Zugriff auf veröffentlichte Dienste über Endpunkte

In diesem Dokument wird erläutert, wie Sie über Private Service Connect-Endpunkte auf Dienste in einem anderen VPC-Netzwerk zugreifen. Sie können eine Verbindung zu Ihren eigenen Diensten oder denen anderer Dienstersteller herstellen, einschließlich Google.

Weitere Informationen zu Diensten finden Sie unter Verwaltete Dienste veröffentlichen.

Rollen

Die folgende IAM-Rolle bietet die Berechtigungen, die zum Ausführen der Aufgaben in dieser Anleitung erforderlich sind.

Aufgabe Rollen
Endpunkt erstellen Beide Rollen:
Compute-Netzwerkadministrator (roles/compute.networkAdmin) und
Service Directory-Bearbeiter (roles/servicedirectory.editor)
DNS-Einträge für einen Endpunkt automatisch oder manuell konfigurieren DNS-Administrator (roles/dns.admin)

Hinweis

  • Weitere Informationen finden Sie unter Verbindung zu Diensten mithilfe von Endpunkten herstellen, einschließlich Einschränkungen.

  • Sie müssen in Ihrem Projekt die Compute Engine API aktivieren.

  • Sie müssen die Service Directory API für Ihr Projekt aktivieren.

  • Sie müssen in Ihrem Projekt die Cloud DNS API aktivieren.

  • Firewallregeln für ausgehenden Traffic müssen Traffic zur internen IP-Adresse des Endpunkts zulassen. Die implizierte Firewallregel zum Zulassen ausgehenden Traffics erlaubt ausgehenden Traffic an jede Ziel-IP-Adresse.

    Wenn Sie in Ihrem VPC-Netzwerk Firewallregeln erstellt haben, die ausgehenden Traffic ablehnen, oder wenn Sie hierarchische Firewallrichtlinien erstellt haben, durch die das Verhalten von implizit zulässigem ausgehendem Traffic ändern, wird der Zugriff auf den Endpunkt möglicherweise beeinträchtigt. Erstellen Sie eine spezifische Firewallregel oder Richtlinie, die ausgehenden Traffic zulässt, um Traffic zum internen IP-Adressziel des Dienstendpunkts zu erlauben.

  • Sie müssen den URI des Dienstanhangs für den Dienst haben. Beispiel: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME

Endpunkt erstellen

Ein Endpunkt stellt mithilfe einer Private Service Connect-Weiterleitungsregel eine Verbindung zu Diensten in einem anderen VPC-Netzwerk her. Jede Weiterleitungsregel wird auf das projektspezifische Kontingent für Private Service Connect-Weiterleitungsregeln angerechnet, mit denen auf Dienste in einem anderen VPC-Netzwerk zugegriffen wird.

Wenn Sie mit Private Service Connect eine Verbindung zu Diensten in einem anderen VPC-Netzwerk herstellen, wählen Sie eine IP-Adresse aus einem regulären Subnetz in Ihrem VPC-Netzwerk aus. Die IP-Adresse muss sich in derselben Region wie der Dienstanhang des Diensterstellers befinden. Die IP-Adresse wird auf das Kontingent des Projekts für interne IP-Adressen angerechnet.

Sie können eine IPv4-Adresse verwenden, wenn das Subnetz Single-Stack ist. Sie können eine IPv4- oder IPv6-(Vorschau)-Adresse verwenden, wenn das Subnetz Dual-Stack ist.

Die IP-Version der Adresse wirkt sich darauf aus, zu welchen Dienstanhängen der Endpunkt eine Verbindung herstellen kann. Weitere Informationen finden Sie unter Übersetzung von IP-Versionen.

Wenn Sie einen Endpunkt erstellen, wird dieser automatisch bei Service Directory mit einem von Ihnen ausgewählten Namespace oder mit dem Standard-Namespace goog-psc-default registriert.

Wenn Sie den Endpunkt aus mehreren Regionen verfügbar machen möchten, aktivieren Sie den globalen Zugriff.

Sie können das globale Zugriffsfeld nur von Endpunkten für veröffentlichte Dienste aktualisieren. Wenn Sie andere Felder aktualisieren möchten, löschen Sie den Endpunkt und erstellen Sie dann einen neuen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Private Service Connect auf.

    Zu Private Service Connect

  2. Klicken Sie auf den Tab Verbundene Endpunkte.

  3. Klicken Sie auf Endpunkt verbinden.

  4. Wählen Sie für Ziel die Option Veröffentlichter Dienst aus.

  5. Geben Sie bei Zieldienst den URI des Dienstanhangs ein, zu dem Sie eine Verbindung herstellen möchten.

    Der URI des Dienstanhangs hat folgendes Format: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME.

  6. Geben Sie unter Endpunktname einen Namen für den Endpunkt ein.

  7. Wählen Sie ein Netzwerk für den Endpunkt aus.

  8. Wählen Sie ein Subnetzwerk für den Endpunkt aus.

  9. Wählen Sie eine IP-Adresse für den Endpunkt aus. Wenn Sie eine neue IP-Adresse benötigen, können Sie eine erstellen:

    1. Klicken Sie auf das Drop-down-Menü IP-Adresse und wählen Sie IP-Adresse erstellen aus.
    2. Geben Sie einen Namen und optional eine Beschreibung für die IP-Adresse ein.
    3. Wählen Sie eine IP-Version aus.

    4. Wenn Sie eine IPv4-Adresse erstellen, wählen Sie Automatisch zuweisen oder Selbst auswählen aus.

      Wenn Sie Selbst auswählen ausgewählt haben, geben Sie die benutzerdefinierte IP-Adresse ein, die Sie verwenden möchten.

    5. Klicken Sie auf Reservieren.

  10. Wählen Sie Globalen Zugriff aktivieren aus, um den Endpunkt aus einer beliebigen Region verfügbar zu machen.

  11. Wählen Sie einen Namespace aus der Drop-down-Liste aus oder erstellen Sie einen neuen Namespace.

    Die Region wird anhand des ausgewählten Subnetzwerks ausgefüllt.

  12. Klicken Sie auf Endpunkt hinzufügen.

gcloud

  1. Reservieren Sie eine interne IP-Adresse, die Sie dem Endpunkt zuweisen möchten.

    gcloud compute addresses create ADDRESS_NAME \
    --region=REGION \
    --subnet=SUBNET \
    --ip-version=IP_VERSION

    Dabei gilt:

    • ADDRESS_NAME: der Name, der der reservierten IP-Adresse zugewiesen werden soll.

    • REGION: die Region für die Endpunkt-IP-Adresse. Dies muss dieselbe Region sein, die den Dienstanhang des Diensterstellers enthält.

    • SUBNET: der Name des Subnetzes für die Endpunkt-IP-Adresse.

    • IP_VERSION: die IP-Version der IP-Adresse, entweder IPV4 oder IPV6. Standardmäßig ist IPV4 ausgewählt. Zum Angeben von IPV6 muss die IP-Adresse mit einem Dual-Stack-Subnetz verbunden sein.

  2. Suchen Sie die reservierte IP-Adresse.

    gcloud compute addresses list --filter="name=ADDRESS_NAME"

  3. Erstellen Sie eine Weiterleitungsregel, um den Endpunkt mit dem Dienstanhang des Diensterstellers zu verbinden. Standardmäßig sind Endpunkte nur aus ihrer eigenen Region verfügbar. Verwenden Sie das Flag --allow-psc-global-access, um einen Endpunkt aus einer beliebigen Region verfügbar zu machen.

    • Erstellen Sie einen Endpunkt, auf den nur aus seiner eigenen Region aus zugegriffen werden kann.

      gcloud compute forwarding-rules create ENDPOINT_NAME \
  --region=REGION \
  --network=NETWORK_NAME \
  --address=ADDRESS_NAME \
  --target-service-attachment=SERVICE_ATTACHMENT \
  [ --service-directory-registration=projects/PROJECT_ID/locations/REGION/namespaces/NAMESPACE ]

    • Erstellen Sie einen Endpunkt, auf den von jeder Region aus zugegriffen werden kann.

      gcloud compute forwarding-rules create ENDPOINT_NAME \
  --region=REGION \
  --network=NETWORK_NAME \
  --address=ADDRESS_NAME \
  --target-service-attachment=SERVICE_ATTACHMENT \
  --allow-psc-global-access \
  [ --service-directory-registration=projects/PROJECT_ID/locations/REGION/namespaces/NAMESPACE ]

    Dabei gilt:

    • ENDPOINT_NAME: der Name, der dem Endpunkt zugewiesen werden soll.

    • REGION: die Region für den Endpunkt. Dies muss dieselbe Region sein, die den Dienstanhang des Diensterstellers enthält.

    • NETWORK_NAME: der Name des VPC-Netzwerks für den Endpunkt.

    • ADDRESS_NAME: der Name der reservierten Adresse.

    • SERVICE_ATTACHMENT: der URI des Dienstanhangs des Diensterstellers. Beispiel: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME

    • PROJECT_ID: Ihre Projekt-ID.

    • NAMESPACE: der Namespace von Service Directory, den Sie verwenden möchten. Wenn Sie einen nicht vorhandenen Namespace angeben, wird der Namespace erstellt.

      Wenn Sie das Flag --service-directory-registration weglassen, wird der Standard-Namespace von goog-psc-default verwendet.

API

  1. Reservieren Sie eine interne IP-Adresse, die Sie dem Endpunkt zuweisen möchten.

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

{
  "name": "ADDRESS_NAME",
  "addressType": "INTERNAL",
  "subnetwork": "SUBNET_URI",
  "ipVersion": "IP_VERSION"
}

    Dabei gilt:

    • PROJECT_ID: Ihre Projekt-ID.

    • ADDRESS_NAME: der Name, der der reservierten IP-Adresse zugewiesen werden soll.

    • SUBNET_URI: das Subnetz für die IP-Adresse. Mit der Methode subnetworks.list oder gcloud compute networks subnets list --uri können Sie die URLs Ihrer Netzwerke ermitteln.

    • IP_VERSION: die IP-Version der IP-Adresse, entweder IPV4 oder IPV6. Standardmäßig ist IPV4 ausgewählt. Zum Angeben von IPV6 muss die IP-Adresse mit einem Dual-Stack-Subnetz verbunden sein.

  2. Erstellen Sie eine Weiterleitungsregel, um den Endpunkt mit dem Dienstanhang des Diensterstellers zu verbinden. Standardmäßig sind Endpunkte nur aus ihrer eigenen Region verfügbar. Wenn Sie einen Endpunkt aus einer beliebigen Region verfügbar machen möchten, legen Sie für allowPscGlobalAccess den Wert true fest.

    • Erstellen Sie einen Endpunkt, auf den nur aus seiner eigenen Region aus zugegriffen werden kann.

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules
{
  "name": "ENDPOINT_NAME",
  "IPAddress": "ADDRESS_URI",
  "target": "SERVICE_ATTACHMENT",
  "network": "NETWORK_URI",
  "serviceDirectoryRegistrations": [
      {
          "namespace": "NAMESPACE"
      }
  ]
}

    • Erstellen Sie einen Endpunkt, auf den von jeder Region aus zugegriffen werden kann.

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules
{
  "name": "ENDPOINT_NAME",
  "IPAddress": "ADDRESS_URI",
  "target": "SERVICE_ATTACHMENT",
  "network": "NETWORK_URI",
  "allowPscGlobalAccess": true,
  "serviceDirectoryRegistrations": [
      {
          "namespace": "NAMESPACE"
      }
  ]
}

    Dabei gilt:

    • PROJECT_ID: Ihre Projekt-ID.

    • REGION: die Region für den Endpunkt.

    • ENDPOINT_NAME: der Name, der dem Endpunkt zugewiesen werden soll.

    • ADDRESS_URI: der URI der reservierten Adresse im zugehörigen Netzwerk. Verwenden Sie die Methode addresses.list oder gcloud compute addresses list --uri, um die URL Ihrer reservierten Adresse zu ermitteln.

    • SERVICE_ATTACHMENT: der URI des Dienstanhangs des Diensterstellers. Beispiel: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME

    • NETWORK_URI: das VPC-Netzwerk für den Endpunkt. Mit der Methode network.list oder gcloud compute networks list --uri können Sie den URI Ihres Netzwerks ermitteln.

    • NAMESPACE: der Namespace für den Endpunkt. Wenn Sie einen nicht vorhandenen Namespace angeben, wird der Namespace erstellt. Wenn Sie das Feld namespace weglassen, wird der Standard-Namespace von goog-psc-default zugewiesen.

Endpunkt mit einer IP-Adresse aus einem freigegebenen VPC-Netzwerk erstellen

Dienstprojektadministratoren können Endpunkte in freigegebenen VPC-Dienstprojekten erstellen, die IP-Adressen aus verbundenen freigegebenen VPC-Netzwerken verwenden. Das Erstellen von Endpunkten dieses Typs ist in der Google Cloud Console nicht verfügbar. Sie müssen die Google Cloud CLI verwenden oder eine API-Anfrage senden. Weitere Informationen finden Sie unter Freigegebene VPC.

In diesem Beispiel wird gezeigt, wie Sie einen Endpunkt mit einer IP-Adresse aus einem freigegebenen VPC-Netzwerk erstellen, auf den über eine einzelne Region zugegriffen werden kann. Informationen zum Aktivieren des globalen Zugriffs oder zur Auswahl eines Namespace für Service Directory finden Sie unter Endpunkt erstellen.

gcloud

  1. Führen Sie einen der folgenden Schritte aus, um eine interne IP-Adresse zu reservieren, die dem Endpunkt zugewiesen werden soll:

  2. Erstellen Sie den Endpunkt im Dienstprojekt:

    gcloud compute forwarding-rules create ENDPOINT_NAME \
    --region=REGION \
    --network=projects/HOST_PROJECT/global/networks/HOST_NETWORK \
    --address=projects/ADDRESS_PROJECT/regions/REGION/addresses/ADDRESS_NAME \
    --target-service-attachment=SERVICE_ATTACHMENT

    Ersetzen Sie Folgendes:

    • ENDPOINT_NAME: der Name, der dem Endpunkt zugewiesen werden soll.
    • REGION: die Region für den Endpunkt. Dies muss dieselbe Region sein, die den Dienstanhang des Diensterstellers enthält.
    • HOST_PROJECT ist die Projekt-ID des Projekts des freigegebenen VPC-Netzwerks.
    • HOST_NETWORK: der Name des freigegebenen VPC-Netzwerks, das die IP-Adresse des Endpunkts enthält.
    • ADDRESS_PROJECT: die ID des Projekts, in dem Sie die IP-Adresse reserviert haben. Dies kann entweder das Dienstprojekt oder das Hostprojekt sein.
    • ADDRESS_NAME: der Name der reservierten IP-Adresse.
    • SERVICE_ATTACHMENT: der URI des Dienstanhangs des Diensterstellers. Beispiel: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME

API

  1. Führen Sie einen der folgenden Schritte aus, um eine interne IP-Adresse zu reservieren, die dem Endpunkt zugewiesen werden soll:

  2. Erstellen Sie den Endpunkt im Dienstprojekt:

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT/regions/REGION/forwardingRules
{
   "name": "ENDPOINT_NAME",
   "IPAddress": "projects/ADDRESS_PROJECT/regions/REGION/addresses/ADDRESS_NAME",
   "target": "SERVICE_ATTACHMENT",
   "network": "projects/HOST_PROJECT/global/networks/HOST_NETWORK"
}

    Ersetzen Sie Folgendes:

    • PROJECT: die Dienstprojekt-ID.
    • REGION: die Region für den Endpunkt. Dies muss dieselbe Region sein, die den Dienstanhang des Diensterstellers enthält.
    • ENDPOINT_NAME: der Name, der dem Endpunkt zugewiesen werden soll.
    • ADDRESS_PROJECT: die ID des Projekts, in dem Sie die IP-Adresse reserviert haben. Dies kann entweder das Dienstprojekt oder das Hostprojekt sein.
    • ADDRESS_NAME: der Name der reservierten IP-Adresse.
    • SERVICE_ATTACHMENT: der URI des Dienstanhangs des Diensterstellers. Beispiel: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME
    • HOST_PROJECT ist die Projekt-ID des Projekts des freigegebenen VPC-Netzwerks.
    • HOST_NETWORK: der Name des freigegebenen VPC-Netzwerks, das die IP-Adresse des Endpunkts enthält.

Endpunkte auflisten

Sie können alle konfigurierten Endpunkte auflisten.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Private Service Connect auf.

    Zu Private Service Connect

  2. Klicken Sie auf den Tab Verbundene Endpunkte.

    Die Endpunkte werden angezeigt.

gcloud

gcloud compute forwarding-rules list \
    --filter 'target~serviceAttachments'

Die Ausgabe sieht etwa so aus:

NAME  REGION  IP_ADDRESS  IP_PROTOCOL  TARGET
RULE          IP          TCP          REGION/serviceAttachments/SERVICE_NAME

API

Dieser API-Aufruf gibt alle Weiterleitungsregeln zurück, nicht nur Endpunkte, die für den Zugriff auf Dienste verwendet werden.

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules

Dabei gilt:

  • PROJECT_ID: das Projekt, das den Endpunkt enthält.
  • REGION: die Region für den Endpunkt.

Endpunktdetails ansehen

Sie können alle Konfigurationsdetails eines Endpunkts aufrufen, einschließlich des Verbindungsstatus des Endpunkts.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Private Service Connect auf.

    Zu Private Service Connect

  2. Klicken Sie auf den Tab Verbundene Endpunkte.

  3. Klicken Sie auf den Endpunkt, den Sie aufrufen möchten.

gcloud 

gcloud compute forwarding-rules describe \
    ENDPOINT_NAME --region=REGION

Dabei gilt:

  • ENDPOINT_NAME: der Name des Endpunkts.
  • REGION: die Region für den Endpunkt.

API

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/ENDPOINT_NAME

Dabei gilt:

  • PROJECT_ID: das Projekt, das den Endpunkt enthält.
  • REGION: die Region für den Endpunkt.
  • ENDPOINT_NAME: der Name des Endpunkts.

Endpunkt mit Label versehen

Sie können Labels für Endpunkte verwalten. Eine ausführliche Anleitung finden Sie unter Ressourcen mit Labels versehen.

Endpunkt löschen

Sie können Endpunkte löschen.

Die folgenden Service Directory-Konfigurationen werden jedoch nicht gelöscht, wenn Sie den Endpunkt löschen:

  • Service Directory-Namespace
  • Service Directory-DNS-Zone

Der Service Directory-Namespace und die Service Directory-DNS-Zone können von anderen Diensten verwendet werden. Prüfen Sie, ob der Namespace leer ist, bevor Sie den Service Directory-Namespace löschen oder die Service Directory-DNS-Zone löschen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Private Service Connect auf.

    Zu Private Service Connect

  2. Klicken Sie auf den Tab Verbundene Endpunkte.

  3. Wählen Sie den Endpunkt aus, den Sie löschen möchten, und klicken Sie dann auf Löschen.

gcloud

    gcloud compute forwarding-rules delete \
        ENDPOINT_NAME --region=REGION

Dabei gilt:

  • ENDPOINT_NAME: der Name des Endpunkts.
  • REGION: die Region für den Endpunkt.

API

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/ENDPOINT_NAME

Dabei gilt:

  • PROJECT_ID: das Projekt, das den Endpunkt enthält.
  • REGION: die Region für den Endpunkt.
  • ENDPOINT_NAME: der Name des Endpunkts.

Zugriff auf Endpunkte über Hybridnetzwerke

Clients in Netzwerken, die über VLAN-Anhänge für Cloud Interconnect oder Cloud VPN-Tunnel mit Google Cloud verbunden sind, können Private Service Connect-Endpunkte erreichen.

  • Der VLAN-Anhang oder der Cloud VPN-Tunnel müssen im selben VPC-Netzwerk (oder freigegebenen VPC-Netzwerk) wie der Endpunkt enden. Clients in Peering-VPC-Netzwerken können Endpunkte nicht erreichen.

  • Client-Traffic von VLAN-Anhängen oder Cloud VPN-Tunneln kann Endpunkte in einer anderen Region erreichen, wenn der globale Zugriff konfiguriert ist.

  • Sowohl Dataplane v1 als auch Dataplane v2 werden für die VLAN-Anhänge unterstützt. Weitere Informationen zu Dataplane-Versionen finden Sie unter Dataplane v2.

Wenn Sie über den DNS-Namen auf den Endpunkt zugreifen möchten, müssen Sie Systeme im anderen Netzwerk so konfigurieren, dass sie Abfragen an Ihre privaten DNS-Zonen senden können.

Wenn Sie die privaten DNS-Zonen mit Cloud DNS implementiert haben, führen Sie die folgenden Schritte aus:

  • Erstellen Sie eine Serverrichtlinie für eingehenden Traffic in dem VPC-Netzwerk, zu dem Ihr anderes Netzwerk eine Verbindung herstellt.

  • Identifizieren Sie die Weiterleitungs-Einstiegspunkte für eingehenden Traffic in der Region, in der sich Ihr VLAN-Anhang oder Ihr Cloud VPN-Tunnel befindet, in dem VPC-Netzwerk, mit dem sich Ihr anderes Netzwerk verbindet.

  • Konfigurieren Sie Systeme und DNS-Nameserver im anderen Netzwerk für die Weiterleitung von DNS-Namen für den Endpunkt an einen Weiterleitungs-Einstiegspunkt für eingehenden Traffic in derselben Region wie der VLAN-Anhang oder der Cloud VPN-Tunnel, der eine Verbindung zum VPC-Netzwerk herstellt.

Service Directory-DNS-Zonen ansehen

Wenn die Voraussetzungen für die automatische DNS-Konfiguration erfüllt sind, wird eine DNS-Zone mit einem Namen im Format NAMESPACE--REGION erstellt.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS-Zonen auf.

    Cloud DNS-Zonen aufrufen

  2. Suchen Sie nach einer privaten Zone mit dem Namen NAMESPACE--REGION.

gcloud

  • Führen Sie den folgenden Befehl aus, um alle privaten DNS-Zonen aufzulisten:

    gcloud dns managed-zones list \
    --filter="visibility=private"

  • Führen Sie den folgenden Befehl aus, um Details zu einer Zone mit dem Namen NAMESPACE--REGION abzurufen.

    gcloud dns managed-zones describe NAMESPACE--REGION

Wenn die Zone nicht vorhanden ist, rufen Sie die Details für den Endpunkt auf und prüfen Sie, ob die Endpunktkonfiguration einen Wert für den Namespace enthält.

Andere Möglichkeiten zur Konfiguration von DNS

Wenn die Voraussetzungen für die automatische DNS-Konfiguration nicht erfüllt sind, können Sie DNS-Einträge auf andere Weise erstellen:

Service Directory-DNS-Zone konfigurieren

Wenn ein Endpunkt bei Service Directory registriert ist, aber der veröffentlichte Dienst, zu dem eine Verbindung hergestellt wird, keinen Domainnamen konfiguriert hat, werden keine DNS-Änderungen vorgenommen.

Wenn Sie die automatische DNS-Konfiguration replizieren möchten, können Sie manuell eine Service Directory-DNS-Zone konfigurieren, die vom Service Directory-Namespace unterstützt wird. Nachdem die Zone erstellt wurde, werden DNS-Einträge für den Endpunkt automatisch erstellt.

Erstellen Sie eine Service Directory-DNS-Zone mit der folgenden Konfiguration:

  • Zonenname: Geben Sie NAMESPACE--REGION an, wobei NAMESPACE der Namespace ist, in dem der Endpunkt registriert ist, und REGION die Region ist, in der der Endpunkt erstellt wird.

  • DNS-Name: Die DNS-Domain, die der Dienstersteller für seine veröffentlichten Dienste verwendet. Diese Informationen erhalten Sie vom Dienstersteller.

    Der DNS-Name hat möglicherweise das Format REGION.p.DOMAIN. Wenn die öffentliche Domain des Diensterstellers beispielsweise example.com ist und sein veröffentlichter Dienst in us-west1 liegt, dann empfehlen wir, dass er seinen Dienst unter dem Domainnamen us-west1.p.example.com zur Verfügung stellt. Fügen Sie einen nachgestellten Punkt ein, z. B. us-west1.p.example.com..

  • Service Directory-Namespace: Der Namespace, den Sie für diesen Endpunkt konfiguriert haben.

Rufen Sie die Details zum Endpunkt auf, um den Service Directory-Namespace und die Service Directory-Region zu finden.

Wenn Sie bei dieser Konfiguration eine Service Directory-DNS-Zone mit dem DNS-Namen us-west1.p.example.com konfiguriert und einen Endpunkt namens analytics erstellt haben, wird ein DNS-Eintrag für analytics.us-west1.p.example.com automatisch erstellt.

Endpunkt bei Service Directory registrieren

Neue Endpunkte werden automatisch bei Service Directory registriert. Wenn jedoch ein Endpunkt erstellt wurde, bevor die automatische Registrierung mit Service Directory aktiviert wurde, fehlt diese Konfiguration möglicherweise.

Sie können den Endpunkt löschen und einen neuen erstellen, der automatisch bei Service Directory registriert wird.

Sie können auch diese Schritte ausführen, um einen vorhandenen Endpunkt bei einem Service Directory-Namespace zu registrieren.

  1. Erstellen Sie einen Service Directory-Namespace für den Endpunkt NAMESPACE.

  2. Erstellen Sie einen Service Directory-Dienst für den Endpunkt SERVICE_NAME.

    Verwenden Sie für den Dienst denselben Namen wie für die Weiterleitungsregel, die für den Endpunkt ENDPOINT_NAME verwendet wird.

  3. Erstellen Sie einen Service Directory-Endpunkt mit dem Namen default und verwenden Sie die IP-Adresse und den Port (443) des Endpunkts.

Nachdem Sie den Endpunkt bei Service Directory registriert haben, folgen Sie der Anleitung zum Konfigurieren einer Service Directory-DNS-Zone.

DNS manuell konfigurieren

Wenn Sie die automatische DNS-Konfiguration verhindert haben oder sie in Ihrer Konfiguration nicht aktiviert ist, können Sie mithilfe von Cloud DNS DNS-Einträge manuell erstellen.

Weitere Informationen finden Sie auf den folgenden Seiten:

  • Zugriffssteuerung: Die Rolle "DNS-Administrator" (roles/dns.admin) bietet die Berechtigungen zum Erstellen von DNS-Zonen und -Einträgen.

  • Private Zone erstellen.

    • Wenn Sie eine private Zone konfigurieren, geben Sie einen DNS-Namen an. Verwenden Sie die DNS-Domain, die der Dienstersteller für seine veröffentlichten Dienste verwendet. Diese Informationen erhalten Sie vom Dienstersteller.

      Er hat möglicherweise dieses Format: REGION.p.DOMAIN. Wenn die öffentliche Domain des Diensterstellers beispielsweise example.com ist und sein veröffentlichter Dienst in us-west1 liegt, dann empfehlen wir, dass er seinen Dienst unter dem Domainnamen us-west1.p.example.com zur Verfügung stellt.

  • Eintrag hinzufügen.

Fehlerbehebung

Erstellen einer privaten DNS-Zone schlägt fehl

Wenn Sie einen Endpunkt erstellen, wird eine Service Directory-DNS-Zone erstellt. Das Erstellen einer Zone kann aus folgenden Gründen fehlschlagen:

  • Sie haben die Cloud DNS API in Ihrem Projekt nicht aktiviert.

  • Sie haben nicht die erforderlichen Berechtigungen, um eine Service Directory-DNS-Zone zu erstellen.

  • Eine DNS-Zone mit demselben Zonennamen ist in diesem VPC-Netzwerk vorhanden.

  • In diesem VPC-Netzwerk ist bereits eine DNS-Zone für denselben Domainnamen vorhanden.

So erstellen Sie die Service Directory-DNS-Zone manuell:

  1. Prüfen Sie, ob die Cloud DNS API in Ihrem Projekt aktiviert ist.

  2. Prüfen Sie, ob Sie die erforderlichen Berechtigungen zum Erstellen der Service Directory-DNS-Zone haben:

    • dns.managedZones.create
    • dns.networks.bindPrivateDNSZone
    • servicedirectory.namespaces.associatePrivateZone

  3. Wenn eine in Konflikt stehende Zone vorhanden ist, aber nicht mehr benötigt wird, löschen Sie die DNS-Zone.

  4. Erstellen Sie eine Service Directory-DNS-Zone auf der Grundlage des Service Directory-Namespace, der mit Ihrem Endpunkt verknüpft ist.

Die Endpunkterstellung schlägt fehl, wenn der globale Zugriff konfiguriert ist

Nicht alle veröffentlichten Private Service Connect-Dienste unterstützen Endpunkte mit globalem Zugriff. Wenn Sie einen Endpunkt mit globalem Zugriff erstellen und der veröffentlichte Dienst dies nicht unterstützt, wird diese Fehlermeldung angezeigt:

Private Service Connect global access is not supported for the given forwarding rule, since its producer service does not support consumer global access.

Erstellen Sie den Endpunkt ohne die globale Zugriffsoption.

Die Endpunkterstellung ist erfolgreich, aber die Verbindung wird nicht hergestellt

Wenn Sie einen Endpunkt für veröffentlichte Dienste erfolgreich erstellt haben, aber die Verbindung nicht hergestellt wird, prüfen Sie den Verbindungsstatus des Endpunkts. Der Verbindungsstatus kann möglicherweise auf Schritte hinweisen, mit denen Sie das Problem beheben können.