本頁面由 Cloud Translation API 翻譯而成。

設定私人 IP

MySQL | PostgreSQL | SQL Server

本頁面說明如何設定 Cloud SQL 執行個體，以便使用私人 IP。

如需私人 IP 運作方式的相關資訊 (包括環境及管理需求)，請參閱私人 IP。

事前準備

API 和身分與存取權管理 (IAM) 需求

您必須為 Google Cloud 專案啟用 Service Networking API。

如果您使用的是共用虛擬私有雲網路，也必須為主專案啟用這個 API。

如要管理私人服務存取連線，使用者必須具備下列身分與存取權管理 (IAM) 權限。如果您沒有必要權限，可能會收到權限不足的錯誤訊息。
- compute.networks.list
- compute.addresses.create
- compute.addresses.list
- servicenetworking.services.addPeering
如果您使用共用虛擬私人雲端網路，也必須將使用者新增至主專案，並將相同的權限指派給主專案中的使用者。

私人服務存取權

在專案中建立新的虛擬私有雲 (VPC) 網路時，您需要設定私人服務存取權，以便分配 IP 位址範圍並建立私人服務連線。這樣一來，VPC 網路中的資源就能連線至 Cloud SQL 執行個體。 Google Cloud 控制台提供精靈，協助您設定這項設定。

將不同的 VPC 網路指派給具有私人 IP 位址的 PostgreSQL 適用的 Cloud SQL 執行個體，比將所有執行個體都連結至 default VPC 網路，可提供更佳的隔離效果。

設定執行個體使用私人 IP

您可以在建立 Cloud SQL 執行個體時，或針對現有執行個體，將該執行個體設定為使用私人 IP。

為新執行個體設定私人 IP

如要在建立執行個體時將 Cloud SQL 執行個體設定為使用私人 IP，請按照下列步驟操作：

主控台

前往 Google Cloud 控制台的「Cloud SQL 執行個體」頁面。

前往 Cloud SQL 執行個體
點選「建立執行個體」。
展開「Show configuration options」(顯示設定選項)。
展開「連線」。
選取「私人 IP」。
下拉式清單會顯示專案中可用的虛擬私有雲網路。如果您的專案是共用虛擬私有雲的服務專案，則也會顯示主專案的 VPC 網路。
選取要使用的 VPC 網路。

如果畫面上顯示需要設定私人服務連線的訊息，請按照下列步驟操作：

按一下「設定連線」。
在「Allocate an IP range」(分配 IP 範圍) 區段中，選取下列其中一個選項：
- 從下拉式選單中選取一或多個現有的 IP 範圍，或建立新 IP 範圍。下拉式選單會顯示先前分配的範圍 (如果有)，您也可以選取「Allocate a new IP range」(分配新的 IP 範圍)，然後輸入新的範圍和名稱。
- 在網路中使用系統自動分配的 IP 範圍。
注意： 您只能為主要執行個體指定位址範圍，而不能為讀取型複本或克隆指定。
按一下「繼續」。
點選「建立連線」。
確認畫面上顯示以下訊息：Private service connection for network VPC_NETWORK_NAME has been successfully created。

您可以選擇指定分配的 IP 範圍，讓執行個體用於連線。
1. 展開「顯示已分配的 IP 範圍」選項。
2. 從下拉式選單中選取 IP 範圍。
(非必要) 如果您想允許其他 Google Cloud 服務 (例如 BigQuery) 存取 Cloud SQL 中的資料，並透過私人 IP 連線查詢這項資料，請選取「啟用私人路徑」。
完成執行個體設定。
點選「建立執行個體」。

gcloud

建立使用私人 IP 的執行個體前，請確認專案已設定私人服務存取權。

使用任何要求資料之前，請先替換以下項目：

INSTANCE_ID：執行個體 ID
PROJECT_ID：專案 ID
NETWORK_PROJECT_ID：VPC 網路的專案 ID

注意： 如果虛擬私有雲網路是共用虛擬私有雲，PROJECT_ID 必須是共用 VPC 服務專案的 ID，而 NETWORK_PROJECT_ID 則必須是共用 VPC 主專案的 ID。
VPC_NETWORK_NAME：虛擬私有雲網路名稱
RANGE_NAME：選填。如果指定，則會設定 IP 範圍的範圍名稱。範圍名稱必須符合 RFC-1035 的規範，且長度介於 1 至 63 個字元之間。
DATABASE_VERSION：PostgreSQL 資料庫的版本 (例如 POSTGRES_14)
NUMBER_OF_CPU：CPU 數量
MEMORY_IN_GB：記憶體容量 (GB)
REGION_NAME：區域名稱

如要指定虛擬私有雲端網路名稱，請使用 --network 參數。如要停用公開 IP，請使用 --no-assign-ip 標記。

您也可以選擇使用 --enable-google-private-path 參數，允許 BigQuery 等其他 Google Cloud 服務存取 Cloud SQL 中的資料，並透過私人 IP 連線對這項資料執行查詢。只有在下列情況下，此參數才有效：

您可以使用 --no-assign-ip 參數。
您可以使用 --network 參數指定要用來建立私人連線的虛擬私有雲端網路名稱。

gcloud beta sql instances create INSTANCE_ID \
--project=PROJECT_ID \
--network=projects/NETWORK_PROJECT_ID/global/networks/VPC_NETWORK_NAME \
--no-assign-ip \
--allocated-ip-range-name=RANGE_NAME \
--enable-google-private-path \
--database-version=DATABASE_VERSION \
--cpu=NUMBER_OF_CPU \
--memory=MEMORY_IN_GB \
--region=REGION_NAME

Terraform

如要為新執行個體設定私人 IP，請使用下列 Terraform 資源：


resource "google_compute_network" "peering_network" {
  name                    = "private-network"
  auto_create_subnetworks = "false"
}

resource "google_compute_global_address" "private_ip_address" {
  name          = "private-ip-address"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 16
  network       = google_compute_network.peering_network.id
}

resource "google_service_networking_connection" "default" {
  network                 = google_compute_network.peering_network.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.private_ip_address.name]
}

resource "google_sql_database_instance" "default" {
  name             = "private-ip-sql-instance"
  region           = "us-central1"
  database_version = "POSTGRES_14"

  depends_on = [google_service_networking_connection.default]

  settings {
    tier = "db-custom-2-7680"
    ip_configuration {
      ipv4_enabled    = "false"
      private_network = google_compute_network.peering_network.id
    }
  }
}

resource "google_compute_network_peering_routes_config" "peering_routes" {
  peering              = google_service_networking_connection.default.peering
  network              = google_compute_network.peering_network.name
  import_custom_routes = true
  export_custom_routes = true
}

# [START  cloud_sql_postgres_instance_private_ip_dns]

## Uncomment this block after adding a valid DNS suffix

# resource "google_service_networking_peered_dns_domain" "default" {
#   name       = "example-com"
#   network    = google_compute_network.peering_network.id
#   dns_suffix = "example.com."
#   service    = "servicenetworking.googleapis.com"
# }

套用變更

如要在 Google Cloud 專案中套用 Terraform 設定，請完成下列各節中的步驟。

準備 Cloud Shell

啟動 Cloud Shell。
設定要套用 Terraform 設定的預設 Google Cloud 專案。

您只需為每個專案執行這個指令一次，而且可以在任何目錄中執行。
```
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
```
如果您在 Terraform 設定檔中設定明確的值，系統就會覆寫環境變數。

準備目錄

每個 Terraform 設定檔都必須有自己的目錄 (也稱為根模組)。

在 Cloud Shell 中建立目錄，並在該目錄中建立新檔案。檔案名稱必須包含 .tf 副檔名，例如 main.tf。在本教學課程中，檔案稱為 main.tf。
```
mkdir DIRECTORY && cd DIRECTORY && touch main.tf
```
如果您正在參考教學課程，可以複製各個章節或步驟中的程式碼範例。

將範例程式碼複製到新建立的 main.tf 中。

您可以視需要從 GitHub 複製程式碼。如果 Terraform 程式碼片段是端對端解決方案的一部分，建議您採用這種做法。
查看並修改要套用至環境的範例參數。
儲存變更。
初始化 Terraform。這項操作只需對每個目錄執行一次。
```
terraform init
```
如要使用最新版的 Google 供應器，請視需要加入 -upgrade 選項：
```
terraform init -upgrade
```

套用變更

檢查設定，並確認 Terraform 要建立或更新的資源是否符合您的預期：
```
terraform plan
```
視需要修正設定。
執行下列指令，並在提示中輸入 yes，即可套用 Terraform 設定：
```
terraform apply
```
等待 Terraform 顯示「Apply complete!」(套用完成) 訊息。
開啟 Google Cloud 專案即可查看結果。在 Google Cloud 控制台中，前往 UI 中的資源，確認 Terraform 已建立或更新這些資源。

刪除變更

如要刪除變更，請按照下列步驟操作：

如要停用防刪除功能，請在 Terraform 設定檔中將 deletion_protection 引數設為 false。
```
deletion_protection =  "false"
```
執行下列指令，並在提示中輸入 yes，即可套用更新的 Terraform 設定：
```
terraform apply
```

如要移除先前透過 Terraform 設定套用的資源，請執行下列指令，並在提示中輸入 yes：
```
terraform destroy
```

REST v1

建立含有私人 IP 位址的新執行個體：

使用任何要求資料之前，請先替換以下項目：

PROJECT_ID: 專案 ID
INSTANCE_ID: 執行個體 ID
VPC_NETWORK_NAME: 指定要用於此執行個體的虛擬私有雲 (VPC) 網路名稱。必須已針對網路設定私人服務存取權。
RANGE_NAME: 選填。如果指定，則會設定 IP 範圍的範圍名稱。範圍名稱必須符合 RFC-1035 的規範，且長度介於 1 至 63 個半形字元之間。
AUTHORIZED_NETWORKS: 針對公開 IP 連線，請指定可連線至執行個體的授權網路連線。

如果執行個體使用公開 IP 位址，請將 ipv4Enabled 參數的值設為 true；如果執行個體有私人 IP 位址，則設為 false。

如果將 enablePrivatePathForGoogleCloudServices 參數設為 true，即可允許 BigQuery 等其他 Google Cloud 服務存取 Cloud SQL 中的資料，並透過私人 IP 連線查詢這類資料。將這個參數設為 false 後，其他 Google Cloud 服務就無法透過私人 IP 連線存取 Cloud SQL 中的資料。

HTTP 方法和網址：

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

JSON 要求主體：

{
  "name": "INSTANCE_ID",
  "region": "region",
  "databaseVersion": "database-version",
  "settings": {
    "tier": "machine-type",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],
      
      "enablePrivatePathForGoogleCloudServices": true
      
    }
  }
}

如要傳送要求，請展開以下其中一個選項：

curl (Linux、macOS 或 Cloud Shell)

注意：以下指令假設您已使用使用者帳戶登入 gcloud CLI，方法是執行 gcloud init 或 gcloud auth login，或是使用 Cloud Shell，後者會自動登入 gcloud CLI。您可以執行 gcloud auth list 查看目前有效的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

PowerShell (Windows)

注意：下列指令假設您已透過執行 gcloud init 或 gcloud auth login 登入 gcloud CLI。您可以執行 gcloud auth list 查看目前有效的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

您應該會收到如下的 JSON 回應：

回應

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

REST v1beta4

建立含有私人 IP 位址的新執行個體：

使用任何要求資料之前，請先替換以下項目：

PROJECT_ID: 專案 ID
INSTANCE_ID: 執行個體 ID
VPC_NETWORK_NAME: 指定要用於此執行個體的虛擬私有雲 (VPC) 網路名稱。必須已針對網路設定私人服務存取權。
RANGE_NAME: 選填。如果指定，則會設定 IP 範圍的範圍名稱。範圍名稱必須符合 RFC-1035 的規範，且長度介於 1 至 63 個半形字元之間。
AUTHORIZED_NETWORKS: 針對公開 IP 連線，請指定可連線至執行個體的授權網路連線。

如果執行個體使用公開 IP 位址，請將 ipv4Enabled 參數的值設為 true；如果執行個體有私人 IP 位址，則設為 false。

HTTP 方法和網址：

POST https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances

JSON 要求主體：

{
  "name": "INSTANCE_ID",
  "region": "region",
  "databaseVersion": "database-version",
  "settings": {
    "tier": "machine-type",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],
      
      "enablePrivatePathForGoogleCloudServices": true
      
    }
  }
}

如要傳送要求，請展開以下其中一個選項：

curl (Linux、macOS 或 Cloud Shell)

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances"

PowerShell (Windows)

注意：下列指令假設您已透過執行 gcloud init 或 gcloud auth login 登入 gcloud CLI。您可以執行 gcloud auth list 查看目前有效的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances" | Select-Object -Expand Content

您應該會收到如下的 JSON 回應：

回應

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

為現有執行個體設定私人 IP

將現有 Cloud SQL 執行個體設定為使用私人 IP，會使執行個體重新啟動，進而造成停機。

如何將現有執行個體設定為使用私人 IP：

主控台

前往 Google Cloud 控制台的「Cloud SQL 執行個體」頁面。

前往 Cloud SQL 執行個體
如要開啟執行個體的「總覽」頁面，請按一下執行個體名稱。
在 Cloud SQL 導覽選單中，選取「連結」。
在「Networking」分頁中，勾選「Private IP」核取方塊。
下拉式清單會顯示專案中可用的網路。
選取要使用的 VPC 網路：

如果畫面顯示「Private service connection required」(必須使用私人服務連線)：

按一下「設定連線」。
在「Allocate an IP range」(分配 IP 範圍) 區段中，選擇下列其中一個選項：
- 從下拉式選單中選取一或多個現有的 IP 範圍，或建立新 IP 範圍。下拉式選單會顯示先前分配的範圍 (如果有)，您也可以選取「Allocate a new IP range」(分配新的 IP 範圍)，然後輸入新的範圍和名稱。
- 在網路中使用系統自動分配的 IP 範圍。
注意： 您只能為主要執行個體指定位址範圍，而不能為讀取型複本或克隆指定。
按一下「繼續」。
點選「建立連線」。
確認您看到「Private service connection for network VPC_NETWORK_NAME has been successfully created」狀態。

(非必要) 如果您想允許其他 Google Cloud 服務 (例如 BigQuery) 存取 Cloud SQL 中的資料，並透過私人 IP 連線對這項資料執行查詢，請選取「啟用私人路徑」核取方塊。
按一下 [儲存]。

gcloud

請確認專案已設定私人服務存取權。

使用 --network 參數指定所選虛擬私有雲網路的名稱，更新 Cloud SQL 執行個體。

gcloud beta sql instances patch INSTANCE_ID \
--project=PROJECT_ID \
--network=projects/NETWORK_PROJECT_ID/global/networks/VPC_NETWORK_NAME \
--no-assign-ip \
--enable-google-private-path

REST v1

建立含有私人 IP 位址的新執行個體：

使用任何要求資料之前，請先替換以下項目：

PROJECT_ID: 專案 ID
INSTANCE_ID: 執行個體 ID
VPC_NETWORK_NAME: 指定要用於此執行個體的虛擬私有雲 (VPC) 網路名稱。必須已針對網路設定私人服務存取權。
RANGE_NAME: 選填。如果指定，則會設定 IP 範圍的範圍名稱。範圍名稱必須符合 RFC-1035 的規範，且長度介於 1 至 63 個半形字元之間。
AUTHORIZED_NETWORKS: 針對公開 IP 連線，請指定可連線至執行個體的授權網路連線。

如果執行個體使用公開 IP 位址，請將 ipv4Enabled 參數的值設為 true；如果執行個體有私人 IP 位址，則設為 false。

如果將 enablePrivatePathForGoogleCloudServices 參數設為 true，即可允許 BigQuery 等其他 Google Cloud 服務存取 Cloud SQL 中的資料，並透過私人 IP 連線對這項資料執行查詢。將這個參數設為 false 後，其他 Google Cloud 服務就無法透過私人 IP 連線存取 Cloud SQL 中的資料。

HTTP 方法和網址：

PATCH https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID

JSON 要求主體：

{
  "settings":
  {
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],
      
      "enablePrivatePathForGoogleCloudServices": true
      
    }
  }
}

如要傳送要求，請展開以下其中一個選項：

curl (Linux、macOS 或 Cloud Shell)

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

PowerShell (Windows)

注意：下列指令假設您已透過執行 gcloud init 或 gcloud auth login 登入 gcloud CLI。您可以執行 gcloud auth list 查看目前有效的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

您應該會收到如下的 JSON 回應：

回應

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

REST v1beta4

建立含有私人 IP 位址的新執行個體：

使用任何要求資料之前，請先替換以下項目：

PROJECT_ID: 專案 ID
INSTANCE_ID: 執行個體 ID
VPC_NETWORK_NAME: 指定要用於此執行個體的虛擬私有雲 (VPC) 網路名稱。必須已針對網路設定私人服務存取權。
RANGE_NAME: 選填。如果指定，則會設定 IP 範圍的範圍名稱。範圍名稱必須符合 RFC-1035 的規範，且長度介於 1 至 63 個半形字元之間。
AUTHORIZED_NETWORKS：針對公用 IP 連線，指定可連線至執行個體的授權網路連線。

如果執行個體使用公開 IP 位址，請將 ipv4Enabled 參數的值設為 true；如果執行個體有私人 IP 位址，則設為 false。

HTTP 方法和網址：

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

JSON 要求主體：

{
  "settings":
  {
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],
      
      "enablePrivatePathForGoogleCloudServices": true
      
    }
  }
}

如要傳送要求，請展開以下其中一個選項：

curl (Linux、macOS 或 Cloud Shell)

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"

PowerShell (Windows)

注意：下列指令假設您已透過執行 gcloud init 或 gcloud auth login 登入 gcloud CLI。您可以執行 gcloud auth list 查看目前有效的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

您應該會收到如下的 JSON 回應：

回應

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

使用私人 IP 連線至執行個體

您可以使用私人服務存取權，從位於相同虛擬私人雲端網路中的 Compute Engine 或 Google Kubernetes Engine 執行個體 (在此定義為內部來源)，或從該網路外部 (外部來源) 連線至 Cloud SQL 執行個體。

從內部來源連線

如要從與 Cloud SQL 執行個體位於相同 Google Cloud 專案中的來源連線，例如在 Compute Engine 資源上執行的 Cloud SQL 驗證 Proxy，該資源必須位於與 Cloud SQL 執行個體建立私人服務存取權的相同 VPC 網路中。

如要從無伺服器來源 (例如 App Engine 標準環境、Cloud Run 或 Cloud Run 函式) 連線，您的應用程式或函式會透過無伺服器虛擬私人雲端存取直接連線至執行個體，而不需要 Cloud SQL 驗證 Proxy。

從外部來源連線

如果外部網路 (例如地端部署網路或虛擬私有雲網路) 已連線至 Cloud SQL 執行個體所連結的虛擬私有雲網路，您就可以使用 Cloud VPN 或 Cloud Interconnect，從外部網路中的用戶端連線至執行個體。

如要允許外部網路的連線，請按照下列步驟操作：

請確認您的 VPC 網路已透過 Cloud VPN 通道或專屬互連網路或合作夥伴互連網路的 VLAN 連結，連線至外部網路。
請確認管理 Cloud VPN 通道和 Cloud Interconnect 連結 (VLAN) 的 Cloud Router 上的邊界閘道協定 (BGP) 工作階段，已從內部部署網路接收特定前置字串 (目的地)。
預設路徑 (目的地 0.0.0.0/0) 無法匯入 Cloud SQL VPC 網路，因為該網路有自己的本機預設路徑。即使 Cloud SQL 對等互連已設定為從 VPC 網路匯入自訂路徑，系統仍會使用目的地的本機路徑。
識別私人服務連線產生的對等互連連線。視服務而定，私人服務連線可能會建立下列一或多個對等連線，但不一定會建立所有連線：
- cloudsql-mysql-googleapis-com
- cloudsql-postgres-googleapis-com
- servicenetworking-googleapis-com
更新所有對等互連連線，啟用「Export custom routes」。
找出私人服務連線使用的分配範圍。
針對管理 Cloud VPN 通道或 Cloud Interconnect 連結 (VLAN) 的 BGP 工作階段，在 Cloud Router 上為已分配的範圍設定 Cloud Router 自訂廣告模式。

從 Cloud Shell 連線

Cloud Shell 不支援連線至僅有私人 IP 位址的 Cloud SQL 執行個體。

透過非 RFC 1918 IP 位址連線

RFC 1918 會指定 IP 位址，這些位址會指派給內部使用 (也就是在組織內部)，且不會在網際網路上路由。具體來說，這些項目包括：

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

使用私人 IP 位址連線至 Cloud SQL 執行個體的連線會自動授權使用 RFC 1918 位址範圍。如此一來，所有私人用戶端都能在不經過 Proxy 的情況下存取資料庫。

如要從非 RFC 1918 IP 位址連線，您必須設定每個執行個體的 IP 授權，允許來自非 RFC 1918 IP 位址範圍的流量。

例如，使用下列 gcloud 指令：

gcloud sql instances patch INSTANCE_NAME \
--authorized-networks=192.88.99.0/24,11.0.0.0/24

根據預設，Cloud SQL 不會從虛擬私有雲網路學習非 RFC 1918 子網路路徑。您必須更新網路對等連線至 Cloud SQL，才能匯出任何非 RFC 1918 路徑。

gcloud compute networks peerings update cloudsql-postgres-googleapis-com \
--network=VPC_NETWORK_NAME \
--export-subnet-routes-with-public-ip \
--project=PROJECT_ID

更改下列內容：

cloudsql-postgres-googleapis-com 是「VPC 網路」頁面中的私人服務連線名稱。
選取網路，然後尋找「Private Service Connection」(私人服務連線) 專區。
VPC_NETWORK_NAME 是您虛擬私人雲端網路的名稱。
PROJECT_ID 是 VPC 網路專案的 ID。如果您使用共用虛擬私有雲，請使用主專案 ID。

為避免 IP 位址耗盡，您可以使用私人使用的公開 IP 位址。

透過私人使用的公開 IP 位址連線

如果您想在私人使用的公開 IP 位址範圍中設定執行個體，請在網路與 Cloud SQL 網路之間的網路對等互連上啟用 export-subnet-routes-with-public-ip。

gcloud compute networks peerings update cloudsql-postgres-googleapis-com \
--network=VPC_NETWORK_NAME \
--export-subnet-routes-with-public-ip \
--project=PROJECT_ID

更改下列內容：

cloudsql-postgres-googleapis-com 是「VPC 網路」頁面中的私人服務連線名稱。
選取網路，然後尋找「Private Service Connection」部分。
VPC_NETWORK_NAME 是您虛擬私人雲端網路的名稱。
PROJECT_ID 是 VPC 網路的專案 ID。如果您使用共用虛擬私有雲，請使用主專案 ID。

連線至設定為使用私人使用的公開 IP 的執行個體

如果執行個體是使用私人使用的公開 IP 位址範圍所設定，且您想要連線至該執行個體，請在網路與 Cloud SQL 網路之間的網路對等互連上啟用 import-subnet-routes-with-public-ip。

gcloud compute networks peerings update cloudsql-postgres-googleapis-com \
--network=VPC_NETWORK_NAME \
--import-subnet-routes-with-public-ip \
--project=PROJECT_ID

更改下列內容：

cloudsql-postgres-googleapis-com 是「VPC 網路」頁面中的私人服務連線名稱。
選取網路，然後尋找「Private Service Connection」(私人服務連線) 專區。
VPC_NETWORK_NAME 是您虛擬私人雲端網路的名稱。
PROJECT_ID 是 VPC 網路專案的 ID。如果您使用共用虛擬私有雲，請使用主專案 ID。

使用寫入端點連線

除了私人 IP 位址之外，您也可以在 SQL 連線字串中使用寫入端點。寫入端點是全域網域名稱服務 (DNS) 名稱，會自動解析為目前主要執行個體的 IP 位址。使用寫入端點，您就不必在發生區域性中斷服務時，進行應用程式連線變更。

如果發生複本備援或切換，寫入端點可協助管理執行個體的私人 IP 位址。發生這種情況時，請使用寫入端點連線至用來做為主要執行個體的執行個體。

Cloud SQL 建立寫入端點的方式

如果您為 Google Cloud 專案啟用 Cloud DNS API，然後建立 Cloud SQL Enterprise Plus 版本的主要執行個體、推送執行個體的複本，或是從 Cloud SQL Enterprise 版本升級執行個體，Cloud SQL 會自動產生寫入端點，並將其指派給執行個體。

如要進一步瞭解如何取得執行個體的寫入端點，請參閱「查看執行個體資訊」。

將寫入端點指派給執行個體

如果您未為 Google Cloud 專案啟用 Cloud DNS API，然後建立、推送或升級執行個體，Cloud SQL 就不會自動將寫入端點指派給執行個體。

如要讓 Cloud SQL 產生寫入端點並指派給執行個體，請完成下列步驟：

啟用 Cloud DNS API。
控制台
1. 前往 Google Cloud 控制台的「API」頁面。
  
  前往 API 頁面
2. 按一下「Cloud DNS API」。
3. 啟用 API。
gcloud
1. 按一下下方按鈕，即可開啟 Cloud Shell，直接在瀏覽器中使用指令列存取 Google Cloud 資源。
  
  開啟 Cloud Shell
2. 如要啟用 API，請執行下列 gcloud services enable 指令：
  gcloud services enable dns.googleapis.com
建立可用於進階災難復原的備用資源。因此，Cloud SQL 會產生寫入端點並指派給執行個體。

注意： 如果您已指定備用資源用於進階災難復原，請將主要執行個體的跨區域備用資源指定為進階災難復原備用資源。
如要擷取寫入端點，請使用 gcloud sql instances describe 指令：
```
gcloud sql instances describe INSTANCE_NAME | grep psaWriteEndpoint
```
將 INSTANCE_NAME 改成 Cloud SQL 執行個體的名稱。

疑難排解

如要瞭解已知的連線問題，請參閱疑難排解，以及偵錯連線問題，以便進行自我診斷。

後續步驟

進一步瞭解私人 IP。
進一步瞭解私人服務存取權。
瞭解如何使用 VPC Service Controls 新增服務範圍。
進一步瞭解如何設定私人服務存取權。
進一步瞭解如何設定 Cloud SQL 的私人服務存取權。
進一步瞭解 Cloud VPN。
進一步瞭解虛擬私有雲網路。
進一步瞭解虛擬私有雲網路對等互連。
進一步瞭解共用虛擬私有雲。

設定私人 IP 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

事前準備

API 和身分與存取權管理 (IAM) 需求

私人服務存取權

設定執行個體使用私人 IP

為新執行個體設定私人 IP

主控台

gcloud

Terraform

套用變更

準備 Cloud Shell

準備目錄

套用變更

刪除變更

REST v1

curl (Linux、macOS 或 Cloud Shell)

PowerShell (Windows)

回應

REST v1beta4

curl (Linux、macOS 或 Cloud Shell)

PowerShell (Windows)

回應

為現有執行個體設定私人 IP

主控台

gcloud

REST v1

curl (Linux、macOS 或 Cloud Shell)

PowerShell (Windows)

回應

REST v1beta4

curl (Linux、macOS 或 Cloud Shell)

PowerShell (Windows)

回應

使用私人 IP 連線至執行個體

從內部來源連線

從外部來源連線

從 Cloud Shell 連線

透過非 RFC 1918 IP 位址連線

透過私人使用的公開 IP 位址連線

連線至設定為使用私人使用的公開 IP 的執行個體

使用寫入端點連線

Cloud SQL 建立寫入端點的方式

將寫入端點指派給執行個體

控制台

gcloud

疑難排解

後續步驟

設定私人 IP