Private Service Connect を使用してインスタンスに接続する

MySQL | PostgreSQL | SQL Server

このページでは、Private Service Connect を使用して Cloud SQL インスタンスに接続する方法について説明します。

Private Service Connect を使用すると、異なるグループ、チーム、プロジェクト、組織に属する複数の Virtual Private Cloud（VPC）ネットワークから、プライマリ Cloud SQL インスタンスまたはそのリードレプリカのいずれかに接続できます。

注: Cloud SQL インスタンスで Private Service Connect が有効になっている場合、そのインスタンスで postgres_fdw、dblink、Pl/Proxy、pglogical の PostgreSQL 拡張機能は使用できません。これらの拡張機能の詳細については、PostgreSQL 拡張機能を構成するをご覧ください。

始める前に

Cloud SQL インスタンスでの Private Service Connect の使用のサポートは、gcloud CLI バージョン 416.0.0 以降で利用できます。

ユーザーロール

次の表に、Cloud SQL インスタンスで Private Service Connect を使用するために必要なロールを示します。

ロール	説明
`compute.networkAdmin`	Cloud SQL インスタンスへの接続を開始する VPC ネットワークを完全に制御できる権限を付与します。IP アドレス、ファイアウォールルール、Private Service Connect エンドポイントを作成して管理できます。 Private Service Connect を使用して複数の VPC ネットワークから Cloud SQL インスタンスに接続する場合、各ネットワークには独自の管理者が存在します。
`dns.admin`	DNS ゾーンやレコードなど、Cloud DNS リソースに対する完全な制御権を付与します。
`cloudsql.admin`	Cloud SQL インスタンスを完全に制御し、インスタンスのライフサイクルを制御します。
`cloudsql.instanceUser`	Cloud SQL インスタンスへのアクセスを提供します。Cloud SQL Auth Proxy クライアントを介して接続する場合は、Cloud SQL クライアントのロールが必要です。直接接続する場合、Identity and Access Management（IAM）のロールと権限は必要ありません。

Cloud SQL インスタンスを作成する

gcloud CLI、Terraform、または API を使用して、インスタンスを作成し Private Service Connect を有効にできます。

gcloud

インスタンスを作成して Private Service Connect を有効にするには、gcloud sql instances create コマンドを使用します。

gcloud sql instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION_NAME \
--enable-private-service-connect \
--allowed-psc-projects=ALLOWED_PROJECTS \
--availability-type=AVAILABILITY_TYPE \
--no-assign-ip \
--tier=MACHINE_TYPE \
--database-version=DATABASE_VERSION

次の項目を置き換えます。

INSTANCE_NAME: インスタンスの名前。
PROJECT_ID: インスタンスが含まれている Google Cloud プロジェクトの ID またはプロジェクト番号。
REGION_NAME: インスタンスのリージョン名。
ALLOWED_PROJECTS: 許可されているプロジェクト ID または番号のリスト（カンマ区切り）。このリストにプロジェクトが含まれていない場合、対象のプロジェクトを使用してインスタンスを作成し、Private Service Connect を有効にすることはできません。
AVAILABILITY_TYPE: インスタンスの高可用性を有効にします。このパラメータには、次のいずれかの値を指定します。
- REGIONAL: 高可用性を有効にします。本番環境インスタンスに推奨されます。インスタンスは、選択したリージョン内の別のゾーンにフェイルオーバーします。
- ZONAL: フェイルオーバー機能を提供しません。これがデフォルト値です。
インスタンスの高可用性の設定と削除の詳細については、高可用性向けに既存のインスタンスを構成するとインスタンスの高可用性を無効にするをご覧ください。
MACHINE_TYPE: インスタンスのマシンタイプ。
DATABASE_VERSION: インスタンスのデータベースバージョン（例: POSTGRES_13）。

Terraform

Private Service Connect が有効になっているインスタンスを作成するには、google_sql_database_instance Terraform リソースを使用します。

resource "google_sql_database_instance" "default" {
  name             = "postgres-instance"
  region           = "us-central1"
  database_version = "POSTGRES_14"
  settings {
    tier              = "db-custom-2-7680"
    availability_type = "REGIONAL"
    backup_configuration {
      enabled = true
    }
    ip_configuration {
      psc_config {
        psc_enabled               = true
        allowed_consumer_projects = []
      }
      ipv4_enabled = false
    }
  }
  deletion_protection = false # Set to "true" to prevent destruction of the resource
}

Google Cloud プロジェクトで Terraform 構成を適用するには、次のセクションの手順を完了します。

Cloud Shell を準備する

Cloud Shell を起動します。
Terraform 構成を適用するデフォルトの Google Cloud プロジェクトを設定します。

このコマンドは、プロジェクトごとに 1 回だけ実行する必要があります。これは任意のディレクトリで実行できます。
```
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
```
Terraform 構成ファイルに明示的な値を設定すると、環境変数がオーバーライドされます。

ディレクトリを準備する

Terraform 構成ファイルには独自のディレクトリ（ルートモジュールとも呼ばれます）が必要です。

Cloud Shell で、ディレクトリを作成し、そのディレクトリ内に新しいファイルを作成します。ファイルの拡張子は .tf にする必要があります（例: main.tf）。このチュートリアルでは、このファイルを main.tf とします。
```
mkdir DIRECTORY && cd DIRECTORY && touch main.tf
```
チュートリアルを使用している場合は、各セクションまたはステップのサンプルコードをコピーできます。

新しく作成した main.tf にサンプルコードをコピーします。

必要に応じて、GitHub からコードをコピーします。Terraform スニペットがエンドツーエンドのソリューションの一部である場合は、この方法をおすすめします。
環境に適用するサンプルパラメータを確認し、変更します。
変更を保存します。
Terraform を初期化します。これは、ディレクトリごとに 1 回だけ行います。
```
terraform init
```
最新バージョンの Google プロバイダを使用する場合は、-upgrade オプションを使用します。
```
terraform init -upgrade
```

変更を適用する

構成を確認して、Terraform が作成または更新するリソースが想定どおりであることを確認します。
```
terraform plan
```
必要に応じて構成を修正します。
次のコマンドを実行します。プロンプトで「yes」と入力して、Terraform 構成を適用します。
```
terraform apply
```
Terraform に「Apply complete!」というメッセージが表示されるまで待ちます。
Google Cloud プロジェクトを開いて結果を表示します。Google Cloud コンソールの UI でリソースに移動して、Terraform によって作成または更新されたことを確認します。

REST

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: インスタンスが含まれている Google Cloud プロジェクトの ID またはプロジェクト番号。
INSTANCE_NAME: インスタンスの名前。
REGION_NAME: インスタンスのリージョン名。
AVAILABILITY_TYPE: インスタンスの高可用性を有効にします。このパラメータには、次のいずれかの値を指定します。
- REGIONAL: 高可用性を有効にします。本番環境インスタンスに推奨されます。インスタンスは、選択したリージョン内の別のゾーンにフェイルオーバーします。
- ZONAL: フェイルオーバー機能を提供しません。これがデフォルト値です。
インスタンスの高可用性の設定と削除の詳細については、既存のインスタンスを高可用性向けに構成するとインスタンスの高可用性を無効にするをご覧ください。
ALLOWED_PROJECTS: 許可されているプロジェクト ID または番号のリスト（カンマ区切り）。このリストに含まれていないプロジェクトについては、そのプロジェクトを使用してインスタンスを作成して Private Service Connect を有効にすることはできません。
MACHINE_TYPE: インスタンスのマシンタイプ。

HTTP メソッドと URL:

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

リクエストの本文（JSON）:

{
  "name": "INSTANCE_NAME",
  "project": PROJECT_ID",
  "region": "REGION_NAME",
  "databaseVersion": "POSTGRES_13",
  "kind": "sql#instance",
  "settings": {
    "availabilityType": "AVAILABILITY_TYPE",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "pscConfig": {
        "allowedConsumerProjects": [
          "ALLOWED_PROJECTS"
        ],
        "pscEnabled": true
      }
    },
    "kind": "sql#settings",
    "pricingPlan": "PER_USE",
    "replicationType": "SYNCHRONOUS",
    "tier": "MACHINE_TYPE"
  }
}

リクエストを送信するには、次のいずれかのオプションを開きます。

curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME",
  "status": "RUNNING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "startTime": "2023-06-14T18:48:35.499Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_NAME",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

サービスアタッチメントを取得する

Private Service Connect が有効になっている Cloud SQL インスタンスを作成したら、サービスアタッチメント URI を取得し、取得した URI を使用して Private Service Connect エンドポイントを作成します。

gcloud

Private Service Connect が有効になっているインスタンスの概要情報（インスタンスのサービスアタッチメントを指す URI を表示する pscServiceAttachmentLink フィールドなど）を表示するには、gcloud sql instances describe コマンドを使用します。

gcloud sql instances describe INSTANCE_NAME \
--project=PROJECT_ID

次の項目を置き換えます。

INSTANCE_NAME: VPC ネットワーク内の Private Service Connect エンドポイントが接続できる Cloud SQL インスタンスの名前
PROJECT_ID: インスタンスが含まれている Google Cloud プロジェクトの ID またはプロジェクト番号

次の例は、このコマンドの出力例を示しています。

gcloud sql instances describe myinstance \
--project=12345

...
pscServiceAttachmentLink: projects/45678/regions/myregion/serviceAttachments/myserviceattachment

Terraform

サービスアタッチメント URI を取得するには、google_compute_address Terraform リソースを使用します。

resource "google_compute_address" "default" {
  name         = "psc-compute-address"
  region       = "us-central1"
  address_type = "INTERNAL"
  subnetwork   = "default"     # Replace value with the name of the subnet here.
  address      = "10.128.0.42" # Replace value with the IP address to reserve.
}

data "google_sql_database_instance" "default" {
  name = resource.google_sql_database_instance.default.name
}

resource "google_compute_forwarding_rule" "default" {
  name                  = "psc-forwarding-rule-${google_sql_database_instance.default.name}"
  region                = "us-central1"
  network               = "default"
  ip_address            = google_compute_address.default.self_link
  load_balancing_scheme = ""
  target                = data.google_sql_database_instance.default.psc_service_attachment_link
}

Google Cloud プロジェクトで Terraform 構成を適用するには、次のセクションの手順を完了します。

Cloud Shell を準備する

Cloud Shell を起動します。
Terraform 構成を適用するデフォルトの Google Cloud プロジェクトを設定します。

このコマンドは、プロジェクトごとに 1 回だけ実行する必要があります。これは任意のディレクトリで実行できます。
```
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
```
Terraform 構成ファイルに明示的な値を設定すると、環境変数がオーバーライドされます。

ディレクトリを準備する

Terraform 構成ファイルには独自のディレクトリ（ルートモジュールとも呼ばれます）が必要です。

Cloud Shell で、ディレクトリを作成し、そのディレクトリ内に新しいファイルを作成します。ファイルの拡張子は .tf にする必要があります（例: main.tf）。このチュートリアルでは、このファイルを main.tf とします。
```
mkdir DIRECTORY && cd DIRECTORY && touch main.tf
```
チュートリアルを使用している場合は、各セクションまたはステップのサンプルコードをコピーできます。

新しく作成した main.tf にサンプルコードをコピーします。

必要に応じて、GitHub からコードをコピーします。Terraform スニペットがエンドツーエンドのソリューションの一部である場合は、この方法をおすすめします。
環境に適用するサンプルパラメータを確認し、変更します。
変更を保存します。
Terraform を初期化します。これは、ディレクトリごとに 1 回だけ行います。
```
terraform init
```
最新バージョンの Google プロバイダを使用する場合は、-upgrade オプションを使用します。
```
terraform init -upgrade
```

変更を適用する

構成を確認して、Terraform が作成または更新するリソースが想定どおりであることを確認します。
```
terraform plan
```
必要に応じて構成を修正します。
次のコマンドを実行します。プロンプトで「yes」と入力して、Terraform 構成を適用します。
```
terraform apply
```
Terraform に「Apply complete!」というメッセージが表示されるまで待ちます。
Google Cloud プロジェクトを開いて結果を表示します。Google Cloud コンソールの UI でリソースに移動して、Terraform によって作成または更新されたことを確認します。

REST

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: インスタンスが含まれている Google Cloud プロジェクトの ID またはプロジェクト番号
INSTANCE_NAME: インスタンスの名前

HTTP メソッドと URL:

GET https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME

リクエストを送信するには、次のいずれかのオプションを開きます。

curl（Linux、macOS、Cloud Shell）

次のコマンドを実行します。

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME"

PowerShell（Windows）

次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  ...
  pscServiceAttachmentLink: "projects/PROJECT_ID/regions/REGION_NAME/serviceAttachments/SERVICE_ATTACHMENT_NAME"
}

この pscServiceAttachmentLink フィールドには、インスタンスのサービスアタッチメントを指し示す URI が表示されます。

Private Service Connect エンドポイントを作成する

Private Service Connect エンドポイントの内部 IP アドレスを予約し、対象のアドレスでエンドポイントを作成できます。エンドポイントを作成するには、サービスアタッチメント URI と、インスタンスに対して許可されているプロジェクトが必要です。

gcloud

Private Service Connect エンドポイントの内部 IP アドレスを予約するには、gcloud compute addresses create コマンドを使用します。
```
gcloud compute addresses create ADDRESS_NAME \
--project=PROJECT_ID \
--region=REGION_NAME \
--subnet=SUBNET_NAME \
--addresses=INTERNAL_IP_ADDRESS
```
次の項目を置き換えます。
- ADDRESS_NAME: 内部 IP アドレスの名前。
- PROJECT_ID: エンドポイントの Google Cloud プロジェクトの ID またはプロジェクト番号。
- REGION_NAME: エンドポイントのリージョン名。
- SUBNET_NAME: IP アドレスのサブネット名。
- INTERNAL_IP_ADDRESS: 予約する IP アドレス。この IP アドレスは、サブネットのプライマリ IP 範囲内にする必要があります。IP アドレスには、RFC 1918 アドレス、または RFC 以外の範囲を持つサブネットを指定できます。
IP アドレスが予約されていることを確認するには、gcloud compute addresses list コマンドを使用します。
```
gcloud compute addresses list ADDRESS_NAME \
--project=PROJECT_ID
```
レスポンスで、IP アドレスに RESERVED ステータスが表示されていることを確認します。
Private Service Connect エンドポイントを作成し、作成したエンドポイントが Cloud SQL サービスアタッチメントを指すようにするには、gcloud compute forwarding-rules create コマンドを使用します。
```
gcloud compute forwarding-rules create ENDPOINT_NAME \
--address=ADDRESS_NAME \
--project=PROJECT_ID \
--region=REGION_NAME \
--network=NETWORK_NAME \
--target-service-attachment=SERVICE_ATTACHMENT_URI \
--allow-psc-global-access
```
次の項目を置き換えます。
- ENDPOINT_NAME: エンドポイントの名前
- NETWORK_NAME: エンドポイントの VPC ネットワークの名前。
- SERVICE_ATTACHMENT_URI: サービスアタッチメントの URI。
オプションの --allow-psc-global-access パラメータを使用すると、すべてのリージョンのクライアントがこの転送ルールにアクセスできます。
サービスアタッチメントがエンドポイントを受け入れることを確認するには、gcloud compute forwarding-rules describe コマンドを使用します。
```
gcloud compute forwarding-rules describe ENDPOINT_NAME \
--project=PROJECT_ID \
--region=REGION_NAME
```
レスポンスで、pscConnectionStatus フィールドに ACCEPTED ステータスが表示されていることを確認します。エンドポイントはサービスアタッチメントに接続できます。

Terraform

Private Service Connect エンドポイントを作成するには、google_sql_database_instance Terraform リソースを使用します。

resource "google_compute_address" "default" {
  name         = "psc-compute-address"
  region       = "us-central1"
  address_type = "INTERNAL"
  subnetwork   = "default"     # Replace value with the name of the subnet here.
  address      = "10.128.0.42" # Replace value with the IP address to reserve.
}

data "google_sql_database_instance" "default" {
  name = resource.google_sql_database_instance.default.name
}

resource "google_compute_forwarding_rule" "default" {
  name                  = "psc-forwarding-rule-${google_sql_database_instance.default.name}"
  region                = "us-central1"
  network               = "default"
  ip_address            = google_compute_address.default.self_link
  load_balancing_scheme = ""
  target                = data.google_sql_database_instance.default.psc_service_attachment_link
}

Google Cloud プロジェクトで Terraform 構成を適用するには、次のセクションの手順を完了します。

Cloud Shell を準備する

Cloud Shell を起動します。
Terraform 構成を適用するデフォルトの Google Cloud プロジェクトを設定します。

このコマンドは、プロジェクトごとに 1 回だけ実行する必要があります。これは任意のディレクトリで実行できます。
```
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
```
Terraform 構成ファイルに明示的な値を設定すると、環境変数がオーバーライドされます。

ディレクトリを準備する

Terraform 構成ファイルには独自のディレクトリ（ルートモジュールとも呼ばれます）が必要です。

Cloud Shell で、ディレクトリを作成し、そのディレクトリ内に新しいファイルを作成します。ファイルの拡張子は .tf にする必要があります（例: main.tf）。このチュートリアルでは、このファイルを main.tf とします。
```
mkdir DIRECTORY && cd DIRECTORY && touch main.tf
```
チュートリアルを使用している場合は、各セクションまたはステップのサンプルコードをコピーできます。

新しく作成した main.tf にサンプルコードをコピーします。

必要に応じて、GitHub からコードをコピーします。Terraform スニペットがエンドツーエンドのソリューションの一部である場合は、この方法をおすすめします。
環境に適用するサンプルパラメータを確認し、変更します。
変更を保存します。
Terraform を初期化します。これは、ディレクトリごとに 1 回だけ行います。
```
terraform init
```
最新バージョンの Google プロバイダを使用する場合は、-upgrade オプションを使用します。
```
terraform init -upgrade
```

変更を適用する

構成を確認して、Terraform が作成または更新するリソースが想定どおりであることを確認します。
```
terraform plan
```
必要に応じて構成を修正します。
次のコマンドを実行します。プロンプトで「yes」と入力して、Terraform 構成を適用します。
```
terraform apply
```
Terraform に「Apply complete!」というメッセージが表示されるまで待ちます。
Google Cloud プロジェクトを開いて結果を表示します。Google Cloud コンソールの UI でリソースに移動して、Terraform によって作成または更新されたことを確認します。

REST

Private Service Connect エンドポイントの内部 IP アドレスを予約します。

注: API を使用してエンドポイントの内部 IP アドレスを予約することはできません。このアドレスを予約するには、gcloud compute addresses create コマンドを使用します。
IP アドレスが予約されていることを確認します。

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: Private Service Connect エンドポイントを含む Google Cloud プロジェクトの ID またはプロジェクト番号
- REGION_NAME: リージョンの名前
- ADDRESS_NAME: IP アドレスの名前
HTTP メソッドと URL:
```
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME
```
リクエストを送信するには、次のいずれかのオプションを開きます。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME"
```
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME" | Select-Object -Expand Content
```
次のような JSON レスポンスが返されます。
```
{
  "kind": "compute#address",
  "id": "ADDRESS_ID",
  "creationTimestamp": "2024-05-09T11:20:50.114-07:00",
  "name": "ADDRESS_NAME",
  "description": "This is the name of the internal IP address.",
  "address": "IP_ADDRESS",
  "status": "RESERVED",
  "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME",
  "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME",
  "networkTier": "PREMIUM",
  "labelFingerprint": "LABEL_FINGERPRINT_ID",
  "addressType": "EXTERNAL"
}
```
レスポンスで、IP アドレスに RESERVED ステータスが表示されていることを確認します。
Private Service Connect エンドポイントを作成し、Cloud SQL サービスアタッチメントを指すようにします。

注: API を使用して Private Service Connect エンドポイントを作成することはできません。このエンドポイントを作成するには、gcloud compute forwarding-rules create コマンドを使用します。
サービスアタッチメントがエンドポイントを受け入れることを確認します。

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: Private Service Connect エンドポイントを含む Google Cloud プロジェクトの ID またはプロジェクト番号
- REGION_NAME: リージョンの名前
- ENDPOINT_NAME: エンドポイントの名前
HTTP メソッドと URL:
```
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules/ENDPOINT_NAME
```
リクエストを送信するには、次のいずれかのオプションを開きます。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules/ENDPOINT_NAME"
```
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules/ENDPOINT_NAME" | Select-Object -Expand Content
```
次のような JSON レスポンスが返されます。
```
{
  "kind": "compute#forwardingRule",
  "id": "ENDPOINT_ID",
  "creationTimestamp": "2024-05-09T12:03:21.383-07:00",
  "name": "ENDPOINT_NAME",
  "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME",
  "IPAddress": "IP_ADDRESS",
  "target": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/serviceAttachments/SERVICE_ATTACHMENT_NAME",
  "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules/ENDPOINT_NAME",
  "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/default",
  "serviceDirectoryRegistrations": [
    {
      "namespace": "goog-psc-default"
    }
  ],
  "networkTier": "PREMIUM",
  "labelFingerprint": "LABEL_FINGERPRINT_ID",
  "fingerprint": "FINGERPRINT_ID",
  "pscConnectionId": "CONNECTION_ID",
  "pscConnectionStatus": "ACCEPTED",
  "allowPscGlobalAccess": true
}
```
レスポンスで、pscConnectionStatus フィールドに ACCEPTED ステータスが表示されていることを確認します。エンドポイントはサービスアタッチメントに接続できます。

Cloud SQL インスタンスに接続する

内部 IP アドレス、DNS レコード、Cloud SQL Auth Proxy、Cloud SQL 言語コネクタ、またはその他の Google Cloud アプリケーションを使用して、Private Service Connect を有効にした Cloud SQL インスタンスに接続できます。

DNS マネージドゾーンと DNS レコードを構成する

Cloud SQL では DNS レコードは自動的には作成されません。代わりに、インスタンスルックアップ API のレスポンスで DNS 名の候補が提示されます。対応する VPC ネットワークの限定公開 DNS ゾーンに DNS レコードを作成することをおすすめします。これにより、一貫した方法で Cloud SQL Auth Proxy を使用して異なるネットワークから接続できます。

gcloud

Cloud SQL インスタンスの概要情報（インスタンスの DNS 名など）を表示するには、gcloud sql instances describe コマンドを使用します。
```
gcloud sql instances describe INSTANCE_NAME \
--project=PROJECT_ID
```
次の項目を置き換えます。
- INSTANCE_NAME: Cloud SQL インスタンスの名前
- PROJECT_ID: インスタンスが含まれている Google Cloud プロジェクトの ID またはプロジェクト番号
レスポンスに DNS 名が表示されていることを確認します。この名前には、次のようなパターンがあります: INSTANCE_UID.PROJECT_DNS_LABEL.REGION_NAME.sql.goog.。例: 1a23b4cd5e67.1a2b345c6d27.us-central1.sql.goog.。
注: DNS 名の末尾は常にピリオド（.）です。
限定公開 DNS ゾーンを作成するには、gcloud dns managed-zones create コマンドを使用します。このゾーンは、Private Service Connect エンドポイントを介して Cloud SQL インスタンスに接続するために使用される VPC ネットワークに関連付けられています。

注: VPC ネットワークごとに DNS ゾーンを作成します。
```
gcloud dns managed-zones create ZONE_NAME \
--project=PROJECT_ID \
--description=DESCRIPTION \
--dns-name=DNS_NAME \
--networks=NETWORK_NAME \
--visibility=private
```
次の項目を置き換えます。
- ZONE_NAME: DNS ゾーンの名前
- PROJECT_ID: ゾーンを含む Google Cloud プロジェクトの ID またはプロジェクト番号
- DESCRIPTION: ゾーンの説明（Cloud SQL インスタンスの DNS ゾーンなど）
- DNS_NAME: ゾーンの DNS サフィックスの名前。例: REGION_NAME.sql.goog.（REGION_NAME はゾーンのリージョン名）
- NETWORK_NAME: VPC ネットワークの名前
Private Service Connect エンドポイントを作成した後、ゾーンに DNS レコードを作成するには、gcloud dns record-sets create コマンドを使用します。
```
gcloud dns record-sets create DNS_RECORD \
--project=PROJECT_ID \
--type=RRSET_TYPE \
--rrdatas=RR_DATA \
--zone=ZONE_NAME
```
次の項目を置き換えます。
- DNS_RECORD: DNS レコードの名前。このレコードは、この手順の前半で Cloud SQL インスタンスから取得した DNS 名に設定します（例: 1a23b4cd5e67.1a2b345c6d27.us-central1.sql.goog.）。
- RRSET_TYPE: DNS レコードセットのリソースレコードタイプ（例: A）。
- RR_DATA: Private Service Connect エンドポイントに割り振られた IP アドレス（例: 198.51.100.5）。rrdata1 rrdata2 rrdata3 などの複数の値を入力することもできます（例: 10.1.2.3 10.2.3.4 10.3.4.5）。

REST

Cloud SQL インスタンスの DNS 名を取得します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: インスタンスが含まれている Google Cloud プロジェクトの ID またはプロジェクト番号
INSTANCE_NAME: インスタンスの名前

HTTP メソッドと URL:

GET https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME

リクエストを送信するには、次のいずれかのオプションを開きます。

curl（Linux、macOS、Cloud Shell）

次のコマンドを実行します。

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME"

PowerShell（Windows）

次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  ...
  "dnsName": "INSTANCE_ID.PROJECT_DNS_LABEL.REGION_NAME.sql.goog."
}

dnsName フィールドには、Cloud SQL インスタンスの DNS 名が表示されます。DNS 名の末尾は常にピリオド（.）です。

限定公開 DNS ゾーンを作成します。このゾーンは、Private Service Connect エンドポイントを介して Cloud SQL インスタンスに接続するために使用される VPC ネットワークに関連付けられています。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: DNS ゾーンを含む Google Cloud プロジェクトの ID またはプロジェクト番号
ZONE_NAME: ゾーンの名前
DESCRIPTION: ゾーンの説明（Cloud SQL インスタンスの DNS ゾーンなど）
DNS_NAME: ゾーンの DNS サフィックスの名前。例: REGION_NAME.sql.goog.（REGION_NAME はゾーンのリージョン名）
NETWORK_NAME: VPC ネットワークの名前

HTTP メソッドと URL:

POST https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones

リクエストの本文（JSON）:

{
  "name": "ZONE_NAME",
  "description": "DESCRIPTION",
  "dnsName": "DNS_NAME",
  "visibility": "private",
  "privateVisibilityConfig": {
    "kind": "dns#managedZonePrivateVisibilityConfig",
    "networks": [
      {
        "kind": "dns#managedZonePrivateVisibilityConfigNetwork",
        "networkUrl": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME"
      }
    ]
  }
}

リクエストを送信するには、次のいずれかのオプションを開きます。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  "name": "ZONE_NAME",
  "dnsName": "DNS_NAME",
  "description": "DESCRIPTION",
  "id": "ID",
  "nameServers": [
    "ns-gcp-private.googledomains.com."
  ],
  "creationTime": "2024-05-10T17:05:34.607Z",
  "visibility": "private",
  "privateVisibilityConfig": {
    "networks": [
      {
        "networkUrl": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME",
        "kind": "dns#managedZonePrivateVisibilityConfigNetwork"
      }
    ],
    "gkeClusters": [],
    "kind": "dns#managedZonePrivateVisibilityConfig"
  },
  "cloudLoggingConfig": {
    "kind": "dns#managedZoneCloudLoggingConfig"
  },
  "kind": "dns#managedZone"
}

Private Service Connect エンドポイントを作成した後、ゾーンに DNS レコードを作成します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: DNS ゾーンを含む Google Cloud プロジェクトの ID またはプロジェクト番号。
ZONE_NAME: ゾーンの名前。
DNS_RECORD: DNS レコードの名前。このレコードは、この手順の前半で Cloud SQL インスタンスから取得した DNS 名に設定します（例: 1a23b4cd5e67.1a2b345c6d27.us-central1.sql.goog.）。
RRSET_TYPE: レコードセットのタイプ（例: A）。
TTL: レコードセットの有効期間（TTL）の秒数（例: 300）。
RR_DATA: Private Service Connect エンドポイントに割り振られた IP アドレス（例: 198.51.100.5）。rrdata1 rrdata2 rrdata3 などの複数の値を入力することもできます（例: 10.1.2.3 10.2.3.4 10.3.4.5）。

HTTP メソッドと URL:

POST https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones/ZONE_NAME

リクエストの本文（JSON）:

{
  "deletions": []
  "additions": [
    {
      "name": "DNS_RECORD",
      "type": "RRSET_TYPE",
      "ttl": TTL,
      "rrdatas": [
        "RR_DATA"
      ]
    }
  ]
}

リクエストを送信するには、次のいずれかのオプションを開きます。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones/ZONE_NAME"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones/ZONE_NAME" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  "additions": [
    {
      "name": "DNS_RECORD",
      "type": "RRSET_TYPE",
      "ttl": TTL,
      "rrdatas": [
        "RR_DATA"
      ],
      "signatureRrdatas": [],
      "kind": "dns#resourceRecordSet"
    }
  ],
  "deletions": [],
  "startTime": "2024-05-10T17:29:44.375Z",
  "id": "CHANGE_ID",
  "status": "pending",
  "kind": "dns#change"
}

DNS レコードを使用して直接接続する

DNS レコードを使用して Cloud SQL インスタンスに接続する前に、次の操作を行います。

Private Service Connect エンドポイントを作成します。
インスタンスのサービスアタッチメントがエンドポイントを受け入れることを確認します。エンドポイントのステータスが ACCEPTED であることを確認するには、ステータスを確認します。
DNS マネージドゾーンと DNS レコードを構成します。

これらの条件を満たしたら、DNS レコードを使用して、エンドポイントを作成した任意の VPC ネットワークからインスタンスに接続します。

psql "sslmode=disable dbname=DATABASE_NAME user=USERNAME host=DNS_RECORD"

次のように置き換えます。

DATABASE_NAME: インスタンスに含まれる Cloud SQL for PostgreSQL データベースの名前
USERNAME: インスタンスに接続するユーザーの名前
DNS_RECORD: エンドポイントの DNS レコード

内部 IP アドレスを介して直接接続する

Private Service Connect が有効になっている Cloud SQL インスタンスに接続する前に、次の操作を完了します。

Private Service Connect エンドポイントを作成します。
インスタンスのサービスアタッチメントがエンドポイントを受け入れることを確認します。エンドポイントのステータスが ACCEPTED であることを確認するには、ステータスを確認します。

これらの条件を満たしたら、エンドポイントの IP アドレスを使用して、エンドポイントを作成した任意の VPC ネットワークからインスタンスにアクセスします。

Private Service Connect エンドポイントの内部 IP アドレスを取得します。
gcloud

IP アドレスを取得するには、gcloud compute addresses describe コマンドを使用します。
```
gcloud compute addresses describe ADDRESS_NAME \
--project=PROJECT_ID \
--region=REGION_NAME
```
次の項目を置き換えます。
- ADDRESS_NAME: エンドポイントの IP アドレスの名前
- PROJECT_ID: エンドポイントを含む Google Cloud プロジェクトの ID またはプロジェクト番号
- REGION_NAME: エンドポイントのリージョン名
レスポンスで、address フィールドに IP アドレスが表示されていることを確認します。これは内部 IP アドレスです。
REST

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: エンドポイントを含む Google Cloud プロジェクトの ID またはプロジェクト番号
- REGION_NAME: エンドポイントのリージョン名
- ADDRESS_NAME: エンドポイントの IP アドレスの名前
HTTP メソッドと URL:
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME
リクエストを送信するには、次のいずれかのオプションを開きます。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME"
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method GET `
-Headers $headers `
-Uri "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME" | Select-Object -Expand Content
次のような JSON レスポンスが返されます。
{ "kind": "compute#address", "id": "ADDRESS_ID", "creationTimestamp": "2024-05-09T11:20:50.114-07:00", "name": "ADDRESS_NAME", "description": "This is the name of the internal IP address.", "address": "IP_ADDRESS", "status": "RESERVED", "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME", "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/addresses/ADDRESS_NAME", "networkTier": "PREMIUM", "labelFingerprint": "LABEL_FINGERPRINT_ID", "addressType": "EXTERNAL" }
内部 IP アドレスは、address フィールドに関連付けられた値です。
Cloud SQL インスタンスに接続するには、内部 IP アドレスを使用します。
```
psql "sslmode=disable dbname=DATABASE_NAME user=USERNAME hostaddr=IP_ADDRESS"
```
次のように置き換えます。
- DATABASE_NAME: インスタンスに含まれる Cloud SQL for PostgreSQL データベースの名前
- USERNAME: インスタンスに接続するユーザーの名前
- IP_ADDRESS: エンドポイントの IP アドレス

Cloud SQL Auth Proxy を使用して接続する

Cloud SQL Auth Proxy は、承認済みネットワークや SSL の構成を必要とせずに、Private Service Connect が有効なインスタンスへの安全なアクセスを提供するコネクタです。

Cloud SQL Auth Proxy クライアントの接続を許可するには、インスタンスに指定された推奨 DNS 名に一致する DNS レコードを設定します。DNS レコードは、DNS リソースとドメイン名のマッピングです。

Private Service Connect を介して接続する場合は、Cloud SQL Auth Proxy バージョン v2.5.0 以降が必要です。

Cloud SQL Auth Proxy をダウンロードしてインストールする

Private Service Connect が有効になっているインスタンスに接続するには、Cloud SQL Auth Proxy のバイナリをダウンロードしてインストールする必要があります。ダウンロードするバイナリは、オペレーティングシステムと、使用しているカーネルが 32 ビットか 64 ビットかによって異なります。新しいハードウェアのほとんどは 64 ビットのカーネルを使用しています。

お使いのマシンが 32 ビットと 64 ビットのどちらのカーネルを実行しているかわからない場合は、Linux または macOS で uname -a コマンドを使用します。Windows の場合は、Windows のドキュメントをご覧ください。

Cloud SQL Auth Proxy を起動する

Cloud SQL Auth Proxy は、Private Service Connect が有効になっているインスタンスへの接続をサポートしています。詳細については、Cloud SQL Auth Proxy を起動するをご覧ください。

Cloud SQL インスタンスの概要情報（インスタンスの接続名など）を表示します。
gcloud

Cloud SQL インスタンスの概要情報を表示するには、gcloud sql instances describe コマンドを使用します。
```
gcloud sql instances describe INSTANCE_NAME \
--project=PROJECT_ID \
--format='value(connectionName)'
```
次の項目を置き換えます。
- INSTANCE_NAME: Cloud SQL インスタンスの名前
- PROJECT_ID: インスタンスが含まれている Google Cloud プロジェクトの ID またはプロジェクト番号
この接続名は PROJECT_ID:REGION_NAME:INSTANCE_NAME の形式で記述します。
REST

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: インスタンスが含まれている Google Cloud プロジェクトの ID またはプロジェクト番号
- INSTANCE_NAME: インスタンスの名前
HTTP メソッドと URL:
GET https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME
リクエストを送信するには、次のいずれかのオプションを開きます。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME"
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method GET `
-Headers $headers `
-Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_NAME" | Select-Object -Expand Content
次のような JSON レスポンスが返されます。
{ ... "connectionName": "PROJECT_ID:REGION_NAME:INSTANCE_NAME" }
この接続名は PROJECT_ID:REGION_NAME:INSTANCE_NAME の形式で記述します。
インスタンス接続名をコピーします。
Cloud SQL Auth Proxy を起動します。
```
./cloud-sql-proxy INSTANCE_CONNECTION_NAME --psc 
```
INSTANCE_CONNECTION_NAME を、前のステップでコピーしたインスタンス接続名に置き換えます。

注: psc フラグを使用して Cloud SQL Auth Proxy を起動し、Private Service Connect が有効になっているインスタンスに接続します。

Cloud SQL 言語コネクタを使用して接続する

Cloud SQL 言語コネクタは、Private Service Connect が有効になっている Cloud SQL インスタンスへの安全なアクセスを提供するライブラリであり、承認済みネットワークや SSL 構成は不要です。

Cloud SQL 言語コネクタとの接続を許可するには、インスタンスに指定された推奨 DNS 名に一致する DNS レコードを設定します。DNS レコードは、DNS リソースとドメイン名のマッピングです。

Cloud SQL 言語コネクタは、それぞれのライブラリ内の PSC IP タイプを介した Private Service Connect 接続をサポートしています。

App Engine スタンダード、Cloud Run、Cloud Run 関数から接続する

Private Service Connect が有効になっている Cloud SQL インスタンスに接続するには、App Engine スタンダード環境、Cloud Run、または Cloud Run 関数を使用します。

このようなサーバーレス環境では、Cloud SQL 言語コネクタと、IP アドレスとポート番号を使用した直接 TCP 接続の両方がサポートされています。直接 TCP 接続の場合、これは Private Service Connect エンドポイントを作成するときに予約する IP アドレスです。IP アドレスは、データベースホストのアドレスとして指定できます。

エンドポイントに DNS レコードを作成する場合は、このレコードをホストに指定できます。

BigQuery から接続する

Cloud SQL のデータにアクセスし、内部 IP 接続を介してこのデータに対してクエリを実行するには、
--enable-google-private-path パラメータを使用します。このパラメータは次の場合にのみ有効です。

--no-assign-ip パラメータを使用する。
--network パラメータを使用して、内部接続の作成に使用する VPC ネットワークの名前を指定する。

接続をテストする

Private Service Connect が有効になっている Cloud SQL インスタンスへのインバウンド接続をテストするには、Private Service Connect エンドポイントの IP アドレスを宛先 IP アドレスに設定します。

gcloud

Private Service Connect が有効になっている Cloud SQL インスタンスの接続テストを作成するには、gcloud network-management connectivity-tests create コマンドを使用します。

gcloud network-management connectivity-tests create CONNECTIVITY_TEST_NAME \
--source-instance=SOURCE_INSTANCE \
--destination-cloud-sql-instance=DESTINATION_CLOUD_SQL_INSTANCE \
--destination-network=DESTINATION_NETWORK \
--destination-port=DESTINATION_PORT \
--protocol=tcp

次の項目を置き換えます。

CONNECTIVITY_TEST_NAME: 接続テストの名前。
SOURCE_INSTANCE: 送信元 IP アドレスがある Compute Engine インスタンスの URI（例: projects/myproject/zones/myzone/instances/myinstance）。
DESTINATION_CLOUD_SQL_INSTANCE: Cloud SQL インスタンスの URL（例: projects/myproject/instances/myinstance）。
DESTINATION_NETWORK: 宛先 IP アドレスがある VPC ネットワークの URI（例: projects/myproject/global/networks/mynetwork）。
DESTINATION_PORT: インスタンス用に予約されたポート番号。Cloud SQL for PostgreSQL インスタンスの場合、ポート番号は 5432 です。

REST

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: インスタンスが含まれている Google Cloud プロジェクトの ID またはプロジェクト番号。
CONNECTIVITY_TEST_NAME: 接続テストの名前。
SOURCE_IP_ADDRESS: 送信元 Compute Engine インスタンスの IP アドレス。
SOURCE_INSTANCE: 送信元 IP アドレスがある Compute Engine インスタンスの URI（例: projects/myproject/zones/myzone/instances/myinstance）。
SOURCE_NETWORK: 送信元 IP アドレスがある VPC ネットワークの URI（例: projects/myproject/global/networks/mynetwork）。
DESTINATION_IP_ADDRESS: 宛先の Cloud SQL インスタンスの IP アドレス。
DESTINATION_PORT: インスタンス用に予約されたポート番号。Cloud SQL for PostgreSQL インスタンスの場合、ポート番号は 5432 です。
DESTINATION_NETWORK: 宛先 IP アドレスがある VPC ネットワークの URI（例: projects/myproject/global/networks/mynetwork）。

HTTP メソッドと URL:

POST https://networkmanagement.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/connectivityTests?testId=CONNECTIVITY_TEST_NAME

リクエストの本文（JSON）:

{
  "source": {
    "ipAddress": "SOURCE_IP_ADDRESS",
    "instance": "SOURCE_INSTANCE",
    "network": "SOURCE_NETWORK"
  },
  "destination": {
    "ipAddress": "DESTINATION_IP_ADDRESS",
    "port": DESTINATION_PORT,
    "network": "DESTINATION_NETWORK",
    "projectId": "PROJECT_ID"
  },
  "protocol": "TCP"
}

リクエストを送信するには、次のいずれかのオプションを開きます。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://networkmanagement.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/connectivityTests?testId=CONNECTIVITY_TEST_NAME"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://networkmanagement.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/connectivityTests?testId=CONNECTIVITY_TEST_NAME" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  "name": "projects/PROJECT_ID/locations/global/operations/operation-OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.networkmanagement.v1.OperationMetadata",
    "createTime": "2024-05-23T16:43:49.313981473Z",
    "target": "projects/PROJECT_ID/locations/global/connectivityTests/CONNECTIVITY_TEST_NAME",
    "verb": "create",
    "cancelRequested": false,
    "apiVersion": "v1"
  },
  "done": false
}

制限事項

Private Service Connect が有効になっている Cloud SQL インスタンスのサービスアタッチメントに接続する Private Service Connect エンドポイントは、20 個まで設定できます。
Private Service Connect が有効になっているインスタンスには Private Service Connect バックエンドを使用できません。
次のフラグが無効であるか、影響を受けています。
- Private Service Connect が有効になっているインスタンスは、外部 IP 接続などの他の接続タイプを使用できないため、--no-assign-ip: ではこのフラグを使用します。
- --authorized-networks: このフラグを使用して承認済みネットワークを追加することはできません。
- --network: このフラグはプライベートサービスアクセスに関連付けられているため使用できません。
- --allocated-ip-range-name: 許可された IP 範囲名がサポートされていないため、このフラグは使用できません。
Private Service Connect が有効になっているインスタンスの外部レプリカを作成することはできません。
既存のインスタンスで Private Service Connect を有効または無効にすることはできません。
Private Service Connect が有効になっているインスタンスを、プライベートサービスアクセスまたは外部 IP 接続を使用するように構成することはできません。
- Private Service Connect が有効になっているインスタンスでは、外部 IP 接続を有効にできません。
- 限定公開サービスアクセスの有効化や承認済みネットワークのインスタンスへの追加はできません。
- インスタンスの接続タイプは変更できません。
Private Service Connect が有効になっている Cloud SQL インスタンスに gcloud sql connect コマンド、Cloud Shell、Cloud Build、Datastream を使用して接続することはできません。
Cloud SQL への同種移行を行う場合、Private Service Connect が有効になっている Cloud SQL インスタンスに Database Migration Service を使用して接続することはできません。
Private Service Connect が有効になっている Cloud SQL インスタンスへの接続をテストする場合、次の項目は設定できません。
- 直接接続の宛先としてのインスタンスの内部 IP アドレスまたは DNS 名
- 接続元としてのインスタンス
- 接続元としての Private Service Connect エンドポイントの IP アドレス
承認済みネットワークを使用した IP ベースの許可リストはサポートされていません。
pglogical、pl/proxy、dblink、postgres_fdw の拡張機能はサポートされていません。
クライアント IP ベースの制御、ロギング、指標は、クエリとシステムの分析情報ではサポートされていません。ただし、VPN と相互接続はサポートされています。
ネットワークプロジェクトに以前の Cloud SQL ネットワークアーキテクチャを使用するインスタンスが含まれている場合、Private Service Connect インスタンスは作成できません。Cloud SQL には、以前のネットワークアーキテクチャから新しいネットワークアーキテクチャにインスタンスをアップグレードする場合に役立つツールが用意されています。詳細や、プロジェクト内の Cloud SQL インスタンスのネットワークアーキテクチャを確認して必要なアップグレードを行う方法については、インスタンスを新しいネットワークアーキテクチャにアップグレードするをご覧ください。

トラブルシューティング

このセクションでは、Private Service Connect が有効になっている Cloud SQL インスタンスに関連する問題と、その問題のトラブルシューティング手順について説明します。

問題トラブルシューティング

インスタンスのサービスアタッチメントが、Private Service Connect エンドポイントを受け入れない。

問題	トラブルシューティング
インスタンスのサービスアタッチメントが、Private Service Connect エンドポイントを受け入れない。	エンドポイントのステータスを確認します。 gcloud ステータスを確認するには、`gcloud compute forwarding-rules describe` コマンドを使用します。 gcloud compute forwarding-rules describe `ENDPOINT_NAME` \ --project=`PROJECT_ID` \ --region=`REGION_NAME` \ \| grep pscConnectionStatus 次の項目を置き換えます。 `ENDPOINT_NAME`: エンドポイントの名前 `PROJECT_ID`: エンドポイントを含む Google Cloud プロジェクトの ID またはプロジェクト番号 `REGION_NAME`: エンドポイントのリージョン名 REST リクエストのデータを使用する前に、次のように置き換えます。 `PROJECT_ID`: Private Service Connect エンドポイントを含む Google Cloud プロジェクトの ID またはプロジェクト番号 `REGION_NAME`: リージョンの名前 `ENDPOINT_NAME`: エンドポイントの名前 HTTP メソッドと URL: GET https://compute.googleapis.com/compute/v1/projects/`PROJECT_ID`/regions/`REGION_NAME`/forwardingRules/`ENDPOINT_NAME` リクエストを送信するには、次のいずれかのオプションを開きます。 curl（Linux、macOS、Cloud Shell）注: 次のコマンドは、`gcloud init` または `gcloud auth login` を実行して、ユーザーアカウントで `gcloud` CLI にログインしているか、Cloud Shell を使用して自動的に `gcloud` CLI にログインしていることを前提としています。`gcloud auth list` を実行すると、現在アクティブなアカウントを確認できます。次のコマンドを実行します。 curl -X GET \ -H "Authorization: Bearer $(gcloud auth print-access-token)" \ "https://compute.googleapis.com/compute/v1/projects/`PROJECT_ID`/regions/`REGION_NAME`/forwardingRules/`ENDPOINT_NAME`" PowerShell（Windows）注: 次のコマンドは、`gcloud init` または `gcloud auth login` を実行して、ご自分のユーザーアカウントで `gcloud` CLI にログインしていることを前提としています。`gcloud auth list` を実行すると、現在アクティブなアカウントを確認できます。次のコマンドを実行します。 $cred = gcloud auth print-access-token $headers = @{ "Authorization" = "Bearer $cred" } Invoke-WebRequest ` -Method GET ` -Headers $headers ` -Uri "https://compute.googleapis.com/compute/v1/projects/`PROJECT_ID`/regions/`REGION_NAME`/forwardingRules/`ENDPOINT_NAME`" \| Select-Object -Expand Content 次のような JSON レスポンスが返されます。 { "kind": "compute#forwardingRule", "id": "`ENDPOINT_ID`", "creationTimestamp": "2024-05-09T12:03:21.383-07:00", "name": "`ENDPOINT_NAME`", "region": "https://www.googleapis.com/compute/v1/projects/`PROJECT_ID`/regions/`REGION_NAME`", "IPAddress": "`IP_ADDRESS`", "target": "https://www.googleapis.com/compute/v1/projects/`PROJECT_ID`/regions/`REGION_NAME`/serviceAttachments/`SERVICE_ATTACHMENT_NAME`", "selfLink": "https://www.googleapis.com/compute/v1/projects/`PROJECT_ID`/regions/`REGION_NAME`/forwardingRules/`ENDPOINT_NAME`", "network": "https://www.googleapis.com/compute/v1/projects/`PROJECT_ID`/global/networks/default", "serviceDirectoryRegistrations": [ { "namespace": "goog-psc-default" } ], "networkTier": "PREMIUM", "labelFingerprint": "`LABEL_FINGERPRINT_ID`", "fingerprint": "`FINGERPRINT_ID`", "pscConnectionId": "`CONNECTION_ID`", "pscConnectionStatus": "ACCEPTED", "allowPscGlobalAccess": true } エンドポイントのステータスが `ACCEPTED` であることを確認します。ステータスが `PENDING` の場合、インスタンスはエンドポイントを含む Google Cloud プロジェクトを許可していません。エンドポイントが作成されるネットワークプロジェクトが許可されていることを確認します。詳細については、Private Service Connect が有効になっているインスタンスを編集するをご覧ください。

エンドポイントのステータスを確認します。
gcloud

ステータスを確認するには、gcloud compute forwarding-rules describe コマンドを使用します。
```
gcloud compute forwarding-rules describe ENDPOINT_NAME \
--project=PROJECT_ID \
--region=REGION_NAME \
| grep pscConnectionStatus
```
次の項目を置き換えます。
- ENDPOINT_NAME: エンドポイントの名前
- PROJECT_ID: エンドポイントを含む Google Cloud プロジェクトの ID またはプロジェクト番号
- REGION_NAME: エンドポイントのリージョン名
REST

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: Private Service Connect エンドポイントを含む Google Cloud プロジェクトの ID またはプロジェクト番号
- REGION_NAME: リージョンの名前
- ENDPOINT_NAME: エンドポイントの名前
HTTP メソッドと URL:
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules/ENDPOINT_NAME
リクエストを送信するには、次のいずれかのオプションを開きます。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules/ENDPOINT_NAME"
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method GET `
-Headers $headers `
-Uri "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules/ENDPOINT_NAME" | Select-Object -Expand Content
次のような JSON レスポンスが返されます。
{ "kind": "compute#forwardingRule", "id": "ENDPOINT_ID", "creationTimestamp": "2024-05-09T12:03:21.383-07:00", "name": "ENDPOINT_NAME", "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME", "IPAddress": "IP_ADDRESS", "target": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/serviceAttachments/SERVICE_ATTACHMENT_NAME", "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_NAME/forwardingRules/ENDPOINT_NAME", "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/default", "serviceDirectoryRegistrations": [ { "namespace": "goog-psc-default" } ], "networkTier": "PREMIUM", "labelFingerprint": "LABEL_FINGERPRINT_ID", "fingerprint": "FINGERPRINT_ID", "pscConnectionId": "CONNECTION_ID", "pscConnectionStatus": "ACCEPTED", "allowPscGlobalAccess": true }
エンドポイントのステータスが ACCEPTED であることを確認します。ステータスが PENDING の場合、インスタンスはエンドポイントを含む Google Cloud プロジェクトを許可していません。エンドポイントが作成されるネットワークプロジェクトが許可されていることを確認します。詳細については、Private Service Connect が有効になっているインスタンスを編集するをご覧ください。

次のステップ

プライベート IP の詳細を確認する。
Private Service Connect の詳細を確認する。
Private Service Connect が有効になっているインスタンスのリードレプリカの作成の詳細を確認する。
Private Service Connect が有効になっているインスタンスのクローン作成の詳細を確認する。
Private Service Connect が有効になっているインスタンスの概要情報の表示について詳細を確認する。
Private Service Connect が有効になっているインスタンスの高可用性の設定と削除の詳細を確認する。
Private Service Connect が有効になっているインスタンスの編集と削除の詳細を確認する。

Private Service Connect を使用してインスタンスに接続する

始める前に

ユーザーロール

Cloud SQL インスタンスを作成する

gcloud

Terraform

Cloud Shell を準備する

ディレクトリを準備する

変更を適用する

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

サービス アタッチメントを取得する

gcloud

Terraform

Cloud Shell を準備する

ディレクトリを準備する

変更を適用する

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

Private Service Connect エンドポイントを作成する

gcloud

Terraform

Cloud Shell を準備する

ディレクトリを準備する

変更を適用する

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

Cloud SQL インスタンスに接続する

DNS マネージド ゾーンと DNS レコードを構成する

gcloud

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

DNS レコードを使用して直接接続する

内部 IP アドレスを介して直接接続する

gcloud

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

Cloud SQL Auth Proxy を使用して接続する

Cloud SQL Auth Proxy をダウンロードしてインストールする

Cloud SQL Auth Proxy を起動する

gcloud

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

Cloud SQL 言語コネクタを使用して接続する

App Engine スタンダード、Cloud Run、Cloud Run 関数から接続する

BigQuery から接続する

接続をテストする

gcloud

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

制限事項

トラブルシューティング

gcloud

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

次のステップ

サービスアタッチメントを取得する

DNS マネージドゾーンと DNS レコードを構成する