このページは Cloud Translation API によって翻訳されました。

Private Service Connect バックエンドについて

Google API と公開サービスにアクセスするには、Private Service Connect エンドポイント（転送ルールに基づく）または Private Service Connect バックエンド（ロードバランサに基づく）を作成します。このガイドでは、Private Service Connect バックエンドについて説明します。

Private Service Connect バックエンドは、Private Service Connect ネットワークエンドポイントグループ（NEG）バックエンドで構成されたロードバランサを使用します。この構成は、以前はコンシューマ HTTP(S) サービスコントロールを使用する Private Service Connect エンドポイントと呼ばれていました。

コンシューマーマネージドロードバランサを介して API やサービスにアクセスすると、いくつかのメリットがあります。ロードバランサは、セキュリティポリシー（Google Cloud Armor ポリシーや SSL ポリシーなど）またはルーティングポリシー（Google Cloud URL マップなど）が適用される、一元化されたポリシー適用ポイントとして機能します。公開サービスでは提供されない可能性のある指標とロギングを一元管理できるため、コンシューマーが独自のルーティングとフェイルオーバーを制御できるようになります。

図 1 は、Private Service Connect NEG が公開サービスに接続されているロードバランサを示しています。クライアントトラフィックがロードバランサに送信されて処理され、別の VPC ネットワークで実行されている公開サービスにマッピングされた Private Service Connect バックエンドにルーティングされます。

**図 1.**グローバル外部アプリケーションロードバランサを使用すると、インターネットにアクセスできるサービスユーザーは、サービスプロデューサーの VPC ネットワーク内のサービスにトラフィックを送信できます（クリックして拡大）。

デプロイの概要

Private Service Connect バックエンド経由で API とサービスにアクセスする方法は次のとおりです。

接続する API またはサービスを特定します。

Google API の場合: リージョンサービスエンドポイントを選択します。

公開サービスの場合: サービスプロデューサーにサービスアタッチメント URI を確認します。
公開サービスにトラフィックを送信するロードバランサをデプロイします。インターネットクライアントや内部クライアントがあるかどうか、リージョン分離が必要かどうかなどの要件に合わせてロードバランサを選択します。既存のロードバランサを再利用することもできます。
Private Service Connect NEG をデプロイし、ロードバランサのバックエンドサービスに追加します。公開サービスを参照する Private Service Connect NEG を作成します。この NEG をロードバランサのバックエンドサービスに追加して、ロードバランサがトラフィックを送信できるようにします。

サポートされているロードバランサとターゲット

バックエンドを使用して、公開サービスまたはサポートされている Google API にアクセスできます。

Private Service Connect バックエンドを追加するロードバランサの詳細については、ロードバランシングのドキュメントをご覧ください。

グローバル外部アプリケーションロードバランサとリージョン外部アプリケーションロードバランサについては、外部アプリケーションロードバランサの概要をご覧ください。
内部アプリケーションロードバランサとクロスリージョン内部アプリケーションロードバランサについては、内部アプリケーションロードバランサの概要をご覧ください。
リージョン内部プロキシネットワークロードバランサの詳細については、リージョン内部プロキシネットワークロードバランサの概要をご覧ください。
リージョン外部プロキシネットワークロードバランサの詳細については、リージョン外部プロキシネットワークロードバランサの概要をご覧ください。
グローバル外部プロキシネットワークロードバランサの詳細については、外部プロキシネットワークロードバランサの概要をご覧ください。

公開サービスのターゲット

公開サービス用の Private Service Connect バックエンドには、コンシューマーロードバランサとプロデューサーロードバランサという 2 つのロードバランサが必要です。

コンシューマーの構成

次の表に、公開サービス用の Private Service Connect バックエンドでサポートされているコンシューマーロードバランサを示します。各コンシューマーロードバランサで使用できるバックエンドサービスプロトコルも示します。コンシューマーロードバランサは、サポートされているプロデューサーロードバランサでホストされている公開サービスにアクセスできます。

コンシューマーロードバランサ	プロトコル	IP バージョン
クロスリージョン内部アプリケーションロードバランサ	HTTP HTTPS HTTP2	IPv4
クロスリージョン内部プロキシネットワークロードバランサ	TCP	IPv4
グローバル外部アプリケーションロードバランサ注: 従来のアプリケーションロードバランサはサポートされていません。	HTTP HTTPS HTTP2	IPv4
グローバル外部プロキシネットワークロードバランサこのロードバランサを Private Service Connect NEG に関連付けるには、Google Cloud CLI を使用するか、API リクエストを送信します。注: 従来のプロキシネットワークロードバランサはサポートされていません。	TCP / SSL	IPv4
リージョン外部アプリケーションロードバランサ	HTTP HTTPS HTTP2	IPv4
リージョン外部プロキシネットワークロードバランサ	TCP	IPv4
リージョン内部アプリケーションロードバランサ	HTTP HTTPS HTTP2	IPv4
リージョン内部プロキシネットワークロードバランサ	TCP	IPv4

プロデューサーの構成

次の表に、公開サービス用の Private Service Connect バックエンドでサポートされるプロデューサーロードバランサの構成を示します。

プロデューサーの種類	プロデューサーの構成（公開サービス）
プロデューサーの種類	サポートされるプロデューサーバックエンド	転送ルールプロトコル	転送ルールのポート	PROXY プロトコル	IP バージョン	Private Service Connect のヘルスサポート
クロスリージョン内部アプリケーションロードバランサ	GCE_VM_IP_PORT ゾーン NEG ハイブリッド NEG サーバーレス NEG Private Service Connect NEG インスタンスグループ	TCP HTTP HTTPS HTTP/2 gRPC	1 つ、複数、またはすべてのポートをサポート		IPv4
内部パススルーネットワークロードバランサ	GCE_VM_IP ゾーン NEG インスタンスグループ	TCP	プロデューサーポートの構成をご覧ください。		IPv4
リージョン内部アプリケーションロードバランサ	GCE_VM_IP_PORT ゾーン NEG ハイブリッド NEG サーバーレス NEG Private Service Connect NEG インスタンスグループ	HTTP HTTPS HTTP/2	単一のポートをサポート		IPv4
リージョン内部プロキシネットワークロードバランサ	GCE_VM_IP_PORT ゾーン NEG ハイブリッド NEG Private Service Connect NEG インスタンスグループ	TCP	単一のポートをサポート		IPv4
Secure Web Proxy	該当なし	該当なし	該当なし		IPv4

グローバル外部アプリケーションロードバランサを使用するバックエンド構成の例については、バックエンド経由で公開サービスにアクセスするをご覧ください。

リージョン Google API ターゲット

次の表では、Private Service Connect バックエンドを使用してリージョン Google API にアクセスできるロードバランサについて説明します。

内部アプリケーションロードバランサを使用する構成例については、バックエンド経由で Google API にアクセスするをご覧ください。

構成	詳細
コンシューマの構成（Private Service Connect バックエンド）
サポートされているコンシューマロードバランサ	内部アプリケーションロードバランサプロトコル: HTTPS リージョン外部アプリケーションロードバランサプロトコル: HTTPS
IP バージョン	IPv4
プロデューサー
サポート対象のサービス	サポートされているリージョンの Google API

グローバル Google API ターゲット

次の表に、Private Service Connect バックエンドを使用してグローバル Google API にアクセスできるロードバランサを示します。

構成	詳細
コンシューマの構成（Private Service Connect バックエンド）
サポートされているコンシューマーロードバランサ	グローバル外部アプリケーションロードバランサ注: 従来のアプリケーションロードバランサはサポートされていません。クロスリージョン内部アプリケーションロードバランサ
IP バージョン	IPv4
プロデューサー
サポート対象のサービス	Bigtable: `bigtable.googleapis.com`、`bigtableadmin.googleapis.com` Cloud Logging: `logging.googleapis.com` Spanner: `spanner.googleapis.com` Cloud Storage: `storage.googleapis.com` Pub/Sub: `pubsub.googleapis.com`

接続ステータス

Private Service Connect エンドポイント、バックエンド、サービスアタッチメントには、接続の状態を示す接続ステータスがあります。接続の両側を形成するコンシューマーリソースとプロデューサーリソースは常に同じステータスになります。接続ステータスは、エンドポイントの詳細を表示する、バックエンドの説明をする、または公開サービスの詳細を表示することで表示できます。

次の表に、ステータスの説明を示します。

接続ステータス	説明
承認	Private Service Connect 接続が確立されています。2 つの VPC ネットワークが接続し、接続が正常に機能しています。
保留中	Private Service Connect 接続が確立されていないため、ネットワークトラフィックが 2 つのネットワーク間を移動できません。接続がこのステータスになる理由は次のとおりです。サービスアタッチメントは明示的な承認を必要としますが、コンシューマーがコンシューマーの承認リストに含まれていません。接続数がサービスアタッチメントの接続上限を超えています。エンドポイントに関連付けられている伝播接続の数は、サービスアタッチメントの伝播接続の上限を超えています。これらの理由でブロックされた接続は、根本的な問題が解決されるまで無期限に保留状態のままになります。
拒否	Private Service Connect 接続が確立されていません。ネットワークトラフィックを 2 つのネットワーク間で移動することはできません。接続がこのステータスになる理由は次のとおりです。プロデューサーの組織のポリシーによって接続が拒否された。コンシューマーの拒否リストによって接続が拒否された。
要確認	接続のプロデューサー側に問題があります。一部のトラフィックは 2 つのネットワーク間を流れますが、一部の接続は機能しない可能性があります。たとえば、プロデューサーの NAT サブネットが使い果たされ、新しい接続に IP アドレスを割り振ることができない場合があります。
終了	サービスアタッチメントが削除され、Private Service Connect 接続が閉じています。ネットワークトラフィックを 2 つのネットワーク間で移動することはできません。閉じた接続は終端状態です。接続を復元するには、サービスアタッチメントだけでなく、エンドポイントまたはバックエンドも再作成する必要があります。

仕様

すべての Private Service Connect バックエンドの仕様は次のとおりです。

Private Service Connect NEG をバックエンドとして使用できるのは、サポートされているロードバランサのみです。
Private Service Connect NEG を、同じバックエンドサービス内の他の NEG タイプと混在させることはできません。ただし、自己ホスト型アプリケーションとマネージドサービスは、別々のバックエンドサービスの一部である限り、同じロードバランサのバックエンドにすることができます。
Private Service Connect NEG を使用するバックエンドサービスは、ヘルスチェックをサポートしていません。Private Service Connect に使用されるバックエンドサービスでは、ヘルスチェックリソースが構成されていません。
Private Service Connect NEG を使用するバックエンドサービスは、セッションアフィニティをサポートしていません。
Private Service Connect NEG がサービスアタッチメントを参照する場合、サービスアタッチメントは NEG およびロードバランサとは異なる VPC ネットワークに存在する必要があります。
Private Service Connect NEG は、ポートマッピングサービス用に構成されたサービスアタッチメントを参照できません。

グローバルバックエンドサービスで使用される Private Service Connect バックエンドには、追加の仕様があります。

複数の Private Service Connect NEG は、異なるリージョンから送信されていれば、同じバックエンドサービスに含めることができます。同じリージョンから同じバックエンドサービスに複数の Private Service Connect NEG を追加することはできません。
複数の Private Service Connect NEG を同じバックエンドサービスに関連付けることで、自動クロスリージョンフェイルオーバーを利用できます。詳細については、次のセクションをご覧ください。

クロスリージョンの自動フェイルオーバー

グローバルまたはクロスリージョンロードバランサに基づく Private Service Connect バックエンドを使用して公開されたサービスにアクセスすると、クロスリージョンフェイルオーバーを自動的に利用できます。

自動フェイルオーバーでは、あるリージョンのサービスインスタンスが異常な状態になると、コンシューマーロードバランサは異常なインスタンスへのトラフィックの転送を停止し、代わりに別のリージョンの正常なサービスインスタンスにトラフィックを転送します。

自動フェイルオーバーをサポートするには、このセクションで説明するように、サービスプロデューサーとサービスコンシューマーの両方がマルチリージョンデプロイ用にリソースを構成する必要があります。Private Service Connect のヘルスチェックを使用したフェイルオーバーに関するプロデューサーの追加要件については、Private Service Connect のヘルスチェックの仕様をご覧ください。

プロデューサーの構成:

各リージョンにサービスをデプロイします。サービスの各リージョンインスタンスは、バックエンドによるアクセスをサポートするリージョンロードバランサ上に構成する必要があります。
サービスアタッチメントを作成して、サービスの各リージョンインスタンスを公開します。

コンシューマーの構成:

公開サービスにアクセスする Private Service Connect バックエンドを作成します。バックエンドは、クロスリージョンフェイルオーバーをサポートするロードバランサに基づいており、次の構成が含まれている必要があります。
- 各リージョンのサービスアタッチメントを指す、そのリージョンの Private Service Connect NEG
- NEG バックエンドを含むグローバルバックエンドサービス

複数の Private Service Connect NEG を持つグローバル外部アプリケーションロードバランサが、複数のリージョンで公開されているサービスに接続します。このマルチリージョンデプロイでは、サービスインスタンスが異常になると、コンシューマーロードバランサがフェイルオーバーし、トラフィックを別のリージョンの正常なサービスインスタンスに転送します（クリックして拡大）。

自動フェイルオーバーは、次の 2 つの方法でトリガーできます。

外れ値検出によるフェイルオーバー: ロードバランサの標準フェイルオーバーメカニズム。マルチリージョンデプロイではデフォルトで有効になっています。公開サービスから高いエラー率を受け取った Private Service Connect NEG からトラフィックが転送されます。
Private Service Connect のヘルスチェックによるフェイルオーバーの強化: サービスプロデューサーは、Private Service Connect のヘルスチェックを構成して、サービスの詳細なヘルスシグナルを提供できます。

外れ値検出によるフェイルオーバー

複数の Private Service Connect NEG がグローバルバックエンドサービスで構成されている場合、バックエンドサービスで外れ値検出が自動的に有効になります。

外れ値検出で、公開されたサービスから送信されたレスポンス（5xx レスポンスコードなど）の失敗が特定されると、コンシューマーロードバランサがフェイルオーバーし、トラフィックを代替リージョンの正常なサービスインスタンスに一時的にリダイレクトします。

独自の外れ値検出構成をバックエンドサービスに適用してデフォルトの外れ値検出ポリシーを置き換えるか、バックエンドサービスで単一の Private Service Connect NEG を構成し、トラフィックの 100% をこの NEG に転送して、この機能を無効にすることができます。

Private Service Connect のヘルスチェックによるフェイルオーバーの強化

Private Service Connect のヘルスチェックを使用すると、コンシューマーロードバランサは、サービスプロデューサーが構成した直接ヘルスシグナルに基づいてフェイルオーバーできます。

プロデューサーは、リージョンで公開されたサービスインスタンスごとに単一の複合ヘルスステータスを作成する条件を定義します。複合ヘルス状態は、VM インスタンスやネットワークエンドポイントなどのサービスのバックエンドの正常性に基づいています。たとえば、プロデューサーは、バックエンドインスタンスの一定の割合が正常な場合にのみ、サービスが正常と見なされるように指定できます。

マルチリージョンデプロイでサポートされているロードバランサの場合、Private Service Connect のヘルスシグナルを使用するためにコンシューマー側で追加の構成を行う必要はありません。

サービスプロデューサーが Private Service Connect のヘルスチェックを構成する方法については、Private Service Connect のヘルスチェックについてをご覧ください。

料金

料金については、VPC の料金ページの次のセクションをご覧ください。