Private Service Connect によるノースバウンドネットワーキング

このページの内容は Apigee に適用されます。Apigee ハイブリッドには適用されません。

Apigee Edge のドキュメントを表示する

このドキュメントでは、Private Service Connect（PSC）を使用して、クライアントから Apigee へのルーティング（「ノースバウンド」トラフィックとも呼ばれる）を構成します。

概要

PSC を使用して、Apigee VPC と Apigee でピアリングした VPC、または管理するそのほかの VPC を接続できます。このアーキテクチャパターンでは、グローバルロードバランサから Apigee にリクエストを転送するマネージドインスタンスグループ（MIG）を作成する必要がなくなります。PSC ルーティング方式では、API プロキシリクエストは、VPC にインストールされたグローバル外部 HTTP(S) ロードバランサを通過して、サービスアタッチメントと呼ばれる Apigee VPC の単一のアタッチメントポイントに到達します。この構成では、任意のネットワーク対応マシンから Apigee API プロキシリクエストを送信できます。図 1 を参照してください。

サポートされているノースバウンド PSC の機能は次のとおりです。

PSC は既存の Apigee インスタンスで使用できます。
Envoy ベースの Google Cloud のグローバル外部 HTTP(S) ロードバランサに複数の PSC ネットワークエンドポイントグループ（NEG）を接続できます。
PSC は VPC Service Controls でサポートされています。
バックエンドサービスに外れ値検出トラフィックポリシーを設定すると、フェイルオーバーシナリオを自動的に処理できます。詳細については、以下をご覧ください。

図 1: プライベートサービス接続

制限事項

現在、Apigee での PSC の使用には以下の制限があります。

制限事項: PSC 構成に関する次の制限事項に注意してください。

この構成では、グローバル外部 HTTP(S) ロードバランサ（従来）はサポートされていません。
複数の PSC NEG を使用するフェイルオーバーの場合、アクティブなヘルスチェックはサポートされません。代わりに外れ値検出を使用してください。
制限は、PSC を介して Apigee インスタンスに接続できる Google Cloud プロジェクトの数と、プロジェクトごとに作成できる PSC NEG 接続の数に適用されます。詳細については、Private Service Connect（PSC）の上限をご覧ください。
Google Cloud プロジェクトが consumerAcceptList から削除されても、削除されたプロジェクトの既存の PSC NEG は引き続き機能します。ただし、新しい NEG は拒否されます。既存の NEG を consumerAcceptList から削除する場合は、関連するプロジェクトを削除する必要があります。また、Apigee インスタンスを再作成できます。これによって Apigee プロジェクトでサービスアタッチメントを再作成されます。

Apigee インスタンスのコンシューマー承認リストを更新する

2024 年 10 月 10 日に、プロジェクトごとに許可される Apigee インスタンスへの PSC NEG 接続の上限が 20 から 100 に引き上げられました。この日付より前に作成された Apigee インスタンスについては、このセクションの手順に沿ってコンシューマー承認リストを更新し、新しい上限を利用できるようにする必要があります。新しい接続上限を取得するには、各 Apigee インスタンスを 1 回だけアップグレードする必要があります。Private Service Connect（PSC）の上限もご覧ください。

Apigee インスタンスに接続されるすべての Cloud プロジェクトで合計 1,000 件を超える PSC NEG 接続が必要な場合は、Google Cloud サポートにお問い合わせください。

接続上限を増やすために Apigee インスタンスのコンシューマー承認リストを更新するには、次の手順を実施します。

Google Cloud コンソール

詳細な手順については、承認済みプロジェクトのリストを編集するをご覧ください。

Apigee API

Apigee インスタンスの既存のコンシューマー承認リストを編集します。インスタンス API を使用するには以下を行います。

Apigee API の認証トークンを取得します。
```
TOKEN="$(gcloud auth print-access-token)"
```

インスタンスのコンシューマー承認リストにある Cloud プロジェクトのリストを取得します。

curl https://apigee.googleapis.com/v1/organizations/PROJECT_IDinstances \
  -H "Authorization: Bearer $TOKEN" -H Content-Type:application/json | jq .consumerAcceptList

以前のコマンドで返された現在の承認済みプロジェクトのリストを含む update_consumer_accept_list.json という名前の JSON ファイルを作成します。次に例を示します。
```
{
  "consumerAcceptList": [
    "dg-runtime-test1",
    "ne24b79b92c7db623p-tp",
    "dg-runtime-test2",
    "jd2fee78402218863p-tp"
  ]
}
```
必要に応じて、ファイルを編集してプロジェクトを追加します。

作成した JSON ファイルを入力として使用し、インスタンスを更新します。次に例を示します。

curl https://apigee.googleapis.com/v1/organizations/PROJECT_ID/instances?updateMask="consumer_accept_list" \
  -X PATCH -H "Authorization: Bearer $TOKEN" -H Content-Type:application/json -d @update_consumer_accept_list.json

PSC ルーティングを構成する

内部クライアントと外部クライアントの両方からのノースバウンドルーティングに PSC を使用できます。詳しい手順については、CLI のプロビジョニング手順のステップ 8: ルーティングを構成するをご覧ください。

PSC によるマルチリージョン拡張

Apigee 組織を複数のリージョンに拡張し、新しいリージョンのノースバウンドルーティングに PSC を使用できます。詳細については、Apigee を複数リージョンに拡張するをご覧ください。

Apigee インスタンスの削除

PSC を使用する Apigee インスタンスを削除する手順は次のとおりです。

外部ロードバランサから PSC NEG バックエンドを削除します。
Apigee API を使用して Apigee ランタイムインスタンスを削除します。これは長時間実行オペレーションで、完了するまでに最大 20 分かかります。
オプションとして、Apigee API を使用し、長時間実行オペレーションの状態を取得できます。