エンドポイントアタッチメントを作成する

統合コネクタのプライベート接続を構成するには、PSC（Private Service Connect）アタッチメントを作成する必要があります。ただし、PSC アタッチメントを使用するには、PSC アタッチメントを直接使用できないため、エンドポイントアタッチメントも作成する必要があります。エンドポイントアタッチメントは、PSC サービスアタッチメントへのインターフェースと考えることができます。作成すると、プライベート接続用のコネクタを構成するときに、エンドポイントアタッチメントの詳細を使用できます。このページでは、エンドポイントアタッチメントの作成方法と、次のコンセプトについて理解していることを前提としています。

エンドポイントアタッチメントは、IP アドレスまたはホスト名として作成できます。

IP アドレスとしてエンドポイントアタッチメントを作成する
ホスト名としてエンドポイントアタッチメントを作成する

エンドポイントアタッチメントを IP アドレスとして作成する

エンドポイントアタッチメントを IP アドレスとして作成するには、Cloud Console またはコマンドライン（gcloud）を使用します。

エンドポイントアタッチメントを作成するには、roles/connectors.admin IAM ロールまたは roles/connectors.endpointAttachmentsAdmin IAM ロールのいずれかで使用できる connectors.endpointAttachments.create 権限が必要です。Integration Connectors のさまざまな IAM ロールと対応する権限については、Integration Connectors の IAM ロールと権限をご覧ください。

コンソール

Cloud Console からエンドポイントアタッチメントを作成するには、次のようにします。

統合コネクタの [エンドポイントアタッチメント] ページを開きます。
[エンドポイントのアタッチメント] に移動
[作成] をクリックします。[エンドポイントアタッチメントの作成] ページが開きます。
次のフィールドに値を入力します。
- 名前: エンドポイントアタッチメントの名前。名前は一意である必要があります。同じ名前のエンドポイントアタッチメントが他に存在することはできません。また、この名前は後で変更できません。名前は先頭を小文字にして、その後に 63 文字以下の小文字、数字、ハイフンで構成します。末尾をハイフンにすることはできません。最小の長さは 2 です。
- サービスアタッチメント ID: すでに作成した PSC サービスアタッチメントの名前。
  注: Google Cloud プロジェクトに関連付けられたサービスディレクトリのプロジェクト ID を取得してから、サービスアタッチメントでそのプロジェクト ID を許可リストに登録する必要があります。
- （省略可）説明: エンドポイントアタッチメントの説明を入力します。
- （省略可）ラベル: リソースラベルを Key-Value ペアとして入力します。ラベルの詳細については、ラベルとはをご覧ください。
- （省略可）エンドポイントグローバルアクセスを有効にする: 任意のリージョンに存在する接続からバックエンドにトラフィックを送信する場合は、このオプションを選択します。
  デフォルトでは、エンドポイントアタッチメントで、接続とバックエンドの両方が同じリージョンにある必要があります。したがって、エンドポイントでグローバルアクセスを有効にすると、任意のリージョンに存在する接続がバックエンドにトラフィックを送信できます。
  注:
  - このオプションを有効にしても、DRZ のコンプライアンスには影響しません。また、マネージドゾーンはリージョンのままです。
  - このオプションが機能するには、ロードバランサのグローバルアクセスが有効になっていることを確認します。または、内部パススルーロードバランサを使用している場合は、グローバルアクセスがデフォルトで有効になっているため、明示的に有効にする必要はありません。詳細については、グローバルアクセスを有効にすると機能と互換性をご覧ください。
[作成] をクリックします。

[IP アドレス] 列には、エンドポイントアタッチメントの IP アドレスを指定します。プライベート接続用のコネクタを構成する場合は、この IP アドレスを使用する必要があります。

gcloud

コマンドラインからエンドポイントアタッチメントを作成するには、次のようにします。

PSC サービスアタッチメントリソースを取得します。
```
gcloud compute service-attachments list
```
このコマンドは、サービスアタッチメントのリストを返します。次に例を示します。
```
NAME       REGION   TARGET_SERVICE                                       CONNECTION_PREFERENCE
demo-sa us-west1 k8s2-tcp-tgysilgj-apps-ingressgateway-fzdhwstg ACCEPT_AUTOMATIC
```
このサービスアタッチメントの情報は、後の手順で必要になります。
CreateEndpointAttachment API を実行する前に認証トークンを取得します。
```
TOKEN="$(gcloud auth print-access-token)"
```
CreateEndpointAttachment API を使用してエンドポイントアタッチメントを作成します。たとえば、次のような点が改善されています。
```
curl -X POST -H "Authorization: Bearer $TOKEN" \
     -H "Content-Type: application/json" \
     -d '{
    "name": "projects/PROJECT_ID/locations/LOCATION/endpointAttachments/ENDPOINT_ATTACHMENT_NAME",
    "serviceAttachment": "projects/demo/serviceAttachments/?SERVICE_ATTACHMENT_NAME"
  }' \
     https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/endpointAttachments?endpointAttachmentId=ENDPOINT_ATTACHMENT_NAME
```
ここで
- LOCATION は、サービスアタッチメントのリージョンです。例: us-west1
- PROJECT_ID は、PSC サービスアタッチメントを作成した Google Cloud プロジェクトです。
- ENDPOINT_ATTACHMENT_NAME はエンドポイントアタッチメントの名前です。名前は一意である必要があります。同じ名前のエンドポイントアタッチメントを他に存在させることはできません。この名前を後で変更することはできません。名前は先頭を小文字にして、その後に 31 文字以下の小文字、数字、ハイフンで構成します。末尾をハイフンにすることはできません。最小の長さは 2 です。
- SERVICE_ATTACHMENT_NAME: サービスアタッチメントの名前。以前に実行した gcloud compute service-attachments list コマンドで返された PSC サービスアカウント名を使用します。
API を呼び出すと、Integration Connectors は長時間実行オペレーションを開始します。オペレーションが完了するまでに時間がかかることがあります。オペレーションが正常に完了すると、エンドポイントアタッチメントが作成されます。
Google Cloud プロジェクトに関連付けられたサービスディレクトリのプロジェクト ID を取得してから、サービスアタッチメントでそのプロジェクト ID を許可リストに登録する必要があります。

GetEndpointAttachment API を使用してエンドポイントアタッチメントが作成されたかどうかを確認します。次に例を示します。

curl -X GET -H "Authorization: Bearer $TOKEN" \
  https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/us-central1/endpointAttachments/ENDPOINT_ATTACHMENT_NAME

API により、次のようなレスポンスが返されます。

{
  "name": "projects/demo-project/locations/us-central1/endpointAttachments/demo-ea",
  "createTime": "2023-04-17T04:34:59.569527046Z",
  "updateTime": "2023-04-17T04:37:25.189074195Z",
  "description": "demo endpoint attachment",
  "serviceAttachment": "projects/demo-project/regions/us-central1/serviceAttachments/demo-sa",
  "endpointIp": "10.0.0.0",
  "labels": {"team":"sre"},
}

エンドポイントアタッチメントの IP アドレスは、endpointIp フィールドで使用できます。このサンプルレスポンスでは、IP アドレスは 10.0.0.0 です。プライベート接続用のコネクタを構成するときに、この IP アドレスを使用します。

エンドポイントアタッチメントの作成が成功すると、新しく作成されたアタッチメントは、次の図に示すように [エンドポイントアタッチメント] ページに一覧表示されます。

ここで説明する手順は、IP アドレスとしてエンドポイントアタッチメントを作成する方法を示しています。ただし、ホスト名としてエンドポイントアタッチメントを作成し、そのホスト名を使用してプライベート接続用のコネクタを構成することもできます。ホスト名を持つエンドポイントアタッチメントを作成する方法については、ホスト名としてエンドポイントアタッチメントを作成するをご覧ください。

ホスト名としてエンドポイントアタッチメントを作成する

エンドポイントアタッチメントをホスト名として作成するには、次のタスクを行います。

エンドポイントアタッチメントを IP アドレスとして作成します。詳細については、エンドポイントアタッチメントを IP アドレスとして作成するをご覧ください。
Google Cloud プロジェクトに Cloud DNS 限定公開マネージドゾーンを作成します。
この DNS ゾーンで、コネクタ構成に使用するホスト名を追加し、そのホスト名を手順 1 で取得したエンドポイントアタッチメントの IP アドレスにマッピングする必要があります。Cloud DNS 限定公開マネージドゾーンの作成方法については、限定公開ゾーンの作成とレコードの追加をご覧ください。
Integration Connectors に使用する Google Cloud プロジェクトに Integration Connectors マネージドゾーンを作成します。Integration Connectors マネージドゾーン（ピアリングゾーン）は、名前解決のために Cloud DNS 限定公開マネージドゾーン（ステップ 2 で作成）と通信します。

マネージドゾーンを作成する前に、次のロールと権限を付与する必要があります。
- Integration Connectors マネージドゾーンを作成するユーザーに connectors.managedZones.create 権限を付与します。
  connectors.managedZones.create 権限は、roles/connectors.admin IAM ロールまたは roles/connectors.managedZonesAdmin IAM ロールで使用できます。Integration Connectors のさまざまな IAM ロールと対応する権限については、Integration Connectors の IAM ロールと権限をご覧ください。
- 統合コネクタ service-PROJECT_NUMBER@gcp-sa-connectors.iam.gserviceaccount.com サービスアカウントに role/dns.peer ロールを付与します。
  Cloud DNS の Google Cloud プロジェクトが Integration Connectors の Google Cloud プロジェクトと異なる場合は、roles/dns.peer Cloud DNS Google Cloud プロジェクトの Integration Connectors サービスアカウントにロールを付与します。たとえば、Google Cloud プロジェクト 12345 に Integration Connectors マネージドゾーンを作成するとします。Cloud DNS は Google Cloud プロジェクト 67890 にあります。この場合、roles/dns.peer ロールを Google Cloud プロジェクト 67890 の service-12345@gcp-sa-connectors.iam.gserviceaccount.com サービスアカウントに付与する必要があります。
統合コネクタマネージドゾーンを作成するには、Cloud Console またはコマンドライン（gcloud）を使用できます。
コンソール

Cloud Console から Integration Connectors マネージドゾーンを作成するには、次のようにします。
1. Integration Connectors の [マネージドゾーン] ページに移動します。
  [マネージドゾーン] に移動
2. 次のフィールドに値を入力します。
  1. 名前: マネージドゾーンの名前。
  2. ターゲット DNS 名: マネージド（ピアリング）ゾーンを作成する Cloud DNS の完全な名前。例: server8.stage.user.private
  3. ターゲットプロジェクト: プライベート Cloud DNS ゾーンを含む Google Cloud プロジェクトの名前。
  4. ターゲットネットワーク: プライベート Cloud DNS ゾーンが維持されている VPC ネットワークの名前。
  5. （省略可）説明: エンドポイントアタッチメントの説明を入力します。
  6. （省略可）ラベル: リソースラベルを Key-Value ペアとして入力します。ラベルの詳細については、ラベルとはをご覧ください。
3. [作成] をクリックします。
gcloud

コマンドラインから Integration Connectors マネージドゾーンを作成するには、次の手順を行います。
1. CreateManagedZone API を実行する前に、認証トークンを取得します。
```
TOKEN="$(gcloud auth print-access-token)"
```
2. CreateManagedZone API を使用してマネージドゾーンを作成します。たとえば、次のような点が改善されています。
```
curl -X POST -H "Authorization: Bearer $TOKEN" \
-H "Content-Type: application/json" \
-d '{
  "description": "DESCRIPTION",
  "dns": "DNS_NAME",
  "target_project": "TARGET_PROJECT",
  "target_vpc": "TARGET_VPC"
}' \
https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/managedZones?managedZoneId=MANAGED_ZONE_NAME
```
  ここで
  - DESCRIPTION は、マネージドゾーンの説明です（省略可能）。
  - DNS_NAME: マネージド（ピアリング）ゾーンを作成する Cloud DNS の完全な名前。例: server8.stage.user.private
  - TARGET_PROJECT は、限定公開 Cloud DNS ゾーンを持つ Google Cloud プロジェクトの名前です。
  - TARGET_NETWORK は、プライベート Cloud DNS ゾーンが維持されている VPC ネットワークの名前です。
  - PROJECT_ID は、統合コネクタに使用している Google Cloud プロジェクトです。
  - MANAGED_ZONE_NAME　はマネージドゾーンの名前です。名前は一意である必要があります。他のマネージドゾーンを同じ名前にすることはできません。また、この名前は後で変更できません。名前は先頭を小文字にして、その後に 63 文字以下の小文字、数字、ハイフンで構成します。末尾をハイフンにすることはできません。最小の長さは 2 です。
  API を呼び出すと、Integration Connectors は長時間実行オペレーションを開始します。オペレーションが完了するまでに時間がかかることがあります。オペレーションが正常に完了すると、マネージドゾーンが作成されます。
3. GetManagedZone API を使用してマネージドゾーンが作成されたかどうかを確認します。次に例を示します。
```
curl -X GET -H "Authorization: Bearer $TOKEN" \
  https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/managedZones/MANAGED_ZONE_NAME
```
  API により、次のようなレスポンスが返されます。
```
{
  "name": "projects/demo-project/locations/global/managedZones/demo-mz",
  "createTime": "2023-04-17T04:34:59.569527046Z",
  "updateTime": "2023-04-17T04:37:25.189074195Z",
  "description": "demo managed zone",
  "dns": "api.private.service.com.",
  "targetVpc": "target-project-vpc",
  "targetProject": "target-project"
}
```

マネージドゾーンの作成が成功すると、新しく作成されたマネージドゾーンが [マネージドゾーン] ページに一覧表示されます。次の図をご覧ください。

エンドポイントアタッチメントの設定を確認する

エンドポイントの接続を確認するには、バックエンドシステムへの接続を作成します。接続を作成するときは、Destinations セクションで Destination type を Hostname として選択し、適切なエンドポイント IP アドレスまたはホスト名を入力します。接続が正常に作成されると、新しく作成された接続のステータスが Cloud Console の [接続] ページで Active になります。

エンドポイント アタッチメントを作成する

エンドポイント アタッチメントを IP アドレスとして作成する

コンソール

gcloud

ホスト名としてエンドポイント アタッチメントを作成する

コンソール

gcloud

エンドポイント アタッチメントの設定を確認する

エンドポイントアタッチメントを作成する

エンドポイントアタッチメントを IP アドレスとして作成する

ホスト名としてエンドポイントアタッチメントを作成する

エンドポイントアタッチメントの設定を確認する