Padrões de implementação do Private Service Connect

Esta página descreve algumas formas comuns de implementar e aceder ao Private Service Connect.

Serviços de inquilino único

Os serviços de inquilino único são serviços dedicados a um único consumidor ou inquilino. Normalmente, a instância de serviço é alojada numa rede VPC separada dedicada a esse inquilino para o isolar de outras redes VPC de inquilinos na organização produtora. Cada serviço usa uma lista de aceitação de consumidores para controlar os projetos que podem estabelecer ligação ao serviço. Com a lista de aceitação, pode limitar o acesso a um único inquilino. Embora apenas um inquilino possa estabelecer ligação ao serviço, o inquilino pode criar vários pontos finais ou back-ends se estiver a estabelecer ligação a partir de várias redes VPC.

Figura 1. Num serviço gerido de inquilino único, o produtor implementa um serviço numa rede VPC separada dedicada a esse consumidor (clique para aumentar).

Serviços multi-inquilinos

Os serviços multi-inquilino são serviços aos quais vários consumidores ou inquilinos podem aceder. O produtor configura a lista de aceitação de consumidores do serviço para que os consumidores em vários ou quaisquer projetos possam estabelecer ligação ao serviço. A lista de aceitação de consumidores também permite ao produtor controlar o número de ligações do Private Service Connect que cada projeto pode criar. Estes limites ajudam o produtor a evitar o esgotamento de recursos ou quotas. Se o produtor precisar de identificar que inquilino é a origem do tráfego, pode ativar o protocolo PROXY no serviço.

Figura 2. Num serviço gerido multiinquilino, um serviço numa rede VPC pode ser acedido por vários consumidores (clique para aumentar).

Acesso multiponto

O acesso multiponto ocorre quando vários pontos finais ou back-ends do Private Service Connect se ligam à mesma associação do serviço. O Private Service Connect multiponto é útil para serviços multiinquilinos porque permite que vários consumidores independentes se liguem ao mesmo serviço. Também é útil para serviços de inquilino único em casos como a criação de conetividade de serviços em várias redes VPC num único consumidor.

Nem todos os produtores de serviços optam por suportar o acesso multiponto no respetivo serviço gerido. Contacte o produtor do serviço para verificar se os respetivos anexos de serviço suportam o acesso multiponto.

Acesso multirregional

Os serviços geridos multirregionais são serviços implementados ou acedidos em várias regiões. Os clientes podem aceder a serviços numa região diferente porque o serviço não existe na respetiva região local ou para alta disponibilidade e failover multirregião. Uma vez que o Cloud de Confiance suporta redes VPC globais, o acesso global do Private Service Connect permite que os clientes alcancem pontos finais do Private Service Connect a partir de qualquer região. O tráfego de clientes pode ser proveniente de instâncias de máquinas virtuais (VMs) do Compute Engine, túneis do Cloud VPN e anexos de VLAN para o Cloud Interconnect.

Figura 3. Os pontos finais do Private Service Connect com acesso global podem ser acedidos a partir de qualquer região (clique para aumentar).

Acesso híbrido e no local

Pode ligar redes nas instalações ou outros fornecedores de nuvem à sua rede VPC através de associações de VLAN para túneis do Cloud VPN e do Cloud Interconnect. Uma vez que os pontos finais para as APIs Google e os pontos finais para os serviços publicados são acessíveis globalmente, os clientes em redes ligadas podem enviar pedidos para pontos finais em qualquer região. No entanto, pode implementar pontos finais em várias regiões para controlar o encaminhamento de forma mais detalhada a partir de redes híbridas. Pode encaminhar o tráfego híbrido de uma região específica para um ponto final local que otimiza o caminho mais curto para o caminho do tráfego.

Figura 4. Pode aceder aos pontos finais e aos back-ends do Private Service Connect a partir de redes ligadas (clique para aumentar).

Conetividade bidirecional

Embora os clientes consumidores iniciem normalmente ligações a serviços geridos, os serviços geridos precisam, por vezes, de iniciar ligações a serviços pertencentes a consumidores.

Conetividade privada inversa

A conectividade privada inversa ocorre quando um consumidor permite que as VMs e os clusters do GKE numa rede VPC do produtor iniciem tráfego para uma rede VPC do consumidor implementando o Private Service Connect de forma inversa. Neste caso, o consumidor implementa um balanceador de carga interno e uma associação de serviço, que publica o respetivo serviço para os produtores. Em conjunto, os produtores e os consumidores podem usar o Private Service Connect numa direção direta e inversa para criar uma conetividade bidirecional entre si.

Figura 5. A conetividade privada inversa permite que os consumidores e os produtores criem uma conetividade bidirecional entre si (clique para aumentar).

Interfaces do Private Service Connect

As interfaces do Private Service Connect criam ligações transitivas bidirecionais entre as redes VPC do consumidor e do produtor. Os recursos nas redes VPC do consumidor e do produtor podem iniciar ligações através da interface do Private Service Connect. Além disso, uma vez que a ligação é transitiva, os recursos na rede VPC do produtor podem comunicar com outras cargas de trabalho que estão ligadas à rede VPC do consumidor. Por exemplo, uma VM na rede VPC do produtor pode alcançar cargas de trabalho em redes que estão ligadas à rede VPC do consumidor através do Cloud Interconnect ou do intercâmbio da rede da VPC.

Serviços híbridos

Os serviços híbridos que não estão localizados em Cloud de Confiance podem estar noutras nuvens, num ambiente no local ou em qualquer combinação destas localizações. O Private Service Connect permite-lhe tornar um serviço híbrido acessível noutra rede VPC.

Pode aceder aos serviços híbridos através de NEGs híbridos, que são compatíveis com equilibradores de carga suportados.

Muitas vezes, esta configuração é usada como uma forma de conectividade privada inversa, com os produtores de serviços a estabelecerem ligações a serviços de consumidores alojados em redes no local. O Private Service Connect permite que o produtor alcance as redes híbridas do consumidor sem estabelecer conetividade diretamente com essas redes.

Figura 6. A conetividade privada inversa permite que os consumidores e os produtores criem uma conetividade bidirecional entre si (clique para aumentar).

Para ver um exemplo de configuração, consulte o artigo Publique um serviço híbrido através do Private Service Connect.

VPC partilhada

Os recursos do Private Service Connect podem ser implementados em redes VPC autónomas ou redes VPC partilhadas. Os pontos finais, os back-ends e as associações de serviços do Private Service Connect podem ser implementados em projetos anfitriões ou projetos de serviços.

Por exemplo, um administrador de serviços de consumo pode implementar pontos finais e back-ends do Private Service Connect em projetos de serviço usando endereços IP de sub-redes no projeto anfitrião. Com esta configuração, é possível aceder aos pontos finais e aos back-ends a partir de outros projetos de serviço na mesma rede de VPC partilhada.

Todos os clientes numa rede de VPC partilhada têm conetividade a um ponto final do Private Service Connect, independentemente do projeto no qual está implementado. No entanto, a escolha do projeto afeta a visibilidade, o acesso do IAM e o projeto ao qual a faturação de recursos por hora é cobrada.

Figura 7. Pode disponibilizar recursos do Private Service Connect em todos os projetos de serviço associados a uma rede VPC partilhada (clique para aumentar).

O que se segue?