

  3. Reservieren Sie eine interne IP-Adresse in Ihrem VPC-Netzwerk für den Endpunkt und erstellen Sie einen Endpunkt mit dieser Adresse.

    Nachdem Sie die Instanz erstellt haben und Cloud SQL den Endpunkt erstellt hat, können die Clients in den entsprechenden VPC-Netzwerken über den Endpunkt eine Verbindung zur Instanz herstellen, entweder über eine IP-Adresse oder einen DNS-Eintrag.

Richtlinie für Dienstverbindungen

Mit einer Richtlinie für Dienstverbindungen können Sie eine angegebene Dienstklasse zum Erstellen einer Private Service Connect-Verbindung zwischen VPC-Netzwerken autorisieren. Dadurch können Sie Private Service Connect-Endpunkte automatisch bereitstellen.

Sie können für jede Dienstklassen-, Regions- und VPC-Netzwerkkombination maximal eine Richtlinie erstellen. Eine Richtlinie legt die Automatisierung der Dienstverbindung für genau diese Kombination fest. Wenn Sie eine Richtlinie konfigurieren, wählen Sie ein Subnetz aus. Das Subnetz wird verwendet, um den Endpunkten IP-Adressen zuzuweisen, die Sie über die Richtlinie erstellen. Wenn mehrere Dienstverbindungsrichtlinien dieselbe Region verwenden, können Sie dasselbe Subnetz für alle Richtlinien verwenden.

Wenn Sie beispielsweise die Automatisierung der Dienstverbindung für zwei Dienste in drei verschiedenen Regionen verwenden möchten, erstellen Sie sechs Richtlinien. Sie können mindestens drei Subnetze verwenden – eines für jede Region.

Nachdem Sie eine Richtlinie für Dienstverbindungen erstellt haben, können Sie nur die Subnetze und Verbindungslimits der Richtlinie aktualisieren. Wenn Sie andere Felder aktualisieren müssen, gehen Sie so vor:

  1. Entfernen Sie alle Verbindungen, die die Richtlinie verwenden.
  2. Löschen Sie die Richtlinie.
  3. Erstellen Sie eine neue Richtlinie.

Dienstanhang

Wenn Sie eine Cloud SQL-Instanz erstellen und die Instanz für die Verwendung von Private Service Connect konfigurieren, erstellt Cloud SQL automatisch einen Dienstanhang für die Instanz. Ein Dienstanhang ist ein Verknüpfungspunkt, über den VPC-Netzwerke auf die Instanz zugreifen.

Sie erstellen einen Private Service Connect-Endpunkt, über den das VPC-Netzwerk eine Verbindung zum Dienstanhang herstellt. Dadurch kann das Netzwerk auf die Instanz zugreifen.

Jede Cloud SQL-Instanz hat einen Dienstanhang, zu dem der Private Service Connect-Endpunkt über das VPC-Netzwerk eine Verbindung herstellen kann. Wenn mehrere Netzwerke vorhanden sind, hat jedes Netzwerk einen eigenen Endpunkt.

DNS-Namen und -Einträge

Bei Instanzen, auf denen Private Service Connect aktiviert ist, empfehlen wir, eine Verbindung über einen DNS-Namen herzustellen, da verschiedene Netzwerke eine Verbindung zur selben Instanz herstellen können und Private Service Connect-Endpunkte in jedem Netzwerk unterschiedliche IP-Adressen haben können. Außerdem benötigt der Cloud SQL Auth-Proxy DNS-Namen, um eine Verbindung zu diesen Instanzen herzustellen. Weitere Informationen finden Sie unter DNS in Private Service Connect konfigurieren.

Mit der DNS-Automatisierung können Sie DNS-Einträge für Ihre Cloud SQL-Instanzen in Ihren autorisierten Nutzer-VPC-Netzwerken automatisch bereitstellen und verwalten.

Zulässige Private Service Connect-Projekte

Wenn Sie eine Verbindung zu Cloud SQL-Instanzen herstellen möchten, für die Private Service Connect aktiviert ist, müssen Sie mindestens ein Projekt zur Zulassungsliste hinzufügen.

Diese Zulassungsliste steuert Verbindungen von Private Service Connect-Endpunkten:

  • Wenn ein Projekt in der Liste der zulässigen Projekte enthalten ist, können Sie in diesem Projekt einen Private Service Connect-Endpunkt erstellen und eine Verbindung zu Ihrer Cloud SQL-Instanz herstellen.
  • Wenn ein Projekt nicht in der Liste der zulässigen Projekte enthalten ist, können Sie trotzdem versuchen, einen neuen Endpunkt zu erstellen. Die Verbindung wird jedoch blockiert und der neue Endpunkt bleibt im Status PENDING, bis Sie das Projekt der Zulassungsliste hinzufügen.

Projektentfernung und -abgleich

Wenn Sie ein Projekt aus der Liste der zulässigen Projekte entfernen, gilt Folgendes:

  • Für alle Cloud SQL-Instanzerstellungen, ‑Klone und Private Service Connect-Aktivierungen ab August 2026 ist das Verhalten für den Verbindungsabgleich standardmäßig aktiviert und kann nicht deaktiviert werden. Wenn Sie ein Projekt aus der Liste der zulässigen Projekte entfernen, werden alle vorhandenen Private Service Connect-Verbindungen aus dem entfernten Projekt sofort geschlossen (abgeglichen). Das bedeutet, dass Anwendungen, die Private Service Connect-Endpunkte in diesen entfernten Projekten verwenden, keine Verbindung mehr über diese Endpunkte herstellen können.
  • Wenn Sie bei Instanzen, die vor August 2026 erstellt wurden, ein Projekt aus der Liste der zulässigen Projekte entfernen, können Anwendungen, die Private Service Connect-Endpunkte in diesen entfernten Projekten verwenden, weiterhin eine Verbindung herstellen, bis Sie diese Endpunkte manuell entfernen.

Private Service Connect-Endpunktweitergabe

Standardmäßig sind Private Service Connect-Verbindungen von Peering-VPC-Netzwerken nicht transitiv. Sie müssen in jedem VPC-Netzwerk, das eine Verbindung zu Ihrer Cloud SQL-Instanz herstellen muss, einen Private Service Connect-Endpunkt erstellen. Wenn Sie beispielsweise drei VPC-Netzwerke haben, die eine Verbindung zu Ihrer Instanz herstellen müssen, müssen Sie drei Private Service Connect-Endpunkte erstellen – einen Endpunkt für jedes VPC-Netzwerk.

Wenn Sie jedoch Private Service Connect-Endpunkte über den Network Connectivity Center-Hub weiterleiten, können diese Endpunkte von jedem anderen Spoke-VPC-Netzwerk im selben Hub erreicht werden. Der Hub bietet ein zentrales Konnektivitätsverwaltungsmodell, um Spoke-VPC-Netzwerke mit Private Service Connect-Endpunkten zu verbinden.

Die Funktion zur Verbindungsweitergabe in NCC bietet Vorteile für den folgenden Anwendungsfall für Private Service Connect-Bereitstellungen:

Sie können ein VPC-Netzwerk für gemeinsame Dienste verwenden, um mehrere Private Service Connect-Endpunkte zu erstellen. Wenn Sie dem NCC-Hub ein einzelnes VPC-Netzwerk für gemeinsame Dienste hinzufügen, sind alle Private Service Connect-Endpunkte im VPC-Netzwerk über den Hub transitiv für andere Spoke-VPC-Netzwerke zugänglich. Dank dieser Verbindung müssen Sie nicht mehr jeden Private Service Connect-Endpunkt in jedem VPC-Netzwerk einzeln verwalten.

Informationen zum Weiterleiten von Private Service Connect-Endpunkten an Spoke-VPC-Netzwerke mit dem NCC-Hub finden Sie im Codelab zur NCC-Private Service Connect-Weiterleitung.

Private Service Connect-Backend

Sie können Private Service Connect-Back-Ends als Alternative zu Private Service Connect-Endpunkten verwenden, um auf Cloud SQL-Instanzen zuzugreifen. Der Einfachheit halber empfehlen wir, Verbindungen zu Ihren Cloud SQL-Instanzen über Private Service Connect-Endpunkte herzustellen. Für zusätzliche Kontrolle und Sichtbarkeit können Sie eine Verbindung über Private Service Connect-Backends herstellen.

Wenn Sie Private Service Connect-Backends verwenden möchten, müssen Sie die folgenden Ressourcen für jeden Bereitstellungsport einrichten, über den Sie auf eine bestimmte Cloud SQL-Instanz zugreifen möchten:

Die unterstützten Bereitstellungsports für SQL Server sind:

  • TCP-Port 1433 für direkte Verbindungen zum SQL Server-Datenbankserver.
  • TCP-Port 3307 für Verbindungen über den Cloud SQL Auth-Proxy.

Ausgehende Private Service Connect-Verbindungen

Sie können eine Private Service Connect-Schnittstelle über einen Netzwerkanhang an Ihre vorhandenen Cloud SQL-Instanzen mit aktiviertem Private Service Connect anhängen, damit Ihre Cloud SQL-Instanz ausgehende Verbindungen zu Ihrem Netzwerk herstellen kann. Wenn Sie eine Verbindung zur Private Service Connect-Schnittstelle Ihres Netzwerks herstellen möchten, benötigen Sie einen neuen oder vorhandenen Netzwerkanhang in Ihrem Google Cloud -Projekt.

Sie können ausgehende Verbindungen verwenden, um Daten von einem externen Server in Ihrem Netzwerk zu migrieren, einen verknüpften Server zu verwenden, der eine ausgehende Verbindung erfordert, oder eine homogene Migration mit dem Database Migration Service durchzuführen.

Beschränkungen

Wenn Sie ausgehende Verbindungen auf dem Replikat für die Notfallwiederherstellung konfigurieren, funktionieren ausgehende Verbindungen nach einem Replikat-Switchover oder einem Replikat-Failover-Vorgang weiterhin auf der neu erstellten primären Instanz, wenn das Replikat für die Notfallwiederherstellung zur primären Instanz hochgestuft wird. Wenn Sie die ausgehende Verbindung auf dem DR-Replikat nicht konfigurieren, müssen Sie die ausgehende Private Service Connect-Verbindung auf der neuen primären Instanz aktivieren, damit der Dienst nach einem Replikatwechsel oder einem Replikat-Failover weiterhin funktioniert.

Wenn Sie eine Private Service Connect-Schnittstelle mit einem Netzwerkanhang verwenden, um ausgehende Verbindungen von Ihrer Cloud SQL-Instanz zu Ihrem Netzwerk zu erstellen, beachten Sie die folgenden Einschränkungen:

  • Das Aktivieren oder Deaktivieren der ausgehenden Private Service Connect-Verbindung erfordert eine Ausfallzeit. Dieser Vorgang dauert etwa 8 Minuten und verursacht eine Ausfallzeit von etwa 3 Minuten.

  • Die IP-Adresse des Zielservers muss innerhalb eines RFC 1918-IP-Bereichs liegen. Öffentliche IP-Adressen und private IP-Bereiche außerhalb von RFC 1918, z. B. der RFC 6598-Bereich 100.64.0.0/10, werden nicht unterstützt. Wenn Sie einen Hostnamen oder DNS für Ihre ausgehende Verbindung verwenden, muss der DNS-Name öffentlich auflösbar sein und in einen RFC 1918-IP-Bereich aufgelöst werden.

  • IPv6-Adressen werden nicht unterstützt.

  • Wenn die IP-Adresse für ausgehende Verbindungen mit der eth0-IP-Adresse oder der Private Service Connect-Weiterleitungsregel in Konflikt steht, kann die IP-Adresse möglicherweise nicht richtig verbunden werden. Weitere Informationen finden Sie unter Private Service Connect – Übersicht.

  • Sie können ausgehende Private Service Connect-Verbindungen nicht aktivieren, wenn Sie die Cloud SQL-Instanz erstellen. Wenn Sie ausgehende Verbindungen aktivieren möchten, müssen Sie die Instanzeinstellungen nach dem Erstellen bearbeiten.

  • Wenn Ihre Instanz sowohl für den Zugriff auf private Dienste als auch für Private Service Connect konfiguriert ist, können Sie für Ihre Instanz keine ausgehende Private Service Connect-Verbindung aktivieren.

Weitere Informationen zum Einrichten ausgehender Verbindungen für Ihre Cloud SQL-Instanz finden Sie unter Ausgehende Verbindungen konfigurieren.

Nächste Schritte