Ambienti IP privati

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Questa pagina fornisce informazioni sugli ambienti Cloud Composer con IP privato.

Per gli ambienti IP privati, Cloud Composer assegna solo indirizzi IP privati (RFC 1918) alle VM Google Kubernetes Engine e Cloud SQL gestite nel tuo ambiente, pertanto non è possibile accedere in entrata a queste VM gestite dall'internet pubblico. Come opzione, puoi anche utilizzare gli indirizzi IP pubblici utilizzati privatamente e l'agente di mascheramento IP per risparmiare spazio per gli indirizzi IP e utilizzare indirizzi non RFC 1918.

Per impostazione predefinita, in un ambiente IP privato, i flussi di lavoro di Cloud Composer non hanno accesso a internet in uscita. Accesso alle API Google Cloud e non è influenzato dal routing sulla rete privata di Google.

Cluster GKE nativo di VPC

Quando crei un ambiente, Cloud Composer distribuisce le risorse dell'ambiente tra un progetto tenant gestito da Google e il progetto del cliente.

Per un ambiente IP privato, Cloud Composer crea un cluster GKE VPC nativo per il tuo ambiente nel progetto del tuo cliente.

I cluster nativi di VPC utilizzano il routing IP alias creato nella rete VPC, permettendo al VPC e gestire il routing per i pod. Quando utilizzi i cluster nativi di VPC, GKE sceglie automaticamente un intervallo secondario. Per specifiche requisiti di rete, puoi anche configurare gli intervalli secondari per i tuoi pod GKE e servizi GKE per la creazione di un ambiente.

Ambiente Cloud Composer con IP privato

Puoi selezionare un ambiente IP privato quando ne crei uno. L'uso dell'IP privato implica che GKE e Cloud SQL Alle VM nel tuo ambiente non vengono assegnati indirizzi IP pubblici comunicare solo sulla rete interna di Google.

Quando crei un ambiente IP privato, il cluster GKE per il tuo ambiente viene configurato come cluster privato e l'istanza Cloud SQL viene configurata per l'IP privato.

Cloud Composer crea connessione in peering tra la rete VPC del progetto del cliente e la rete VPC del progetto tenant.

Con l'IP privato abilitato per il tuo ambiente, il traffico IP tra il cluster GKE e il database Cloud SQL del tuo ambiente è privato, isolando così i flussi di lavoro dalla rete internet pubblica.

Questo ulteriore livello di sicurezza influisce sulla modalità di connessione a queste risorse e su come il tuo ambiente accede alle risorse esterne. Utilizzo dell'IP privato non influisce sulla modalità di accesso a Cloud Storage o al server web Airflow tramite l'IP pubblico.

Cluster GKE

L'utilizzo di un cluster GKE privato consente di controllare l'accesso al piano di controllo del cluster (i nodi cluster non hanno indirizzi IP pubblici).

Quando crei un ambiente Cloud Composer con IP privato, specifichi se l'accesso al piano di controllo sia pubblico e al suo intervallo IP. L'intervallo IP del piano di controllo non deve sovrapporsi ad alcuna sottorete della rete VPC.

Opzione Descrizione
Accesso all'endpoint pubblico disabilitato Per connetterti al cluster, devi connettiti da una VM nella stessa regione e nello stesso VPC dell'ambiente IP privato. L'istanza VM da cui ti stai connettendo richiede in Accesso Consenti l'accesso completo a tutte le API Cloud.
Da questa VM, puoi eseguire comandi kubectl sul cluster del tuo ambiente
Accesso all'endpoint pubblico abilitato, reti autorizzate master abilitate Nella di questa configurazione, i nodi dei cluster comunicano con il piano di controllo rete privata di Google. I nodi possono accedere alle risorse nel tuo ambiente e nelle reti autorizzate. Puoi aggiungere reti autorizzate in GKE.
Sulle reti autorizzate puoi eseguire comandi kubectl sul tuo cluster dell'ambiente

Cloud SQL

Poiché l'istanza Cloud SQL non dispone un indirizzo IP pubblico, il traffico Cloud SQL all'interno del tuo IP privato non è esposto alla rete internet pubblica.

Cloud Composer configura Cloud SQL in modo da accettare le connessioni in entrata tramite l'accesso privato ai servizi. Puoi accedere all'istanza Cloud SQL sulla tua rete VPC utilizzando il relativo indirizzo IP privato.

Accesso a internet pubblico per i tuoi flussi di lavoro

Gli operatori e le operazioni che richiedono l'accesso alle risorse su reti non autorizzate o su internet pubblico possono non riuscire. Ad esempio, l'operazione Dataflow Python richiede una connessione a internet pubblica per scaricare Apache Beam da pip.

VM consentite senza indirizzi IP esterni e GKE privato per la connessione a internet richiedono Cloud NAT.

Per utilizzare Cloud NAT, crea una configurazione NAT utilizzando il router Cloud per la rete VPC e la regione in cui si trova il tuo ambiente Cloud Composer con IP privato.

Passaggi successivi