É possível usar o Private Service Connect para acessar uma instância de IP privado do Looker (Google Cloud Core) ou conectar uma instância de IP privado do Looker (Google Cloud Core) a outros serviços internos ou externos. Para usar o Private Service Connect, sua instância do Looker (Google Cloud Core) precisa atender aos seguintes critérios:
- As edições de instância precisam ser Enterprise (
core-enterprise-annual) ou Incorporar (core-embed-annual). - A configuração de rede da instância precisa usar apenas IP particular.
- O Private Service Connect precisa ser ativado na criação da instância.
O Private Service Connect permite o acesso de norte para sul ao Looker (Google Cloud Core) usando endpoints ou back-ends. Os grupos de endpoints de rede (NEGs, na sigla em inglês), quando expostos como produtores de serviços do Private Service Connect, permitem que o Looker (Google Cloud Core) acesse recursos no local do southbound, ambientes multicloud, cargas de trabalho da VPC ou serviços da Internet.
Para saber mais sobre o Private Service Connect, assista os vídeos O que é o Private Service Connect? e Private Service Connect e diretório de serviços: uma revolução para conectar seu aplicativo no Cloud.
Anexo de serviço
Quando você cria uma instância do Looker (Google Cloud Core) que está ativada para usar o Private Service Connect, o Looker (Google Cloud Core) cria automaticamente um anexo de serviço para a instância. Um anexo de serviço é um ponto de anexo que as redes VPC usam para acessar a instância. O anexo de serviço tem um URI, que é usado para fazer conexões. Esse URI está na guia Detalhes da página de configuração da instância no console do Google Cloud.
Em seguida, crie um endpoint ou back-end do Private Service Connect que outra rede VPC usa para se conectar ao anexo de serviço. Isso permite que a rede acesse a instância do Looker (Google Cloud Core).
Acesso na direção norte ao Looker (núcleo do Google Cloud) usando o Private Service Connect
O acesso Northbound se refere à configuração do roteamento de clientes para o Looker (Google Cloud Core). O Looker (núcleo do Google Cloud) implantado com o Private Service Connect oferece suporte a conexões de endpoint e back-end para acesso norte.
As instâncias do Looker (Google Cloud Core) do Private Service Connect podem ser acessadas pelos consumidores de serviços por um balanceador de carga de aplicativo regional externo ou de forma privada por um endpoint ou back-end do Private Service Connect. No entanto, o Looker (Google Cloud Core) oferece suporte a um único domínio personalizado. Portanto, o acesso de entrada a uma instância do Looker (Google Cloud Core) precisa ser público ou privado, não ambos.
Endpoints
Os endpoints são implantados usando regras de encaminhamento que fornecem ao consumidor de serviço um endereço IP mapeado para o serviço Private Service Connect, que oferece desempenho de rede de passagem e uma configuração simplificada.
Os endpoints do Private Service Connect podem se conectar a serviços publicados em uma organização ou rede VPC separada.
Back-ends
Os back-ends são implantados usando grupos de endpoints de rede (NEGs), que permitem que os consumidores direcionem o tráfego público e privado para o balanceador de carga antes que ele chegue a um serviço do Private Service Connect. Eles também oferecem o encerramento do certificado. Com um balanceador de carga, os back-ends oferecem as seguintes opções:
- Observabilidade (cada conexão é registrada)
- Integração com o Cloud Armor
- Marcação particular de URL e certificados do lado do cliente
- Decoração de solicitação (adição de cabeçalhos de solicitação personalizados)
Acessar serviços do Looker (Google Cloud Core) na direção sul usando o Private Service Connect
O Looker (núcleo do Google Cloud) atua como um consumidor de serviços ao estabelecer a comunicação com outros serviços na VPC, na rede multicloud ou na Internet. A conexão com esses serviços do Looker (núcleo do Google Cloud) é considerada tráfego no sentido sul.
Para se conectar a esses serviços, siga estas etapas:
- Confirme que o serviço foi publicado. Alguns serviços do Google Cloud podem cuidar disso para você. Por exemplo, o Cloud SQL oferece uma maneira de criar uma instância com o Private Service Connect ativado. Caso contrário, siga as instruções para publicar um serviço usando o Private Service Connect e consulte as orientações adicionais nas instruções do Looker (Google Cloud Core).
- Especifique a conexão de saída (egress) do Looker (Google Cloud Core) para o serviço.
É possível usar NEGs de conectividade híbrida ou da Internet ao acessar serviços com o Private Service Connect:
Um NEG de conectividade híbrida fornece acesso a endpoints particulares, como endpoints locais ou de várias nuvens. Um NEG de conectividade híbrida é uma combinação de um endereço IP e uma porta configurados como back-end para um balanceador de carga. Ele é implantado na mesma VPC do Cloud Router. Essa implantação permite que os serviços em sua VPC alcancem endpoints roteáveis por meio de conectividade híbrida, como o Cloud VPN ou o Cloud Interconnect.
Um NEG da Internet fornece acesso a endpoints públicos, por exemplo, um endpoint do GitHub. Um NEG da Internet especifica um back-end externo para o balanceador de carga. Esse back-end externo referenciado pelo NEG da Internet é acessível pela Internet.
É possível estabelecer uma conexão sul do Looker (Google Cloud Core) com os produtores de serviços em qualquer região. Por exemplo, se você tiver instâncias do Private Service Connect do Cloud SQL nas regiões us-west1 e us-east4, será possível criar uma conexão sul a partir de uma instância do Private Service Connect do Looker (Google Cloud Core) implantada em us-central1.
Os dois anexos de serviço regionais com nomes de domínio exclusivos serão especificados da seguinte maneira. As flags --region se referem à região da instância do Private Service Connect do Looker (Google Cloud Core), enquanto as regiões das instâncias do Cloud SQL são incluídas nos URIs de anexo de serviço:
gcloud looker instances update looker-psc-instance \ --psc-service-attachment domain=sql.database1.com,attachment=projects/123/regions/us-west1/serviceAttachments/sql-database1-svc-attachment --region=us-central1 \ --psc-service-attachment domain=sql.database2.com,attachment=projects/123/regions/us-east4/serviceAttachment/sql-database2-svc-attachment --region=us-central1
O acesso vinculado ao sul a serviços não gerenciados que não são do Google exige que você ative o acesso global ao balanceador de carga do produtor para permitir a comunicação entre regiões.
A seguir
- Criar uma instância do Private Service Connect do Looker (Google Cloud Core)
- Acessar uma instância do Looker (Google Cloud Core) usando o Private Service Connect