Private Service Connect を使用してサービスを公開する

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. VPC ネットワークの名前をクリックして、[VPC ネットワークの詳細] ページを表示します。

3. [サブネット] をクリックします。

4. [サブネットを追加] をクリックします。表示されたダイアログで、次の操作を行います。

   1. 名前を入力します。
   2. リージョンを選択します。
   3. [目的] セクションで [Private Service Connect] を選択します。
   4. IP スタックタイプを選択します。
   5. IPv4 範囲を入力します。例: 10.10.10.0/24
   6. デュアルスタック サブネットを作成する場合は、IPv6 アクセスタイプを [内部] に設定します。
   7. [追加] をクリックします。

gcloud

• IPv4 専用の Private Service Connect サブネットを作成するには、次の操作を行います。

  gcloud compute networks subnets create SUBNET_NAME \
      --network=NETWORK_NAME \
      --region=REGION \
      --range=SUBNET_RANGE \
      --purpose=PRIVATE_SERVICE_CONNECT
  

• デュアルスタック Private Service Connect サブネットを作成するには、次の操作を行います。

  gcloud compute networks subnets create SUBNET_NAME \
      --network=NETWORK_NAME \
      --region=REGION \
      --stack-type=IPV4_IPV6 \
      --ipv6-access-type=INTERNAL \
      --range=SUBNET_RANGE \
      --purpose=PRIVATE_SERVICE_CONNECT
  

次のように置き換えます。

• SUBNET_NAME: サブネットに割り当てる名前。

• NETWORK_NAME: 新しいサブネットの VPC の名前。

• REGION: 新しいサブネットのリージョン。これは、公開するサービスと同じリージョンにする必要があります。

• SUBNET_RANGE: サブネットに使用する IPv4 アドレス範囲（例: 10.10.10.0/24）。

API

• IPv4 専用の Private Service Connect サブネットを作成するには、次の操作を行います。

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks
  
  {
    "ipCidrRange": "SUBNET_RANGE",
    "name": "SUBNET_NAME",
    "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
    "purpose": "PRIVATE_SERVICE_CONNECT",
  }
  

• デュアルスタック Private Service Connect サブネットを作成するには、次の操作を行います。

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks
  
  {
    "ipCidrRange": "SUBNET_RANGE",
    "name": "SUBNET_NAME",
    "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
    "purpose": "PRIVATE_SERVICE_CONNECT",
    "stackType": "IPV4_IPV6",
    "ipv6AccessType": "INTERNAL"
  }
  

次のように置き換えます。

• PROJECT_ID: サブネットのプロジェクト。

• REGION: 新しいサブネットのリージョン。これは、公開するサービスと同じリージョンにする必要があります。

• SUBNET_RANGE: サブネットに使用する IPv4 アドレス範囲。例: 10.10.10.0/24

• SUBNET_NAME: サブネットに割り当てる名前。

• NETWORK_NAME: 新しいサブネットの VPC ネットワークの名前。

コンソール

1. Google Cloud コンソールで [Private Service Connect] ページに移動します。

   [Private Service Connect] に移動

2. [公開サービス] タブをクリックします。

3. [サービスを公開] をクリックします。

4. 公開するサービスのロードバランサの種類を選択します。

   • 内部パススルー ネットワーク ロードバランサ
   • リージョン内部プロキシ ネットワーク ロードバランサ
   • リージョン内部アプリケーション ロードバランサ

5. 公開するサービスをホストする内部ロードバランサを選択します。選択した内部ロードバランサの詳細情報がネットワークとリージョン フィールドに入力されます。

   サービス プロジェクト管理者は、共有 VPC ネットワークの IP アドレスを持つ内部ロードバランサを選択できます。詳しくは、共有 VPC をご覧ください。

6. プロンプトが表示されたら、公開するサービスに関連付けられた転送ルールを選択します。

7. [サービス名] に、サービス アタッチメントの名前を入力します。

8. サービスの Private Service Connect サブネットを 1 つ以上選択します。このリストには、選択した内部ロードバランサの VPC ネットワークのサブネットが表示されます。ここには、共有 VPC を介してサービス プロジェクトと共有されているサブネットも表示されます。

   サービス アタッチメントで、共有 VPC ネットワークの IP アドレスを持つ内部ロードバランサを使用する場合は、同じ共有 VPC ネットワークから共有サブネットを選択する必要があります。

   新しいサブネットを追加する場合は、次の方法で作成します。

   1. [新しいサブネットの予約] をクリックします。
   2. サブネットの名前と説明（省略可）を入力します。
   3. サブネットのリージョンを選択します。
   4. IP スタックタイプを選択します。
   5. サブネットに使用する IPv4 範囲を入力し、[追加] をクリックします。

9. コンシューマ接続情報を表示するには、[プロキシ プロトコルを使用する] を選択します。

10. [すべての接続を自動的に受け入れる] を選択します。

11. 接続調整を無効にする場合は、[接続調整を有効にする] チェックボックスをオフにします。

12. （省略可）[詳細構成] をクリックして、次の操作を行います。

    1. ドメイン名を構成する場合は、ドットで終わるドメイン名を入力します。

       ドメイン名に推奨される形式は REGION.p.DOMAIN. です。

       ドメイン名を所有している必要があります。詳細については、DNS 構成をご覧ください。

    2. NCC 伝播接続数の上限を入力します。指定しない場合、デフォルト値は 250 です。

13. [サービスを追加] をクリックします。

gcloud

gcloud compute service-attachments create ATTACHMENT_NAME \
    --region=REGION \
    --producer-forwarding-rule=RULE_NAME \
    --connection-preference=ACCEPT_AUTOMATIC \
    --nat-subnets=PSC_SUBNET_LIST \
    [ --propagated-connection-limit=PROPAGATED_CONNECTION_LIMIT ] \
    [ --enable-proxy-protocol ] \
    [ --domain-names=DOMAIN_NAME ]

次のように置き換えます。

• ATTACHMENT_NAME: サービス アタッチメントに割り当てる名前。

• REGION: 新しいサービス アタッチメントのリージョン。これは、公開するサービスと同じリージョンにする必要があります。

• RULE_NAME: 公開するサービスに関連付けられた転送ルールの名前。

  サービス プロジェクト管理者は、共有 VPC ネットワークの IP アドレスを持つ内部ロードバランサの転送ルールを指定できます。詳しくは、共有 VPC をご覧ください。

• PSC_SUBNET_LIST: このサービス アタッチメントで使用する 1 つ以上のサブネット名のカンマ区切りリスト。

  共有 VPC ネットワークの IP アドレスを含む転送ルールを使用してサービス アタッチメントを作成する場合は、同じ共有 VPC ネットワークの共有サブネットを使用します。共有サブネットごとに、完全なリソース URI を指定します（例: --nat-subnets=projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET）。

• PROPAGATED_CONNECTION_LIMIT: プロジェクトごとの伝播接続の上限。デフォルト値は 250 です。

• DOMAIN_NAME: サービスの DNS ドメイン名（末尾のドットも含む）。推奨される形式: REGION.p.DOMAIN.

  詳細については、DNS 構成をご覧ください。

API

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/serviceAttachments
{
  "name": "ATTACHMENT_NAME",
  "connectionPreference": "ACCEPT_AUTOMATIC",
  "targetService": "RULE_URI",
  "enableProxyProtocol": false,
  "natSubnets": [
    "PSC_SUBNET_1_URI",
    "PSC_SUBNET_2_URI"
  ],
  "propagatedConnectionLimit": "PROPAGATED_CONNECTION_LIMIT",
  "domainNames": [
    "DOMAIN_NAME"
  ]
}

次のように置き換えます。

• PROJECT_ID: サービス アタッチメントのプロジェクト。

• REGION: 新しいサービス アタッチメントのリージョン。これは、公開するサービスと同じリージョンにする必要があります。

• ATTACHMENT_NAME: サービス アタッチメントに割り当てる名前。

• RULE_URI: 公開するサービスに関連付けられた転送ルールの URI。

  サービス プロジェクト管理者は、共有 VPC ネットワークの IP アドレスを持つ内部ロードバランサの転送ルールを指定できます。詳しくは、共有 VPC をご覧ください。

• PSC_SUBNET_1_URI と PSC_SUBNET_2_URI: このサービス アタッチメントに使用するサブネット URI。1 つ以上のサブネットを URI で指定できます。

  共有 VPC ネットワークの IP アドレスを含む転送ルールを使用してサービス アタッチメントを作成する場合は、同じ共有 VPC ネットワークの共有サブネットを使用します。

• DOMAIN_NAME: サービスの DNS ドメイン名（末尾のドットも含む）。推奨される形式: REGION.p.DOMAIN.

  詳細については、DNS 構成をご覧ください。

• PROPAGATED_CONNECTION_LIMIT: プロジェクトごとの伝播接続の上限。デフォルト値は 250 です。

コンソール

1. Google Cloud コンソールで [Private Service Connect] ページに移動します。

   [Private Service Connect] に移動

2. [公開サービス] タブをクリックします。

3. [サービスを公開] をクリックします。

4. 公開するサービスのロードバランサの種類を選択します。

   • 内部パススルー ネットワーク ロードバランサ
   • リージョン内部プロキシ ネットワーク ロードバランサ
   • リージョン内部アプリケーション ロードバランサ

5. 公開するサービスをホストする内部ロードバランサを選択します。選択した内部ロードバランサの詳細情報がネットワークとリージョン フィールドに入力されます。

   サービス プロジェクト管理者は、共有 VPC ネットワークの IP アドレスを持つ内部ロードバランサを選択できます。詳しくは、共有 VPC をご覧ください。

6. プロンプトが表示されたら、公開するサービスに関連付けられた転送ルールを選択します。

7. [サービス名] に、サービス アタッチメントの名前を入力します。

8. サービスの Private Service Connect サブネットを 1 つ以上選択します。このリストには、選択した内部ロードバランサの VPC ネットワークのサブネットが表示されます。ここには、共有 VPC を介してサービス プロジェクトと共有されているサブネットも表示されます。

   サービス アタッチメントで、共有 VPC ネットワークの IP アドレスを持つ内部ロードバランサを使用する場合は、同じ共有 VPC ネットワークから共有サブネットを選択する必要があります。

   新しいサブネットを追加する場合は、次の方法で作成します。

   1. [新しいサブネットの予約] をクリックします。
   2. サブネットの名前と説明（省略可）を入力します。
   3. サブネットのリージョンを選択します。
   4. IP スタックタイプを選択します。
   5. サブネットに使用する IPv4 範囲を入力し、[追加] をクリックします。

9. コンシューマ接続情報を表示するには、[プロキシ プロトコルを使用する] を選択します。

10. 選択したプロジェクトの接続を受け入れる場合は、[選択したプロジェクトの接続を受け入れる] を選択します。

    1. 接続を受け入れるプロジェクトごとに、次の操作を行います。
       1. [承認済みプロジェクトを追加] をクリックして、次のように入力します。
          • 接続の受け入れ元となるプロジェクトのプロジェクト ID またはプロジェクト番号。
          • 接続上限: 指定したプロジェクトから接続できるエンドポイントの最大数を指定します。
    2. 省略可: 接続を明示的に拒否するプロジェクトごとに、[不承認となったプロジェクトを追加] をクリックして、プロジェクト ID またはプロジェクト番号を入力します。

11. 選択したネットワークの接続を受け入れる場合は、[Accept connections for selected networks] を選択します。

    1. 接続を受け入れるネットワークごとに、次の操作を行います。
       1. [承認済みネットワークを追加] をクリックして、次のように入力します。
          • 接続を受け入れるネットワークの親プロジェクトのプロジェクト ID またはプロジェクト番号。
          • 接続を受け入れるネットワークの名前。
          • 接続上限: 指定したネットワークから接続できるエンドポイントの最大数を指定します。
    2. 省略可: 接続を明示的に拒否するネットワークごとに、[不承認となったネットワークを追加] をクリックして、ネットワークの親プロジェクトの ID またはプロジェクト番号と、ネットワークの名前を入力します。

12. 接続調整を無効にする場合は、[接続調整を有効にする] チェックボックスをオフにします。

13. （省略可）[詳細構成] をクリックして、次の操作を行います。

    1. ドメイン名を構成する場合は、ドットで終わるドメイン名を入力します。

       ドメイン名に推奨される形式は REGION.p.DOMAIN. です。

       ドメイン名を所有している必要があります。詳細については、DNS 構成をご覧ください。

    2. NCC 伝播接続数の上限を入力します。指定しない場合、デフォルト値は 250 です。

14. [サービスを追加] をクリックします。

gcloud

gcloud compute service-attachments create ATTACHMENT_NAME \
    --region=REGION \
    --producer-forwarding-rule=RULE_NAME \
    --connection-preference=ACCEPT_MANUAL \
    --consumer-accept-list=ACCEPTED_PROJECT_OR_NETWORK_1=LIMIT_1,ACCEPTED_PROJECT_OR_NETWORK_2=LIMIT_2 \
    --consumer-reject-list=REJECTED_PROJECT_OR_NETWORK_1,REJECTED_PROJECT_OR_NETWORK_2 \
    --nat-subnets=PSC_SUBNET_LIST \
    [ --propagated-connection-limit=PROPAGATED_CONNECTION_LIMIT ] \
    [ --enable-proxy-protocol ] \
    [ --domain-names=DOMAIN_NAME ] \
    [ --reconcile-connections ]

次のように置き換えます。

• ATTACHMENT_NAME: サービス アタッチメントに割り当てる名前。

• REGION: 新しいサービス アタッチメントのリージョン。これは、公開するサービスと同じリージョンにする必要があります。

• RULE_NAME: 公開するサービスに関連付けられた転送ルールの名前。

  サービス プロジェクト管理者は、共有 VPC ネットワークの IP アドレスを持つ内部ロードバランサの転送ルールを指定できます。詳しくは、共有 VPC をご覧ください。

• ACCEPTED_PROJECT_OR_NETWORK_1 と ACCEPTED_PROJECT_OR_NETWORK_2: 受け入れるプロジェクト ID、プロジェクト名、ネットワーク URI。--consumer-accept-list は任意で、1 つ以上のプロジェクトまたはネットワークを含めることができます。両方のタイプを組み合わせることはできません。

• LIMIT_1 と LIMIT_2: プロジェクトまたはネットワークの接続上限。接続上限は、このサービスに接続できるコンシューマのエンドポイントまたはバックエンドの数になります。承認されたプロジェクトまたはネットワークごとに、接続上限を構成する必要があります。

• REJECTED_PROJECT_OR_NETWORK_1 と REJECTED_PROJECT_OR_NETWORK_2: 拒否するプロジェクト ID、プロジェクト名、ネットワーク URI。--consumer-reject-list は任意で、1 つ以上のプロジェクトまたはネットワークを含めることができます。両方のタイプを組み合わせることはできません。

• PSC_SUBNET_LIST: このサービス アタッチメントで使用する 1 つ以上のサブネット名のカンマ区切りリスト。

  共有 VPC ネットワークの IP アドレスを含む転送ルールを使用してサービス アタッチメントを作成する場合は、同じ共有 VPC ネットワークの共有サブネットを使用します。共有サブネットごとに、完全なリソース URI を指定します（例: --nat-subnets=projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET）。

• PROPAGATED_CONNECTION_LIMIT: 伝播接続の上限。デフォルト値は 250 です。

• DOMAIN_NAME: サービスの DNS ドメイン名（末尾のドットも含む）。推奨される形式: REGION.p.DOMAIN.

  詳細については、DNS 構成をご覧ください。

API

• サービスを公開し、プロジェクトに基づいてコンシューマを明示的に承認するには、次のリクエストを送信します。

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/serviceAttachments
  {
    "name": "ATTACHMENT_NAME",
    "region": "REGION",
    "connectionPreference": "ACCEPT_MANUAL",
    "targetService": "RULE_URI",
    "enableProxyProtocol": false,
    "natSubnets": [
      "PSC_SUBNET_1_URI",
      "PSC_SUBNET_2_URI"
    ],
    "consumerRejectLists": [
      "REJECTED_PROJECT_1",
      "REJECTED_PROJECT_2"
    ],
    "consumerAcceptLists": [
      {
        "projectIdOrNum": "ACCEPTED_PROJECT_1",
        "connectionLimit": "LIMIT_1"
      },
      {
        "projectIdOrNum": "ACCEPTED_PROJECT_2",
        "connectionLimit": "LIMIT_2"
      }
    ],
    "propagatedConnectionLimit": "PROPAGATED_CONNECTION_LIMIT",
    "domainNames": [
      "DOMAIN_NAME"
    ]
  }
  

  次のように置き換えます。

  • PROJECT_ID: サービス アタッチメントのプロジェクト。

  • REGION: サービス アタッチメントのリージョン。

  • ATTACHMENT_NAME: サービス アタッチメントに割り当てる名前。

  • RULE_URI: 公開するサービスに関連付けられた転送ルールの URI。

    サービス プロジェクト管理者は、共有 VPC ネットワークの IP アドレスを持つ内部ロードバランサの転送ルールを指定できます。詳しくは、共有 VPC をご覧ください。

  • PSC_SUBNET_1_URI と PSC_SUBNET_2_URI: このサービス アタッチメントに使用するサブネット URI。1 つ以上のサブネットを URI で指定できます。

    共有 VPC ネットワークの IP アドレスを含む転送ルールを使用してサービス アタッチメントを作成する場合は、同じ共有 VPC ネットワークの共有サブネットを使用します。

  • REJECTED_PROJECT_1、REJECTED_PROJECT_2: 拒否するプロジェクト ID またはプロジェクト数。consumerRejectLists は省略可能で、1 つ以上のプロジェクトを指定できます。

  • ACCEPTED_PROJECT_1、ACCEPTED_PROJECT_2: 受け入れるプロジェクトのプロジェクト ID または番号。consumerAcceptLists は省略可能で、1 つ以上のプロジェクトを指定できます。

  • LIMIT_1 と LIMIT_2: プロジェクトの接続上限。接続上限は、このサービスに接続できるコンシューマのエンドポイントまたはバックエンドの数になります。承認されたプロジェクトごとに、接続上限を構成する必要があります。

  • PROPAGATED_CONNECTION_LIMIT: 伝播接続の上限。デフォルト値は 250 です。
  • DOMAIN_NAME: サービスの DNS ドメイン名（末尾のドットも含む）。推奨形式: REGION.p.DOMAIN. 詳細については、DNS 構成をご覧ください。

• VPC ネットワークに基づいてサービスを公開し、ユーザーを明示的に承認するには、次のリクエストを送信します。

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/serviceAttachments
  {
    "name": "ATTACHMENT_NAME",
    "region": "REGION",
    "connectionPreference": "ACCEPT_MANUAL",
    "targetService": "RULE_URI",
    "enableProxyProtocol": false,
    "natSubnets": [
      "PSC_SUBNET_1_URI",
      "PSC_SUBNET_2_URI"
    ],
    "consumerRejectLists": [
      "projects/REJECTED_PROJECT_ID_1/global/networks/REJECTED_NETWORK_1",
      "projects/REJECTED_PROJECT_ID_2/global/networks/REJECTED_NETWORK_2"
    ],
    "consumerAcceptLists": [
      {
        "networkUrl": "projects/ACCEPTED_PROJECT_ID_1/global/networks/ACCEPTED_NETWORK_1",
        "connectionLimit": "LIMIT_1"
      },
      {
        "networkUrl": "projects/ACCEPTED_PROJECT_ID_2/global/networks/ACCEPTED_NETWORK_2",
        "connectionLimit": "LIMIT_2"
      }
    ],
    "propagatedConnectionLimit": PROPAGATED_CONNECTION_LIMIT,
    "domainNames": [
      "DOMAIN_NAME"
    ]
  }
  

  次のように置き換えます。

  • REJECTED_PROJECT_ID_1 と REJECTED_PROJECT_ID_2: 拒否するネットワークの親プロジェクトの ID。consumerRejectLists は省略可能で、1 つ以上のネットワークを指定できます。
  • REJECTED_NETWORK_1 と REJECTED_NETWORK_2: 拒否するネットワークの名前。
  • ACCEPTED_PROJECT_ID_1 と ACCEPTED_PROJECT_ID_2: 承認するネットワークの親プロジェクトの ID。consumerAcceptLists は省略可能で、1 つ以上のネットワークを指定できます。
  • ACCEPTED_NETWORK_1 と ACCEPTED_NETWORK_2: 承認するネットワークの名前。
  • LIMIT_1 と LIMIT_2: ネットワークの接続上限。接続上限は、このサービスに接続できるコンシューマのエンドポイントまたはバックエンドの数になります。承認されたプロジェクトごとに、接続上限を構成する必要があります。
  • PROPAGATED_CONNECTION_LIMIT: 伝播接続の上限。デフォルト値は 250 です。
  • DOMAIN_NAME: サービスの DNS ドメイン名（末尾のドットも含む）。推奨形式: REGION.p.DOMAIN. 詳細については、DNS 構成をご覧ください。

• 接続の調整を有効にしてサービスを公開するには、前のリクエストと同様のリクエストを送信しますが、次のフィールドを含めます。

  {
    ...
    "reconcileConnections": true
    ...
  }
  

コンソール

1. Google Cloud コンソールで [Private Service Connect] ページに移動します。

   [Private Service Connect] に移動

2. [公開サービス] タブをクリックします。

   Private Service Connect サービスのアタッチメントが表示されます。

gcloud

1. サービス アタッチメントのリストを表示します。

   gcloud compute service-attachments list [--regions=REGION_LIST]
   

   次のように置き換えます。

   • REGION_LIST: サービス アタッチメントを表示する 1 つ以上のリージョンのカンマ区切りリスト。たとえば、us-central1 や us-west1,us-central1 です。

API

特定のリージョンまたはすべてのリージョンに存在するすべてのサービス アタッチメントを表示できます。

• リージョン内のすべてのサービス アタッチメントを表示するには:

  GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/serviceAttachments
  

• すべてのリージョンのすべてのサービス アタッチメントを表示するには:

  GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/serviceAttachments
  

  次のように置き換えます。

  • PROJECT_ID: サービス アタッチメントのプロジェクト。

  • REGION: サービス アタッチメントのリージョン。

  • ATTACHMENT_NAME: サービス アタッチメントの名前。

コンソール

公開サービスの詳細を表示できます。[サービス アタッチメント] フィールドには、サービス アタッチメントの URI が含まれています。

1. Google Cloud Console で、[Private Service Connect] ページに移動します。

   [Private Service Connect] に移動

2. [公開サービス] タブをクリックします。

3. 表示するサービスをクリックします。

gcloud

公開サービスの詳細を表示できます。selfLink フィールドには、サービス アタッチメント URI が含まれます。

gcloud compute service-attachments describe \
    ATTACHMENT_NAME --region=REGION

API

公開サービスの詳細を表示できます。selfLink フィールドには、サービス アタッチメント URI が含まれます。

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/serviceAttachments/ATTACHMENT_NAME

次のように置き換えます。

• PROJECT_ID: サービス アタッチメントのプロジェクト。

• REGION: サービス アタッチメントのリージョン。

• ATTACHMENT_NAME: サービス アタッチメントの名前。

コンソール

1. Google Cloud コンソールで [Private Service Connect] ページに移動します。

   [Private Service Connect] に移動

2. [公開サービス] タブをクリックします。

3. 削除するサービスをクリックします。

4. [削除] をクリックします。

gcloud

gcloud compute service-attachments delete \
    ATTACHMENT_NAME --region=REGION

API

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/serviceAttachments/ATTACHMENT_NAME

次のように置き換えます。

• PROJECT_ID: サービス アタッチメントのプロジェクト。

• REGION: サービス アタッチメントのリージョン。

• ATTACHMENT_NAME: サービス アタッチメントの名前。