Auf regionale Google APIs über Back-Ends zugreifen

In dieser Anleitung wird beschrieben, wie Sie einen internen Application Load Balancer mit einem Private Service Connect-Backend für den Zugriff auf eine regionale Google API konfigurieren.

Weitere Informationen zu Back-Ends finden Sie unter Über Back-Ends.

Ein interner Application Load Balancer, der für Private Service Connect verwendet wird, kann von freigegebenen VPC-Netzwerken und verbundenen Netzwerken erreicht werden.

Rollen

Die Rolle "Compute-Load-Balancer-Administrator" (roles/compute.loadBalancerAdmin) enthält die zum Ausführen der in dieser Anleitung beschriebenen Aufgaben erforderlichen Berechtigungen.

Unterstützte Dienste

Siehe die Liste der unterstützten regionalen Dienstendpunkte.

Hinweis

Aktivieren Sie die Compute Engine API in Ihrem Projekt.
Wenn Sie die Load-Balancing-Weiterleitungsregel bei Service Directory registrieren möchten, aktivieren Sie die Service Directory API in Ihrem Projekt. Zum Konfigurieren von Service Directory müssen Sie die Weiterleitungsregel über die Google Cloud CLI oder die API erstellen.
Erstellen Sie ein Nur-Proxy-Subnetz, falls Sie noch keines haben. Im VPC-Netzwerk und in der Region, in der Sie den internen Application Load Balancer erstellen möchten, muss es ein einzelnes Nur-Proxy-Subnetz geben. Dieses Subnetz wird von allen internen Application Load Balancer innerhalb dieses Netzwerks und dieser Region verwendet.
Erstellen Sie einen privaten Schlüssel und ein selbstverwaltetes Zertifikat für Ihre Domain, falls noch nicht geschehen. Weitere Informationen finden Sie unter Schritt 1 der Verwendung selbstverwalteter SSL-Zertifikate. Sie benötigen einen privaten Schlüssel und ein Zertifikat, um den Ziel-HTTPS-Proxy zu erstellen, wenn Sie den Load-Balancer konfigurieren.

Netzwerk-Endpunktgruppe erstellen

Erstellen Sie für jeden Dienst, den Sie mit dem Load-Balancer bereitstellen möchten, eine Private Service Connect-Netzwerk-Endpunktgruppe (NEG).

Console

Rufen Sie in der Google Cloud Console die Seite Netzwerk-Endpunktgruppen auf.

Zu den Netzwerk-Endpunktgruppen
Klicken Sie auf NETZWERK-ENDPUNKTGRUPPE ERSTELLEN.
Geben Sie einen Namen für die Netzwerk-Endpunktgruppe ein.
Wählen Sie für den Typ der Netzwerk-Endpunktgruppe die Option Netzwerk-Endpunktgruppe (Private Service Connect) aus.
Wählen Sie die Region für die Netzwerk-Endpunktgruppe aus.
Wählen Sie den Zieldienst für die Netzwerk-Endpunktgruppe aus.
Klicken Sie auf Erstellen.

gcloud

gcloud compute network-endpoint-groups create NEG_NAME \
    --network-endpoint-type=private-service-connect \
    --psc-target-service=TARGET_SERVICE \
    --region=REGION

Dabei gilt:

NEG_NAME ist ein Name für die Netzwerk-Endpunktgruppe.
TARGET_SERVICE ist der Zieldienst, zu dem Sie eine Verbindung herstellen möchten. Siehe die Liste der unterstützten regionalen Dienstendpunkte.
REGION ist die Region, in der die Netzwerk-Endpunktgruppe erstellt werden soll. Die Region muss mit der Region des Dienstes übereinstimmen, zu dem Sie eine Verbindung herstellen möchten.

Load-Balancer konfigurieren

Alle Load-Balancer-Komponenten müssen in derselben Region wie die Netzwerk-Endpunktgruppe von Private Service Connect erstellt werden.

Console

Konfiguration starten

Rufen Sie in der Google Cloud Console die Seite Load-Balancing auf.

Load-Balancing aufrufen
Klicken Sie auf Load-Balancer erstellen.
Wählen Sie unter Typ des Load Balancers die Option Application Load Balancer (HTTP/HTTPS) aus und klicken Sie auf Weiter.
Wählen Sie für Öffentlich oder intern die Option Intern aus und klicken Sie auf Weiter.
Wählen Sie für Regionenübergreifende oder Einzelregion-Bereitstellung die Option Am besten für regionale Arbeitslasten aus und klicken Sie auf Weiter.
Klicken Sie auf Konfigurieren.

Grundlegende Konfiguration

Geben Sie im Feld Name eine Bezeichnung für den Load-Balancer ein.
Wählen Sie eine Region für den Load-Balancer aus.
Wählen Sie ein Netzwerk für den Load-Balancer aus.

Das Netzwerk muss ein Nur-Proxy-Subnetz in der Region enthalten, in der Sie die NEG und den Load-Balancer erstellen. Wenn Sie kein Subnetz haben, können Sie auf Subnetz reservieren klicken, um eines zu erstellen.
Lassen Sie das Fenster geöffnet, um fortzufahren.

Backend-Konfiguration

Die Netzwerk-Endpunktgruppe von Private Service Connect ist eine Art Load-Balancer-Backend. Sie erstellen einen Backend-Dienst für jedes Backend, das Sie konfigurieren möchten.

Klicken Sie auf Backend-Konfiguration.
Erstellen Sie für jede Private Service Connect-Netzwerk-Endpunktgruppe, die Sie konfigurieren möchten, einen Backend-Dienst.
1. Wählen Sie im Menü Backend-Dienst erstellen oder auswählen die Option Backend-Dienst erstellen aus.
2. Geben Sie im Feld Name eine Bezeichnung für den Backend-Dienst ein.
3. Setzen Sie den Backend-Typ auf Private Service Connect-Netzwerk-Endpunktgruppe.
4. Legen Sie den Private Service Connect-Zieltyp auf Regionale Google API fest.
5. Wählen Sie HTTPS als Protokoll aus.
6. Klicken Sie unter Backends auf das Menü Neues Backend und wählen Sie die Netzwerk-Endpunktgruppe von Private Service Connect aus.
  
  Wenn Sie eine neue Private Service Connect-Netzwerk-Endpunktgruppe erstellen müssen, klicken Sie auf Private Service Connect-Netzwerk-Endpunktgruppe erstellen.

Routingregeln

Die Gruppe von Regeln zum Weiterleiten eingehender HTTPS-Anfragen an bestimmte Backend-Dienste oder Backend-Buckets wird als URL-Zuordnung bezeichnet. Weitere Informationen zu URL-Zuordnungen finden Sie unter Übersicht über URL-Zuordnungen.

Wenn Sie nur einen Backend-Dienst für den Load-Balancer konfigurieren, reicht die Standardroutingregel aus und Sie können mit der Frontend-Konfiguration fortfahren.

Wenn Sie mehr als einen Backend-Dienst haben, klicken Sie auf Routingregeln.
Wählen Sie Einfache Host- und Pfadregel aus.
For each backend, do the following:
1. Fügen Sie die Host- und Pfadregel hinzu.
2. Geben Sie unter Host den Hostnamen ein, der zum Senden von Anfragen an diesen Dienst verwendet wird, z. B. pubsub.example.com.
3. Geben Sie unter Pfade den Pfad ein, z. B. /*.
4. Wählen Sie bei Backends den Backend-Dienst aus.

Frontend-Konfiguration

Klicken Sie auf Frontend-Konfiguration.
Klicken Sie auf Frontend-IP und Port hinzufügen.
Geben Sie im Feld Name eine Bezeichnung für den Load-Balancer ein.
Wählen Sie im Feld Protokoll die Option HTTPS (einschließlich HTTP/2) aus.
Wählen Sie ein Subnetzwerk für den Load-Balancer aus.
Achten Sie darauf, dass der Port auf 443 festgelegt ist, um HTTPS-Traffic zuzulassen.
Wählen Sie aus dem Menü als IP-Adresse eine IP-Adresse aus.

Wenn Sie eine neue IP-Adresse reservieren möchten, klicken Sie auf IP-Adresse erstellen.
Klicken Sie auf die Drop-down-Liste Zertifikat.
1. Wenn Sie bereits eine selbstverwaltete SSL-Zertifikatsressource haben, die Sie verwenden möchten, wählen Sie diese aus dem Menü aus.
2. Wählen Sie andernfalls Neues Zertifikat erstellen aus.
3. Geben Sie einen Namen für die Zertifikatsressource ein.
4. Laden Sie in den entsprechenden Feldern Ihre PEM-formatierten Dateien hoch:
  - Zertifikat
  - Privater Schlüssel
5. Klicken Sie auf Erstellen.
Klicken Sie auf Fertig.

Überprüfen und abschließen

Klicken Sie auf Prüfen und abschließen, um die Konfiguration zu prüfen.
Klicken Sie auf Erstellen.

gcloud

Erstellen Sie für jede von Ihnen erstellte Netzwerk-Endpunktgruppe einen Backend-Dienst.
```
gcloud compute backend-services create BACKEND_SERVICE_NAME \
    --load-balancing-scheme=INTERNAL_MANAGED \
    --protocol=HTTPS \
    --region=REGION
```
Dabei gilt:
- BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
- REGION ist die Region, in der der Backend-Dienst erstellt werden soll.
Fügen Sie für jeden von Ihnen erstellten Backend-Dienst die entsprechende NEG zum Backend-Dienst hinzu.
```
gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
    --network-endpoint-group=NEG_NAME \
    --region=REGION
```
Dabei gilt:
- BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
- NEG_NAME ist der Name der Netzwerk-Endpunktgruppe.
- REGION ist die Region für das Backend.
Erstellen Sie eine URL-Zuordnung für den Load-Balancer.

Eine URL-Zuordnung muss auf einen Standard-Backend-Dienst verweisen. Wenn Sie Ihren Load-Balancer mit einem Backend-Dienst konfigurieren, legen Sie diesen Backend-Dienst als Standard fest. Wenn Sie Ihren Load Balancer so konfigurieren, dass er mehrere Backend-Dienste verwendet, die durch Hostregeln und Pfad-Matcher referenziert werden, die Sie im nächsten Schritt erstellen, wählen Sie einen der Backend-Dienste als Standard-URL-Map aus.
```
gcloud compute url-maps create URL_MAP_NAME \
    --default-service=DEFAULT_BACKEND_SERVICE_NAME \
    --region=REGION
```
Dabei gilt:
- URL_MAP_NAME ist ein Name für die URL-Zuordnung.
- DEFAULT_BACKEND_SERVICE_NAME ist der Name des Load-Balancers. Die Standardeinstellung wird verwendet, wenn keine Hostregel mit dem angeforderten Hostnamen übereinstimmt.
- REGION ist die Region, in der die URL-Zuordnung erstellt werden soll.
Fügen Sie der URL-Zuordnung zusätzliche Backend-Dienste hinzu.

Wenn Ihre URL-Zuordnung auf zwei oder mehr Backend-Dienste verweisen muss, führen Sie die folgenden Schritte aus. Wenn Ihre URL-Zuordnung nur auf einen Backend-Dienst verweist, überspringen Sie diesen Schritt.
1. Fügen Sie für jeden Backend-Dienst einen Pfad-Matcher hinzu. Sie müssen für jeden Backend-Dienst einen Pfad-Matcher erstellen.
```
gcloud compute url-maps add-path-matcher URL_MAP_NAME \
    --path-matcher-name=PATH_MATCHER \
    --default-service=BACKEND_SERVICE_NAME \
    --region=REGION
```
  Dabei gilt:
  - URL_MAP_NAME ist der Name der URL-Zuordnung.
  - PATH_MATCHER ist ein Name für den Pfad-Matcher.
  - BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
  - REGION ist die Region der URL-Zuordnung.
2. Fügen Sie für jeden Hostnamen eine Hostregel hinzu.
  
  Jede Hostregel kann nur auf einen Pfad-Matcher verweisen, aber zwei oder mehr Hostregeln können auf denselben Pfad-Matcher verweisen.
```
gcloud compute url-maps add-host-rule URL_MAP_NAME \
    --hosts=HOST \
    --path-matcher-name=PATH_MATCHER \
    --region=REGION
```
  Dabei gilt:
  - URL_MAP_NAME ist der Name der URL-Zuordnung.
  - HOST ist der Hostname, an den Anfragen für diesen Dienst gesendet werden. Beispiel: pubsub.example.com.
  - PATH_MATCHER ist der Name des Pfad-Matchers.
  - REGION ist die Region der URL-Zuordnung.
Erstellen Sie den Ziel-HTTPS-Proxy.
1. Erstellen Sie eine regionale SSL-Zertifikatressource mit dem gcloud compute ssl-certificates create-Befehl. Von Google verwaltete Zertifikate werden nicht von internen Anwendungs-Load-Balancern unterstützt.
```
gcloud compute ssl-certificates create CERTIFICATE \
    --certificate=LB_CERT \
    --private-key=LB_PRIVATE_KEY \
    --region=REGION
```
  Ersetzen Sie Folgendes:
  - CERTIFICATE ist ein Name für das Zertifikat.
  - LB_CERT ist der Pfad zur Zertifikatsdatei im PEM-Format für Ihr selbstverwaltetes Zertifikat.
  - LB_PRIVATE_KEY ist der Pfad zur privaten Schlüsseldatei im PEM-Format für Ihr selbstverwaltetes Zertifikat.
  - REGION ist die Region für das Zertifikat.
2. Verwenden Sie die regionale SSL-Zertifikatsressource, um einen Ziel-HTTPS-Proxy mit dem gcloud compute target-https-proxies create-Befehl zu erstellen.
```
gcloud compute target-https-proxies create PROXY_NAME \
    --url-map=URL_MAP_NAME \
    --region=REGION \
    --ssl-certificates=CERTIFICATE
```
  Dabei gilt:
  - PROXY_NAME ist ein Name für den Ziel-HTTPS-Proxy.
  - URL_MAP_NAME ist der Name der URL-Zuordnung.
  - REGION ist die Region für die Zertifikatsressource.
  - CERTIFICATE ist der Name der Zertifikatsressource.
Reservieren Sie eine regionale interne IPv4-Adresse für die Weiterleitungsregel.
```
gcloud compute addresses create ADDRESS_NAME \
    --ip-version=IPV4 \
    --region=REGION \
    --subnet=SUBNETWORK
```
Dabei gilt:
- ADDRESS_NAME ist der Name der IP-Adressressource.
- REGION ist die Region, in der die IP-Adresse erstellt werden soll.
- SUBNET ist das Subnetz, in dem die IP-Adresse erstellt werden soll.
Führen Sie diesen Befehl aus, um die reservierte IP-Adresse aufzurufen. Nachdem Sie den Load-Balancer erstellt haben, können Sie die Konfiguration anhand der IP-Adresse prüfen.
```
gcloud compute addresses describe ADDRESS_NAME \
    --format="get(address)" --region=REGION
```
Erstellen Sie die Weiterleitungsregel.

Erstellen Sie die Weiterleitungsregel mit dem gcloud compute forwarding-rules create-Befehl.
```
gcloud compute forwarding-rules create FWD_RULE \
    --load-balancing-scheme=INTERNAL_MANAGED \
    --network=NETWORK \
    --address=ADDRESS_NAME \
    --ports=443 \
    --region=REGION \
    --target-https-proxy=PROXY_NAME \
    --target-https-proxy-region=PROXY_REGION \
   [--service-directory-registration=SD_SERVICE_NAME]
```
Dabei gilt:
- FWD_RULE ist ein Name für die Weiterleitungsregel.
- NETWORK ist die Region, in der die Weiterleitungsregel erstellt werden soll.
- ADDRESS_NAME ist die reservierte IP-Adresse.
- REGION ist die Region für die Weiterleitungsregel.
- PROXY_NAME ist der Name des HTTPS-Ziel-Proxys.
- PROXY_REGION ist die Region des HTTPS-Ziel-Proxys.
- SD_SERVICE_NAME ist der URI des Service Directory-Dienstes, bei dem Sie den Load-Balancer registrieren möchten. Verwenden Sie dazu dieses Format: projects/PROJECT/locations/REGION/namespaces/NAMESPACE_NAME/services/SERVICE_NAME. Die Angabe von --service-directory-registration ist optional.

Konfiguration prüfen

Erstellen Sie die VM-Instanz:
```
gcloud compute instances create VM_NAME \
    --network=NETWORK \
    --image-project=debian-cloud --image-family=debian-12 \
    --zone=ZONE
```
Dabei gilt:
- VM_NAME ist ein Name für die virtuelle Maschine.
- NETWORK ist das Netzwerk für die VM.
- ZONE ist die Zone für die VM.
Stellen Sie eine Verbindung zur VM her.
```
gcloud compute ssh VM_NAME --zone=ZONE
```
Prüfen Sie die Konfiguration mit curl. Mit diesem Befehl wird der Header Host festgelegt und die DNS-Auflösung durch Angabe einer benutzerdefinierten IP-Adresse umgangen. Sie können den Port weglassen, wenn Sie den Standardport für das Protokoll verwenden, z. B. Port 443 für HTTPS.

Bei Bedarf können Sie die Zertifikatsprüfung mit dem -k-Flag überspringen. Sie müssen die Validierung möglicherweise überspringen, wenn Sie ein selbst signiertes Zertifikat zur Konfiguration des HTTPS-Ziel-Proxys verwendet haben oder wenn die VM nicht über das Zertifikat der Zertifizierungsstelle verfügt, die Ihr Zertifikat signiert hat.
```
curl -iv --resolve HOSTNAME:443:IP_ADDRESS \
   'https://HOSTNAME/RESOURCE_URI'
```
Ersetzen Sie Folgendes:
- HOSTNAME: Der Hostname, den Sie in Ihrer URL-Zuordnung konfiguriert haben, z. B. pubsub.example.com.
- IP_ADDRESS: Die IP-Adresse der Weiterleitungsregel des Load-Balancers
- RESOURCE_URI ist der Rest des URI der Ressource, die Sie zur Prüfung verwenden möchten. Beispiel: Wenn der Load Balancer Anfragen an einen regionalen Pub/Sub-Endpunkt weiterleitet, können Sie rest?version=v1 verwenden.

DNS-Einträge konfigurieren

Konfigurieren Sie DNS-Einträge für jeden Host, den Sie der URL-Zuordnung hinzugefügt haben, und verweisen Sie auf die IP-Adresse der Weiterleitungsregel. Wenn Sie DNS mit Cloud DNS verwalten, finden Sie weitere Informationen unter Einträge hinzufügen, ändern und löschen. Konfigurieren Sie andernfalls DNS-Einträge auf Ihrem DNS-Server.

Angenommen, Sie haben die folgenden Konfigurationen erstellt:

Einer Private Service Connect-NEG, die den Zieldienst pubsub.europe-west3.rep.googleapis.com verwendet.
Einen internen Application Load Balancer, der diese Private Service Connect-NEG als Backend verwendet.
Einer URL-Zuordnung, die eine Hostregel für pubsub.example.com definiert.

Damit diese Konfiguration ordnungsgemäß funktioniert, erstellen Sie einen DNS-Eintrag, der pubsub.example.com auf die IP-Adresse der Weiterleitungsregel verweist.

Bei dieser Konfiguration werden alle an pubsub.example.com gesendeten Anfragen an den Load Balancer gesendet, der die Anfrage an pubsub.europe-west3.rep.googleapis.com weiterleitet.

Clients so konfigurieren, dass sie Anfragen an das Backend senden

Wenn Sie Anfragen über das Backend statt über die öffentlichen Dienstendpunkte senden möchten, müssen Sie Clients so konfigurieren, dass sie Anfragen an den Hostnamen senden, den Sie in der URL-Zuordnung des Load Balancers definiert haben, z. B. pubsub.example.com. Weitere Informationen zur Konfiguration der Verwendung für benutzerdefinierte Endpunkte finden Sie in der Dokumentation zu Ihrem Client oder Ihrer Clientbibliothek. Auf den folgenden Seiten finden Sie Konfigurationsschritte für einige gängige Clients:

Python: Sie können api_endpoint unter Clientoptionen konfigurieren.
Go: Sie können WithEndpoint unter ClientOptions konfigurieren.
.NET: Sie können Endpoint in der Builder-Klasse des Clients konfigurieren.
gcloud: Sie können api_endpoint_overrides in der gcloud CLI konfigurieren.

Zugriff auf das Backend über lokale Hosts

Wenn Ihr lokales Netzwerk mit einem VPC-Netzwerk verbunden ist, können Sie Traffic an das Private Service Connect-Backend senden.

Ihr lokales Netzwerk muss über Cloud VPN-Tunnel oder VLAN-Anhänge in derselben Region wie der interne Application Load Balancer mit dem VPC-Netzwerk verbunden sein, das Ihren internen Application Load Balancer enthält.
Das lokale Netzwerk muss geeignete Routen zu Ihrem internen Application Load Balancer haben. Achten Sie darauf dass jeder Cloud Router, der die BGP-Sitzung für den Cloud-VPN-Tunnel oder den VLAN-Anhang verwaltet, so konfiguriert wurde, dass er den primären IP-Adressbereich des von Ihrer Weiterleitungsregel zum internen Application Load Balancer verwendeten Subnetzes bekannt gibt. Cloud Router bieten standardmäßig Subnetzrouten an.
Sie müssen lokale Systeme so konfigurieren, dass die Hostnamen in der URL-Zuordnung Ihres internen Application Load Balancer in die IP-Adresse der Weiterleitungsregel des internen Application Load Balancer aufgelöst werden. Sie können die DNS-Einträge auf lokalen Nameservern erstellen oder Cloud DNS verwenden.

Wenn Sie die DNS-Einträge mit den von Cloud DNS verwalteten privaten Zonen erstellt haben, führen Sie folgende Schritte aus:
- Erstellen Sie eine Serverrichtlinie für eingehenden Traffic in dem VPC-Netzwerk, zu dem Ihr lokales Netzwerk eine Verbindung herstellt.
- Identifizieren Sie die Weiterleitungs-Einstiegspunkte für eingehenden Traffic in den Regionen, in denen sich Ihre Cloud VPN-Tunnel und VLAN-Anhänge befinden, in dem VPC-Netzwerk, mit dem sich Ihr lokales Netzwerk verbindet.
- Konfigurieren Sie lokale DNS-Nameserver so, dass DNS-Anfragen für die Hostnamen in der URL-Zuordnung an einen Cloud DNS-Weiterleitungspunkt für eingehenden Traffic geleitet werden.