Attivare l'accesso privato ai servizi

Questa pagina mostra come creare gli intervalli di indirizzi IP Virtual Private Cloud (VPC) richiesti da AlloyDB per PostgreSQL per l'accesso ai servizi privati. Per una panoramica di come AlloyDB utilizza l'accesso privato ai servizi per consentire alle sue risorse interne di comunicare tra loro, consulta Informazioni sull'accesso privato ai servizi.

Per creare una configurazione di accesso ai servizi privati in una rete VPC (Virtual Private Cloud) che si trova nello stesso progetto Google Cloud del tuo cluster AlloyDB, esegui due operazioni:

  • Crea un intervallo di indirizzi IP allocati nella rete VPC.

  • Crea una connessione privata tra la rete VPC e la Google Cloud rete VPC sottostante. Puoi anche configurare l'accesso privato ai servizi per collegare il tuo cluster AlloyDB alle risorse di un progetto Google Cloud separato. Per farlo, devi unire le reti VPC dei due progetti utilizzando la Rete VPC condivisa.

Prima di iniziare

  • Il progetto Google Cloud che utilizzi deve essere stato abilitato per accedere ad AlloyDB.
  • Devi disporre di uno di questi ruoli IAM nel progetto Google Cloud che utilizzi:
    • roles/alloydb.admin (il ruolo IAM predefinito AlloyDB Admin)
    • roles/owner (il ruolo IAM di base Proprietario)
    • roles/editor (il ruolo IAM di base Editor)

    Se non disponi di nessuno di questi ruoli, contatta l'amministratore dell'organizzazione per richiedere l'accesso.

  • Per creare una configurazione di accesso privato ai servizi, devi disporre anche di queste autorizzazioni IAM:
    • compute.networks.list
    • compute.addresses.create
    • compute.addresses.list
    • servicenetworking.services.addPeering

Procedura

Console

  1. Vai alla pagina Reti VPC.

    Vai a Reti VPC

  2. Seleziona il progetto in cui si trovano AlloyDB e la rete VPC.

  3. Fai clic sul nome della rete VPC che vuoi utilizzare per l'accesso ai servizi privati.

  4. Nella pagina Dettagli rete VPC, scorri l'elenco delle schede fino alla scheda Connessione a servizi privati, quindi fai clic su di essa.

  5. Nella scheda Connessione a servizi privati, fai clic sulla scheda Intervalli IP allocati per i servizi.

  6. Fai clic su Assegna intervallo IP.

  7. Nei campi Nome e Descrizione, inserisci un nome e una descrizione per l'intervallo allocato.

  8. Specifica un valore Intervallo IP per l'allocazione:

    • Per specificare un intervallo di indirizzi IP, fai clic su Personalizzata e inserisci un blocco CIDR, ad esempio 192.168.0.0/16.

      Per fornire uno spazio degli indirizzi sufficiente per AlloyDB, consigliamo una lunghezza del prefisso pari o inferiore a 16.

    • Per specificare la lunghezza del prefisso e consentire a Google di selezionare un intervallo disponibile:

      1. Fai clic su Automatico.

      2. Inserisci una lunghezza del prefisso come numero normale, ad esempio 16.

  9. Fai clic su Alloca per creare l'intervallo allocato.

  10. Nella scheda Connessione a servizi privati, fai clic sulla scheda Connessioni private ai servizi.

  11. Fai clic su Crea connessione per creare una connessione privata tra la tua rete e un producer di servizi.

  12. Assicurati che la piattaforma Google Cloud sia il produttore di servizi connessi.

  13. Per Allocazione assegnata, seleziona l'intervallo IP allocato creato in precedenza.

  14. Fai clic su Connetti per creare la connessione.

gcloud

Per utilizzare gcloud CLI, puoi installare e inizializzare Google Cloud CLI oppure utilizzare Cloud Shell.

  1. Utilizza il comando gcloud config set per impostare il progetto predefinito su quello in cui si trovano AlloyDB e la rete VPC.

    gcloud config set project PROJECT_ID

    Sostituisci PROJECT_ID con l'ID del progetto in cui si trovano AlloyDB e la rete VPC.

  2. Utilizza il comando gcloud compute addresses create per creare un intervallo di indirizzi IP allocato.

    Per fornire uno spazio indirizzi sufficiente per AlloyDB, consigliamo una lunghezza del prefisso pari o inferiore a 16.

    • Per specificare un intervallo di indirizzi e una lunghezza del prefisso (subnet mask), utilizza i flag --addresses e --prefix-length. Ad esempio, per allocare il blocco CIDR 192.168.0.0/16, specifica 192.168.0.0 per l'indirizzo e 16 per la lunghezza del prefisso.

          gcloud compute addresses create RESERVED_RANGE_NAME \
        --global \
        --purpose=VPC_PEERING \
        --addresses=192.168.0.0 \
        --prefix-length=16 \
        --description="DESCRIPTION" \
        --network=VPC_NETWORK

      Sostituisci quanto segue:

      • RESERVED_RANGE_NAME: un nome per l'intervallo allocato, ad esempio my-allocated-range

      • DESCRIPTION: una descrizione dell'intervallo, ad esempio allocated for my-service

      • VPC_NETWORK: il nome della rete VPC, ad esempio my-vpc-network

    • Per specificare solo una lunghezza del prefisso (subnet mask), utilizza il flag --prefix-length. Se ometti l'intervallo di indirizzi,Google Cloud viene selezionato automaticamente un intervallo di indirizzi non utilizzato nella rete VPC.

      L'esempio seguente seleziona un intervallo di indirizzi IP inutilizzato con una lunghezza del prefisso di 16 bit:

          gcloud compute addresses create RESERVED_RANGE_NAME \
        --global \
        --purpose=VPC_PEERING \
        --prefix-length=16 \
        --description="DESCRIPTION" \
        --network=VPC_NETWORK

    Il seguente esempio crea una connessione privata a Google in modo che le istanze VM nella rete VPC default possano utilizzare l'accesso privato ai servizi per raggiungere i servizi Google che lo supportano.

        gcloud compute addresses create google-managed-services-default \
        --global \
        --purpose=VPC_PEERING \
        --prefix-length=16 \
        --description="peering range for Google" \
        --network=default

  3. Utilizza il comando gcloud services vpc-peerings connect per creare una connessione privata.

        gcloud services vpc-peerings connect \
        --service=servicenetworking.googleapis.com \
        --ranges=RESERVED_RANGE_NAME \
        --network=VPC_NETWORK

    Sostituisci quanto segue:

    • RESERVED_RANGE_NAME: il nome dell'intervallo di indirizzi IP allocato che hai creato

    • VPC_NETWORK: il nome della rete VPC

    Il comando avvia un'operazione a lunga esecuzione, restituendo un nome dell'operazione.

  4. Controlla se l'operazione è andata a buon fine.

        gcloud services vpc-peerings operations describe
    --name=OPERATION_NAME

    Sostituisci OPERATION_NAME con il nome dell'operazione restituito dal passaggio precedente.

Passaggi successivi