エンドポイント アタッチメントを作成する

Integration Connectors のプライベート接続を構成するには、PSC（Private Service Connect）アタッチメントを作成する必要があります。ただし、PSC アタッチメントを直接使用できないため、PSC アタッチメントを使用するには、エンドポイント アタッチメントも作成する必要があります。エンドポイント アタッチメントは、PSC サービス アタッチメントのインターフェースと考えることができます。作成したら、プライベート接続用のコネクタを構成するときに、エンドポイント アタッチメントの詳細を使用できます。このページでは、エンドポイント アタッチメントを作成する方法について説明します。次のコンセプトを理解していることを前提としています。

• Google Cloud Virtual Private Cloud (VPC)
• Private Service Connect
• Cloud DNS
• Integration Connectors

エンドポイント アタッチメントは、IP アドレスまたはホスト名として作成できます。

• エンドポイント アタッチメントを IP アドレスとして作成する
• エンドポイント アタッチメントをホスト名として作成する

エンドポイント アタッチメントを IP アドレスとして作成する

エンドポイント アタッチメントを IP アドレスとして作成するには、Cloud コンソールまたはコマンドライン（gcloud）を使用します。

エンドポイント アタッチメントの作成が成功すると、次の図に示すように、新しく作成されたアタッチメントが [エンドポイント アタッチメント] ページに表示されます。

エンドポイント アタッチメントの接続状態を確認するには、エンドポイント アタッチメントの接続を確認するをご覧ください。

ここまでの手順では、エンドポイント アタッチメントを IP アドレスとして作成する方法について説明しました。ただし、エンドポイント アタッチメントをホスト名として作成し、そのホスト名を使用してプライベート接続のコネクタを構成することもできます。ホスト名を使用してエンドポイント アタッチメントを作成する方法については、エンドポイント アタッチメントをホスト名として作成するをご覧ください。

エンドポイント アタッチメントをホスト名として作成する

エンドポイント アタッチメントをホスト名として作成するには、次の操作を行います。

1. エンドポイント アタッチメントを IP アドレスとして作成します。詳細については、エンドポイント アタッチメントを IP アドレスとして作成するをご覧ください。
2. 任意の Google Cloud プロジェクトに Cloud DNS 限定公開マネージド ゾーンを作成します。

   この DNS ゾーンに、コネクタ構成に使用するホスト名を追加し、ホスト名をステップ 1 で取得したエンドポイント アタッチメント IP アドレスにマッピングする必要があります。Cloud DNS 限定公開マネージド ゾーンの作成方法については、限定公開ゾーンを作成するとレコードを追加するをご覧ください。

3. Integration Connectors に使用する Integration Connectors マネージド ゾーンを Google Cloud プロジェクトに作成します。Integration Connectors マネージド ゾーン（ピアリング ゾーン）は、名前解決のために Cloud DNS 限定公開マネージド ゾーン（手順 2 で作成）と通信します。
   

   マネージド ゾーンを作成する前に、次のロールと権限を付与する必要があります。

   • Integration Connectors マネージド ゾーンを作成するユーザーに connectors.managedZones.create 権限を付与します。

     connectors.managedZones.create 権限は、roles/connectors.admin IAM ロールまたは roles/connectors.managedZonesAdmin IAM ロールで使用できます。Integration Connectors で使用可能なさまざまな IAM ロールとそれに対応する権限については、Integration Connectors の IAM ロールと権限をご覧ください。

   • Integration Connectors service-PROJECT_NUMBER@gcp-sa-connectors.iam.gserviceaccount.com サービス アカウントに role/dns.peer ロールを付与します。

     Cloud DNS Google Cloud プロジェクトが Integration Connectors Google Cloud プロジェクトと異なる場合は、Cloud DNS Google Cloud プロジェクトの Integration Connectors サービス アカウントに roles/dns.peer ロールを付与します。たとえば、Google Cloud プロジェクト 12345 に Integration Connectors マネージド ゾーンを作成し、Cloud DNS が Google Cloud プロジェクト 67890 にあるとします。この場合、Google Cloud プロジェクト 67890 の service-12345@gcp-sa-connectors.iam.gserviceaccount.com サービス アカウントに roles/dns.peer ロールを付与する必要があります。

   Integration Connectors マネージド ゾーンを作成するには、Cloud コンソールまたはコマンドライン（gcloud）を使用します。

   Console

   Cloud コンソールから Integration Connectors マネージド ゾーンを作成するには、次の操作を行います。

   1. Integration Connectors の [マネージド ゾーン] ページに移動します。

      [マネージド ゾーン] に移動

   2. 次のフィールドに値を入力します。
      1. 名前: マネージド ゾーンの名前。
      2. ターゲット DNS 名: マネージド（ピアリング）ゾーンを作成する Cloud DNS の完全名。たとえば、server8.stage.user.private です。
      3. ターゲット プロジェクト: 限定公開 Cloud DNS ゾーンがある Google Cloud プロジェクトの名前。
      4. ターゲット ネットワーク: 限定公開 Cloud DNS ゾーンが維持されている VPC ネットワークの名前。
      5. （省略可）説明: エンドポイント アタッチメントの説明を入力します。
      6. （省略可）ラベル: リソースラベルを Key-Value ペアとして入力します。ラベルの詳細については、ラベルとはをご覧ください。
   3. [作成] をクリックします。

   gcloud

   コマンドラインから Integration Connectors マネージド ゾーンを作成するには、次の操作を行います。

   1. CreateManagedZone API を実行する前に、認証トークンを取得します。

      TOKEN="$(gcloud auth print-access-token)"

   2. CreateManagedZone API を使用してマネージド ゾーンを作成します。次に例を示します。

      curl -X POST -H "Authorization: Bearer $TOKEN" \
      -H "Content-Type: application/json" \
      -d '{
        "description": "DESCRIPTION",
        "dns": "DNS_NAME",
        "target_project": "TARGET_PROJECT",
        "target_vpc": "TARGET_VPC"
      }' \
      https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/managedZones?managedZoneId=MANAGED_ZONE_NAME
      

      ここで

      • DESCRIPTION は、オプションのマネージド ゾーンの説明です。
      • DNS_NAME: マネージド（ピアリング）ゾーンを作成する Cloud DNS の完全名。たとえば、server8.stage.user.private です。
      • TARGET_PROJECT は、限定公開 Cloud DNS ゾーンがある Google Cloud プロジェクトの名前です。
      • TARGET_NETWORK は、限定公開 Cloud DNS ゾーンが維持されている VPC ネットワークの名前です。
      • PROJECT_ID は、Integration Connectors に使用している Google Cloud プロジェクトです。
      • MANAGED_ZONE_NAME　はマネージド ゾーンの名前です。名前は一意である必要があります。 同じ名前のマネージド ゾーンは他に存在しないため、後で名前を変更することはできません。名前は先頭を小文字にして、その後に 63 文字以下の小文字、数字、ハイフンで構成します。末尾をハイフンにすることはできません。最小の長さは 2 です。

      API を呼び出すと、Integration Connectors は長時間実行オペレーションを開始します。オペレーションの完了には時間がかかることがあります。オペレーションが正常に完了すると、マネージド ゾーンが作成されます。

   3. GetManagedZone API を使用して、マネージド ゾーンが作成されたかどうかを確認します。次に例を示します。

      curl -X GET -H "Authorization: Bearer $TOKEN" \
        https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/managedZones/MANAGED_ZONE_NAME
      

      API により、次のようなレスポンスが返されます。

      {
        "name": "projects/demo-project/locations/global/managedZones/demo-mz",
        "createTime": "2023-04-17T04:34:59.569527046Z",
        "updateTime": "2023-04-17T04:37:25.189074195Z",
        "description": "demo managed zone",
        "dns": "api.private.service.com.",
        "targetVpc": "target-project-vpc",
        "targetProject": "target-project"
      }

マネージド ゾーンの作成が成功すると、次の図に示すように、新しく作成されたマネージド ゾーンが [マネージド ゾーン] ページに表示されます。

エンドポイント アタッチメントの接続を確認する

エンドポイント アタッチメント接続を確認する手順は次のとおりです。

1. [エンドポイント アタッチメント] ページで、作成したエンドポイント アタッチメントの名前をクリックします。
2. 表示された [エンドポイント アタッチメントの詳細] ページで、[接続状態] フィールドを確認します。状態が Accepted の場合、エンドポイント アタッチメントが正しく設定され、Private Service Connect 接続が確立されています。

   その他のステータスの詳細については、接続ステータスをご覧ください。