リバース SSH トンネルを使用して接続を構成する

MySQL   |  PostgreSQL   |  PostgreSQL to AlloyDB

概要

セキュアなリバース SSH トンネルを介して、宛先データベースからソース データベースへの接続を確立できます。この方法では、 Google Cloud プロジェクトのバスティオン ホスト VM と、ソース データベースに接続できるマシン（ネットワーク上のノートパソコンなど）が必要です。

重要: 移行元が VPN（AWS の VPN や独自のオンプレミス VPN など）の内部にある場合は、移行元の接続プロファイルで、移行元の IP アドレスとポートではなく、VPN の IP アドレスとポートを使用する必要があります。

Database Migration Service for PostgreSQL は、移行の作成時に必要な情報を収集し、すべてを設定するためのスクリプトを自動生成します。

次の図をご覧ください。

リバース SSH トンネルを設定する

次の手順は、移行ジョブの作成の Database Migration Service フロー内で実行され、移行元データベースと Cloud SQL インスタンスの間にリバース SSH トンネルを設定します。いくつかのパラメータを指定したら、ソース データベースと Google Cloudの両方に接続しているマシンで、一連の gcloud コマンドを実行します。

1. 移行元データベースと Cloud SQL インスタンス間の接続を確立するために使用する VM インスタンスを選択します。通常、これは、新しい Cloud SQL データベースにアクセスするアプリケーションが実行されている VPC で実行されている VM です。VM インスタンスは SSH トンネルの踏み台サーバーとして機能します。

2. この目的には、既存の Compute Engine VM インスタンスを使用できます。

   1. リストから Compute Engine VM インスタンスを選択します。

   2. SSH トンネルが使用できる空いているポートを指定します。

   注: リバース SSH トンネルを機能させるには、ターゲット サーバーの /etc/ssh/sshd_config ファイルで GatewayPorts パラメータを「yes」に設定します。ファイルを更新したら、sudo systemctl restart sshd.service コマンドを使用して sshd サービスを再起動します。
   
   既存の VM の構成を変更しない場合は、新しい VM を作成します。

3. または、この手順で新しい VM を作成することもできます。CREATE A COMPUTE ENGINE VM INSTANCE を選択すると、生成されたスクリプトに作成手順が含まれます。

   1. VM インスタンスの名前を指定します。

   2. VM のマシンタイプを選択します。

   3. VM のサブネットを指定する

   注: スクリプトによって作成された Compute Engine VM インスタンスは、Database Migration Service によって管理されません。インスタンスが作成された場合、組織は標準料金に基づいてインスタンスに対して課金され、不要になったインスタンスの削除など、インスタンスの管理は組織の責任となります。

4. [スクリプトを表示] をクリックして、生成されたスクリプトを確認します。

   デフォルトでは、スクリプトは Compute Engine VM サーバーの公開 IP アドレスを生成します。IP アドレスをプライベートにするには、次の操作を行います。

   • --no-address フラグを追加して、gcloud compute instances create コマンドを変更します。
   • --internal-ip フラグを追加して、gcloud compute ssh コマンドを変更します。

   また、共有 VPC のサブネットに踏み台ホスト VM を作成する場合は、生成されたスクリプトの export SUBNET_NAME コマンドを変更して /projects/project_name/regions/region_name/subnetworks/subnetwork_name を参照するようにします。

   次に例を示します。

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name は、共有 VPC が配置されるプロジェクトの名前です。プロジェクトにはリージョンとサブネットワークがあります。region_name と subnetwork_name は、VPC プロジェクトに関連付けられているリージョンとサブネットワークの名前です。

   pg_hba.conf ファイルのレプリケーション接続セクションまたはソース データベースの AWS RDS セキュリティ グループ定義を更新して、Cloud SQL VPC の IP アドレス範囲からの接続を受け入れるようにします。

5. ソース データベースと Compute Engine VM の両方にアクセスできるマシンでスクリプトを実行します。このスクリプトは、次の操作を実行します。

   • Compute Engine VM を SSH トンネル踏み台サーバーとして構成します。

   • ソース データベースと VPC の間に安全な SSH 接続を確立します。

   • 新しい Compute Engine VM を作成する場合は、スクリプトが正常に実行されたら、スクリプトの出力から VM サーバーの IP をコピーし、指定されたテキスト フィールドに入力します。Cloud SQL インスタンスは、後で移行ジョブをテストまたは開始するときに必要に応じて更新されます。

6. [構成して続行] をクリックします。

7. 移行ジョブを確認して、移行元のデータベース インスタンスから移行先の Cloud SQL データベース インスタンスにデータが正しく移行されたことを確認します。

8. 移行元が VPN（AWS の VPN や独自のオンプレミス VPN など）の内部にある場合は、移行元 VPN と Google Cloud VPN が協調するように構成する方法については、 VPN を介して VPC を接続するのセクションに進みます。

9. 移行ジョブが構成され、接続が検証され、必要に応じて VPN が正常に構成されたら、ジョブを実行できます。