使用 Private Service Connect 發布服務

主控台

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下虛擬私有雲網路的名稱，顯示其「VPC network details」(虛擬私有雲網路詳細資料) 頁面。

3. 點選「子網路」。

4. 按一下 [Add subnet] (新增子網路)。在隨即顯示的面板中，執行下列操作：

   1. 提供「Name」(名稱)。
   2. 選擇一個 [Region] (地區)。
   3. 在「用途」部分中，選取「Private Service Connect」。
   4. 選取IP 堆疊類型。
   5. 輸入 IPv4 範圍。例如：10.10.10.0/24。
   6. 如果您要建立雙重堆疊子網路，請將 IPv6 存取類型設為 內部。
   7. 按一下「新增」。

gcloud

使用 gcloud compute networks subnets create 指令。

• 如要建立僅支援 IPv4 的 Private Service Connect 子網路，請執行下列操作：

  gcloud compute networks subnets create SUBNET_NAME \
      --network=NETWORK_NAME \
      --region=REGION \
      --range=SUBNET_RANGE \
      --purpose=PRIVATE_SERVICE_CONNECT
  

• 如要建立雙堆疊 Private Service Connect 子網路，請按照下列步驟操作：

  gcloud compute networks subnets create SUBNET_NAME \
      --network=NETWORK_NAME \
      --region=REGION \
      --stack-type=IPV4_IPV6 \
      --ipv6-access-type=INTERNAL \
      --range=SUBNET_RANGE \
      --purpose=PRIVATE_SERVICE_CONNECT
  

更改下列內容：

• SUBNET_NAME：要指派給子網路的名稱。

• NETWORK_NAME：新子網路的 VPC 名稱。

• REGION：新子網路的地區。此地區必須與您要發布的服務位於相同區域。

• SUBNET_RANGE：用於子網路的 IPv4 位址範圍，例如 10.10.10.0/24。

API

將 POST 要求傳送至 subnetworks.insert 方法。

• 如要建立僅支援 IPv4 的 Private Service Connect 子網路，請執行下列操作：

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks
  
  {
    "ipCidrRange": "SUBNET_RANGE",
    "name": "SUBNET_NAME",
    "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
    "purpose": "PRIVATE_SERVICE_CONNECT",
  }
  

• 如要建立雙堆疊 Private Service Connect 子網路，請按照下列步驟操作：

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks
  
  {
    "ipCidrRange": "SUBNET_RANGE",
    "name": "SUBNET_NAME",
    "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
    "purpose": "PRIVATE_SERVICE_CONNECT",
    "stackType": "IPV4_IPV6",
    "ipv6AccessType": "INTERNAL"
  }
  

更改下列內容：

• PROJECT_ID：子網路的專案。

• REGION：新子網路的地區。此地區必須與您要發布的服務位於相同區域。

• SUBNET_RANGE：用於子網路的 IPv4 位址範圍。例如：10.10.10.0/24。

• SUBNET_NAME：要指派給子網路的名稱。

• NETWORK_NAME：新子網路的虛擬私有雲網路名稱。

主控台

1. 前往 Google Cloud 控制台的「Private Service Connect」頁面。

   前往 Private Service Connect

2. 按一下「已發布的服務」分頁標籤。

3. 按一下「發布服務」。

4. 在「目標詳細資料」部分中，選取「負載平衡器」。

5. 選取負載平衡器類型。

6. 選取負責託管要發布的服務的內部負載平衡器。「網路和區域」欄位會填入所選內部負載平衡器的詳細資料。

   服務專案管理員可以選取具有共用虛擬私人雲端網路 IP 位址的內部負載平衡器。詳情請參閱「共用虛擬私有雲」。

7. 畫面出現提示時，請選取與要發布的服務相關的「轉送規則」。

8. 在「服務名稱」部分，輸入服務連結的名稱。

9. 為服務選取一或多個 Private Service Connect 子網路。清單會填入所選內部負載平衡器 VPC 網路中的子網路，包括透過共用虛擬私有雲與服務專案共用的子網路。

   如果服務連結使用內部負載平衡器，且該負載平衡器的 IP 位址來自共用虛擬私有雲網路，則您必須從相同的共用虛擬私有雲網路中選取共用子網路。

   如要新增子網路，可以按照以下步驟操作：

   1. 按一下「保留新的子網路」。
   2. 輸入子網路的「名稱」和「說明」 (選填)。
   3. 選取子網路的「區域」。
   4. 選取IP 堆疊類型。
   5. 輸入要用於子網路的「IPv4 範圍」，然後按一下「新增」。

10. 如要查看消費者連線資訊，請選取「使用 Proxy 通訊協定」。

11. 選取「自動接受所有連線」。

12. 如要停用連線協調功能，請取消勾選「Enable connection reconciliation」核取方塊。

13. 選用步驟：按一下「進階設定」，然後執行下列操作：

    1. 如要設定網域名稱，請輸入「網域名稱」，包括結尾的半形句號。

       建議的網域名稱格式為 REGION.p.DOMAIN.

       您必須擁有網域名稱，詳情請參閱「DNS 設定」一文。

    2. 輸入 NCC 傳播連線限制。如未指定，則預設值為 250。

14. 按一下「新增服務」。

gcloud

使用 gcloud compute service-attachments create 指令。

gcloud compute service-attachments create ATTACHMENT_NAME \
    --region=ATTACHMENT_REGION \
    --target-service=TARGET_SERVICE \
    --connection-preference=ACCEPT_AUTOMATIC \
    --nat-subnets=PSC_SUBNET_LIST \
    [ --propagated-connection-limit=PROPAGATED_CONNECTION_LIMIT ] \
    [ --enable-proxy-protocol ] \
    [ --domain-names=DOMAIN_NAME ]

更改下列內容：

• ATTACHMENT_NAME：要指派給服務附件的名稱。

• ATTACHMENT_REGION：新服務附件的區域。此地區必須與目標轉送規則的 IP 位址相同。

• TARGET_SERVICE：與您要發布的服務相關聯的轉送規則 URI。

  • 如為跨區域內部應用程式負載平衡器，請使用下列格式：projects/PROJECT_ID/global/forwardingRules/RULE_NAME
  • 如要使用所有其他製作者轉送規則，請使用下列格式： projects/PROJECT_ID/regions/RULE_REGION/forwardingRules/RULE_NAME

  服務專案管理員可以指定內部負載平衡器的轉送規則，該負載平衡器具有來自共用虛擬私人雲端網路的 IP 位址。詳情請參閱「共用虛擬私有雲」。

• PSC_SUBNET_LIST：以半形逗號分隔的清單，列出要與此服務附件搭配使用的一個或多個子網路名稱。

  如果您要建立服務附件，其中包含共用虛擬私人雲端網路 IP 位址的轉送規則，請使用同一共用虛擬私人雲端網路的共用子網路。針對每個共用子網路，指定完整資源 URI，例如 --nat-subnets=projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET。

• PROPAGATED_CONNECTION_LIMIT：每個專案的傳播連線限制。預設值為 250。

• DOMAIN_NAME：服務的 DNS 網域名稱，包括結尾的半形句號。建議格式：REGION.p.DOMAIN.

  詳情請參閱「DNS 設定」。

API

將 POST 要求傳送至 serviceAttachments.insert 方法。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/ATTACHMENT_REGION/serviceAttachments
{
  "name": "ATTACHMENT_NAME",
  "connectionPreference": "ACCEPT_AUTOMATIC",
  "targetService": "TARGET_SERVICE",
  "enableProxyProtocol": false,
  "natSubnets": [
    "PSC_SUBNET_1_URI",
    "PSC_SUBNET_2_URI"
  ],
  "propagatedConnectionLimit": "PROPAGATED_CONNECTION_LIMIT",
  "domainNames": [
    "DOMAIN_NAME"
  ]
}

更改下列內容：

• PROJECT_ID：服務附件的專案。

• ATTACHMENT_REGION：新服務附件的區域。此地區必須與目標轉送規則的 IP 位址相同。

• ATTACHMENT_NAME：要指派給服務附件的名稱。

• TARGET_SERVICE：與您要發布的服務相關聯轉送規則的 URI。

  • 如為跨區域內部應用程式負載平衡器，請使用下列格式：projects/PROJECT_ID/global/forwardingRules/RULE_NAME
  • 如要使用所有其他製作者轉送規則，請使用下列格式： projects/PROJECT_ID/regions/RULE_REGION/forwardingRules/RULE_NAME

  服務專案管理員可以指定內部負載平衡器的轉送規則，該負載平衡器具有來自共用虛擬私人雲端網路的 IP 位址。詳情請參閱「共用虛擬私有雲」。

• PSC_SUBNET_1_URI 和 PSC_SUBNET_2_URI：這項服務附件的子網路 URI。您可以使用 URI 指定一個或多個子網路。

  如果您要建立服務附件，且轉送規則含有共用虛擬私有雲網路的 IP 位址，請使用同一個共用虛擬私有雲網路的共用子網路。

• DOMAIN_NAME：服務的 DNS 網域名稱，包括結尾的半形句號。建議格式：REGION.p.DOMAIN.

  詳情請參閱「DNS 設定」。

• PROPAGATED_CONNECTION_LIMIT：每個專案的傳播連線限制。預設值為 250。

主控台

1. 前往 Google Cloud 控制台的「Private Service Connect」頁面。

   前往 Private Service Connect

2. 按一下「已發布的服務」分頁標籤。

3. 按一下「發布服務」。

4. 在「目標詳細資料」部分中，選取「負載平衡器」。

5. 選取負載平衡器類型。

6. 選取負責託管要發布的服務的內部負載平衡器。「網路和區域」欄位會填入所選內部負載平衡器的詳細資料。

   服務專案管理員可以選取具有共用虛擬私人雲端網路 IP 位址的內部負載平衡器。詳情請參閱「共用虛擬私有雲」。

7. 畫面出現提示時，請選取與要發布的服務相關聯的「轉送規則」。

8. 在「服務名稱」部分，輸入服務連結的名稱。

9. 為服務選取一或多個 Private Service Connect 子網路。清單會填入所選內部負載平衡器 VPC 網路中的子網路，包括透過共用虛擬私有雲與服務專案共用的子網路。

   如果服務連結使用內部負載平衡器，且該負載平衡器的 IP 位址來自共用虛擬私有雲網路，則您必須從相同的共用虛擬私有雲網路中選取共用子網路。

   如要新增子網路，可以按照以下步驟操作：

   1. 按一下「保留新的子網路」。
   2. 輸入子網路的「名稱」和「說明」 (選填)。
   3. 選取子網路的「區域」。
   4. 選取IP 堆疊類型。
   5. 輸入要用於子網路的「IPv4 範圍」，然後按一下「新增」。

10. 如要查看消費者連線資訊，請選取「使用 Proxy 通訊協定」。

11. 如要接受所選專案的連線，請選取「接受所選專案的連線」。

    1. 針對每個要接受連線的專案，執行下列操作：
       1. 按一下「新增已接受的專案」，然後輸入以下內容：
          • 您要接受連線的專案 ID 或專案編號。
          • 連線限制：指定可連線的指定專案端點數量上限。
    2. 選用：針對您要明確拒絕連線的每個專案，按一下「Add rejected project」(新增已拒絕的專案)，然後輸入專案 ID 或專案編號。

12. 如要接受所選網路的連線，請選取「Accept connections for selected networks」。

    1. 針對每個要接受連線的網路，執行下列操作：
       1. 按一下「新增接受的網路」，然後輸入下列內容：
          • 要接受連線的網路父項專案的專案 ID 或專案編號。
          • 您要接受連線的網路名稱。
          • 連線限制：指定可連線的指定網路端點數量上限。
    2. 選用：針對您要明確拒絕連線的每個網路，按一下「新增已拒絕的網路」，然後輸入網路的 ID 或專案編號，以及網路名稱。

13. 如要停用連線協調功能，請取消勾選「Enable connection reconciliation」核取方塊。

14. 選用步驟：按一下「進階設定」，然後執行下列操作：

    1. 如要設定網域名稱，請輸入「網域名稱」，包括結尾的半形句號。

       建議的網域名稱格式為 REGION.p.DOMAIN.

       您必須擁有網域名稱，詳情請參閱「DNS 設定」一文。

    2. 輸入 NCC 傳播連線限制。如未指定，則預設值為 250。

15. 按一下「新增服務」。

gcloud

使用 gcloud compute service-attachments create 指令。

gcloud compute service-attachments create ATTACHMENT_NAME \
    --region=ATTACHMENT_REGION \
    --target-service=TARGET_SERVICE \
    --connection-preference=ACCEPT_MANUAL \
    --consumer-accept-list=ACCEPTED_PROJECT_OR_NETWORK_1=LIMIT_1,ACCEPTED_PROJECT_OR_NETWORK_2=LIMIT_2 \
    --consumer-reject-list=REJECTED_PROJECT_OR_NETWORK_1,REJECTED_PROJECT_OR_NETWORK_2 \
    --nat-subnets=PSC_SUBNET_LIST \
    [ --propagated-connection-limit=PROPAGATED_CONNECTION_LIMIT ] \
    [ --enable-proxy-protocol ] \
    [ --domain-names=DOMAIN_NAME ] \
    [ --reconcile-connections ]

更改下列內容：

• ATTACHMENT_NAME：要指派給服務附件的名稱。

• ATTACHMENT_REGION：新服務附件的區域。此地區必須與目標轉送規則的 IP 位址相同。

• TARGET_SERVICE：與您要發布的服務相關聯的轉送規則 URI。

  • 如為跨區域內部應用程式負載平衡器，請使用下列格式：projects/PROJECT_ID/global/forwardingRules/RULE_NAME
  • 如要使用所有其他製作者轉送規則，請使用下列格式： projects/PROJECT_ID/regions/RULE_REGION/forwardingRules/RULE_NAME

  服務專案管理員可以指定內部負載平衡器的轉送規則，該負載平衡器具有來自共用虛擬私人雲端網路的 IP 位址。詳情請參閱「共用虛擬私有雲」。

• ACCEPTED_PROJECT_OR_NETWORK_1 和 ACCEPTED_PROJECT_OR_NETWORK_2：要接受的專案 ID、專案名稱或網路 URI。--consumer-accept-list 為選用項目，可包含一或多個專案或聯播網，但不得同時包含這兩種類型。

• LIMIT_1 和 LIMIT_2：專案或網路的連線限制。連線限制是指可連線至此服務的消費者端點或後端數量。每個已接受的專案或網路都必須設定連線限制。

• REJECTED_PROJECT_OR_NETWORK_1 和 REJECTED_PROJECT_OR_NETWORK_2：要拒絕的專案 ID、專案名稱或網路 URI。--consumer-reject-list 為選用項目，可包含一或多個專案或網路，但不得混合兩者。

• PSC_SUBNET_LIST：以半形逗號分隔的清單，列出要與此服務附件搭配使用的一個或多個子網路名稱。

  如果您要建立服務附件，且轉送規則含有共用虛擬私有雲網路的 IP 位址，請使用同一共用虛擬私有雲網路的共用子網路。針對每個共用子網路，指定完整資源 URI，例如 --nat-subnets=projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET。

• PROPAGATED_CONNECTION_LIMIT：傳播連線限制。預設值為 250。

• DOMAIN_NAME：服務的 DNS 網域名稱，包括結尾的半形句號。建議格式：REGION.p.DOMAIN.

  詳情請參閱「DNS 設定」。

API

向 serviceAttachments.insert 方法傳送 POST 要求。

• 如要發布服務，並根據專案明確核准消費者，請傳送以下要求：

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/ATTACHMENT_REGION/serviceAttachments
  {
    "name": "ATTACHMENT_NAME",
    "region": "ATTACHMENT_REGION",
    "connectionPreference": "ACCEPT_MANUAL",
    "targetService": "TARGET_SERVICE",
    "enableProxyProtocol": false,
    "natSubnets": [
      "PSC_SUBNET_1_URI",
      "PSC_SUBNET_2_URI"
    ],
    "consumerRejectLists": [
      "REJECTED_PROJECT_1",
      "REJECTED_PROJECT_2"
    ],
    "consumerAcceptLists": [
      {
        "projectIdOrNum": "ACCEPTED_PROJECT_1",
        "connectionLimit": "LIMIT_1"
      },
      {
        "projectIdOrNum": "ACCEPTED_PROJECT_2",
        "connectionLimit": "LIMIT_2"
      }
    ],
    "propagatedConnectionLimit": "PROPAGATED_CONNECTION_LIMIT",
    "domainNames": [
      "DOMAIN_NAME"
    ]
  }
  

  更改下列內容：

  • PROJECT_ID：服務附件的專案。

  • ATTACHMENT_REGION：新服務附件的區域。此地區必須與目標轉送規則的 IP 位址相同。

  • ATTACHMENT_NAME：要指派給服務附件的名稱。

  • TARGET_SERVICE：與您要發布的服務相關聯轉送規則的 URI。

    • 如為跨區域內部應用程式負載平衡器，請使用下列格式：projects/PROJECT_ID/global/forwardingRules/RULE_NAME
    • 如要使用所有其他製作者轉送規則，請使用下列格式： projects/PROJECT_ID/regions/RULE_REGION/forwardingRules/RULE_NAME

    服務專案管理員可以指定內部負載平衡器的轉送規則，該負載平衡器具有來自共用虛擬私人雲端網路的 IP 位址。詳情請參閱「共用虛擬私有雲」。

  • PSC_SUBNET_1_URI 和 PSC_SUBNET_2_URI：這項服務附件的子網路 URI。您可以使用 URI 指定一個或多個子網路。

    如果您要建立服務附件，且轉送規則含有共用虛擬私有雲網路的 IP 位址，請使用同一個共用虛擬私有雲網路的共用子網路。

  • REJECTED_PROJECT_1 和 REJECTED_PROJECT_2：要拒絕的專案 ID 或編號。consumerRejectLists 為選用項目，可包含一或多個專案。

  • ACCEPTED_PROJECT_1 和 ACCEPTED_PROJECT_2：要接受的專案 ID 或編號。consumerAcceptLists 為選用項目，可包含一或多個專案。

  • LIMIT_1 和 LIMIT_2：專案的連線限制。連線限制是指可連線至此服務的消費者端點或後端數量。每個通過審查的專案都必須設定連線數上限。

  • PROPAGATED_CONNECTION_LIMIT：傳播連線限制。預設值為 250。
  • DOMAIN_NAME：服務的 DNS 網域名稱，包括結尾的半形句號。建議格式：REGION.p.DOMAIN.詳情請參閱「DNS 設定」。

• 如要發布服務，並根據虛擬私有雲網路明確核准消費者，請傳送以下要求：

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/ATTACHMENT_REGION/serviceAttachments
  {
    "name": "ATTACHMENT_NAME",
    "region": "ATTACHMENT_REGION",
    "connectionPreference": "ACCEPT_MANUAL",
    "targetService": "TARGET_SERVICE",
    "enableProxyProtocol": false,
    "natSubnets": [
      "PSC_SUBNET_1_URI",
      "PSC_SUBNET_2_URI"
    ],
    "consumerRejectLists": [
      "projects/REJECTED_PROJECT_ID_1/global/networks/REJECTED_NETWORK_1",
      "projects/REJECTED_PROJECT_ID_2/global/networks/REJECTED_NETWORK_2"
    ],
    "consumerAcceptLists": [
      {
        "networkUrl": "projects/ACCEPTED_PROJECT_ID_1/global/networks/ACCEPTED_NETWORK_1",
        "connectionLimit": "LIMIT_1"
      },
      {
        "networkUrl": "projects/ACCEPTED_PROJECT_ID_2/global/networks/ACCEPTED_NETWORK_2",
        "connectionLimit": "LIMIT_2"
      }
    ],
    "propagatedConnectionLimit": PROPAGATED_CONNECTION_LIMIT,
    "domainNames": [
      "DOMAIN_NAME"
    ]
  }
  

  更改下列內容：

  • REJECTED_PROJECT_ID_1 和 REJECTED_PROJECT_ID_2：您要拒絕的網路父項專案 ID。consumerRejectLists 為選用項目，可包含一或多個聯播網。
  • REJECTED_NETWORK_1 和 REJECTED_NETWORK_2：您要拒絕的網路名稱。
  • ACCEPTED_PROJECT_ID_1 和 ACCEPTED_PROJECT_ID_2：您要接受的網路父項專案 ID。consumerAcceptLists 為選用項目，可包含一或多個聯播網。
  • ACCEPTED_NETWORK_1 和 ACCEPTED_NETWORK_2：您要接受的網路名稱。
  • LIMIT_1 和 LIMIT_2：網路的連線限制。連線限制是指可連線至此服務的消費者端點或後端數量。每個通過審查的專案都必須設定連線數上限。
  • PROPAGATED_CONNECTION_LIMIT：傳播連線限制。預設值為 250。
  • DOMAIN_NAME：服務的 DNS 網域名稱，包括結尾的半形句號。建議格式：REGION.p.DOMAIN.詳情請參閱「DNS 設定」。

• 如要發布啟用連線重整功能的服務，請傳送與先前要求類似的請求，但請加入下列欄位：

  {
    ...
    "reconcileConnections": true
    ...
  }
  

控制台

1. 前往 Google Cloud 控制台的「Private Service Connect」頁面。

   前往 Private Service Connect

2. 按一下「已發布的服務」分頁標籤。

   系統會顯示 Private Service Connect 服務連結。

gcloud

使用 gcloud compute service-attachments list 指令。

gcloud compute service-attachments list [--regions=REGION_LIST]

將 REGION_LIST 替換為以半形逗號分隔的一或多個區域清單，這些區域是您要查看服務附件的區域。例如 us-central1 或 us-west1,us-central1。

API

如要查看特定地區或所有地區的所有服務附件，請將 GET 要求傳送至 serviceAttachments.list 方法。

• 查看區域內的所有服務附件：

  GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/serviceAttachments
  

• 查看所有地區的所有服務附件：

  GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/serviceAttachments
  

  更改下列內容：

  • PROJECT_ID：服務附件的專案。

  • REGION：服務附件的區域。

  • ATTACHMENT_NAME：服務附件名稱。

主控台

您可以查看已發布的服務詳細資料。「Service attachment」欄位包含服務連結 URI。

1. 前往 Google Cloud 控制台的「Private Service Connect」頁面。

   前往 Private Service Connect

2. 按一下「已發布的服務」分頁標籤。

3. 按一下要查看的服務。

gcloud

如要查看已發布的服務詳細資料，請使用 gcloud compute service-attachments describe 指令。selfLink 欄位包含服務連結 URI。

gcloud compute service-attachments describe \
    ATTACHMENT_NAME --region=REGION

API

如要查看已發布的服務詳細資料，請將 GET 要求傳送至 serviceAttachments.get 方法。selfLink 欄位包含服務連結 URI。

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/serviceAttachments/ATTACHMENT_NAME

更改下列內容：

• PROJECT_ID：服務附件的專案。

• REGION：服務附件的區域。

• ATTACHMENT_NAME：服務附件名稱。

主控台

1. 前往 Google Cloud 控制台的「Private Service Connect」頁面。

   前往 Private Service Connect

2. 按一下「已發布的服務」分頁標籤。

3. 按一下要刪除的服務。

4. 點選「刪除」。

gcloud

使用 gcloud compute service-attachments delete 指令。

gcloud compute service-attachments delete \
    ATTACHMENT_NAME --region=REGION

API

向 serviceAttachments.delete 方法傳送 DELETE 要求。

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/serviceAttachments/ATTACHMENT_NAME

更改下列內容：

• PROJECT_ID：服務附件的專案。

• REGION：服務附件的區域。

• ATTACHMENT_NAME：服務附件名稱。