Nesta página, descrevemos os conceitos associados ao Private Service Connect. Use o Private Service Connect para as seguintes finalidades:
- É possível se conectar a uma instância do Cloud SQL por meio de várias redes VPC pertencentes a diferentes grupos, equipes, projetos ou organizações.
- Conectar-se a uma instância primária ou a qualquer uma das réplicas de leitura dela
Endpoint do Private Service Connect
Use os endpoints do Private Service Connect para acessar instâncias do Cloud SQL de maneira particular nas redes VPC de consumidor. Esses endpoints são endereços IP internos associados a uma regra de encaminhamento que faz referência a um anexo de serviço de uma instância do Cloud SQL.
O Cloud SQL pode criar o endpoint para você automaticamente ou manualmente.
Para que o Cloud SQL crie o endpoint automaticamente, faça o seguinte:
- Crie uma política de conexão de serviço nas suas redes VPC.
Criar uma instância do Cloud SQL com o Private Service Connect ativado para ela e configurar a instância para criar um endpoint automaticamente. Ao criar a instância, especifique os parâmetros de conexão automática, como projetos e redes VPC.
O Cloud SQL localiza a política de conexão de serviço nessas redes e cria um endpoint do Private Service Connect que aponta para o anexo de serviço da instância.
Depois que você cria a instância e o Cloud SQL cria o endpoint, os clientes nas redes VPC correspondentes podem se conectar a ela pelo endpoint, seja por um endereço IP ou um registro DNS. Esse recurso para que o Cloud SQL crie o endpoint automaticamente está disponível em Pré-lançamento.
Para criar o endpoint manualmente, faça o seguinte:
- Crie uma instância do Cloud SQL com o Private Service Connect ativado para ela.
- Encontre o URI do anexo de serviço necessário para criar o endpoint manualmente.
Reserve um endereço IP interno na sua rede VPC para o endpoint e crie um endpoint com ele.
Depois que você cria a instância e o Cloud SQL cria o endpoint, os clientes nas redes VPC correspondentes podem se conectar a ela pelo endpoint, seja por um endereço IP ou um registro DNS.
Política de conexão de serviço
Com uma política de conexão de serviço, é possível autorizar uma classe de serviço especificada a criar uma conexão do Private Service Connect entre redes VPC. Como resultado, é possível provisionar endpoints do Private Service Connect automaticamente. Esse recurso está disponível em Pré-lançamento.
É possível criar no máximo uma política para cada combinação de classe de serviço, região e rede VPC. Uma política determina a automação de conectividade do serviço para essa combinação específica. Ao configurar uma política, você seleciona uma sub-rede. A sub-rede é usada na alocação de endereços IP para os endpoints criados com ela. Se várias políticas de conexão de serviço compartilharem a mesma região, será possível reutilizar a mesma sub-rede em todas as políticas.
Por exemplo, se você quiser usar a automação de conectividade do serviço com dois serviços em três regiões diferentes, crie seis políticas. É possível usar no mínimo três sub-redes: uma para cada região.
Depois de criar uma política de conexão de serviço, só será possível atualizar as sub-redes e o limite de conexão dela. Se for necessário atualizar outros campos, faça o seguinte:
- Remova todas as conexões que usam a política.
- Exclua a política.
- Crie uma nova política.
Anexo de serviço
Quando você cria uma instância do Cloud SQL e a configura para usar o Private Service Connect, o Cloud SQL cria automaticamente um anexo de serviço para a instância. Um anexo de serviço é um ponto de anexo que as redes VPC usam para acessar a instância.
Crie um endpoint do Private Service Connect que a rede VPC usa para se conectar ao anexo de serviço. Isso permite que a rede acesse a instância.
Cada instância do Cloud SQL tem um anexo de serviço ao qual o endpoint do Private Service Connect pode se conectar pela rede VPC. Se houver várias redes, cada uma tem seu próprio endpoint.
Nomes e registros DNS
Para instâncias com o Private Service Connect ativado, recomendamos usar o nome DNS porque redes diferentes podem se conectar à mesma instância e os endpoints do Private Service Connect em cada rede podem ter endereços IP diferentes. Além disso, o proxy do Cloud SQL Auth exige nomes DNS para se conectar a essas instâncias.
O Cloud SQL não cria registros DNS automaticamente. Em vez disso, um nome DNS sugerido é fornecido pela resposta da API de consulta da instância. Recomendamos que você crie o registro DNS em uma zona DNS particular na rede VPC correspondente. Isso proporciona uma maneira consistente de se conectar a partir de diferentes redes.
Projetos do Private Service Connect permitidos
Os projetos permitidos são associados a redes VPC e são específicos para cada instância do Cloud SQL. Se uma instância não estiver em nenhum projeto permitido, não será possível ativar o Private Service Connect para ela.
Para esses projetos, é possível criar endpoints do Private Service Connect para cada instância. Se um projeto não for permitido explicitamente, você ainda poderá criar um endpoint para as instâncias do projeto, mas o endpoint permanecerá no estado PENDING.
Propagação de endpoint do Private Service Connect
Por padrão, as conexões do Private Service Connect não são transitivas de redes VPC com peering. É necessário criar um endpoint do Private Service Connect em cada rede VPC que precisa se conectar à sua instância do Cloud SQL. Por exemplo, se você tiver três redes VPC que precisam se conectar à sua instância, será necessário criar três endpoints do Private Service Connect, um para cada rede VPC.
No entanto, ao propagar endpoints do Private Service Connect pelo hub do Network Connectivity Center, eles podem ser acessados por qualquer outra rede VPC spoke no mesmo hub. O hub fornece um modelo de gerenciamento de conectividade centralizado para interconectar redes VPC spoke aos endpoints do Private Service Connect.
O recurso de propagação de conexão no Network Connectivity Center beneficia o seguinte caso de uso para implantações do Private Service Connect:
É possível usar uma rede VPC de serviços comuns para criar vários endpoints do Private Service Connect. Ao adicionar uma única rede VPC de serviços comuns ao hub do Network Connectivity Center, todos os endpoints do Private Service Connect na rede VPC ficam acessíveis de modo transitivo para outras redes VPC spoke pelo hub. Essa conectividade elimina a necessidade de gerenciar cada endpoint do Private Service Connect em cada rede VPC individualmente.
Para aprender a usar o hub do Network Connectivity Center para propagar endpoints do Private Service Connect para redes VPC spoke, consulte o codelab de propagação Network Connectivity Center - Private Service Connect.
A seguir
- Saiba mais sobre IP privado.
- Saiba mais sobre como se conectar a uma instância usando o Private Service Connect.