Informazioni sull'accesso alle API di Google globali tramite endpoint

Questo documento fornisce una panoramica degli endpoint Private Service Connect utilizzati per accedere alle API di Google globali.

Per impostazione predefinita, se hai un'applicazione che utilizza un servizio Google, ad esempio Cloud Storage, l'applicazione si connette al nome DNS predefinito per quel servizio, ad esempio storage.. I nomi DNS predefiniti per i servizi Google vengono risolti in indirizzi IP instradabili pubblicamente. Tuttavia, il traffico inviato dalle risorseGoogle Cloud a questi indirizzi IP rimane all'interno della rete di Google.

Con Private Service Connect, puoi creare endpoint privati utilizzando indirizzi IP interni globali all'interno della tua rete VPC. Puoi assegnare nomi DNS a questi indirizzi IP interni con nomi significativi come storage-vialink1.p. e bigtable-adsteam.p.. Questi nomi e indirizzi IP sono interni alla rete VPC e a qualsiasi rete on-premise connessa tramite tunnel Cloud VPN o collegamenti VLAN. Puoi controllare quale traffico va a quale endpoint e puoi dimostrare che il traffico rimane all'interno di Google Cloud.

Questa opzione ti consente di accedere a tutte le API di Google e i servizi inclusi nei bundle di API.

Figura 1. Private Service Connect ti consente di inviare traffico alle API di Google utilizzando un endpoint privato per la tua rete VPC (fai clic per ingrandire).

Funzionalità e compatibilità

Questa tabella riassume le funzionalità supportate dagli endpoint utilizzati per accedere alle API di Google globali.

Configurazione Dettagli
Configurazione consumer (endpoint)
Raggiungibilità globale Utilizza un indirizzo IP globale interno
Traffico di Cloud Interconnect
Traffico Cloud VPN
Accesso tramite peering di rete VPC
Propagazione della connessione tramite NCC (anteprima)
Configurazione DNS automatica
Versione IP IPv4
Producer
Servizi supportati API di Google globali supportate

Accesso ibrido

Gli endpoint di Private Service Connect che utilizzi per accedere alle API di Google sono accessibili dagli host on-premise connessi supportati. Per saperne di più, vedi Accedi all'endpoint da host on-premise.

Configurazione automatica del DNS tramite Service Directory

Gli endpoint sono registrati con Service Directory. Service Directory è una piattaforma per archiviare, gestire e pubblicare servizi. Quando crei un endpoint per accedere alle API e ai servizi di Google, selezioni una regione e uno spazio dei nomi di Service Directory.

Regione di Service Directory

Service Directory è un servizio regionale; la regione selezionata definisce dove risiede il control plane di Service Directory. Non esiste alcuna differenza funzionale tra le regioni, ma potresti avere una preferenza per motivi amministrativi.

Quando crei il primo endpoint per le API di Google in una rete VPC, la regione selezionata viene utilizzata come regione predefinita per tutti gli endpoint successivi creati in quella rete. Se non è già impostata una regione per una rete e non ne specifichi una, la regione viene impostata su us-central1. Tutti gli endpoint di una rete devono utilizzare la stessa regione di Service Directory.

Spazio dei nomi Service Directory

Quando crei il primo endpoint per le API di Google in una rete VPC, lo spazio dei nomi selezionato viene utilizzato come spazio dei nomi predefinito per tutti gli endpoint successivi creati in quella rete. Se lo spazio dei nomi non è già impostato per una rete e non ne specifichi uno, viene utilizzato uno spazio dei nomi generato dal sistema. Tutti gli endpoint di una rete devono utilizzare lo stesso spazio dei nomi di Service Directory. Lo spazio dei nomi scelto deve essere utilizzato solo per gli endpoint utilizzati per accedere alle API di Google. Puoi utilizzare lo stesso spazio dei nomi per gli endpoint in più reti.

Quando crei un endpoint, vengono create le seguenti configurazioni DNS:

  • Viene creata una zona DNS privata di Service Directory per p..

  • I record DNS vengono creati in p. per alcune API di Google e servizi di uso comune disponibili tramite Private Service Connect e con nomi DNS predefiniti che terminano con . Ad esempio, se il nome dell'endpoint è xyz, i record DNS vengono creati per storage-xyz.p., compute-xyz.p. e altre API di uso comune nel bundle di API.

    Consulta la sezione sulla creazione di record DNS per istruzioni su come creare record DNS per API e servizi che non hanno un record DNS in p..

I servizi disponibili variano a seconda che tu selezioni il bundle di API all-apis o vpc-sc.

Viene creata una zona DNS di Service Directory per ogni rete VPC che contiene un endpoint.

I nomi DNS di un endpoint sono accessibili in tutte le regioni della rete VPC.

Risoluzione DNS

I client nella stessa rete VPC dell'endpoint possono eseguire query sulle zone DNS private create automaticamente quando risolvono i nomi host, nonché su qualsiasi zona privata creata manualmente. Se un'istanza Compute Engine invia una richiesta a un servizio tramite un endpoint, ad esempio a storage-xyz.p.googleapis.com, il client esegue una query sulla zona DNS privata corrispondente per risolvere il nome host e riceve l'indirizzo IP dell'endpoint Private Service Connect.

Tuttavia, se un client cerca un nome host e questo non esiste nella zona DNS privata, la query viene inoltrata ai server DNS pubblici di Google. I record DNS pubblici per googleapis.com (e altri domini Google) includono una voce con caratteri jolly, il che significa che tutti i nomi host vengono risolti in un indirizzo IP. Ad esempio, se non hai una zona DNS privata per p.googleapis.com nella tua rete VPC ed esegui una ricerca DNS per storage-xyz.p.googleapis.com, il nome host viene risolto in indirizzi IP pubblici che appartengono ai frontend Cloud, non all'indirizzo IP interno dell'endpoint Private Service Connect.

Se accedi all'endpoint Private Service Connect da client in reti ibride, è necessaria una configurazione aggiuntiva per consentire ai client ibridi di risolvere correttamente il nome host dell'endpoint Private Service Connect. Per saperne di più, vedi Accedi agli endpoint dalle reti ibride.

API supportate

Quando crei un endpoint per accedere alle API di Google e ai servizi, scegli il bundle di API a cui devi accedere: Tutte le API (all-apis) o Controlli di servizio VPC (vpc-sc):

I bundle di API supportano solo protocolli basati su HTTP su TCP (HTTP, HTTPS e HTTP/2). Tutti gli altri protocolli, inclusi MQTT e ICMP, non sono supportati.

Pacchetto API Servizi supportati Esempio di utilizzo
all-apis

Consente l'accesso alle API per la maggior parte delle API e dei servizi Google, indipendentemente dal fatto che siano supportati dai Controlli di servizio VPC. Include l'accesso API a Google Maps, Google Ads, Google Cloude alla maggior parte delle altre API di Google, inclusi gli elenchi di seguito. Non supporta le applicazioni web di Google Workspace, come Gmail e Documenti Google. Non supporta siti web interattivi.

Nomi di dominio corrispondenti:

  • accounts.google.com (supporta solo i percorsi necessari per l'autenticazione OAuth dei service account; l'autenticazione degli account utente è interattiva e non è supportata)
  • *.aiplatform-notebook.cloud.google.com
  • *.aiplatform-notebook.googleusercontent.com
  • appengine.google.com
  • *.appspot.com
  • *.backupdr.cloud.google.com
  • backupdr.cloud.google.com
  • *.backupdr.googleusercontent.com
  • backupdr.googleusercontent.com
  • *.cloudfunctions.net
  • *.cloudproxy.app
  • *.composer.cloud.google.com
  • *.composer.googleusercontent.com
  • *.datafusion.cloud.google.com
  • *.datafusion.googleusercontent.com
  • *.dataproc.cloud.google.com
  • dataproc.cloud.google.com
  • *.dataproc.googleusercontent.com
  • dataproc.googleusercontent.com
  • *.developerconnect.dev
  • dl.google.com
  • gcr.io o *.gcr.io
  • *.googleapis.com

    Esclude gli endpoint regionali e multiregionali di *.rep.googleapis.com.

  • *.gke.goog
  • gstatic.com o *.gstatic.com
  • *.kernels.googleusercontent.com
  • *.ltsapis.goog
  • *.notebooks.byoid.googleusercontent.com
  • *.notebooks.cloud.google.com
  • notebooks.cloud.google.com
  • *.notebooks.googleusercontent.com
  • packages.cloud.google.com
  • pkg.dev o *.pkg.dev
  • pki.goog o *.pki.goog
  • *.run.app
  • source.developers.google.com
  • storage.cloud.google.com

Scegli all-apis in queste circostanze:

  • Non utilizzi i Controlli di servizio VPC.
  • Utilizzi i Controlli di servizio VPC, ma devi anche accedere alle API di Google e ai servizi non supportati dai Controlli di servizio VPC. 1
vpc-sc

Abilita l'accesso API alle API e ai servizi di Google supportati dai Controlli di servizio VPC.

Blocca l'accesso alle API di Google e ai servizi che non supportano i Controlli di servizio VPC. Non supporta le API Google Workspace o le applicazioni web di Google Workspace come Gmail e Documenti Google.

Scegli vpc-sc se hai bisogno di accedere solo alle API e ai servizi Google supportati dai Controlli di servizio VPC. Il bundle vpc-sc non consente l'accesso alle API di Google e ai servizi che non supportano i Controlli di servizio VPC. 1
1 Se devi limitare gli utenti solo alle API e ai servizi Google che supportano i Controlli di servizio VPC, utilizza vpc-sc, in quanto fornisce un'ulteriore mitigazione del rischio di esfiltrazione di dati. L'utilizzo di vpc-sc nega l'accesso alle API di Google e ai servizi non supportati dai Controlli di servizio VPC. Per maggiori dettagli, consulta Configurazione della connettività privata nella documentazione dei Controlli di servizio VPC.

Requisiti degli indirizzi IP

Quando configuri Private Service Connect per le API di Google globali, fornisci un indirizzo IP da utilizzare per l'endpoint.

L'indirizzo viene conteggiato ai fini della quota del progetto per gli indirizzi IP interni globali.

L'indirizzo IP deve soddisfare le seguenti specifiche:

  • Deve essere un singolo indirizzo IP e non un intervallo di indirizzi.

  • Deve essere un indirizzo IPv4 valido. Può essere un indirizzo RFC 1918 o non RFC 1918. Gli indirizzi IPv6 non sono supportati.

  • Non può rientrare nell'intervallo di subnet configurate nella rete VPC.

  • Non può rientrare in un intervallo di indirizzi IP primario o secondario di una subnet nella rete VPC o in una rete connessa alla rete VPC tramite il peering di rete VPC.

  • Non può sovrapporsi a una route statica personalizzata /32 nella rete VPC locale. Ad esempio, se la rete VPC ha una route statica personalizzata per 10.10.10.10/32, non puoi prenotare l'indirizzo 10.10.10.10 per Private Service Connect.

  • Non può sovrapporsi a una route statica personalizzata di peering /32 se hai configurato la rete in peering per esportare route personalizzate e hai configurato la tua rete VPC per importare route personalizzate.

  • Non può rientrare in nessuno degli intervalli IP in modalità automatica (in 10.128.0.0/9) se la rete VPC locale è una rete VPC in modalità automatica o se è in peering con una rete VPC in modalità automatica.

  • Non può rientrare in un intervallo IP allocato nella rete VPC locale. Tuttavia, può rientrare in un intervallo IP allocato in una rete VPC in peering.

  • Non può rientrare in un intervallo interno, a meno che tu non prenoti l'indirizzo IP da un intervallo interno per gli endpoint Private Service Connect nella stessa rete VPC.

  • Se un endpoint si sovrappone a una route dinamica personalizzata la cui destinazione è lo stesso /32, l'endpoint ha la priorità.

  • Se un indirizzo IP dell'endpoint si trova all'interno dell'intervallo di destinazione di una route statica locale, di una route dinamica locale o di una route personalizzata di peering e la route ha una subnet mask più corta di /32, l'endpoint ha una priorità più alta.

Casi d'uso

Puoi creare più endpoint nella stessa rete VPC. Non esiste un limite alla larghezza di banda totale inviata a un endpoint specifico. Poiché gli endpoint utilizzano indirizzi IP interni globali, possono essere utilizzati da qualsiasi risorsa nella rete VPC o in una rete on-premise connessa tramite tunnel Cloud VPN o collegamenti Cloud Interconnect.

Con più endpoint, puoi specificare percorsi di rete diversi utilizzando router Cloud e le regole firewall.

  • Puoi creare regole firewall per impedire ad alcune VM di accedere alle API di Google tramite un endpoint, consentendo al contempo l'accesso ad altre VM.

  • Puoi avere una regola firewall su un'istanza VM che non consente tutto il traffico verso internet; il traffico inviato agli endpoint Private Service Connect raggiunge comunque Google.

  • Se hai host on-premise connessi a un VPC utilizzando un tunnel Cloud VPN o un collegamento VLAN, puoi inviare alcune richieste tramite il tunnel o la VLAN e altre richieste tramite internet pubblico. Questa configurazione ti consente di bypassare il tunnel o la VLAN per i servizi come Google Libri che non sono supportati dall'accesso privato Google.

    Per creare questa configurazione, crea un endpoint Private Service Connect, annuncia gli indirizzi IP dell'endpoint utilizzando gli annunci di route personalizzate del router Cloud e abilita una policy di forwarding in entrata di Cloud DNS. L'applicazione può inviare alcune richieste tramite il tunnel Cloud VPN o il collegamento VLAN utilizzando il nome dell'endpoint e può inviare altre richieste su internet utilizzando il nome DNS predefinito.

  • Se connetti la tua rete on-premise alla rete VPC utilizzando più collegamenti VLAN, puoi inviare parte del traffico dall'ambiente on-premise su una VLAN e il resto su altre, come mostrato nella figura 2. In questo modo puoi utilizzare la tua wide area network anziché quella di Google e controllare lo spostamento dei dati per soddisfare i requisiti geografici.

    Per creare questa configurazione, crea due endpoint. Crea un annuncio di route personalizzata per il primo endpoint nella sessione BGP del router Cloud che gestisce la prima VLAN e crea un annuncio di route personalizzata diverso per il secondo endpoint nella sessione BGP del router Cloud che gestisce la seconda VLAN. Gli host on-premise configurati per utilizzare il nome dell'endpoint inviano il traffico tramite il collegamento VLAN corrispondente.

  • Puoi anche utilizzare più collegamenti VLAN in una topologia attiva/attiva. Se annunci lo stesso indirizzo IP dell'endpoint utilizzando annunci di route personalizzate per le sessioni BGP sui router Cloud che gestiscono le VLAN, i pacchetti inviati dai sistemi on-premise agli endpoint vengono instradati tra le VLAN utilizzando ECMP.

    Figura 2. Configurando Private Service Connect, il router Cloud e gli host on-premise, puoi controllare quale collegamento VLAN viene utilizzato per inviare il traffico alle API di Google (fai clic per ingrandire).

VPC condiviso

In generale, ti consigliamo di creare regole di forwarding e le relative risorse di indirizzo corrispondenti nello stesso progetto Google Cloud . L'utilizzo dello stesso progetto consente di evitare problemi quando un progetto viene eliminato.

Tuttavia, non è possibile creare una risorsa indirizzo in un progetto di servizio che prenoti un indirizzo IPv4 globale interno dal progetto host. Questo tipo di indirizzo IP è necessario per creare un endpoint che ha come target un bundle di API di Google globali.

Puoi creare un endpoint che ha come target un bundle di API di Google globali in un progetto di servizio e utilizzare una risorsa indirizzo del progetto host nella configurazione. Tuttavia, sconsigliamo di creare questa configurazione.

Se crei questa configurazione, all'amministratore del progetto di servizio deve essere concesso un ruolo come Compute Network User (roles/compute.networkUser) nel progetto host. Questo ruolo contiene le autorizzazioni compute.networks.use e compute.addresses.use richieste.

Non puoi creare questa configurazione utilizzando la console Google Cloud ; devi utilizzare Google Cloud CLI o l'API.

Prezzi

I prezzi di Private Service Connect sono descritti nella pagina dei prezzi di VPC.

Quote

Il numero di endpoint Private Service Connect che puoi creare per accedere alle API di Google è controllato dalla quota PSC Google APIs Forwarding Rules per VPC Network. Per saperne di più, consulta Quote.

Vincoli delle policy dell'organizzazione

Un amministratore delle policy dell'organizzazione può utilizzare il vincolo constraints/compute.disablePrivateServiceConnectCreationForConsumers per definire l'insieme di tipi di endpoint per i quali gli utenti non possono creare regole di forwarding.

Per informazioni sulla creazione di una policy dell'organizzazione che utilizza questo vincolo, consulta Impedisci ai consumer di eseguire il deployment degli endpoint in base al tipo di connessione.

Passaggi successivi