הגדרה של Private Service Connect

במאמר הזה מוסבר איך להגדיר את Private Service Connect לחיבורים לרשת הפרטית של מכונות Cloud SQL.

אחרי שמגדירים את Private Service Connect ואת נקודות הקצה שלו, אתם והלקוחות של האפליקציה יכולים להתחבר למכונה הראשית של Cloud SQL או לכל אחת מרפליקות הקריאה שלה מכמה רשתות של ענן וירטואלי פרטי (VPC) ששייכות לקבוצות, לצוותים, לפרויקטים או לארגונים שונים. אפשר גם להגדיר שמות DNS לכל מופע או שמות DNS גלובליים עבור חיבורי לקוח שמבוססים על שם DNS. זה שימושי במקרים של יתירות כשל ותוכנית התאוששות מאסון (DR).

לפני שמתחילים

1. In the Cloud de Confiance console, on the project selector page, select or create a Cloud de Confiance project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Go to project selector

2. Verify that billing is enabled for your Cloud de Confiance project.

3. Enable the Service Networking, Network Connectivity, Cloud DNS APIs, if any are not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the APIs

4. Make sure that you have the following role or roles on the project: Compute Network Admin, Cloud SQL Admin, Cloud DNS Admin, Cloud SQL Instance User

   Check for the roles

   1. In the Cloud de Confiance console, go to the IAM page.

      Go to IAM
   2. Select the project.

   3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

   4. For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

   Grant the roles

   1. In the Cloud de Confiance console, go to the IAM page.

      Go to IAM
   2. Select the project.
   3. Click person_add Grant access.

   4. In the New principals field, enter your user identifier. This is typically the identifier for a user in a workforce identity pool. For details, see Represent workforce pool users in IAM policies, or contact your administrator.

   5. Click Select a role, then search for the role.
   6. To grant additional roles, click add Add another role and add each additional role.
   7. Click Save.

5. Install the gcloud CLI.

6. Configure the gcloud CLI to use your federated identity.

   For more information, see Sign in to the gcloud CLI with your federated identity.

7. To initialize the gcloud CLI, run the following command:

   gcloud init

יצירת נקודת קצה מסוג Private Service Connect

נקודות הקצה של Private Service Connect הן כתובות IP פנימיות ברשת VPC של הצרכן, שלקוחות ברשת הזו יכולים לגשת אליהן ישירות. הלקוחות יכולים להשתמש בנקודות הקצה האלה כדי להתחבר למכונות של Cloud SQL.

אתם יכולים לאפשר ל-Cloud SQL ליצור נקודת קצה של Private Service Connect באופן אוטומטי בענן הווירטואלי הפרטי (VPC), או ליצור את נקודת הקצה באופן ידני.

יצירת נקודת הקצה באופן אוטומטי

כדי ש-Cloud SQL ייצור את נקודת הקצה של Private Service Connect באופן אוטומטי:

1. יוצרים מדיניות חיבור לשירות ברשת ה-VPC. המדיניות הזו מאפשרת להקצות נקודות קצה של Private Service Connect באופן אוטומטי.

2. יוצרים מכונה של Cloud SQL שמופעל בה Private Service Connect, ומגדירים את המכונה כך שתיצור נקודות קצה של Private Service Connect באופן אוטומטי.

3. מאחזרים את נקודת הקצה של המופע. כך תוכלו להשתמש בנקודת הקצה כדי להתחבר למופע.

יצירת מדיניות של חיבור לשירות

אפשר ליצור מדיניות חיבור לשירות באמצעות מסוף Cloud de Confiance , ה-CLI של gcloud או ה-API.

gcloud network-connectivity service-connection-policies create POLICY_NAME \
    --network=NETWORK \
    --project=PROJECT_ID \
    --region=REGION \
    --service-class=SERVICE_CLASS \
    --subnets=https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETS \
    --psc-connection-limit=LIMIT \
    --description="DESCRIPTION" \
    --producer-instance-location=PRODUCER_INSTANCE_LOCATION \
    --allowed-google-producers-resource-hierarchy-level=RESOURCE_HIERARCHY_LEVEL

gcloud network-connectivity service-connection-policies create cloud-sql-policy \
    --network=default \
    --project=my-project \
    --region=us-central1 \
    --service-class=google-cloud-sql \
    --subnets=managed-service-subnet \
    --psc-connection-limit=10 \
    --producer-instance-location=custom-resource-hierarchy-levels \
    --allowed-google-producers-resource-hierarchy-level=projects/myproject

POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/serviceConnectionPolicies?serviceConnectionPolicyId=POLICY_NAME

{
  "description": "DESCRIPTION",
  "network": "projects/PROJECT_ID/global/networks/NETWORK",
  "pscConfig": {
    "limit": "LIMIT",
    "subnetworks": [
      "projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET"
    ]
  },
  "serviceClass": "SERVICE_CLASS"
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/serviceConnectionPolicies?serviceConnectionPolicyId=POLICY_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/serviceConnectionPolicies?serviceConnectionPolicyId=POLICY_NAME" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/REGION/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.networkconnectivity.v1.OperationMetadata",
    "createTime": "2023-08-15T16:59:29.236110917Z",
    "target": "projects/PROJECT_ID/locations/REGION/serviceConnectionPolicies/POLICY_NAME",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": false
}

יצירה אוטומטית של מדיניות חיבור לשירות

אפשר ליצור מדיניות חיבור לשירות באופן אוטומטי כשיוצרים את המכונה של Cloud SQL, אבל האפשרות הזו דורשת הרשאות אדמין נוספות.

יצירת מכונה של Cloud SQL

אתם יכולים ליצור מכונה עם Private Service Connect שמופעל במכונה, ולהגדיר את המכונה כך שתיצור נקודות קצה באופן אוטומטי באמצעות מסוף Cloud de Confiance , ה-CLI של gcloud או ה-API.

gcloud sql instances create INSTANCE_NAME \
  --project=PROJECT_ID \
  --region=REGION_NAME \
  --tier=MACHINE_TYPE \
  --availability-type=AVAILABILITY_TYPE \
  --database-version=DATABASE_VERSION \
  --no-assign-ip \
  --enable-private-service-connect \
  --allowed-psc-projects=ALLOWED_PROJECTS \
  --psc-auto-connections=network=CONSUMER_NETWORK,project=CONSUMER_PROJECT \
  --enable-psc-auto-dns \
  --enable-psc-write-endpoint-dns

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

{
  "name": "INSTANCE_NAME",
  "project": PROJECT_ID",
  "region": "REGION_NAME",
  "databaseVersion": "POSTGRES_13",
  "kind": "sql#instance",
  "settings": {
    "availabilityType": "AVAILABILITY_TYPE",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "pscConfig": {
        "allowedConsumerProjects": [
          "ALLOWED_PROJECTS"
        ],
        "pscAutoConnections": [
          {
            "consumerProject":"CONSUMER_PROJECT",
            "consumerNetwork":"projects/PARENT_PROJECT/global/networks/CONSUMER_NETWORK"
          }
        ],
        "pscEnabled": true,
        "pscAutoConnectionPolicyEnabled": true,
        "pscAutoDnsEnabled": true,
        "pscWriteEndpointDnsEnabled": true
      }
    },
    "kind": "sql#settings",
    "pricingPlan": "PER_USE",
    "replicationType": "SYNCHRONOUS",
    "tier": "MACHINE_TYPE"
  }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME",
  "status": "RUNNING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "startTime": "2023-06-14T18:48:35.499Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_NAME",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

resource "google_sql_database_instance" "INSTANCE_NAME"
{
  name = "INSTANCE_NAME"
  database_version = "DATABASE_VERSION"
  settings
  {
    tier = "MACHINE_TYPE"
    ip_configuration
    {
      psc_config
      {
        psc_enabled = true
        psc_auto_dns_enabled = true
        psc_write_endpoint_dns_enabled = true
        allowed_consumer_projects = ["ALLOWED_PROJECTS"]
        psc_auto_connections
        {
          consumer_network = "CONSUMER_NETWORK"
          consumer_service_project_id = "CONSUMER_PROJECT"
        }
      }
      ipv4_enabled = false
    }
  }
}

אחזור נקודת הקצה (endpoint)

אחרי שמאחזרים את כתובת ה-IP הפנימית, שהיא נקודת הקצה של Private Service Connect למכונה, אפשר להשתמש בנקודת הקצה הזו כדי להתחבר למכונה.

gcloud sql instances describe INSTANCE_NAME \
--project=PROJECT_ID \
--format='json(settings.ipConfiguration.pscConfig.pscAutoConnections)'

GET https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME" | Select-Object -Expand Content

{
  "kind": "sql#instance",
  "state": "RUNNABLE",
  "databaseVersion": "POSTGRES_13",
  "settings": {
    "authorizedGaeApplications": [],
    "tier": "db-custom-2-7680",
    "kind": "sql#settings",
    "availabilityType": "REGIONAL",
    "pricingPlan": "PER_USE",
    "replicationType": "SYNCHRONOUS",
    "activationPolicy": "ALWAYS",
    "ipConfiguration": {
      "authorizedNetworks": [],
      "pscConfig": {
        "allowedConsumerProjects": [
          "ALLOWED_PROJECTS"
        ],
      "pscAutoConnections": {
        consumerNetwork:"projects/PARENT_PROJECT/global/networks/CONSUMER_NETWORK",
        consumerNetworkStatus:"CONSUMER_NETWORK_STATUS",
        consumerProject:"CONSUMER_PROJECT",
        ipAddress:"IP_ADDRESS",
        status:"STATUS"
        },
        "pscEnabled": true
      },
      "ipv4Enabled": false
    },
}

יצירת נקודת הקצה באופן ידני

כדי ליצור ידנית את נקודת הקצה של Private Service Connect:

1. יוצרים מכונה של Cloud SQL עם Private Service Connect שמופעל במכונה.

2. קבלת ה-URI של קובץ השירות המצורף משתמשים ב-URI הזה כדי ליצור את נקודת הקצה של Private Service Connect.

3. שומרים כתובת IP פנימית לנקודת הקצה של Private Service Connect ויוצרים נקודת קצה עם הכתובת הזו.

יצירת מכונה של Cloud SQL

אתם יכולים ליצור מכונה עם Private Service Connect באמצעות ה-CLI של gcloud, ‏Terraform או ה-API.

gcloud sql instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION_NAME \
--enable-private-service-connect \
--allowed-psc-projects=ALLOWED_PROJECTS \
--availability-type=AVAILABILITY_TYPE \
--no-assign-ip \
--tier=MACHINE_TYPE \
--database-version=DATABASE_VERSION

resource "google_sql_database_instance" "default" {
  name             = "postgres-instance"
  region           = "us-central1"
  database_version = "POSTGRES_14"
  settings {
    tier              = "db-custom-2-7680"
    availability_type = "REGIONAL"
    backup_configuration {
      enabled = true
    }
    ip_configuration {
      psc_config {
        psc_enabled               = true
        allowed_consumer_projects = []
      }
      ipv4_enabled = false
    }
  }
}

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

{
  "name": "INSTANCE_NAME",
  "project": PROJECT_ID",
  "region": "REGION_NAME",
  "databaseVersion": "POSTGRES_13",
  "kind": "sql#instance",
  "settings": {
    "availabilityType": "AVAILABILITY_TYPE",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "pscConfig": {
        "allowedConsumerProjects": [
          "ALLOWED_PROJECTS"
        ],
        "pscEnabled": true
      }
    },
    "kind": "sql#settings",
    "pricingPlan": "PER_USE",
    "replicationType": "SYNCHRONOUS",
    "tier": "MACHINE_TYPE"
  }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME",
  "status": "RUNNING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "startTime": "2023-06-14T18:48:35.499Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_NAME",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

אחזור הקובץ המצורף לשירות

אחרי שיוצרים מכונה של Cloud SQL עם Private Service Connect, מקבלים את ה-URI של קובץ השירות המצורף ומשתמשים בו כדי ליצור את נקודת הקצה של Private Service Connect.

gcloud sql instances describe INSTANCE_NAME \
--project=PROJECT_ID

gcloud sql instances describe myinstance \
--project=12345

...
pscServiceAttachmentLink: projects/45678/regions/myregion/serviceAttachments/myserviceattachment

GET https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME" | Select-Object -Expand Content

{
  ...
  pscServiceAttachmentLink: "projects/PROJECT_ID/regions/REGION_NAME/serviceAttachments/SERVICE_ATTACHMENT_NAME"
}

יצירת נקודת קצה מסוג Private Service Connect

אתם יכולים לשמור כתובת IP פנימית לנקודת הקצה של Private Service Connect וליצור נקודת קצה עם הכתובת הזו. כדי ליצור את נקודת הקצה, צריך את מזהה ה-URI של צירוף השירות ואת הפרויקטים שמותרים למכונה.

resource "google_compute_address" "default" {
  name         = "psc-compute-address"
  region       = "us-central1"
  address_type = "INTERNAL"
  subnetwork   = "default"     # Replace value with the name of the subnet here.
  address      = "10.128.0.42" # Replace value with the IP address to reserve.
}

data "google_sql_database_instance" "default" {
  name = resource.google_sql_database_instance.default.name
}

resource "google_compute_forwarding_rule" "default" {
  name                    = "psc-forwarding-rule-${google_sql_database_instance.default.name}"
  region                  = "us-central1"
  network                 = "default"
  ip_address              = google_compute_address.default.self_link
  load_balancing_scheme   = ""
  target                  = data.google_sql_database_instance.default.psc_service_attachment_link
  allow_psc_global_access = true
}

resource "google_compute_network" "ipv6_default" {
  name                     = "net-ipv6"
  auto_create_subnetworks  = false
  enable_ula_internal_ipv6 = true
}

resource "google_compute_subnetwork" "ipv6_default" {
  name             = "subnet-internal-ipv6"
  ip_cidr_range    = "10.0.0.0/16"
  region           = "us-central1"
  stack_type       = "IPV4_IPV6"
  ipv6_access_type = "INTERNAL"
  network          = google_compute_network.ipv6_default.id
}

resource "google_compute_address" "ipv6_default" {
  name         = "psc-compute-ipv6-address-${google_sql_database_instance.default.name}"
  region       = "us-central1"
  address_type = "INTERNAL"
  subnetwork   = google_compute_subnetwork.ipv6_default.name
  ip_version   = "IPV6"
}

resource "google_compute_forwarding_rule" "ipv6_ilb_example" {
  name   = "ipv6-psc-forwarding-rule-${google_sql_database_instance.default.name}"
  region = "us-central1"

  load_balancing_scheme   = ""
  target                  = data.google_sql_database_instance.default.psc_service_attachment_link
  network                 = google_compute_network.ipv6_default.name
  subnetwork              = google_compute_subnetwork.ipv6_default.name
  ip_address              = google_compute_address.ipv6_default.id
  allow_psc_global_access = true
}

חיבור למכונה של Cloud SQL

אפשר להתחבר למכונת Cloud SQL עם Private Service Connect מופעל באמצעות כתובת IP פנימית, רשומת DNS, Cloud SQL Auth Proxy, מחברי שפות ל-Cloud SQL אוCloud de Confiance by S3NS אפליקציות אחרות.

קישור באמצעות רשומת DNS

מומלץ להתחבר למופעים עם Private Service Connect מופעל באמצעות DNS. שם DNS מאפשר לרשתות שונות להתחבר לאותה מכונה, כאשר לנקודות קצה של Private Service Connect בכל רשת יכולות להיות כתובות IP שונות. בנוסף, כדי להתחבר למכונות האלה, צריך להשתמש בשמות DNS ב-Cloud SQL Auth Proxy. במאמר הגדרת DNS ל-Private Service Connect מוסבר איך מגדירים את ה-DNS.

לפני שמתחברים למכונת Cloud SQL באמצעות רשומת DNS, צריך לבצע את הפעולות הבאות:

1. יצירת נקודת קצה מסוג Private Service Connect
2. מוודאים שקובץ השירות המצורף של המופע מקבל את נקודת הקצה. כדי לוודא שהסטטוס של נקודת הקצה הוא ACCEPTED, בודקים את הסטטוס.
3. מגדירים תחום מנוהל של DNS ורשומת DNS.

אחרי שתעמדו בתנאים האלה, תוכלו להשתמש ברשומת ה-DNS כדי להתחבר למכונה מכל רשת VPC שבה יצרתם את נקודת הקצה.

psql "sslmode=disable dbname=DATABASE_NAME user=USERNAME host=DNS_RECORD"

מחליפים את הפרטים הבאים:

• ‫DATABASE_NAME: השם של מסד הנתונים של Cloud SQL ל-PostgreSQL שנמצא במופע
• ‫USERNAME: השם של המשתמש שמתחבר למכונה
• ‫DNS_RECORD: רשומת ה-DNS של נקודת הקצה

חיבור ישיר באמצעות כתובת IP פנימית

לפני שמתחברים למכונת Cloud SQL עם Private Service Connect מופעל, צריך לבצע את הפעולות הבאות:

1. יוצרים נקודת קצה מסוג Private Service Connect.
2. מוודאים שחיבור השירות של המכונה מקבל את נקודת הקצה. כדי לוודא שהסטטוס של נקודת הקצה הוא ACCEPTED, בודקים את הסטטוס.

אחרי שתעמדו בתנאים האלה, תוכלו להשתמש בכתובת ה-IP של נקודת הקצה כדי לגשת למופע מכל רשת VPC שבה יצרתם את נקודת הקצה.

1. אחזור של כתובת ה-IP הפנימית של נקודת הקצה של Private Service Connect באמצעות השם של כתובת ה-IP של נקודת הקצה.

   gcloud

   כדי לאחזר את כתובת ה-IP, משתמשים בפקודה gcloud compute addresses describe:

   gcloud compute addresses describe ADDRESS_NAME \
   --project=PROJECT_ID \
   --region=REGION_NAME

   מחליפים את הפרטים הבאים:

   • ‫ADDRESS_NAME: השם של כתובת ה-IP של נקודת הקצה
   • ‫PROJECT_ID: המזהה או מספר הפרויקט של Cloud de Confiance הפרויקט שמכיל את נקודת הקצה
   • ‫REGION_NAME: שם האזור של נקודת הקצה (endpoint)

   בתשובה, מוודאים שכתובת IP מופיעה בשדה address. זוהי כתובת ה-IP הפנימית.

   REST

   לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

   • ‫PROJECT_ID: המזהה או מספר הפרויקט של Cloud de Confiance הפרויקט שמכיל את נקודת הקצה
   • ‫REGION_NAME: שם האזור של נקודת הקצה
   • ‫ADDRESS_NAME: השם של כתובת ה-IP של נקודת הקצה

   ה-method של ה-HTTP וכתובת ה-URL:

   GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME

   כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

   ‫Curl (Linux,‏ macOS או Cloud Shell)

   מריצים את הפקודה הבאה:

   curl -X GET \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME"

   ‎PowerShell (Windows)

   מריצים את הפקודה הבאה:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method GET `
       -Headers $headers `
       -Uri "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME" | Select-Object -Expand Content

   אתם אמורים לקבל תגובת JSON שדומה לזו:

   {
     "kind": "compute#address",
     "id": "ADDRESS_ID",
     "creationTimestamp": "2024-05-09T11:20:50.114-07:00",
     "name": "ADDRESS_NAME",
     "description": "This is the name of the internal IP address.",
     "address": "IP_ADDRESS",
     "status": "RESERVED",
     "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME",
     "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME",
     "networkTier": "PREMIUM",
     "labelFingerprint": "LABEL_FINGERPRINT_ID",
     "addressType": "EXTERNAL"
   }
   

   כתובת ה-IP הפנימית היא הערך שמשויך לשדה address.

2. אפשר גם לאחזר את כתובת ה-IP הפנימית של נקודת הקצה (endpoint) של Private Service Connect באמצעות הקובץ המצורף לשירות של מכונת Cloud SQL.

   gcloud

   כדי לאחזר את כתובת ה-IP, משתמשים בפקודה gcloud compute forwarding-rules list:

   gcloud compute forwarding-rules list \
   --filter="TARGET:REGION_NAME/serviceAttachments/SERVICE_ATTACHMENT_NAME" \
   --project=PROJECT_ID

   מחליפים את הפרטים הבאים:

   • ‫REGION_NAME: שם האזור של נקודת הקצה
   • ‫PROJECT_ID: המזהה או מספר הפרויקט של הפרויקט ב- Cloud de Confiance שמכיל את נקודת הקצה (endpoint)
   • ‫SERVICE_ATTACHMENT_NAME: השם של חיבור השירות למכונה של Cloud SQL

   בתגובה, מוודאים שמופיעה כתובת IP. זוהי כתובת ה-IP הפנימית.

   זוהי דוגמה לתשובה:

   NAME	REGION	IP_ADDRESS	TARGET
   myInstance	us-central1	10.10.10.10	us-central1/serviceAttachments/a-123456789e0a-psc-service-attachment-abc123d4e5f67gh8

   REST

   לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

   • ‫PROJECT_ID: המזהה או מספר הפרויקט של הפרויקט ב- Cloud de Confiance שמכיל את נקודת הקצה (endpoint)
   • ‫REGION_NAME: שם האזור של נקודת הקצה
   • ‫SERVICE_ATTACHMENT_PROJECT_ID: המזהה או מספר הפרויקט של Cloud de Confiance שמכיל את חיבור השירות
   • ‫SERVICE_ATTACHMENT_NAME: השם של חיבור השירות למכונה של Cloud SQL

   ה-method של ה-HTTP וכתובת ה-URL:

   GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules?target="https://www.googleapis.com/compute/v1/projects/SERVICE_ATTACHMENT_PROJECT_ID/regions/REGION_NAME/serviceAttachments/SERVICE_ATTACHMENT_NAME"

   כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

   ‫Curl (Linux,‏ macOS או Cloud Shell)

   מריצים את הפקודה הבאה:

   curl -X GET \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules?target="https://www.googleapis.com/compute/v1/projects/SERVICE_ATTACHMENT_PROJECT_ID/regions/REGION_NAME/serviceAttachments/SERVICE_ATTACHMENT_NAME""

   ‎PowerShell (Windows)

   מריצים את הפקודה הבאה:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method GET `
       -Headers $headers `
       -Uri "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules?target="https://www.googleapis.com/compute/v1/projects/SERVICE_ATTACHMENT_PROJECT_ID/regions/REGION_NAME/serviceAttachments/SERVICE_ATTACHMENT_NAME"" | Select-Object -Expand Content

   אתם אמורים לקבל תגובת JSON שדומה לזו:

   {
     "kind": "compute#forwardingRuleList",
     "id": "projects/PROJECT_ID/regions/REGION_NAME/forwardingRules",
     "items": [
       {
         "kind": "compute#forwardingRule",
         "id": "FORWARDING_RULE_ID",
         "creationTimestamp": "2023-10-31T13:04:37.168-07:00",
         "name": "FORWARDING_RULE_NAME",
         "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME",
         "IPAddress": "IP_ADDRESS",
         "target": "https://www.googleapis.com/compute/v1/projects/SERVICE_ATTACHMENT_PROJECT_ID/regions/REGION_NAME/serviceAttachments/SERVICE_ATTACHMENT_NAME",
         "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules/FORWARDING_RULE_NAME",
         "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
         "serviceDirectoryRegistrations": [
           {
             "namespace": "goog-psc-default"
           }
         ],
         "networkTier": "PREMIUM",
         "labelFingerprint": "LABEL_FINGERPRINT_ID",
         "fingerprint": "FINGERPRINT_ID",
         "pscConnectionId": "PSC_CONNECTION_ID",
         "pscConnectionStatus": "CLOSED",
         "allowPscGlobalAccess": true
       }
     ],
     "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules"
   }
   

   כתובת ה-IP הפנימית היא הערך שמשויך לשדה IPAddress.

3. כדי להתחבר למכונה של Cloud SQL, משתמשים בכתובת ה-IP הפנימית.

   psql "sslmode=disable dbname=DATABASE_NAME user=USERNAME hostaddr=IP_ADDRESS"

   מחליפים את הפרטים הבאים:

   • ‫DATABASE_NAME: השם של מסד הנתונים של Cloud SQL ל-PostgreSQL שנמצא במופע
   • ‫USERNAME: השם של המשתמש שמתחבר למכונה
   • ‫IP_ADDRESS: כתובת ה-IP של נקודת הקצה

התחברות באמצעות Cloud SQL Auth Proxy

Cloud SQL Auth Proxy הוא מחבר שמאפשר גישה מאובטחת למכונה שמופעל בה Private Service Connect, בלי צורך ברשתות מורשות או בהגדרת SSL.

מגדירים את Cloud SQL Auth Proxy באמצעות שם ה-DNS של המכונה ב-Private Service Connect. שם DNS מזהה רשומת DNS שממפה משאב DNS לשם דומיין. מידע נוסף על הפעלת DNS לפרויקט זמין במאמר הגדרת DNS ב-Private Service Connect. כדי לאתר שמות DNS קיימים למכונה, ראו איתור שמות DNS.

אם הפעלתם אשכול מתקדם למעבר אוטומטי לגיבוי (failover), אתם יכולים גם להגדיר את Cloud SQL Auth Proxy כך שישתמש בשם ה-DNS של נקודת הקצה (endpoint) לכתיבה של Private Service Connect. לדוגמה, אם השם של נקודת הקצה לכתיבה ב-DNS של Private Service Connect באשכול הוא abcdef123456.987654321fedcb.global.sql-psc.goog, צריך להפעיל את שרת ה-proxy לאימות באופן הבא:

./cloud-sql-proxy abcdef123456.987654321fedcb.global.sql-psc.goog

אם אתם מתחברים באמצעות Private Service Connect, אתם צריכים את גרסה v2.5.0 או גרסה חדשה יותר של Cloud SQL Auth Proxy.

הורדה והתקנה של Cloud SQL Auth Proxy

כדי להתחבר למכונות שבהן מופעל Private Service Connect, צריך להוריד ולהתקין את הקובץ הבינארי של Cloud SQL Auth Proxy. הקובץ הבינארי שמורידים תלוי במערכת ההפעלה, ובגרעין (kernel) של מערכת ההפעלה – 32 סיביות או 64 סיביות. רוב החומרות החדשות יותר משתמשות בליבה של 64 ביט.

אם אתם לא בטוחים אם במחשב שלכם פועל ליבת 32 ביט או 64 ביט, אתם יכולים להשתמש בפקודה uname -a ב-Linux או ב-macOS. ב-Windows, עיינו במסמכי התיעוד של Windows.

הפעלת Cloud SQL Auth Proxy

‫Cloud SQL Auth Proxy תומך בחיבורים למכונות שמופעל בהן Private Service Connect. מידע נוסף זמין במאמר הפעלת שרת proxy ל-Cloud SQL Auth.

1. מציגים את פרטי הסיכום של מכונת Cloud SQL, כולל שם החיבור של המכונה.

   gcloud

   כדי להציג מידע מסכם על מכונה של Cloud SQL, משתמשים בפקודה
   gcloud sql instances describe.

     gcloud sql instances describe INSTANCE_NAME \
       --project=PROJECT_ID \
       --format='value(connectionName)'

   מחליפים את הפרטים הבאים:

   • ‫INSTANCE_NAME: השם של מכונת Cloud SQL
   • ‫PROJECT_ID: המזהה או מספר הפרויקט של הפרויקט ב- Cloud de Confiance שמכיל את המכונה

   שם החיבור הוא בפורמט PROJECT_ID:REGION_NAME:INSTANCE_NAME.

   REST

   לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

   • ‫PROJECT_ID: המזהה או מספר הפרויקט של פרויקט Cloud de Confiance שמכיל את המופע
   • ‫INSTANCE_NAME: השם של המכונה

   ה-method של ה-HTTP וכתובת ה-URL:

   GET https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME

   כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

   ‫Curl (Linux,‏ macOS או Cloud Shell)

   מריצים את הפקודה הבאה:

   curl -X GET \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME"

   ‎PowerShell (Windows)

   מריצים את הפקודה הבאה:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method GET `
       -Headers $headers `
       -Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME" | Select-Object -Expand Content

   אתם אמורים לקבל תגובת JSON שדומה לזו:

   {
     ...
     "connectionName": "PROJECT_ID:REGION_NAME:INSTANCE_NAME"
   }
   

   שם החיבור הוא בפורמט PROJECT_ID:REGION_NAME:INSTANCE_NAME.

2. מעתיקים את השם של החיבור למכונה.

3. מפעילים את Cloud SQL Auth Proxy:

     ./cloud-sql-proxy INSTANCE_CONNECTION_NAME --psc

   מחליפים את INSTANCE_CONNECTION_NAME בשם החיבור למופע שהעתקתם בשלב הקודם.

התחברות באמצעות Cloud SQL Language Connectors

ספריות הקישוריות של Cloud SQL מאפשרות גישה מאובטחת למכונה של Cloud SQL שמופעל בה Private Service Connect, בלי צורך ברשתות מורשות או בהגדרת SSL.

מגדירים את Cloud SQL Auth Proxy באמצעות שם ה-DNS של המכונה ב-Private Service Connect, ואת שם ה-DNS של נקודת הקצה לכתיבה ב-Private Service Connect של אשכול מתקדם ליתירות כשל, אם הפעלתם אחד כזה. שם DNS מזהה רשומת DNS שממפה משאב DNS לשם דומיין. מידע נוסף על הפעלת DNS בפרויקט זמין במאמר הגדרת DNS ב-Private Service Connect. כדי לאתר שמות DNS קיימים למכונה, ראו איתור שמות DNS.

מחברי השפה של Cloud SQL תומכים בחיבורים של Private Service Connect באמצעות סוג ה-IP‏ PSC בספריות המתאימות שלהם. התיעוד של כל מחבר נמצא בתיעוד הציבורי ב-GitHub בנושא שחזור מתקדם אחרי אסון (DR):

• Cloud SQL Python Connector (גרסה 1.3.0 ואילך)
• Cloud SQL Go Connector (גרסה 1.4.0 ואילך)
• Cloud SQL Java Connector (גרסה 1.13.0 ואילך)
• ‫Cloud SQL Node.js Connector (גרסה v0.5.0 ואילך)

התחברות מסביבת App Engine Standard, מ-Cloud Run או מפונקציות Cloud Run

כדי להתחבר למכונות Cloud SQL שמופעל בהן Private Service Connect, אתם יכולים להשתמש ב-App Engine Standard או ב-Cloud Run.

בסביבות האלה בלי שרת (serverless), אפשר להשתמש גם במחברי שפה של Cloud SQL וגם בחיבורי TCP ישירים באמצעות כתובת IP ומספר יציאה. בחיבורי TCP ישירים, זו כתובת ה-IP ששמרתם כשיצרתם את נקודת הקצה של Private Service Connect. אתם יכולים לציין את כתובת ה-IP ככתובת של מארח מסד הנתונים.

אם יוצרים רשומת DNS לנקודת הקצה, אפשר לציין את הרשומה הזו למארח.

קישור מ-BigQuery

כדי לגשת לנתונים ב-Cloud SQL ולבצע שאילתות על הנתונים האלה דרך חיבור IP פנימי, משתמשים בפרמטר
--enable-google-private-path . הפרמטר הזה תקף רק אם:

• אתם משתמשים בפרמטר --no-assign-ip.
• הפרמטר --network משמש לציון השם של רשת ה-VPC שבה רוצים להשתמש כדי ליצור חיבור פנימי.

הגדרת קישוריות יוצאת למכונת Cloud SQL

אתם יכולים להגדיר את מופע Cloud SQL עם Private Service Connect כך שתהיה לו קישוריות יוצאת לרשת באמצעות ממשק Private Service Connect ומחבר רשת. מידע נוסף על האופן שבו פועלת קישוריות יוצאת של Private Service Connect ועל המגבלות שלה זמין במאמר סקירה כללית על קישוריות יוצאת של Private Service Connect.

כדי להשתמש בקישוריות יוצאת עם מכונת Cloud SQL, צריך:

1. יוצרים או מעדכנים קובץ מצורף לרשת. מכונת Cloud SQL משתמשת במחבר הרשת הזה כדי להתחבר לממשק Private Service Connect של הרשת.

   1. הקובץ המצורף לרשת צריך להיות באותו אזור כמו מכונת Cloud SQL, וצריך להיות מוגדר לקבל חיבורים באופן אוטומטי באמצעות רשימה מממשקי Private Service Connect.

   2. מאתרים את מזהה פרויקט הדייר ב-Cloud SQL. משתמשים בפקודה gcloud sql instances describe כדי לאחזר פרטים על המכונה. מזהה פרויקט הדייר מופיע בכתובת ה-URL של קובץ השירות שמוצגת בפלט:

        ADMIN_PROJECT=PROJECT_ID
        INSTANCE_NAME=INSTANCE_NAME
      
        TENANT_PROJECT_ID=$(gcloud --project=$ADMIN_PROJECT sql instances describe $INSTANCE_NAME | grep pscServiceAttachmentLink | cut -f 2 -d "/")
      

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫PROJECT_ID: מזהה הפרויקט ב- Cloud de Confiance by S3NSשבו אתם משתמשים.
      • ‫INSTANCE_NAME: השם של מופע Cloud SQL עם Private Service Connect שרוצים להגדיר עבור קישוריות יוצאת.

      שומרים את הערך של מזהה פרויקט הדייר כדי לכלול אותו בהמשך ברשימה של מזהי פרויקטים שאושרו. ההרשאה הזו נדרשת כשיוצרים או מעדכנים חיבור לרשת בפרויקט ב- Cloud de Confiance by S3NS .

2. מזהים את הרשת שרוצים לקבל ממנה חיבורים יוצאים של Cloud SQL, ומוודאים שיש לה ממשק Private Service Connect.

3. מפעילים חיבורים יוצאים למכונה של Cloud SQL באמצעות מחבר הרשת.

אתם יכולים גם להשבית את הקישוריות היוצאת בכל שלב, כשאתם כבר לא צריכים חיבורים יוצאים למכונה.

מידע נוסף על קישוריות יוצאת של Private Service Connect זמין במאמר חיבורים יוצאים של Private Service Connect.

הפעלת חיבורים יוצאים למכונה של Cloud SQL

כדי להפעיל קישוריות יוצאת למכונה של Cloud SQL, קודם צריך ליצור או לעדכן מחבר רשת בפרויקט Cloud de Confiance by S3NS .

gcloud beta sql instances patch INSTANCE_NAME \
  --psc-network-attachment-uri=NETWORK_ATTACHMENT_URI \
  --project=PROJECT_ID

POST https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID

{
  "settings": {
    "ipConfiguration": {
      "pscConfig: {
        "networkAttachmentUri": "NETWORK_ATTACHMENT_URI"
        "kind": "sql#settings"
      }
    },
  }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": USER,
  "insertTime": "2025-05-13T20:44:23.064Z",
  "operationType": "UPDATE",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID","
}

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

{
  "settings": {
    "ipConfiguration": {
      "pscConfig: {
        "networkAttachmentUri": "NETWORK_ATTACHMENT_URI"
      }
    },
  }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": USER,
  "insertTime": "2025-05-13T20:44:23.064Z",
  "operationType": "UPDATE",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID","
}

למידע על פתרון בעיות שקשורות לקישוריות יוצאת ב-Private Service Connect, קראו את המאמר פתרון בעיות ב-Private Service Connect.

השבתת החיבורים היוצאים במכונה של Cloud SQL

gcloud beta sql instances patch INSTANCE_NAME \
  --clear-psc-network-attachment-uri \
  --project=PROJECT_ID

POST https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID

{
  "settings": {
    "ipConfiguration": {
      "pscConfig: {
        "networkAttachmentUri": null,
        "kind": "sql#settings"
      }
    },
  }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": USER,
  "insertTime": "2025-05-13T20:44:23.064Z",
  "operationType": "UPDATE",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID","
}

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

{
  "settings": {
    "ipConfiguration": {
      "pscConfig: {
        "networkAttachmentUri": null,
        "kind": "sql#settings"
      }
    },
  }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": USER,
  "insertTime": "2025-05-13T20:44:23.064Z",
  "operationType": "UPDATE",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID","
}

בדיקת הקישוריות

כדי לבדוק את הקישוריות הנכנסת למופע Cloud SQL עם Private Service Connect מופעל, צריך להגדיר את כתובת ה-IP של נקודת הקצה של Private Service Connect ככתובת ה-IP של היעד.

gcloud network-management connectivity-tests create CONNECTIVITY_TEST_NAME \
--source-instance=SOURCE_INSTANCE \
--destination-cloud-sql-instance=DESTINATION_CLOUD_SQL_INSTANCE \
--destination-network=DESTINATION_NETWORK \
--destination-port=DESTINATION_PORT \
--protocol=tcp \
--round-trip

POST https://networkmanagement.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/connectivityTests?testId=CONNECTIVITY_TEST_NAME

{
  "source": {
    "ipAddress": "SOURCE_IP_ADDRESS",
    "instance": "SOURCE_INSTANCE",
    "network": "SOURCE_NETWORK"
  },
  "destination": {
    "ipAddress": "DESTINATION_IP_ADDRESS",
    "port": DESTINATION_PORT,
    "network": "DESTINATION_NETWORK",
    "projectId": "PROJECT_ID"
  },
  "protocol": "TCP"
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://networkmanagement.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/connectivityTests?testId=CONNECTIVITY_TEST_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://networkmanagement.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/connectivityTests?testId=CONNECTIVITY_TEST_NAME" | Select-Object -Expand Content

{
  "name": "projects/PROJECT_ID/locations/global/operations/operation-OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.networkmanagement.v1.OperationMetadata",
    "createTime": "2024-05-23T16:43:49.313981473Z",
    "target": "projects/PROJECT_ID/locations/global/connectivityTests/CONNECTIVITY_TEST_NAME",
    "verb": "create",
    "cancelRequested": false,
    "apiVersion": "v1"
  },
  "done": false
}

מגבלות

• אתם יכולים להגדיר עד 20 נקודות קצה של Private Service Connect שמתחברות לקובץ המצורף של שירות במכונת Cloud SQL עם Private Service Connect מופעל.

  אם אתם צריכים להתחבר מרשתות VPC נוספות, אתם יכולים להשתמש בהפצה של נקודות קצה של Private Service Connect דרך NCC. מידע נוסף זמין במאמר הפצה של נקודות קצה של Private Service Connect.

• אפשר ליצור עד 64,512 חיבורים בו-זמנית באמצעות Private Service Connect למכונה של Cloud SQL.

• הדגלים הבאים לא תקפים או מושפעים:

  • --no-assign-ip: צריך להשתמש בדגל הזה כי במכונות שבהן מופעל Private Service Connect אי אפשר להשתמש בסוגי קישוריות אחרים, כמו חיבורים של כתובות IP חיצוניות.
  • ‫--authorized-networks: אי אפשר להשתמש בדגל הזה כדי להוסיף רשתות מורשות
  • --network: אי אפשר להשתמש בדגל הזה כי הוא משויך לגישה לשירותים פרטיים
  • ‫--allocated-ip-range-name: לא ניתן להשתמש בדגל הזה כי לא ניתן להשתמש בשמות של טווחי כתובות IP מותרים

• אי אפשר להגדיר מופע שמופעל בו Private Service Connect כך שישתמש בגישה לשירותים פרטיים או בחיבורי IP חיצוניים.

  • אי אפשר להפעיל חיבורים של כתובות IP חיצוניות במכונה שמופעל בה Private Service Connect.
  • אי אפשר להפעיל גישה לשירותים פרטיים או להוסיף רשתות מורשות למופע.
  • אי אפשר לשנות את סוג הקישוריות של המופע.

• אי אפשר להשתמש בפקודה gcloud sql connect, ב-Cloud Shell, ב-Cloud Build או ב-Datastream כדי להתחבר למופעי Cloud SQL עם Private Service Connect מופעל.

• כשבודקים את הקישוריות למכונה של Cloud SQL שמופעל בה Private Service Connect, אי אפשר להגדיר את הפריטים הבאים:

  • כתובת ה-IP הפנימית של המכונה או שם ה-DNS כיעד ישיר
  • המופע כמקור
  • כתובת ה-IP של נקודת הקצה של Private Service Connect כמקור

• אי אפשר להשתמש ברשתות מורשות כדי להוסיף לרשימת ההיתרים על סמך כתובת IP.

• אין תמיכה ברשימת היתרים מבוססת-IP שנאכפת על ידי בקרת גישה מבוססת-הקשר.

• אין תמיכה בבקרה, ברישום ביומן ובמדדים שמבוססים על כתובת IP של לקוח עבור תובנות לגבי שאילתות ומערכות. עם זאת, יש תמיכה ב-VPN וב-Interconnect.

• אם בפרויקט הרשת יש מכונות שמשתמשות בארכיטקטורת הרשת הישנה של Cloud SQL, אי אפשר ליצור מכונה של Private Service Connect. ב-Cloud SQL יש כלים שיעזרו לכם לשדרג את המכונות מארכיטקטורת הרשת הישנה לארכיטקטורת הרשת החדשה. למידע נוסף או כדי לבדוק את ארכיטקטורת הרשת של מכונות Cloud SQL בפרויקט ולבצע שדרוגים נדרשים, אפשר לעיין במאמר שדרוג מכונה לארכיטקטורת הרשת החדשה.

פתרון בעיות

בקטע הזה מפורט מידע על בעיות שקשורות למופעי Cloud SQL עם Private Service Connect מופעל, וגם שלבים לפתרון הבעיות.

    gcloud compute network-attachments describe default
    --region=REGION_ID
    

המאמרים הבאים

• מידע נוסף על כתובת IP פרטית
• מידע נוסף על Private Service Connect
• איך יוצרים עותק לקריאה בלבד של מכונה שמופעל בה Private Service Connect.
• מידע נוסף על שכפול מכונה שמופעל בה Private Service Connect
• איך מציגים את פרטי הסיכום של מכונות שמופעל בהן Private Service Connect
• איך מגדירים ואיך מסירים זמינות גבוהה במכונה שמופעל בה Private Service Connect.
• מידע נוסף על עריכה ומחיקה של מופע עם Private Service Connect מופעל.