Accéder aux services publiés via des points de terminaison

Ce document explique comment accéder aux services d'un autre réseau VPC à l'aide de points de terminaison Private Service Connect. Vous pouvez vous connecter à vos propres services ou à ceux fournis par d'autres producteurs de services, y compris par Google.

Pour en savoir plus sur les services, consultez la page Publier des services gérés.

Rôles

Le rôle IAM suivant fournit les autorisations nécessaires pour effectuer les tâches décrites dans ce guide.

Tâche Rôles
Créer un point de terminaison Les deux rôles suivants :
Administrateur de réseaux Compute (roles/compute.networkAdmin) et
Annuaire des services Éditeur (roles/servicedirectory.editor)
Configurer automatiquement ou manuellement des entrées DNS pour un point de terminaison Administrateur DNS (roles/dns.admin)

Avant de commencer

  • Pour en savoir plus, y compris sur les limites, consultez la page À propos de l'accès aux services via des points de terminaison.

  • Vous devez activer l'API Compute Engine dans votre projet.

  • Vous devez activer l'API de l'Annuaire des services dans votre projet.

  • Vous devez activer l'API Cloud DNS dans votre projet.

  • Les règles de pare-feu de sortie doivent autoriser le trafic vers l'adresse IP interne du point de terminaison. La règle implicite de sortie autorisée du pare-feu autorise la sortie vers n'importe quelle adresse IP de destination.

    Si vous avez créé des règles de refus du trafic sortant pour le pare-feu de votre réseau VPC ou si vous avez créé des règles de pare-feu hiérarchiques modifiant le comportement implicite de sortie autorisé, l'accès au point de terminaison peut être affecté. Créez une règle ou une stratégie de pare-feu autorisant le trafic sortant à destination de l'adresse IP interne du point de terminaison du service.

  • Vous devez disposer de l'URI du rattachement du service. Par exemple : projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME

Créer un point de terminaison

Un point de terminaison se connecte aux services d'un autre réseau VPC à l'aide d'une règle de transfert Private Service Connect. Chaque règle de transfert est comptabilisée dans le quota par projet des règles de transfert Private Service Connect permettant d'accéder aux services d'un autre réseau VPC.

Lorsque vous utilisez Private Service Connect pour vous connecter à des services sur un autre réseau VPC, vous choisissez une adresse IP d'un sous-réseau de votre réseau VPC.

L'adresse IP doit se trouver dans la même région que le rattachement de service du producteur de services. L'adresse IP est comptabilisée dans le quota du projet pour les adresses IP internes.

Lorsque vous créez un point de terminaison, il est automatiquement enregistré dans l'Annuaire des services, en utilisant l'espace de noms de votre choix ou l'espace de noms par défaut, goog-psc-default.

Si vous souhaitez rendre le point de terminaison disponible dans plusieurs régions, activez l'accès mondial.

Console

  1. Dans Google Cloud Console, accédez à la page Private Service Connect.

    Accéder à Private Service Connect

  2. Cliquez sur l'onglet Points de terminaison connectés.

  3. Cliquez sur Connecter le point de terminaison.

  4. Pour Cible, sélectionnez Service publié

  5. Dans le champ Service cible, saisissez l'URI du rattachement de service auquel vous souhaitez vous connecter.

    L'URI du rattachement de service est au format suivant : projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME.

  6. Dans le champ Nom du point de terminaison, saisissez un nom à utiliser pour le point de terminaison.

  7. Sélectionnez un réseau pour le point de terminaison.

  8. Sélectionnez un sous-réseau pour le point de terminaison.

  9. Sélectionnez une adresse IP pour le point de terminaison. Si vous avez besoin d'une nouvelle adresse IP, vous pouvez en créer une :

    1. Cliquez sur le menu déroulant Adresse IP, puis sélectionnez Créer une adresse IP.
    2. Saisissez un nom et une description facultative pour l'adresse IP.

    3. Sous Adresse IP statique, sélectionnez Attribuer automatiquement ou Laissez-moi choisir.

      Si vous avez sélectionné Laissez-moi choisir, saisissez l'adresse IP personnalisée que vous souhaitez utiliser.

    4. Cliquez sur Réserver.

  10. Pour rendre le point de terminaison disponible depuis n'importe quelle région, sélectionnez Activer l'accès mondial.

  11. Sélectionnez un espace de noms dans la liste déroulante ou créez-en un.

    La région est renseignée en fonction du sous-réseau sélectionné.

  12. Cliquez sur Ajouter un point de terminaison.

gcloud

  1. Réservez une adresse IP interne à attribuer au point de terminaison.

    gcloud compute addresses create ADDRESS_NAME \
    --region=REGION \
    --subnet=SUBNET

    Remplacez l'élément suivant :

    • ADDRESS_NAME : nom à attribuer à l'adresse IP réservée.

    • REGION : région de l'adresse IP du point de terminaison. Il doit s'agir de la même région que celle contenant le rattachement de service du producteur de services.

    • SUBNET : nom du sous-réseau de l'adresse IP du point de terminaison.

  2. Recherchez l'adresse IP réservée.

    gcloud compute addresses list --filter="name=ADDRESS_NAME"

  3. Créez une règle de transfert pour connecter le point de terminaison au rattachement de service du producteur de services. Par défaut, les points de terminaison ne sont disponibles que dans leur propre région. Pour rendre un point de terminaison disponible depuis n'importe quelle région, utilisez l'option --allow-psc-global-access.

    • Créez un point de terminaison accessible uniquement à partir de sa propre région.

      gcloud compute forwarding-rules create ENDPOINT_NAME \
  --region=REGION \
  --network=NETWORK_NAME \
  --address=ADDRESS_NAME \
  --target-service-attachment=SERVICE_ATTACHMENT \
  [ --service-directory-registration=projects/PROJECT_ID/locations/REGION/namespaces/NAMESPACE ]

    • Créez un point de terminaison accessible depuis n'importe quelle région.

      gcloud compute forwarding-rules create ENDPOINT_NAME \
  --region=REGION \
  --network=NETWORK_NAME \
  --address=ADDRESS_NAME \
  --target-service-attachment=SERVICE_ATTACHMENT \
  --allow-psc-global-access \
  [ --service-directory-registration=projects/PROJECT_ID/locations/REGION/namespaces/NAMESPACE ]

    Remplacez les éléments suivants :

    • ENDPOINT_NAME : nom à attribuer au point de terminaison.

    • REGION : région du point de terminaison. Cette région doit être celle qui contient le rattachement de service du producteur de services.

    • NETWORK_NAME : nom du réseau VPC utilisé pour le point de terminaison.

    • ADDRESS_NAME : nom de l'adresse réservée.

    • SERVICE_ATTACHMENT : URI du rattachement de service du producteur de services. Exemple : projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME.

    • PROJECT_ID : ID de votre projet.

    • NAMESPACE : espace de noms de l'Annuaire des services que vous souhaitez utiliser. Si vous spécifiez un espace de noms qui n'existe pas, celui-ci est créé.

      Si vous omettez l'option --service-directory-registration, l'espace de noms par défaut goog-psc-default est utilisé.

API

  1. Réservez une adresse IP interne à attribuer au point de terminaison.

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/region/REGION/addresses

{
  "name": ADDRESS_NAME,
  "addressType": "INTERNAL",
  "subnetwork": SUBNET_URI
}

    Remplacez l'élément suivant :

    • PROJECT_ID : ID de votre projet.

    • ADDRESS_NAME : nom à attribuer à l'adresse IP réservée.

    • SUBNET_URI : sous-réseau de l'adresse IP Utilisez la méthode network.list ou gcloud compute networks subnets list --uri pour rechercher les URL de vos réseaux.

  2. Créez une règle de transfert pour connecter le point de terminaison au rattachement de service du producteur de services. Par défaut, les points de terminaison ne sont disponibles que dans leur propre région. Pour rendre un point de terminaison disponible depuis n'importe quelle région, définissez allowPscGlobalAccess sur true.

    • Créez un point de terminaison accessible uniquement à partir de sa propre région.

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules
{
  "name": ENDPOINT_NAME,
  "IPAddress": ADDRESS_URI,
  "target": SERVICE_ATTACHMENT,
  "network": NETWORK_URI,
  "serviceDirectoryRegistrations": [
      {
          "namespace": NAMESPACE,
      }
  ],
}

    • Créez un point de terminaison accessible depuis n'importe quelle région.

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules
{
  "name": ENDPOINT_NAME,
  "IPAddress": ADDRESS_URI,
  "target": SERVICE_ATTACHMENT,
  "network": NETWORK_URI,
  "allowPscGlobalAccess": true,
  "serviceDirectoryRegistrations": [
      {
          "namespace": NAMESPACE,
      }
  ],
}

    Remplacez les éléments suivants :

    • PROJECT_ID : ID de votre projet.

    • REGION : région du point de terminaison.

    • ENDPOINT_NAME : nom à attribuer au point de terminaison.

    • ADDRESS_URI : URI de l'adresse réservée sur le réseau associé. Pour trouver l'URL de l'adresse réservée, utilisez la méthode addresses.list ou gcloud compute addresses list --uri.

    • SERVICE_ATTACHMENT : URI du rattachement de service du producteur de services. Exemple : projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME.

    • NETWORK_URI : réseau VPC pour le point de terminaison. Utilisez la méthode network.list ou gcloud compute networks list --uri pour rechercher l'URI de votre réseau.

    • NAMESPACE : espace de noms du point de terminaison. Si vous spécifiez un espace de noms qui n'existe pas, celui-ci est créé. Si vous omettez le champ namespace, l'espace de noms par défaut goog-psc-default est attribué.

Répertorier les points de terminaison

Vous pouvez répertorier tous les points de terminaison configurés.

Console

  1. Dans Google Cloud Console, accédez à la page Private Service Connect.

    Accéder à Private Service Connect

  2. Cliquez sur l'onglet Points de terminaison connectés.

    Les points de terminaison s'affichent.

gcloud

gcloud compute forwarding-rules list \
    --filter 'target~serviceAttachments'

Le résultat ressemble à ce qui suit :

NAME  REGION  IP_ADDRESS  IP_PROTOCOL  TARGET
RULE          IP          TCP          REGION/serviceAttachments/SERVICE_NAME

API

Cet appel d'API renvoie toutes les règles de transfert, et pas seulement les points de terminaison utilisés pour accéder aux services.

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules

Remplacez les éléments suivants :

  • PROJECT_ID : projet contenant le point de terminaison.
  • REGION : région du point de terminaison.

Afficher les détails du point de terminaison

Vous pouvez afficher tous les détails de configuration d'un point de terminaison. Le point de terminaison peut présenter l'un des états suivants :

  • En attente : le point de terminaison est configuré pour se connecter à un service nécessitant une approbation et aucune approbation n'a encore été accordée au projet.

  • Accepté : le point de terminaison se trouve dans un projet autorisé à se connecter au service.

  • Refusé : le point de terminaison se trouve dans un projet qui n'est pas autorisé à se connecter au service.

  • Fermé : le point de terminaison est connecté à un rattachement de service qui a été supprimé.

Console

  1. Dans Google Cloud Console, accédez à la page Private Service Connect.

    Accéder à Private Service Connect

  2. Cliquez sur l'onglet Points de terminaison connectés.

  3. Cliquez sur le point de terminaison que vous souhaitez consulter.

gcloud 

gcloud compute forwarding-rules describe \
    ENDPOINT_NAME --region=REGION

Remplacez l'élément suivant :

  • ENDPOINT_NAME : nom du point de terminaison.
  • REGION : région du point de terminaison.

API

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/ENDPOINT_NAME

Remplacez l'élément suivant :

  • PROJECT_ID : projet contenant le point de terminaison.
  • REGION : région du point de terminaison.
  • ENDPOINT_NAME : nom du point de terminaison.

Ajouter un libellé à un point de terminaison

Vous pouvez gérer les libellés des points de terminaison. Pour obtenir des instructions détaillées, consultez la section Attribuer des libellés à des ressources.

Supprimer un point de terminaison

Vous pouvez supprimer un point de terminaison.

Toutefois, les configurations de l'Annuaire des services suivantes ne sont pas supprimées lorsque vous supprimez le point de terminaison :

  • Espace de noms de l'Annuaire des services
  • Zone DNS de l'Annuaire des services

L'espace de noms et la zone DNS de l'Annuaire des services peuvent être utilisés par d'autres services. Vérifiez que l'espace de noms est vide avant de supprimer l'espace de noms de l'Annuaire des services ou de supprimer la zone DNS de l'Annuaire des services.

Console

  1. Dans Google Cloud Console, accédez à la page Private Service Connect.

    Accéder à Private Service Connect

  2. Cliquez sur l'onglet Points de terminaison connectés.

  3. Sélectionnez le point de terminaison que vous souhaitez supprimer, puis cliquez sur Supprimer.

gcloud

    gcloud compute forwarding-rules delete \
        ENDPOINT_NAME --region=REGION

Remplacez l'élément suivant :

  • ENDPOINT_NAME : nom du point de terminaison.
  • REGION : région du point de terminaison.

API

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/ENDPOINT_NAME

Remplacez l'élément suivant :

  • PROJECT_ID : projet contenant le point de terminaison.
  • REGION : région du point de terminaison.
  • ENDPOINT_NAME : nom du point de terminaison.

Accéder aux points de terminaison à partir de réseaux hybrides

Les clients des réseaux connectés à Google Cloud avec des rattachements de VLAN pour les tunnels Cloud Interconnect ou Cloud VPN peuvent atteindre les points de terminaison Private Service Connect.

  • Le rattachement de VLAN ou le tunnel Cloud VPN doit se terminer dans même réseau VPC que le point de terminaison. Les clients des réseaux VPC appairés ne peuvent pas atteindre les points de terminaison.

  • Le trafic client provenant de rattachements de VLAN ou de tunnels Cloud VPN peut atteindre des points de terminaison dans une autre région si l'accès mondial est configuré.

  • Les rattachements de VLAN doivent comporter l'indication dataplaneVersion: 2. Inspectez le rattachement de VLAN pour vérifier sa version.

Si vous souhaitez accéder au point de terminaison à l'aide de son nom DNS, vous devez configurer des systèmes sur l'autre réseau afin qu'ils puissent envoyer des requêtes à vos zones DNS privées.

Si vous avez mis en œuvre les zones DNS privées à l'aide de Cloud DNS, procédez comme suit :

  • Créez une règle de serveur entrant dans le réseau VPC auquel votre autre réseau se connecte.

  • Identifiez les points d'entrée du système de transfert entrant dans les régions où se trouvent vos tunnels Cloud VPN, dans le réseau VPC auquel votre autre réseau se connecte.

  • Configurez les systèmes et les serveurs de noms DNS de l'autre réseau pour transférer les noms DNS des points de terminaison vers un point d'entrée du système de transfert entrant dans la même région que celle du tunnel Cloud VPN qui se connecte au réseau VPC.

Afficher les zones DNS de l'Annuaire des services

Si les conditions préalables à la configuration DNS automatique sont remplies, une zone DNS est créée avec un nom au format NAMESPACE--REGION.

Console

  1. Dans Google Cloud Console, accédez à la page Zones Cloud DNS.

    Accéder aux zones Cloud DNS

  2. Recherchez une zone privée nommée NAMESPACE--REGION.

gcloud

  • Exécutez la commande suivante pour répertorier toutes les zones DNS privées :

    gcloud dns managed-zones list \
    --filter="visibility=private"

  • Exécutez la commande suivante pour obtenir les détails d'une zone nommée NAMESPACE--REGION.

    gcloud dns managed-zones describe NAMESPACE--REGION

Si la zone n'est pas présente, affichez les détails du point de terminaison et vérifiez si sa configuration inclut une valeur pour l'espace de noms.

Autres façons de configurer un DNS

Si les conditions préalables à la configuration DNS automatique ne sont pas remplies, vous pouvez créer des entrées DNS de différentes manières :

Configurer une zone DNS dans l'Annuaire des services

Si un point de terminaison est enregistré auprès de l'Annuaire des services, mais que le service publié auquel il se connecte n'a pas de nom de domaine configuré, aucune modification DNS n'est effectuée.

Si vous souhaitez répliquer la configuration DNS automatique, vous pouvez configurer manuellement une zone DNS de l'Annuaire des services qui repose sur l'espace de noms de l'Annuaire des services. Une fois la zone créée, les entrées DNS du point de terminaison sont automatiquement créées.

Créez une zone de l'Annuaire des services présentant la configuration suivante :

  • Nom de zone : spécifiez NAMESPACE--REGION, où NAMESPACE est l'espace de noms dans lequel le point de terminaison est enregistré, et REGION la région dans laquelle il est créé.

  • Nom DNS : domaine DNS utilisé par le producteur de services pour ses services publiés. Renseignez-vous auprès du producteur de services.

    Le nom DNS peut être au format REGION.p.DOMAIN. Par exemple, si le domaine public du producteur de services est example.com et que son service publié est dans us-west1, nous vous recommandons de rendre son service disponible à l'aide des noms de domaine us-west1.p.example.com. Incluez un point final (par exemple, us-west1.p.example.com.).

  • Espace de noms de l'annuaire des services : espace de noms que vous avez configuré pour ce point de terminaison.

Affichez les détails du point de terminaison pour trouver l'espace de noms et la région de l'Annuaire des services.

Avec cette configuration, si vous avez configuré une zone DNS dans l'Annuaire des services avec le nom DNS us-west1.p.example.com et que vous créez un point de terminaison appelé analytics, un enregistrement DNS pour analytics.us-west1.p.example.com est créé automatiquement.

Enregistrer un point de terminaison dans l'Annuaire des services

Les nouveaux points de terminaison sont automatiquement enregistrés dans l'Annuaire des services. Toutefois, si un point de terminaison a été créé avant l'activation de l'enregistrement automatique dans l'Annuaire des services, cette configuration peut être manquante.

Vous pouvez supprimer le point de terminaison et en créer un autre, qui est enregistré automatiquement dans l'Annuaire des services.

Vous pouvez également suivre ces étapes pour enregistrer un point de terminaison existant avec un espace de noms de l'Annuaire des services.

  1. Créez un espace de noms de l'Annuaire des services pour le point de terminaison, NAMESPACE.

  2. Créez un service de l'Annuaire des services pour le point de terminaison, SERVICE_NAME.

    Pour le service, utilisez le même nom que celui de la règle de transfert utilisée pour le point de terminaison, ENDPOINT_NAME.

  3. Créez un point de terminaison de l'Annuaire des services en utilisant le nom default, et utilisez l'adresse IP et le port (443) du point de terminaison.

Après avoir enregistré le point de terminaison dans l'Annuaire des services, suivez les instructions pour Configurer une zone DNS de l'Annuaire des services.

Configurer le DNS manuellement

Si vous avez bloqué la configuration DNS automatique ou si elle n'est pas activée dans votre configuration, vous pouvez utiliser Cloud DNS pour créer manuellement des enregistrements DNS.

Pour en savoir plus, consultez les pages suivantes :

  • Contrôle des accès : le rôle d'administrateur DNS (roles/dns.admin) fournit les autorisations nécessaires pour créer des enregistrements et des zones DNS.

  • Créez une zone privée.

    • Lorsque vous configurez une zone privée, vous fournissez un nom DNS. Utilisez le domaine DNS que le producteur de services utilise pour ses services publiés. Renseignez-vous auprès du producteur de services.

      Il peut se présenter au format suivant : REGION.p.DOMAIN. Par exemple, si le domaine public du producteur de services est example.com et que son service publié est dans us-west1, nous vous recommandons de rendre son service disponible à l'aide des noms de domaine us-west1.p.example.com.

  • Ajoutez un enregistrement.

Dépannage

Échec de la création de la zone DNS privée

Lorsque vous créez un point de terminaison, une zone DNS de l'Annuaire des services est créée. La création de zone peut échouer pour les raisons suivantes :

  • Vous n'avez pas activé l'API Cloud DNS dans votre projet.

  • Vous ne disposez pas des autorisations nécessaires pour créer une zone DNS de l'annuaire de service.

  • Ce réseau VPC contient une zone DNS portant le même nom de zone.

  • Une zone DNS portant le même nom de domaine existe déjà dans ce réseau VPC.

Pour créer la zone DNS de l'Annuaire des services, procédez comme suit :

  1. Vérifiez que l'API Cloud DNS est activée dans votre projet.

  2. Vérifiez que vous disposez des autorisations nécessaires pour créer la zone DNS de l'annuaire de service :

    • dns.managedZones.create
    • dns.networks.bindPrivateDNSZone
    • servicedirectory.namespaces.associatePrivateZone

  3. S'il existe une zone en conflit, mais qu'elle n'est plus nécessaire, supprimez la zone DNS.

  4. Créez une zone DNS de l'Annuaire des services qui repose sur l'espace de noms de l'Annuaire des services associé à votre point de terminaison.

Échec de la création du point de terminaison lorsque l'accès mondial est configuré

Les services Private Service Connect publiés ne sont pas tous compatibles avec les points de terminaison avec accès mondial. Si vous créez un point de terminaison avec accès mondial et que le service publié n'est pas compatible, ce message d'erreur s'affiche :

Private Service Connect global access is not supported for the given forwarding rule, since its producer service does not support consumer global access.

Créez le point de terminaison sans l'option d'accès mondial.