Informazioni sull'accesso alle API di Google tramite endpoint

Questo documento offre una panoramica degli endpoint di Private Service Connect utilizzati per accedere alle API di Google.

Per impostazione predefinita, se hai un'applicazione che utilizza un servizio Google, come Cloud Storage, l'applicazione si connette al nome DNS predefinito per il servizio, ad esempio storage.googleapis.com. I nomi DNS predefiniti per i servizi Google vengono risolti in indirizzi IP instradabili pubblicamente. Tuttavia, il traffico inviato dalle risorse Google Cloud a questi indirizzi IP rimane all'interno della rete Google.

Con Private Service Connect, puoi creare endpoint privati utilizzando indirizzi IP interni globali nella tua rete VPC. Puoi assegnare nomi DNS a questi indirizzi IP interni con nomi significativi come storage-vialink1.p.googleapis.com e bigtable-adsteam.p.googleapis.com. Questi nomi e indirizzi IP sono interni alla tua rete VPC e a qualsiasi rete on-premise a cui è connessa tramite tunnel Cloud VPN o collegamenti VLAN. Puoi controllare quale traffico viene indirizzato a un endpoint e dimostrare che il traffico rimane all'interno di Google Cloud.

Questa opzione consente di accedere a tutte le API e tutti i servizi Google inclusi nei pacchetti API.

Figura 1. Private Service Connect consente di inviare traffico alle API di Google utilizzando un endpoint privato sulla tua rete VPC (fai clic per ingrandire).

Funzionalità e compatibilità

Questa tabella riassume le funzionalità supportate dagli endpoint utilizzati per accedere alle API di Google.

Configurazione Dettagli
Configurazione consumer (endpoint)
Raggiungibilità globale Utilizza un indirizzo IP globale interno
Interconnessione del traffico
Traffico Cloud VPN
Configurazione DNS automatica
Versione IP IPv4
Servizi supportati API di Google globali supportate

Accesso on-premise

È possibile accedere agli endpoint Private Service Connect utilizzati per accedere alle API di Google da host on-premise connessi supportati. Per maggiori informazioni, consulta Accedere all'endpoint da host on-premise.

Private Service Connect e Service Directory

Gli endpoint sono registrati in Service Directory. Service Directory è una piattaforma per archiviare, gestire e pubblicare servizi. Quando crei un endpoint per accedere alle API e ai servizi Google, selezioni una regione di Service Directory e uno spazio dei nomi di Service Directory.

Regione Service Directory

Service Directory è un servizio regionale. La regione selezionata definisce la posizione del piano di controllo di Service Directory. Non c'è una differenza funzionale tra le regioni, ma potresti avere una preferenza per motivi amministrativi.

Quando crei il primo endpoint per le API di Google in una rete VPC, la regione selezionata viene utilizzata come regione predefinita per tutti gli endpoint successivi creati in quella rete. Se non è ancora impostata una regione per una rete e non ne specifichi una, la regione viene impostata su us-central1. Tutti gli endpoint in una rete devono usare la stessa regione di Service Directory.

Spazio dei nomi Service Directory

Quando crei il primo endpoint per le API di Google in una rete VPC, lo spazio dei nomi selezionato viene utilizzato come spazio dei nomi predefinito per tutti gli endpoint successivi creati in quella rete. Se lo spazio dei nomi non è già impostato per una rete e non specifichi uno spazio dei nomi, viene utilizzato uno spazio dei nomi generato dal sistema. Tutti gli endpoint in una rete devono usare lo stesso spazio dei nomi di Service Directory. Lo spazio dei nomi che scegli deve essere utilizzato solo per gli endpoint utilizzati per accedere alle API di Google. Puoi utilizzare lo stesso spazio dei nomi per endpoint in più reti.

Quando crei un endpoint, vengono create le seguenti configurazioni DNS:

  • Viene creata una zona DNS privata di Service Directory per p.googleapis.com

  • I record DNS vengono creati in p.googleapis.com per alcune API e alcuni servizi Google di uso comune che sono disponibili utilizzando Private Service Connect e hanno nomi DNS predefiniti che terminano con googleapis.com.

    Consulta Creazione di record DNS per le istruzioni su come creare record DNS per le API e i servizi che non hanno un record DNS in p.googleapis.com.

I servizi disponibili variano a seconda che venga selezionato il pacchetto di API all-apis o vpc-sc.

Viene creata una zona DNS di Service Directory per ogni rete VPC che contiene un endpoint.

Puoi accedere ai nomi DNS di un endpoint in tutte le regioni della tua rete VPC.

API supportate

Quando crei un endpoint per accedere alle API e ai servizi Google, scegli a quale bundle di API devi accedere: Tutte le API (all-apis) o VPC-SC (vpc-sc):

I bundle API supportano solo i protocolli basati su HTTP su TCP (HTTP, HTTPS e HTTP/2). Tutti gli altri protocolli, inclusi MQTT e ICMP, non sono supportati.

Bundle API Servizi supportati Esempio di utilizzo
all-apis

Abilita l'accesso API alla maggior parte delle API e dei servizi Google, indipendentemente dal fatto che siano supportati dai Controlli di servizio VPC. Include l'accesso API a Google Maps, Google Ads, Google Cloud e alla maggior parte delle altre API di Google, inclusi gli elenchi di seguito. Non supporta le applicazioni web di Google Workspace come Gmail e Documenti Google. Non supporta i siti web interattivi.

Nomi di dominio corrispondenti:

  • accounts.google.com (solo i percorsi necessari per l'autenticazione OAuth)
  • *.aiplatform-notebook.cloud.google.com
  • *.aiplatform-notebook.googleusercontent.com
  • appengine.google.com
  • *.appspot.com
  • *.backupdr.cloud.google.com
  • backupdr.cloud.google.com
  • *.backupdr.googleusercontent.com
  • backupdr.googleusercontent.com
  • *.cloudfunctions.net
  • *.cloudproxy.app
  • *.composer.cloud.google.com
  • *.composer.googleusercontent.com
  • *.datafusion.cloud.google.com
  • *.datafusion.googleusercontent.com
  • *.dataproc.cloud.google.com
  • dataproc.cloud.google.com
  • *.dataproc.googleusercontent.com
  • dataproc.googleusercontent.com
  • dl.google.com
  • gcr.io o *.gcr.io
  • *.googleapis.com
  • *.gstatic.com
  • *.kernels.googleusercontent.com
  • *.ltsapis.goog
  • *.notebooks.cloud.google.com
  • *.notebooks.googleusercontent.com
  • packages.cloud.google.com
  • pkg.dev o *.pkg.dev
  • pki.goog o *.pki.goog
  • *.run.app
  • source.developers.google.com
  • storage.cloud.google.com

Scegli all-apis in queste circostanze:

  • Non utilizzi Controlli di servizio VPC.
  • Puoi utilizzare i Controlli di servizio VPC, ma devi anche accedere alle API e ai servizi Google che non sono supportati dai Controlli di servizio VPC. 1
vpc-sc

Abilita l'accesso API alle API e ai servizi Google supportati dai Controlli di servizio VPC.

Blocca l'accesso alle API e ai servizi Google che non supportano i Controlli di servizio VPC. Non supporta le API Google Workspace o le applicazioni web Google Workspace come Gmail e Documenti Google.

Scegli vpc-sc quando hai bisogno solo di accedere alle API e ai servizi Google che sono supportati dai Controlli di servizio VPC. Il bundle vpc-sc non consente l'accesso alle API e ai servizi Google che non supportano i Controlli di servizio VPC. 1
1 Se devi limitare gli utenti solo alle API e ai servizi Google che supportano i Controlli di servizio VPC, utilizza vpc-sc, poiché fornisce ulteriore mitigazione dei rischi per l'esfiltrazione di dati. L'utilizzo di vpc-sc nega l'accesso alle API e ai servizi Google che non sono supportati dai Controlli di servizio VPC. Per ulteriori dettagli, consulta la sezione Configurazione della connettività privata nella documentazione dei Controlli di servizio VPC.

Requisiti per gli indirizzi IP

Quando configuri Private Service Connect su una rete VPC, fornisci un indirizzo IP da utilizzare per l'endpoint.

L'indirizzo viene conteggiato ai fini della quota del progetto per gli indirizzi IP interni globali.

L'indirizzo IP deve soddisfare le seguenti specifiche:

  • Deve essere un singolo indirizzo IP e non un intervallo di indirizzi.

  • Deve essere un indirizzo IPv4 valido. Può essere un indirizzo RFC 1918 o un indirizzo non RFC 1918. Gli indirizzi IPv6 non sono supportati per Private Service Connect.

  • Non può rientrare nell'intervallo delle subnet configurate nella rete VPC.

  • Non può rientrare in un intervallo di indirizzi IP primari o secondari di qualsiasi subnet nella rete VPC o in una rete connessa alla rete VPC tramite peering di rete VPC.

  • Non può sovrapporsi a una route statica personalizzata /32 nella rete VPC locale. Ad esempio, se la rete VPC ha una route statica personalizzata per 10.10.10.10/32, non puoi prenotare l'indirizzo 10.10.10.10 per Private Service Connect.

  • Non può sovrapporsi a una route statica personalizzata di peering /32 se hai configurato la rete in peering per esportare route personalizzate e hai configurato la tua rete VPC per importare route personalizzate.

  • Non può rientrare in nessuno degli intervalli IP in modalità automatica (in 10.128.0.0/9) se la rete VPC locale è una rete in modalità automatica o se è in peering con una rete in modalità automatica.

  • Non può essere all'interno di un intervallo IP allocato nella rete VPC locale. ma può trovarsi in un intervallo IP allocato in una rete VPC in peering.

  • Se un endpoint si sovrappone a una route dinamica personalizzata la cui destinazione è la stessa /32, l'endpoint ha la priorità.

  • Se un indirizzo IP di un endpoint si trova all'interno dell'intervallo di destinazione di una route statica personalizzata, una route dinamica personalizzata o una route personalizzata di peering e tale route ha una subnet mask più breve di /32, l'endpoint ha una priorità maggiore.

Casi d'uso

Puoi creare più endpoint nella stessa rete VPC. Non esiste alcun limite alla larghezza di banda totale inviata a un determinato endpoint. Poiché gli endpoint utilizzano indirizzi IP interni globali, possono essere utilizzati da qualsiasi risorsa nella tua rete VPC o da una rete on-premise connessa tramite tunnel Cloud VPN o collegamenti Cloud Interconnect.

Con più endpoint, puoi specificare diversi percorsi di rete utilizzando router Cloud e regole firewall.

  • Puoi creare regole firewall per impedire ad alcune VM di accedere alle API di Google tramite un endpoint, consentendo al contempo l'accesso ad altre VM.

  • Su un'istanza VM è possibile avere una regola firewall che non consente tutto il traffico verso internet; il traffico inviato agli endpoint Private Service Connect raggiunge ancora Google.

  • Se hai host on-premise connessi a un VPC tramite un tunnel Cloud VPN o un collegamento VLAN, puoi inviare alcune richieste tramite il tunnel o la VLAN mentre invii altre richieste sulla rete internet pubblica. Questa configurazione ti consente di bypassare il tunnel o la VLAN per servizi come Google Libri non supportati dall'accesso privato Google.

    Per creare questa configurazione, crea un endpoint Private Service Connect, pubblicizza gli indirizzi IP dell'endpoint utilizzando annunci di route personalizzati del router Cloud e attiva un criterio di forwarding in entrata di Cloud DNS. L'applicazione può inviare alcune richieste tramite il tunnel Cloud VPN o il collegamento VLAN utilizzando il nome dell'endpoint, e può inviare altre richieste tramite internet utilizzando il nome DNS predefinito.

  • Se connetti la tua rete on-premise alla rete VPC utilizzando più collegamenti VLAN, puoi inviare una parte del traffico da on-premise su una VLAN e il resto su altre, come mostrato nella figura 2. In questo modo puoi utilizzare il tuo networking ad ampio raggio al posto di quello di Google e controllare lo spostamento dei dati per soddisfare i requisiti geografici.

    Per creare questa configurazione, crea due endpoint. Crea un annuncio di route personalizzato per il primo endpoint della sessione BGP del router Cloud che gestisce la prima VLAN, quindi crea un annuncio di route personalizzato diverso per il secondo endpoint sulla sessione BGP del router Cloud che gestisce la seconda VLAN. Host on-premise configurati per l'utilizzo del nome dell'endpoint per l'invio di traffico sul collegamento VLAN corrispondente.

  • Puoi anche usare più collegamenti VLAN con una topologia attiva/attiva. Se pubblicizzi lo stesso indirizzo IP di endpoint utilizzando annunci di route personalizzati per le sessioni BGP sui router Cloud che gestiscono le VLAN, i pacchetti inviati dai sistemi on-premise agli endpoint vengono indirizzati alle VLAN tramite ECMP.

    Figura 2. Configurando Private Service Connect, router Cloud e host on-premise, puoi controllare quale collegamento VLAN viene utilizzato per inviare traffico alle API di Google.

Prezzi

I prezzi di Private Service Connect sono descritti nella pagina dei prezzi di VPC.

Quote

Il numero di endpoint Private Service Connect che puoi creare per accedere alle API di Google è controllato dalla quota PSC Google APIs Forwarding Rules per VPC Network. Per ulteriori informazioni, consulta la sezione sulle quotas.

Vincoli dei criteri dell'organizzazione

Un amministratore dei criteri dell'organizzazione può utilizzare il vincolo constraints/compute.disablePrivateServiceConnectCreationForConsumers per definire l'insieme di tipi di endpoint per i quali gli utenti non possono creare regole di forwarding.

Per informazioni sulla creazione di un criterio dell'organizzazione che utilizza questo vincolo, vedi Impedire ai consumatori di eseguire il deployment degli endpoint in base al tipo di connessione.

Passaggi successivi