Private Service Connect

Auf dieser Seite werden Konzepte im Zusammenhang mit Private Service Connect beschrieben. Sie können Private Service Connect für Folgendes verwenden:

  • Verbindung zu einer Cloud SQL-Instanz von mehreren VPC-Netzwerken aus herstellen, die zu verschiedenen Gruppen, Teams, Projekten oder Organisationen gehören.
  • Verbindung zu einer primären Instanz oder einem ihrer Lesereplikate herstellen.

Private Service Connect-Endpunkt

Sie können Private Service Connect-Endpunkte verwenden, um privat von Ihren VPC-Netzwerken für Nutzer auf Cloud SQL-Instanzen zuzugreifen. Diese Endpunkte sind interne IP Adressen, die mit einer Weiterleitungsregel verknüpft sind, die auf einen Dienstanhang einer Cloud SQL-Instanz verweist.

Sie können den Endpunkt entweder automatisch von Cloud SQL erstellen lassen oder ihn manuell erstellen.

So lassen Sie den Endpunkt automatisch von Cloud SQL erstellen:

  1. Erstellen Sie eine Richtlinie für Dienstverbindungen in Ihren VPC-Netzwerken.

  2. Erstellen Sie eine Cloud SQL-Instanz mit aktiviertem Private Service Connect und konfigurieren Sie die Instanz so, dass ein Endpunkt automatisch erstellt wird. Geben Sie beim Erstellen der Instanz Parameter für die automatische Verbindung an, z. B. VPC-Netzwerke und Projekte.

    Cloud SQL sucht die Richtlinie für Dienstverbindungen in diesen Netzwerken und erstellt einen Private Service Connect-Endpunkt, der auf den Dienstanhang der Instanz verweist.

    Nachdem Sie die Instanz erstellt und Cloud SQL den Endpunkt erstellt hat, können sich die Clients in den entsprechenden VPC-Netzwerken über den Endpunkt mit der Instanz verbinden, entweder über eine IP-Adresse oder einen DNS-Eintrag.

So erstellen Sie den Endpunkt manuell:

  1. Erstellen Sie eine Cloud SQL-Instanz mit aktiviertem Private Service Connect.
  2. Rufen Sie den Dienstanhang URI ab, den Sie zum manuellen Erstellen des Endpunkts benötigen.

  3. Reservieren Sie eine interne IP-Adresse in Ihrem VPC-Netzwerk für den Endpunkt und erstellen Sie einen Endpunkt mit dieser Adresse.

    Nachdem Sie die Instanz erstellt und Cloud SQL den Endpunkt erstellt hat, können sich die Clients in den entsprechenden VPC-Netzwerken über den Endpunkt mit der Instanz verbinden, entweder über eine IP-Adresse oder einen DNS-Eintrag.

Richtlinie für Dienstverbindungen

Mit einer Richtlinie für Dienstverbindungen können Sie eine bestimmte Dienstklasse autorisieren, eine Private Service Connect-Verbindung zwischen VPC-Netzwerken zu erstellen. So können Sie Private Service Connect-Endpunkte automatisch bereitstellen.

Sie können für jede Dienstklassen-, Regions- und VPC-Netzwerkkombination maximal eine Richtlinie erstellen. Eine Richtlinie legt die Automatisierung der Dienstverbindung für genau diese Kombination fest. Wenn Sie eine Richtlinie konfigurieren, wählen Sie ein Subnetz aus. Das Subnetz wird verwendet, um IP-Adressen für die Endpunkte zuzuweisen, die Sie über die Richtlinie erstellen. Wenn mehrere Richtlinien für Dienstverbindungen dieselbe Region verwenden, können Sie dasselbe Subnetz für alle Richtlinien wiederverwenden.

Wenn Sie beispielsweise die Automatisierung der Dienstverbindung für zwei Dienste in drei verschiedenen Regionen verwenden möchten, erstellen Sie sechs Richtlinien. Sie können mindestens drei Subnetze verwenden: eines für jede Region.

Nachdem Sie eine Richtlinie für Dienstverbindungen erstellt haben, können Sie nur die Subnetze und Verbindungslimits der Richtlinie aktualisieren. Wenn Sie andere Felder aktualisieren müssen, gehen Sie so vor:

  1. Entfernen Sie alle Verbindungen, die die Richtlinie verwenden.
  2. Löschen Sie die Richtlinie.
  3. Erstellen Sie eine neue Richtlinie.

Dienstanhang

Wenn Sie eine Cloud SQL-Instanz erstellen und die Instanz für die Verwendung von Private Service Connect konfigurieren, erstellt Cloud SQL automatisch einen Dienstanhang für die Instanz. Ein Dienstanhang ist ein Verknüpfungspunkt, über den VPC-Netzwerke auf die Instanz zugreifen.

Sie erstellen einen Private Service Connect-Endpunkt, über den das VPC-Netzwerk eine Verbindung zum Dienstanhang herstellt. So kann das Netzwerk auf die Instanz zugreifen.

Jede Cloud SQL-Instanz hat einen Dienstanhang, zu dem der Private Service Connect-Endpunkt über das VPC-Netzwerk eine Verbindung herstellen kann. Wenn mehrere Netzwerke vorhanden sind, hat jedes Netzwerk einen eigenen Endpunkt.

DNS-Namen und -Einträge

Bei Instanzen, auf denen Private Service Connect aktiviert ist, empfehlen wir die Verwendung des DNS-Namens, da verschiedene Netzwerke eine Verbindung zur selben Instanz herstellen können und Private Service Connect-Endpunkte in jedem Netzwerk unterschiedliche IP-Adressen haben können. Außerdem benötigt der Cloud SQL Auth-Proxy DNS-Namen, um eine Verbindung zu diesen Instanzen herzustellen.

Cloud SQL-Instanzen mit aktiviertem Private Service Connect können zwei Arten von DNS-Namen haben:

  • DNS-Name pro Instanz : Dieser ist für Instanzen in allen Cloud SQL-Versionen verfügbar. Die primäre Instanz und jede Replikatinstanz haben separate DNS-Namen pro Instanz.

  • Globaler DNS-Name des Schreibendpunkts : Dieser ist für Instanzen in der Cloud SQL Enterprise Plus-Version verfügbar, um die erweiterte Notfallwiederherstellung (Advanced Disaster Recovery, ADR) zu unterstützen. Ein Schreibendpunkt ist ein globaler DNS-Name, der automatisch in die IP-Adresse der aktuellen primären Instanz aufgelöst wird. Im Falle eines Replikat-Failovers oder eines Switchovers leitet dieser Schreibendpunkt eingehende Verbindungen automatisch zur neuen primären Instanz um. Wenn Sie einen Schreibendpunkt verwenden, müssen Sie keine Änderungen an der Anwendungsverbindung vornehmen, wenn Sie ein Replikat-Failover oder einen Switchover für die Wiederherstellung nach einem regionalen Ausfall oder eine Notfallwiederherstellungsübung durchführen.

Für einen DNS-Namen pro Instanz können Sie entweder DNS-Einträge automatisch von Cloud SQL erstellen lassen oder den DNS-Namen manuell erstellen.

Wenn Sie den manuellen Ansatz verwenden, können Sie den empfohlenen DNS-Namen pro Instanz aus der API-Antwort der Instanzsuche abrufen und dann den DNS-Eintrag in einer privaten DNS-Zone im entsprechenden VPC-Netzwerk erstellen. Weitere Informationen finden Sie unter DNS manuell konfigurieren.

DNS-Automatisierungsfunktion

Alternativ können Sie die DNS-Automatisierungsfunktion verwenden, um Cloud SQL DNS-Einträge für den DNS-Namen pro Instanz in Ihren autorisierten VPC-Netzwerken für Nutzer automatisch bereitstellen und verwalten zu lassen.

Weitere Informationen zum Aktivieren und Konfigurieren der DNS-Automatisierung finden Sie unter Instanz mit aktivierter DNS-Automatisierung erstellen.

Wenn Sie die DNS-Automatisierungsfunktion in Cloud SQL Enterprise Plus-Instanzen verwenden, werden DNS-Einträge für den globalen DNS-Namen des Schreibendpunkts in Ihren autorisierten VPC-Netzwerken für Nutzer ebenfalls automatisch von Cloud SQL bereitgestellt und verwaltet.

Für die DNS-Automatisierung gelten die folgenden Einschränkungen:

  • Es ist nicht möglich, über den Auth-Proxy oder Sprachconnectors eine Verbindung zu einem DNS-Namen pro Instanz oder einem Schreibendpunkt herzustellen, der über die DNS-Automatisierung erstellt wurde.
  • Das Konfigurieren der DNS-Automatisierung über die Google Cloud Console oder mit Terraform wird nicht unterstützt.

Zulässige Private Service Connect-Projekte

Wenn Sie eine Verbindung zu Cloud SQL-Instanzen mit aktiviertem Private Service Connect herstellen möchten, müssen Sie mindestens ein Projekt zur Zulassungsliste hinzufügen.

Diese Zulassungsliste steuert Verbindungen von Private Service Connect-Endpunkten:

  • Wenn sich ein Projekt in der Liste der zulässigen Projekte befindet, können Sie in diesem Projekt einen Private Service Connect-Endpunkt erstellen und eine Verbindung zu Ihrer Cloud SQL-Instanz herstellen.
  • Wenn sich ein Projekt nicht in der Liste der zulässigen Projekte befindet, können Sie trotzdem versuchen, einen neuen Endpunkt zu erstellen. Die Verbindung wird jedoch blockiert und der neue Endpunkt bleibt im Status PENDING, bis Sie das Projekt zur Zulassungsliste hinzufügen.

Entfernen und Abgleichen von Projekten

Wenn Sie ein Projekt aus der Liste der zulässigen Projekte entfernen, gilt Folgendes:

  • Für alle Cloud SQL-Instanzerstellungen, -Klone und -Aktivierungen von Private Service Connect ab August 2026 ist das Verhalten für den Verbindungsabgleich standardmäßig aktiviert und kann nicht deaktiviert werden. Wenn Sie ein Projekt aus der Liste der zulässigen Projekte entfernen, werden alle vorhandenen Private Service Connect-Verbindungen aus dem entfernten Projekt sofort geschlossen (abgeglichen). Das bedeutet, dass Anwendungen, die Private Service Connect-Endpunkte in diesen entfernten Projekten verwenden, keine Verbindung mehr über diese Endpunkte herstellen können.
  • Bei Instanzen, die vor August 2026 erstellt wurden, werden Anwendungen, die Private Service Connect-Endpunkte in diesen entfernten Projekten verwenden, weiterhin verbunden, bis Sie diese Endpunkte manuell entfernen.

Private Service Connect-Endpunktweitergabe

Standardmäßig sind Private Service Connect-Verbindungen nicht transitiv von VPC-Netzwerken mit Peering. Sie müssen in jedem VPC-Netzwerk, das eine Verbindung zu Ihrer Cloud SQL Instanz herstellen muss, einen Private Service Connect-Endpunkt erstellen. Wenn beispielsweise drei VPC-Netzwerke eine Verbindung zu Ihrer Instanz herstellen müssen, müssen Sie drei Private Service Connect-Endpunkte erstellen – einen für jedes VPC-Netzwerk.

Wenn Sie jedoch Private Service Connect-Endpunkte über den Network Connectivity Center-Hub weitergeben, können diese Endpunkte von jedem anderen Spoke-VPC-Netzwerk im selben Hub erreicht werden. Der Hub bietet ein Modell für die zentrale Konnektivitätsverwaltung, um Spoke-VPC-Netzwerke mit Private Service Connect-Endpunkten zu verbinden.

Die Funktion zur Verbindungsweitergabe in NCC bietet folgende Vorteile für Private Service Connect-Bereitstellungen:

Sie können ein VPC-Netzwerk für gemeinsame Dienste verwenden, um mehrere Private Service Connect-Endpunkte zu erstellen. Wenn Sie dem NCC-Hub ein einzelnes VPC-Netzwerk für gemeinsame Dienste hinzufügen, sind alle Private Service Connect-Endpunkte im VPC-Netzwerk transitiv für andere Spoke-VPC-Netzwerke über den Hub zugänglich. So müssen Sie nicht jeden Private Service Connect-Endpunkt in jedem VPC-Netzwerk einzeln verwalten.

Informationen zum Verwenden des NCC-Hubs zum Weitergeben von Private Service Connect-Endpunkten an Spoke-VPC Netzwerke finden Sie im Codelab zur NCC-Private Service Connect-Weitergabe.

Private Service Connect-Backend

Sie können Private Service Connect-Back-Ends als Alternative zu Private Service Connect-Endpunkten, verwenden, um auf Cloud SQL-Instanzen zuzugreifen. Zur Vereinfachung empfehlen wir, eine Verbindung zu Ihren Cloud SQL-Instanzen über Private Service Connect-Endpunkte herzustellen. Für zusätzliche Kontrolle und Sichtbarkeit können Sie eine Verbindung über Private Service Connect-Back-Ends herstellen.

Wenn Sie Private Service Connect-Back-Ends verwenden möchten, müssen Sie die folgenden Ressourcen für jeden Serving-Port einrichten, über den Sie auf eine bestimmte Cloud SQL-Instanz zugreifen möchten:

Die unterstützten Serving-Ports für SQL Server sind:

  • TCP-Port 1433 für direkte Verbindungen zum SQL Server-Datenbankserver.
  • TCP-Port 3307 für Verbindungen über den Cloud SQL Auth-Proxy.

Ausgehende Private Service Connect-Verbindungen

Sie können eine Private Service Connect-Schnittstelle an Ihre vorhandenen Cloud SQL-Instanzen mit aktiviertem Private Service Connect anhängen, indem Sie einen Netzwerkanhang verwenden, damit Ihre Cloud SQL-Instanz ausgehende Verbindungen zu Ihrem Netzwerk herstellen kann. Um eine Verbindung zur Private Service Connect Schnittstelle Ihres Netzwerks herzustellen, benötigen Sie einen neuen oder vorhandenen Netzwerkanhang in Ihrem Google Cloud Projekt.

Sie können ausgehende Verbindungen verwenden, um Daten von einem externen Server in Ihrem Netzwerk zu migrieren, einen verknüpften Server zu verwenden, der eine ausgehende Verbindung erfordert, oder eine homogene Migration mit Database Migration Service durchzuführen.

Beschränkungen

Wenn Sie ausgehende Verbindungen auf dem Notfallwiederherstellungsreplikat (Disaster Recovery, DR)konfigurieren, funktioniert die ausgehende Verbindung auch nach einem Replikat-Switchover oder einem Replikat-Failover auf der neuen primären Instanz, die erstellt wird. Wenn Sie keine ausgehende Verbindung auf dem DR-Replikat konfigurieren, müssen Sie die ausgehende Private Service Connect-Verbindung auf der neuen primären Instanz aktivieren, damit der Dienst nach einem Replikat-Switchover oder einem Replikat-Failover weiterhin funktioniert.

Wenn Sie eine Private Service Connect-Schnittstelle mit einem Netzwerkanhang verwenden, um ausgehende Verbindungen von Ihrer Cloud SQL-Instanz zu Ihrem Netzwerk herzustellen, gelten die folgenden Einschränkungen:

  • Das Aktivieren oder Deaktivieren der ausgehenden Private Service Connect-Verbindung erfordert Ausfallzeiten. Dieser Vorgang dauert etwa 8 Minuten und die Ausfallzeit beträgt ungefähr 3 Minuten.
  • Wenn Sie einen Hostnamen oder DNS für Ihre ausgehende Verbindung verwenden, muss der DNS-Name öffentlich auflösbar sein und in einen RFC 1918-IP-Bereich aufgelöst werden.
  • IPv6-Adressen werden nicht unterstützt.
  • Öffentliche IP-Adressen werden nicht unterstützt.
  • Wenn die IP-Adresse der ausgehenden Verbindung mit der eth0-IP oder der Private Service Connect-Weiterleitungsregel in Konflikt steht, kann die Verbindung möglicherweise nicht korrekt hergestellt werden. Weitere Informationen finden Sie unter Private Service Connect – Übersicht.
  • Wenn Ihre Instanz für den Zugriff auf private Dienste und Private Service Connectkonfiguriert ist, können Sie die ausgehende Private Service Connect- Verbindung für Ihre Instanz nicht aktivieren.

Weitere Informationen zum Einrichten ausgehender Verbindungen für Ihre Cloud SQL-Instanz finden Sie unter Ausgehende Verbindungen konfigurieren.

Nächste Schritte