ネットワークアタッチメントの作成と管理

このページでは、コンシューマネットワーク管理者が Private Service Connect ネットワークアタッチメントを作成および管理する方法について説明します。ネットワークアタッチメントを使用すると、サービスプロデューサーの VPC ネットワークがコンシューマの VPC ネットワークへの接続を開始できます。

始める前に

プロジェクトで Compute Engine API を有効にする必要があります。
ネットワークアタッチメントに接続できるプロジェクトを手動で指定する場合は、プロジェクトの ID が必要です。

ロール

ネットワークアタッチメントを作成、表示、削除するために必要な権限を取得するには、プロジェクトで Compute ネットワーク管理者（roles/compute.networkAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

サブネットの作成

ネットワークアタッチメントを作成するときに、単一の通常のサブネットを割り当てます。このサブネットは、ネットワークアタッチメントと同じリージョンに存在する必要があります。1 つのサブネットを複数のネットワークアタッチメント間で共有できます。サブネットは IPv4 のみまたはデュアルスタックにできます。デュアルスタックサブネットは、内部 IPv6 範囲を使用する必要があります。

サブネットの作成の詳細については、VPC ネットワークの作成と管理をご覧ください。

ネットワークアタッチメントを作成する

ネットワークアタッチメントは、Private Service Connect インターフェース接続のコンシューマー側を表すリージョンリソースです。仮想マシン（VM）インスタンスを正常に作成するには、ネットワークアタッチメントが、関連する Private Service Connect インターフェースの VM と同じリージョンに存在する必要があります。

ネットワークアタッチメントの接続ポリシーにより、ネットワークアタッチメントが Private Service Connect インターフェースからの接続を受け入れられるかどうかが決まります。

ネットワークアタッチメントのサブネット、承認リスト、拒否リスト、説明を更新できます。

接続を手動で受け入れるネットワークアタッチメントを作成する

接続を手動で受け入れるネットワークアタッチメントを作成できます。このタイプのアタッチメントを作成する前に、受け入れるプロジェクトの ID を把握しておく必要があります。

コンソール

Google Cloud コンソールで [Private Service Connect] に移動します。

[Private Service Connect] に移動
[ネットワークアタッチメント] をクリックします。
[ネットワークアタッチメントの作成] をクリックします。
名前を入力します。
ネットワークを選択します。
リージョンを選択します。
サブネットワークを選択します。
[選択したプロジェクトの接続を受け入れる] をクリックします。
[承認済みプロジェクトを追加] をクリックし、接続を承認するプロジェクトの ID を入力します。
（省略可）[不承認となったプロジェクトを追加] をクリックして、接続を明示的に拒否する各プロジェクトの ID を入力します。
[ネットワークアタッチメントの作成] をクリックします。

gcloud

network-attachments create コマンドを使用します。

gcloud compute network-attachments create ATTACHMENT_NAME \
    --region=REGION \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=ACCEPTED_PROJECTS \
    --producer-reject-list=REJECTED_PROJECTS \
    --subnets=SUBNET_NAME

次のように置き換えます。

ATTACHMENT_NAME: ネットワークアタッチメントの名前。
REGION: ネットワークアタッチメントのリージョン。
ACCEPTED_PROJECTS: このネットワークアタッチメントに接続できるプロジェクトの ID。複数の値をカンマ区切りリストで指定できます。
REJECTED_PROJECTS: このネットワークアタッチメントに接続できないプロジェクトの ID。複数の値をカンマ区切りリストで指定できます。
SUBNET_NAME: このネットワークアタッチメントに関連付けるサブネットの名前。

API

networkAttachments.insert メソッドに POST リクエストを送信します。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/networkAttachments
{
  "connectionPreference": "ACCEPT_MANUAL",
  "name": "ATTACHMENT_NAME",
  "producerAcceptLists": [
    "ACCEPTED_PROJECT_LIST"
  ],
  "producerRejectLists": [
    "REJECTED_PROJECT_LIST"
  ],
  "subnetworks": [
    "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME"
  ]
}

次のように置き換えます。

PROJECT_ID: ネットワークアタッチメントを作成するプロジェクトの ID。
REGION: ネットワークアタッチメントのリージョン
ATTACHMENT_NAME: ネットワークアタッチメントの名前
ACCEPTED_PROJECT_LIST: このネットワークアタッチメントに接続できるプロジェクトの ID。複数の ID を使用する場合は、"id-one", "id-two" の形式で指定します。
REJECTED_PROJECT_LIST: このネットワークアタッチメントに接続できないプロジェクトの ID。複数の ID を使用する場合は、"id-one", "id-two" の形式で指定します。
SUBNET_NAME: ネットワークアタッチメントに関連付けるサブネットの名前。

接続を自動的に受け入れるネットワークアタッチメントを作成する

ネットワークアタッチメントを参照する Private Service Connect インターフェースからの接続を自動的に受け入れるネットワークアタッチメントを作成できます。

コンソール

Google Cloud コンソールで [Private Service Connect] に移動します。

[Private Service Connect] に移動
[ネットワークアタッチメント] をクリックします。
[ネットワークアタッチメントの作成] をクリックします。
名前を入力します。
ネットワークを選択します。
リージョンを選択します。
サブネットワークを選択します。
[すべてのプロジェクトの接続を自動的に受け入れる] をクリックします。
[ネットワークアタッチメントの作成] をクリックします。

gcloud

network-attachments create コマンドを使用します。

gcloud compute network-attachments create ATTACHMENT_NAME \
    --region=REGION \
    --connection-preference=ACCEPT_AUTOMATIC \
    --subnets=SUBNET_NAME

次のように置き換えます。

ATTACHMENT_NAME: ネットワークアタッチメントの名前。
REGION: ネットワークアタッチメントのリージョン。
SUBNET_NAME: このネットワークアタッチメントに関連付けるサブネットの名前。

API

networkAttachments.insert メソッドに POST リクエストを送信します。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/networkAttachments
{
  "connectionPreference": "ACCEPT_AUTOMATIC",
  "name": "ATTACHMENT_NAME",
  "subnetworks": [
    "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME"
  ]
}

次のように置き換えます。

PROJECT_ID: ネットワークアタッチメントを作成するプロジェクトの ID。
REGION: ネットワークアタッチメントのリージョン
ATTACHMENT_NAME: ネットワークアタッチメントの名前
SUBNET_NAME: ネットワークアタッチメントに関連付けるサブネットの名前。

ネットワークアタッチメントを一覧取得する

コンソール

Google Cloud コンソールで [Private Service Connect] に移動します。

[Private Service Connect] に移動
[ネットワークアタッチメント] をクリックします。

gcloud

プロジェクト内のすべてのネットワークアタッチメントを一覧表示するには、network-attachments list コマンドを使用します。
```
gcloud compute network-attachments list
```
特定のリージョンのネットワークアタッチメントを一覧表示するには、network-attachments list コマンドを使用してリージョンを指定します。
```
gcloud compute network-attachments list
   --regions=REGIONS
```
REGIONS は、ネットワークアタッチメントを一覧表示するリージョンに置き換えます。複数のリージョンをカンマ区切りリストで指定できます。

API

特定のリージョンのネットワークアタッチメントを一覧表示するには、networkAttachments.list メソッドに GET リクエストを送信します。

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/networkAttachments

次のように置き換えます。

PROJECT_ID: プロジェクトの ID。
REGION: ネットワークアタッチメントのリージョン。

ネットワークアタッチメントの説明を取得する

ネットワークアタッチメントの説明を取得して、関連する Private Service Connect インターフェース接続などの詳細を確認できます。接続ごとに、Private Service Connect インターフェースに割り当てられた IP アドレスを確認できます。

コンソール

Google Cloud コンソールで [Private Service Connect] に移動します。

[Private Service Connect] に移動
[ネットワークアタッチメント] をクリックします。
ネットワークアタッチメントを選択すると、その詳細と接続されているプロジェクトのリストが表示されます。
プロジェクトの個々の Private Service Connect インターフェース接続を表示するには、プロジェクトの名前をクリックします。

プロジェクトの接続ステータスによって、そのプロジェクトからの Private Service Connect インターフェース接続のステータスが特定できるとは限りません。たとえば、プロジェクトからの接続を承認した後にそのプロジェクトを拒否リストに追加すると、プロジェクトのステータスは「拒否」になりますが、既存の接続は開いたままになります。そのプロジェクトからの新しい接続は拒否されます。

gcloud

network-attachments describe コマンドを使用します。

gcloud compute network-attachments describe ATTACHMENT_NAME \
    --region=REGION

次のように置き換えます。

ATTACHMENT_NAME: 説明を取得するネットワークアタッチメントの名前。
REGION: ネットワークアタッチメントのリージョン

API

ネットワークアタッチメントとその詳細を表示するには、networkAttachments.get メソッドに GET リクエストを送信します。

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/networkAttachments/ATTACHMENT_NAME

次のように置き換えます。

PROJECT_ID: プロジェクトの ID。
REGION: ネットワークアタッチメントのリージョン。
ATTACHMENT_NAME: ネットワークアタッチメントの名前。

ネットワークアタッチメントを更新する

ネットワークアタッチメントを更新するには、サブネットや説明を置き換えることで更新できます。また、接続を手動で受け入れるように作成されたネットワークアタッチメントの場合は、承認リストまたは拒否リストを置き換えることで更新できます。他のフィールドを更新する必要がある場合は、ネットワークアタッチメントを削除してから、新しいネットワークアタッチメントを作成します。

ネットワークアタッチメントのサブネットを置き換えても、既存の接続は影響を受けません。更新後に作成された接続では、新しいサブネットの IP アドレスが使用されます。

ネットワークアタッチメントの承認リストまたは拒否リストを置き換えても、既存の接続は影響を受けません。更新後に作成された接続は、更新されたリストに従って承認または拒否されます。

コンソール

Google Cloud コンソールで [Private Service Connect] に移動します。

[Private Service Connect] に移動
[ネットワークアタッチメント] をクリックします。
更新するネットワークアタッチメントをクリックして、[編集] をクリックします。
ネットワークアタッチメントのサブネットワークを置き換えるには、[サブネットワーク] をクリックして、新しいサブネットワークを選択します。
承認リストを更新するには、次の操作を行います。
1. プロジェクトを承認リストに追加するには、[承認済みプロジェクトを追加] をクリックし、承認するプロジェクトのプロジェクト ID またはプロジェクト番号を入力します。
2. 承認リストからプロジェクトを削除するには、プロジェクトの上にポインタを置いて、[ 承認済みプロジェクトを削除] をクリックします。
拒否リストを更新するには、次の操作を行います。
1. プロジェクトを拒否リストに追加するには、[不承認となったプロジェクトを追加] をクリックし、拒否するプロジェクトのプロジェクト ID またはプロジェクト番号を入力します。
2. 承認リストからプロジェクトを削除するには、プロジェクトの上にポインタを置いて、[ 不承認となったプロジェクトを削除] をクリックします。
[ネットワークアタッチメントを更新] をクリックします。

gcloud

network-attachments update コマンドを使用します。ここに記載されているフィールドは、ネットワークアタッチメントの識別に使用されるリージョンを除き、1 つ以上更新できます。ネットワークアタッチメントの許可リストまたは拒否リストを更新する場合は、1 回の更新でリスト全体を置き換える必要があります。

gcloud compute network-attachments update ATTACHMENT_NAME \
    --region=REGION \
    --subnets=SUBNET \
    --producer-accept-list=ACCEPTED_PROJECTS \
    --producer-reject-list=REJECTED_PROJECTS \
    --description=DESCRIPTION

次のように置き換えます。

ATTACHMENT_NAME: ネットワークアタッチメントの名前。
REGION: ネットワークアタッチメントのリージョン。このフラグは、ネットワークアタッチメントを識別するために使用されます。ネットワークアタッチメントのリージョンは更新できません。
SUBNET: このネットワークアタッチメントに関連付けるサブネットの名前。
ACCEPTED_PROJECTS: このネットワークアタッチメントに接続できるプロジェクトの ID。複数の値をカンマ区切りリストで指定できます。ここで指定したリストで、既存の許可リストが置き換えられます。
REJECTED_PROJECTS: このネットワークアタッチメントに接続できないプロジェクトの ID。複数の値をカンマ区切りリストで指定できます。ここで指定したリストで、既存の拒否リストが置き換えられます。
DESCRIPTION: ネットワークアタッチメントの説明。

API

API リクエストを送信して、更新するネットワークアタッチメントの説明を取得します。
ネットワークアタッチメントの fingerprint フィールドの値をメモします。
networkAttachments.patch メソッドに PATCH リクエストを送信します。リクエスト本文から、置換しないフィールドを省略します（fingerprint を除く）。
```
PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/networkAttachments/ATTACHMENT_NAME
{
  "fingerprint": "FINGERPRINT",
  "producerAcceptLists": [
    "ACCEPTED_PROJECT_LIST"
  ],
  "producerRejectLists": [
    "REJECTED_PROJECT_LIST"
  ],
  "subnetworks": [
    "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME"
  ],
  "description": "DESCRIPTION"
}
```
次のように置き換えます。
- PROJECT_ID: プロジェクトの ID。
- REGION: ネットワークアタッチメントのリージョン。
- ATTACHMENT_NAME: ネットワークアタッチメントの名前。
- FINGERPRINT: 手順 2 で確認したフィンガープリントフィールドの値。
- ACCEPTED_PROJECT_LIST: このネットワークアタッチメントに接続できるプロジェクトの ID。複数の ID を使用する場合は、"id-one", "id-two" の形式で指定します。このリストを更新すると、以前に承認されたプロジェクトリストがすべて置き換えられます。
- REJECTED_PROJECT_LIST: このネットワークアタッチメントに接続できないプロジェクトの ID。複数の ID を使用する場合は、"id-one", "id-two" の形式で指定します。このリストを更新すると、以前に不承認となったプロジェクトのリストがすべて置き換えられます。
- SUBNET_NAME: ネットワークアタッチメントに関連付ける新しいサブネットの名前。
- DESCRIPTION: ネットワークアタッチメントの説明の更新。

ネットワークアタッチメントを削除する

接続がない場合は、ネットワークアタッチメントを削除できます。接続があるネットワークアタッチメントを削除するには、プロデューサーが、関連付けられている Private Service Connect インターフェースを削除する必要があります。

ネットワークアタッチメントを削除してから同じ名前の新しいネットワークアタッチメントを作成すると、これらのネットワークアタッチメントは 2 つの別々のリソースとして扱われます。

コンソール

Google Cloud コンソールで [Private Service Connect] に移動します。

[Private Service Connect] に移動
[ネットワークアタッチメント] をクリックします。
ネットワークアタッチメントを選択し、[削除] をクリックします。
もう一度 [削除] をクリックして確定します。

gcloud

network-attachments delete コマンドを使用します。

gcloud compute network-attachments delete ATTACHMENT_NAME \
    --region=REGION

次のように置き換えます。

ATTACHMENT_NAME: 説明を取得するネットワークアタッチメントの名前。
REGION: ネットワークアタッチメントのリージョン

API

networkAttachments.delete メソッドに DELETE リクエストを送信します。

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/networkAttachments/ATTACHMENT_NAME

次のように置き換えます。

PROJECT_ID: プロジェクトの ID。
REGION: ネットワークアタッチメントのリージョン。
ATTACHMENT_NAME: ネットワークアタッチメントの名前。

次のステップ

ネットワークアタッチメントがあるネットワークにセキュリティを構成する。
Private Service Connect インターフェース接続のあるネットワークで宛先の重複を管理する。

ネットワーク アタッチメントの作成と管理

始める前に

ロール

サブネットの作成

ネットワーク アタッチメントを作成する

接続を手動で受け入れるネットワーク アタッチメントを作成する

コンソール

gcloud

API

接続を自動的に受け入れるネットワーク アタッチメントを作成する

コンソール

gcloud

API

ネットワーク アタッチメントを一覧取得する

コンソール

gcloud

API

ネットワーク アタッチメントの説明を取得する

コンソール

gcloud

API

ネットワーク アタッチメントを更新する

コンソール

gcloud

API

ネットワーク アタッチメントを削除する

コンソール

gcloud

API

次のステップ

ネットワークアタッチメントの作成と管理

ネットワークアタッチメントを作成する

接続を手動で受け入れるネットワークアタッチメントを作成する

接続を自動的に受け入れるネットワークアタッチメントを作成する

ネットワークアタッチメントを一覧取得する

ネットワークアタッチメントの説明を取得する

ネットワークアタッチメントを更新する

ネットワークアタッチメントを削除する