Diese Seite wurde von der Cloud Translation API übersetzt.

Sowohl Zugriff auf private Dienste als auch Private Service Connect konfigurieren

MySQL | PostgreSQL | SQL Server

Auf dieser Seite wird beschrieben, wie Sie sowohl den Zugriff auf private Dienste als auch Private Service Connect konfigurieren.

Wenn Sie den Zugriff auf private Dienste konfigurieren, können Sie einen IP-Adressbereich zuweisen und eine private Dienstverbindung für das VPC-Netzwerk (Virtual Private Cloud) in Ihrem Google Cloud-Projekt erstellen. So können Ressourcen im VPC-Netzwerk eine Verbindung zu Ihren Cloud SQL-Instanzen herstellen.

Wenn Sie Private Service Connect konfigurieren, können Sie eine Verbindung zu einer primären Cloud SQL-Instanz oder zu einem ihrer Lesereplikate über mehrere VPC-Netzwerke herstellen, die zu verschiedenen Gruppen, Teams, Projekten oder Organisationen gehören.

Instanz erstellen, die den privaten Zugriff auf Dienste und Private Service Connect unterstützt

Wenn Sie eine Cloud SQL-Instanz erstellen, die sowohl den Zugriff auf private Dienste als auch Private Service Connect unterstützt, können Sie die Vorteile beider Dienste nutzen. Weitere Informationen finden Sie unter Verbindungsoptionen für Instanzen.

Mit Private Service Connect können Sie eine Verbindung zu einer Cloud SQL-Instanz von mehreren VPC-Netzwerken aus herstellen, die zu verschiedenen Gruppen, Teams, Projekten oder Organisationen gehören.

Sie können eine Cloud SQL-Instanz erstellen, die den Zugriff auf private Dienste und Private Service Connect unterstützt. Verwenden Sie dazu die gcloud CLI oder die API.

gcloud

Verwenden Sie den Befehl gcloud beta sql instances create, um eine Instanz zu erstellen, die sowohl den Zugriff auf private Dienste als auch Private Service Connect unterstützt:

gcloud beta sql instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION_NAME \
--enable-private-service-connect \
--allowed-psc-projects=ALLOWED_PROJECTS \
--availability-type=AVAILABILITY_TYPE \
--no-assign-ip \
--allocated-ip-range-name=RANGE_NAME \
--enable-google-private-path \
--tier=MACHINE_TYPE \
--database-version=DATABASE_VERSION \
--network=VPC_NETWORK_NAME \
--psc-auto-connections=network=VPC_NETWORK_PATH,project=SERVICE_PROJECT

Ersetzen Sie die folgenden Werte:

INSTANCE_NAME: der Name der Instanz.
PROJECT_ID: die ID oder Projektnummer des Google Cloud-Projekts, das die Instanz enthält.
REGION_NAME: der Name der Region für die Instanz.
ALLOWED_PROJECTS: eine Liste zulässiger Projekt-IDs oder -Nummern, durch Kommas getrennt. Wenn ein Projekt nicht in dieser Liste enthalten ist, können Sie darin keine Private Service Connect-Endpunkte erstellen, um eine Verbindung zur Instanz herzustellen.
AVAILABILITY_TYPE: Hochverfügbarkeit für die hochgestufte Instanz aktivieren Geben Sie für diesen Parameter einen der folgenden Werte an:
- REGIONAL: Hochverfügbarkeit aktivieren und für Instanzen in der Produktionsumgebung empfohlen Die Instanz führt ein Failover auf eine andere Zone in der ausgewählten Region durch.
- ZONAL: keine Failover-Funktion bereitstellen Dies ist der Standardwert.
Weitere Informationen zum Festlegen und Entfernen von Hochverfügbarkeit für Instanzen finden Sie unter Bestehende Instanz für Hochverfügbarkeit konfigurieren und Hochverfügbarkeit für eine Instanz deaktivieren.
RANGE_NAME: Mit diesem optionalen Parameter legen Sie den Namen eines Bereichs fest, dem ein IP-Bereich zugewiesen wird. Der Bereichsname muss RFC 1035 entsprechen und zwischen 1 und 63 Zeichen lang sein.
MACHINE_TYPE: der gewünschte Maschinentyp für die Instanz.
DATABASE_VERSION: die Datenbankversion für die Instanz (z. B. POSTGRES_13).
VPC_NETWORK_NAME: Name und Pfad des VPC-Netzwerk, mit dem die Instanz verbunden ist (z. B. "projects/PROJECT_ID/global/networks/default").
VPC_NETWORK_PATH: der Pfad zum VPC-Netzwerk, in dem der Private Service Connect-Endpunkt erstellt werden soll. Beispiel:
projects/my-host-project/global/networks/default.
SERVICE_PROJECT: das Projekt, in dem der Private Service Connect-Endpunkt erstellt wird. Wenn das VPC-Netzwerk keine freigegebene VPC ist, kann dies nur das Hostprojekt für das Netzwerk sein. Bei einer freigegebenen VPC kann dies entweder das Hostprojekt oder das Dienstprojekt sein.

Alle Projekte, die Sie in den Parametern für die automatische Verbindung angeben, werden automatisch zu den zulässigen Projekten hinzugefügt.

Hinweis : Wenn Sie möchten, dass der Private Service Connect-Endpunkt automatisch von Cloud SQL erstellt wird, müssen Sie die Codezeile psc-auto-connections verwenden. Andernfalls ist das nicht erforderlich. Bevor Sie die Instanz erstellen, müssen Sie außerdem eine Richtlinie für Dienstverbindungen erstellen.

Informationen zum Herstellen einer Verbindung zu einer Instanz, für die Private Service Connect aktiviert ist, finden Sie unter Verbindung zu einer Cloud SQL-Instanz herstellen.

Verwenden Sie den Parameter --no-assign-ip, um öffentliche IP-Adressen zu deaktivieren.

Optional können Sie auch den Parameter --enable-google-private-path verwenden, um anderen Google Cloud-Diensten wie BigQuery den Zugriff auf Daten in Cloud SQL und das Abfragen dieser Daten über eine private IP-Verbindung zu ermöglichen. Dieser Parameter ist nur in folgenden Fällen gültig:

Sie verwenden den Parameter --no-assign-ip.
Sie geben mit dem Parameter --network den Namen des VPC-Netzwerks an, das Sie zum Erstellen einer privaten Verbindung verwenden möchten.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

PROJECT_ID: die ID oder Projektnummer des Google Cloud-Projekts, das die Instanz enthält.
INSTANCE_NAME: der Name der Instanz.
REGION_NAME: der Name der Region für die Instanz.
AVAILABILITY_TYPE: Hochverfügbarkeit für die hochgestufte Instanz aktivieren Geben Sie für diesen Parameter einen der folgenden Werte an:
- REGIONAL: Hochverfügbarkeit aktivieren und für Instanzen in der Produktionsumgebung empfohlen Die Instanz führt ein Failover auf eine andere Zone in der ausgewählten Region durch.
- ZONAL: keine Failover-Funktion bereitstellen Dies ist der Standardwert.
Weitere Informationen zum Festlegen und Entfernen von Hochverfügbarkeit für Instanzen finden Sie unter Bestehende Instanz für Hochverfügbarkeit konfigurieren und Hochverfügbarkeit für eine Instanz deaktivieren.
VPC_NETWORK_NAME: Name und Pfad des VPC-Netzwerk, mit dem die Instanz verbunden ist (z. B. "projects/PROJECT_ID/global/networks/default").
RANGE_NAME: Mit diesem optionalen Parameter legen Sie den Namen eines Bereichs fest, dem ein IP-Bereich zugewiesen wird. Der Bereichsname muss RFC 1035 entsprechen und zwischen 1 und 63 Zeichen lang sein.
ALLOWED_PROJECTS: eine Liste zulässiger Projekt-IDs oder -Nummern, durch Kommas getrennt. Wenn ein Projekt nicht in dieser Liste enthalten ist, können Sie darin keine Private Service Connect-Endpunkte erstellen, um eine Verbindung zur Instanz herzustellen.
VPC_NETWORK_PATH: der Pfad zum VPC-Netzwerk, in dem der Private Service Connect-Endpunkt erstellt werden soll. Beispiel:
projects/my-host-project/global/networks/default.
SERVICE_PROJECT: das Projekt, in dem der Private Service Connect-Endpunkt erstellt wird. Wenn das VPC-Netzwerk keine freigegebene VPC ist, kann dies nur das Hostprojekt für das Netzwerk sein. Bei einer freigegebenen VPC kann dies entweder das Hostprojekt oder das Dienstprojekt sein.

Alle Projekte, die Sie in den Parametern für die automatische Verbindung angeben, werden automatisch zu den zulässigen Projekten hinzugefügt.

Hinweis: Wenn Sie möchten, dass Cloud SQL den Private Service Connect-Endpunkt automatisch erstellt, müssen Sie den Codeabschnitt pscAutoConnections verwenden. Andernfalls ist das nicht erforderlich. Bevor Sie die Instanz erstellen, müssen Sie außerdem eine Richtlinie für Dienstverbindungen erstellen.

MACHINE_TYPE: der gewünschte Maschinentyp für die Instanz.

Informationen zum Herstellen einer Verbindung zu einer Instanz, für die Private Service Connect aktiviert ist, finden Sie unter Verbindung zu einer Cloud SQL-Instanz herstellen.

Sie legen den Parameter ipv4Enabled auf false fest, da Ihre Instanz eine interne IP-Adresse hat.

Wenn Sie den optionalen Parameter enablePrivatePathForGoogleCloudServices auf true festlegen, erlauben Sie anderen Google Cloud-Diensten wie BigQuery den Zugriff auf Daten in Cloud SQL und das Abfragen dieser Daten über eine interne IP-Verbindung. Wenn Sie diesen Parameter auf false setzen, können andere Google Cloud-Dienste nicht über eine interne IP-Verbindung auf Daten in Cloud SQL zugreifen.

HTTP-Methode und URL:

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

JSON-Text anfordern:

{
  "name": "INSTANCE_NAME",
  "project": PROJECT_ID",
  "region": "REGION_NAME",
  "databaseVersion": "POSTGRES_13",
  "kind": "sql#instance",
  "settings": {
    "availabilityType": "AVAILABILITY_TYPE",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": VPC_NETWORK_NAME,
      "allocatedIpRange": "RANGE_NAME",
      "enablePrivatePathForGoogleCloudServices": true,
      "pscConfig": {
        "allowedConsumerProjects": [
          "ALLOWED_PROJECTS"
        ],
        "pscAutoConnections": [
          {
            "consumerProject":"SERVICE_PROJECT",
            "consumerNetwork":"projects/SERVICE_PROJECT/global/networks/VPC_NETWORK_PATH"
          }
        ],
        "pscEnabled": true
      }
    },
    "kind": "sql#settings",
    "pricingPlan": "PER_USE",
    "replicationType": "SYNCHRONOUS",
    "tier": "MACHINE_TYPE"
  }
}

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud-Befehlszeile angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch bei der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud-Befehlszeile angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME",
  "status": "RUNNING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "startTime": "2023-06-14T18:48:35.499Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_NAME",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Private Service Connect für eine Instanz deaktivieren

Sie können Private Service Connect für eine Instanz deaktivieren, für die sowohl der Zugriff auf private Dienste als auch Private Service Connect aktiviert ist. Aus Sicherheitsgründen sollten Sie die Instanz nicht über mehrere VPC-Netzwerke verbinden, die zu verschiedenen Gruppen, Teams, Projekten oder Organisationen gehören.

Sie können Private Service Connect für eine Instanz mit der gcloud CLI oder der API deaktivieren.

gcloud

Verwenden Sie den Befehl gcloud beta sql instances patch, um Private Service Connect für eine Instanz zu deaktivieren:

gcloud beta sql instances patch INSTANCE_NAME \
--project=PROJECT_ID \
--no-enable-private-service-connect \
--clear-allowed-psc-projects

Ersetzen Sie die folgenden Werte:

INSTANCE_NAME ist der Name der Instanz.
PROJECT_ID: die ID oder Projektnummer des Google Cloud-Projekts, das die Instanz enthält

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

PROJECT_ID: die ID oder Projektnummer des Google Cloud-Projekts, das die Instanz enthält
INSTANCE_NAME: Name der Instanz

HTTP-Methode und URL:

PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME

JSON-Text anfordern:

{
  "kind": "sql#instance",
  "name": "INSTANCE_NAME",
  "project": "PROJECT_ID",
  "settings": {
    "ipConfiguration": {
      "pscConfig": {
        "pscEnabled": "false",
        "allowedConsumerProjects": [{}]
      }
    },
    "kind": "sql#settings"
  }
}

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME"

PowerShell (Windows)

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME",
  "status": "RUNNING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "startTime": "2023-06-14T18:48:35.499Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_NAME",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Private Service Connect für eine Instanz aktivieren

Sie können Private Service Connect für eine Instanz aktivieren, für die der Zugriff auf private Dienste bereits aktiviert ist. Sie können Private Service Connect verwenden, um eine Verbindung zu einer Cloud SQL-Instanz von mehreren VPC-Netzwerken aus herzustellen.

Sie können Private Service Connect für eine Instanz mit der gcloud CLI oder der API aktivieren.

gcloud

Verwenden Sie den Befehl gcloud beta sql instances patch, um Private Service Connect für eine Instanz zu aktivieren:

gcloud beta sql instances patch INSTANCE_NAME \
--project=PROJECT_ID \
--enable-private-service-connect \
--allowed-psc-projects=ALLOWED_PROJECTS \
--psc-auto-connections=network=VPC_NETWORK_PATH,project=SERVICE_PROJECT

Ersetzen Sie die folgenden Werte:

INSTANCE_NAME ist der Name der Instanz.
PROJECT_ID: die ID oder Projektnummer des Google Cloud-Projekts, das die Instanz enthält
ALLOWED_PROJECTS: eine Liste zulässiger Projekt-IDs oder -Nummern, durch Kommas getrennt. Wenn ein Projekt nicht in dieser Liste enthalten ist, können Sie im Projekt keine Private Service Connect-Endpunkte erstellen, um eine Verbindung zur Instanz herzustellen.
VPC_NETWORK_PATH: der Pfad zum VPC-Netzwerk, in dem der Private Service Connect-Endpunkt erstellt wird. Beispiel:
projects/my-host-project/global/networks/default.
SERVICE_PROJECT: das Projekt, in dem der Private Service Connect-Endpunkt erstellt wird. Wenn das VPC-Netzwerk keine freigegebene VPC ist, kann dies nur das Hostprojekt für das Netzwerk sein. Bei einer freigegebenen VPC kann dies entweder das Hostprojekt oder das Dienstprojekt sein.

Alle Projekte, die Sie in den Parametern für die automatische Verbindung angeben, werden automatisch zu den zulässigen Projekten hinzugefügt.

Hinweis : Wenn der Private Service Connect-Endpunkt in Cloud SQL automatisch erstellt wurde, müssen Sie die Codezeile psc-auto-connections verwenden. Andernfalls ist das nicht erforderlich.

Informationen zum Herstellen einer Verbindung zu einer Instanz, für die Private Service Connect aktiviert ist, finden Sie unter Verbindung zu einer Cloud SQL-Instanz herstellen.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

PROJECT_ID: die ID oder Projektnummer des Google Cloud-Projekts, das die Instanz enthält.
INSTANCE_NAME: der Name der Instanz.
ALLOWED_PROJECTS: eine Liste zulässiger Projekt-IDs oder -Nummern, durch Kommas getrennt. Diese Projekte überschreiben Projekte, die bereits für die Verwendung von Private Service Connect konfiguriert sind. Wenn ein Projekt nicht in dieser Liste enthalten ist, können Sie im Projekt keine Private Service Connect-Endpunkte erstellen, um eine Verbindung zur Instanz herzustellen.
VPC_NETWORK_PATH: der Pfad zum VPC-Netzwerk, in dem der Private Service Connect-Endpunkt erstellt wird. Beispiel:
projects/my-host-project/global/networks/default.
SERVICE_PROJECT: das Projekt, in dem der Private Service Connect-Endpunkt erstellt wird. Wenn das VPC-Netzwerk keine freigegebene VPC ist, kann dies nur das Hostprojekt für das Netzwerk sein. Bei einer freigegebenen VPC kann dies entweder das Hostprojekt oder das Dienstprojekt sein.

Alle Projekte, die Sie in den Parametern für die automatische Verbindung angeben, werden automatisch zu den zulässigen Projekten hinzugefügt.

Hinweis: Wenn der Private Service Connect-Endpunkt automatisch von Cloud SQL erstellt wurde, müssen Sie den Codeabschnitt pscAutoConnections verwenden. Andernfalls ist das nicht erforderlich.

HTTP-Methode und URL:

PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME

JSON-Text anfordern:

{
  "kind": "sql#instance",
  "name": "INSTANCE_NAME",
  "project": "PROJECT_ID",
  "settings": {
    "ipConfiguration": {
      "pscConfig": {
        "pscAutoConnections": [
          {
            "consumerProject":"SERVICE_PROJECT",
            "consumerNetwork":"projects/SERVICE_PROJECT/global/networks/VPC_NETWORK_PATH"
          }
        ],
        "pscEnabled": "true",
        "allowedConsumerProjects": [ALLOWED_PROJECTS]
      }
    },
    "kind": "sql#settings"
  }
}

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME"

PowerShell (Windows)

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME",
  "status": "RUNNING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "startTime": "2023-06-14T18:48:35.499Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_NAME",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Informationen zum Herstellen einer Verbindung zu einer Instanz, für die Private Service Connect aktiviert ist, finden Sie unter Verbindung zu einer Cloud SQL-Instanz herstellen.