Configura i criteri di connessione al servizio

Questa pagina descrive come un amministratore di rete può configurare criteri di connessione al servizio per automatizzare la connettività privata a un servizio gestito.

Prima di iniziare

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per configurare una rete e creare un criterio di connessione al servizio, chiedi all'amministratore di concederti Ruolo IAM Amministratore rete Compute (roles/compute.networkAdmin) per il progetto.

Per utilizzare i criteri di connessione al servizio con il VPC condiviso, Account di servizio di connettività di rete devono essere concessi ruoli nei progetti di servizio e host. Questi account di servizio vengono configurati automaticamente quando viene creato un criterio di connessione al servizio, i ruoli possono essere rimossi manualmente. Se visualizzi errori relativi ad autorizzazioni mancanti, Un amministratore account di servizio. potrebbe essere necessario concedere di nuovo i ruoli. Per ulteriori informazioni, vedi Configura account di servizio per VPC condiviso.

Crea un criterio di connessione al servizio

Un criterio di connessione al servizio ti consente di autorizzare per creare una connessione Private Service Connect tra reti VPC per producer e consumer.

Puoi creare un massimo di un criterio per ogni classe di servizio, regione e Combinazione di reti VPC. Un criterio determina la connettività del servizio automatica per quella specifica combinazione. Quando configuri un criterio, seleziona una subnet. La subnet viene utilizzata per allocare indirizzi IP per gli endpoint create mediante il criterio. Puoi riutilizzare la stessa subnet in più istanze di connessione se condividono la stessa regione.

Ad esempio, se vuoi utilizzare l'automazione della connettività dei servizi con due servizi in tre regioni diverse, dovrai creare sei criteri. Puoi utilizzare uno dei seguenti almeno tre subnet, una per ogni regione.

Dopo aver creato un criterio di connessione al servizio, puoi aggiornare solo il relativo di subnet e limiti di connessioni. Se devi aggiornare altri campi, elimina il valore criterio e crearne uno nuovo.

Console

  1. Nella console Google Cloud, vai alla pagina Private Service Connect.

    Vai a Private Service Comunica

  2. Fai clic sulla scheda Criteri di connessione.

  3. Fai clic su Crea criterio di connessione.

  4. Inserisci un Nome per il criterio di connessione.

  5. Specifica la classe del servizio.

    • Per i servizi Google:
      1. In Classe del servizio di origine, seleziona Servizi Google.
      2. Seleziona la classe di servizio dal menu Classe di servizio.
    • Per i servizi di terze parti:
      1. In Classe di servizio di origine, seleziona Servizi di terze parti.
      2. In Classe di servizio, inserisci il nome della classe di servizio.

  6. Nella sezione Ambito endpoint di destinazione, seleziona un'opzione Rete e Regione a cui si applicano queste norme.

  7. Nella sezione Criterio, seleziona una o più subnet dal Menu Subnet. Le subnet vengono utilizzate per allocare indirizzi IP endpoint.

  8. (Facoltativo) Specifica un limite di connessione per il criterio. Il limite determina quanti endpoint possono essere creati utilizzando questa connessione . Se omesso, non esiste alcun limite.

  9. Fai clic su Crea criterio.

gcloud

Utilizza la Comando service-connection-policies create.

gcloud network-connectivity service-connection-policies create POLICY_NAME \
    --network=NETWORK \
    --project=PROJECT_ID \
    --region=REGION \
    --service-class=SERVICE_CLASS \
    --subnets=https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETS \
    --psc-connection-limit=LIMIT \
    --description=DESCRIPTION

Sostituisci quanto segue:

  • POLICY_NAME: il nome della connessione al servizio .
  • NETWORK: la rete a cui applicare questo criterio.
  • PROJECT_ID: l'ID o il numero del progetto del progetto della rete VPC. Per le reti VPC condivise, dei criteri di connessione al servizio deve essere implementato nel progetto host non supportati nei progetti di servizio.
  • REGION: la regione a cui applicare questo criterio. La deve esistere lo stesso criterio per ogni regione in cui vuoi automatizzare e la connettività dei servizi.
  • SERVICE_CLASS: la risorsa fornita dal producer identificatore della classe di servizio.
  • SUBNETS: uno o più le subnet consumer normali utilizzate allocano indirizzi IP per gli endpoint Private Service Connect. Questi Gli indirizzi IP vengono allocati e restituiti automaticamente al pool della subnet quando vengono create ed eliminate le istanze di servizio gestito. La le subnet devono trovarsi nella stessa regione del criterio di connessione al servizio. Puoi riutilizzano la stessa subnet in più criteri di connessione se i criteri condividono la stessa regione. Puoi inserire più subnet separate da virgole dall'elenco di lettura.
  • LIMIT: il numero massimo di endpoint che possono possono essere create utilizzando questo criterio. Se non è specificato, non c'è alcun limite.
  • DESCRIPTION: una descrizione facoltativa del criterio di connessione al servizio.

Ad esempio, il comando seguente crea un criterio di connessione al servizio per la classe di servizio gcp-database-service che alloca IP dalla subnet managed-services. È possibile creare un massimo di 10 endpoint Private Service Connect utilizzando queste norme. Gli endpoint devono essere creati in progetti che si trovano negli stessi dell'organizzazione come istanza di servizio gestito.

gcloud network-connectivity service-connection-policies create gcp-database-cxn-policy \
    --network=default \
    --project=my-project \
    --region=us-central1 \
    --service-class=gcp-database-service \
    --subnets=managed-service-subnet \
    --psc-connection-limit=10

Terraform

Puoi utilizzare lo Risorsa Terraform per creare un criterio di connessione al servizio.

# Create a VPC network
resource "google_compute_network" "default" {
  name                    = "consumer-network"
  auto_create_subnetworks = false
}

# Create a subnetwork
resource "google_compute_subnetwork" "default" {
  name          = "consumer-subnet"
  ip_cidr_range = "10.0.0.0/16"
  region        = "us-central1"
  network       = google_compute_network.default.id
}

# Create a service connection policy
resource "google_network_connectivity_service_connection_policy" "default" {
  name          = "service-connection-policy"
  location      = "us-central1"
  service_class = "gcp-memorystore-redis"
  network       = google_compute_network.default.id
  psc_config {
    subnetworks = [google_compute_subnetwork.default.id]
    limit       = 2
  }
}

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta: Comandi Terraform di base.

API

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:

  • PROJECT_ID: l'ID del progetto.
  • REGION: la regione del criterio di connessione al servizio.
  • POLICY_NAME: il nome del criterio di connessione al servizio.
  • DESCRIPTION: una descrizione facoltativa del criterio di connessione al servizio.
  • NETWORK: la rete del criterio di connessione al servizio.
  • LIMIT: il numero massimo di endpoint che possono essere creati utilizzando questo criterio. Se non è specificato, non c'è alcun limite.
  • SUBNET: una o più subnet consumer normali utilizzate per allocare indirizzi IP per gli endpoint Private Service Connect. Questi indirizzi IP vengono automaticamente allocati e restituiti al pool della subnet quando le istanze del servizio gestito vengono create ed eliminate. Le subnet devono trovarsi nella stessa regione del criterio di connessione al servizio. Puoi riutilizzare la stessa subnet in più criteri di connessione se questi condividono la stessa regione. Puoi inserire più URL di subnet in un elenco separato da virgole.
  • SERVICE_CLASS: identificatore di risorsa fornito dal producer della classe di servizio.

Metodo HTTP e URL: 

POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/serviceConnectionPolicies?serviceConnectionPolicyId=POLICY_NAME

Corpo JSON della richiesta: 

{
  "description": "DESCRIPTION",
  "network": "projects/PROJECT_ID/global/networks/NETWORK",
  "pscConfig": {
    "limit": "LIMIT",
    "subnetworks": [
      "projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET"
    ]
  },
  "serviceClass": "SERVICE_CLASS"
}

Per inviare la richiesta, espandi una delle seguenti opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/project-id/locations/us-central1/operations/operation-1692118768698-602f91a204523-8c6a2d93-d5c20a6a",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.networkconnectivity.v1.OperationMetadata",
    "createTime": "2023-08-15T16:59:29.236110917Z",
    "target": "projects/project-id/locations/us-central1/serviceConnectionPolicies/policy-name",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": false
}

Elenca i criteri di connessione al servizio

Console

  1. Nella console Google Cloud, vai alla pagina Private Service Connect.

    Vai a Private Service Comunica

  2. Fai clic sulla scheda Criteri di connessione.

  3. Vengono visualizzati i criteri di connessione.

gcloud

Usa il comando service-connection-policies list.

gcloud network-connectivity service-connection-policies list \
    --region=REGION

Sostituisci REGION con la regione da elencare i criteri di connessione al servizio.

API

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:

  • PROJECT_ID: l'ID del progetto.
  • REGION: la regione in cui elencare i criteri di connessione al servizio.

Metodo HTTP e URL: 

GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/serviceConnectionPolicies

Per inviare la richiesta, espandi una delle seguenti opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "serviceConnectionPolicies": [
    {
      "name": "projects/project-id/locations/us-central1/serviceConnectionPolicies/policy-1",
      "createTime": "2023-08-15T15:33:54.712819865Z",
      "updateTime": "2023-08-15T15:33:54.945630882Z",
      "description": "descriptor",
      "network": "projects/project-id/global/networks/network-two",
      "serviceClass": "service-class",
      "infrastructure": "PSC",
      "pscConfig": {
        "subnetworks": [
          "projects/project-id/regions/us-west1/subnetworks/us-west1-subnet"
        ],
        "limit": "12"
      },
      "etag": "zCqDFBG1dS7B4gNdJKPR98YMUXpSrBIz0tZB_hwOIZI"
    },
    {
      "name": "projects/project-id/locations/us-central1/serviceConnectionPolicies/policy-2",
      "createTime": "2023-08-15T16:59:29.230257109Z",
      "updateTime": "2023-08-15T16:59:29.508994923Z",
      "description": "descriptor",
      "network": "projects/project-id/global/networks/custom-test",
      "serviceClass": "service-class",
      "infrastructure": "PSC",
      "pscConfig": {
        "subnetworks": [
          "projects/project-id/regions/us-central1/subnetworks/subnet-one"
        ],
        "limit": "25"
      },
      "etag": "nB603i61nRGMZpNjWoWMM6wRzsgM8QN9C9v5QFLyOa8"
    }
  ]
}

Descrivi un criterio di connessione al servizio

Console

  1. Nella console Google Cloud, vai alla pagina Private Service Connect.

    Vai a Private Service Comunica

  2. Fai clic sulla scheda Criteri di connessione.

  3. Fai clic sul criterio di connessione al servizio che vuoi visualizzare.

gcloud

Usa il comando service-connection-policies describe.

gcloud network-connectivity service-connection-policies describe POLICY_NAME \
    --region=REGION

Sostituisci quanto segue:

  • POLICY_NAME: il nome della connessione al servizio la norma che vuoi descrivere.
  • REGION: la regione della connessione al servizio la norma che vuoi descrivere.

API

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:

  • PROJECT_ID: l'ID del progetto.
  • REGION: la regione del criterio di connessione al servizio.
  • POLICY_NAME: il nome del criterio di connessione al servizio da descrivere.

Metodo HTTP e URL: 

GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/serviceConnectionPolicies/POLICY_NAME

Per inviare la richiesta, espandi una delle seguenti opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/project-id/locations/us-central1/serviceConnectionPolicies/policy-name",
  "createTime": "2023-08-15T16:59:29.230257109Z",
  "updateTime": "2023-08-15T16:59:29.508994923Z",
  "description": "description",
  "network": "projects/project-id/global/networks/custom-test",
  "serviceClass": "gcp-memorystore-redis",
  "infrastructure": "PSC",
  "pscConfig": {
    "subnetworks": [
      "projects/project-id/regions/us-central1/subnetworks/subnet-one"
    ],
    "limit": "25"
  },
  "etag": "nB603i61nRGMZpNjWoWMM6wRzsgM8QN9C9v5QFLyOa8"
}

Aggiorna un criterio di connessione al servizio

Puoi aggiornare le subnet e il limite di connessioni per una connessione a un servizio .

Se rimuovi un una subnet dal criterio di connessione al servizio, Si applica:

  • Gli endpoint di Private Service Connect esistenti non sono interessati.
  • I nuovi endpoint non utilizzano la subnet rimossa.

Se aggiorni il limite di connessioni di un criterio di connessione al servizio, si applica quanto segue:

  • Gli endpoint esistenti non sono interessati.
  • Se il nuovo limite di connessioni è inferiore al numero esistente di endpoint associati al criterio, automazione della connettività dei servizi blocca la creazione di nuovi endpoint che utilizzano questo criterio.
  • Se il nuovo limite di connessioni è superiore al numero esistente di endpoint associati al criterio, endpoint che in precedenza erano bloccati è possibile creare un limite di connessioni.

Se aggiorni un criterio di connessione al servizio e non specifichi un limite di connessioni, il criterio aggiornato non ha limiti di connessioni.

Console

  1. Nella console Google Cloud, vai alla pagina Private Service Connect.

    Vai a Private Service Comunica

  2. Fai clic sulla scheda Criteri di connessione.

  3. Fai clic sul criterio di connessione al servizio che vuoi modificare.

  4. Fai clic su Modifica.

  5. Per aggiornare le subnet del criterio, segui questi passaggi:

    1. Fai clic su Subnet, quindi seleziona le subnet che ti interessano. da associare a questo criterio.
    2. Fai clic su OK.

  6. Per aggiornare il limite di connessioni del criterio, inserisci un nuovo valore nel campo Limite di connessioni.

  7. Fai clic su Aggiorna criterio.

gcloud

Utilizza la Comando service-connection-policies update.

gcloud network-connectivity service-connection-policies update POLICY_NAME \
    --region=REGION
    --project=PROJECT_ID
    --subnets=SUBNETS
    --psc-connection-limit=LIMIT
  • POLICY_NAME: il nome della connessione al servizio .
  • REGION: la regione della connessione al servizio . Non puoi aggiornare la regione di un criterio.
  • PROJECT_ID: l'ID o il numero del progetto del criterio.
  • SUBNETS: uno o più le subnet consumer normali utilizzate allocano indirizzi IP per gli endpoint Private Service Connect. Questi Gli indirizzi IP vengono allocati e restituiti automaticamente al pool della subnet quando vengono create ed eliminate le istanze di servizio gestito. La le subnet devono trovarsi nella stessa regione del criterio di connessione al servizio. Puoi riutilizzano la stessa subnet in più criteri di connessione se i criteri condividono la stessa regione. Puoi inserire più subnet separate da virgole dall'elenco di lettura.
  • LIMIT: il numero massimo di endpoint che possono possono essere create utilizzando questo criterio. Se non è specificato, non c'è alcun limite.

API

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:

  • PROJECT_ID: l'ID del progetto.
  • REGION: la regione del criterio di connessione al servizio. Non puoi aggiornare la regione di un criterio.
  • POLICY_NAME: il nome del criterio di connessione al servizio.
  • LIMIT: il numero massimo di endpoint che possono essere creati utilizzando questo criterio. Se non è specificato, non c'è alcun limite.
  • SUBNET: una o più subnet consumer normali utilizzate per allocare indirizzi IP per gli endpoint Private Service Connect. Questi indirizzi IP vengono automaticamente allocati e restituiti al pool della subnet quando le istanze del servizio gestito vengono create ed eliminate. Le subnet devono trovarsi nella stessa regione del criterio di connessione al servizio. Puoi riutilizzare la stessa subnet in più criteri di connessione se questi condividono la stessa regione. Puoi inserire più URL di subnet in un elenco separato da virgole.
  • NETWORK: la rete del criterio di connessione al servizio.

Metodo HTTP e URL: 

PATCH https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/serviceConnectionPolicies/POLICY_NAME

Corpo JSON della richiesta: 

{
  "pscConfig": {
    "limit": "LIMIT",
    "subnetworks": [
      "projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET"
    ]
  },
  "network": "projects/PROJECT_ID/global/networks/NETWORK"
}

Per inviare la richiesta, espandi una delle seguenti opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/project-id/locations/us-central1/operations/operation-1692118768698-602f91a204523-8c6a2d93-d5c20a6a",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.networkconnectivity.v1.OperationMetadata",
    "createTime": "2023-08-15T16:59:29.236110917Z",
    "target": "projects/project-id/locations/us-central1/serviceConnectionPolicies/policy-name",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": false
}

Elimina un criterio di connessione al servizio

Puoi eliminare un criterio di connessione al servizio se hai finito di utilizzare il o vuoi interrompere l'automazione della connettività. L'eliminazione del criterio è bloccato se sono associate connessioni Private Service Connect attive con il criterio. Prima di eliminare un criterio di connessione al servizio, elimina tutti Connessioni attive dismettendo tutte le istanze di servizio associate.

Console

  1. Nella console Google Cloud, vai alla pagina Private Service Connect.

    Vai a Private Service Comunica

  2. Fai clic sulla scheda Criteri di connessione.

  3. Seleziona i criteri di connessione al servizio che vuoi eliminare. fai clic su Elimina.

gcloud

Utilizza la Comando service-connection-policies delete.

gcloud network-connectivity service-connection-policies delete POLICY_NAME \
    --region=REGION

Sostituisci quanto segue:

  • POLICY_NAME: il nome della connessione al servizio che vuoi eliminare.
  • REGION: la regione della connessione al servizio che vuoi eliminare.

API

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:

  • PROJECT_ID: l'ID del progetto.
  • REGION: la regione del criterio di connessione al servizio.
  • POLICY_NAME: il nome del criterio di connessione al servizio da eliminare.

Metodo HTTP e URL: 

DELETE https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/serviceConnectionPolicies/POLICY_NAME

Per inviare la richiesta, espandi una delle seguenti opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/project-id/locations/us-central1/operations/operation-1692128792549-602fb6f98194a-e0275435-36edc095",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.networkconnectivity.v1.OperationMetadata",
    "createTime": "2023-08-15T19:46:32.605032867Z",
    "target": "projects/project-id/locations/us-central1/serviceConnectionPolicies/policy-name",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v1"
  },
  "done": false
}

Configura account di servizio per VPC condiviso

Gli account di servizio vengono configurati automaticamente quando utilizzi la connessione al servizio con VPC condiviso, ma i ruoli possono essere rimossi manualmente. Se vengono visualizzati errori relativi alle autorizzazioni mancanti, prova a concedere i ruoli di nuovo.

Per concedere i ruoli richiesti, Amministratore account di servizio puoi eseguire le seguenti operazioni.

Concedi ruoli all'account di servizio nel progetto di servizio

gcloud

  1. Concedi Ruolo di Agente di servizio connettività di rete (roles/networkconnectivity.serviceAgent) al servizio del progetto Account di servizio di connettività di rete. Concedi il ruolo su progetto di servizio.

    gcloud projects add-iam-policy-binding SERVICE_PROJECT_NUMBER \
    --member=serviceAccount:service-SERVICE_PROJECT_NUMBER@gcp-sa-networkconnectivity.iam.gserviceaccount.com \
    --role=roles/networkconnectivity.serviceAgent

    Sostituisci SERVICE_PROJECT_NUMBER con il progetto del progetto di servizio.

  2. Concedi Ruolo Utente di rete Compute (roles/compute.networkUser) alla connettività di rete del progetto di servizio Account di servizio. Esegui una delle seguenti operazioni.

    • Concedi il ruolo nel progetto host.

      gcloud projects add-iam-policy-binding HOST_PROJECT_NUMBER \
    --member=serviceAccount:service-SERVICE_PROJECT_NUMBER@gcp-sa-networkconnectivity.iam.gserviceaccount.com \
    --role=roles/compute.networkUser

      Sostituisci HOST_PROJECT_NUMBER con il progetto del progetto host.

    • Concedi il ruolo a ciascuna delle subnet nel progetto host associati al criterio di connessione al servizio. Utilizza quanto segue per ogni subnet.

      gcloud compute networks subnets add-iam-policy-binding SUBNET \
    --member=serviceAccount:service-SERVICE_PROJECT_NUMBER@gcp-sa-networkconnectivity.iam.gserviceaccount.com \
    --role=roles/compute.networkUser \
    --region=REGION \
    --project=HOST_PROJECT_NUMBER

      Sostituisci quanto segue:

      • SUBNET: il nome della subnet associati al criterio di connessione al servizio.
      • REGION: la regione della subnet.

Concedi il ruolo all'account di servizio nel progetto host

gcloud

  1. Concedi Ruolo Agente di servizio Network Connectivity (roles/networkconnectivity.serviceAgent) all'host l'account di servizio Network Connectivity del progetto. Concedi il ruolo nella progetto host.

    gcloud projects add-iam-policy-binding HOST_PROJECT_NUMBER \
    --member=serviceAccount:service-HOST_PROJECT_NUMBER@gcp-sa-networkconnectivity.iam.gserviceaccount.com \
    --role=roles/networkconnectivity.serviceAgent

    Sostituisci HOST_PROJECT_NUMBER con il progetto del progetto host.

Passaggi successivi