Google Cloud VPC のネットワーク接続

このページでは、Integration Connectors からGoogle Cloud VPC でホストされている MySQL、Postgres、SQL Server などのバックエンドサービスへのプライベート接続を設定する方法について説明します。

このページでは、次のコンセプトを理解していることを前提としています。

Google Cloud VPC へのプライベート接続は、次のいずれかのカテゴリに分類できます。

バックエンドサービスと PSC サービスアタッチメントの両方が同じ Google Cloud プロジェクトまたは VPC 内にある。
バックエンドサービスと PSC サービスアタッチメントの両方が、異なる Google Cloud プロジェクトまたは VPC にある。

考慮事項

PSC サービスアタッチメントを作成する場合は、次の重要な点に留意してください。

PSC サービスアタッチメントとロードバランサは、同じ VPC 内の異なるサブネット内に作成されます。具体的には、サービスアタッチメントが常に NAT サブネット内に作成されます。
ロードバランサとヘルスチェックプローブからのトラフィックは、同じポートに送信する必要があります。
ファイアウォールルールを構成して、トラフィックフローを促進します。
上り（内向き）ルール

PSC サービスアタッチメントのサブネットからのトラフィックがバックエンドサービスに到達する必要があります。

下り（外向き）ルール

特定の拒否ルールが構成されていない限り、Google Cloud プロジェクトで下り（外向き）トラフィックはデフォルトで有効になっています。
PSC サービスアタッチメントやロードバランサなど、すべての Google Cloud コンポーネントは同じリージョンに存在する必要があります。

Google Cloud VPC 内のバックエンドサービスへのプライベート接続

このセクションでは、バックエンドサービスと PSC サービスアタッチメントの両方が同じ Google Cloud プロジェクト内にある場合に、プライベート接続を確立する方法について説明します。

次の図は、Integration Connector から Google Cloud VPC でホストされているサービスへのプライベートネットワーク接続の設定を示しています。

Google Cloud VPC 内のバックエンドサービスへのプライベート接続を設定するには、次の操作を行います。

PSC サービスアタッチメントを作成する

Integration Connectors からのプライベート接続を確立するには、PSC サービスアタッチメントを使用して、サービスが Integration Connectors に公開されている必要があります。サービスアタッチメントは常にロードバランサを使用します。したがって、サービスがロードバランサの背後にない場合は、ロードバランサを構成する必要があります。

ヘルスチェックプローブを作成し、プローブからのトラフィックを許可します。
1. ヘルスチェックプローブを作成します。
```
gcloud compute health-checks create tcp HEALTH_CHECK_NAME --port BACKEND_SERVER_PORT --region=REGION
```
  このコマンドでは、BACKEND_SERVER_PORT を 3306 に設定します。これは、MySQL サーバーが実行されるデフォルトのポートです。
2. プローブからのトラフィックを許可するファイアウォールルールを作成します。
```
gcloud compute firewall-rules create VPC_NETWORK-allow-health-check --direction=INGRESS --priority=1000 --network=VPC_NETWORK --allow=tcp:BACKEND_SERVER_PORT --source-ranges=35.191.0.0/16,130.211.0.0/22
```

L4 内部ロードバランサを作成し、ロードバランサからのトラフィックを許可します。

バックエンドサービスを作成します。

gcloud compute backend-services create BACKEND_SERVICE --load-balancing-scheme=internal --protocol=tcp --health-checks=HEALTH_CHECK_NAME --health-checks-region=REGION

バックエンドサービスにインスタンスグループを追加します。

gcloud compute backend-services add-backend BACKEND_SERVICE --instance-group=INSTANCE_GROUP_NAME --instance-group-zone=ZONE

転送ルールを作成します。

gcloud compute forwarding-rules create FORWARDING_RULE_NAME --load-balancing-scheme=internal --network=VPC_NETWORK --subnet=SUBNET_NAME_2 --ip-protocol=TCP --ports=BACKEND_SERVER_PORT --backend-service=BACKEND_SERVICE --backend-service-region=REGION

ロードバランサからインスタンスグループへの内部トラフィックを許可するファイアウォールルールを作成します。

gcloud compute firewall-rules create VPC_NETWORK-allow-internal --direction=INGRESS --priority=1000 --network=VPC_NETWORK --action=ALLOW --rules=all --source-ranges=SUBNET_RANGE_2

サービスアタッチメントを作成します。

PSC NAT のサブネットを作成します。次のコマンドを実行すると、psc-nat-subnet1 という名前のサブネットが作成されます。目的は PRIVATE_SERVICE_CONNECT です。
```
gcloud compute networks subnets create psc-nat-subnet1 \
          --network=VPC_NETWORK --range=SUBNET_RANGE_1 \
          --purpose=PRIVATE_SERVICE_CONNECT
```

PSC NAT からロードバランサへのトラフィックを許可するファイアウォールルールを作成します。

gcloud compute network-firewall-policies rules create PRIORITY --firewall-policy FIREWALL_POLICY_NAME_SA \
    --direction=INGRESS  --network=VPC_NETWORK \
    --action=allow --allow=tcp:BACKEND_SERVER_PORT --src-ip-ranges=SUBNET_RANGE_1

明示的な承認を使用してサービスアタッチメントを作成します。

gcloud compute service-attachments create SERVICE_ATTACHMENT_NAME --producer-forwarding-rule=FORWARDING_RULE_NAME  --connection-preference=ACCEPT_MANUAL --consumer-accept-list=SERVICE_DIRECTORY_PROJECT_ID=LIMIT --nat-subnets=psc-nat-subnet1

このコマンドでは、LIMIT はプロジェクトの接続上限です。接続上限は、このサービスに接続できるコンシューマ PSC エンドポイントの数になります。SERVICE_DIRECTORY_PROJECT_ID を取得する手順は次のとおりです。

指定した Google Cloud プロジェクトからのリクエストのみを受け入れるように PSC サービスアタッチメントを作成できます。ただし、これを行うには、Google Cloud プロジェクトに関連付けられているサービスディレクトリのプロジェクト ID が必要です。サービスディレクトリのプロジェクト ID を取得するには、次の例に示すように List Connections API を使用できます。

構文

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/CONNECTORS_PROJECT_ID/locations/-/connections"

次のように置き換えます。

CONNECTORS_PROJECT_ID: 接続を作成した Google Cloud プロジェクトの ID。

例

この例では、connectors-test Google Cloud プロジェクトのサービスディレクトリのプロジェクト ID を取得します。

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/connectors-test/locations/-/connections"

ターミナルでこのコマンドを実行すると、次のような出力が表示されます。

.....
{
  "connections": [
    {
      "name": "projects/connectors-test/locations/asia-northeast1/connections/big-query-iam-invalid-sa",
      "createTime": "2022-10-07T09:02:31.905048520Z",
      "updateTime": "2022-10-07T09:22:39.993778690Z",
      "connectorVersion": "projects/connectors-test/locations/global/providers/gcp/connectors/bigquery/versions/1",
      "status": {
        "state": "ACTIVE"
      },
      "configVariables": [
        {
          "key": "project_id",
          "stringValue": "connectors-test"
        },
        {
          "key": "dataset_id",
          "stringValue": "testDataset"
        }
      ],
      "authConfig": {},
      "serviceAccount": "564332356444-compute@developer.gserviceaccount.com",
      "serviceDirectory": "projects/abcdefghijk-tp/locations/asia-northeast1/namespaces/connectors/services/runtime",
      "nodeConfig": {
        "minNodeCount": 2,
        "maxNodeCount": 50
      }
    },
....

サンプル出力では、connectors-test Google Cloud プロジェクトの場合、サービスディレクトリのプロジェクト ID は abcdefghijk-tp です。

PSC サービスアタッチメントを作成したら、PSC サービスアタッチメントを使用するエンドポイントアタッチメントを作成します。詳細については、エンドポイントアタッチメントを作成するをご覧ください。

異なる Google Cloud プロジェクトのプライベート接続

このセクションでは、バックエンドサービスと PSC サービスアタッチメントが異なる Google Cloud プロジェクトまたは VPC にある場合にプライベート接続を確立する方法について説明します。

次の画像は、PSC サービスアタッチメントとバックエンドサービスが異なる Google Cloud プロジェクトにあるプライベートネットワーク接続の設定を示しています。

異なる Google Cloud プロジェクトのプライベート接続を設定するには、次の操作を行います。

プライベート接続を構成する

プライベート接続を構成する手順は次のとおりです。

ロードバランサを作成する。すでにロードバランサがある場合は、この手順をスキップします。
1. ゾーン NEG を作成する詳細については、ゾーン NEG を作成するをご覧ください。
2. ゾーン NEG をバックエンドとして追加し、次のルールを作成します。
  1. 転送ルールを作成します。
```
gcloud compute forwarding-rules create FORWARDING_RULE_NAME \
--load-balancing-scheme=internal --network=VPC_NETWORK --subnet=SUBNET_NAME_2 \
--ip-protocol=TCP --ports=BACKEND_SERVER_PORT --backend-service=BACKEND_SERVICE \
--backend-service-region=REGION
```
  2. ロードバランサからインスタンスグループへの内部トラフィックを許可するファイアウォールルールを作成します。
```
gcloud compute firewall-rules create FIREWALL_RULE_NAME_INTERNAL \
--direction=INGRESS --priority=1000 --network=VPC_NETWORK \
--action=ALLOW --rules=all --source-ranges=SUBNET_RANGE_2
```

サービスアタッチメントを作成します。

PSC NAT のサブネットを作成します。次のコマンドを実行すると、psc-nat-subnet1 という名前のサブネットが作成されます。目的は PRIVATE_SERVICE_CONNECT です。
```
gcloud compute networks subnets create psc-nat-subnet1 \
          --network=VPC_NETWORK --range=SUBNET_RANGE_1 \
          --purpose=PRIVATE_SERVICE_CONNECT
```

PSC NAT からロードバランサへのトラフィックを許可するファイアウォールルールを作成します。

gcloud compute network-firewall-policies rules create PRIORITY --firewall-policy FIREWALL_POLICY_NAME_SA \
    --direction=INGRESS  --network=VPC_NETWORK \
    --action=allow --allow=tcp:BACKEND_SERVER_PORT --src-ip-ranges=SUBNET_RANGE_1

明示的な承認を使用してサービスアタッチメントを作成します。

gcloud compute service-attachments create SERVICE_ATTACHMENT_NAME --producer-forwarding-rule=FORWARDING_RULE_NAME  --connection-preference=ACCEPT_MANUAL --consumer-accept-list=SERVICE_DIRECTORY_PROJECT_ID=LIMIT --nat-subnets=psc-nat-subnet1

構文

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/CONNECTORS_PROJECT_ID/locations/-/connections"

次のように置き換えます。

CONNECTORS_PROJECT_ID: 接続を作成した Google Cloud プロジェクトの ID。

例

この例では、connectors-test Google Cloud プロジェクトのサービスディレクトリのプロジェクト ID を取得します。

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/connectors-test/locations/-/connections"

ターミナルでこのコマンドを実行すると、次のような出力が表示されます。

.....
{
  "connections": [
    {
      "name": "projects/connectors-test/locations/asia-northeast1/connections/big-query-iam-invalid-sa",
      "createTime": "2022-10-07T09:02:31.905048520Z",
      "updateTime": "2022-10-07T09:22:39.993778690Z",
      "connectorVersion": "projects/connectors-test/locations/global/providers/gcp/connectors/bigquery/versions/1",
      "status": {
        "state": "ACTIVE"
      },
      "configVariables": [
        {
          "key": "project_id",
          "stringValue": "connectors-test"
        },
        {
          "key": "dataset_id",
          "stringValue": "testDataset"
        }
      ],
      "authConfig": {},
      "serviceAccount": "564332356444-compute@developer.gserviceaccount.com",
      "serviceDirectory": "projects/abcdefghijk-tp/locations/asia-northeast1/namespaces/connectors/services/runtime",
      "nodeConfig": {
        "minNodeCount": 2,
        "maxNodeCount": 50
      }
    },
....

サンプル出力では、connectors-test Google Cloud プロジェクトの場合、サービスディレクトリのプロジェクト ID は abcdefghijk-tp です。

サービスアタッチメントで Integration Connectors プロジェクトを許可リストに登録する

構文

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/CONNECTORS_PROJECT_ID/locations/-/connections"

次のように置き換えます。

CONNECTORS_PROJECT_ID: 接続を作成した Google Cloud プロジェクトの ID。

例

この例では、connectors-test Google Cloud プロジェクトのサービスディレクトリのプロジェクト ID を取得します。

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/connectors-test/locations/-/connections"

ターミナルでこのコマンドを実行すると、次のような出力が表示されます。

.....
{
  "connections": [
    {
      "name": "projects/connectors-test/locations/asia-northeast1/connections/big-query-iam-invalid-sa",
      "createTime": "2022-10-07T09:02:31.905048520Z",
      "updateTime": "2022-10-07T09:22:39.993778690Z",
      "connectorVersion": "projects/connectors-test/locations/global/providers/gcp/connectors/bigquery/versions/1",
      "status": {
        "state": "ACTIVE"
      },
      "configVariables": [
        {
          "key": "project_id",
          "stringValue": "connectors-test"
        },
        {
          "key": "dataset_id",
          "stringValue": "testDataset"
        }
      ],
      "authConfig": {},
      "serviceAccount": "564332356444-compute@developer.gserviceaccount.com",
      "serviceDirectory": "projects/abcdefghijk-tp/locations/asia-northeast1/namespaces/connectors/services/runtime",
      "nodeConfig": {
        "minNodeCount": 2,
        "maxNodeCount": 50
      }
    },
....

サンプル出力では、connectors-test Google Cloud プロジェクトの場合、サービスディレクトリのプロジェクト ID は abcdefghijk-tp です。

PSC サービスアタッチメントで Integration Connectors プロジェクトを許可リストに登録したら、PSC サービスアタッチメントを使用するエンドポイントアタッチメントを作成します。詳細については、エンドポイントアタッチメントを作成するをご覧ください。

エンドポイントアタッチメントを作成する

IP アドレスとしてのエンドポイントアタッチメント

エンドポイントアタッチメントを IP アドレスとして作成する手順については、エンドポイントアタッチメントを IP アドレスとして作成するをご覧ください。

エンドポイントアタッチメントをホスト名として使用

TLS 対応のバックエンドなど、特定のケースでは、宛先で TLS 検証を行うために、プライベート IP ではなくホスト名を使用する必要があります。ホスト宛先として IP アドレスの代わりに限定公開 DNS を使用する場合は、エンドポイントアタッチメントを IP アドレスとして作成するだけでなく、マネージドゾーンも構成する必要があります。エンドポイントアタッチメントをホスト名として作成する方法については、エンドポイントアタッチメントをホスト名として作成するをご覧ください。

後で、エンドポイントアタッチメントを使用するように接続を構成するときに、このエンドポイントアタッチメントを選択できます。

エンドポイントアタッチメントを使用するように接続を構成する

エンドポイントアタッチメントを作成したので、接続でエンドポイントアタッチメントを使用します。新しい接続を作成するか、既存の接続を更新する場合は、[宛先] セクションで [宛先の種類] として [エンドポイントアタッチメント] を選択し、[エンドポイントアタッチメント] リストから作成したエンドポイントアタッチメントを選択します。

マネージドゾーンを作成した場合は、[宛先の種類] として [ホストアドレス] を選択し、マネージドゾーンの作成時に作成した A レコードを使用します。

トラブルシューティングのヒント

プライベート接続に問題がある場合は、このセクションに記載されているガイドラインに沿って、一般的な問題を回避してください。

エンドポイントアタッチメントが正しく設定され、PSC 接続が確立されていることを確認するには、接続ステータスを確認します。詳細については、エンドポイントアタッチメント接続を確認するをご覧ください。
ファイアウォールルールが次のように構成されていることを確認します。
- PSC サービスアタッチメントのサブネットからのトラフィックがバックエンドサービスに到達することが許可されている必要があります。
- ロードバランサは、バックエンドサービスにトラフィックを送信できる必要があります。
  - パススルーロードバランサ（L4 TCP/UDP ILB） PSC サービスアタッチメントの NAT IP からのリクエストがバックエンドに到達できる必要があります。これらの NAT IP は PSC NAT サブネット範囲から自動的に割り振られるため、サービスアタッチメントが存在する NAT サブネットの IP 範囲全体を許可する必要があります。PSC NAT サブネットを確認するには、次のコマンドを使用します。
```
gcloud compute networks subnets list --project=PROJECT_ID --region=REGION --filter="purpose=PRIVATE_SERVICE_CONNECT"
```
  - プロキシベース/HTTP(S) ロードバランサ（L4 プロキシ ILB、L7 ILB）プロキシロードバランサからのリクエストは、リージョンのプロキシ専用サブネットから送信されます。したがって、プロキシ専用サブネット範囲からのリクエストがバックエンドに到達できるように、ファイアウォールルールを構成する必要があります。プロキシ専用サブネットを見つけるには、次のコマンドを使用します。
```
gcloud compute networks subnets list --project=PROJECT_ID --region=REGION --filter="purpose=REGIONAL_MANAGED_PROXY"
```
  - ヘルスチェックプローブはバックエンドシステムにアクセスできる必要があります。Google Cloud ヘルスチェックプローブには固定の IP 範囲（35.191.0.0/16, 130.211.0.0/22）があります。そのため、これらの IP アドレスはバックエンドサーバーへのトラフィックの送信を許可されている必要があります。
- Google Cloud 接続テストを使用すると、ネットワーク構成のギャップを特定できます。詳細については、接続テストを作成して実行するをご覧ください。

Google Cloud VPC のネットワーク接続

考慮事項

Google Cloud VPC 内のバックエンド サービスへのプライベート接続

PSC サービス アタッチメントを作成する

構文

例

異なる Google Cloud プロジェクトのプライベート接続

プライベート接続を構成する

構文

例

サービス アタッチメントで Integration Connectors プロジェクトを許可リストに登録する

構文

例

エンドポイント アタッチメントを作成する

エンドポイント アタッチメントを使用するように接続を構成する

トラブルシューティングのヒント

Google Cloud VPC 内のバックエンドサービスへのプライベート接続

PSC サービスアタッチメントを作成する

サービスアタッチメントで Integration Connectors プロジェクトを許可リストに登録する

エンドポイントアタッチメントを作成する

エンドポイントアタッチメントを使用するように接続を構成する