例: MySQL インスタンスのプライベート接続

このページでは、Private Service Connect（PSC）を使用して、プライベートネットワーク上にある MySQL バックエンドシステムと Integration Connectors ランタイムとの接続を確立する方法について例を交えて説明します。

考慮事項

PSC サービスアタッチメントを作成する場合は、次の重要な点に留意してください。

PSC サービスアタッチメントとロードバランサは、同じ VPC 内の異なるサブネット内に存在する必要があります。具体的には、サービスアタッチメントが NAT サブネット内に存在する必要があります。
バックエンド VM 上で動作するソフトウェアは、ロードバランシングによって各転送ルールの IP アドレスに送信されるトラフィックとヘルスチェックプローブの両方に応答する必要があります（ソフトウェアはネットワークインターフェースに割り当てられている特定の IP アドレスではなく 0.0.0.0:<port> をリッスンする必要があります）詳細については、ヘルスチェックをご覧ください。
ファイアウォールルールを構成して、トラフィックフローを促進します。
上り（内向き）ルール
- PSC サービスアタッチメントのサブネットからのトラフィックは、ILB のサブネットに到達する必要があります。
- ILB のサブネット内では、ILB がトラフィックをバックエンドシステムに送信できる必要があります。
- ヘルスチェックプローブがバックエンドシステムにアクセスできる必要があります。Google Cloud ヘルスチェックプローブには固定 IP 範囲（35.191.0.0/16, 130.211.0.0/22）が付いているため、これらの IP でバックエンドサーバーにトラフィックを送信できます。
下り（外向き）ルール

特定の拒否ルールが構成されていない限り、Google Cloud プロジェクトで下り（外向き）トラフィックはデフォルトで有効になっています。
PSC サービスアタッチメントやロードバランサなどの Google Cloud コンポーネントはすべて、同じリージョンに配置する必要があります。
セキュリティ上の懸念があるため、バックエンドシステムをパブリックネットワークに公開しないでください。ただし、以下のシナリオでは、バックエンドシステムがトラフィックを受け入れるようにしてください。
- パススルーロードバランサ（L4 TCP/UDP ILB）: PSC サービスアタッチメントの NAT IP からのリクエストがバックエンドに到達できる必要があります。これらの NAT IP は自動生成されます。したがって、サービスアタッチメントが存在する NAT サブネットの IP 範囲全体を許可する必要があります。詳細については、Private Service Connect サブネットをご覧ください。
- プロキシベース / HTTP(S) ロードバランサ（L4 プロキシ ILB、L7 ILB）: すべての新しいリクエストがロードバランサから送信されます。したがって、バックエンドは VPC ネットワークのプロキシサブネットからのリクエストを受け入れる必要があります。詳細については、Envoy ベースのロードバランサのプロキシ専用サブネットをご覧ください。

例

プライベート VPC ネットワーク内の Google Cloud に MySQL インスタンスをホストしていて、その MySQL インスタンスを Integration Connectors ランタイムに公開するとします。

次の図は、PSC サービスアタッチメントの構成後に、サンプルの Google Cloud プロジェクトがどのように表示されるかを示しています。

準備

サンプルシナリオ用の PSC サービスアタッチメントを作成する前に、次の作業を行います。

gcloud CLI をインストールします。
Google Cloud プロジェクトで Compute Engine API を有効にします。
CLI コマンドの詳細度を下げるには、次のコマンドを使用して PROJECT_ID、REGION、ZONE の値を設定します。
```
gcloud config set project PROJECT_ID
gcloud config set compute/region REGION
gcloud config set compute/zone ZONE
```
このチュートリアルのコマンドについて、BACKEND_SERVER_PORT を 3306 に置き換えます。これは、MySQL サーバーが実行されるデフォルトのポートです。
このサンプルシナリオを試す場合は、新しい VPC ネットワークを作成して使用することをおすすめします。シナリオをテストしたら、VPC ネットワークやその他のリソースを削除できます。
少なくとも 1 つの既存の接続が作成されている必要があります。任意の接続のタイプを使用できます。既存の接続があると、Integration Connectors ランタイムからサービスディレクトリのプロジェクト ID を取得できます。PSC サービスアタッチメントを作成するには、このプロジェクト ID が必要です。

PSC サービスアタッチメントを作成する

サンプルシナリオ用の PSC サービスアタッチメントを作成するには、次の作業を行います。

VPC ネットワークと必要なサブネットを作成します。
1. VPC ネットワークを作成します。
```
gcloud compute networks create VPC_NETWORK --project=PROJECT_NAME --subnet-mode=custom --mtu=1460 --bgp-routing-mode=regional
```
2. サブネット 1 を追加します。
```
gcloud compute networks subnets create SUBNET_NAME_1 --network=VPC_NETWORK --range=SUBNET_RANGE_1 --purpose=PRIVATE_SERVICE_CONNECT
```
  このコマンドは、PSC サービスアタッチメントをホストするためにのみ使用される NAT サブネットとして Subnet-1 を作成します。この NAT サブネット内の他のサービスはホストできません。
3. サブネット 2 を追加します。
```
gcloud compute networks subnets create SUBNET_NAME_2 --network=VPC_NETWORK --range=SUBNET_RANGE_2
```
注: PSC サービスアタッチメントをロードバランサと同じサブネット内に配置することはできません。そのため、2 つのサブネットが必要です。
VM インスタンスを作成します。

新しく作成した VPC に VM インスタンスを作成するには、次のコマンドを実行します。
```
gcloud compute instances create \
--image-family debian-10 \
--image-project debian-cloud \
--network-interface=network-tier=PREMIUM,subnet=SUBNET_NAME_2,no-address \
mysql-test
```
このコマンドは、mysql-test という名前の VM インスタンスを作成します。

注: セキュリティのベストプラクティスに合わせるため、--no-address オプションにより外部 IP アドレスを持たないインスタンスを作成します。ただし、MySQL のインストール中にインスタンスがパブリックパッケージリポジトリにアクセスする必要がある場合は、ネットワークアドレス変換を管理するように Cloud NAT を構成して、インターネットアクセスを許可する必要があります。

Cloud NAT を構成します。

シンプルなルーターを作成します。

gcloud compute routers create NAT_ROUTER_NAME \
    --network=VPC_NETWORK

ネットワークアドレス変換を構成します。

gcloud compute routers nats create NAT_GATEWAY_NAME \
    --router=NAT_ROUTER_NAME \
    --auto-allocate-nat-external-ips \
    --nat-all-subnet-ip-ranges

VM インスタンスに SSH で接続します。

SSH を許可するファイアウォールルールを作成します。

gcloud compute firewall-rules create VPC_NETWORK-allow-ssh --direction=INGRESS --priority=1000 --network=VPC_NETWORK --allow=tcp:22

VM インスタンスに SSH で接続します。

gcloud compute ssh \
    --tunnel-through-iap \
    mysql-test

MySQL サーバーをインストールします。詳細な手順については、MySQL をインストールするをご覧ください。
MySQL インスタンスに接続し、サンプルデータを作成します。
1. MySQL クライアントを使用して MySQL に接続します。
```
sudo mysql -u root -p
```
2. 新しいユーザーを作成し、任意のホストアドレスから接続するためのアクセス権を付与します。
```
CREATE USER 'test-user'@'%' IDENTIFIED BY 'test-pass';
GRANT ALL PRIVILEGES ON * . * TO 'test-user'@'%';
FLUSH PRIVILEGES;
```
  このコマンドは、ユーザー名が test-user、パスワードが test-pass のユーザーを作成します。
3. サンプルデータとともにデータベースを作成します。
```
CREATE DATABASE test-db;
USE test-db;
CREATE TABLE Singers (SingerId int, FirstName varchar(255), LastName varchar(255));
INSERT INTO Singers (SingerId, FirstName, LastName) VALUES (1, 'Marc', 'Richards');
```
4. MySQL クライアントを終了します。
```
mysql> exit
```
5. VM インスタンスを終了します。
```
exit
```
非マネージドインスタンスグループを設定します。
1. 非マネージドインスタンスグループを作成します。
```
gcloud compute instance-groups unmanaged create INSTANCE_GROUP_NAME
```
  注: このチュートリアルでは、非マネージドインスタンスグループを使用します。信頼性を高めるためにマネージドインスタンスグループを作成できます。
2. ステップ 2 で作成した VM インスタンスをグループに追加します。
```
gcloud compute instance-groups unmanaged add-instances INSTANCE_GROUP_NAME --instances=mysql-test
```
ヘルスチェックプローブを作成し、プローブからのトラフィックを許可します。
1. ヘルスチェックプローブを作成します。
```
gcloud compute health-checks create tcp HEALTH_CHECK_NAME --port BACKEND_SERVER_PORT --region=REGION
```
  このコマンドで、BACKEND_SERVER_PORT を 3306 に設定します。これは MySQL サーバーが実行されるデフォルトのポートです。
2. プローブからのトラフィックを許可するファイアウォールルールを作成します。
```
gcloud compute firewall-rules create VPC_NETWORK-allow-health-check --direction=INGRESS --priority=1000 --network=VPC_NETWORK --allow=tcp:BACKEND_SERVER_PORT --source-ranges=35.191.0.0/16,130.211.0.0/22
```

L4 内部ロードバランサを作成し、ロードバランサからのトラフィックを許可します。

バックエンドサービスを作成します。

gcloud compute backend-services create BACKEND_SERVICE --load-balancing-scheme=internal --protocol=tcp --health-checks=HEALTH_CHECK_NAME --health-checks-region=REGION

バックエンドサービスにインスタンスグループを追加します。

gcloud compute backend-services add-backend BACKEND_SERVICE --instance-group=INSTANCE_GROUP_NAME --instance-group-zone=ZONE

転送ルールを作成します。

gcloud compute forwarding-rules create FORWARDING_RULE_NAME --load-balancing-scheme=internal --network=VPC_NETWORK --subnet=SUBNET_NAME_2 --ip-protocol=TCP --ports=BACKEND_SERVER_PORT --backend-service=BACKEND_SERVICE --backend-service-region=REGION

ロードバランサからインスタンスグループへの内部トラフィックを許可するファイアウォールルールを作成します。

gcloud compute firewall-rules create VPC_NETWORK-allow-internal --direction=INGRESS --priority=1000 --network=VPC_NETWORK --action=ALLOW --rules=all --source-ranges=SUBNET_RANGE_2

PSC サービスアタッチメントを作成します。
1. PSC サービスアタッチメントから前のステップで作成した内部ロードバランサへのトラフィックを許可するファイアウォールルールを作成します。
```
gcloud compute firewall-rules create VPC_NETWORK-allow-sa --direction=INGRESS --priority=1000 --network=VPC_NETWORK --allow=tcp:BACKEND_SERVER_PORT --source-ranges=SUBNET_RANGE_1
```
2. 明示的な承認を使用してサービスアタッチメントを作成します。
```
gcloud compute service-attachments create SERVICE_ATTACHMENT_NAME --producer-forwarding-rule=FORWARDING_RULE_NAME  --connection-preference=ACCEPT_MANUAL --consumer-accept-list=SERVICE_DIRECTORY_PROJECT_ID=LIMIT --nat-subnets=SUBNET_NAME_1
```
  このコマンドで、LIMIT はプロジェクトの接続上限です。接続上限は、このサービスに接続できるコンシューマ Private Service Connect エンドポイントの数になります。SERVICE_DIRECTORY_PROJECT_ID の取得方法については、サービスディレクトリのプロジェクト ID を取得するをご覧ください。
エンドポイントアタッチメントを作成します。
エンドポイントアタッチメントは、PSC サービスアタッチメントへのインターフェースと考えることができます。PSC サービスアタッチメントを直接使用してプライベート接続を構成することはできません。PSC サービスアタッチメントには、エンドポイントアタッチメントを使用してのみアクセスできます。エンドポイントアタッチメントは、IP アドレスまたはホスト名として作成できます。エンドポイントアタッチメントは、作成したコネクタをプライベート接続用に構成するときに使用できます。詳細については、エンドポイントアタッチメントを作成するをご覧ください。
PSC の設定を確認します。PSC サービスアタッチメントの接続を確認するには、このチュートリアルで作成した test-db データベースへの MySQL 接続を作成します。MySQL 接続の詳細な作成手順については、MySQL 接続を作成するをご覧ください。接続を作成するときに、Destinations セクション（MySQL 接続を作成するのステップ 5 を参照）で、Destination type を Hostname として選択し、適切なエンドポイントの IP アドレスまたはホスト名を入力します。接続が正常に作成されると、新しく作成された接続のステータスが Cloud コンソールの [接続] ページで Active になります。

サービスディレクトリのプロジェクト ID を取得する

PSC サービスアタッチメントは、指定された Google Cloud プロジェクトからのリクエストのみを受け入れるように作成することをおすすめします。ただし、これを行うには、Google Cloud プロジェクトに関連付けられたサービスディレクトリのプロジェクト ID が必要です。サービスディレクトリのプロジェクト ID を取得するには、次の例に示すように List Connections API を使用します。

構文

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/CONNECTORS_PROJECT_ID/locations/-/connections"

次のように置き換えます。

CONNECTORS_PROJECT_ID: 接続を作成した Google Cloud プロジェクトの ID。

例

この例では、connectors-test Google Cloud プロジェクトのサービスディレクトリのプロジェクト ID を取得します。

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/connectors-test/locations/-/connections"

ターミナルでこのコマンドを実行すると、次のような出力が表示されます。

.....
{
  "connections": [
    {
      "name": "projects/connectors-test/locations/asia-northeast1/connections/big-query-iam-invalid-sa",
      "createTime": "2022-10-07T09:02:31.905048520Z",
      "updateTime": "2022-10-07T09:22:39.993778690Z",
      "connectorVersion": "projects/connectors-test/locations/global/providers/gcp/connectors/bigquery/versions/1",
      "status": {
        "state": "ACTIVE"
      },
      "configVariables": [
        {
          "key": "project_id",
          "stringValue": "connectors-test"
        },
        {
          "key": "dataset_id",
          "stringValue": "testDataset"
        }
      ],
      "authConfig": {},
      "serviceAccount": "564332356444-compute@developer.gserviceaccount.com",
      "serviceDirectory": "projects/abcdefghijk-tp/locations/asia-northeast1/namespaces/connectors/services/runtime",
      "nodeConfig": {
        "minNodeCount": 2,
        "maxNodeCount": 50
      }
    },
....

サンプル出力では、connectors-test Google Cloud プロジェクトの場合、サービスディレクトリのプロジェクト ID は abcdefghijk-tp です。

他のバックエンドシステム用の PSC サービスアタッチメント

前述の例の手順に沿って、他のバックエンドシステムに PSC サービスアタッチメントを設定できます。ただし、目的のバックエンドシステムに合わせて、ステップ 5 と 6 を変更する必要があります。VM インスタンスにバックエンドシステムをインストールしたら、バックエンドシステムをインスタンスグループに追加し、残りの手順を通常どおりに進めます。