配置 Private Service Connect 接口

在 Datastream 中，Private Service Connect 接口可让您以私密方式复制数据，同时将网络流量完全保留在Google Cloud中。Private Service Connect 接口将提供方虚拟私有云 (VPC) 网络连接到使用方 VPC 网络中的网络连接。提供方网络与使用方网络可以位于不同的项目和组织中。

图 1. Private Service Connect 接口允许服务提供方启动与服务使用方的连接。

在配置 Private Service Connect 之前，请先查看关键术语、前提条件、价格以及所需的角色和权限。 如需了解详情，请参阅 VPC 文档中的 Private Service Connect。

关键词

本部分简要介绍了适用于 Private Service Connect 的关键术语和概念。

• 提供方：一个实体，通常是 VPC 网络中的服务或虚拟机，用于发起与使用方网络的连接。提供方提供服务：在 Datastream 上下文中，它会提取数据并将其复制到目标位置。

• 使用方：接收来自提供方的连接的实体，通常是 VPC 网络中的虚拟机。当使用方接受连接时，Google Cloud 会为 Private Service Connect 接口分配一个由网络连接指定的使用方 VPC 网络中的子网的 IP 地址。Private Service Connect 接口的虚拟机具有第二个网络接口，该接口可连接到提供方 VPC 网络。

• 网络连接：一种区域级资源，允许提供方 VPC 网络通过 Private Service Connect 接口发起与使用方 VPC 网络的连接。在使用方 VPC 网络中，网络连接充当来自提供方网络中 Private Service Connect 接口的连接的指定入口点。在网络连接上建立 Private Service Connect 接口后，系统会为提供方虚拟机分配网络连接子网中的一个 IP。Private Service Connect 接口的虚拟机实例至少还有一个连接到提供方子网的常规网络接口。如需了解详情，请参阅网络连接简介。

• 提供方项目：Google 拥有的项目，其中托管运行 Datastream 的虚拟机 (VM)。如需访问客户 VPC 中的资源，Datastream 虚拟机使用 Private Service Connect 网络接口从其子网分配的 IP 地址。

Private Service Connect 前提条件

在使用 Private Service Connect 接口创建专用连接配置之前，您需要先按以下步骤操作，以便 Datastream 能够与您的项目建立连接：

• 创建一个可连接到 Datastream 专用网络的 VPC 网络。如需详细了解如何创建 VPC 网络，请参阅创建和管理 VPC 网络。

• 在 VPC 项目中创建网络连接。

• 确保与您的网络连接关联的子网以及 VPC 网络中与 Datastream 通信的所有资源（例如 NAT 虚拟机、内部负载均衡器或来源和目标数据库）均不使用 Datastream 预留的 IP 地址范围（10.1.0.0/16 和 10.2.2.0/24）。使用这些预留范围可能会导致与 Datastream 内部基础设施发生路由冲突，并导致不可预测的连接故障。

• 验证 Google Cloud 和本地防火墙是否允许来自网络连接 IP 地址范围的流量流向您要从中流式传输数据的源数据库。如需了解如何创建防火墙规则，请参阅使用 VPC 防火墙规则。

价格

通过 Private Service Connect 进行的数据入站和出站流量会产生费用。如需了解详情，请参阅 Private Service Connect 价格。

所需的角色和权限

如需获得创建网络连接所需的权限，请让管理员向您授予项目的以下 Identity and Access Management (IAM) 角色：

• 创建、查看和删除网络连接：Compute Network Admin (roles/compute.networkAdmin)

如果您的网络连接或其底层子网与 Datastream 位于不同的项目中（例如，如果您使用共享 VPC 宿主项目），则需要向 service-DATASTREAM-PROJECT-NUMBER@gcp-sa-datastream. 服务账号授予以下角色：

• 对网络资源的只读权限：Compute Network Viewer (roles/compute.networkViewer)

  在网络连接或其子网所在的项目中授予该角色，并将 DATASTREAM-PROJECT-NUMBER 替换为部署了 Datastream 的项目的编号。

如需详细了解如何授予角色，请参阅管理访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

如需详细了解 Datastream 中的访问权限控制选项，请参阅使用 IAM 进行访问权限控制。

配置 Private Service Connect

如需让 Datastream 使用 Private Service Connect 接口与您的网络建立出站连接，请执行以下操作：

1. 在项目中创建网络连接。
2. 创建专用连接配置。

创建网络连接

如需在 Datastream 中配置 Private Service Connect，您必须先创建网络连接。

控制台

1. 在 Google Cloud 控制台中，前往网络连接页面：

   前往“网络连接”

2. 点击创建网络连接。

3. 在名称字段中，为网络连接输入名称。

4. 从网络列表中，选择一个 VPC 或共享 VPC 网络。

5. 从区域列表中，选择一个 Google Cloud 区域。此区域必须与与 Datastream 专用网络对等互连的 VPC 网络的子网所使用的区域相同。如需了解详情，请参阅 Private Service Connect 前提条件。

6. 从子网列表中，选择一个子网范围。

   确保子网范围不与 Datastream 预留的内部 IP 范围（10.1.0.0/16 和 10.2.2.0/24）重叠。

7. 在连接偏好设置中，选择接受选定项目的连接。

   当您创建 Datastream 专用连接资源时，Datastream 会自动将提供方项目添加到接受的项目列表中。

   注意： 自动接受所有项目的连接选项安全性较低，因为它允许任何服务从您的子网获取 IP 地址。我们不建议使用此选项。

8. 请勿添加接受的项目或拒绝的项目。

9. 点击创建网络连接。

gcloud

1. 创建一个或多个子网。例如：

   gcloud compute networks subnets create subnet-1 --network=network-0 --range=10.10.1.0/24 --region=REGION
   

   网络连接会在后续步骤中使用这些子网。确保子网范围不与 Datastream 预留的内部 IP 范围（10.1.0.0/16 和 10.2.2.0/24）重叠。

2. 在 Datastream 项目所在的区域中创建网络连接资源，并将 connection-preference 属性设置为 ACCEPT_MANUAL：

   gcloud compute network-attachments create NAME
   --region=REGION
   --connection-preference=ACCEPT_MANUAL
   --subnets=SUBNET
   

   替换以下内容：

   • NAME：网络连接的名称。
   • REGION： Google Cloud 区域的名称。 此区域必须与 Datastream 专用网络相同。
   • SUBNET：子网的名称。

   此命令的输出是采用以下格式的网络连接网址：

   projects/PROJECT/locations/REGION/network-attachments/NETWORK_ATTACHMENT_ID。

   请记下此网址，因为 Datastream 需要它来进行连接。如需了解如何使用 Google Cloud创建 Private Service Connect 接口专用连接配置，请参阅管理专用连接配置。

   注意： 将 connection-preference 指定为 ACCEPT_AUTOMATIC 的安全性较低，因为它允许任何服务从您的子网获取 IP 地址。我们不建议使用此选项。

创建专用连接配置

在 Google Cloud 项目中创建网络连接后，您需要使用 Private Service Connect 接口设置专用连接配置。创建配置时，您需要将托管 Private Service Connect 接口的项目列入许可清单。然后，您需要将网络连接网址作为 Private Service Connect 资源的一部分提供给 Datastream。

如需了解详情，请参阅创建专用连接配置。

注意 ：创建专用连接配置后，请勿更改与 Private Service Connect 网络连接关联的子网。否则，使用该配置的直播会失败。如果您需要更改子网，请重新创建专用连接配置。

后续步骤

• 了解如何查看专用连接配置。
• 了解如何删除专用连接配置。