Auf verwaltete Dienste mit Private Service Connect zugreifen
Mit Private Service Connect können Sie eine Verbindung zu Diensterstellern mithilfe von Endpunkten mit internen IP-Adressen in Ihrem VPC-Netzwerk herstellen.
In diesem Dokument wird erläutert, wie Sie Private Service Connect-Endpunkte verwenden, um eine Verbindung zu unterstützten und verwalteten Diensten in einem anderen VPC-Netzwerk herzustellen. Sie können eine Verbindung zu Ihren eigenen Diensten oder denen anderer Dienstersteller herstellen. Weitere Informationen finden Sie unter Verwaltete Dienste veröffentlichen.
Rollen
Die folgende IAM-Rolle bietet die Berechtigungen, die zum Ausführen der Aufgaben in dieser Anleitung erforderlich sind.
Aufgabe | Rollen |
---|---|
Private Service Connect-Endpunkt erstellen |
Beide Rollen: Compute-Netzwerkadministrator ( roles/compute.networkAdmin ) und
Service Directory-Bearbeiter ( roles/servicedirectory.editor )
|
DNS-Einträge für einen Private Service Connect-Endpunkt automatisch oder manuell konfigurieren | DNS-Administrator
(roles/dns.admin ) |
Vorbereitung
Sie müssen in Ihrem Projekt die Compute Engine API aktivieren.
Sie müssen die Service Directory API für Ihr Projekt aktivieren.
Sie müssen in Ihrem Projekt die Cloud DNS API aktivieren.
Firewallregeln für ausgehenden Traffic müssen Traffic zur internen IP-Adresse des Private Service Connect-Endpunkts zulassen. Die implizierte Firewallregel zum Zulassen ausgehenden Traffics erlaubt ausgehenden Traffic an jede Ziel-IP-Adresse.
Wenn Sie in Ihrem VPC-Netzwerk Firewallregeln erstellt haben, die ausgehenden Traffic ablehnen, oder wenn Sie hierarchische Firewallrichtlinien erstellt haben, durch die das Verhalten von implizit zulässigem ausgehendem Traffic ändern, wird der Zugriff auf den Endpunkt möglicherweise beeinträchtigt. Erstellen Sie eine spezifische Firewallregel oder Richtlinie, die ausgehenden Traffic zulässt, um Traffic zum internen IP-Adressziel des Dienstendpunkts zu erlauben.
Sie müssen den URI des Dienstanhangs für den Dienst haben. Beispiel:
projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME
Beschränkungen
Sie können einen Private Service Connect-Endpunkt nicht im selben VPC-Netzwerk erstellen wie den veröffentlichten Dienst, auf den Sie zugreifen.
Private Service Connect-Endpunkte sind über Peering-VPC-Netzwerke nicht erreichbar.
Bei der Paketspiegelung können keine Pakete für Traffic von Private Service Connect veröffentlicht werden.
Automatische DNS-Konfiguration
Wenn die folgenden Konfigurationen vorhanden sind, werden DNS-Einträge für Private Service Connect-Endpunkte automatisch erstellt:
Der Dienstersteller hat einen Domainnamen für den Dienst konfiguriert.
Der Private Service Connect-Endpunkt ist bei einem Service Directory-Namespace registriert.
Alle neuen Endpunkte werden automatisch bei Service Directory registriert. Ältere Endpunkte werden jedoch möglicherweise nicht registriert.
Wenn beide Konfigurationen vorhanden sind, wird beim Erstellen des Private Service Connect-Endpunkts eine Service Directory-DNS-Zone mit dem Namen NAMESPACE--REGION
erstellt.
Diese private Zone speichert DNS-Einträge für Dienste, die im Service Directory-Namespace NAMESPACE
in der Region REGION
gefunden werden.
Nachdem Sie den Private Service Connect-Endpunkt erstellt haben, können Sie prüfen, ob eine Service Directory-DNS-Zone erstellt wurde. Wenn die Service Directory-DNS-Zone nicht erstellt wird, können Sie manuell eine ähnliche Konfiguration erstellen. Weitere Informationen finden Sie unter Service Directory-DNS-Zonen aufrufen.
Wenn Sie nicht möchten, dass diese DNS-Einträge erstellt werden, führen Sie einen der folgenden Schritte aus:
Wenn Sie Cloud DNS nicht für einen anderen Zweck verwenden, deaktivieren Sie die Cloud DNS API oder entfernen Sie die Berechtigungen, die für Cloud DNS erforderlich sind.
Warten Sie, bis die DNS-Zone erstellt wurde, und löschen Sie dann die DNS-Zone manuell.
Informationen zum manuellen Konfigurieren von DNS finden Sie unter DNS manuell konfigurieren.
Private Service Connect-Endpunkt erstellen
Ein Private Service Connect-Endpunkt stellt mithilfe einer Private Service Connect-Weiterleitungsregel eine Verbindung zu Diensten in einem anderen VPC-Netzwerk her. Jede Weiterleitungsregel wird auf das projektspezifische Kontingent für Private Service Connect-Weiterleitungsregeln angerechnet, mit denen auf Dienste in einem anderen VPC-Netzwerk zugegriffen wird.
Wenn Sie mit Private Service Connect eine Verbindung zu Diensten in einem anderen VPC-Netzwerk herstellen, wählen Sie eine IP-Adresse aus einem Subnetz in Ihrem VPC-Netzwerk aus.
Die IP-Adresse muss sich in derselben Region wie der Dienstanhang des Diensterstellers befinden. Die IP-Adresse wird auf das Kontingent des Projekts für interne IP-Adressen angerechnet.
Wenn Sie einen Private Service Connect-Endpunkt erstellen, wird dieser automatisch bei Service Directory mit einem von Ihnen ausgewählten Namespace oder mit dem Standard-Namespace goog-psc-default
registriert.
Console
Wechseln Sie in der Google Cloud Console zu Private Service Connect.
Klicken Sie auf den Tab Verbundene Endpunkte.
Klicken Sie auf Endpunkt verbinden.
Wählen Sie für Ziel die Option Veröffentlichter Dienst aus.
Geben Sie bei Zieldienst den URI des Dienstanhangs ein, zu dem Sie eine Verbindung herstellen möchten.
Der URI des Dienstanhangs hat folgendes Format:
projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME
.Geben Sie unter Endpunktname einen Namen für den Endpunkt ein.
Wählen Sie ein Netzwerk für den Endpunkt aus.
Wählen Sie ein Subnetzwerk für den Endpunkt aus.
Wählen Sie eine IP-Adresse für den Endpunkt aus. Wenn Sie eine neue IP-Adresse benötigen, können Sie eine erstellen:
- Klicken Sie auf das Drop-down-Menü IP-Adresse und wählen Sie IP-Adresse erstellen aus.
- Geben Sie einen Namen und optional eine Beschreibung für die IP-Adresse ein.
Wählen Sie unter Statische IP-Adresse die Option Automatisch zuweisen oder Selbst auswählen aus.
Wenn Sie Selbst auswählen ausgewählt haben, geben Sie die benutzerdefinierte IP-Adresse ein, die Sie verwenden möchten.
Klicken Sie auf Reservieren.
Wählen Sie einen Namespace aus der Drop-down-Liste aus oder erstellen Sie einen neuen Namespace.
Die Region wird anhand des ausgewählten Subnetzwerks ausgefüllt.
Klicken Sie auf Endpunkt hinzufügen.
gcloud
Reservieren Sie eine interne IP-Adresse, die Sie dem Endpunkt zuweisen möchten.
gcloud compute addresses create ADDRESS_NAME \ --region=REGION \ --subnet=SUBNET
Dabei gilt:
ADDRESS_NAME
: der Name, der der reservierten IP-Adresse zugewiesen werden soll.REGION
: die Region für die Endpunkt-IP-Adresse. Dies muss dieselbe Region sein, die den Dienstanhang des Diensterstellers enthält.SUBNET
: der Name des Subnetzes für die Endpunkt-IP-Adresse.
Suchen Sie die reservierte IP-Adresse.
gcloud compute addresses list --filter="name=ADDRESS_NAME"
Erstellen Sie eine Weiterleitungsregel, um den Endpunkt mit dem Dienstanhang des Diensterstellers zu verbinden.
gcloud compute forwarding-rules create ENDPOINT_NAME \ --region=REGION \ --network=NETWORK_NAME \ --address=ADDRESS_NAME \ --target-service-attachment=SERVICE_ATTACHMENT \ [ --service-directory-registration=projects/PROJECT_ID/locations/REGION/namespaces/NAMESPACE ]
Dabei gilt:
ENDPOINT_NAME
: der Name, der dem Endpunkt zugewiesen werden soll.REGION
: die Region für den Endpunkt. Dies muss dieselbe Region sein, die den Dienstanhang des Diensterstellers enthält.NETWORK_NAME
: der Name des VPC-Netzwerks für den Endpunkt.ADDRESS_NAME
: der Name der reservierten Adresse.SERVICE_ATTACHMENT
: der URI des Dienstanhangs des Diensterstellers. Beispiel:projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME
PROJECT_ID
: Ihre Projekt-ID.NAMESPACE
: der Namespace von Service Directory, den Sie verwenden möchten. Wenn Sie einen nicht vorhandenen Namespace angeben, wird der Namespace erstellt.Wenn Sie das Flag
--service-directory-registration
weglassen, wird der Standard-Namespace vongoog-psc-default
verwendet.
API
Reservieren Sie eine interne IP-Adresse, die Sie dem Endpunkt zuweisen möchten.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/region/REGION/addresses { "name": ADDRESS_NAME, "addressType": "INTERNAL", "subnetwork": SUBNET_URI }
Dabei gilt:
PROJECT_ID
: Ihre Projekt-ID.ADDRESS_NAME
: der Name, der der reservierten IP-Adresse zugewiesen werden soll.SUBNET_URI
: das Subnetz für die IP-Adresse. Mit der Methode subnetworks.list odergcloud compute networks subnets list --uri
können Sie die URLs Ihrer Netzwerke ermitteln.
Erstellen Sie eine Weiterleitungsregel, um den Endpunkt mit Google APIs und Google-Diensten zu verbinden.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules { "name": ENDPOINT_NAME, "IPAddress": ADDRESS_URI, "target": SERVICE_ATTACHMENT, "network": NETWORK_URI, "serviceDirectoryRegistrations": [ { "namespace": NAMESPACE, } ], }
Dabei gilt:
PROJECT_ID
: Ihre Projekt-ID.REGION
: die Region für den Endpunkt.ENDPOINT_NAME
: der Name, der dem Endpunkt zugewiesen werden soll.ADDRESS_URI
: der URI der reservierten Adresse im zugehörigen Netzwerk. Verwenden Sie die Methode addresses.list odergcloud compute addresses list --uri
, um die URL Ihrer reservierten Adresse zu ermitteln.SERVICE_ATTACHMENT
: der URI des Dienstanhangs des Diensterstellers. Beispiel:projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME
NETWORK_URI
: das VPC-Netzwerk für den Endpunkt. Mit der Methode network.list odergcloud compute networks list --uri
können Sie den URI Ihres Netzwerks ermitteln.NAMESPACE
: der Namespace für den Endpunkt. Wenn Sie einen nicht vorhandenen Namespace angeben, wird der Namespace erstellt. Wenn Sie das Feldnamespace
weglassen, wird der Standard-Namespace vongoog-psc-default
zugewiesen.
Service Directory-DNS-Zonen ansehen
Wenn die Voraussetzungen für die automatische DNS-Konfiguration erfüllt sind, wird eine DNS-Zone mit einem Namen im Format NAMESPACE--REGION
erstellt.
Console
Rufen Sie in der Google Cloud Console die Seite Cloud DNS-Zonen auf.
Suchen Sie nach einer privaten Zone mit dem Namen
NAMESPACE--REGION
.
gcloud
Führen Sie den folgenden Befehl aus, um alle privaten DNS-Zonen aufzulisten:
gcloud dns managed-zones list \ --filter="visibility=private"
Führen Sie den folgenden Befehl aus, um Details zu einer Zone mit dem Namen
NAMESPACE--REGION
abzurufen.gcloud dns managed-zones describe NAMESPACE--REGION
Wenn die Zone nicht vorhanden ist, rufen Sie die Details für den Private Service Connect-Endpunkt auf und prüfen Sie, ob die Endpunktkonfiguration einen Wert für den Namespace enthält.
Wenn der Endpunkt eine Namespace-Konfiguration hat, finden Sie weitere Informationen unter Service Directory-DNS-Zone konfigurieren.
Wenn der Endpunkt keine Namespace-Konfiguration hat, finden Sie weitere Informationen unter Private Service Connect-Endpunkt bei Service Directory registrieren.
Endpunkte auflisten
Sie können alle konfigurierten Private Service Connect-Endpunkte auflisten.
Console
Rufen Sie in der Google Cloud Console die Seite "Private Service Connect" auf.
Klicken Sie auf den Tab Verbundene Endpunkte.
Die Endpunkte für Private Service Connect werden angezeigt.
gcloud
gcloud compute forwarding-rules list \ --filter 'target~serviceAttachments'
Die Ausgabe sieht etwa so aus:
NAME REGION IP_ADDRESS IP_PROTOCOL TARGET RULE IP TCP REGION/serviceAttachments/SERVICE_NAME
API
Dieser API-Aufruf gibt alle Weiterleitungsregeln zurück, nicht nur Private Service Connect-Endpunkte, die für den Zugriff auf Dienste verwendet werden.
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules
Dabei gilt:
PROJECT_ID
: das Projekt, das den Endpunkt enthält.REGION
: die Region für den Endpunkt.
Endpunktdetails ansehen
Sie können alle Konfigurationsdetails eines Privaten Service Connect-Endpunkts aufrufen.
Der Endpunkt kann einen der folgenden Status haben:
Ausstehend: Der Endpunkt ist so konfiguriert, dass er eine Verbindung zu einem Dienst herstellt, für den eine Genehmigung erforderlich ist. Für dieses Projekt wurde noch keine Genehmigung erteilt.
Akzeptiert: Der Endpunkt befindet sich in einem Projekt, das für die Verbindung mit dem Dienst genehmigt wurde.
Abgelehnt: Der Endpunkt befindet sich in einem Projekt, das keine Verbindung zum Dienst herstellen darf.
Geschlossen: Der Endpunkt ist mit einem gelöschten Dienstanhang verbunden.
Console
Rufen Sie in der Google Cloud Console die Seite "Private Service Connect" auf.
Klicken Sie auf den Tab Verbundene Endpunkte.
Klicken Sie auf den Endpunkt, den Sie aufrufen möchten.
gcloud
gcloud compute forwarding-rules describe \ ENDPOINT_NAME --region=REGION
Dabei gilt:
ENDPOINT_NAME
: der Name des Endpunkts.REGION
: die Region für den Endpunkt.
API
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/ENDPOINT_NAME
Dabei gilt:
PROJECT_ID
: das Projekt, das den Endpunkt enthält.REGION
: die Region für den Endpunkt.ENDPOINT_NAME
: der Name des Endpunkts.
Endpunkt mit Label versehen
Sie können Labels für Private Service Connect-Endpunkte verwalten. Weitere Informationen finden Sie unter Ressourcen mit Labels versehen.
Endpunkt löschen
Sie können einen Private Service Connect-Endpunkt löschen.
Die folgenden Service Directory-Konfigurationen werden jedoch nicht gelöscht, wenn Sie den Endpunkt löschen:
- Service Directory-Namespace
- Service Directory-DNS-Zone
Der Service Directory-Namespace und die Service Directory-DNS-Zone können von anderen Diensten verwendet werden. Prüfen Sie, ob der Namespace leer ist, bevor Sie den Service Directory-Namespace löschen oder die Service Directory-DNS-Zone löschen.
Console
Wechseln Sie in der Google Cloud Console zu Private Service Connect.
Klicken Sie auf den Tab Verbundene Endpunkte.
Wählen Sie den Private Service Connect-Endpunkt aus, den Sie löschen möchten, und klicken Sie auf Löschen.
gcloud
gcloud compute forwarding-rules delete \ ENDPOINT_NAME --region=REGION
Dabei gilt:
ENDPOINT_NAME
: der Name des Endpunkts.REGION
: die Region für den Endpunkt.
API
DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/ENDPOINT_NAME
Dabei gilt:
PROJECT_ID
: das Projekt, das den Endpunkt enthält.REGION
: die Region für den Endpunkt.ENDPOINT_NAME
: der Name des Endpunkts.
Andere Möglichkeiten zur Konfiguration von DNS
Wenn die Voraussetzungen für die automatische DNS-Konfiguration nicht erfüllt sind, können Sie DNS-Einträge auf andere Weise erstellen:
Wenn für den Endpunkt ein Namespace konfiguriert ist, lesen Sie den Abschnitt Service Directory-DNS-Zone konfigurieren.
Wenn für den Endpunkt kein Namespace konfiguriert ist, lesen Sie die Informationen unter Endpunkt eines Private Service Connect bei Service Directory registrieren.
Informationen zum manuellen Konfigurieren von DNS finden Sie unter DNS manuell konfigurieren.
Service Directory-DNS-Zone konfigurieren
Wenn ein Private Service Connect-Endpunkt bei Service Directory registriert ist, aber der veröffentlichte Dienst, zu dem eine Verbindung hergestellt wird, keinen Domainnamen konfiguriert hat, werden keine DNS-Änderungen vorgenommen.
Wenn Sie die automatische DNS-Konfiguration replizieren möchten, können Sie manuell eine Service Directory-DNS-Zone konfigurieren, die vom Namespace Service Directory unterstützt wird. Nachdem die Zone erstellt wurde, werden DNS-Einträge für den Private Service Connect-Endpunkt automatisch erstellt.
Erstellen Sie eine Service Directory-DNS-Zone mit der folgenden Konfiguration:
Zonenname: Geben Sie
NAMESPACE--REGION
an, wobeiNAMESPACE
der Namespace ist, in dem der Private Service Connect-Endpunkt registriert ist, undREGION
die Region ist, in der der Endpunkt erstellt wird.DNS-Name: Die DNS-Domain, die der Dienstersteller für seine veröffentlichten Dienste verwendet. Diese Informationen erhalten Sie vom Dienstersteller.
Der DNS-Name hat möglicherweise das Format
REGION.p.DOMAIN
. Wenn die öffentliche Domain des Diensterstellers beispielsweiseexample.com
ist und sein veröffentlichter Dienst inus-west1
liegt, dann empfehlen wir, dass er seinen Dienst unter dem Domainnamenus-west1.p.example.com
zur Verfügung stellt. Fügen Sie einen nachgestellten Punkt ein, z. B.us-west1.p.example.com.
.Service Directory-Namespace: Der Namespace, den Sie für diesen Endpunkt konfiguriert haben.
Rufen Sie die Details zum Private Service Connect-Endpunkt auf, um den Service Directory-Namespace und die Service Directory-Region zu finden.
Wenn Sie bei dieser Konfiguration eine Service Directory-DNS-Zone mit dem DNS-Namen us-west1.p.example.com
konfiguriert und einen Private Service Connect-Endpunkt namens analytics
erstellt haben, wird ein DNS-Eintrag für analytics.us-west1.p.example.com
automatisch erstellt.
Private Service Connect-Endpunkt bei Service Directory registrieren
Neue Private Service Connect-Endpunkte werden automatisch bei Service Directory registriert. Wenn jedoch ein Private Service Connect-Endpunkt erstellt wurde, bevor die automatische Registrierung mit Service Directory aktiviert wurde, fehlt diese Konfiguration möglicherweise.
Sie können den Private Service Connect-Endpunkt löschen und einen neuen erstellen, der automatisch bei Service Directory registriert ist.
Sie können auch diese Schritte ausführen, um einen vorhandenen Private Service Connect-Endpunkt mit einem Service Directory-Namespace zu registrieren.
Erstellen Sie einen Service Directory-Namespace für den Private Service Connect-Endpunkt
NAMESPACE
.Erstellen Sie einen Service Directory-Dienst für den Private Service Connect-Endpunkt
SERVICE_NAME
.Verwenden Sie für den Dienst denselben Namen wie für die Weiterleitungsregel, die für den Private Service Connect-Endpunkt
ENDPOINT_NAME
verwendet wird.Erstellen Sie einen Service Directory-Endpunkt mit dem Namen
default
und verwenden Sie die IP-Adresse und den Port (443
) des Private Service Connect-Endpunkts.
Nachdem Sie den Private Service Connect-Endpunkt bei Service Directory registriert haben, folgen Sie der Anleitung zum Konfigurieren einer Service Directory-DNS-Zone.
DNS manuell konfigurieren
Wenn Sie die automatische DNS-Konfiguration verhindert haben oder sie in Ihrer Konfiguration nicht aktiviert ist, können Sie mithilfe von Cloud DNS DNS-Einträge manuell erstellen.
Weitere Informationen finden Sie auf den folgenden Seiten:
Zugriffssteuerung: Die Rolle "DNS-Administrator" (
roles/dns.admin
) bietet die Berechtigungen zum Erstellen von DNS-Zonen und -Einträgen.-
Wenn Sie eine private Zone konfigurieren, geben Sie einen DNS-Namen an. Verwenden Sie die DNS-Domain, die der Dienstersteller für seine veröffentlichten Dienste verwendet. Diese Informationen erhalten Sie vom Dienstersteller.
Er hat möglicherweise dieses Format:
REGION.p.DOMAIN
. Wenn die öffentliche Domain des Diensterstellers beispielsweiseexample.com
ist und sein veröffentlichter Dienst inus-west1
liegt, dann empfehlen wir, dass er seinen Dienst unter dem Domainnamenus-west1.p.example.com
zur Verfügung stellt.
Logging
Sie können VPC-Flusslogs in Subnetzen aktivieren, die VMs enthalten, die auf Dienste in einem anderen VPC-Netzwerk über Private Service Connect-Endpunkte zugreifen. Die Logs zeigen Abläufe zwischen den VMs und dem Private Service Connect-Endpunkt.
Sie können Änderungen am Verbindungsstatus für Private Service Connect-Endpunkte mithilfe von Audit-Logs aufrufen. Änderungen des Verbindungsstatus für den Endpunkt werden in Systemereignismetadaten für den Ressourcentyp GCE-Weiterleitungsregel erfasst. Sie können nach
pscConnectionStatus
filtern, um diese Einträge aufzurufen.Wenn ein Dienstersteller beispielsweise Verbindungen von Ihrem Projekt zulässt, ändert sich der Verbindungsstatus des Endpunkts von
PENDING
inACCEPTED
. Diese Änderung wird in den Audit-Logs angezeigt.- Informationen zum Anzeigen von Audit-Logs finden Sie unter Logs ansehen.
- Informationen zum Festlegen von Benachrichtigungen auf Basis von Audit-Logs finden Sie unter Logbasierte Benachrichtigungen verwalten.
Zugriff von lokalen Hosts auf den Endpunkt
Clients in Netzwerken, die über VLAN-Anhänge für Cloud Interconnect-Verbindungen (Vorschau) oder Cloud VPN-Tunnel mit Google Cloud verbunden sind, können Private Service Connect-Endpunkte erreichen.
Der VLAN-Anhang oder der Cloud VPN-Tunnel muss im selben VPC-Netzwerk und in derselben Region wie der Private Service Connect-Endpunkt enden.
Clienttraffic von verbundenen Netzwerken zu Private Service Connect-Endpunkten wird über Peering-VPC-Netzwerke oder über regionale Grenzen hinweg nicht unterstützt.
Der VLAN-Anhang oder der Cloud VPN-Tunnel und der Private Service Connect-Endpunkt können sich in verschiedenen Projekten befinden, wenn sie eine freigegebene VPC verwenden.
Die VLAN-Anhänge müssen
dataplaneVersion: 2
haben. Prüfen Sie Ihren VLAN-Anhang, um zu prüfen, auf welcher Version er sich befindet.
Wenn Sie über den DNS-Namen auf den Private Service Connect-Endpunkt zugreifen möchten, müssen Sie lokale Systeme konfigurieren, damit sie Abfragen an Ihre privaten DNS-Zonen senden können.
Wenn Sie die privaten DNS-Zonen mit Cloud DNS implementiert haben, führen Sie die folgenden Schritte aus:
Erstellen Sie eine Serverrichtlinie für eingehenden Traffic in dem VPC-Netzwerk, zu dem Ihr lokales Netzwerk eine Verbindung herstellt.
Identifizieren Sie die Weiterleitungs-Einstiegspunkte für eingehenden Traffic in den Regionen, in denen sich Ihre Cloud VPN-Tunnel befinden, in dem VPC-Netzwerk, mit dem sich Ihr lokales Netzwerk verbindet.
Konfigurieren Sie lokale Systeme und lokale DNS-Namensserver so, dass sie die DNS-Namen für die Private Service Connect-Endpunkte an einen Weiterleitungs-Einstiegspunkt für eingehenden Traffic in derselben Region wie der Cloud VPN-Tunnel, der eine Verbindung zum VPC-Netzwerk herstellt.
VPC Service Controls
VPC Service Controls und Private Service Connect sind miteinander kompatibel. Wenn sich das VPC-Netzwerk, in dem der Private Service Connect-Endpunkt bereitgestellt wird, in einem VPC Service Controls-Perimeter befindet, ist der Private Service Connect-Endpunkt Teil desselben Perimeters. Alle von VPC Service Controls unterstützte Dienste, auf die über einen Private Service Connect-Endpunkt zugegriffen wird, unterliegen den Richtlinien dieses VPC Service Controls-Perimeters.
Wenn Sie einen Private Service Connect-Endpunkt erstellen, werden zwischen den Nutzer- und Herstellerprojekten API-Aufrufe auf Steuerungsebene ausgeführt, um eine Private Service Connect-Verbindung herzustellen. Das Einrichten einer Private Service Connect-Verbindung zwischen Nutzer- und Herstellerprojekten, die sich nicht im selben VPC Service Controls-Perimeter befinden, erfordert keine explizite Autorisierung mit Richtlinien für ausgehenden Traffic. Die Kommunikation mit von VPC Service Controls unterstützten Diensten über den Private Service Connect-Endpunkt wird durch den VPC Service Controls-Perimeter geschützt.
Fehlerbehebung
Erstellen einer privaten DNS-Zone schlägt fehl
Wenn Sie einen Endpunkt für Private Service Connect erstellen, wird eine Service Directory-DNS-Zone erstellt. Das Erstellen einer Zone kann aus folgenden Gründen fehlschlagen:
Sie haben die Cloud DNS API in Ihrem Projekt nicht aktiviert.
Sie haben nicht die erforderlichen Berechtigungen, um eine Service Directory-DNS-Zone zu erstellen.
Eine DNS-Zone mit demselben Zonennamen ist in diesem VPC-Netzwerk vorhanden.
In diesem VPC-Netzwerk ist bereits eine DNS-Zone für denselben Domainnamen vorhanden.
So erstellen Sie die Service Directory-DNS-Zone manuell:
Prüfen Sie, ob die Cloud DNS API in Ihrem Projekt aktiviert ist.
Prüfen Sie, ob Sie die erforderlichen Berechtigungen zum Erstellen der Service Directory-DNS-Zone haben:
dns.managedZones.create
dns.networks.bindPrivateDNSZone
servicedirectory.namespaces.associatePrivateZone
Wenn eine in Konflikt stehende Zone vorhanden ist, aber nicht mehr benötigt wird, löschen Sie die DNS-Zone.
Erstellen Sie eine Service Directory-DNS-Zone auf der Grundlage des Service Directory-Namespace, der mit Ihrem Private Service Connect-Endpunkt verknüpft ist.