プライベート IP を構成する

MySQL | PostgreSQL | SQL Server

このページでは、プライベート IP を使用する Cloud SQL インスタンスの構成方法について説明します。

プライベート IP の仕組み、および環境と管理に関する要件については、プライベート IP をご覧ください。

始める前に

API と IAM の要件

Google Cloud プロジェクトで Service Networking API を有効にする必要があります。

共有 VPC ネットワークを使用している場合は、ホストプロジェクトでもこの API を有効にする必要があります。

プライベートサービスアクセス接続を管理するには、ユーザーに次の Identity and Access Management（IAM）権限が必要です。必要な権限がない場合は、権限不足のエラーが発生することがあります。
- compute.networks.list
- compute.addresses.create
- compute.addresses.list
- servicenetworking.services.addPeering
また、共有 VPC ネットワークを使用している場合は、ユーザーをホストプロジェクトに追加して、そのホストプロジェクトのユーザーに同じ権限を割り当てる必要もあります。

プライベートサービスアクセス

プロジェクトで新しい Virtual Private Cloud（VPC）ネットワークを作成する場合は、プライベートサービスアクセスを構成して IP アドレス範囲を割り振り、限定公開サービス接続を作成する必要があります。これにより、VPC ネットワーク内のリソースは Cloud SQL インスタンスに接続できます。Google Cloud コンソールには、この構成を設定するためのウィザードが用意されています。

プライベート IP アドレスを使用した異なる VPC ネットワークを Cloud SQL for SQL Server インスタンスに割り当てると、すべてを default VPC ネットワークに接続する場合よりも適切に分離できます。

プライベート IP を使用するようにインスタンスを構成する

インスタンスの作成時に、プライベート IP を使用するように Cloud SQL インスタンスを構成できます。また、同じ構成を既存のインスタンスに行うこともできます。

新しいインスタンスにプライベート IP を構成する

インスタンスの作成時に Cloud SQL インスタンスがプライベート IP を使用するように構成するには:

Console

Google Cloud コンソールで Cloud SQL の [インスタンス] ページに移動します。

Cloud SQL の [インスタンス] に移動
[インスタンスを作成] をクリックします。
[構成オプションを表示] を開きます。
[接続] を開きます。
[プライベート IP] を選択します。
プルダウンリストに、プロジェクトで使用可能な VPC ネットワークが表示されます。プロジェクトが共有 VPC のサービスプロジェクトである場合、ホストプロジェクトの VPC ネットワークも表示されます。
使用する VPC ネットワークを選択します。

プライベートサービス接続を設定する必要があることを示すメッセージが表示された場合は、次の手順を行います。

[接続の設定] をクリックします。
[IP 範囲を割り振る] セクションで、次のいずれかのオプションを選択します。
- 既存の IP 範囲を 1 つ以上選択するか、プルダウンから新しい IP 範囲を作成します。プルダウンには、以前に割り振られた範囲があればそれが含まれます。または、[新しい IP 範囲を割り当てる] を選択して、新しい範囲と名前を入力することもできます。
- ネットワークで自動的に割り振られた IP 範囲を使用します。
注: アドレス範囲を指定できるのはプライマリインスタンスのみです。リードレプリカやクローンには指定できません。
[続行] をクリックします。
[接続の作成] をクリックします。
「Private service connection for network VPC_NETWORK_NAME has been successfully created」というメッセージが表示されることを確認します。

必要に応じて、接続に使用するインスタンスに割り振る IP 範囲を指定できます。
1. [割り振られた IP 範囲のオプションを表示] を開きます。
2. プルダウンメニューから IP 範囲を選択します。
インスタンスの構成を終了します。
[インスタンスを作成] をクリックします。

gcloud

プライベート IP アドレスを使用してインスタンスを作成する前に、プロジェクトがプライベートサービスアクセス用に構成されていることを確認してください。

リクエストのデータを使用する前に、次のように置き換えます。

INSTANCE_ID: インスタンス ID
PROJECT_ID: プロジェクト ID
NETWORK_PROJECT_ID: VPC ネットワークのプロジェクト ID

注: VPC ネットワークが共有 VPC の場合、PROJECT_ID は共有 VPC サービスプロジェクトの ID であり、NETWORK_PROJECT_ID は共有 VPC ホストプロジェクトの ID である必要があります。
VPC_NETWORK_NAME: VPC ネットワークの名前。
RANGE_NAME: 省略可。指定すると、IP 範囲が割り振られている範囲名が設定されます。範囲名は RFC-1035 を遵守し、1～63 文字にする必要があります。
REGION_NAME: リージョン名

VPC ネットワークの名前を指定するには、--network パラメータを使用します。パブリック IP を無効にするには、--no-assign-ip フラグを使用します。

gcloud beta sql instances create INSTANCE_ID \
--project=PROJECT_ID \
--network=projects/NETWORK_PROJECT_ID/global/networks/VPC_NETWORK_NAME \
--no-assign-ip \
--allocated-ip-range-name=RANGE_NAME

Terraform

新しいインスタンスのプライベート IP を構成するには、次の Terraform リソースを使用します。


resource "google_compute_network" "peering_network" {
  name                    = "private-network"
  auto_create_subnetworks = "false"
}

resource "google_compute_global_address" "private_ip_address" {
  name          = "private-ip-address"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 16
  network       = google_compute_network.peering_network.id
}

resource "google_service_networking_connection" "default" {
  network                 = google_compute_network.peering_network.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.private_ip_address.name]
}

resource "google_sql_database_instance" "instance" {
  name             = "private-ip-sql-instance"
  region           = "us-central1"
  database_version = "SQLSERVER_2019_STANDARD"
  root_password    = "INSERT-PASSWORD-HERE"

  depends_on = [google_service_networking_connection.default]

  settings {
    tier = "db-custom-2-7680"
    ip_configuration {
      ipv4_enabled    = "false"
      private_network = google_compute_network.peering_network.id
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

resource "google_compute_network_peering_routes_config" "peering_routes" {
  peering              = google_service_networking_connection.default.peering
  network              = google_compute_network.peering_network.name
  import_custom_routes = true
  export_custom_routes = true
}

## Uncomment this block after adding a valid DNS suffix

# resource "google_service_networking_peered_dns_domain" "default" {
#   name       = "example-com"
#   network    = google_compute_network.peering_network.id
#   dns_suffix = "example.com."
#   service    = "servicenetworking.googleapis.com"
# }

変更を適用する

Google Cloud プロジェクトで Terraform 構成を適用するには、次のセクションの手順を完了します。

Cloud Shell を準備する

Cloud Shell を起動します。
Terraform 構成を適用するデフォルトの Google Cloud プロジェクトを設定します。

このコマンドは、プロジェクトごとに 1 回だけ実行する必要があります。これは任意のディレクトリで実行できます。
```
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
```
Terraform 構成ファイルに明示的な値を設定すると、環境変数がオーバーライドされます。

ディレクトリを準備する

Terraform 構成ファイルには独自のディレクトリ（ルートモジュールとも呼ばれます）が必要です。

Cloud Shell で、ディレクトリを作成し、そのディレクトリ内に新しいファイルを作成します。ファイルの拡張子は .tf にする必要があります（例: main.tf）。このチュートリアルでは、このファイルを main.tf とします。
```
mkdir DIRECTORY && cd DIRECTORY && touch main.tf
```
チュートリアルを使用している場合は、各セクションまたはステップのサンプルコードをコピーできます。

新しく作成した main.tf にサンプルコードをコピーします。

必要に応じて、GitHub からコードをコピーします。Terraform スニペットがエンドツーエンドのソリューションの一部である場合は、この方法をおすすめします。
環境に適用するサンプルパラメータを確認し、変更します。
変更を保存します。
Terraform を初期化します。これは、ディレクトリごとに 1 回だけ行います。
```
terraform init
```
最新バージョンの Google プロバイダを使用する場合は、-upgrade オプションを使用します。
```
terraform init -upgrade
```

変更を適用する

構成を確認して、Terraform が作成または更新するリソースが想定どおりであることを確認します。
```
terraform plan
```
必要に応じて構成を修正します。
次のコマンドを実行します。プロンプトで「yes」と入力して、Terraform 構成を適用します。
```
terraform apply
```
Terraform に「Apply complete!」というメッセージが表示されるまで待ちます。
Google Cloud プロジェクトを開いて結果を表示します。Google Cloud コンソールの UI でリソースに移動して、Terraform によって作成または更新されたことを確認します。

変更を削除する

変更を削除するには、次の手順を行います。

削除の保護を無効にするには、Terraform 構成ファイルで deletion_protection 引数を false に設定します。
```
deletion_protection =  "false"
```
次のコマンドを実行します。プロンプトで「yes」と入力して、更新された Terraform 構成を適用します。
```
terraform apply
```

次のコマンドを実行します。プロンプトで「yes」と入力して、以前に Terraform 構成で適用されたリソースを削除します。
```
terraform destroy
```

REST v1

プライベート IP アドレスを持つ新しいインスタンスを作成します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID:: プロジェクト ID
INSTANCE_ID:: インスタンス ID
VPC_NETWORK_NAME:: このインスタンスに使用する Virtual Private Cloud（VPC）ネットワークの名前を指定します。このネットワークに対して、プライベートサービスアクセスがすでに構成されている必要があります。
RANGE_NAME:: 省略可。指定すると、IP 範囲が割り振られている範囲名が設定されます。範囲名は RFC-1035 を遵守し、1～63 文字にする必要があります。
AUTHORIZED_NETWORKS: パブリック IP 接続の場合は、インスタンスに接続できる承認済みネットワークからの接続を指定します。

インスタンスにパブリック IP アドレスを使用する場合は、ipv4Enabled パラメータに true を設定します。インスタンスにプライベート IP アドレスを使用する場合は false を設定します。

HTTP メソッドと URL:

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

リクエストの本文（JSON）:

{
  "name": "INSTANCE_ID",
  "region": "region",
  "databaseVersion": "database-version",
  "settings": {
    "tier": "machine-type",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],

    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して自分のユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

レスポンス

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

REST v1beta4

プライベート IP アドレスを持つ新しいインスタンスを作成します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID:: プロジェクト ID
INSTANCE_ID:: インスタンス ID
VPC_NETWORK_NAME:: このインスタンスに使用する Virtual Private Cloud（VPC）ネットワークの名前を指定します。このネットワークに対して、プライベートサービスアクセスがすでに構成されている必要があります。
RANGE_NAME:: 省略可。指定すると、IP 範囲が割り振られている範囲名が設定されます。範囲名は RFC-1035 を遵守し、1～63 文字にする必要があります。
AUTHORIZED_NETWORKS: パブリック IP 接続の場合は、インスタンスに接続できる承認済みネットワークからの接続を指定します。

HTTP メソッドと URL:

POST https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances

リクエストの本文（JSON）:

{
  "name": "INSTANCE_ID",
  "region": "region",
  "databaseVersion": "database-version",
  "settings": {
    "tier": "machine-type",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],

    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

レスポンス

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

既存のインスタンスにプライベート IP を構成する

プライベート IP を使用するように既存の Cloud SQL インスタンスを構成すると、インスタンスが再起動し、ダウンタイムが生じます。

プライベート IP を使用するように既存のインスタンスを構成するには:

Console

Google Cloud コンソールで Cloud SQL の [インスタンス] ページに移動します。

Cloud SQL の [インスタンス] に移動
インスタンスの [概要] ページを開くには、インスタンス名をクリックします。
Cloud SQL ナビゲーションメニューから [接続] を選択します。
[ネットワーキング] タブの [プライベート IP] チェックボックスをオンにします。
プルダウンリストには、プロジェクトで使用可能なネットワークが表示されます。
使用する VPC ネットワークを選択します。

[プライベートサービス接続が必要] と表示された場合:

[接続の設定] をクリックします。
[IP 範囲を割り当てる] セクションで、次のいずれかのオプションを選択します。
- 既存の IP 範囲を 1 つ以上選択するか、プルダウンから新しい IP 範囲を作成します。プルダウンには、以前に割り振られた範囲があればそれが含まれます。または、[新しい IP 範囲を割り当てる] を選択して、新しい範囲と名前を入力することもできます。
- ネットワークで自動的に割り振られた IP 範囲を使用します。
注: アドレス範囲を指定できるのはプライマリインスタンスのみです。リードレプリカやクローンには指定できません。
[続行] をクリックします。
[接続の作成] をクリックします。
ステータスを確認し、ネットワーク VPC_NETWORK_NAME のプライベートサービス接続が正常に作成されたことを確認します。

[保存] をクリックします。

gcloud

プロジェクトがプライベートサービスアクセス用に構成されていることを確認してください。

--network パラメータを使用して Cloud SQL インスタンスを更新し、選択した VPC ネットワークの名前を指定します。

gcloud beta sql instances patch INSTANCE_ID \
--project=PROJECT_ID \
--network=projects/NETWORK_PROJECT_ID/global/networks/VPC_NETWORK_NAME \
--no-assign-ip

REST v1

プライベート IP アドレスを持つ新しいインスタンスを作成します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID:: プロジェクト ID
INSTANCE_ID:: インスタンス ID
VPC_NETWORK_NAME:: このインスタンスに使用する Virtual Private Cloud（VPC）ネットワークの名前を指定します。このネットワークに対して、プライベートサービスアクセスがすでに構成されている必要があります。
RANGE_NAME:: 省略可。指定すると、IP 範囲が割り振られている範囲名が設定されます。範囲名は RFC-1035 を遵守し、1～63 文字にする必要があります。
AUTHORIZED_NETWORKS: パブリック IP 接続の場合は、インスタンスに接続できる承認済みネットワークからの接続を指定します。

HTTP メソッドと URL:

PATCH https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID

リクエストの本文（JSON）:

{
  "settings":
  {
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],

    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

レスポンス

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

REST v1beta4

プライベート IP アドレスを持つ新しいインスタンスを作成します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID:: プロジェクト ID
INSTANCE_ID:: インスタンス ID
VPC_NETWORK_NAME:: このインスタンスに使用する Virtual Private Cloud（VPC）ネットワークの名前を指定します。このネットワークに対して、プライベートサービスアクセスがすでに構成されている必要があります。
RANGE_NAME:: 省略可。指定すると、IP 範囲が割り振られている範囲名が設定されます。範囲名は RFC-1035 に準拠し、1～63 文字にする必要があります。
AUTHORIZED_NETWORKS パブリック IP 接続の場合は、インスタンスに接続できる承認済みネットワークからの接続を指定します。

HTTP メソッドと URL:

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

リクエストの本文（JSON）:

{
  "settings":
  {
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],

    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

レスポンス

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

プライベート IP を使用してインスタンスに接続する

プライベートサービスアクセスを使用して、同じ VPC ネットワーク内の Compute Engine または Google Kubernetes Engine（ここでは内部ソース）から、またはネットワーク外（外部ソース）から Cloud SQL インスタンスに接続します。

内部ソースから接続する

Compute Engine リソースで動作している Cloud SQL Auth Proxy など、Cloud SQL インスタンスと同じ Google Cloud プロジェクトのソースから接続するには、そのリソースが、Cloud SQL インスタンスに対してプライベートサービスアクセスが確立されているのと同じ VPC ネットワークに存在している必要があります。

App Engine スタンダード環境、Cloud Run、または Cloud Functions などのサーバーレスソースから接続する場合は、アプリケーションまたは関数は、Cloud SQL Auth Proxy を使用せずにサーバーレス VPC アクセスを介してインスタンスに直接接続します。

外部ソースから接続する

外部ネットワーク（オンプレミスネットワークや VPC ネットワークなど）が Cloud SQL インスタンスが接続されている VPC ネットワークに接続されている場合は、Cloud VPN または Cloud Interconnect を使用して、外部ネットワークのクライアントからインスタンスに接続します。

外部ネットワークからの接続を許可するには、次の操作を行います。

VPC ネットワークが外部ネットワークに、Cloud VPN トンネルまたは Dedicated Interconnect / Partner Interconnect 用 VLAN アタッチメントを使用して接続されていることを確認します。
Cloud VPN トンネルと Cloud Interconnect アタッチメント（VLAN）を管理する Cloud Router の Border Gateway Protocol（BGP）セッションが、オンプレミスネットワークから特定の接頭辞（宛先）を受信したことを確認します。
デフォルトルート（宛先 0.0.0.0/0）は、Cloud SQL VPC ネットワークにインポートできません。ネットワークに独自のローカルのデフォルトルートがあるためです。Cloud SQL ピアリングが VPC ネットワークからカスタムルートをインポートするように構成されていても、宛先のローカルルートが使用されます。
プライベートサービス接続によって生成されるピアリング接続を特定します。サービスに応じて、プライベートサービス接続が 1 つ以上の次のピアリング接続を作成する場合がありますが、必ずしもこれらがすべてではありません。
- cloudsql-mysql-googleapis-com
- cloudsql-postgres-googleapis-com
- servicenetworking-googleapis-com
すべてのピアリング接続を更新して、カスタムルートのエクスポートを有効にします。
プライベートサービス接続に使用される割り振り範囲を特定します。
Cloud VPN トンネルまたは Cloud Interconnect アタッチメント（VLAN）の BGP セッションを管理する Cloud Router の割り振り範囲用に Cloud Router のカスタムルートアドバタイズを作成します。

Cloud Shell から接続する

Cloud Shell は、プライベート IP アドレスのみを持つ Cloud SQL インスタンスへの接続をサポートしていません。

RFC 1918 以外の IP アドレスから接続する

RFC 1918 により、内部で（つまり、組織内で）使用するために割り振られる IP アドレスが指定され、インターネット上ではルーティングされません。具体的には次のようなものがあります。

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

プライベート IP アドレスを使用して Cloud SQL インスタンスへ接続すると、RFC 1918 アドレス範囲が自動的に承認されます。これにより、すべてのプライベートクライアントがプロキシを経由せずにデータベースにアクセスできます。

RFC 1918 以外の IP アドレスから接続するには、インスタンスごとの IP 認証を設定して、RFC 1918 以外の IP アドレス範囲からのトラフィックを許可します。

たとえば、次のような gcloud コマンドを使用します。

gcloud sql instances patch INSTANCE_NAME \
--authorized-networks=192.88.99.0/24,11.0.0.0/24

Cloud SQL は、デフォルトでは VPC ネットワークから RFC 1918 以外のサブネットルートを学習しません。RFC 1918 以外のルートをエクスポートするには、Cloud SQL へのネットワークピアリングを更新する必要があります。

gcloud compute networks peerings update PEERING_CONNECTION \
--network=VPC_NETWORK_NAME \
--export-subnet-routes-with-public-ip \
--project=PROJECT_ID

次のように置き換えます。

PEERING_CONNECTION は VPC ネットワークとサービスプロデューサーネットワーク間の限定公開サービス接続によって生成されるピアリング接続の名前です。
VPC_NETWORK_NAME は VPC ネットワークの名前です。
PROJECT_ID は VPC ネットワークのプロジェクトの ID です。共有 VPC を使用している場合は、ホストプロジェクト ID を使用します。

IP アドレスの枯渇を軽減するには、限定公開で使用されるパブリック IP アドレスを使用します。

限定公開で使用されるパブリック IP アドレスから接続する

限定公開で使用されるパブリック IP アドレス範囲でインスタンスを構成する場合、ネットワークと Cloud SQL ネットワーク間のネットワークピアリングで export-subnet-routes-with-public-ip を有効にします。

gcloud compute networks peerings update PEERING_CONNECTION \
--network=VPC_NETWORK_NAME \
--export-subnet-routes-with-public-ip \
--project=PROJECT_ID

次のように置き換えます。

PEERING_CONNECTION は VPC ネットワークとサービスプロデューサーネットワーク間の限定公開サービス接続によって生成されるピアリング接続の名前です。ピアリング接続の名前を確認するには、[VPC ネットワークピアリング] ページに移動します。
VPC_NETWORK_NAME は VPC ネットワークの名前です。
PROJECT_ID は VPC ネットワークのプロジェクトの ID です。共有 VPC を使用している場合は、ホストプロジェクト ID を使用します。

限定公開で使用されるパブリック IP アドレスで構成されたインスタンスに接続する

限定公開で利用されるパブリック IP アドレス範囲でインスタンスが構成されており、そのインスタンスに接続する場合は、ネットワークと Cloud SQL ネットワーク間のネットワークピアリングで import-subnet-routes-with-public-ip を有効にします。

gcloud compute networks peerings update PEERING_CONNECTION \
--network=VPC_NETWORK_NAME \
--import-subnet-routes-with-public-ip \
--project=PROJECT_ID

次のように置き換えます。

PEERING_CONNECTION は VPC ネットワークとサービスプロデューサーネットワーク間の限定公開サービス接続によって生成されるピアリング接続の名前です。ピアリング接続の名前を確認するには、[VPC ネットワークピアリング] ページに移動します。
VPC_NETWORK_NAME は VPC ネットワークの名前です。
PROJECT_ID は VPC ネットワークのプロジェクトの ID です。共有 VPC を使用している場合は、ホストプロジェクト ID を使用します。

トラブルシューティング

接続の既知の問題についてはトラブルシューティングを、自己診断については接続の問題のデバッグをご覧ください。

次のステップ

プライベート IP の詳細を確認する。
プライベートサービスアクセスの詳細を学習する。
VPC Service Controls を使用してサービス境界を追加する方法を確認する。
プライベートサービスアクセスを構成する方法を確認する。
Cloud SQL のプライベートサービスアクセスを構成する方法を確認する。
Cloud VPN の詳細を確認する。
VPC ネットワークの詳細を確認する。
VPC ネットワークピアリングの詳細を確認する。
共有 VPC の詳細を確認する。

プライベート IP を構成する

始める前に

API と IAM の要件

プライベート サービス アクセス

プライベート IP を使用するようにインスタンスを構成する

新しいインスタンスにプライベート IP を構成する

Console

gcloud

Terraform

変更を適用する

Cloud Shell を準備する

ディレクトリを準備する

変更を適用する

変更を削除する

REST v1

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

レスポンス

REST v1beta4

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

レスポンス

既存のインスタンスにプライベート IP を構成する

Console

gcloud

REST v1

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

レスポンス

REST v1beta4

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

レスポンス

プライベート IP を使用してインスタンスに接続する

内部ソースから接続する

外部ソースから接続する

Cloud Shell から接続する

RFC 1918 以外の IP アドレスから接続する

限定公開で使用されるパブリック IP アドレスから接続する

限定公開で使用されるパブリック IP アドレスで構成されたインスタンスに接続する

トラブルシューティング

次のステップ

プライベートサービスアクセス