Panoramica di Private Service Connect

MySQL   |  PostgreSQL   |  SQL Server

Questa pagina descrive i concetti associati a Private Service Connect. Puoi utilizzare Private Service Connect per:

• Connettiti a un'istanza Cloud SQL da più reti VPC appartenenti a gruppi, team, progetti o organizzazioni diversi.
• Connettiti a un'istanza principale o a una delle sue repliche di lettura.

Endpoint Private Service Connect

Puoi utilizzare gli endpoint Private Service Connect per accedere alle istanze Cloud SQL privatamente dalle tue reti VPC consumer. Questi endpoint sono indirizzi IP interni associati a una regola di forwarding che fa riferimento a un collegamento al servizio di un'istanza Cloud SQL.

Puoi fare in modo che Cloud SQL crei automaticamente l'endpoint oppure puoi crearlo manualmente.

Creare un endpoint automaticamente

Per fare in modo che Cloud SQL crei automaticamente un endpoint:

1. Crea una policy di connessione al servizio nelle reti VPC.

2. Crea un'istanza Cloud SQL con Private Service Connect abilitato per l'istanza e configura l'istanza per creare automaticamente un endpoint. Durante la creazione dell'istanza, specifica i parametri di connessione automatica, come reti VPC e progetti.

   Cloud SQL individua il criterio di connessione al servizio in queste reti e crea un endpoint Private Service Connect che punta al collegamento al servizio dell'istanza.

   Dopo aver creato l'istanza e Cloud SQL crea l'endpoint, i client nelle reti VPC corrispondenti possono connettersi all'istanza dall'endpoint, tramite un indirizzo IP o un record DNS.

Crea un endpoint manualmente

Per creare un endpoint manualmente:

1. Crea un'istanza Cloud SQL con Private Service Connect abilitato per l'istanza.
2. Recupera l'URI del collegamento al servizio che ti serve per creare manualmente l'endpoint.

3. Prenota un indirizzo IP interno nella tua rete VPC per l'endpoint e crea un endpoint con questo indirizzo.

   Dopo aver creato l'istanza e Cloud SQL crea l'endpoint, i client nelle reti VPC corrispondenti possono connettersi all'istanza dall'endpoint, tramite un indirizzo IP o un record DNS.

Nota: devi disporre del ruolo compute.networkAdmin per creare un endpoint Private Service Connect. Questo ruolo concede il controllo completo sulla rete VPC che avvia una connessione a un'istanza Cloud SQL. Devi creare questo endpoint in ogni rete VPC in cui è necessario l'accesso al database. Per accedere all'endpoint da qualsiasi regione della rete, devi configurare l'accesso globale per l'endpoint.

Policy di connessione al servizio

Una policy di connessione del servizio ti consente di autorizzare una classe di servizio specificata a creare una connessione Private Service Connect tra reti VPC. Di conseguenza, puoi eseguire il provisioning degli endpoint Private Service Connect automaticamente.

Puoi creare un massimo di una policy per ogni combinazione di classe di servizio, regione e rete VPC. Una policy determina l'automazione della connettività del servizio per quella combinazione specifica. Quando configuri una policy, selezioni una subnet. La subnet viene utilizzata per allocare indirizzi IP per gli endpoint che crei tramite il criterio. Se più policy di connessione al servizio condividono la stessa regione, puoi riutilizzare la stessa subnet per tutte le policy.

Ad esempio, se vuoi utilizzare l'automazione della connettività di servizio con due servizi in tre regioni diverse, crea sei policy. Puoi utilizzare un minimo di tre subnet: una per ogni regione.

Dopo aver creato una policy di connessione al servizio, puoi aggiornare solo le subnet e il limite di connessioni della policy. Se devi aggiornare altri campi, segui questi passaggi:

1. Rimuovi tutte le connessioni che utilizzano il criterio.
2. Elimina la policy.
3. Crea una nuova policy.

Nota: se scegli di creare automaticamente un endpoint, puoi chiedere a Cloud SQL di creare o aggiornare una policy di connessione al servizio quando crei l'istanza Cloud SQL. Per consentire a Cloud SQL di creare o aggiornare una policy di connessione al servizio, devi disporre di ulteriori autorizzazioni IAM. Per saperne di più, consulta Creare automaticamente una policy di connessione al servizio.

Collegamento servizio

Quando crei un'istanza Cloud SQL e la configuri per utilizzare Private Service Connect, Cloud SQL crea automaticamente un collegamento al servizio per l'istanza. Un collegamento al servizio è un punto di collegamento utilizzato dalle reti VPC per accedere all'istanza.

Crea un endpoint Private Service Connect che la rete VPC utilizza per connettersi al collegamento al servizio. In questo modo la rete può accedere all'istanza.

Ogni istanza Cloud SQL ha un collegamento di servizio a cui l'endpoint Private Service Connect può connettersi tramite la rete VPC. Se sono presenti più reti, ogni rete ha un proprio endpoint.

Nomi e record DNS

Per le istanze con Private Service Connect abilitato, ti consigliamo di connetterti utilizzando un nome DNS, perché reti diverse possono connettersi alla stessa istanza e gli endpoint Private Service Connect in ogni rete potrebbero avere indirizzi IP diversi. Inoltre, il proxy di autenticazione Cloud SQL richiede nomi DNS per connettersi a queste istanze. Consulta Configurare il DNS in Private Service Connect.

Progetti Private Service Connect consentiti

Per connetterti alle istanze Cloud SQL con Private Service Connect abilitato, devi aggiungere almeno un progetto alla relativa lista consentita.

Questa lista consentita controlla le connessioni dagli endpoint Private Service Connect:

• Se un progetto è nell'elenco dei progetti consentiti, puoi creare correttamente un endpoint Private Service Connect in quel progetto e connetterti all'istanza Cloud SQL.
• Se un progetto non è presente nell'elenco dei progetti consentiti, puoi comunque tentare di creare un nuovo endpoint. Tuttavia, la connessione verrà bloccata e il nuovo endpoint rimarrà nello stato PENDING finché non aggiungerai il progetto alla lista consentita.

Rimozione e riconciliazione del progetto

Se rimuovi un progetto dall'elenco dei progetti consentiti:

• Per tutte le creazioni, i cloni e le attivazioni di Private Service Connect delle istanze Cloud SQL ad agosto 2026 e successivamente, il comportamento di riconciliazione delle connessioni è abilitato per impostazione predefinita e non può essere disabilitato. Quando rimuovi un progetto dall'elenco dei progetti consentiti, tutte le connessioni Private Service Connect esistenti dal progetto rimosso vengono chiuse immediatamente (riconciliate). Ciò significa che le applicazioni che utilizzano gli endpoint Private Service Connect in questi progetti rimossi non possono continuare a connettersi utilizzando questi endpoint.
• Per le istanze create prima di agosto 2026, quando rimuovi un progetto dall'elenco dei progetti consentiti, le applicazioni che utilizzano endpoint Private Service Connect nei progetti rimossi continuano a connettersi finché non rimuovi manualmente questi endpoint.

Propagazione endpoint Private Service Connect

Per impostazione predefinita, le connessioni Private Service Connect non sono transitive dalle reti VPC con peering. Devi creare un endpoint Private Service Connect in ogni rete VPC che deve connettersi alla tua istanza Cloud SQL. Ad esempio, se hai tre reti VPC che devono connettersi alla tua istanza, devi creare tre endpoint Private Service Connect, uno per ogni rete VPC.

Tuttavia, propagando gli endpoint Private Service Connect tramite l'hub Network Connectivity Center, questi endpoint possono essere raggiungibili da qualsiasi altra rete VPC spoke nello stesso hub. L'hub fornisce un modello di gestione della connettività centralizzato per interconnettere le reti VPC spoke agli endpoint Private Service Connect.

La funzionalità di propagazione della connessione in NCC è utile per il seguente caso d'uso per le implementazioni di Private Service Connect:

Puoi utilizzare una rete VPC di servizi comuni per creare più endpoint Private Service Connect. Se aggiungi una singola rete VPC di servizi comuni all'hub NCC, tutti gli endpoint Private Service Connect nella rete VPC diventano accessibili in modo transitivo ad altre reti VPC spoke tramite l'hub. Questa connettività elimina la necessità di gestire ogni endpoint Private Service Connect in ogni rete VPC singolarmente.

Per scoprire come utilizzare l'hub NCC per propagare gli endpoint Private Service Connect alle reti VPC spoke, consulta il codelab NCC - Propagazione di Private Service Connect.

Backend Private Service Connect

Puoi utilizzare i backend Private Service Connect in alternativa agli endpoint Private Service Connect, per accedere alle istanze Cloud SQL. Per facilità d'uso, ti consigliamo di connetterti alle istanze Cloud SQL utilizzando gli endpoint Private Service Connect. Per un maggiore controllo e visibilità, puoi connetterti utilizzando i backend Private Service Connect.

Per utilizzare i backend Private Service Connect, devi configurare le seguenti risorse per ogni porta di pubblicazione su cui vuoi accedere a una determinata istanza Cloud SQL:

• Gruppo di endpoint di rete (NEG) Private Service Connect, che deve fare riferimento al collegamento del servizio e a una porta di pubblicazione dell'istanza Cloud SQL.
• Bilanciatore del carico di rete proxy interno (costituito da servizio di backend, proxy TCP di destinazione e regola di forwarding) con il backend che è il NEG Private Service Connect.

Le porte di pubblicazione supportate per SQL Server sono le seguenti:

• Porta TCP 1433 per le connessioni dirette al server di database SQL Server.
• Porta TCP 3307 per le connessioni tramite il proxy di autenticazione Cloud SQL.

Connessioni in uscita di Private Service Connect

Puoi collegare un'interfaccia Private Service Connect alle tue istanze Cloud SQL esistenti abilitate per Private Service Connect utilizzando un collegamento di rete per consentire all'istanza Cloud SQL di effettuare connessioni in uscita alla tua rete. Per connetterti all'interfaccia Private Service Connect della tua rete, devi disporre di un collegamento di rete nuovo o esistente all'interno del tuo progetto Google Cloud .

Puoi utilizzare la connettività in uscita per eseguire la migrazione dei dati da un server esterno all'interno della tua rete, utilizzare un server collegato che richiede una connessione in uscita o eseguire una migrazione omogenea utilizzando Database Migration Service.

Limitazioni

Se configuri la connettività in uscita sulla replica di ripristino di emergenza (RE), dopo un cambio di replica o un'operazione di failover della replica, quando la replica di RE viene promossa a istanza primaria, la connettività in uscita continua a funzionare sulla nuova istanza primaria creata. Se non configuri la connettività in uscita sulla replica di RE, affinché il servizio continui a funzionare dopo un cambio di replica o un failover della replica, devi abilitare la connettività in uscita di Private Service Connect sulla nuova istanza primaria.

Quando utilizzi un'interfaccia Private Service Connect con un collegamento di rete per creare connessioni in uscita alla tua rete dall'istanza Cloud SQL, tieni presente le seguenti limitazioni:

• L'attivazione o la disattivazione della connettività in uscita di Private Service Connect richiede tempi di inattività. Il completamento di questa operazione dovrebbe richiedere circa 8 minuti, con un tempo di inattività approssimativo di 3 minuti.
• Se utilizzi un nome host o DNS per la connessione in uscita, il nome DNS deve essere risolvibile pubblicamente e risolto in un intervallo IP RFC-1918.
• Gli indirizzi IPv6 non sono supportati.
• Gli indirizzi IP pubblici non sono supportati.
• Se l'indirizzo IP della connettività in uscita è in conflitto con l'IP eth0 o con la regola di forwarding di Private Service Connect, l'indirizzo IP potrebbe non connettersi correttamente. Per saperne di più, consulta la panoramica di Private Service Connect.
• Se l'istanza è configurata sia per l'accesso privato ai servizi sia per Private Service Connect, non puoi attivare la connettività in uscita di Private Service Connect per l'istanza.

Per saperne di più su come configurare la connettività in uscita per l'istanza Cloud SQL, consulta Configurare la connettività in uscita.

Passaggi successivi

• Scopri di più sull'IP privato.
• Scopri di più su come connettersi a un'istanza utilizzando Private Service Connect.