Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3
Questa pagina fornisce informazioni sugli ambienti Cloud Composer con IP privato.
Per gli ambienti con IP privato, Cloud Composer assegna solo indirizzi IP privati (RFC 1918) alle VM gestite di Google Kubernetes Engine e Cloud SQL nel tuo ambiente, pertanto non viene effettuato alcun accesso in entrata a queste VM gestite dalla rete internet pubblica. In alternativa, puoi anche utilizzare indirizzi IP pubblici utilizzati privatamente e l'agente di mascheramento IP per salvare lo spazio di indirizzi IP e utilizzare indirizzi non RFC 1918.
Per impostazione predefinita, in un ambiente IP privato, i flussi di lavoro di Cloud Composer non hanno accesso a internet in uscita. L'accesso alle API e ai servizi Google Cloud non è influenzato dal routing sulla rete privata di Google.
Cluster GKE nativo di VPC
Quando crei un ambiente, Cloud Composer distribuisce le risorse del tuo ambiente tra un progetto tenant gestito da Google e il progetto del cliente.
Per un ambiente IP privato, Cloud Composer crea un cluster GKE VPC nativo per l'ambiente nel progetto del cliente.
I cluster nativi di VPC utilizzano il routing IP alias integrato nella rete VPC, consentendo al VPC di gestire il routing per i pod. Quando usi cluster nativi di VPC, GKE sceglie automaticamente un intervallo secondario. Per requisiti di rete specifici, puoi anche configurare gli intervalli secondari per i pod GKE e i servizi GKE al momento della creazione di un ambiente.
Ambiente Cloud Composer con IP privato
Puoi selezionare un ambiente IP privato quando crei un ambiente. Se utilizzi l'IP privato, alle VM GKE e Cloud SQL del tuo ambiente non vengono assegnati indirizzi IP pubblici e comunicano solo sulla rete interna di Google.
Quando crei un ambiente IP privato, il cluster GKE per il tuo ambiente viene configurato come cluster privato e l'istanza Cloud SQL è configurata per l'IP privato.
Cloud Composer crea una connessione in peering tra la rete VPC del progetto del cliente e la rete VPC del progetto tenant.
Con l'IP privato abilitato per il tuo ambiente, il traffico IP tra il cluster GKE dell'ambiente e il database Cloud SQL è privato, isolando così i flussi di lavoro dalla rete internet pubblica.
Questo livello aggiuntivo di sicurezza influisce sul modo in cui ti connetti a queste risorse e il modo in cui il tuo ambiente accede alle risorse esterne. L'uso dell'IP privato non influisce sul modo in cui accedi a Cloud Storage o al server web Airflow tramite l'IP pubblico.
Cluster GKE
L'utilizzo di un cluster GKE privato consente di controllare l'accesso al piano di controllo del cluster (i nodi cluster non hanno indirizzi IP pubblici).
Quando crei un ambiente Cloud Composer con IP privato, specifichi se l'accesso al piano di controllo è pubblico e il relativo intervallo IP. L'intervallo IP del piano di controllo non deve sovrapporsi ad alcuna subnet nella rete VPC.
| Opzione | Descrizione |
|---|---|
| Accesso agli endpoint pubblico disabilitato | Per connetterti al cluster, devi connetterti da una VM nella stessa regione e nella stessa rete VPC dell'ambiente IP privato.
L'istanza VM da cui ti stai connettendo richiede
l'ambito di accesso
Consenti l'accesso completo a tutte le API Cloud. Da questa VM, puoi eseguire comandi kubectl sul cluster
del tuo ambiente |
| Accesso agli endpoint pubblico abilitato, reti autorizzate master abilitate | In questa configurazione, i nodi dei cluster comunicano con il piano di controllo sulla rete privata di Google. I nodi possono accedere alle risorse
nel tuo ambiente e nelle reti autorizzate. Puoi aggiungere reti autorizzate in GKE. Sui reti autorizzate puoi eseguire comandi kubectl sul cluster
del tuo ambiente |
Cloud SQL
Poiché l'istanza Cloud SQL non ha un indirizzo IP pubblico, il traffico Cloud SQL all'interno dell'ambiente IP privato non è esposto alla rete internet pubblica.
Cloud Composer configura Cloud SQL affinché accetti le connessioni in entrata Puoi accedere all'istanza Cloud SQL sulla tua rete VPC utilizzando il suo indirizzo IP privato.
Accesso a internet pubblico per i tuoi flussi di lavoro
Gli operatori e le operazioni che richiedono l'accesso a risorse su reti non autorizzate o sulla rete internet pubblica potrebbero non riuscire. Ad esempio, l'operazione Dataflow in Python richiede una connessione a internet pubblica per scaricare Apache Beam da pip.
Per consentire a VM senza indirizzi IP esterni e cluster GKE privati di connettersi a internet è necessario Cloud NAT.
Per utilizzare Cloud NAT, crea una configurazione NAT utilizzando il router Cloud per la rete VPC e la regione in cui si trova il tuo ambiente Cloud Composer con IP privato.