Auf verwaltete Dienste mit Private Service Connect zugreifen
Mit Private Service Connect können Sie eine Verbindung zu Diensterstellern mithilfe von Endpunkten mit internen IP-Adressen in Ihrem VPC-Netzwerk herstellen.
In diesem Dokument wird erläutert, wie Sie Private Service Connect-Endpunkte verwenden, um eine Verbindung zu unterstützten Diensten in einem anderen VPC-Netzwerk herzustellen. Sie können eine Verbindung zu Ihren eigenen Diensten oder denen anderer Dienstersteller herstellen. Weitere Informationen finden Sie unter Dienste veröffentlichen.
Rollen
Die folgende IAM-Rolle bietet die Berechtigungen, die zum Ausführen der Aufgaben in dieser Anleitung erforderlich sind.
Aufgabe | Rollen |
---|---|
Private Service Connect-Endpunkt erstellen |
Beide Rollen: Compute-Netzwerkadministrator ( roles/compute.networkAdmin ) und
Service Directory-Bearbeiter ( roles/servicedirectory.editor )
|
DNS-Einträge für einen Private Service Connect-Endpunkt automatisch oder manuell konfigurieren | DNS-Administrator
(roles/dns.admin ) |
Vorbereitung
Sie müssen in Ihrem Projekt die Compute Engine API aktivieren.
Sie müssen die Service Directory API für Ihr Projekt aktivieren.
Sie müssen in Ihrem Projekt die Cloud DNS API aktivieren.
Firewallregeln für ausgehenden Traffic müssen Traffic zur internen IP-Adresse des Private Service Connect-Endpunkts zulassen. Die implizierte Firewallregel zum Zulassen ausgehenden Traffics erlaubt ausgehenden Traffic an jede Ziel-IP-Adresse.
Wenn Sie in Ihrem VPC-Netzwerk Firewallregeln erstellt haben, die ausgehenden Traffic ablehnen, oder wenn Sie hierarchische Firewallrichtlinien erstellt haben, durch die das Verhalten von implizit zulässigem ausgehendem Traffic ändern, wird der Zugriff auf den Endpunkt möglicherweise beeinträchtigt. Erstellen Sie eine spezifische Firewallregel oder Richtlinie, die ausgehenden Traffic zulässt, um Traffic zum internen IP-Adressziel des Dienstendpunkts zu erlauben.
Sie müssen den URI des Dienstanhangs für den Dienst haben. Beispiel:
projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME
Wenn Sie einen Private Service Connect-Endpunkt in einem Projekt erstellen, das durch einen VPC Service Controls-Perimeter geschützt ist, der
compute.googleapis.com
,servicedirectory.googleapis.com
oderdns.googleapis.com
einschränkt, ist eine zusätzliche Konfiguration erforderlich. Sie müssen Regeln für ein- und ausgehenden Traffic für VPC Service Controls erstellen, bevor Sie den Endpunkt erstellen. Weitere Informationen finden Sie unter Regeln für ein- und ausgehenden Traffic für VPC Service Controls konfigurieren.
Beschränkungen
Private Service Connect-Endpunkte sind über Peering-VPC-Netzwerke nicht erreichbar.
Sie können keine Anfragen von einer lokalen Umgebung, die mithilfe von Cloud Interconnect-Anhängen (VLANs) mit einer VPC verbunden ist, an einen Private Service Connect-Endpunkt senden, der für den Zugriff auf Dienste in einem anderen VPC-Netzwerk verwendet wird.
Informationen zum Zugriff auf Private Service Connect-Endpunkte aus lokalen Umgebungen, die über Cloud VPN verbunden sind, finden Sie unter Private Service Connect von lokalen Hosts verwenden.
Die Paketspiegelung kann keine Pakete zwischen VMs und Private Service Connect-Endpunkten spiegeln, die eine Verbindung zu einem veröffentlichten Dienst herstellen.
Automatische DNS-Konfiguration
Wenn die folgenden Konfigurationen vorhanden sind, werden DNS-Einträge für Private Service Connect-Endpunkte automatisch erstellt:
Der Dienstersteller hat einen Domainnamen für den Dienst konfiguriert.
Der Private Service Connect-Endpunkt ist bei einem Service Directory-Namespace registriert.
Alle neuen Endpunkte werden automatisch bei Service Directory registriert. Ältere Endpunkte werden jedoch möglicherweise nicht registriert.
Wenn beide Konfigurationen vorhanden sind, wird beim Erstellen des Private Service Connect-Endpunkts eine Service Directory-DNS-Zone mit dem Namen NAMESPACE--REGION
erstellt.
Diese private Zone speichert DNS-Einträge für Dienste, die im Service Directory-Namespace NAMESPACE
in der Region REGION
gefunden werden.
Nachdem Sie den Private Service Connect-Endpunkt erstellt haben, können Sie prüfen, ob eine Service Directory-DNS-Zone erstellt wurde. Wenn die Service Directory-DNS-Zone nicht erstellt wird, können Sie manuell eine ähnliche Konfiguration erstellen. Weitere Informationen finden Sie unter Service Directory-DNS-Zonen aufrufen.
Wenn Sie nicht möchten, dass diese DNS-Einträge erstellt werden, führen Sie einen der folgenden Schritte aus:
Wenn Sie Cloud DNS nicht für einen anderen Zweck verwenden, deaktivieren Sie die Cloud DNS API oder entfernen Sie die Berechtigungen, die für Cloud DNS erforderlich sind.
Warten Sie, bis die DNS-Zone erstellt wurde, und löschen Sie dann die DNS-Zone manuell.
Informationen zum manuellen Konfigurieren von DNS finden Sie unter DNS manuell konfigurieren.
Private Service Connect-Endpunkt erstellen
Ein Private Service Connect-Endpunkt stellt mithilfe einer Private Service Connect-Weiterleitungsregel eine Verbindung zu Diensten in einem anderen VPC-Netzwerk her. Jede Weiterleitungsregel wird auf das projektspezifische Kontingent für Private Service Connect-Weiterleitungsregeln angerechnet, mit denen auf Dienste in einem anderen VPC-Netzwerk zugegriffen wird.
Wenn Sie mit Private Service Connect eine Verbindung zu Diensten in einem anderen VPC-Netzwerk herstellen, wählen Sie eine IP-Adresse aus einem Subnetz in Ihrem VPC-Netzwerk aus.
Die IP-Adresse muss sich in derselben Region wie der Dienstanhang des Diensterstellers befinden. Die IP-Adresse wird auf das Kontingent des Projekts für interne IP-Adressen angerechnet.
Wenn Sie einen Private Service Connect-Endpunkt erstellen, wird dieser automatisch bei Service Directory mit einem von Ihnen ausgewählten Namespace oder mit dem Standard-Namespace goog-psc-default
registriert.
Console
Wechseln Sie in der Google Cloud Console zu Private Service Connect.
Klicken Sie auf den Tab Verbundene Endpunkte.
Klicken Sie auf Endpunkt verbinden.
Wählen Sie für Ziel die Option Veröffentlichter Dienst aus.
Geben Sie bei Zieldienst den URI des Dienstanhangs ein, zu dem Sie eine Verbindung herstellen möchten.
Der URI des Dienstanhangs hat folgendes Format:
projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME
.Geben Sie unter Endpunktname einen Namen für den Endpunkt ein.
Wählen Sie ein Netzwerk für den Endpunkt aus.
Wählen Sie ein Subnetzwerk für den Endpunkt aus.
Wählen Sie eine IP-Adresse für den Endpunkt aus. Wenn Sie eine neue IP-Adresse benötigen, können Sie eine erstellen:
- Klicken Sie auf das Drop-down-Menü IP-Adresse und wählen Sie IP-Adresse erstellen aus.
- Geben Sie einen Namen und optional eine Beschreibung für die IP-Adresse ein.
Wählen Sie unter Statische IP-Adresse die Option Automatisch zuweisen oder Selbst auswählen aus.
Wenn Sie Selbst auswählen ausgewählt haben, geben Sie die benutzerdefinierte IP-Adresse ein, die Sie verwenden möchten.
Klicken Sie auf Reservieren.
Wählen Sie einen Namespace aus der Drop-down-Liste aus oder erstellen Sie einen neuen Namespace.
Die Region wird anhand des ausgewählten Subnetzwerks ausgefüllt.
Klicken Sie auf Endpunkt hinzufügen.
gcloud
Reservieren Sie eine interne IP-Adresse, die Sie dem Endpunkt zuweisen möchten.
gcloud compute addresses create ADDRESS_NAME \ --region=REGION \ --subnet=SUBNET
Dabei gilt:
ADDRESS_NAME
: der Name, der der reservierten IP-Adresse zugewiesen werden soll.REGION
: die Region für die Endpunkt-IP-Adresse. Dies muss dieselbe Region sein, die den Dienstanhang des Diensterstellers enthält.SUBNET
: der Name des Subnetzes für die Endpunkt-IP-Adresse.
Suchen Sie die reservierte IP-Adresse.
gcloud compute addresses list --filter="name=ADDRESS_NAME"
Erstellen Sie eine Weiterleitungsregel, um den Endpunkt mit dem Dienstanhang des Diensterstellers zu verbinden.
gcloud compute forwarding-rules create ENDPOINT_NAME \ --region=REGION \ --network=NETWORK_NAME \ --address=ADDRESS_NAME \ --target-service-attachment=SERVICE_ATTACHMENT \ [ --service-directory-registration=projects/PROJECT_ID/locations/REGION/namespaces/NAMESPACE ]
Dabei gilt:
ENDPOINT_NAME
: der Name, der dem Endpunkt zugewiesen werden soll.REGION
: die Region für den Endpunkt. Dies muss dieselbe Region sein, die den Dienstanhang des Diensterstellers enthält.NETWORK_NAME
: der Name des VPC-Netzwerks für den Endpunkt.ADDRESS_NAME
: der Name der reservierten Adresse.SERVICE_ATTACHMENT
: der URI des Dienstanhangs des Diensterstellers. Beispiel:projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME
PROJECT_ID
: Ihre Projekt-ID.NAMESPACE
: der Namespace von Service Directory, den Sie verwenden möchten. Wenn Sie einen nicht vorhandenen Namespace angeben, wird der Namespace erstellt.Wenn Sie das Flag
--service-directory-registration
weglassen, wird der Standard-Namespace vongoog-psc-default
verwendet.
API
Reservieren Sie eine interne IP-Adresse, die Sie dem Endpunkt zuweisen möchten.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/region/REGION/addresses { "name": ADDRESS_NAME, "addressType": "INTERNAL", "subnetwork": SUBNET_URI }
Dabei gilt:
PROJECT_ID
: Ihre Projekt-ID.ADDRESS_NAME
: der Name, der der reservierten IP-Adresse zugewiesen werden soll.SUBNET_URI
: das Subnetz für die IP-Adresse. Mit der Methode subnetworks.list odergcloud compute networks subnets list --uri
können Sie die URLs Ihrer Netzwerke ermitteln.
Erstellen Sie eine Weiterleitungsregel, um den Endpunkt mit Google APIs und Google-Diensten zu verbinden.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules { "name": ENDPOINT_NAME, "IPAddress": ADDRESS_URI, "target": SERVICE_ATTACHMENT, "network": NETWORK_URI, "serviceDirectoryRegistrations": [ { "namespace": NAMESPACE, } ], }
Dabei gilt:
PROJECT_ID
: Ihre Projekt-ID.REGION
: die Region für den Endpunkt.ENDPOINT_NAME
: der Name, der dem Endpunkt zugewiesen werden soll.ADDRESS_URI
: der URI der reservierten Adresse im zugehörigen Netzwerk. Verwenden Sie die Methode addresses.list odergcloud compute addresses list --uri
, um die URL Ihrer reservierten Adresse zu ermitteln.SERVICE_ATTACHMENT
: der URI des Dienstanhangs des Diensterstellers. Beispiel:projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME
NETWORK_URI
: das VPC-Netzwerk für den Endpunkt. Mit der Methode network.list odergcloud compute networks list --uri
können Sie den URI Ihres Netzwerks ermitteln.NAMESPACE
: der Namespace für den Endpunkt. Wenn Sie einen nicht vorhandenen Namespace angeben, wird der Namespace erstellt. Wenn Sie das Feldnamespace
weglassen, wird der Standard-Namespace vongoog-psc-default
zugewiesen.
Regeln für ein- und ausgehenden Traffic für VPC Service Controls konfigurieren
Wenn Sie einen Private Service Connect-Endpunkt in einem Projekt erstellen, das durch einen VPC Service Controls-Perimeter geschützt ist, der compute.googleapis.com
, servicedirectory.googleapis.com
oder dns.googleapis.com
einschränkt, ist eine zusätzliche Konfiguration erforderlich. Bevor Sie einen Private Service Connect-Endpunkt erstellen, bitten Sie den Dienstersteller um die folgenden Informationen:
PRODUCER_PROJECT_NUMBER
: die Projektnummer des Projekts, das den Dienstanhang enthältPRODUCER_SERVICE_ACCOUNT
(optional): der Name des Dienstkontos, das die Dienstanlage erstellt hat, wenn Sie eine Eingangsregel konfigurieren möchten, die den Zugriff nach Konto einschränkt.
Verwenden Sie diese Informationen, um Ein- und Ausgangsregeln zu erstellen, damit die Verbindung zwischen dem Private Service Connect-Endpunkt und dem Dienstanhang hergestellt werden kann.
Informationen zum Konfigurieren von Regeln für ein- und ausgehenden Traffic finden Sie unter Richtlinien für ein- und ausgehenden Traffic konfigurieren.
Konfigurieren Sie eine Regel für ausgehenden Traffic, die ausgehenden Traffic vom Nutzerprojekt zum Erstellerprojekt
PRODUCER_PROJECT_NUMBER
zulässt.- egressFrom: identityType: ANY_IDENTITY egressTo: operations: - serviceName: 'compute.googleapis.com' methodSelectors: - method: 'ServiceAttachmentsService.Insert' - method: 'ServiceAttachmentsService.Patch' - method: 'RegionForwardingRulesService.Insert' - serviceName: 'servicedirectory.googleapis.com' methodSelectors: - method: '*' - serviceName: 'dns.googleapis.com' methodSelectors: - method: '*' resources: - 'projects/PRODUCER_PROJECT_NUMBER'
Erstellen Sie eine der folgenden Regeln für eingehenden Traffic:
Dieses Regelbeispiel für eingehenden Traffic erlaubt es dem Dienstersteller, einen Dienstanhang zu aktualisieren, der von
PRODUCER_SERVICE_ACCOUNT
erstellt wurde, um Ihr Projekt in die Zulassungsliste aufzunehmen.- ingressFrom: sources: - accessLevel: '*' # All Sources identities: serviceAccount: PRODUCER_SERVICE_ACCOUNT ingressTo: operations: - serviceName: 'compute.googleapis.com' methodSelectors: - method: 'ServiceAttachmentsService.Patch' - serviceName: 'servicedirectory.googleapis.com' methodSelectors: - method: '*' - serviceName: 'dns.googleapis.com' methodSelectors: - method: '*' resources: - '*'
Mit diesem Regelbeispiel für eingehenden Traffic kann der Dienstersteller einen Dienstanhang aktualisieren, der von einem beliebigen Konto erstellt wurde, um Ihr Projekt zur Zulassungsliste hinzuzufügen.
- ingressFrom: sources: - accessLevel: '*' # All Sources identityType: ANY_IDENTITY ingressTo: operations: - serviceName: 'compute.googleapis.com' methodSelectors: - method: 'ServiceAttachmentsService.Patch' - serviceName: 'servicedirectory.googleapis.com' methodSelectors: - method: '*' - serviceName: 'dns.googleapis.com' methodSelectors: - method: '*' resources: - '*'
Nachdem Sie die Regeln für ein- und ausgehenden Traffic konfiguriert haben, können Sie einen Private Service Connect-Endpunkt erstellen, der eine Verbindung zu einem Dienstanhang im Projekt PRODUCER_PROJECT_NUMBER
herstellt.
Service Directory-DNS-Zonen ansehen
Wenn die Voraussetzungen für die automatische DNS-Konfiguration erfüllt sind, wird eine DNS-Zone mit einem Namen im Format NAMESPACE--REGION
erstellt.
Console
Rufen Sie in der Cloud Console die Seite Cloud DNS-Zonen auf.
Suchen Sie nach einer privaten Zone mit dem Namen
NAMESPACE--REGION
.
gcloud
Führen Sie den folgenden Befehl aus, um alle privaten DNS-Zonen aufzulisten:
gcloud dns managed-zones list \ --filter="visibility=private"
Führen Sie den folgenden Befehl aus, um Details zu einer Zone mit dem Namen
NAMESPACE--REGION
abzurufen.gcloud dns managed-zones describe NAMESPACE--REGION
Wenn die Zone nicht vorhanden ist, rufen Sie die Details für den Private Service Connect-Endpunkt auf und prüfen Sie, ob die Endpunktkonfiguration einen Wert für den Namespace enthält.
Wenn der Endpunkt eine Namespace-Konfiguration hat, finden Sie weitere Informationen unter Service Directory-DNS-Zone konfigurieren.
Wenn der Endpunkt keine Namespace-Konfiguration hat, finden Sie weitere Informationen unter Private Service Connect-Endpunkt bei Service Directory registrieren.
Endpunkte auflisten
Sie können alle konfigurierten Private Service Connect-Endpunkte auflisten.
Console
Rufen Sie in der Google Cloud Console die Seite "Private Service Connect" auf.
Klicken Sie auf den Tab Verbundene Endpunkte.
Die Endpunkte für Private Service Connect werden angezeigt.
gcloud
gcloud compute forwarding-rules list \ --filter 'target~serviceAttachments'
Die Ausgabe sieht etwa so aus:
NAME REGION IP_ADDRESS IP_PROTOCOL TARGET RULE IP TCP REGION/serviceAttachments/SERVICE_NAME
API
Dieser API-Aufruf gibt alle Weiterleitungsregeln zurück, nicht nur Private Service Connect-Endpunkte, die für den Zugriff auf Dienste verwendet werden.
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules
Dabei gilt:
PROJECT_ID
: das Projekt, das den Endpunkt enthält.REGION
: die Region für den Endpunkt.
Endpunktdetails ansehen
Sie können alle Konfigurationsdetails eines Privaten Service Connect-Endpunkts aufrufen.
Der Endpunkt kann einen der folgenden Status haben:
Ausstehend: Der Endpunkt ist so konfiguriert, dass er eine Verbindung zu einem Dienst herstellt, für den eine Genehmigung erforderlich ist. Für dieses Projekt wurde noch keine Genehmigung erteilt.
Akzeptiert: Der Endpunkt befindet sich in einem Projekt, das für die Verbindung mit dem Dienst genehmigt wurde.
Abgelehnt: Der Endpunkt befindet sich in einem Projekt, das keine Verbindung zum Dienst herstellen darf.
Geschlossen: Der Endpunkt ist mit einem gelöschten Dienstanhang verbunden.
Console
Rufen Sie in der Google Cloud Console die Seite "Private Service Connect" auf.
Klicken Sie auf den Tab Verbundene Endpunkte.
Klicken Sie auf den Endpunkt, den Sie aufrufen möchten.
gcloud
gcloud compute forwarding-rules describe \ ENDPOINT_NAME --region=REGION
Dabei gilt:
ENDPOINT_NAME
: der Name des Endpunkts.REGION
: die Region für den Endpunkt.
API
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/ENDPOINT_NAME
Dabei gilt:
PROJECT_ID
: das Projekt, das den Endpunkt enthält.REGION
: die Region für den Endpunkt.ENDPOINT_NAME
: der Name des Endpunkts.
Endpunkte mit Label versehen
Sie können Labels für Private Service Connect-Endpunkte verwalten. Weitere Informationen finden Sie unter Ressourcen mit Labels versehen.
Endpunkt löschen
Sie können einen Private Service Connect-Endpunkt löschen.
Die folgenden Service Directory-Konfigurationen werden jedoch nicht gelöscht, wenn Sie den Endpunkt löschen:
- Service Directory-Namespace
- Service Directory-DNS-Zone
Der Service Directory-Namespace und die Service Directory-DNS-Zone können von anderen Diensten verwendet werden. Prüfen Sie, ob der Namespace leer ist, bevor Sie den Service Directory-Namespace löschen oder die Service Directory-DNS-Zone löschen.
Console
Wechseln Sie in der Google Cloud Console zu Private Service Connect.
Klicken Sie auf den Tab Verbundene Endpunkte.
Wählen Sie den Private Service Connect-Endpunkt aus, den Sie löschen möchten, und klicken Sie auf Löschen.
gcloud
gcloud compute forwarding-rules delete \ ENDPOINT_NAME --region=REGION
Dabei gilt:
ENDPOINT_NAME
: der Name des Endpunkts.REGION
: die Region für den Endpunkt.
API
DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/ENDPOINT_NAME
Dabei gilt:
PROJECT_ID
: das Projekt, das den Endpunkt enthält.REGION
: die Region für den Endpunkt.ENDPOINT_NAME
: der Name des Endpunkts.
Andere Möglichkeiten zur Konfiguration von DNS
Wenn die Voraussetzungen für die automatische DNS-Konfiguration nicht erfüllt sind, können Sie DNS-Einträge auf andere Weise erstellen:
Wenn für den Endpunkt ein Namespace konfiguriert ist, lesen Sie den Abschnitt Service Directory-DNS-Zone konfigurieren.
Wenn für den Endpunkt kein Namespace konfiguriert ist, lesen Sie die Informationen unter Endpunkt eines Private Service Connect bei Service Directory registrieren.
Informationen zum manuellen Konfigurieren von DNS finden Sie unter DNS manuell konfigurieren.
Service Directory-DNS-Zone konfigurieren
Wenn ein Private Service Connect-Endpunkt bei Service Directory registriert ist, aber der veröffentlichte Dienst, zu dem eine Verbindung hergestellt wird, keinen Domainnamen konfiguriert hat, werden keine DNS-Änderungen vorgenommen.
Wenn Sie die automatische DNS-Konfiguration replizieren möchten, können Sie manuell eine Service Directory-DNS-Zone konfigurieren, die vom Namespace Service Directory unterstützt wird. Nachdem die Zone erstellt wurde, werden DNS-Einträge für den Private Service Connect-Endpunkt automatisch erstellt.
Erstellen Sie eine Service Directory-DNS-Zone mit der folgenden Konfiguration:
Zonenname: Geben Sie
NAMESPACE--REGION
an, wobeiNAMESPACE
der Namespace ist, in dem der Private Service Connect-Endpunkt registriert ist, undREGION
die Region ist, in der der Endpunkt erstellt wird.DNS-Name: Die DNS-Domain, die der Dienstersteller für seine veröffentlichten Dienste verwendet. Diese Informationen erhalten Sie vom Dienstersteller.
Der DNS-Name hat möglicherweise das Format
REGION.p.DOMAIN
. Wenn die öffentliche Domain des Diensterstellers beispielsweiseexample.com
ist und sein veröffentlichter Dienst inus-west1
liegt, dann empfehlen wir, dass er seinen Dienst unter dem Domainnamenus-west1.p.example.com
zur Verfügung stellt. Fügen Sie einen nachgestellten Punkt ein, z. B.us-west1.p.example.com.
.Service Directory-Namespace: Der Namespace, den Sie für diesen Endpunkt konfiguriert haben.
Rufen Sie die Details zum Private Service Connect-Endpunkt auf, um den Service Directory-Namespace und die Service Directory-Region zu finden.
Wenn Sie bei dieser Konfiguration eine Service Directory-DNS-Zone mit dem DNS-Namen us-west1.p.example.com
konfiguriert und einen Private Service Connect-Endpunkt namens analytics
erstellt haben, wird ein DNS-Eintrag für analytics.us-west1.p.example.com
automatisch erstellt.
Private Service Connect-Endpunkt bei Service Directory registrieren
Neue Private Service Connect-Endpunkte werden automatisch bei Service Directory registriert. Wenn jedoch ein Private Service Connect-Endpunkt erstellt wurde, bevor die automatische Registrierung mit Service Directory aktiviert wurde, fehlt diese Konfiguration möglicherweise.
Sie können den Private Service Connect-Endpunkt löschen und einen neuen erstellen, der automatisch bei Service Directory registriert ist.
Sie können auch diese Schritte ausführen, um einen vorhandenen Private Service Connect-Endpunkt mit einem Service Directory-Namespace zu registrieren.
Erstellen Sie einen Service Directory-Namespace für den Private Service Connect-Endpunkt
NAMESPACE
.Erstellen Sie einen Service Directory-Dienst für den Private Service Connect-Endpunkt
SERVICE_NAME
.Verwenden Sie für den Dienst denselben Namen wie für die Weiterleitungsregel, die für den Private Service Connect-Endpunkt
ENDPOINT_NAME
verwendet wird.Erstellen Sie einen Service Directory-Endpunkt mit dem Namen
default
und verwenden Sie die IP-Adresse und den Port (443
) des Private Service Connect-Endpunkts.
Nachdem Sie den Private Service Connect-Endpunkt bei Service Directory registriert haben, folgen Sie der Anleitung zum Konfigurieren einer Service Directory-DNS-Zone.
DNS manuell konfigurieren
Wenn Sie die automatische DNS-Konfiguration verhindert haben oder sie in Ihrer Konfiguration nicht aktiviert ist, können Sie mithilfe von Cloud DNS DNS-Einträge manuell erstellen.
Weitere Informationen finden Sie auf den folgenden Seiten:
Zugriffssteuerung: Die Rolle "DNS-Administrator" (
roles/dns.admin
) bietet die Berechtigungen zum Erstellen von DNS-Zonen und -Einträgen.-
Wenn Sie eine private Zone konfigurieren, geben Sie einen DNS-Namen an. Verwenden Sie die DNS-Domain, die der Dienstersteller für seine veröffentlichten Dienste verwendet. Diese Informationen erhalten Sie vom Dienstersteller.
Er hat möglicherweise dieses Format:
REGION.p.DOMAIN
. Wenn die öffentliche Domain des Diensterstellers beispielsweiseexample.com
ist und sein veröffentlichter Dienst inus-west1
liegt, dann empfehlen wir, dass er seinen Dienst unter dem Domainnamenus-west1.p.example.com
zur Verfügung stellt.
Logging
Sie können VPC-Flusslogs in Subnetzen aktivieren, die VMs enthalten, die auf Dienste in einem anderen VPC-Netzwerk über Private Service Connect-Endpunkte zugreifen. Die Logs zeigen Abläufe zwischen den VMs und dem Private Service Connect-Endpunkt.
Private Service Connect von lokalen Hosts aus verwenden
Wenn Ihr lokales Netzwerk mit einem VPC-Netzwerk verbunden ist, können Sie von lokalen Hosts über die interne IP-Adresse des Private Service Connect-Endpunkts auf die von Private Service Connect veröffentlichten Dienste zugreifen.
Ihr lokales Netzwerk muss über Cloud VPN-Tunnel mit einem VPC-Netzwerk in derselben Region verbunden sein, in der sich auch der Private Service Connect-Endpunkt befindet.
Der Private Service Connect Endpunkt befindet sich im VPC-Netzwerk, das mit Ihrem lokalen Netzwerk verbunden ist.
Wenn Sie über den DNS-Namen auf den Private Service Connect-Endpunkt zugreifen möchten, müssen Sie lokale Systeme konfigurieren, damit sie Abfragen an Ihre privaten DNS-Zonen senden können.
Wenn Sie die privaten DNS-Zonen mit Cloud DNS implementiert haben, führen Sie die folgenden Schritte aus:
Erstellen Sie eine Serverrichtlinie für eingehenden Traffic in dem VPC-Netzwerk, zu dem Ihr lokales Netzwerk eine Verbindung herstellt.
Identifizieren Sie die Weiterleitungs-Einstiegspunkte für eingehenden Traffic in den Regionen, in denen sich Ihre Cloud VPN-Tunnel befinden, in dem VPC-Netzwerk, mit dem sich Ihr lokales Netzwerk verbindet.
Konfigurieren Sie lokale Systeme und lokale DNS-Namensserver so, dass sie die DNS-Namen für die Private Service Connect-Endpunkte an einen Weiterleitungs-Einstiegspunkt für eingehenden Traffic in derselben Region wie der Cloud VPN-Tunnel, der eine Verbindung zum VPC-Netzwerk herstellt.
Fehlerbehebung
Erstellen einer privaten DNS-Zone schlägt fehl
Wenn Sie einen Endpunkt für Private Service Connect erstellen, wird eine Service Directory-DNS-Zone erstellt. Das Erstellen einer Zone kann aus folgenden Gründen fehlschlagen:
Sie haben die Cloud DNS API in Ihrem Projekt nicht aktiviert.
Sie haben nicht die erforderlichen Berechtigungen, um eine Service Directory-DNS-Zone zu erstellen.
Eine DNS-Zone mit demselben Zonennamen ist in diesem VPC-Netzwerk vorhanden.
In diesem VPC-Netzwerk ist bereits eine DNS-Zone für denselben Domainnamen vorhanden.
So erstellen Sie die Service Directory-DNS-Zone manuell:
Prüfen Sie, ob die Cloud DNS API in Ihrem Projekt aktiviert ist.
Prüfen Sie, ob Sie die erforderlichen Berechtigungen zum Erstellen der Service Directory-DNS-Zone haben:
dns.managedZones.create
dns.networks.bindPrivateDNSZone
servicedirectory.namespaces.associatePrivateZone
Wenn eine in Konflikt stehende Zone vorhanden ist, aber nicht mehr benötigt wird, löschen Sie die DNS-Zone.
Erstellen Sie eine Service Directory-DNS-Zone auf der Grundlage des Service Directory-Namespace, der mit Ihrem Private Service Connect-Endpunkt verknüpft ist.