サービス接続の自動化について

サービス接続の自動化により、サービスユーザーはマネージドサービスへの接続のデプロイを自動化できます。

データベースインスタンスをデプロイし、サービスコンシューマーが Private Service Connect エンドポイントを介してそのデータベースにアクセスできるようにしたいデータベース管理者について考えてみましょう。データベース管理者は、ネットワーキングリソースをデプロイするために必要な Identity and Access Management（IAM）の認証情報や専門知識を持っていない可能性があります。

マネージドサービスがサービス接続の自動化をサポートしている場合、サービスインスタンスの構成とネットワーキングの構成を適切な管理者に委任できます。

サービスインスタンス管理者は、サービスにアクセスできるネットワークを制御できます。
ネットワーク管理者は、接続を許可するサービスを制御できます。

これらの構成が一致すると、サービス接続の自動化によって適切なネットワークにエンドポイントが作成され、マネージドサービスインスタンスへの接続が許可されます。

サービス接続の自動化の概要

次のセクションでは、サービス接続の自動化を使用する単一の VPC ネットワークの基本構成について説明します。他の構成については、共有 VPC とカスタムサービスインスタンススコープの Google サービスをご覧ください。

サービス接続の自動化をサポートするマネージドサービスのインスタンスをデプロイするには、次の操作を行います。

ネットワーク管理者が VPC ネットワークのサービス接続ポリシーを作成します。

サービス接続ポリシーは、サービスクラス（特定のプロデューサーサービスを識別するグローバルに一意のリソース）を参照します。1 つのサービス接続ポリシーは、1 つのサービスクラスと 1 つのコンシューマー VPC ネットワークをスコープとし、そのスコープ内で接続を構成する機能を委任します。
サービスインスタンス管理者は、サービスの管理 API または UI を使用してマネージドサービスインスタンスをデプロイします。サービスインスタンス構成では、サービス接続の自動化を介してサービスにアクセスできるネットワークを指定します。
サービス接続の自動化により、コンシューマー VPC ネットワークにエンドポイントが作成されます。このエンドポイントは、サービスインスタンスにリクエストを送信するために使用できます。

サービス接続の自動化により、サービスコンシューマーはマネージドサービスへの接続のデプロイを自動化できます（クリックして拡大）。

プロデューサーの構成

以降のセクションでは、サービスプロデューサーがサービス接続性の自動化を構成するために使用するリソースについて説明します。

サービスクラス

サービスクラスは、マネージドサービスタイプのグローバルに一意な表現です。各プロデューサーは、自身のサービスクラスを排他的に所有しています。コンシューマーは、サービス接続ポリシーでサービスクラスを参照し、デプロイを承認してプロデューサーへの接続性を委任します。

サービス接続ポリシーは、サービスクラスを持つサービスに対してのみ作成できます。

Google が公開するサービス用のサービスクラスがあります。サービスクラスは、サードパーティサービスと自己ホスト型の内部マネージドサービス向けの制限付きプレビューでも使用できます。詳細については、サポートされているサービスをご覧ください。

サービス接続マップ

サービス接続マップはプロデューサーが管理するリソースで、ここには、コンシューマー VPC ネットワークとプロデューサーマネージドサービスインスタンス間の Private Service Connect 接続の承認と確立の詳細が保存されます。このマップは、プロデューサーサービスインスタンス（サービスアタッチメント）と、サービスインスタンスへの接続が承認されているコンシューマープロジェクトと VPC ネットワーク間で許可される関係を定義します。

認可モデル

サービス接続ポリシーを使用すると、コンシューマーは接続性のデプロイをマネージドサービスに委任できます。サービスプロデューサーには、コンシューマープロジェクトに対する直接アクセス権や IAM 権限がありません。代わりに、プロデューサーは自身のプロジェクトでサービス接続マップを構成します。

サービス接続マップが作成または更新されると（通常は、コンシューマーサービス管理者によるマネージドサービスの管理 API または UI へのリクエストに応じて）、サービス接続の自動化が一連の認可チェックを実行します。すべてのチェックに合格すると、リクエストで指定されたとおりに Private Service Connect エンドポイントが作成されます。

ネットワーク構成（サービス接続ポリシー）:
- ネットワークの承認。コンシューマー VPC ネットワークには、リクエストで指定された VPC ネットワーク、リージョン、サービスクラスを認可する有効なサービス接続ポリシーが必要です。このチェックにより、VPC ネットワークに対する IAM 権限を持つコンシューマーネットワーク管理者が、指定したサービスタイプの Private Service Connect エンドポイントを作成する権限を明示的に委任できます。
- サービスインスタンスのスコープ。マネージドサービスインスタンスが Google サービスであり、サービス接続ポリシーでカスタムサービスインスタンススコープ（custom-resource-hierarchy-levels）が指定されている場合、サービス接続の自動化は、指定された Resource Manager ノードのリスト（--allowed-google-producers-resource-hierarchy-level）をチェックします。サービスインスタンスのデプロイと管理のために、サービスインスタンス管理者がマネージドサービスの UI または API で指定したプロジェクトは、このリストで定義された許可スコープ内にある必要があります。スコープには、組織、フォルダ、プロジェクトを混在させることができます。
- エンドポイントプロジェクトの検証。接続ポリシーが作成されるプロジェクトは、エンドポイントが作成される VPC ネットワークに関連付けられている必要があります。プロジェクトには VPC ネットワークが含まれているか、共有 VPC ネットワークに接続されているサービスプロジェクトである必要があります。
サービスインスタンスの構成:
- サービス管理者の IAM 認可。コンシューマーサービス管理者は、プロデューサーサービスインスタンスの作成または更新に必要な IAM 権限を持っている必要があります。これらの権限は、デプロイされるサービスによって異なります。
- サービスインスタンス管理者の承認。サービスの管理 API で、サービスインスタンスを作成したサービスインスタンス管理者は、接続をリクエストする VPC ネットワークからの接続を許可するようにインスタンスを構成する必要があります。
プロデューサーの構成:
- プロデューサーの IAM 権限。サービス接続マップを作成または更新するプロデューサーサービス管理者には、関連するサービスクラスに対する IAM 権限があります。このチェックにより、公開サービスクラスの誤った記述を防ぐことができます。

各条件が満たされると、リクエストされたエンドポイントが Network Connectivity サービスアカウントによって承認済みネットワーク内に作成されます。Network Connectivity サービスアカウントは、サービスエージェントです。

エンドポイント障害の自動再試行

サービス接続の自動化により、Private Service Connect エンドポイントの作成と削除が完全に管理されます。

サービス接続の自動化で承認済みエンドポイントの作成または削除に失敗した場合（割り当ての制限やサービス接続ポリシーのサブネットで IP アドレスが不足しているなど）、ブロックの問題が解決されるまで、自動プロセスによりオペレーションが定期的に再試行されます。ただし、承認チェックが原因でエンドポイントの作成または削除が失敗した場合、オペレーションは再試行されません。

サービス接続ポリシーを記述し、pscConnections フィールドを確認することで、エンドポイントの作成をブロックするエラーを確認できます。エンドポイントの作成または削除の失敗に関するトラブルシューティングについては、トラブルシューティングをご覧ください。

共有 VPC

サービス接続の自動化を使用して、共有 VPC ネットワークに Private Service Connect エンドポイントを自動的に作成できます。エンドポイントは共有 VPC ネットワークの IP アドレスで構成されているため、ホストプロジェクトと接続されているすべてのサービスプロジェクトからアクセスできます。

以下の図に示す構成を作成するには、次のタスクを完了します。

ネットワーク管理者は、project1 ホストプロジェクトに vpc1 ネットワークのサービス接続ポリシーを作成し、google-cloud-sql サービスクラスを使用するサービスインスタンスへの接続を許可します。エンドポイント IP アドレスは endpoint-subnet サブネットから割り振られます。
サービスインスタンス管理者は、service-project-test プロジェクトに db-test、service-project-prod プロジェクトに db-prod の 2 つのマネージドサービスインスタンスをデプロイします。管理者は、サービス接続の自動化によって、サービスインスタンスに接続するエンドポイントを project1 のネットワーク vpc1 にデプロイできるように、サービスインスタンスを構成します。
認可チェックがすべて合格するため、サービス接続の自動化により、endpoint-subnet に接続された 2 つのエンドポイントが作成されます（サービスインスタンスごとに 1 つ）。vm-subnet サブネットに接続されているすべての VM は、エンドポイントと同じ共有 VPC ネットワークに接続されているため、エンドポイントにアクセスできます。

共有 VPC ネットワークでサービス接続ポリシーを使用して、サービスプロジェクトにデプロイされたサービスインスタンスへの接続を作成できます（クリックして拡大）。

カスタムサービスインスタンススコープを使用する Google サービス

サービス接続の自動化のデフォルトでは、サービスインスタンスとサービスインスタンスに接続するエンドポイントが同じプロジェクト内にある必要があります（共有 VPC の場合は、接続されたプロジェクト内）。サポートされている Google サービスの場合、サービスインスタンスと接続エンドポイントは、異なるプロジェクトまたは組織に存在していてもかまいません。