Configurar interfaces do Private Service Connect

No Datastream, as interfaces do Private Service Connect permitem replicar dados de forma privada, mantendo o tráfego de rede totalmente dentro do Google Cloud. Uma interface do Private Service Connect conecta uma rede de nuvem privada virtual (VPC, na sigla em inglês) do produtor a um anexo de rede em uma rede VPC do consumidor. As redes de produtores e consumidores podem estar em diferentes projetos e organizações.

Figura 1. As interfaces do Private Service Connect permitem que os produtores de serviços iniciem conexões com os consumidores.

Antes de configurar o Private Service Connect, leia os termos principais, os pré-requisitos, os preços e os papéis e permissões necessários. Para mais informações, consulte Private Service Connect na documentação da VPC.

Termos-chave

Nesta seção, você tem uma visão geral dos termos e conceitos importantes usados no Private Service Connect.

  • Produtor: uma entidade, normalmente um serviço ou uma VM em uma rede VPC, que inicia a conexão com a rede do consumidor. O produtor fornece o serviço: no contexto do Datastream, ele busca e replica dados para um destino.

  • Consumidor: uma entidade, normalmente uma VM em uma rede VPC, que recebe a conexão do produtor. Quando o consumidor aceita a conexão, oGoogle Cloud aloca à interface do Private Service Connect um endereço IP de uma sub-rede na rede VPC do consumidor especificada pelo anexo de rede. A VM da interface do Private Service Connect tem uma segunda interface de rede que se conecta à rede VPC do produtor.

  • Anexo de rede: um recurso regional que permite que uma rede VPC produtora inicie conexões com uma rede VPC consumidora por uma interface do Private Service Connect. Na rede VPC do consumidor, o anexo de rede atua como um ponto de entrada designado para conexões de interfaces do Private Service Connect na rede do produtor. Quando uma interface do Private Service Connect é estabelecida em um anexo de rede, a VM do produtor recebe um IP da sub-rede do anexo de rede. A instância de máquina virtual da interface do Private Service Connect tem pelo menos mais uma interface de rede normal que se conecta a uma sub-rede do produtor. Para mais informações, consulte Sobre anexos de rede.

  • Projeto do produtor: um projeto do Google em que as máquinas virtuais (VMs) que executam o Datastream estão hospedadas. Para acessar recursos na VPC do cliente, as VMs do Datastream usam o endereço IP que a interface de rede do Private Service Connect atribui da sub-rede.

Pré-requisitos do Private Service Connect

Antes de criar uma configuração de conectividade particular usando uma interface do Private Service Connect, siga as seguintes etapas para que o Datastream possa estabelecer uma conexão com seu projeto:

  • Ter uma rede VPC que possa ser conectada à rede privada do Datastream. Para mais informações sobre como criar uma rede VPC, consulte Criar e gerenciar redes VPC.

  • Crie um anexo de rede no projeto VPC.

  • Verifique se a sub-rede associada ao anexo de rede, bem como todos os recursos na rede VPC que se comunicam com o Datastream (como VMs NAT, balanceadores de carga internos ou bancos de dados de origem e destino), não usam intervalos de endereços IP reservados pelo Datastream (10.1.0.0/16 e 10.2.2.0/24). O uso desses intervalos reservados pode causar conflitos de roteamento com a infraestrutura interna do Datastream e falhas de conectividade imprevisíveis.

  • Verifique se o Google Cloud e o firewall local permitem o tráfego do intervalo de endereços IP do anexo de rede para o banco de dados de origem do qual você quer transmitir dados. Para saber como criar regras de firewall, consulte Usar regras de firewall da VPC.

Preços

A entrada e a saída de dados pelo Private Service Connect são cobradas. Para mais informações, consulte os preços do Private Service Connect.

Papéis e permissões necessárias

Para receber as permissões necessárias para criar um anexo de rede, peça ao administrador para conceder a você os seguintes papéis do Identity and Access Management (IAM) no projeto:

Se o anexo de rede ou a sub-rede subjacente estiver em um projeto diferente do Datastream (por exemplo, se você usar um projeto host de VPC compartilhada), será necessário conceder o seguinte papel à conta de serviço service-DATASTREAM-PROJECT-NUMBER@gcp-sa-datastream.:

  • Acesso somente leitura aos recursos de rede: Leitor de rede do Compute (roles/compute.networkViewer)

    Conceda o papel no projeto em que o anexo de rede ou a sub-rede dele está e substitua DATASTREAM-PROJECT-NUMBER pelo número do projeto em que o Datastream está implantado.

Para mais informações sobre como conceder papéis, consulte Gerenciar o acesso.

Também é possível receber as permissões necessárias com papéis personalizados ou outros papéis predefinidos.

Para mais informações sobre as opções de controle de acesso no Datastream, consulte Controle de acesso com o IAM.

Configure o Private Service Connect

Para permitir que o Datastream estabeleça conectividade de saída com sua rede usando uma interface do Private Service Connect:

  1. Crie um anexo de rede no projeto.
  2. Crie uma configuração de conectividade particular.

Criar um anexo de rede

Para configurar o Private Service Connect no Datastream, primeiro é preciso criar um anexo de rede.

Console

  1. No console do Google Cloud , acesse a página Anexos de rede:

    Acessar "Anexos de rede"

  2. Clique em Criar anexo de rede.

  3. No campo Nome, insira um nome para seu anexo de rede.

  4. Na lista Rede, selecione uma rede VPC ou uma rede VPC compartilhada.

  5. Na lista Região, selecione uma região do Google Cloud . Essa região precisa ser a mesma usada para a sub-rede da rede VPC com peering com a rede privada do Datastream. Para mais informações, consulte Pré-requisitos do Private Service Connect.

  6. Na lista Sub-rede, selecione um intervalo de sub-rede.

  7. Em Preferência de conexão, selecione Aceitar conexões para projetos selecionados.

    O Datastream adiciona automaticamente o projeto de produtor à lista de Projetos aceitos quando você cria o recurso de conectividade particular do Datastream.

  8. Não adicione Projetos aceitos ou Projetos rejeitados.

  9. Clique em Criar anexo de rede.

gcloud

  1. Crie uma ou mais sub-redes. Exemplo:

    gcloud compute networks subnets create subnet-1 --network=network-0 --range=10.10.1.0/24 --region=REGION

    O anexo de rede usa essas sub-redes nas etapas seguintes. Verifique se o intervalo da sub-rede não se sobrepõe aos intervalos de IP internos reservados pelo Datastream (10.1.0.0/16 e 10.2.2.0/24).

  2. Crie um recurso de anexo de rede na mesma região do projeto do Datastream, com a propriedade connection-preference definida como ACCEPT_MANUAL:

    gcloud compute network-attachments create NAME
--region=REGION
--connection-preference=ACCEPT_MANUAL
--subnets=SUBNET

    Substitua:

    • NAME: o nome do anexo de rede.
    • REGION: o nome da região do Google Cloud . Essa região precisa ser igual à da rede privada do Datastream.
    • SUBNET: o nome da sub-rede.

    A saída desse comando é um URL de anexo de rede no seguinte formato:

    projects/PROJECT/locations/REGION/network-attachments/NETWORK_ATTACHMENT_ID.

    Anote esse URL, porque o Datastream precisa dele para conectividade. Para saber como criar uma configuração de conectividade privada da interface do Private Service Connect usando Google Cloud, consulte Gerenciar configurações de conectividade privada.

Criar uma configuração de conectividade privada

Depois de criar um anexo de rede no projeto do Google Cloud , é necessário definir a configuração de conectividade privada usando interfaces do Private Service Connect. Ao criar a configuração, você inclui na lista de permissões o projeto que hospeda a interface do Private Service Connect. Em seguida, forneça o URL do anexo de rede ao Datastream como parte do recurso do Private Service Connect.

Para mais informações, consulte Criar uma configuração de conectividade particular.

A seguir