Private Service Connect

Questo documento fornisce una panoramica di Private Service Connect.

Private Service Connect è una funzionalità di Google Cloud networking che consente ai consumer di accedere ai servizi gestiti privatamente dall' interno della propria rete VPC. Allo stesso modo, consente ai producer di servizi gestiti di ospitare questi servizi nelle proprie reti VPC separate e di offrire una connessione privata ai propri consumer. Ad esempio, quando utilizzi Private Service Connect per accedere a Cloud SQL, sei il consumer del servizio e Google è il producer di servizi.

Con Private Service Connect, i consumer possono utilizzare i propri indirizzi IP interni per accedere ai servizi senza uscire dalle reti VPC. Il traffico rimane interamente all'interno Google Cloud. Private Service Connect fornisce un accesso orientato ai servizi tra consumer e producer con un controllo granulare sulla modalità di accesso ai servizi.

Private Service Connect ti consente di inviare traffico agli endpoint e ai backend che lo inoltrano ai servizi gestiti, incluse le API di Google e i servizi pubblicati. Le interfacce Private Service Connect consentono ai servizi gestiti di avviare connessioni alle reti VPC consumer.

Scelta di una funzionalità di Private Service Connect

La seguente tabella riassume le funzionalità di Private Service Connect da utilizzare per i diversi casi d'uso.

Caso d'uso Funzionalità di Private Service Connect
Consumare servizi
  • Gli endpoint forniscono connettività di livello 4 a servizi.
  • Se hai bisogno di funzionalità del bilanciatore del carico, come URL personalizzati o gestione avanzata del traffico, utilizza i backend.
Produrre servizi

Tipi di Private Service Connect

Private Service Connect è disponibile in diversi tipi che forniscono funzionalità e modalità di comunicazione diverse.

I producer di servizi pubblicano le loro applicazioni per i consumer creando servizi Private Service Connect. I consumer di servizi accedono a questi servizi Private Service Connect direttamente tramite uno di questi tipi di Private Service Connect:

  • Endpoint di Private Service Connect. Il deployment degli endpoint viene eseguito utilizzando regole di forwarding che forniscono al consumer un indirizzo IP mappato al servizio Private Service Connect.
  • Backend di Private Service Connect. Il deployment dei backend viene eseguito utilizzando i gruppi di endpoint di rete (NEG) che consentono ai consumer di indirizzare il traffico al proprio bilanciatore del carico prima di raggiungere un servizio Private Service Connect.

I producer di servizi possono avviare connessioni ai consumer di servizi utilizzando le interfacce Private Service Connect. Le interfacce Private Service Connect forniscono una comunicazione bidirezionale e possono essere utilizzate nella stessa rete VPC di endpoint e backend.

Endpoint

Gli endpoint di Private Service Connect sono indirizzi IP interni in una rete VPC consumer a cui i client in quella rete possono accedere direttamente. Gli endpoint vengono creati eseguendo il deployment di una regola di forwarding che fa riferimento a un collegamento al servizio, a un pacchetto di API di Google, o a una singola API regionale.

Il seguente diagramma mostra un endpoint Private Service Connect che ha come target un servizio pubblicato in esecuzione in un'organizzazione e in una rete VPC separate. Gli endpoint Private Service Connect e i servizi pubblicati consentono a due aziende indipendenti di comunicare tra loro utilizzando indirizzi IP interni. Per saperne di più, consulta Informazioni sull'accesso ai servizi pubblicati tramite endpoint.

Private Service Connect ti consente di inviare traffico agli endpoint che lo inoltrano ai servizi pubblicati in un'altra rete VPC.

Allo stesso modo, è possibile utilizzare un endpoint Private Service Connect per accedere alle API di Google come Cloud Storage o BigQuery. Questa funzionalità è simile all'accesso privato Google, tranne per il fatto che puoi utilizzare i tuoi indirizzi IP interni per gli endpoint. Private Service Connect ti consente di controllare in modo più diretto il routing e di creare tutti gli endpoint necessari per la tua rete. Per saperne di più, consulta Informazioni sull'accesso alle API di Google tramite endpoint.

Private Service Connect ti consente di inviare traffico agli endpoint che lo inoltrano alle API di Google.

Backend

I backend di Private Service Connect consentono ai Google Cloud bilanciatori del carico di inviare traffico tramite Private Service Connect per raggiungere i servizi pubblicati o le API di Google. Il deployment dei backend viene eseguito tramite i gruppi di endpoint di rete(NEG) di Private Service Connect che fanno riferimento a un collegamento al servizio producer o a un'API di Google supportata. L'inserimento di un bilanciatore del carico davanti a un servizio gestito offre al consumer maggiore visibilità e controllo rispetto a quanto possibile tramite un endpoint Private Service Connect. I backend consentono di creare configurazioni come le seguenti:

  • Domini e certificati di proprietà del cliente davanti ai servizi gestiti
  • Failover controllato dal consumer tra i servizi gestiti in regioni diverse
  • Configurazione di sicurezza centralizzata e controllo dell'accesso per i servizi gestiti

Il seguente diagramma mostra un bilanciatore del carico delle applicazioni interno di cui è stato eseguito il deployment con i backend Private Service Connect che fanno riferimento a un servizio pubblicato. Nella configurazione sono presenti due bilanciatori del carico:

  • Il bilanciatore del carico consumer che fornisce controllo, visibilità e sicurezza del traffico verso il servizio.
  • Il bilanciatore del carico producer che bilancia il carico del traffico tra i backend del servizio.

Private Service Connect ti consente di inviare traffico ai backend che lo inoltrano ai servizi pubblicati.

Analogamente agli endpoint Private Service Connect, anche i backend supportano il targeting delle API di Google. Il seguente diagramma mostra un bilanciatore del carico delle applicazioni interno che ha come target un bucket Cloud Storage e termina il traffico utilizzando un dominio di proprietà del cliente.

Private Service Connect ti consente di inviare traffico ai backend che lo inoltrano a un'API di Google regionale.

Interfacce

Un'interfaccia Private Service Connect è un tipo speciale di interfaccia di rete che fa riferimento a un collegamento di rete.

Un producer di servizi può creare un'interfaccia Private Service Connect e richiedere una connessione a un collegamento di rete. Se il consumer di servizi accetta la connessione, Google Cloud alloca all'interfaccia un indirizzo IP da una subnet nella rete VPC consumer specificata dal collegamento di rete. La VM dell'interfaccia Private Service Connect ha una seconda interfaccia di rete standard che si connette alla rete VPC del producer.

Una connessione tra un'interfaccia Private Service Connect e un collegamento di rete è simile alla connessione tra un endpoint Private Service Connect e un collegamento al servizio, ma presenta due differenze fondamentali:

  • Un'interfaccia Private Service Connect consente a una rete VPC producer di avviare connessioni a una rete VPC consumer (traffico in uscita dai servizi gestiti). Un endpoint funziona nella direzione opposta, consentendo a una rete VPC consumer di avviare connessioni a una rete VPC producer (traffico in entrata nei servizi gestiti).
  • Una connessione di interfaccia Private Service Connect è transitiva. Ciò significa che i carichi di lavoro in una rete producer possono avviare connessioni ad altri carichi di lavoro che sono connessi alla rete VPC consumer. Gli endpoint Private Service Connect possono avviare connessioni solo alla rete VPC producer.

Le interfacce Private Service Connect consentono ai producer di servizi di avviare connessioni ai consumer di servizi.

Servizi gestiti di Private Service Connect

I servizi gestiti sono servizi di proprietà e gestiti da soggetti diversi dal consumer del servizio. Private Service Connect può essere utilizzato per accedere ai servizi gestiti di proprietà di Google, di aziende di software as a service (SaaS) di terze parti o di altri team all'interno della stessa azienda del consumer. Sia i servizi pubblicati sia le API di Google possono essere target di Private Service Connect.

Private Service Connect supporta l'accesso ai seguenti tipi di servizi gestiti:

  • Servizi pubblicati ospitati su VPC
  • API di Google

Servizi pubblicati

I servizi pubblicati sono servizi ospitati su VPC di cui è stato eseguito il deployment nella rete VPC del producer e a cui si accede dalla rete VPC del consumer. La pubblicazione di un servizio consente al producer di servizi di possedere e controllare il deployment del servizio nella propria rete VPC. I servizi pubblicati possono includere:

  • Servizi Google come GKE, Apigee o Managed Service for Apache Airflow. Questi servizi vengono eseguiti in progetti tenant e reti VPC che sono gestiti da Google.
  • Servizi di terze parti in cui le terze parti offrono l'accesso privato a un servizio pubblicato in Google Cloud.
  • Servizi intra-organizzazione in cui una singola azienda ha client che accedono ad applicazioni interne in diverse reti VPC. Alcune organizzazioni utilizzano reti VPC separate per la segmentazione interna. Data questa configurazione, un team può offrire un servizio gestito a un altro team che opera in una rete VPC separata.

Collegamenti di servizi

I collegamenti di servizi sono risorse utilizzate per creare servizi pubblicati di Private Service Connect .

È possibile accedere ai collegamenti di servizi utilizzando endpoint o backend. Più backend o endpoint possono connettersi allo stesso collegamento al servizio, consentendo a più reti VPC o a più consumer di accedere alla stessa istanza del servizio.

Un collegamento al servizio ha come target un bilanciatore del carico producer e consente ai client in una rete VPC consumer di accedere al bilanciatore del carico. La configurazione del collegamento al servizio definisce quanto segue:

  • Un elenco di accettazione dei consumer che definisce quali consumer sono autorizzati a connettersi al servizio.
  • La subnet NAT da cui proviene il traffico tradotto nella rete VPC producer.

API di Google

L'utilizzo di Private Service Connect per accedere alle API di Google è un'alternativa all'utilizzo dell'accesso privato Google o dei nomi di dominio pubblici per le API di Google. In questo caso, il producer è Google.

È possibile accedere alle API di Google utilizzando endpoint o backend.

L'utilizzo di Private Service Connect consente di:

  • Creare uno o più indirizzi IP interni per accedere alle API di Google per diversi casi d'uso.
  • Indirizzare il traffico on-premise a indirizzi IP e regioni specifici quando si accede alle API di Google.
  • Centralizzare il traffico delle API di Google tramite un bilanciatore del carico supportato per applicare certificati, norme di sicurezza o osservabilità personalizzati.

Caratteristiche di Private Service Connect

Private Service Connect fornisce una connettività privata con le seguenti caratteristiche:

  • Progettazione orientata ai servizi. I servizi producer vengono pubblicati tramite bilanciatori del carico che espongono un singolo indirizzo IP alla rete VPC consumer. Il traffico consumer che accede ai servizi producer è unidirezionale e può accedere solo all'indirizzo IP del servizio, anziché avere accesso a un'intera rete VPC in peering.
  • Autorizzazione esplicita. Private Service Connect fornisce un modello di autorizzazione che offre a consumer e producer un controllo granulare, garantendo che solo gli endpoint di servizio previsti e nessun'altra risorsa possano connettersi a un servizio.
  • Nessuna dipendenza condivisa. Il traffico tra consumer e producer utilizza NAT, quindi non esistono coordinamento degli indirizzi IP o altre dipendenze di risorse condivise tra le reti VPC consumer e producer. Questa indipendenza contribuisce a semplificare il deployment e lo scaling del servizio.
  • Prestazioni a velocità di linea. Il traffico di Private Service Connect passa direttamente dalla macchina fisica che ospita il client consumer VM alla macchina fisica che ospita la VM del bilanciatore del carico producer. Le macchine host fisiche eseguono direttamente NAT, riducendo la latenza. La capacità di larghezza di banda di Private Service Connect è limitata solo dalla capacità di larghezza di banda delle macchine host fisiche che comunicano direttamente.

Per saperne di più sulla progettazione interna di Private Service Connect, consulta Architettura e prestazioni di Private Service Connect.

Passaggi successivi