Private Zugriffsoptionen für Dienste
Dieses Dokument bietet eine Übersicht über die verschiedenen Optionen für private Verbindungen zu Google- und Drittanbieter-APIs und -Diensten. Standardmäßig kann eine VM ohne externe IP-Adresse nichts außerhalb ihres VPC-Netzwerk erreichen, einschließlich Google APIs und Google-Dienste.Google Cloud bietet mehrere Optionen, um über die interne IP-Adresse einer VM eine private Verbindung zu Diensten herzustellen. Alle Google Cloud APIs und ‑Dienste unterstützen mindestens eine der folgenden Optionen für den privaten Zugriff:
- Private Service Connect
- Privater Google-Zugriff
- Zugriff auf private Dienste
- VPC-Netzwerk-Peering
Sie können eine oder mehrere dieser Optionen konfigurieren. Die Optionen funktionieren unabhängig voneinander.
Arten von Google Cloud -Diensten
Google Cloud bietet zwei Arten von Diensten an:
Google APIs und Google-Dienste, die in der Produktionsinfrastruktur von Google ausgeführt werden. Beispiele für Dienste:
- Webanwendungen wie Gmail, Google Docs und Google Maps.
- Google APIs, einschließlich derer mit
*.googleapis.com-API-Dienstendpunkten. - Serverlose Ressourcen, die über
*.appspot.com-,*.run.app- oder*.cloudfunctions.net-URLs bereitgestellt werden. - Dateien, die über
*.gstatic.com-URLs bereitgestellt werden.
Dienste in der Produktionsinfrastruktur von Google bieten möglicherweise private Verbindungen über Private Service Connect, den privater Google-Zugriff oder beides.
VPC-gehostete Dienste, die auf Compute Engine-VMs in VPC-Netzwerken ausgeführt werden. In VPC gehostete Dienste können von Google oder von Drittanbietern verwaltet werden. Beispiele für Dienste:
- Cloud SQL
- Filestore
- Memorystore for Redis
Für in VPCs gehostete Dienste kann eine private Verbindung über Private Service Connect, den Zugriff auf private Dienste, VPC-Netzwerk-Peering oder eine Kombination dieser Optionen angeboten werden.
Wenn Sie einen serverlosen Dienst haben, können Sie eine Verbindung vom Dienst zu VPC-Netzwerken herstellen.
Mit Google APIs verbinden
In der folgenden Tabelle werden die Optionen für den privaten Zugriff zum Herstellen einer Verbindung zu Google APIs und Google-Diensten beschrieben, die in der Produktionsinfrastruktur von Google gehostet werden:
| Option | Clients | Verbindung | Unterstützte Dienste |
|---|---|---|---|
| Private Service Connect-Endpunkte für Google APIs | |||
| Google Cloud -Ressourcen oder lokale Systeme, mit oder ohne externe IP-Adressen. | Stellen Sie eine Verbindung zu einem Endpunkt in Ihrem VPC-Netzwerk her, der Anfragen an Google APIs und Dienste weiterleitet. | Unterstützt alle Google Cloud APIs und die meisten anderen Google APIs und Dienste.1. | |
| Private Service Connect-Back-Ends für Google APIs verwenden | |||
| Google Cloud -Ressourcen oder lokale Systeme, mit oder ohne externe IP-Adressen. | Stellen Sie eine Verbindung zu einem Load Balancer in Ihrem VPC-Netzwerk her, der Anfragen an Google APIs und Dienste weiterleitet. | Unterstützt ausgewählte standortbezogene und globale Google APIs und Google-Dienste. | |
| Privater Google-Zugriff | |||
| Google Cloud -Ressourcen ohne externe IP-Adressen. | Stellen Sie über das Standard-Internetgateway des VPC-Netzwerks eine Verbindung zu den standardmäßigen externen IP-Adressen oder den Domains und VIPs des privaten Google-Zugriffs für Google APIs und Dienste her. | Unterstützt die meisten Google APIs und Google-Dienste.1. | |
| Privater Google-Zugriff für lokale Hosts | |||
| Lokale Hosts mit oder ohne externe IP-Adressen | Stellen Sie eine Verbindung von Ihrem lokalen Netzwerk zu Google APIs und Google-Diensten über einen Cloud VPN-Tunnel oder einen VLAN-Anhang her. Nutzen Sie dazu eine der spezifischen Domains und VIPs für den privaten Google-Zugriff. | Welche Google-Dienste Sie aufrufen können, hängt davon ab, welche spezifische Domain für den privaten Google-Zugriff Sie verwenden. | |
Verbindung zu Diensten in VPC-Netzwerken herstellen
In der folgenden Tabelle werden die Optionen für den privaten Zugriff zum Herstellen einer Verbindung zu in VPC gehosteten Diensten beschrieben:
| Option | Clients | Verbindung | Unterstützte Dienste | Nutzung |
|---|---|---|---|---|
| Verbindung zu Diensten herstellen | ||||
| Private Service Connect-Endpunkte für veröffentlichte Dienste | ||||
| Google Cloud VM-Instanzen mit oder ohne externe IP-Adressen. | Verbindung zu Diensten in einem anderen VPC-Netzwerk über einen Endpunkt herstellen. | Unterstützt Dienste, die mit Private Service Connect für Dienstersteller veröffentlicht wurden. | Verwenden Sie diese Option, um eine Verbindung zu unterstützten Diensten in einem anderen VPC-Netzwerk herzustellen, ohne Ihren Google Cloud -Ressourcen externe IP-Adressen zuzuweisen. | |
| Private Service Connect-Endpunkte für veröffentlichte Dienste | ||||
| Google Cloud VM-Instanzen mit oder ohne externe IP-Adressen. | Verbindung zu Diensten in einem anderen VPC-Netzwerk über einen Load Balancer herstellen | Unterstützt Dienste, die mit Private Service Connect für Dienstersteller veröffentlicht wurden. | Verwenden Sie diese Option, um über einen vom Nutzer verwalteten Load Balancer eine Verbindung zu unterstützten Diensten in einem anderen VPC-Netzwerk herzustellen. Sie müssen Ihren Google Cloud -Ressourcen keine externen IP-Adressen zuweisen. | |
| Richtlinien für Dienstverbindungen | ||||
| Google Cloud VM-Instanzen mit oder ohne externe IP-Adressen. | Verbindung zu Diensten in einem anderen VPC-Netzwerk über einen Endpunkt herstellen. | Unterstützt bestimmte Google- und Drittanbieterdienste. Wenden Sie sich an den Dienstanbieter, um herauszufinden, ob ein Dienst Richtlinien für Dienstverbindungen unterstützt. | Mit dieser Option können Sie eine verwaltete Dienstinstanz bereitstellen und die Verbindung über die administrative API oder die Benutzeroberfläche eines Dienstes konfigurieren. Die Dienstinstanz wird in einem VPC-Netzwerk des Erstellers bereitgestellt, das über einen Endpunkt mit Ihrem VPC-Netzwerk verbunden ist. Sie müssen Ihren Google Cloud -Ressourcen keine externen IP-Adressen zuweisen. | |
| Zugriff auf private Dienste | ||||
| Google Cloud VM-Instanzen mit oder ohne externe IP-Adressen. | Verbindung zu einem von Google oder einem Drittanbieter verwalteten VPC-Netzwerk über eine VPC-Netzwerk-Peering-Verbindung | Unterstützung Google-Dienste2. und Drittanbieterdienste, die über das Service Networking API verfügbar gemacht werden. | Verwenden Sie diese Option, um eine Verbindung zu bestimmten Diensten von Google und Drittanbietern herzustellen, ohne Google Cloud bzw. Ressourcen von Google oder Drittanbietern externe IP-Adressen zuzuweisen. | |
Verbindung von serverlosen Google-Diensten zu VPC-Netzwerken herstellen
Mit direkter Weiterleitung von ausgehendem Traffic an VPC können Sie zulassen, dass Cloud Run-, App Engine-Standard- und Cloud Run-Funktionsumgebungen Pakete an die internen IPv4-Adressen von Ressourcen in einem VPC-Netzwerk senden. Wenn der ausgehende Direct VPC-Traffic keine Option für Sie ist, können Sie stattdessen einen Connector für serverlosen VPC-Zugriff konfigurieren. Beide Optionen unterstützen auch das Senden von Paketen an andere Netzwerke, die mit dem ausgewählten VPC-Netzwerk verbunden sind.