הגדרת ממשקי Private Service Connect

ב-Datastream, ממשקי Private Service Connect מאפשרים לשכפל נתונים באופן פרטי, תוך שמירה על תנועה ברשת בתוךGoogle Cloudבלבד. ממשק Private Service Connect מחבר בין רשת של ענן וירטואלי פרטי (VPC) של יצרן לבין מחבר רשת ברשת VPC של צרכן. רשתות של ספקים ושל צרכנים יכולות להיות בפרויקטים ובארגונים שונים.

איור 1. ממשקי Private Service Connect מאפשרים לבעלים של שירותים מנוהלים ליזום חיבורים לצרכני שירותים.

לפני שמגדירים את Private Service Connect, כדאי לקרוא את מונחי המפתח, הדרישות המוקדמות, התמחור והתפקידים וההרשאות הנדרשים. מידע נוסף זמין במאמר Private Service Connect במסמכי התיעוד של VPC.

מונחי מפתח

בקטע הזה מפורטים מונחים ומושגים מרכזיים שרלוונטיים ל-Private Service Connect.

• יצרן: ישות, בדרך כלל שירות או מכונה וירטואלית ברשת VPC, שיוזמת את החיבור לרשת הצרכן. הבעלים מספק את השירות: בהקשר של Datastream, הוא מאחזר נתונים ומשכפל אותם ליעד.

• צרכן: ישות, בדרך כלל מכונה וירטואלית ברשת VPC, שמקבלת את החיבור מהספק. כשהצרכן מאשר את החיבור,Google Cloud מקצה לממשק Private Service Connect כתובת IP מרשת משנה ברשת ה-VPC של הצרכן, שצוינה על ידי מחבר הרשת. למכונה הווירטואלית של ממשק Private Service Connect יש ממשק רשת שני שמתחבר לרשת ה-VPC של היצרן.

• חיבור לרשת: משאב אזורי שמאפשר לרשת VPC של יצרן ליזום חיבורים לרשת VPC של צרכן דרך ממשק Private Service Connect. ברשת ה-VPC של הצרכן, מחבר הרשת משמש כנקודת כניסה ייעודית לחיבורים מממשקי Private Service Connect ברשת של היצרן. כשמגדירים ממשק Private Service Connect במחבר רשת, המכונה הווירטואלית של היצרן מקבלת כתובת IP מתת-הרשת של מחבר הרשת. למכונה הווירטואלית של ממשק Private Service Connect יש לפחות עוד ממשק רשת רגיל אחד שמחובר לרשת משנה של בעל השירות. מידע נוסף זמין במאמר מידע על חיבורי רשת.

• פרויקט של ספק: פרויקט בבעלות Google שבו מתארחות המכונות הווירטואליות (VM) שמריצות את Datastream. כדי לגשת למשאבים ב-VPC של הלקוח, המכונות הווירטואליות של Datastream משתמשות בכתובת ה-IP שממשק הרשת של Private Service Connect מקצה מרשת המשנה שלו.

דרישות מוקדמות ל-Private Service Connect

לפני שיוצרים הגדרת קישוריות פרטית באמצעות ממשק Private Service Connect, צריך לבצע את השלבים הבאים כדי ש-Datastream יוכל ליצור חיבור לפרויקט:

• רשת VPC שאפשר לחבר לרשת הפרטית של Datastream. מידע נוסף על יצירת רשת VPC זמין במאמר יצירה וניהול של רשתות VPC.

• יוצרים חיבור לרשת בפרויקט ה-VPC.

• מוודאים שרשת המשנה שמשויכת לחיבור הרשת לא חופפת לטווחי כתובות ה-IP של 100.64.0.0/16 או 100.65.0.0/24. אל תשתמשו בכתובות בטווחים האלה למשאבי VPC שמתקשרים עם Datastream, כמו מכונות וירטואליות של NAT, מאזני עומסים פנימיים או מסדי נתונים של מקור ויעד. שימוש בטווחים השמורים האלה עלול לגרום להתנגשויות בניתוב עם התשתית הפנימית של Datastream ולכשלים בלתי צפויים בקישוריות.

• מוודאים ש- Google Cloud וחומת האש המקומית מאפשרים תנועה מטווח כתובות ה-IP של מחבר הרשת למסד הנתונים שממנו רוצים להעביר נתונים בסטרימינג. איך יוצרים כללים של חומת אש ב-VPC

תמחור

תנועת נתונים נכנסת ויוצאת דרך Private Service Connect כרוכה בתשלום. מידע נוסף זמין במאמר התמחור של Private Service Connect.

תפקידים והרשאות נדרשים

כדי לקבל את ההרשאות שדרושות ליצירת חיבור לרשת, בקשו מהאדמין להקצות לכם את התפקידים הבאים של ניהול הזהויות והרשאות הגישה (IAM) בפרויקט:

• יצירה, הצגה ומחיקה של חיבורי רשת: אדמין של רשת Compute (roles/compute.networkAdmin)

אם חיבור הרשת או רשת המשנה הבסיסית שלו נמצאים בפרויקט שונה מ-Datastream (לדוגמה, אם אתם משתמשים בפרויקט מארח של VPC משותף), אתם צריכים להקצות את התפקיד הבא לחשבון השירות של service-DATASTREAM-PROJECT-NUMBER@gcp-sa-datastream.:

• גישה לקריאה בלבד למשאבי רשת: צפייה ברשתות Compute (roles/compute.networkViewer)

  מקצים את התפקיד בפרויקט שבו נמצאים חיבור הרשת או רשת המשנה שלו, ומחליפים את DATASTREAM-PROJECT-NUMBER במספר הפרויקט שבו Datastream פרוס.

להסבר על מתן תפקידים, ראו איך מנהלים את הרשאות הגישה.

יכול להיות שתוכלו לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

מידע נוסף על אפשרויות בקרת הגישה ב-Datastream זמין במאמר בקרת גישה באמצעות IAM.

הגדרת Private Service Connect

כדי לאפשר ל-Datastream ליצור קישוריות יוצאת לרשת באמצעות ממשק Private Service Connect:

1. יוצרים חיבור לרשת בפרויקט.
2. יוצרים הגדרה של חיבור מבודד.

יצירת חיבור לרשת

כדי להגדיר את Private Service Connect ב-Datastream, קודם צריך ליצור מחבר רשת.

המסוף

1. במסוף Google Cloud , עוברים לדף מחברי רשת:

   כניסה לדף Network attachments

2. לוחצים על יצירת מחבר רשת.

3. בשדה Name, נותנים שם לחיבור לרשת.

4. ברשימה Network, בוחרים רשת VPC או רשת VPC משותפת.

5. ברשימה Region, בוחרים אזור Google Cloud . האזור הזה צריך להיות זהה לאזור שמשמש לרשת המשנה של רשת ה-VPC שמקושרת לרשת הפרטית של Datastream. מידע נוסף זמין במאמר דרישות מוקדמות ל-Private Service Connect.

6. ברשימה Subnetwork, בוחרים טווח של רשת משנה.

   חשוב לוודא שטווח רשת המשנה לא חופף לטווחי כתובות ה-IP הפנימיות ששמורים ל-Datastream (100.64.0.0/16 ו-100.65.0.0/24).

7. בקטע Connection preference, בוחרים באפשרות Accept connections for selected projects.

   כשיוצרים את משאב הקישוריות הפרטית של Datastream, המערכת מוסיפה באופן אוטומטי את הפרויקט של היצרן לרשימה Accepted projects.

   זהירות: האפשרות Automatically accept connections for all projects פחות מאובטחת, כי היא מאפשרת לכל שירות לקבל כתובות IP מתת-הרשת שלכם. אנחנו לא ממליצים להשתמש באפשרות הזו.

8. אל תוסיפו את Accepted projects או את Rejected projects.

9. לוחצים על יצירת מחבר רשת.

gcloud

1. יוצרים רשת משנה אחת או יותר. לדוגמה:

   gcloud compute networks subnets create subnet-1 --network=network-0 --range=10.10.1.0/24 --region=REGION
   

   חיבור הרשת משתמש ברשתות המשנה האלה בשלבים הבאים. חשוב לוודא שטווח רשת המשנה לא חופף לטווחי כתובות ה-IP הפנימיות ששמורים ל-Datastream‏ (100.64.0.0/16 ו-100.65.0.0/24).

2. יוצרים משאב של חיבור לרשת באותו אזור של הפרויקט ב-Datastream, ומגדירים את המאפיין connection-preference לערך ACCEPT_MANUAL:

   gcloud compute network-attachments create NAME
   --region=REGION
   --connection-preference=ACCEPT_MANUAL
   --subnets=SUBNET
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫NAME: השם של חיבור הרשת.
   • ‫REGION: שם האזור של Google Cloud . האזור הזה צריך להיות זהה לאזור של הרשת הפרטית של Datastream.
   • ‫SUBNET: שם תת-הרשת.

   הפלט של הפקודה הזו הוא כתובת URL של חיבור לרשת בפורמט הבא:

   projects/PROJECT/locations/REGION/network-attachments/NETWORK_ATTACHMENT_ID.

   חשוב לשמור את כתובת ה-URL הזו, כי היא נדרשת לקישוריות של Datastream. במאמר ניהול הגדרות של חיבור מבודד מוסבר איך יוצרים הגדרה של חיבור מבודד לממשק Private Service Connect באמצעות Google Cloud.

   זהירות: אם מציינים את connection-preference בתור ACCEPT_AUTOMATIC, רמת האבטחה נמוכה יותר כי כל שירות יכול לקבל כתובות IP מרשת המשנה. אנחנו לא ממליצים להשתמש באפשרות הזו.

יצירת הגדרה של חיבור מבודד

אחרי שיוצרים חיבור לרשת בפרויקט ב- Google Cloud , צריך להגדיר את הקישוריות הפרטית באמצעות ממשקי Private Service Connect. כשיוצרים את ההגדרה, מוסיפים לרשימת ההיתרים את הפרויקט שמארח את ממשק Private Service Connect. לאחר מכן, אתם מספקים ל-Datastream את כתובת ה-URL של מחבר הרשת כחלק מהמשאב של Private Service Connect.

מידע נוסף זמין במאמר יצירת הגדרה של חיבור מבודד.

הערה: אל תשנו את רשת המשנה שמשויכת למחבר הרשת של Private Service Connect אחרי שיצרתם את הגדרת החיבור המבודד. אם תעשו את זה, הסטרימינג שמשתמש בהגדרה ייכשל. אם אתם צריכים לשנות את רשת המשנה, צרו מחדש את הגדרת החיבור המבודד.

המאמרים הבאים

• איך בודקים את הגדרות החיבור המבודד
• איך מוחקים הגדרות של חיבור מבודד