הגדרת ממשקי Private Service Connect

ב-Datastream, ממשקי Private Service Connect מאפשרים לשכפל נתונים באופן פרטי תוך שמירה על תנועה ברשת בתוךGoogle Cloud. ממשק Private Service Connect מחבר בין רשת של ענן וירטואלי פרטי (VPC) של יצרן לבין מחבר רשת ברשת VPC של צרכן. רשתות של ספקים ושל צרכנים יכולות להיות בפרויקטים ובארגונים שונים.

איור 1. ממשקי Private Service Connect מאפשרים לבעלים של שירותים מנוהלים ליזום חיבורים לצרכני שירותים.

לפני שמגדירים את Private Service Connect, כדאי לקרוא את מונחי המפתח, הדרישות המוקדמות, התמחור והתפקידים וההרשאות הנדרשים. מידע נוסף זמין במאמר Private Service Connect במסמכי התיעוד של VPC.

מונחי מפתח

בקטע הזה מפורטים מונחים ומושגים מרכזיים שרלוונטיים ל-Private Service Connect.

• יצרן: ישות, בדרך כלל שירות או מכונה וירטואלית ברשת VPC, שיוזמת את החיבור לרשת הצרכן. הבעלים מספק את השירות: בהקשר של Datastream, הוא מאחזר נתונים ומשכפל אותם ליעד.

• צרכן: ישות, בדרך כלל מכונה וירטואלית ברשת VPC, שמקבלת את החיבור מהספק. כשהצרכן מאשר את החיבור,Google Cloud מקצה לממשק Private Service Connect כתובת IP מרשת משנה ברשת ה-VPC של הצרכן, שצוינה על ידי מחבר הרשת. למכונה הווירטואלית של ממשק Private Service Connect יש ממשק רשת שני שמתחבר לרשת ה-VPC של היצרן.

• חיבור לרשת: משאב אזורי שמאפשר לרשת VPC של יצרן ליזום חיבורים לרשת VPC של צרכן דרך ממשק Private Service Connect. ברשת ה-VPC של הצרכן, מחבר הרשת משמש כנקודת כניסה ייעודית לחיבורים מממשקי Private Service Connect ברשת של היצרן. כשמגדירים ממשק Private Service Connect במחבר רשת, המכונה הווירטואלית של היצרן מקבלת כתובת IP מתת-הרשת של מחבר הרשת. למכונה הווירטואלית של ממשק Private Service Connect יש לפחות עוד ממשק רשת רגיל אחד שמחובר לרשת משנה של בעל השירות. מידע נוסף זמין במאמר מידע על חיבורי רשת.

• פרויקט של ספק: פרויקט בבעלות Google שבו מתארחות המכונות הווירטואליות (VM) שמריצות את Datastream. כדי לגשת למשאבים ב-VPC של הלקוח, המכונות הווירטואליות של Datastream משתמשות בכתובת ה-IP שממשק הרשת של Private Service Connect מקצה מרשת המשנה שלו.

דרישות מוקדמות ל-Private Service Connect

כדי ש-Datastream יוכל ליצור חיבור לפרויקט, לפני שיוצרים הגדרת קישוריות פרטית באמצעות ממשק Private Service Connect צריך לבצע את הפעולות הבאות:

• רשת VPC שאפשר לחבר לרשת הפרטית של Datastream. מידע נוסף על יצירת רשת VPC זמין במאמר יצירה וניהול של רשתות VPC.

• יוצרים חיבור לרשת בפרויקט ה-VPC.

• חשוב לוודא שרשת המשנה שמשויכת לחיבור הרשת, וגם כל המשאבים ברשת ה-VPC שמתקשרים עם Datastream (כמו מכונות וירטואליות של NAT, מאזני עומסים פנימיים או מסדי נתונים של מקור ויעד), לא משתמשים בטווחי כתובות IP ששמורים ל-Datastream (10.1.0.0/16 ו-10.2.2.0/24). שימוש בטווחים השמורים האלה עלול לגרום להתנגשויות בניתוב עם התשתית הפנימית של Datastream ולכשלים בלתי צפויים בקישוריות.

• מוודאים ש- Google Cloud וחומת האש המקומית מאפשרים תעבורה מטווח כתובות ה-IP של מחבר הרשת למסד הנתונים של המקור שממנו רוצים להעביר נתונים בסטרימינג. איך יוצרים כללים של חומת אש ב-VPC?

תמחור

תנועת נתונים נכנסת ויוצאת דרך Private Service Connect כרוכה בתשלום. מידע נוסף זמין במאמר התמחור של Private Service Connect.

תפקידים והרשאות נדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת חיבור לרשת, בקשו מהאדמין להקצות לכם את התפקידים הבאים של ניהול הזהויות והרשאות הגישה (IAM) בפרויקט:

• יצירה, הצגה ומחיקה של חיבורי רשת: אדמין של רשת Compute (roles/compute.networkAdmin)

אם מחבר הרשת או רשת המשנה שלו נמצאים בפרויקט שונה מ-Datastream (לדוגמה, אם אתם משתמשים בפרויקט מארח של VPC משותף), אתם צריכים להקצות את התפקיד הבא לחשבון השירות של service-DATASTREAM-PROJECT-NUMBER@gcp-sa-datastream.:

• גישה לקריאה בלבד למשאבי רשת: צפייה ברשתות Compute (roles/compute.networkViewer)

  מקצים את התפקיד בפרויקט שבו נמצאים חיבור הרשת או רשת המשנה שלו, ומחליפים את DATASTREAM-PROJECT-NUMBER במספר הפרויקט שבו Datastream פרוס.

להסבר על מתן תפקידים, קראו את המאמר איך מנהלים את הרשאות הגישה.

יכול להיות שתוכלו לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

מידע נוסף על אפשרויות בקרת הגישה ב-Datastream זמין במאמר בקרת גישה באמצעות IAM.

הגדרת Private Service Connect

כדי לאפשר ל-Datastream ליצור קישוריות יוצאת לרשת באמצעות ממשק Private Service Connect:

1. יוצרים בפרויקט חיבור לרשת.
2. יוצרים הגדרה של חיבור מבודד.

יצירת חיבור לרשת

כדי להגדיר את Private Service Connect ב-Datastream, קודם צריך ליצור מחבר רשת.

המסוף

1. במסוף Google Cloud , עוברים לדף מחברי רשת:

   כניסה לדף Network attachments

2. לוחצים על יצירת מחבר רשת.

3. בשדה Name, מזינים שם לחיבור הרשת.

4. ברשימה Network, בוחרים רשת VPC או רשת VPC משותפת.

5. ברשימה Region, בוחרים אזור Google Cloud . האזור הזה צריך להיות זהה לאזור שמשמש לרשת המשנה של רשת ה-VPC שמקושרת לרשת הפרטית של Datastream. מידע נוסף זמין במאמר דרישות מוקדמות ל-Private Service Connect.

6. ברשימה Subnetwork, בוחרים טווח של רשת משנה.

   חשוב לוודא שטווח רשת המשנה לא חופף לטווחי כתובות ה-IP הפנימיות ששמורים ל-Datastream‏ (10.1.0.0/16 ו-10.2.2.0/24).

7. בקטע Connection preference, בוחרים באפשרות Accept connections for selected projects.

   כשיוצרים את משאב הקישוריות הפרטית של Datastream, המערכת מוסיפה באופן אוטומטי את הפרויקט של היצרן לרשימה Accepted projects.

   זהירות: האפשרות Automatically accept connections for all projects פחות מאובטחת, כי היא מאפשרת לכל שירות לקבל כתובות IP מתת-הרשת שלכם. אנחנו לא ממליצים להשתמש באפשרות הזו.

8. אל תוסיפו את Accepted projects או את Rejected projects.

9. לוחצים על יצירת מחבר רשת.

gcloud

1. יוצרים רשת משנה אחת או יותר. לדוגמה:

   gcloud compute networks subnets create subnet-1 --network=network-0 --range=10.10.1.0/24 --region=REGION
   

   מחבר הרשת משתמש ברשתות המשנה האלה בשלבים הבאים. חשוב לוודא שטווח רשת המשנה לא חופף לטווחי כתובות ה-IP הפנימיות ששמורים ל-Datastream‏ (10.1.0.0/16 ו-10.2.2.0/24).

2. יוצרים משאב של חיבור לרשת באותו אזור של הפרויקט ב-Datastream, ומגדירים את המאפיין connection-preference לערך ACCEPT_MANUAL:

   gcloud compute network-attachments create NAME
   --region=REGION
   --connection-preference=ACCEPT_MANUAL
   --subnets=SUBNET
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫NAME: השם של חיבור הרשת.
   • ‫REGION: שם האזור של Google Cloud . האזור הזה צריך להיות זהה לאזור של הרשת הפרטית של Datastream.
   • ‫SUBNET: שם רשת המשנה.

   הפלט של הפקודה הזו הוא כתובת URL של חיבור לרשת בפורמט הבא:

   projects/PROJECT/locations/REGION/network-attachments/NETWORK_ATTACHMENT_ID.

   חשוב לשמור את כתובת ה-URL הזו, כי Datastream צריך אותה כדי להתחבר. במאמר ניהול הגדרות של חיבור מבודד מוסבר איך יוצרים הגדרה של חיבור מבודד לממשק Private Service Connect באמצעות Google Cloud.

   זהירות: אם מציינים את connection-preference בתור ACCEPT_AUTOMATIC, רמת האבטחה נמוכה יותר כי כל שירות יכול לקבל כתובות IP מרשת המשנה. אנחנו לא ממליצים להשתמש באפשרות הזו.

יצירת הגדרה של חיבור מבודד

אחרי שיוצרים חיבור לרשת בפרויקט ב- Google Cloud , צריך להגדיר את הקישוריות הפרטית באמצעות ממשקי Private Service Connect. כשיוצרים את ההגדרה, מוסיפים לרשימת ההיתרים את הפרויקט שמארח את ממשק Private Service Connect. לאחר מכן, אתם מספקים ל-Datastream את כתובת ה-URL של מחבר הרשת כחלק מהמשאב של Private Service Connect.

מידע נוסף זמין במאמר יצירת הגדרה של חיבור מבודד.

הערה: אל תשנו את רשת המשנה שמשויכת לחיבור הרשת של Private Service Connect אחרי שיצרתם את הגדרת החיבור המבודד. אם תעשו את זה, הסטרימינג שמשתמש בהגדרה ייכשל. אם אתם צריכים לשנות את רשת המשנה, צרו מחדש את הגדרת החיבור המבודד.

המאמרים הבאים

• איך בודקים את הגדרות החיבור המבודד
• איך מוחקים הגדרות של חיבור מבודד