סקירה כללית על Private Service Connect ב-Cloud SQL

במאמר הזה מוסברים מושגים שקשורים ל-Private Service Connect. אפשר להשתמש ב-Private Service Connect כדי:

  • לספק קישוריות לרשת פרטית למופע Cloud SQL מכמה רשתות של ענן וירטואלי פרטי (VPC) ששייכות לקבוצות, לצוותים, לפרויקטים או לארגונים שונים.
  • מספק קישוריות רשת למכונה הראשית של Cloud SQL או לכל אחת מהרפליקות לקריאה בלבד שלה.

‫Private Service Connect היא שיטת ברירת המחדל לקישוריות פרטית למכונות Cloud SQL בפרויקטים חדשים.

נקודת קצה של Private Service Connect

אתם יכולים להשתמש בנקודות קצה של Private Service Connect כדי לגשת באופן פרטי למופעי Cloud SQL מרשתות ה-VPC של הצרכנים. נקודות הקצה האלה הן כתובות IP פנימיות שמשויכות לכלל העברה שמפנה אל שירות מצורף של מכונת Cloud SQL.

אתם יכולים ליצור את נקודת הקצה באופן ידני, או ש-Cloud SQL ייצור אותה בשבילכם באופן אוטומטי.

יצירת נקודת קצה (endpoint) באופן אוטומטי

כדי ש-Cloud SQL ייצור נקודת קצה באופן אוטומטי:

  1. יוצרים מדיניות של חיבור שירות ברשתות ה-VPC.

  2. יוצרים מכונה של Cloud SQL עם Private Service Connect שמופעל במכונה, ומגדירים את המכונה כך שתיצור נקודת קצה באופן אוטומטי. כשיוצרים את המכונה, מציינים פרמטרים של חיבור אוטומטי כמו רשתות VPC ופרויקטים.

    ‫Cloud SQL מאתר את מדיניות חיבור השירות ברשתות האלה ויוצר נקודת קצה (endpoint) של Private Service Connect שמצביעה על קובץ מצורף של השירות של המכונה.

    אחרי שיוצרים את המופע ו-Cloud SQL יוצר את נקודת הקצה, הלקוחות ברשתות ה-VPC המתאימות יכולים להתחבר למופע מנקודת הקצה, באמצעות כתובת IP או רשומת DNS.

יצירת נקודת קצה באופן ידני

כדי ליצור נקודת קצה באופן ידני:

  1. יוצרים מכונה של Cloud SQL עם Private Service Connect שמופעל עבור המכונה.
  2. מקבלים את ה-URI של השירות המצורף שנדרש כדי ליצור את נקודת הקצה באופן ידני.

  3. שומרים כתובת IP פנימית ברשת ה-VPC בשביל נקודת הקצה ויוצרים נקודת קצה עם הכתובת הזו.

    אחרי שיוצרים את המופע ו-Cloud SQL יוצר את נקודת הקצה, הלקוחות ברשתות ה-VPC המתאימות יכולים להתחבר למופע מנקודת הקצה, באמצעות כתובת IP או רשומת DNS.

מדיניות חיבור לשירות

מדיניות חיבור לשירות מאפשרת לכם להעניק הרשאה לסוג שירות מסוים ליצור חיבור Private Service Connect בין רשתות VPC. כתוצאה מכך, אתם יכולים להקצות נקודות קצה של Private Service Connect באופן אוטומטי.

אפשר ליצור לכל היותר מדיניות אחת לכל שילוב של מחלקת שירות, אזור ורשת VPC. המדיניות קובעת את האוטומציה של קישוריות השירות לשילוב הספציפי הזה. כשמגדירים מדיניות, בוחרים תת-רשת. רשת המשנה משמשת להקצאת כתובות IP לנקודות הקצה שאתם יוצרים באמצעות המדיניות. אם לכמה כללי מדיניות של חיבורי שירות יש את אותו אזור, אתם יכולים להשתמש באותה רשת משנה לכל כללי המדיניות.

לדוגמה, אם רוצים להשתמש באוטומציה של קישוריות לשירותים עם שני שירותים בשלושה אזורים שונים, צריך ליצור שש כללי מדיניות. אפשר להשתמש במינימום של שלוש רשתות משנה: אחת לכל אזור.

אחרי שיוצרים מדיניות חיבור לשירות, אפשר לעדכן רק את מגבלת החיבורים ואת רשתות המשנה של המדיניות. אם אתם צריכים לעדכן שדות אחרים, אתם יכולים לעשות את זה באופן הבא:

  1. מסירים את כל החיבורים שמשתמשים במדיניות.
  2. מוחקים את המדיניות.
  3. יוצרים מדיניות חדשה.

קובץ מצורף עם השירות

כשיוצרים מכונה של Cloud SQL ומגדירים אותה לשימוש ב-Private Service Connect, ‏ Cloud SQL יוצר באופן אוטומטי צירוף שירות למכונה. צירוף שירות הוא נקודת צירוף שרשתות VPC משתמשות בה כדי לגשת למופע.

יוצרים נקודת קצה (endpoint) של Private Service Connect, שבה רשת ה-VPC משתמשת כדי להתחבר לצירוף השירות. כך הרשת יכולה לגשת למופע.

לכל מכונה של Cloud SQL יש צירוף שירות אחד שאליו נקודת הקצה של Private Service Connect יכולה להתחבר דרך רשת ה-VPC. אם יש כמה רשתות, לכל רשת יש נקודת קצה משלה.

שמות ורשומות DNS

במכונות שבהן מופעל Private Service Connect, מומלץ להתחבר באמצעות שם DNS, כי רשתות שונות יכולות להתחבר לאותה מכונה, ולנקודות הקצה של Private Service Connect בכל רשת יכולות להיות כתובות IP שונות. בנוסף, כדי להתחבר למכונות האלה, Cloud SQL Auth Proxy דורש שמות DNS. מידע נוסף זמין במאמר בנושא הגדרת DNS ב-Private Service Connect.

אתם יכולים להשתמש באוטומציה של DNS כדי להקצות ולנהל באופן אוטומטי רשומות DNS עבור מכונות Cloud SQL ברשתות VPC מורשות של צרכנים.

פרויקטים מותרים של Private Service Connect

כדי להתחבר למופעי Cloud SQL שמופעל בהם Private Service Connect, צריך להוסיף לפחות פרויקט אחד לרשימת ההיתרים שלו.

רשימת ההיתרים הזו קובעת את החיבורים מנקודות קצה של Private Service Connect:

  • אם פרויקט מופיע ברשימת הפרויקטים המורשים, אפשר ליצור בו נקודת קצה (endpoint) מסוג Private Service Connect ולהתחבר למכונה של Cloud SQL.
  • אם הפרויקט לא נמצא ברשימת הפרויקטים המותרים, עדיין אפשר לנסות ליצור נקודת קצה חדשה. עם זאת, החיבור ייחסם ונקודת הקצה החדשה תישאר במצב PENDING עד שתוסיפו את הפרויקט לרשימת ההיתרים.

הסרה והתאמה של פרויקטים

אם מסירים פרויקט מרשימת הפרויקטים המורשים:

  • בכל המכונות של Cloud SQL שנוצרו, שוכפלו או ש-Private Service Connect הופעל בהן באוגוסט 2026 ואילך, התכונה "ניהול חיבורים" מופעלת כברירת מחדל ואי אפשר להשבית אותה. כשמסירים פרויקט מרשימת הפרויקטים המורשים, כל החיבורים הקיימים של Private Service Connect מהפרויקט שהוסר נסגרים מיד (התאמה). כלומר, אפליקציות שמשתמשות בנקודות קצה של Private Service Connect בפרויקטים שהוסרו לא יכולות להמשיך להתחבר באמצעות נקודות הקצה האלה.
  • במקרים שבהם נוצרו מופעים לפני אוגוסט 2026, כשמסירים פרויקט מרשימת הפרויקטים המורשים, אפליקציות שמשתמשות בנקודות קצה של Private Service Connect בפרויקטים שהוסרו ממשיכות להתחבר עד שמסירים את נקודות הקצה האלה באופן ידני.

הפצה של נקודת קצה מסוג Private Service Connect

כברירת מחדל, חיבורים של Private Service Connect לא עוברים מרשתות VPC מקושרות. אתם צריכים ליצור נקודת קצה של Private Service Connect בכל רשת VPC שצריכה להתחבר למכונה של Cloud SQL. לדוגמה, אם יש לכם שלוש רשתות VPC שצריכות להתחבר למכונה, אתם צריכים ליצור שלוש נקודות קצה של Private Service Connect – נקודת קצה אחת לכל רשת VPC.

עם זאת, אם מפיצים את נקודות הקצה של Private Service Connect דרך מרכז ה-Network Connectivity Center, אפשר להגיע לנקודות הקצה האלה מכל רשת VPC מסוג Spoke באותו מרכז. המרכז מספק מודל מרכזי לניהול קישוריות, שמאפשר לקשר בין רשתות VPC מסוג spoke לבין נקודות קצה של Private Service Connect.

התכונה 'הפצת חיבורים' ב-NCC מועילה לתרחיש השימוש הבא של פריסות Private Service Connect:

אתם יכולים להשתמש ברשת VPC של שירותים משותפים כדי ליצור כמה נקודות קצה של Private Service Connect. אם מוסיפים רשת VPC אחת של שירותים משותפים ל-NCC Hub, כל נקודות הקצה של Private Service Connect ברשת ה-VPC הופכות לנגישות באופן טרנזיטיבי לרשתות VPC אחרות מסוג Spoke דרך ה-Hub. הקישוריות הזו מייתרת את הצורך לנהל בנפרד כל נקודת קצה של Private Service Connect בכל רשת VPC.

כדי ללמוד איך להשתמש ב-Hub של NCC כדי להפיץ נקודות קצה של Private Service Connect לרשתות VPC מסוג spoke, ראו את ה-Codelab של NCC – הפצת Private Service Connect.

קצה עורפי של Private Service Connect

כדי לגשת למכונות של Cloud SQL, אתם יכולים להשתמש בקצוות עורפיים של Private Service Connect במקום בנקודות קצה של Private Service Connect. כדי להקל על השימוש, מומלץ להתחבר למכונות של Cloud SQL באמצעות נקודות קצה (endpoint) של Private Service Connect. כדי לקבל יותר שליטה וניראות, אתם יכולים להתחבר באמצעות קצוות עורפיים של Private Service Connect.

כדי להשתמש בבק-אנדים של Private Service Connect, צריך להגדיר את המשאבים הבאים לכל יציאת שרת שרוצים לגשת אליה במכונה מסוימת של Cloud SQL:

אלה היציאות הנתמכות להצגת מודעות ב-PostgreSQL:

  • יציאת TCP‏ 5432 לחיבורים ישירים לשרת מסד הנתונים של PostgreSQL.
  • יציאת TCP‏ 6432 לחיבורים ישירים לשרת PgBouncer כשמשתמשים בניהול מאגר חיבורים.
  • יציאת TCP ‏3307 לחיבורים דרך Cloud SQL Auth Proxy.

חיבורים יוצאים של Private Service Connect

אתם יכולים לחבר ממשק של Private Service Connect למכונות קיימות של Cloud SQL שמופעל בהן Private Service Connect, באמצעות מחבר רשת, כדי לאפשר למכונה של Cloud SQL ליצור חיבורים יוצאים לרשת שלכם. כדי להתחבר לממשק Private Service Connect של הרשת, צריך מחבר רשת חדש או קיים בפרויקט Cloud de Confiance by S3NS .

אתם יכולים להשתמש בקישוריות יוצאת כדי להעביר נתונים משרת חיצוני ברשת שלכם, להשתמש בתוספים של PostgreSQL שדורשים חיבור יוצא למכונה של Cloud SQL, או לבצע העברה הומוגנית באמצעות Database Migration Service.

מגבלות

אם מגדירים קישוריות יוצאת ברפליקה של תוכנית התאוששות מאסון (DR), אחרי פעולת מעבר לרפליקה או פעולת יתירות כשל של רפליקה, כשהרפליקה של ה-DR מקודמת למכונה הראשית, הקישוריות היוצאת ממשיכה לפעול במכונה הראשית החדשה שנוצרה. אם לא מגדירים קישוריות יוצאת ברפליקה של ה-DR, כדי שהשירות ימשיך לפעול אחרי פעולת מעבר לרפליקה או פעולת יתירות כשל של הרפליקה, צריך להפעיל קישוריות יוצאת של Private Service Connect במכונה הראשית החדשה.

כשמשתמשים בממשק Private Service Connect עם מחבר רשת כדי ליצור חיבורים יוצאים לרשת מהמכונה של Cloud SQL, חשוב לשים לב להגבלות הבאות:

  • הפעלה או השבתה של קישוריות יוצאת ב-Private Service Connect דורשת זמן השבתה. הפעולה הזו תימשך כ-8 דקות, עם זמן השבתה משוער של 3 דקות.
  • אם אתם משתמשים בשם מארח או ב-DNS לחיבור היוצא, שם ה-DNS צריך להיות ניתן לפענוח באופן ציבורי ולפוענח לטווח כתובות IP מסוג RFC-1918.
  • אין תמיכה בכתובות IPv6.
  • אין תמיכה בכתובות IP ציבוריות.
  • אם כתובת ה-IP של הקישוריות היוצאת מתנגשת עם כתובת ה-IP של eth0 או עם כלל ההעברה של Private Service Connect, יכול להיות שכתובת ה-IP לא תתחבר בצורה תקינה. מידע נוסף זמין במאמר סקירה כללית על Private Service Connect.
  • אי אפשר להפעיל קישוריות יוצאת של Private Service Connect כשיוצרים את מכונת Cloud SQL. כדי להפעיל קישוריות יוצאת, צריך לערוך את הגדרות המופע אחרי היצירה.
  • אם המכונה מוגדרת גם לגישה לשירותים פרטיים וגם ל-Private Service Connect, אי אפשר להפעיל בה קישוריות יוצאת של Private Service Connect.
  • אי אפשר להפעיל קישוריות יוצאת של Private Service Connect במכונות read pool.

למידע נוסף על הגדרת קישוריות יוצאת למכונה של Cloud SQL, קראו את המאמר הגדרת קישוריות יוצאת.

המאמרים הבאים