Configura le interfacce Private Service Connect

In Datastream, le interfacce Private Service Connect ti consentono di replicare i dati privatamente, mantenendo il traffico di rete interamente all'interno diGoogle Cloud. Un'interfaccia Private Service Connect connette una rete Virtual Private Cloud (VPC) producer a un collegamento di rete in una rete VPC consumer. Le reti producer e consumer possono trovarsi in progetti e organizzazioni diversi.

Figura 1. Le interfacce Private Service Connect consentono ai producer di servizi di avviare connessioni ai consumer di servizi.

Prima di configurare Private Service Connect, esamina i termini chiave, i prerequisiti, i prezzi e i ruoli e le autorizzazioni richiesti. Per saperne di più, consulta Private Service Connect nella documentazione di VPC.

Termini chiave

Questa sezione fornisce una panoramica dei termini e dei concetti chiave che si applicano a Private Service Connect.

  • Producer: un'entità, in genere un servizio o una VM all'interno di una rete VPC, che avvia la connessione alla rete consumer. Il producer fornisce il servizio: nel contesto di Datastream, recupera e replica i dati in una destinazione.

  • Consumer: un'entità, in genere una VM all'interno di una rete VPC, che riceve la connessione dal producer. Quando il consumer accetta la connessione,Google Cloud alloca all'interfaccia Private Service Connect un indirizzo IP di una subnet nella rete VPC consumer specificata dal collegamento di rete. La VM dell'interfaccia Private Service Connect ha una seconda interfaccia di rete che si connette alla rete VPC del producer.

  • Collegamento di rete: una risorsa di regione che consente a una rete VPC producer di avviare connessioni a una rete VPC consumer tramite un'interfaccia Private Service Connect. Nella rete VPC consumer, il collegamento di rete funge da punto di ingresso designato per le connessioni dalle interfacce Private Service Connect nella rete producer. Quando viene stabilita un'interfaccia Private Service Connect su un collegamento di rete, alla VM producer viene assegnato un IP dalla subnet del collegamento di rete. L'istanza di macchina virtuale dell'interfaccia Private Service Connect ha almeno un'altra interfaccia di rete regolare che si connette a una subnet del producer. Per saperne di più, consulta Informazioni sui collegamenti di rete.

  • Progetto producer: un progetto di proprietà di Google in cui sono ospitate le macchine virtuali (VM) che eseguono Datastream. Per accedere alle risorse nel VPC del cliente, le VM di Datastream utilizzano l'indirizzo IP assegnato dall'interfaccia di rete di Private Service Connect dalla relativa subnet.

Prerequisiti di Private Service Connect

Prima di creare una configurazione di connettività privata utilizzando un'interfaccia Private Service Connect, devi eseguire i passaggi riportati in basso affinché Datastream possa stabilire una connessione al tuo progetto:

  • Assicurati di avere una rete VPC che puoi connettere alla rete privata di Datastream. Per ulteriori informazioni sulla creazione di una rete VPC, consulta Crea e gestisci le reti VPC.

  • Crea un collegamento di rete nel progetto VPC.

  • Assicurati che la subnet associata al collegamento di rete, nonché tutte le risorse della rete VPC che comunicano con Datastream (come VM NAT, bilanciatori del carico interni o database di origine e di destinazione), non utilizzino intervalli di indirizzi IP riservati da Datastream (10.1.0.0/16 e 10.2.2.0/24). L'utilizzo di questi intervalli riservati può causare conflitti di routing con l'infrastruttura interna di Datastream ed errori di connettività imprevedibili.

  • Verifica che Google Cloud e il firewall on-premise consentano il traffico dall'intervallo di indirizzi IP del collegamento di rete al database di origine da cui vuoi trasmettere i flussi di dati. Per informazioni su come creare regole firewall, consulta Utilizza le regole firewall VPC.

Prezzi

Il traffico di dati in entrata e in uscita tramite Private Service Connect è a pagamento. Per saperne di più, consulta i prezzi di Private Service Connect.

Ruoli e autorizzazioni richiesti

Per ottenere le autorizzazioni necessarie per creare un collegamento di rete, chiedi all'amministratore di concederti i seguenti ruoli Identity and Access Management (IAM) per il tuo progetto:

  • Creare, visualizzare ed eliminare i collegamenti di rete: Compute Network Admin (roles/compute.networkAdmin)

Se il collegamento di rete o la subnet sottostante si trova in un progetto diverso da Datastream (ad esempio, se utilizzi un progetto host VPC condiviso), devi concedere il seguente ruolo al account di servizio service-DATASTREAM-PROJECT-NUMBER@gcp-sa-datastream.iam.gserviceaccount.com:

  • Accesso di sola lettura alle risorse di networking: Compute Network Viewer (roles/compute.networkViewer)

    Concedi il ruolo nel progetto in cui si trova il collegamento di rete o la relativa subnet e sostituisci DATASTREAM-PROJECT-NUMBER con il numero del progetto in cui è stato eseguito il deployment di Datastream.

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Per saperne di più sulle opzioni di controllo dell'accesso in Datastream, consulta Controllo degli accessi con IAM.

Configurazione di Private Service Connect

Per consentire a Datastream di stabilire la connettività in uscita alla tua rete utilizzando un'interfaccia Private Service Connect:

  1. Crea un collegamento di rete nel tuo progetto.
  2. Crea una configurazione di connettività privata.

Crea un collegamento di rete

Per configurare Private Service Connect in Datastream, devi prima creare un collegamento di rete.

Console

  1. Nella console Google Cloud , vai alla pagina Collegamenti di rete:

    Vai a Collegamenti di rete

  2. Fai clic su Crea collegamento di rete.

  3. Nel campo Nome, inserisci un nome per il collegamento di rete.

  4. Dall'elenco Rete, seleziona una rete VPC o un VPC condiviso.

  5. Nell'elenco Regione, seleziona una regione Google Cloud . Questa regione deve essere la stessa utilizzata per la subnet della rete VPC in peering con la rete privata di Datastream. Per ulteriori informazioni, consulta Prerequisiti di Private Service Connect.

  6. Dall'elenco Subnet, seleziona un intervallo di subnet.

  7. In Preferenza di connessione, seleziona Accetta connessioni per i progetti selezionati.

    Datastream aggiunge automaticamente il progetto producer all'elenco Progetti accettati quando crei la risorsa di connettività privata di Datastream.

  8. Non aggiungere Progetti accettati o Progetti rifiutati.

  9. Fai clic su Crea collegamento di rete.

gcloud

  1. Crea una o più subnet. Ad esempio:

    gcloud compute networks subnets create subnet-1 --network=network-0 --range=10.10.1.0/24 --region=REGION

    Il collegamento di rete utilizza queste subnet nei passaggi successivi. Assicurati che l'intervallo della subnet non si sovrapponga agli intervalli IP interni riservati da Datastream (10.1.0.0/16 e 10.2.2.0/24).

  2. Crea una risorsa di collegamento di rete nella stessa regione del progetto Datastream, con la proprietà connection-preference impostata su ACCEPT_MANUAL:

    gcloud compute network-attachments create NAME
--region=REGION
--connection-preference=ACCEPT_MANUAL
--subnets=SUBNET

    Sostituisci quanto segue:

    • NAME: il nome del collegamento di rete.
    • REGION: il nome della regione Google Cloud . Questa regione deve essere la stessa della rete privata di Datastream.
    • SUBNET: il nome della subnet.

    L'output di questo comando è un URL di collegamento di rete nel seguente formato:

    projects/PROJECT/locations/REGION/network-attachments/NETWORK_ATTACHMENT_ID.

    Prendi nota di questo URL, perché Datastream ne ha bisogno per la connettività. Per informazioni su come creare una configurazione di connettività privata dell'interfaccia Private Service Connect utilizzando Google Cloud, consulta Gestisci le configurazioni di connettività privata.

Creazione di una configurazione di connettività privata

Dopo aver creato un collegamento di rete nel tuo progetto Google Cloud , devi configurare la connettività privata utilizzando le interfacce Private Service Connect. Quando crei la configurazione, inserisci nella lista consentita il progetto che ospita l'interfaccia Private Service Connect. Poi fornisci l'URL del collegamento di rete a Datastream come parte della risorsa Private Service Connect.

Per saperne di più, consulta Crea una configurazione di connettività privata.

Passaggi successivi