Private Service Connect

Questo documento fornisce una panoramica di Private Service Connect.

Private Service Connect è una funzionalità della rete di Google Cloud che consente ai consumer di accedere ai servizi gestiti in privato dall'interno della loro rete VPC. Analogamente, consente ai producer di servizi gestiti di ospitare questi servizi nelle proprie reti VPC separate e di offrire una connessione privata ai propri consumer. Ad esempio, quando utilizzi Private Service Connect per accedere a Cloud SQL, sei il consumer del servizio e Google è il producer di servizi.

Con Private Service Connect, i consumer possono utilizzare i propri indirizzi IP interni per accedere ai servizi senza uscire dalle proprie reti VPC. Il traffico rimane interamente all'interno di Google Cloud. Private Service Connect fornisce un accesso orientato ai servizi tra consumer e producer con un controllo granulare sul modo in cui viene eseguito l'accesso ai servizi.

Private Service Connect supporta l'accesso ai seguenti tipi di servizi gestiti:

Figura 1. Private Service Connect ti consente di inviare il traffico a endpoint e backend che lo inoltrano ai servizi gestiti, tra cui le API di Google e i servizi pubblicati. Le interfacce Private Service Connect consentono ai servizi gestiti di avviare connessioni alle reti VPC dei consumer.

Private Service Connect fornisce connettività privata con le seguenti caratteristiche:

  • Design orientato ai servizi: i servizi producer vengono pubblicati tramite bilanciatori del carico che espongono un singolo indirizzo IP alla rete VPC consumer. Il traffico consumer che accede ai servizi del producer è unidirezionale e può accedere solo all'indirizzo IP del servizio, anziché avere accesso a un'intera rete VPC connessa in peering.
  • Autorizzazione esplicita:Private Service Connect fornisce un modello di autorizzazione che offre a consumer e producer un controllo granulare, garantendo che solo gli endpoint di servizio previsti e nessuna altra risorsa possano connettersi a un servizio.
  • Nessuna dipendenza condivisa:il traffico tra consumer e producer utilizza NAT in modo che non esistano dipendenze di risorse condivise o altre dipendenze di risorse condivise tra le reti VPC consumer e producer. Questa indipendenza semplifica il deployment e ti consente di scalare più facilmente i servizi gestiti.
  • Rendimento a velocità di linea:il traffico di Private Service Connect viene inoltrato direttamente dai client consumer ai backend dei producer senza hop o proxy intermedi. Il NAT viene eseguito direttamente sulle macchine host fisiche che ospitano le VM di consumer e producer, il che riduce la latenza e aumenta la capacità della larghezza di banda. La capacità di larghezza di banda di Private Service Connect è limitata solo dalla capacità di larghezza di banda delle macchine client e server che comunicano direttamente.

Tipi di Private Service Connect

Private Service Connect è disponibile in diversi tipi che forniscono funzionalità e modalità di comunicazione diverse.

I producer di servizi pubblicano le loro applicazioni per i consumer creando servizi Private Service Connect. I consumer di servizi accedono ai servizi Private Service Connect direttamente tramite uno di questi tipi di Private Service Connect:

  • Endpoint Private Service Connect: gli endpoint vengono di cui vengono eseguiti il deployment utilizzando regole di inoltro che forniscono al consumer un indirizzo IP mappato al servizio Private Service Connect.
  • Backend di Private Service Connect: i backend vengono impiegati utilizzando gruppi di endpoint di rete (NEG) che consentono ai consumer di indirizzare il traffico al proprio bilanciatore del carico prima di raggiungere un servizio Private Service Connect.

I producer di servizi possono avviare connessioni ai consumatori di servizi utilizzando le interfacce Private Service Connect. Le interfacce Private Service Connect forniscono una comunicazione bidirezionale e possono essere utilizzate nella stessa rete VPC degli endpoint e dei backend.

Endpoint

Gli endpoint di Private Service Connect sono indirizzi IP interni di una rete VPC del consumer a cui i client della stessa rete possono accedere direttamente. Gli endpoint vengono creati implementando una regola di forwarding che fa riferimento a un allegato del servizio o a un bundle di API di Google.

Il seguente diagramma mostra un endpoint Private Service Connect che ha come target un servizio pubblicato in esecuzione in una rete e un'organizzazione VPC distinta. Gli endpoint di Private Service Connect e i servizi pubblicati consentono a due società indipendenti di comunicare tra loro utilizzando indirizzi IP interni. Per saperne di più, consulta Informazioni sull'accesso ai servizi pubblicati tramite gli endpoint.

Figura 2. Private Service Connect ti consente di inviare il traffico agli endpoint che lo inoltrano ai servizi pubblicati in un'altra rete VPC.

Analogamente, un endpoint Private Service Connect può essere utilizzato per accedere alle API di Google come Cloud Storage o BigQuery. Questa funzionalità è simile all'accesso privato Google, tranne per il fatto che puoi utilizzare i tuoi indirizzi IP interni per gli endpoint. Private Service Connect ti consente di controllare più direttamente il routing e di creare tutti gli endpoint necessari per la tua rete. Per ulteriori informazioni, consulta Informazioni sull'accesso alle API di Google tramite gli endpoint.

Figura 3. Private Service Connect ti consente di inviare il traffico a endpoint che lo inoltrano alle API di Google.

Backend

I backend di Private Service Connect consentono ai bilanciatori del carico di Google Cloud di inviare traffico tramite Private Service Connect per raggiungere i servizi pubblicati o le API di Google. I backend vengono implementati tramite gruppi di endpoint di rete (NEG) Private Service Connect che fanno riferimento a un collegamento di servizio del produttore o a un'API di Google supportata. Posizionare un bilanciatore del carico davanti a un servizio gestito offre al consumatore più visibilità e controllo di quanto sia possibile tramite un endpoint Private Service Connect. I backend ti consentono di creare configurazioni come le seguenti:

  • Domini e certificati di proprietà del cliente davanti ai servizi gestiti
  • Failover controllato dal consumatore tra servizi gestiti in regioni diverse
  • Configurazione della sicurezza e controllo dell'accesso centralizzati per i servizi gestiti

Il seguente diagramma mostra un bilanciatore del carico di applicazioni interno di cui è stato eseguito il deployment con i backend di Private Service Connect che fanno riferimento a un servizio pubblicato. La configurazione contiene due bilanciatori del carico:

  • Il bilanciatore del carico del consumer che fornisce controllo, visibilità e sicurezza del traffico verso il servizio.
  • Il bilanciatore del carico del produttore che bilancia il traffico tra i backend del servizio.

Figura 4. Private Service Connect ti consente di inviare il traffico ai backend che lo inoltrano ai servizi pubblicati.

Analogamente agli endpoint Private Service Connect, anche i backend supportano il targeting delle API di Google. Il seguente diagramma mostra un bilanciatore del carico delle applicazioni interno che ha come target un bucket Cloud Storage e termina il traffico utilizzando un dominio di proprietà del cliente.

Figura 5. Private Service Connect ti consente di inviare il traffico ai backend che lo inoltrano a un'API di Google regionale.

Interfacce

Un'interfaccia Private Service Connect è un tipo speciale di interfaccia di rete che fa riferimento a un collegamento di rete.

Un producer di servizi può creare un'interfaccia Private Service Connect e richiedere una connessione a un collegamento di rete. Se il consumatore del servizio accetta la connessione, Google Cloud alloca all'interfaccia un indirizzo IP di una subnet nella rete VPC del consumatore specificata dal collegamento di rete. La VM dell'interfaccia Private Service Connect ha una seconda interfaccia di rete standard che si connette alla rete VPC del producer.

Una connessione tra un'interfaccia Private Service Connect e un collegamento di rete è simile alla connessione tra un endpoint Private Service Connect e un collegamento di servizio, ma presenta due differenze fondamentali:

  • Un'interfaccia Private Service Connect consente a una rete VPC producer di avviare connessioni a una rete VPC consumer (traffico in uscita dal servizio gestito). Un endpoint funziona in direzione opposta, consentendo a una rete VPC consumer di avviare connessioni a una rete VPC producer (ingresso del servizio gestito).
  • Una connessione dell'interfaccia Private Service Connect è transitiva. Ciò significa che i carichi di lavoro in una rete producer possono avviare connessioni ad altri carichi di lavoro connessi alla rete VPC consumer. Gli endpoint Private Service Connect possono avviare connessioni solo alla rete VPC del producer.

Figura 6. Le interfacce Private Service Connect consentono ai producer di servizi di avviare connessioni ai consumer di servizi.

Servizi gestiti di Private Service Connect

I servizi gestiti sono servizi di proprietà e gestiti da persone diverse dall'utente del servizio. Private Service Connect può essere utilizzato per accedere ai servizi gestiti di proprietà di Google, a società di software as a service (SaaS) di terze parti o ad altri team all'interno della stessa azienda del consumatore. Sia i servizi pubblicati sia le API di Google possono essere target di Private Service Connect.

Servizi pubblicati

I servizi pubblicati sono servizi ospitati in VPC che vengono implementati nella rete VPC del producer e a cui si accede dalla rete VPC del consumer. La pubblicazione di un servizio consente al producer di servizi di possedere e controllare il deployment del servizio nella propria rete VPC. I servizi pubblicati possono includere:

  • Servizi Google, come GKE, Apigee o Cloud Composer. Questi servizi vengono eseguiti in progetti tenant e reti VPC gestite da Google.
  • Servizi di terze parti, in cui terze parti offrono accesso privato a un servizio pubblicato in Google Cloud.
  • Servizi intra-organizzazione, in cui una singola azienda ha client che accedono alle applicazioni interne su reti VPC diverse. Alcune organizzazioni utilizzano reti VPC separate per la segmentazione interna. Con questa configurazione, un team può offrire un servizio gestito a un altro team che opera in una rete VPC separata.

Collegamenti di servizi

I collegamenti di servizio sono risorse utilizzate per creare i servizi pubblicati di Private Service Connect.

È possibile accedere agli allegati dei servizi utilizzando endpoint o backend. Più backend o endpoint possono connettersi allo stesso collegamento del servizio, il che consente a più reti VPC o a più utenti di accedere alla stessa istanza di servizio.

Un collegamento di servizio ha come target un bilanciatore del carico del producer e consente ai client in una rete VPC consumer di accedere al bilanciatore del carico. La configurazione dell'aggancio del servizio definisce quanto segue:

  • Un elenco di consumatori accettati che definisce quali consumatori sono autorizzati a connettersi al servizio.
  • La subnet NAT da cui proviene il traffico tradotto nella rete VPC producer.
  • Un dominio DNS facoltativo, se fornito, che viene utilizzato nelle voci DNS per gli endpoint che vengono creati automaticamente nella zona Cloud DNS del consumer.

API di Google

L'utilizzo di Private Service Connect per accedere alle API di Google è un'alternativa all'utilizzo dell'accesso privato Google o dei nomi di dominio pubblico per le API di Google. In questo caso, il produttore è Google.

È possibile accedere alle API Google utilizzando endpoint o backend.

L'utilizzo di Private Service Connect ti consente di:

  • Crea uno o più indirizzi IP interni per accedere alle API Google per diversi casi d'uso.
  • Indirizza il traffico on-premise ad indirizzi IP e regioni specifici quando accedhi alle API di Google.
  • Centralizza il traffico delle API di Google tramite un bilanciatore del carico HTTP(S) per applicare i tuoi certificati, criteri di sicurezza o l'osservabilità.

Passaggi successivi