オンプレミス ホスト用の限定公開の Google アクセスを使用すると、Cloud VPN トンネルまたは Cloud Interconnect アタッチメント（VLAN）を経由してトラフィックをルーティングすることにより、オンプレミス システムから Google API とサービスに接続できます。オンプレミス ホスト用の限定公開の Google アクセスは、インターネット経由で Google API とサービスに接続するための代替手段として使用できます。
このドキュメントでは、オンプレミス ホストの限定公開の Google アクセスを有効にする方法について説明します。
ここで説明する手順は、Bare Metal Solution のリージョン拡張のホストマシンにも適用されます。DNS 構成セクションでのネームサーバーに関連する説明を除いて、この手順でのオンプレミスという言葉は、Bare Metal Soltuion と同等の意味です。DNS ネームサーバーの場合、使用する DNS ネームサーバーは、実際のオンプレミス環境にある独自の企業サーバーか、Google Cloud の DNS ネームサーバー、またはインターネットへの接続に Bare Metal Soltuion マシンを有効にしている場合は、一般公開の DNS ネームサーバーの可能性があります。
仕様と要件
オンプレミス ホスト用の限定公開の Google アクセスには、次の要件があります。
限定公開の Google アクセスでは API は自動的に有効になりません。Google Cloud Console の [API とサービス] ページから、使用する Google API を個別に有効にする必要があります。
オンプレミス システムから送信される Google API とサービス トラフィックを、private.googleapis.com または restricted.googleapis.com という特別なドメイン名のいずれかに関連付けられた IP アドレスに転送する必要があります。各ドメインでアクセスできるサービスの詳細については、ドメイン オプションをご覧ください。
オンプレミス ネットワークは、Cloud VPN トンネルまたは Cloud Interconnect アタッチメント（VLAN）を使用して VPC ネットワークに接続されている必要があります。
オンプレミス ネットワークが接続されている VPC ネットワークには、private.googleapis.com または restricted.googleapis.com の宛先 IP 範囲の適切なルートが必要です。詳細については、VPC ネットワーク ルーティングをご覧ください。
オンプレミス ネットワークには、private.googleapis.com または restricted.googleapis.com の宛先 IP 範囲のルートが必要です。これらのルートによって、VPC ネットワークに接続する適切な Cloud VPN トンネルまたは Cloud Interconnect アタッチメント（VLAN）にトラフィックが転送される必要があります。詳しくは、Cloud Router を使用したオンプレミス ルーティングをご覧ください。
権限
プロジェクト所有者、編集者、そしてネットワーク管理者のロールを持つ IAM メンバーがサブネットを作成または更新し、IP アドレスを割り当てることができます。
ロールの詳細については、IAM ロールのドキュメントをご覧ください。
ネットワークの構成
オンプレミス ホスト用の限定公開の Google アクセスには、オンプレミス システムが Google API とサービスにトラフィックを送信する際に経由するオンプレミス システムと VPC ネットワークに固有のネットワーク要件があります。
ドメイン オプション
オンプレミス ホスト用の限定公開の Google アクセスでは、次のいずれかの特別なドメインにサービスを転送する必要があります。選択した特別なドメインによって、アクセスできるサービスが決定されます。
private.googleapis.com（
199.36.153.8/30）を使用すると、ほとんどの Google API やサービス（VPC Service Controls をサポートする Cloud API と Developer API と VPC Service Controls をサポートしていない Cloud API と Developer API を含む）にアクセスできます。VPC Service Controls は、サービス境界を構成するときに適用されます。restricted.googleapis.com（
199.36.153.4/30）を使用すると、VPC Service Controls をサポートする Cloud API と Developer API にのみアクセスできます。VPC Service Controls は、サービス境界を構成している場合、これらのサービスに対して適用されます。VPC Service Controls をサポートしていない Google API またはサービスへのアクセスは禁止されます。
| ドメインと IP アドレス範囲 | サポート対象のサービス | 使用例 |
|---|---|---|
private.googleapis.com199.36.153.8/30 |
VPC Service Controls でサポートされているかどうかにかかわらず、ほとんどの Google API とサービスへの API アクセスを有効にします。マップ、Google 広告、Google Cloud Platform、以下のリストを含むその他のほとんどの Google API への API アクセスが含まれます。Google Workspace ウェブ アプリケーションはサポートされていません。 末尾が次の表記のドメイン名:
|
private.googleapis.com を使用して、Google Cloud 内からのみルーティング可能な一連の IP アドレスを使用して Google API とサービスにアクセスします。次の状況では private.googleapis.com を選択します。
|
restricted.googleapis.com199.36.153.4/30 |
VPC Service Controls でサポートされている Google API およびサービスへの API アクセスを有効にします。 VPC Service Controls をサポートしていない Google API とサービスへのアクセスをブロックします。Google Workspace ウェブ アプリケーションや Google Workspace API はサポートされていません。 |
restricted.googleapis.com を使用して、Google Cloud 内からのみルーティング可能な一連の IP アドレスを使用して Google API とサービスにアクセスします。VPC Service Controls でサポートされている Google API とサービスにアクセスする必要がある場合にのみ restricted.googleapis.com を選択します。restricted.googleapis.com は VPC Service Controls をサポートしていない Google API とサービスへのアクセスを許可しません。
|
DNS 構成
オンプレミス ネットワークには、Google ドメイン名が private.googleapis.com または restricted.googleapis.com のいずれかの IP アドレスのセットに解決されるように構成された DNS ゾーンとレコードが必要です。Cloud DNS の限定公開マネージド ゾーンを作成して、Cloud DNS 受信サーバー ポリシーを使用できます。また、オンプレミスのネームサーバーを構成することもできます。たとえば、BIND や Microsoft Active Directory DNS を使用できます。
*.googleapis.com の DNS ゾーンとレコードを作成します。
googleapis.comの DNS ゾーンを作成します。この目的のために、Cloud DNS 限定公開ゾーンの作成を検討します。選択したドメインに応じて、
googleapis.comゾーンで次のいずれかのAレコードを作成します。- 次の IP アドレスを指す
private.googleapis.comのAレコード:199.36.153.8、199.36.153.9、199.36.153.10、199.36.153.11 - 次の IP アドレスを指す
restricted.googleapis.comのAレコード:199.36.153.4、199.36.153.5、199.36.153.6、199.36.153.7
Cloud DNS を使用している場合は、
googleapis.com限定公開ゾーンにレコードを追加します。- 次の IP アドレスを指す
googleapis.comゾーンで、前の手順で作成したAレコードを指す*.googleapis.comのCNAMEレコードを作成します。
一部の Google API とサービスは、*.gcr.io、*.gstatic.com、pki.goog などの追加ドメイン名を使用して提供されます。追加のドメインのサービスに private.googleapis.com または restricted.googleapis.com を使用してアクセスできるかどうかを判断するため、ネットワークの要件のドメインと IP アドレス範囲の表を参照します。それぞれの追加ドメインについて、次の作業を行います。
- 追加のドメインの DNS ゾーンを作成します（例:
gcr.io）。Cloud DNS を使用している場合は、このゾーンがgoogleapis.com限定公開ゾーンと同じプロジェクトにあることを確認してください。 - この DNS ゾーンで次のことを行います。
- ドメイン（ゾーン）名自体の
Aレコード（例:gcr.io）を作成します。このAレコードが、選択したカスタム ドメイン名（private.googleapis.comまたはrestricted.googleapis.com）の 4 つの同じ IP アドレスを指すようにします。 - アスタリスクとドットに続くドメイン（ゾーン）名を使用して、可能性のあるすべての追加ドメインのホスト名に対する
CNAMEレコードを作成します（例:*.gcr.io）。このCNAMEレコードが、同じゾーンのAレコードを指すようにします。たとえば、*.gcr.ioはgcr.ioを指します。
- ドメイン（ゾーン）名自体の
Cloud DNS を使用して DNS 構成を実装した場合は、Cloud DNS の限定公開マネージド ゾーンに対してクエリを行えるように、オンプレミス システムを構成する必要があります。
- オンプレミス ネットワークが接続する VPC ネットワークに受信サーバー ポリシーを作成します。
- オンプレミス ネットワークが接続する VPC ネットワークで、Cloud VPN トンネルと Cloud Interconnect アタッチメント（VLAN）が配置されているリージョンの受信フォワーダー エントリ ポイントを特定します。
- VPC ネットワークに接続する Cloud VPN トンネルまたは Cloud Interconnect アタッチメント（VLAN）と同じリージョン内の受信フォワーダー エントリ ポイントに、
googleapis.comと追加のドメイン名を転送するようにオンプレミス システムとオンプレミスの DNS ネームサーバーを構成します。
VPC ネットワーク ルーティング
オンプレミス ネットワークが接続する VPC ネットワークには、private.googleapis.com または restricted.googleapis.com によって使用される IP アドレス範囲のルートが必要です。これらのルートでは、デフォルトのインターネット ゲートウェイのネクストホップを使用する必要があります。
Google では、private.googleapis.com ドメインまたは restricted.googleapis.com ドメインで使用されている IP アドレス範囲のインターネット上のルートを公開していません。したがって、VPC ネットワーク内のルートがデフォルト インターネット ゲートウェイのネクストホップにトラフィックを送信しても、199.36.153.8/30 と 199.36.153.4/30 に送信されたパケットは Google のネットワーク内に残ります。
オンプレミス ネットワークが接続する VPC ネットワークに、ネクストホップがデフォルト インターネット ゲートウェイであるデフォルト ルートが含まれている場合、そのルートはオンプレミス ホストへの限定公開の Google アクセスに関するルーティング要件を満たします。
VPC ネットワークのカスタム ルーティング
デフォルト ルートを置き換えた、または変更した場合は、private.googleapis.com か restricted.googleapis.com で使用される宛先 IP 範囲のために構成されたカスタム静的ルートがあることを確認します。特定のネットワークで Google API とサービスのカスタムルートの構成を確認する方法は次のとおりです。
Console
- Google Cloud Console の [ルート] ページに移動します。
[ルート] ページに移動 - [表をフィルタリング] テキスト フィールドを使用して、次の基準でルートのリストをフィルタリングします。
NETWORK_NAMEは、オンプレミス ネットワークが接続する VPC ネットワークの名前に置き換えます。- ネットワーク:
NETWORK_NAME - ネクストホップのタイプ:
default internet gateway
- ネットワーク:
- 各ルートの [宛先 IP の範囲] 列を確認します。宛先の範囲が一致するルートを探します。
private.googleapis.comを選択した場合は199.36.153.8/30restricted.googleapis.comを選択した場合は199.36.153.4/30
gcloud
次の gcloud コマンドを使用します。NETWORK_NAME は、オンプレミス ネットワークが接続する VPC ネットワークの名前に置き換えます。
gcloud compute routes list \
--filter="default-internet-gateway NETWORK_NAME"
--format フラグでコマンドをカスタマイズしない限り、ルートはテーブル形式で一覧表示されます。[DEST_RANGE] 列で、宛先の範囲が一致するルートを探します。
private.googleapis.comを選択した場合は199.36.153.8/30restricted.googleapis.comを選択した場合は199.36.153.4/30
VPC ネットワークにルートを作成する必要がある場合は、静的ルートの追加をご覧ください。
Cloud Router を使用したオンプレミス ルーティング
オンプレミス ネットワークのルートは、private.googleapis.com または restricted.googleapis.com ドメインで使用される IP アドレス範囲のトラフィックを、VPC ネットワークに接続するネクストホップの Cloud VPN トンネルまたは Cloud Interconnect アタッチメント（VLAN）に転送するように構成される必要があります。
Cloud Router のカスタムルート アドバタイズを使用すると、次の宛先のルートを通知できます。
private.googleapis.comを選択した場合は199.36.153.8/30restricted.googleapis.comを選択した場合は199.36.153.4/30
Console
カスタム BGP アドバタイズ自体を使用する BGP セッションを除き、Cloud Router 上のすべての BGP セッションのルート アドバタイズ モードを更新するには:
- Google Cloud Console の [Cloud Router] ページに移動します。
Cloud Router リスト - オンプレミス ネットワークを VPC ネットワークに接続する Cloud VPN トンネルまたは Cloud Interconnect アタッチメント（VLAN）の BGP セッションを管理する Cloud Router を選択します。
- Cloud Router の詳細ページで [編集] を選択します。
- [アドバタイズされたルート] セクションを展開します。
- [ルート] で、[カスタムルートの作成] を選択します。
- Cloud Router のデフォルトの動作に戻すには、[Cloud Router に表示されるすべてのサブネットをアドバタイズする] を選択して、Cloud Router で使用可能なすべてのサブネット ルートをアドバタイズします。
- [カスタムルートの追加] を選択して、アドバタイズされたルートを追加します。
- ルート アドバタイズを構成します。
- ソース - [カスタム IP 範囲] を選択して、カスタム IP 範囲を指定します。
- IP アドレス範囲 - 次のように指定します。
private.googleapis.comを選択した場合は199.36.153.8/30restricted.googleapis.comを選択した場合は199.36.153.4/30
- 説明 - 説明を追加します。
- ルートの追加が完了したら、[保存] を選択します。
特定の BGP セッションのルート アドバタイズ モードを更新するには:
- Google Cloud Console の [Cloud Router] ページに移動します。
Cloud Router リスト - オンプレミス ネットワークを VPC ネットワークに接続する Cloud VPN トンネルまたは Cloud Interconnect アタッチメント（VLAN）の BGP セッションを管理する Cloud Router を選択します。
- Cloud Router の詳細ページで、更新する BGP セッションを選択します。
- BGP セッションの詳細ページで、[編集] を選択します。
- [ルート] で、[カスタムルートの作成] を選択します。
- Cloud Router のデフォルトの動作に戻すには、[Cloud Router に表示されるすべてのサブネットをアドバタイズする] を選択して、Cloud Router で使用可能なすべてのサブネット ルートをアドバタイズします。
- [カスタムルートの追加] を選択して、アドバタイズされたルートを追加します。
- ルート アドバタイズを構成します。
- ソース - [カスタム IP 範囲] を選択して、カスタム IP 範囲を指定します。
- IP アドレス範囲 - 次のように指定します。
private.googleapis.comを選択した場合は199.36.153.8/30restricted.googleapis.comを選択した場合は199.36.153.4/30
- 説明 - 説明を追加します。
- ルートの追加が完了したら、[保存] を選択します。
gcloud
オンプレミス ネットワークを VPC ネットワークに接続する Cloud VPN トンネルまたは Cloud Interconnect アタッチメント（VLAN）の BGP セッションを管理する Cloud Router の名前とリージョンを特定します。
compute routers updateを使用して、カスタム BGP アドバタイズ自体を使用する BGP セッションを除き、すべての Cloud Router の BGP セッションのルート アドバタイズ モードを更新します。gcloud compute routers update ROUTER_NAME \ --region=REGION \ --advertisement-mode=CUSTOM \ --set-advertisement-groups=ALL_SUBNETS \ --set-advertisement-ranges=CUSTOM_RANGESすでに Cloud Router の
CUSTOMアドバタイズ モードを使用している場合は、新しいアドバタイズ範囲を追加できます。これにより、カスタム BGP アドバタイズ自体を使用する BGP セッションを除き、すべての Cloud Router の BGP セッションでルート アドバタイズ モードが更新されます。gcloud compute routers update ROUTER_NAME \ --region=REGION \ --add-advertisement-ranges=CUSTOM_RANGESまたは、
compute routers update-bgp-peerを使用して、特定の BGP ピアを Cloud Router で構成します。gcloud compute routers update ROUTER_NAME \ --region=REGION \ --peer-name=PEER_NAME \ --advertisement-mode=CUSTOM \ --set-advertisement-groups=ALL_SUBNETS \ --set-advertisement-ranges=CUSTOM_RANGESCloud Router の BGP セッションですでに
CUSTOMアドバタイズ モードを使用している場合は、新しいアドバタイズ範囲を追加できます。gcloud compute routers update ROUTER_NAME \ --region=REGION \ --peer-name=PEER_NAME \ --add-advertisement-ranges=CUSTOM_RANGES上記のコマンドで、次の値を有効な値に置き換えます。
ROUTER_NAME: Cloud Router の名前REGION: Cloud Router のリージョンPEER_NAME: Dedicated Interconnect の相互接続のアタッチメント（VLAN）の作成時、Partner Interconnect の相互接続のアタッチメント（VLAN）の作成時、HA VPN トンネルの作成時、または動的ルーティングを使用する Classic VPN トンネルの作成時に構成された BGP ピアの名前。- Cloud Router で使用可能なすべてのサブネット ルートをアドバタイズするために、
--set-advertisement-groups=ALL_SUBNETSのままにします。これは Cloud Router のデフォルトの動作です。 CUSTOM_RANGES: アドバタイズするカスタム範囲のカンマ区切りリスト。private.googleapis.comを選択した場合は、199.36.153.8/30を使用します。restricted.googleapis.comを選択した場合は、199.36.153.4/30を使用します。
ファイアウォールに関する考慮事項
オンプレミス ネットワークに接続する VPC ネットワーク内の Google Cloud ファイアウォール ルールは、次のパケットに対しては効果がありません。
- VPC ネットワークに接続された Cloud VPN トンネル経由で送信されたパケット
- VPC ネットワークに接続された Cloud Interconnect アタッチメント（VLAN）経由で送信されたパケット
- VPC ネットワーク内の Cloud DNS 受信フォワーダーの IP アドレスへの受信パケット
オンプレミス システムのファイアウォール構成で、以下の IP アドレスへの送信トラフィックと、以下の IP アドレスからの確立されたレスポンスを確実に許可する必要があります。
private.googleapis.comを使用する場合は199.36.153.8/30restricted.googleapis.comを使用する場合は199.36.153.4/30- DNS 構成に Cloud DNS を使用している場合は、Cloud DNS 受信フォワーダーの IP アドレス
次のステップ
- Google Cloud VPC ネットワークの VM が Google API とサービスにアクセスする必要がある場合について、VPC 用の限定公開の Google アクセスの構成で確認する。