핸드오버 패턴을 사용하는 아키텍처에서는 Google Cloud가 제공하는 스토리지 서비스를 사용하여 비공개 컴퓨팅 환경을 Google Cloud의 프로젝트에 연결합니다. 이 패턴은 주로 다음과 같은 분석 하이브리드 멀티 클라우드 아키텍처 패턴을 따르는 설정에 적용됩니다.
비공개 컴퓨팅 환경 또는 다른 클라우드에서 실행 중인 워크로드가 공유 스토리지 위치에 데이터를 업로드합니다. 사용 사례에 따라 일괄적으로 또는 점차적으로 업로드될 수 있습니다.
Google Cloud에 호스팅되는 워크로드 또는 기타 Google 서비스(예: 데이터 분석 및 인공지능 서비스)는 공유 스토리지 위치의 데이터를 소비하고 스트리밍 또는 일괄 처리 방식으로 이를 처리합니다.
아키텍처
다음 다이어그램은 핸드오버 패턴의 참조 아키텍처를 보여줍니다.
위의 아키텍처 다이어그램은 다음 워크플로를 보여줍니다.
Google Cloud 측에서 워크로드를 애플리케이션 VPC에 배포합니다. 이러한 워크로드에는 데이터 처리, 분석, 분석 관련 프런트엔드 애플리케이션이 포함될 수 있습니다.
프런트엔드 애플리케이션을 사용자에게 안전하게 노출하려면 Cloud Load Balancing 또는 API Gateway를 사용하면 됩니다.
Cloud Storage 버킷 또는 Pub/Sub 큐 집합은 비공개 컴퓨팅 환경에서 데이터를 업로드하고 Google Cloud에 배포된 워크로드가 추가 처리할 수 있도록 이러한 데이터를 제공합니다. Identity and Access Management(IAM) 정책을 사용하여 신뢰할 수 있는 워크로드에 대한 액세스를 제한할 수 있습니다.
VPC 서비스 제어를 사용하여 서비스에 대한 액세스를 제한하고 Google Cloud 서비스에서 발생하는 불필요한 데이터 무단 반출 위험을 최소화합니다.
이 아키텍처에서 Cloud Storage 버킷 또는 Pub/Sub과의 통신은 공개 네트워크를 통해 이루어지거나 VPN, Cloud Interconnect 또는 Cross-Cloud Interconnect를 사용하는 비공개 연결을 통해 이루어집니다. 일반적으로 연결 방법은 다음과 같은 여러 측면에 따라 결정됩니다.
예상 트래픽 양
임시 설정인지 또는 영구 설정인지 여부
보안 및 규정 준수 요구사항
변형
Google API에 Private Service Connect 엔드포인트를 사용하는 게이트 인그레스 패턴에 설명된 설계 옵션도 이 패턴에 적용할 수 있습니다.
특히 Cloud Storage, BigQuery, 기타 Google 서비스 API에 대한 액세스를 제공합니다. 이 접근 방식을 사용하려면 VPN, Cloud Interconnect, Cross-Cloud Interconnect와 같은 하이브리드 및 멀티 클라우드 네트워크 연결을 통한 비공개 IP 주소 지정이 필요합니다.
권장사항
Cloud Storage 버킷 및 Pub/Sub 주제에 대한 액세스를 잠급니다.
해당하는 경우 Google Cloud 솔루션 모음과 같은 클라우드 중심 통합 데이터 이동 솔루션을 사용하세요.
이러한 솔루션은 사용 사례 요구사항을 충족하기 위해 데이터를 효율적으로 이동, 통합, 변환하도록 설계되었습니다.
비용, 예상 전송 시간, 보안 등 데이터 전송 옵션에 영향을 미치는 다양한 요인을 평가합니다. 자세한 내용은 전송 옵션 평가를 참조하세요.
지연 시간을 최소화하고 공개 인터넷을 통한 대용량 데이터 전송 및 이동을 방지하려면 Google API용 가상 프라이빗 클라우드 내의 Private Service Connect 엔드포인트에 액세스하는 것을 비롯하여 Cloud Interconnect 또는 Cross-Cloud Interconnect를 사용하는 것이 좋습니다.
프로젝트에서 Google Cloud 서비스를 보호하고 데이터 무단 반출 위험을 완화하려면 VPC 서비스 제어를 사용하세요. 이러한 서비스 제어는 프로젝트 또는 VPC 네트워크 수준에서 서비스 경계를 지정할 수 있습니다.
승인된 VPN 또는 Cloud Interconnect를 통해 하이브리드 환경으로 서비스 경계를 확장할 수 있습니다. 서비스 경계의 이점에 대한 자세한 내용은 VPC 서비스 제어 개요를 참조하세요.
API 게이트웨이, 부하 분산기 또는 가상 네트워크 어플라이언스를 통해 VM 인스턴스에 호스팅되는 공개적으로 게시된 데이터 분석 워크로드와 통신합니다. 보안을 강화하고 인터넷에서 직접 이러한 인스턴스에 액세스할 수 없도록 하려면 이러한 통신 방법 중 하나를 사용하세요.
인터넷 액세스가 필요한 경우 동일한 VPC에서 Cloud NAT를 사용하여 인스턴스에서 공개 인터넷으로의 아웃바운드 트래픽을 처리할 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2023-12-14(UTC)"],[[["\u003cp\u003eThe handover pattern uses Google Cloud storage services to bridge data between private computing environments and Google Cloud projects, especially within analytics hybrid multicloud architectures.\u003c/p\u003e\n"],["\u003cp\u003eData is uploaded from private environments to shared Cloud Storage buckets or Pub/Sub queues, where Google Cloud workloads can then consume and process it.\u003c/p\u003e\n"],["\u003cp\u003eAccess to Cloud Storage and Pub/Sub can be secured using IAM policies and VPC Service Controls, limiting access to trusted workloads and minimizing data exfiltration risks.\u003c/p\u003e\n"],["\u003cp\u003eConnectivity between private environments and Google Cloud can be over public networks, VPN, Cloud Interconnect, or Cross-Cloud Interconnect, depending on factors like traffic volume, security, and setup duration.\u003c/p\u003e\n"],["\u003cp\u003eTo minimize latency and data movement over public networks, utilize Cloud Interconnect or Cross-Cloud Interconnect, and for added protection, use Private Service Connect endpoints within your Virtual Private Cloud for accessing Google APIs.\u003c/p\u003e\n"]]],[],null,["# Handover patterns\n\nWith the *handover* pattern, the architecture is based on using\nGoogle Cloud-provided storage services to connect a private computing\nenvironment to projects in Google Cloud. This pattern applies primarily to\nsetups that follow the\n[*analytics hybrid multicloud* architecture pattern](/architecture/hybrid-multicloud-patterns#analytics-hybrid-multicloud-patterns),\nwhere:\n\n- Workloads that are running in a private computing environment or in another cloud upload data to shared storage locations. Depending on use cases, uploads might happen in bulk or in smaller increments.\n- Google Cloud-hosted workloads or other Google services (data analytics and artificial intelligence services, for example) consume data from the shared storage locations and process it in a streaming or batch fashion.\n\nArchitecture\n------------\n\nThe following diagram shows a reference architecture for the handover\npattern.\n\nThe preceding architecture diagram shows the following workflows:\n\n- On the Google Cloud side, you deploy workloads into an application VPC. These workloads can include data processing, analytics, and analytics-related frontend applications.\n- To securely expose frontend applications to users, you can use Cloud Load Balancing or API Gateway.\n- A set of Cloud Storage buckets or Pub/Sub queues uploads data from the private computing environment and makes it available for further processing by workloads deployed in Google Cloud. Using Identity and Access Management (IAM) policies, you can restrict access to trusted workloads.\n- Use [VPC Service Controls](/vpc-service-controls) to restrict access to services and to minimize unwarranted data exfiltration risks from Google Cloud services.\n- In this architecture, communication with Cloud Storage buckets, or Pub/Sub, is conducted over public networks, or through private connectivity using VPN, Cloud Interconnect, or Cross-Cloud Interconnect. Typically, the decision on how to connect depends on several aspects, such as the following:\n - Expected traffic volume\n - Whether it's a temporary or permanent setup\n - Security and compliance requirements\n\nVariation\n---------\n\nThe design options outlined in the\n[*gated ingress* pattern](/architecture/hybrid-multicloud-secure-networking-patterns/gated-ingress),\nwhich uses Private Service Connect endpoints for Google APIs, can also\nbe applied to this pattern.\nSpecifically, it provides access to Cloud Storage, BigQuery,\nand other Google Service APIs. This approach requires private IP addressing over\na hybrid and multicloud network connection such as VPN, Cloud Interconnect\nand Cross-Cloud Interconnect.\n\nBest practices\n--------------\n\n- Lock down access to Cloud Storage buckets and Pub/Sub topics.\n- When applicable, use cloud-first, integrated data movement solutions like the Google Cloud [suite of solutions](/data-movement). To meet your use case needs, these solutions are designed to efficiently move, integrate, and transform data.\n- Assess the different factors that influence the data transfer options,\n such as cost, expected transfer time, and security. For more\n information, see\n [Evaluating your transfer options](/architecture/migration-to-google-cloud-transferring-your-large-datasets#step_3_evaluating_your_transfer_options).\n\n- To minimize latency and prevent high-volume data transfer and movement over\n the public internet, consider using Cloud Interconnect or\n Cross-Cloud Interconnect, including accessing\n Private Service Connect endpoints within your Virtual Private Cloud for\n Google APIs.\n\n- To protect Google Cloud services in your projects and to mitigate\n the risk of data exfiltration, use VPC Service Controls. These service\n controls can specify service perimeters at the project or VPC network level.\n\n - You can [extend service perimeters](/vpc-service-controls/docs/overview#hybrid_access) to a hybrid environment over an authorized VPN or Cloud Interconnect. For more information about the benefits of service perimeters, see [Overview of VPC Service Controls](/vpc-service-controls/docs/overview).\n- Communicate with publicly published data analytics workloads that are\n hosted on VM instances through an API gateway, a load balancer, or a\n virtual network appliance. Use one of these communication methods for added\n security and to avoid making these instances directly reachable from the\n internet.\n\n- If internet access is required,\n [Cloud NAT](/nat/docs)\n can be used in the same VPC to handle outbound traffic from the instances\n to the public internet.\n\n- Review the\n [general best practices](/architecture/hybrid-multicloud-secure-networking-patterns/general-best-practices)\n for hybrid and multicloud networking topologies."]]
