このページは Cloud Translation API によって翻訳されました。

プライベートネットワーク接続

このページでは、バックエンドアプリケーションにプライベートに接続するように Integration Connectors を構成する方法について説明します。次のコンセプトを理解していることを前提としています。

Integration Connector は、プライベートネットワークでホストされているバックエンドへの接続をサポートしています。プライベート接続を有効にするには、Private Service Connect（PSC）を使用する必要があります。PSC を使用すると、異なるネットワーク間でサービスをプライベートに接続できます。

Integration Connectors の場合、ネットワークの観点から、ユーザーはサービスプロデューサーであり、Integration Connectors はサービスコンシューマです。サービスプロデューサーは、Integration Connectors がサービスを使用する際に使用できる PSC サービスアタッチメントを構成する必要があります。サービスアタッチメントの準備ができたら、エンドポイントアタッチメントを使用してサービスアタッチメントを使用するように接続を構成できます。

エンドポイントアタッチメント

エンドポイントアタッチメントは、PSC サービスアタッチメントを介してバックエンドアプリケーションとの接続を確立できるようにする Integration Connectors リソースです。

次の図は、PSC サービスアタッチメントを介してバックエンドアプリケーションとの接続を確立する接続を可能にするエンドポイントアタッチメントを示しています。

エンドポイントアタッチメントは、IP アドレスまたはホスト名として作成できます。

エンドポイントアタッチメントを IP アドレスとして作成する
エンドポイントアタッチメントをホスト名として作成する

エンドポイントアタッチメントを IP アドレスとして作成する

エンドポイントアタッチメントを IP アドレスとして作成するには、Cloud コンソールまたはコマンドライン（gcloud）を使用します。

エンドポイントアタッチメントを作成するには、roles/connectors.admin IAM ロールまたは roles/connectors.endpointAttachmentsAdmin IAM ロールで使用可能な connectors.endpointAttachments.create 権限が必要です。Integration Connectors で使用できるさまざまな IAM ロールとそれに対応する権限については、Integration Connectors の IAM ロールと権限をご覧ください。

Console

Cloud コンソールからエンドポイントアタッチメントを作成するには、次の操作を行います。

Integration Connectors の [エンドポイントアタッチメント] ページを開きます。
[エンドポイントアタッチメント] に移動
[作成] をクリックします。[エンドポイントアタッチメントを作成] ページが開きます。
次のフィールドに値を入力します。
- 名前: エンドポイントアタッチメントの名前を入力します。名前は一意である必要があります。同じ名前のエンドポイントアタッチメントは他に存在しないため、後で名前を変更することはできません。名前は先頭を小文字にして、その後に 63 文字以下の小文字、数字、ハイフンで構成します。末尾をハイフンにすることはできません。最小の長さは 2 です。
- サービスアタッチメント ID: すでに作成した PSC サービスアタッチメントの名前。
  注: Google Cloud プロジェクトに関連付けられたサービスディレクトリのプロジェクト ID を取得してから、サービスアタッチメントでそのプロジェクト ID を許可リストに登録する必要があります。
- （省略可）説明: エンドポイントアタッチメントの説明を入力します。
- （省略可）ラベル: リソースラベルを Key-Value ペアとして入力します。ラベルの詳細については、ラベルとはをご覧ください。
- （省略可）エンドポイントグローバルアクセスを有効にする: 任意のリージョンに存在する接続からバックエンドにトラフィックを送信する場合は、このオプションを選択します。
  デフォルトでは、エンドポイントアタッチメントで、接続とバックエンドの両方が同じリージョンにある必要があります。したがって、エンドポイントでグローバルアクセスを有効にすると、任意のリージョンにある接続からバックエンドにトラフィックを送信できます。
  注:
  - このオプションを有効にしても DRZ コンプライアンスには影響しません。マネージドゾーンは引き続きリージョンになります。
  - このオプションが機能するには、ロードバランサのグローバルアクセスが有効になっていることを確認します。または、内部パススルーロードバランサを使用している場合は、グローバルアクセスがデフォルトで有効になっているため、明示的に有効にする必要はありません。詳細については、グローバルアクセスを有効にすると機能と互換性をご覧ください。
[作成] をクリックします。

[IP アドレス] 列には、エンドポイントアタッチメントの IP アドレスを指定します。プライベート接続用のコネクタを構成するときに、この IP アドレスを使用する必要があります。

gcloud

コマンドラインからエンドポイントアタッチメントを作成するには、次の操作を行います。

PSC サービスアタッチメントリソースを取得します。
```
gcloud compute service-attachments list
```
このコマンドは、サービスアタッチメントのリストを返します。次のような例になります。
```
  NAME       REGION   TARGET_SERVICE                                       CONNECTION_PREFERENCE
  demo-sa us-west1 k8s2-tcp-tgysilgj-apps-ingressgateway-fzdhwstg ACCEPT_AUTOMATIC
```
このサービスアタッチメント情報は、後続のステップで必要になります。
CreateEndpointAttachment API を実行する前に、認証トークンを取得します。
```
TOKEN="$(gcloud auth print-access-token)"
```
CreateEndpointAttachment API を使用してエンドポイントアタッチメントを作成します。次に例を示します。
```
curl -X POST -H "Authorization: Bearer $TOKEN" \
       -H "Content-Type: application/json" \
       -d '{
      "name": "projects/PROJECT_ID/locations/LOCATION/endpointAttachments/ENDPOINT_ATTACHMENT_NAME",
      "serviceAttachment": "projects/demo/serviceAttachments/?SERVICE_ATTACHMENT_NAME"
    }' \
       https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/endpointAttachments?endpointAttachmentId=ENDPOINT_ATTACHMENT_NAME
  
```
ここで
- LOCATION は、サービスアタッチメントのリージョンです。例: us-west1
- PROJECT_ID は、PSC サービスアタッチメントを作成した Google Cloud プロジェクトです。
- ENDPOINT_ATTACHMENT_NAME は、エンドポイントアタッチメントの名前です。名前は一意である必要があります。同じ名前のエンドポイントアタッチメントは他に存在しないため、後で名前を変更することはできません。名前は先頭を小文字にして、その後に 31 文字以下の小文字、数字、ハイフンで構成します。末尾をハイフンにすることはできません。最小の長さは 2 です。
- SERVICE_ATTACHMENT_NAME: サービスアタッチメントの名前。前に実行した gcloud compute service-attachments list コマンドで返された PSC サービスアカウント名を使用します。
API を呼び出すと、Integration Connectors は長時間実行オペレーションを開始します。オペレーションの完了には時間がかかることがあります。オペレーションが正常に完了すると、エンドポイントアタッチメントが作成されます。
Google Cloud プロジェクトに関連付けられたサービスディレクトリのプロジェクト ID を取得してから、サービスアタッチメントでそのプロジェクト ID を許可リストに登録する必要があります。

GetEndpointAttachment API を使用して、エンドポイントアタッチメントが作成されたかどうかを確認します。次に例を示します。

curl -X GET -H "Authorization: Bearer $TOKEN" \
    https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/us-central1/endpointAttachments/ENDPOINT_ATTACHMENT_NAME

API により、次のようなレスポンスが返されます。

{
    "name": "projects/demo-project/locations/us-central1/endpointAttachments/demo-ea",
    "createTime": "2023-04-17T04:34:59.569527046Z",
    "updateTime": "2023-04-17T04:37:25.189074195Z",
    "description": "demo endpoint attachment",
    "serviceAttachment": "projects/demo-project/regions/us-central1/serviceAttachments/demo-sa",
    "endpointIp": "10.0.0.0",
    "labels": {"team":"sre"},
  }

エンドポイントアタッチメントの IP アドレスは、endpointIp フィールドで確認できます。このサンプルレスポンスでは、IP アドレスは 10.0.0.0 です。この IP アドレスは、プライベート接続用のコネクタを構成するときに使用します。

エンドポイントアタッチメントの作成が成功すると、次の図に示すように、新しく作成されたアタッチメントが [エンドポイントアタッチメント] ページに表示されます。

ここまでの手順では、エンドポイントアタッチメントを IP アドレスとして作成する方法について説明しました。ただし、エンドポイントアタッチメントをホスト名として作成し、そのホスト名を使用してプライベート接続のコネクタを構成することもできます。ホスト名を使用してエンドポイントアタッチメントを作成する方法については、エンドポイントアタッチメントをホスト名として作成するをご覧ください。

エンドポイントアタッチメントをホスト名として作成する

エンドポイントアタッチメントをホスト名として作成するには、次の操作を行います。

エンドポイントアタッチメントを IP アドレスとして作成します。詳細については、エンドポイントアタッチメントを IP アドレスとして作成するをご覧ください。
任意の Google Cloud プロジェクトに Cloud DNS 限定公開マネージドゾーンを作成します。
この DNS ゾーンに、コネクタ構成に使用するホスト名を追加し、ホスト名をステップ 1 で取得したエンドポイントアタッチメント IP アドレスにマッピングする必要があります。Cloud DNS 限定公開マネージドゾーンの作成方法については、限定公開ゾーンを作成するとレコードを追加するをご覧ください。
Integration Connectors に使用する Integration Connectors マネージドゾーンを Google Cloud プロジェクトに作成します。Integration Connectors マネージドゾーン（ピアリングゾーン）は、名前解決のために Cloud DNS 限定公開マネージドゾーン（手順 2 で作成）と通信します。

マネージドゾーンを作成する前に、次のロールと権限を付与する必要があります。
- Integration Connectors マネージドゾーンを作成するユーザーに connectors.managedZones.create 権限を付与します。
  connectors.managedZones.create 権限は、roles/connectors.admin IAM ロールまたは roles/connectors.managedZonesAdmin IAM ロールで使用できます。Integration Connectors で使用可能なさまざまな IAM ロールとそれに対応する権限については、Integration Connectors の IAM ロールと権限をご覧ください。
- Integration Connectors service-PROJECT_NUMBER@gcp-sa-connectors.iam.gserviceaccount.com サービスアカウントに role/dns.peer ロールを付与します。
  Cloud DNS Google Cloud プロジェクトが Integration Connectors Google Cloud プロジェクトと異なる場合は、Cloud DNS Google Cloud プロジェクトの Integration Connectors サービスアカウントに roles/dns.peer ロールを付与します。たとえば、Google Cloud プロジェクト 12345 に Integration Connectors マネージドゾーンを作成し、Cloud DNS が Google Cloud プロジェクト 67890 にあるとします。この場合、Google Cloud プロジェクト 67890 の service-12345@gcp-sa-connectors.iam.gserviceaccount.com サービスアカウントに roles/dns.peer ロールを付与する必要があります。
Integration Connectors マネージドゾーンを作成するには、Cloud コンソールまたはコマンドライン（gcloud）を使用します。
Console

Cloud コンソールから Integration Connectors マネージドゾーンを作成するには、次の操作を行います。
1. Integration Connectors の [マネージドゾーン] ページに移動します。
  [マネージドゾーン] に移動
2. 次のフィールドに値を入力します。
  1. 名前: マネージドゾーンの名前。
  2. ターゲット DNS 名: マネージド（ピアリング）ゾーンを作成する Cloud DNS の完全名。たとえば、server8.stage.user.private です。
  3. ターゲットプロジェクト: 限定公開 Cloud DNS ゾーンがある Google Cloud プロジェクトの名前。
  4. ターゲットネットワーク: 限定公開 Cloud DNS ゾーンが維持されている VPC ネットワークの名前。
  5. （省略可）説明: エンドポイントアタッチメントの説明を入力します。
  6. （省略可）ラベル: リソースラベルを Key-Value ペアとして入力します。ラベルの詳細については、ラベルとはをご覧ください。
3. [作成] をクリックします。
gcloud

コマンドラインから Integration Connectors マネージドゾーンを作成するには、次の操作を行います。
1. CreateManagedZone API を実行する前に、認証トークンを取得します。
  TOKEN="$(gcloud auth print-access-token)"
2. CreateManagedZone API を使用してマネージドゾーンを作成します。例:
  curl -X POST -H "Authorization: Bearer $TOKEN" \ -H "Content-Type: application/json" \ -d '{ "description": "DESCRIPTION", "dns": "DNS_NAME", "target_project": "TARGET_PROJECT", "target_vpc": "TARGET_VPC" }' \ https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/managedZones?managedZoneId=MANAGED_ZONE_NAME
  ここで
  - DESCRIPTION は、オプションのマネージドゾーンの説明です。
  - DNS_NAME: マネージド（ピアリング）ゾーンを作成する Cloud DNS の完全名。たとえば、server8.stage.user.private です。
  - TARGET_PROJECT は、限定公開 Cloud DNS ゾーンを持つ Google Cloud プロジェクトの名前です。
  - TARGET_NETWORK は、限定公開 Cloud DNS ゾーンが維持されている VPC ネットワークの名前です。
  - PROJECT_ID は、Integration Connectors に使用している Google Cloud プロジェクトです。
  - MANAGED_ZONE_NAME　はマネージドゾーンの名前です。名前は一意である必要があります。同じ名前のマネージドゾーンは他に存在しないため、後で名前を変更することはできません。名前は先頭を小文字にして、その後に 63 文字以下の小文字、数字、ハイフンで構成します。末尾をハイフンにすることはできません。最小の長さは 2 です。
  API を呼び出すと、Integration Connectors は長時間実行オペレーションを開始します。オペレーションの完了には時間がかかることがあります。オペレーションが正常に完了すると、マネージドゾーンが作成されます。
3. GetManagedZone API を使用して、マネージドゾーンが作成されたかどうかを確認します。次に例を示します。
  curl -X GET -H "Authorization: Bearer $TOKEN" \ https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/managedZones/MANAGED_ZONE_NAME
  API により、次のようなレスポンスが返されます。
  { "name": "projects/demo-project/locations/global/managedZones/demo-mz", "createTime": "2023-04-17T04:34:59.569527046Z", "updateTime": "2023-04-17T04:37:25.189074195Z", "description": "demo managed zone", "dns": "api.private.service.com.", "targetVpc": "target-project-vpc", "targetProject": "target-project" }

マネージドゾーンの作成が成功すると、次の図に示すように、新しく作成されたマネージドゾーンが [マネージドゾーン] ページに表示されます。

サービスアタッチメントで Integration Connectors プロジェクトを許可リストに登録する

指定した Google Cloud プロジェクトからのリクエストのみを受け入れるように PSC サービスアタッチメントを作成できます。ただし、これを行うには、Google Cloud プロジェクトに関連付けられているサービスディレクトリのプロジェクト ID が必要です。サービスディレクトリのプロジェクト ID を取得するには、次の例に示すように List Connections API を使用できます。

構文

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/CONNECTORS_PROJECT_ID/locations/-/connections"

次のように置き換えます。

CONNECTORS_PROJECT_ID: 接続を作成した Google Cloud プロジェクトの ID。

例

この例では、connectors-test Google Cloud プロジェクトのサービスディレクトリのプロジェクト ID を取得します。

curl -X GET \
    -H "authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://connectors.googleapis.com/v1/projects/connectors-test/locations/-/connections"

ターミナルでこのコマンドを実行すると、次のような出力が表示されます。

.....
{
  "connections": [
    {
      "name": "projects/connectors-test/locations/asia-northeast1/connections/big-query-iam-invalid-sa",
      "createTime": "2022-10-07T09:02:31.905048520Z",
      "updateTime": "2022-10-07T09:22:39.993778690Z",
      "connectorVersion": "projects/connectors-test/locations/global/providers/gcp/connectors/bigquery/versions/1",
      "status": {
        "state": "ACTIVE"
      },
      "configVariables": [
        {
          "key": "project_id",
          "stringValue": "connectors-test"
        },
        {
          "key": "dataset_id",
          "stringValue": "testDataset"
        }
      ],
      "authConfig": {},
      "serviceAccount": "564332356444-compute@developer.gserviceaccount.com",
      "serviceDirectory": "projects/abcdefghijk-tp/locations/asia-northeast1/namespaces/connectors/services/runtime",
      "nodeConfig": {
        "minNodeCount": 2,
        "maxNodeCount": 50
      }
    },
....

サンプル出力では、connectors-test Google Cloud プロジェクトの場合、サービスディレクトリのプロジェクト ID は abcdefghijk-tp です。

エンドポイントアタッチメントの接続を確認する

エンドポイントアタッチメントの接続を確認する手順は次のとおりです。

[エンドポイントアタッチメント] ページで、作成したエンドポイントアタッチメントの名前をクリックします。
表示された [エンドポイントアタッチメントの詳細] ページで、[接続状態] フィールドを確認します。状態が Accepted の場合、エンドポイントアタッチメントが正しく設定され、Private Service Connect 接続が確立されています。
その他のステータスの詳細については、接続ステータスをご覧ください。

エンドポイントアタッチメントを使用するように接続を構成する

Integration Connectors で新しい接続を作成するか、既存の接続を更新する場合は、[宛先] セクションで [宛先の種類] として [エンドポイントアタッチメント] を選択し、[エンドポイントアタッチメント] リストから作成したエンドポイントアタッチメントを選択します。

マネージドゾーンを作成した場合は、[宛先の種類] として [ホストアドレス] を選択し、マネージドゾーンの作成時に作成した A レコードを使用します。

さまざまなタイプのプライベートネットワークへの接続

Integration Connectors の限定公開接続は常に PSC サービスアタッチメントを介して行われますが、限定公開接続を確立する手順は環境によって若干異なります。以降のセクションでは、さまざまな環境でプライベート接続を確立する方法について説明します。

プライベート ネットワーク接続

エンドポイント アタッチメント

エンドポイント アタッチメントを IP アドレスとして作成する

Console

gcloud

エンドポイント アタッチメントをホスト名として作成する

Console

gcloud

サービス アタッチメントで Integration Connectors プロジェクトを許可リストに登録する

構文

例

エンドポイント アタッチメントの接続を確認する

エンドポイント アタッチメントを使用するように接続を構成する

さまざまなタイプのプライベート ネットワークへの接続

プライベートネットワーク接続

エンドポイントアタッチメント

エンドポイントアタッチメントを IP アドレスとして作成する

エンドポイントアタッチメントをホスト名として作成する

サービスアタッチメントで Integration Connectors プロジェクトを許可リストに登録する

エンドポイントアタッチメントの接続を確認する

エンドポイントアタッチメントを使用するように接続を構成する

さまざまなタイプのプライベートネットワークへの接続