監控 Private Service Connect 連線

Private Service Connect 會將重要指標提供給 Cloud Monitoring，讓您深入瞭解 Private Service Connect 連線。

系統會自動將指標傳送至 Monitoring。您可以在其中建立自訂資訊主頁、設定快訊及查詢指標。

監控已發布的服務

您可以使用預先定義的資訊主頁或Cloud de Confiance by S3NS 指標監控已發布的服務。

查看已發布服務的資訊主頁

Private Service Connect 提供一組預先定義的資訊主頁，可針對已發布服務顯示下列指標：

  • 已連結的轉送規則數量
  • 使用中的網路位址轉譯 (NAT) IP 位址數量
  • 公開連線數量
  • 新的連線數
  • 關閉的連線數
  • 網路流量
  • 網路封包數
  • 已傳送但遭捨棄的封包
  • 已收到但遭捨棄的封包

如要在特定 Private Service Connect 已發布服務的詳細資料頁面中查看預先定義的資訊主頁，請按照下列步驟操作：

主控台

  1. 前往 Cloud de Confiance 控制台的「Private Service Connect」頁面。

    前往 Private Service Connect

  2. 按一下「已發布的服務」分頁標籤。

  3. 按一下現有服務。

  4. 按一下 [Monitoring] (監控) 分頁標籤。

    您可以使用頁面頂端的控制項變更圖表檢視畫面。將滑鼠游標懸停在圖表上的某個點，即可查看該時間點的詳細資料。

已發布服務的指標

這個表格中的「指標類型」字串前端必須加上 compute.googleapis.com/。該前置字串已從表格中的項目中省略。

如需 Cloud de Confiance 指標的完整清單，請參閱 Cloud de Confiance 指標。

如要瞭解如何使用這些指標進行疑難排解，請參閱已發布服務的疑難排解。

指標類型 推出階段 (資源階層層級)
顯示名稱
類別、類型、單位
受控資源		 說明
標籤
private_service_connect/producer/closed_connections_count GA  (專案)
已關閉的連線數量
DELTA、INT64、{connection}
gce_service_attachment 		透過 PSC 服務連結資源 ID 關閉的 TCP/UDP 連線數量。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
psc_connection_id：Private Service Connect 轉送規則的 Private Service Connect 連線 ID。
private_service_connect/producer/connected_consumer_forwarding_rules GA  (專案)
連結的消費者轉送規則
GAUGE、INT64、1
gce_service_attachment 		與 PSC 服務附件資源 ID 相關聯的消費者轉送規則數量。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 165 秒的時間無法查看資料。
private_service_connect/producer/dropped_received_packets_count GA  (專案)
已接收但遭捨棄的封包數
DELTA、INT64、{packet}
gce_service_attachment 		PSC 服務附件資源 ID 已捨棄的已接收封包數。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
psc_connection_id：Private Service Connect 轉送規則的 Private Service Connect 連線 ID。
private_service_connect/producer/dropped_sent_packets_count GA  (專案)
已傳送但遭捨棄的封包數
DELTA、INT64、{packet}
gce_service_attachment 		PSC 服務附件資源 ID 捨棄的傳送封包數量。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
psc_connection_id：Private Service Connect 轉送規則的 Private Service Connect 連線 ID。
private_service_connect/producer/nat_ip_address_capacity GA  (專案)
Nat ip 位址容量
GAUGE、INT64、1
gce_service_attachment 		PSC 服務附件資源 ID 的 IP 位址總數。(值 -1 表示該數字大於 INT64 的最大值)。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 165 秒的時間無法查看資料。
private_service_connect/producer/new_connections_count GA  (專案)
新連線數量
DELTA、INT64、{connection}
gce_service_attachment 		透過 PSC 服務連結資源 ID 建立的新 TCP/UDP 連線數量。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
psc_connection_id：Private Service Connect 轉送規則的 Private Service Connect 連線 ID。
private_service_connect/producer/open_connections GA  (專案)
開啟連線
GAUGE、INT64、{connection}
gce_service_attachment 		PSC 服務連結資源 ID 上目前開啟的 TCP/UDP 連線數。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
psc_connection_id：Private Service Connect 轉送規則的 Private Service Connect 連線 ID。
private_service_connect/producer/received_bytes_count GA  (專案)
已接收的位元組數
DELTA、INT64、By
gce_service_attachment 		透過 PSC 服務連結資源 ID 接收的位元組數 (PSC -> 服務)。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
psc_connection_id：Private Service Connect 轉送規則的 Private Service Connect 連線 ID。
private_service_connect/producer/received_packets_count GA  (專案)
已接收的封包數
DELTA、INT64、{packet}
gce_service_attachment 		透過 PSC 服務連結資源 ID 接收的封包數量 (PSC -> 服務)。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
psc_connection_id：Private Service Connect 轉送規則的 Private Service Connect 連線 ID。
private_service_connect/producer/sent_bytes_count GA  (專案)
已傳送的位元組數
DELTA、INT64、By
gce_service_attachment 		透過 PSC 服務連結資源 ID 傳送的位元組數 (服務 -> PSC)。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
psc_connection_id：Private Service Connect 轉送規則的 Private Service Connect 連線 ID。
private_service_connect/producer/sent_packets_count GA  (專案)
已傳送的封包數
DELTA、INT64、{packet}
gce_service_attachment 		透過 PSC 服務連結資源 ID 傳送的封包數量 (Service -> PSC)。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
psc_connection_id：Private Service Connect 轉送規則的 Private Service Connect 連線 ID。
private_service_connect/producer/used_nat_ip_addresses GA  (專案)
已使用的 NAT IP 位址
GAUGE、INT64、1
gce_service_attachment 		受監控服務附件的 IP 用量。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 165 秒的時間無法查看資料。

監控端點和後端

您可以使用預先定義的資訊主頁或 Cloud de Confiance 指標，監控連線至已發布服務的端點。您可以使用 Cloud de Confiance 指標，監控連線至已發布服務的後端。

查看端點的資訊主頁

Private Service Connect 提供一組預先定義的資訊主頁，針對連線至已發布服務的端點，顯示下列指標：

  • 公開連線數量
  • 新的連線數
  • 關閉的連線數
  • 網路流量
  • 網路封包數
  • 已傳送但遭捨棄的封包
  • 已收到但遭捨棄的封包

如要在特定 Private Service Connect 端點的詳細資料頁面中查看預先定義的資訊主頁，請按照下列步驟操作：

主控台

  1. 前往 Cloud de Confiance 控制台的「Private Service Connect」頁面。

    前往 Private Service Connect

  2. 按一下「已連結的端點」分頁。

  3. 按一下連線至已發布服務的端點。

  4. 按一下 [Monitoring] (監控) 分頁標籤。

    您可以使用頁面頂端的控制項變更圖表檢視畫面。將滑鼠游標懸停在圖表上的某個點，即可查看該時間點的詳細資料。

端點和後端的指標

Private Service Connect 端點和後端都會以 Private Service Connect 端點 資源的形式進行監控。

下表中的指標不會針對連線至 Google API 的端點或後端產生。

這個表格中的「指標類型」字串前端必須加上 compute.googleapis.com/。該前置字串已從表格中的項目中省略。

如需 Cloud de Confiance 指標的完整清單，請參閱 Cloud de Confiance 指標。

如要瞭解如何使用這些指標排解端點問題，請參閱端點疑難排解。

如要瞭解如何使用這些指標排除後端問題，請參閱後端疑難排解。

指標類型 推出階段 (資源階層層級)
顯示名稱
類別、類型、單位
受控資源		 說明
標籤
private_service_connect/consumer/closed_connections_count GA  (專案)
已關閉的連線數量
DELTA、INT64、{connection}
compute.googleapis.com/PrivateServiceConnectEndpoint 		透過 PSC 連線 ID 關閉的 TCP/UDP 連線數。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
private_service_connect/consumer/dropped_received_packets_count GA  (專案)
已接收但遭捨棄的封包數
DELTA、INT64、{packet}
compute.googleapis.com/PrivateServiceConnectEndpoint 		PSC 連線 ID 已捨棄的已接收封包數。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
private_service_connect/consumer/dropped_sent_packets_count GA  (專案)
已傳送但遭捨棄的封包數
DELTA、INT64、{packet}
compute.googleapis.com/PrivateServiceConnectEndpoint 		PSC 連線 ID 已捨棄的傳送封包數。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
private_service_connect/consumer/new_connections_count GA  (專案)
新連線數量
DELTA、INT64、{connection}
compute.googleapis.com/PrivateServiceConnectEndpoint 		透過 PSC 連線 ID 建立的新 TCP/UDP 連線數量。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
private_service_connect/consumer/open_connections GA  (專案)
開啟連線
GAUGE、INT64、{connection}
compute.googleapis.com/PrivateServiceConnectEndpoint 		PSC 連線 ID 目前開啟的 TCP/UDP 連線數。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
private_service_connect/consumer/received_bytes_count GA  (專案)
已接收的位元組數
DELTA、INT64、By
compute.googleapis.com/PrivateServiceConnectEndpoint 		透過 PSC 連線 ID 接收的位元組數 (PSC -> 用戶端)。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
private_service_connect/consumer/received_packets_count GA  (專案)
已接收的封包數
DELTA、INT64、{packet}
compute.googleapis.com/PrivateServiceConnectEndpoint 		透過 PSC 連線 ID 接收的封包數 (PSC -> 用戶端)。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
private_service_connect/consumer/sent_bytes_count GA  (專案)
已傳送的位元組數
DELTA、INT64、By
compute.googleapis.com/PrivateServiceConnectEndpoint 		透過 PSC 連線 ID 傳送的位元組數 (用戶端 -> PSC)。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。
private_service_connect/consumer/sent_packets_count GA  (專案)
已傳送的封包數
DELTA、INT64、{packet}
compute.googleapis.com/PrivateServiceConnectEndpoint 		透過 PSC 連線 ID 傳送的封包數量 (用戶端 -> PSC)。取樣頻率為每 60 秒一次。取樣完畢後，會有多達 345 秒的時間無法查看資料。
ip_protocol：連線的通訊協定。可以是 TCP 或 UDP。

定義快訊政策

如要建立以指標為基礎的警告政策，請按照下列步驟操作。如要使用關於已發布服務的指標，請使用 Service Attachment 資源類型。使用 Private Service Connect Endpoint 資源類型，針對端點或後端的指標。

控制台

您可以建立快訊政策，監控指標的值，並在這些指標違反條件時通知您。

  1. 前往 Cloud de Confiance 控制台的 「Alerting」(警告) 頁面：

    前往「Alerting」(快訊)

    如果您是使用搜尋列尋找這個頁面，請選取子標題為「Monitoring」的結果。

  2. 如果您尚未建立通知管道，但想收到通知，請按一下「Edit Notification Channels」(編輯通知管道)，然後新增通知管道。新增管道後，請返回「快訊」頁面。
  3. 在「Alerting」頁面中，選取「Create policy」。
  4. 如要選取指標，請展開「選取指標」選單，然後按照下列步驟操作：
    1. 如要將選單限制為相關項目，請在篩選列中輸入 the resource type。如果篩選選單後沒有任何結果，請停用「僅顯示活躍的資源和指標」切換按鈕。
    2. 在「Resource type」(資源類型) 中，選取資源類型。
    3. 在「Metric category」(指標類別) 部分，選取「Private_service_connect」。
    4. 在「指標」中，選取要為這項政策使用的指標。
    5. 選取 [Apply] (套用)。
  5. 點按「Next」。
  6. 「Configure alert trigger」頁面中的設定會決定快訊觸發的時機。 選取條件類型，並視需要指定門檻值。詳情請參閱「建立以指標門檻為基礎的警告政策」一文。
  7. 點按「Next」。
  8. 選用步驟：如要新增通知至快訊政策，請按一下「通知管道」。在對話方塊中，從選單中選取一或多個通知管道，然後按一下「OK」。
  9. 選用：更新「Incident autoclose duration」。這個欄位會決定 Monitoring 在沒有指標資料時關閉事件的時間。
  10. 選用步驟：按一下「說明文件」，然後輸入您希望在通知訊息中顯示的資訊。
  11. 按一下「快訊名稱」，然後輸入快訊政策的名稱。
  12. 點選「建立政策」。
詳情請參閱「快訊總覽」。

查看記錄

您可以使用 Cloud Logging 查看 Private Service Connect 端點和已發布服務的記錄。Cloud Logging 是全代管服務，可讓您儲存、搜尋、分析、監控記錄資料和事件，以及接收相關快訊。

  • 稽核記錄可讓您監控 Private Service Connect 活動。系統一律會寫入管理員活動稽核記錄。
  • 您可以使用 VPC 流量記錄檔監控 Private Service Connect 流量。您必須針對要監控的每個子網路、Cloud Interconnect 的 VLAN 連結或 Cloud VPN 通道啟用虛擬私有雲流量記錄檔。

您可以使用這些記錄，將服務用戶和服務供應商之間的事件建立關聯。舉例來說，如果消費者轉送規則的連線狀態發生異常變更，您可以要求服務供應者檢查其記錄，找出任何服務附件刪除或更新事件。

主控台

  1. 前往 Cloud de Confiance 控制台的「Logs Explorer」頁面。

    前往「Logs Explorer」

  2. 如果您在「查詢」窗格中找不到查詢編輯器欄位，請按一下「顯示查詢」切換按鈕。

  3. 在查詢編輯器欄位中輸入查詢。舉例來說，如要查看端點的連線狀態變更，請輸入下列查詢，並將 CONSUMER_PROJECT_ID 替換為消費者專案 ID：

    resource.type="gce_forwarding_rule"
log_name="projects/CONSUMER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event"
protoPayload.methodName="LogPscConnectionStatusUpdate"

    如需更多可用於查看常見記錄事件的查詢範例，請參閱「端點的常見記錄事件」。

  4. 點選「執行查詢」。

如要進一步瞭解如何查詢稽核記錄，請參閱「查看稽核記錄」。

已發布服務的常見記錄事件

下表列出 Private Service Connect 已發布服務的常見記錄事件。

活動說明 記錄進階篩選器
刪除服務連結 
resource.type="audited_resource"
log_name="projects/PRODUCER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity"
resource.labels.method="compute.serviceAttachments.delete"
啟用連線協調功能的服務附件 
resource.type="audited_resource"
log_name="projects/PRODUCER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity"
resource.labels.method="compute.serviceAttachments.patch"
protoPayload.request.reconcileConnections="true"
服務附件拒絕用戶專案 URI 
resource.type="audited_resource"
log_name="projects/PRODUCER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.request.consumerRejectLists="CONSUMER_PROJECT_ID"
端點連線狀態因服務附件連線政策或機構政策而變更 
resource.type="gce_service_attachment"
log_name="projects/PRODUCER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event"
protoPayload.methodName="LogPscProducerConnectionStatusChange"
從 Private Service Connect 子網路傳送至任何後端 VM 執行個體 (包括 GKE 節點) 的流量，所產生的 VPC 流量記錄 
resource.type="gce_subnetwork"
logName="projects/PRODUCER_PROJECT_ID/logs/compute.googleapis.com%2Fvpc_flows"
json_payload.connection.src_ip=~"PSC_SUBNET_REGEX.*"
jsonPayload.dest_instance.vm_name=~"VM_INSTANCE_PREFIX.*"

更改下列內容：

  • PRODUCER_PROJECT_ID：服務製作者的專案 ID。
  • CONSUMER_PROJECT_ID：服務使用者的專案 ID。
  • PSC_SUBNET_REGEX：與 Private Service Connect 子網路中的模式相符的規則運算式。舉例來說，如果 Private Service Connect 子網路為 172.16.0.0/23，請將 PSC_SUBNET_REGEX 替換為 172\.16\.[0-1]。
  • VM_INSTANCE_PREFIX：後端 VM 執行個體的前置字串。

端點的常見記錄事件

下表列出 Private Service Connect 端點的常見記錄事件。

活動說明 記錄進階篩選器
建立 Private Service Connect 端點 
resource.type="gce_forwarding_rule"
log_name="projects/CONSUMER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.methodName="v1.compute.forwardingRules.insert"
"compute.forwardingRules.pscCreate"
Private Service Connect 端點建立失敗 
resource.type="gce_forwarding_rule"
log_name="projects/CONSUMER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.methodName="v1.compute.forwardingRules.insert"
"compute.forwardingRules.pscCreate"
severity>=ERROR
Private Service Connect 端點連線狀態變更 
resource.type="gce_forwarding_rule"
log_name="projects/CONSUMER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event"
protoPayload.methodName="LogPscConnectionStatusUpdate"
已拒絕 Private Service Connect 端點連線 
resource.type="gce_forwarding_rule"
log_name="projects/CONSUMER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event"
protoPayload.methodName="LogPscConnectionStatusUpdate"
protoPayload.metadata.pscConnectionStatus="REJECTED"
超過配額 PSC_INTERNAL_LB_FORWARDING_RULES 
resource.type="gce_forwarding_rule"
log_name="projects/CONSUMER_PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.methodName="v1.compute.forwardingRules.insert"
"QUOTA_EXCEEDED"
severity=ERROR
從 VM 執行個體傳送至 Private Service Connect 端點的流量 VPC 流程記錄 
resource.type="gce_subnetwork"
logName="projects/CONSUMER_PROJECT_ID/logs/compute.googleapis.com%2Fvpc_flows"
jsonPayload.connection.dest_ip="PSC_ENDPOINT_IP_ADDRESS"
jsonPayload.src_instance.vm_name="VM_INSTANCE_NAME"
從閘道傳送至 Private Service Connect 端點的流量 VPC 流程記錄 
resource.type="vpc_flow_logs_config"
logName="projects/CONSUMER_PROJECT_ID/logs/networkmanagement.googleapis.com%2Fvpc_flows"
jsonPayload.connection.dest_ip="PSC_ENDPOINT_IP_ADDRESS"
jsonPayload.src_gateway.name="GATEWAY_NAME"

更改下列內容：

  • CONSUMER_PROJECT_ID：服務使用者的專案 ID。
  • PSC_ENDPOINT_IP_ADDRESS：Private Service Connect 端點的 IP 位址。
  • VM_INSTANCE_NAME：服務使用者專案中來源 VM 執行個體的名稱。
  • GATEWAY_NAME：服務消費者專案中來源 VLAN 連結或 Cloud VPN 通道的名稱。

已知問題

跨區域全域存取功能不會產生指標

已知的錯誤問題：在下列情況下，這個頁面上的 Private Service Connect 指標可能不會為用戶或供應者產生：

  • 某個區域中有消費者資源。
  • 消費者資源使用全域存取權，存取位於不同區域的 Private Service Connect 端點。
  • 端點的區域不含任何消費者虛擬機器 (VM) 執行個體。

解決方法

如要在這種情況下產生指標，請在與要存取的端點相同的區域中建立 VM 執行個體。

後續步驟