Compatibilidad con Private Service Connect

Servicios

Puedes acceder a los siguientes servicios mediante Private Service Connect.

Servicios publicados por Google

Servicio de Google Acceso proporcionado
AlloyDB for PostgreSQL Te permite conectarte a instancias de AlloyDB para PostgreSQL.
Apigee Te permite exponer APIs gestionadas por Apigee a Internet. También te permite conectarte de forma privada desde Apigee a servicios de destino de backend.
Conexiones de BigQuery a SAP Datasphere Te permite aumentar la seguridad cuando usas BigQuery para enviar consultas a SAP Datasphere.
BigQuery Data Transfer Service Te permite usar BigQuery Data Transfer Service para Oracle.
Blockchain Node Engine Te permite acceder a los nodos de Blockchain Node Engine.
Chrome Enterprise Premium Permite que Identity-Aware Proxy acceda a la pasarela App Connector.
Cloud Data Fusion Te permite conectar instancias de Cloud Data Fusion a recursos de redes de VPC.
Cloud Composer 2 Te permite acceder al proyecto de inquilino de Cloud Composer.
Cloud Composer 3 Te permite acceder al proyecto de inquilino de Cloud Composer.
Cloud SQL Te permite acceder a tu base de datos de Cloud SQL de forma privada.

Te permite automatizar la creación de conexiones a instancias de Cloud SQL mediante la automatización de la conectividad de servicios.

Cloud Workstations Te permite acceder a clústeres de estaciones de trabajo privadas.
Database Migration Service Te permite migrar tus datos a Google Cloud.
Dataproc Metastore Te permite acceder a los servicios de Dataproc Metastore.
Eventarc Te permite recibir eventos de Eventarc.
Centro de contacto como servicio (CCaaS) de Google Cloud

Permite que tus agentes y supervisores accedan de forma privada a la interfaz de centro de contacto como servicio de Google Cloud.

Permite que tu instancia de Contact Center as a Service de Google Cloud acceda de forma privada a otros sistemas a través de una red de VPC.

Google Cloud Managed Service para Apache Kafka Te permite acceder a clústeres de Managed Service para Apache Kafka.
Clústeres públicos y privados de Google Kubernetes Engine (GKE) Te permite conectar de forma privada los nodos y el plano de control de un clúster público o privado.
Integration Connectors Permite que Integration Connectors acceda de forma privada a tus servicios gestionados.
Looker (servicio principal de Google Cloud) Te permite acceder a instancias de Looker (Google Cloud Core).
Memorystore for Redis Cluster Te permite automatizar la creación de conexiones a instancias de Memorystore for Redis Cluster mediante la automatización de la conectividad de servicios.
Memorystore for Valkey Te permite automatizar la creación de conexiones a instancias de Memorystore para Valkey mediante la automatización de la conectividad de los servicios.
Ray en Vertex AI Te permite acceder a clústeres de Ray.
Vertex AI Pipelines Te permite crear ejecuciones de flujos de procesamiento.
Vertex AI Training Te permite acceder a trabajos personalizados y recursos persistentes.
Búsqueda de Vectores de Vertex AI Le permite automatizar la creación de conexiones con endpoints de búsqueda vectorial mediante la automatización de la conectividad de los servicios.
Predicciones de Vertex AI Te permite acceder a la predicción online de Vertex AI.

Servicios publicados por terceros

Servicio de terceros Acceso proporcionado
Aiven Proporciona acceso privado a clústeres de Aiven Kafka.
Axoflow Proporciona acceso privado a la plataforma Axoflow.
Citrix DaaS Proporciona acceso privado a Citrix DaaS.
ClickHouse Proporciona acceso privado a los servicios de ClickHouse.
Confluent Cloud Proporciona acceso privado a clústeres de Confluent Cloud.
Couchbase Proporciona acceso privado a clústeres de Capella.
Databricks Proporciona acceso privado a clústeres de Databricks.
Datadog Proporciona acceso privado a los servicios de ingesta de Datadog.
Datastax Astra Proporciona acceso privado a bases de datos de Datastax Astra DB.
dbt Proporciona acceso privado al entorno multiinquilino de dbt.
Elasticsearch Proporciona acceso privado a Elastic Cloud.
Groq Proporciona acceso privado a Groq Cloud.
JFrog Proporciona acceso privado a instancias SaaS de JFrog.
MongoDB Atlas Proporciona acceso privado a MongoDB Atlas.
Neo4j Aura Proporciona acceso privado a Neo4j Aura.
Pega Cloud Proporciona acceso privado a Pega Cloud.
Redis Enterprise Cloud Proporciona acceso privado a clústeres de Redis Enterprise.
Redpanda Proporciona acceso privado a Redpanda Cloud.
Copo de nieve Proporciona acceso privado a Snowflake.
Striim Proporciona acceso privado a Striim Cloud.
Zenoss Proporciona acceso privado a Zenoss Cloud.

Servicios publicados autogestionados

Fuente de tu servicio Configuración del productor del servicio Configuración del consumidor del servicio
Cloud Load Balancing Publicar el servicio
Google Kubernetes Engine (GKE) Publica el servicio: enruta las solicitudes a tu servicio a través de un servicio LoadBalancer interno y publica el servicio a través de un ServiceAttachment.
Cloud Run y Cloud Run Functions (2.ª gen.)

Elige una de estas opciones:

Elige la opción de consumidor que corresponda a la configuración del productor de servicios:

Funciones de Cloud Run (1.ª gen.) cloudfunctions.net URL: no necesita ninguna configuración adicional Crea un endpoint para acceder a las URLs de cloudfunctions.net
App Engine No necesitas ninguna configuración adicional Crea un endpoint para acceder a las URLs de appspot.com.

APIs globales de Google

Los endpoints pueden dirigirse a un paquete de APIs de Google globales o a una sola API de Google regional. Los back-ends pueden dirigirse a una sola API de Google global o a una sola API de Google regional.

Paquetes de APIs de Google globales

Puedes usar los puntos finales de Private Service Connect para enviar tráfico a un paquete de APIs de Google.

Cuando creas un endpoint para acceder a las APIs y los servicios de Google, eliges el paquete de APIs al que necesitas acceder: Todas las APIs (all-apis) o VPC-SC (vpc-sc).

Los paquetes de APIs solo admiten protocolos basados en HTTP a través de TCP (HTTP, HTTPS y HTTP/2). No se admiten otros protocolos, como MQTT e ICMP.

Paquete de APIs Servicios admitidos Ejemplo de uso
all-apis

Permite el acceso a la API a la mayoría de las APIs y los servicios de Google, independientemente de si son compatibles con Controles de Servicio de VPC. Incluye acceso a las APIs de Google Maps, Google Ads, Google Cloudy la mayoría de las demás APIs de Google, incluidas las que se indican en las listas de abajo. No es compatible con las aplicaciones web de Google Workspace, como Gmail y Documentos de Google. No admite ningún sitio web interactivo.

Nombres de dominio que coinciden:

  • accounts.google.com (solo admite las rutas necesarias para la autenticación OAuth de cuentas de servicio; la autenticación de cuentas de usuario es interactiva y no se admite)
  • *.aiplatform-notebook.cloud.google.com
  • *.aiplatform-notebook.googleusercontent.com
  • appengine.google.com
  • *.appspot.com
  • *.backupdr.cloud.google.com
  • backupdr.cloud.google.com
  • *.backupdr.googleusercontent.com
  • backupdr.googleusercontent.com
  • *.cloudfunctions.net
  • *.cloudproxy.app
  • *.composer.cloud.google.com
  • *.composer.googleusercontent.com
  • *.datafusion.cloud.google.com
  • *.datafusion.googleusercontent.com
  • *.dataproc.cloud.google.com
  • dataproc.cloud.google.com
  • *.dataproc.googleusercontent.com
  • dataproc.googleusercontent.com
  • dl.google.com
  • gcr.io o *.gcr.io
  • *.googleapis.com
  • *.gke.goog
  • *.gstatic.com
  • *.kernels.googleusercontent.com
  • *.ltsapis.goog
  • *.notebooks.cloud.google.com
  • *.notebooks.googleusercontent.com
  • packages.cloud.google.com
  • pkg.dev o *.pkg.dev
  • pki.goog o *.pki.goog
  • *.run.app
  • source.developers.google.com
  • storage.cloud.google.com

Elige all-apis en las siguientes circunstancias:

  • No usas Controles de Servicio de VPC.
  • Usas Controles de Servicio de VPC, pero también necesitas acceder a APIs y servicios de Google que no son compatibles con Controles de Servicio de VPC. 1

vpc-sc

Habilita el acceso a las APIs de Google y a los servicios compatibles con Controles de Servicio de VPC.

Bloquea el acceso a las APIs y los servicios de Google que no admiten Controles de Servicio de VPC. No admite APIs de Google Workspace ni aplicaciones web de Google Workspace, como Gmail y Documentos de Google.

Elige vpc-sc cuando solo necesites acceder a las APIs y los servicios de Google que sean compatibles con Controles de Servicio de VPC. El paquete vpc-sc no permite el acceso a las APIs y los servicios de Google que no admiten Controles de Servicio de VPC. 1

1 Si necesitas restringir el acceso de los usuarios solo a las APIs y los servicios de Google que admitan Controles de Servicio de VPC, usa vpc-sc, ya que ofrece medidas adicionales para mitigar el riesgo de filtración externa de datos. Si usas vpc-sc, se deniega el acceso a las APIs y los servicios de Google que no son compatibles con Controles de Servicio de VPC. Para obtener más información, consulta el artículo sobre configurar la conectividad privada en la documentación de Controles de Servicio de VPC.

Una sola API global de Google

Puedes usar backends de Private Service Connect para enviar solicitudes a una sola API de Google global compatible. Se admiten las siguientes APIs:

APIs de Google regionales

Puedes usar endpoints o back-ends para acceder a las APIs de Google regionales. Para ver una lista de las APIs de Google regionales admitidas, consulta Puntos finales de servicio regionales.

Tipos

En las siguientes tablas se resume la información sobre la compatibilidad de las diferentes configuraciones de Private Service Connect.

En las siguientes tablas, el símbolo de indica que una función está disponible, mientras que el símbolo de indica que no lo está.

Endpoints y servicios publicados

En esta sección se resumen las opciones de configuración disponibles para consumidores y productores al usar endpoints para acceder a servicios publicados.

Configuración de consumidor

En esta tabla se resumen las opciones de configuración y las funciones admitidas de los endpoints que acceden a servicios publicados en función del tipo de productor de destino.

Productor objetivo Configuración del consumidor (endpoint)
Acceso global para consumidores Acceso híbrido Configuración automática de DNS
(solo IPv4)
Acceso al emparejamiento entre redes de VPC Propagación de conexiones de Network Connectivity Center (solo IPv4) Servicios de destino admitidos para endpoints IPv4 Servicios de destino admitidos para endpoints IPv6
Balanceador de carga de aplicación interno entre regiones (vista previa)
  • Servicios IPv4
  • Servicios IPv4
Balanceador de carga de red de paso a través interno Solo si el acceso global está habilitado en el balanceador de carga (problema conocido)
  • Servicios IPv4
  • Servicios IPv4
  • Servicios IPv6
Reenvío de protocolos interno (instancia de destino) Solo si el acceso global está habilitado en la regla de reenvío del productor (problema conocido)
  • Servicios IPv4
  • Servicios IPv4
  • Servicios IPv6
Servicios de asignación de puertos Solo si el acceso global está habilitado en la regla de reenvío del productor
  • Servicios IPv4
  • Servicios IPv4
  • Servicios IPv6
Balanceador de carga de aplicación interno regional Solo si el acceso global está habilitado en el balanceador de carga antes de crear el adjunto de servicio
  • Servicios IPv4
  • Servicios IPv4
Balanceador de carga de red de proxy interno regional Solo si el acceso global está habilitado en el balanceador de carga antes de crear el adjunto de servicio
  • Servicios IPv4
  • Servicios IPv4
Proxy web seguro
  • Servicios IPv4
  • Servicios IPv4

Los puntos finales que acceden a un servicio publicado tienen las siguientes limitaciones:

Configuración del productor

En esta tabla se resumen las opciones de configuración y las funciones admitidas de los servicios publicados a los que se accede mediante endpoints.

Tipo de productor Configuración del productor (servicio publicado)
Back-ends de productores admitidos Protocolo PROXY (solo tráfico TCP) Versión de IP
Balanceador de carga de aplicación interno entre regiones (vista previa)
  • NEGs por zonas GCE_VM_IP_PORT
  • NEGs híbridas
  • NEGs sin servidor
  • NEGs de Private Service Connect
  • Grupos de instancias
  • IPv4
Balanceador de carga de red de paso a través interno
  • NEGs por zonas de GCE_VM_IP
  • Grupos de instancias
  • IPv4
  • IPv6
Reenvío de protocolos interno (instancia de destino)
  • No aplicable
  • IPv4
  • IPv6
Servicios de asignación de puertos
  • NEG de asignación de puertos
  • IPv4
  • IPv6
Balanceador de carga de aplicación interno regional
  • NEGs por zonas GCE_VM_IP_PORT
  • NEGs híbridas
  • NEGs sin servidor
  • NEGs de Private Service Connect
  • Grupos de instancias
  • IPv4
Balanceador de carga de red de proxy interno regional
  • NEGs por zonas GCE_VM_IP_PORT
  • NEGs híbridas
  • NEGs de Private Service Connect
  • Grupos de instancias
  • IPv4
Proxy web seguro
  • No aplicable
  • IPv4

Los servicios publicados tienen las siguientes limitaciones:

  • No se admiten los balanceadores de carga configurados con varios protocolos (protocolo definido como L3_DEFAULT).
  • Packet Mirroring no puede replicar paquetes del tráfico de servicios publicados de Private Service Connect.
  • Debes usar la CLI de Google Cloud o la API para crear una vinculación de servicio que apunte a una regla de reenvío que se use para el reenvío de protocolo interno.

Para ver los problemas y las soluciones alternativas, consulta la sección Problemas conocidos.

Los distintos balanceadores de carga admiten diferentes configuraciones de puertos. Algunos admiten un solo puerto, otros admiten un intervalo de puertos y otros admiten todos los puertos. Para obtener más información, consulta las especificaciones de los puertos.

Backends y servicios publicados

Un backend de Private Service Connect para servicios publicados requiere dos balanceadores de carga: un balanceador de carga de consumidor y un balanceador de carga de productor. En esta sección se resumen las opciones de configuración disponibles para los consumidores y productores al usar back-ends para acceder a los servicios publicados.

Configuración de consumidor

En esta tabla se describen los balanceadores de carga de consumidor que admiten los backends de Private Service Connect para los servicios publicados, así como los protocolos de servicio de backend que se pueden usar con cada balanceador de carga de consumidor. Los balanceadores de carga de consumidor pueden acceder a los servicios publicados que se alojan en balanceadores de carga de productor compatibles.

Balanceador de carga de consumidor Protocolos Versión de IP

Balanceador de carga de aplicación interno entre regiones

  • HTTP
  • HTTPS
  • HTTP2
IPv4

Balanceador de carga de red de proxy interno entre regiones

  • TCP
IPv4

Balanceador de carga de aplicación externo global (admite varias regiones)

Nota: No se admite el balanceador de carga de aplicaciones clásico.

  • HTTP
  • HTTPS
  • HTTP2
IPv4

Balanceador de carga de red con proxy externo global

Para asociar este balanceador de carga a un NEG de Private Service Connect, usa la CLI de Google Cloud o envía una solicitud de API.

Nota: No se admite el balanceador de carga de red de proxy clásico.

  • TCP/SSL
IPv4

Balanceador de carga de aplicación externo regional

  • HTTP
  • HTTPS
  • HTTP2
IPv4

Balanceador de carga de red de proxy externo regional

  • TCP
IPv4

Balanceador de carga de aplicación interno regional

  • HTTP
  • HTTPS
  • HTTP2
IPv4

Balanceador de carga de red de proxy interno regional

  • TCP
IPv4

Configuración del productor

En esta tabla se describe la configuración de los balanceadores de carga de productores que admiten los backends de Private Service Connect para los servicios publicados.

Tipo de productor Configuración del productor (servicio publicado)
Back-ends de productores admitidos Protocolos de reglas de reenvío Puertos de reglas de reenvío Protocolo PROXY Versión de IP
Balanceador de carga de aplicación interno entre regiones (vista previa)
  • NEGs por zonas GCE_VM_IP_PORT
  • NEGs híbridas
  • NEGs sin servidor
  • NEGs de Private Service Connect
  • Grupos de instancias
  • TCP
  • HTTP
  • HTTPS
  • HTTP/2
  • gRPC
Admite uno, varios o todos los puertos IPv4
Balanceador de carga de red de paso a través interno
  • NEGs por zonas de GCE_VM_IP
  • Grupos de instancias
  • TCP
Consulta Configuración de puertos de productores. IPv4
Balanceador de carga de aplicación interno regional
  • NEGs por zonas GCE_VM_IP_PORT
  • NEGs híbridas
  • NEGs sin servidor
  • NEGs de Private Service Connect
  • Grupos de instancias
  • HTTP
  • HTTPS
  • HTTP/2
Admite un solo puerto IPv4
Balanceador de carga de red de proxy interno regional
  • NEGs por zonas GCE_VM_IP_PORT
  • NEGs híbridas
  • NEGs de Private Service Connect
  • Grupos de instancias
  • TCP
Admite un solo puerto IPv4
Proxy web seguro
  • No aplicable
  • No aplicable
No aplicable IPv4

Los servicios publicados tienen las siguientes limitaciones:

  • No se admiten los balanceadores de carga configurados con varios protocolos (protocolo definido como L3_DEFAULT).
  • Packet Mirroring no puede replicar paquetes del tráfico de servicios publicados de Private Service Connect.
  • Debes usar la CLI de Google Cloud o la API para crear una vinculación de servicio que apunte a una regla de reenvío que se use para el reenvío de protocolo interno.

Para ver los problemas y las soluciones alternativas, consulta la sección Problemas conocidos.

Para ver un ejemplo de configuración de backend que usa un balanceador de carga de aplicación externo global, consulta Acceder a servicios publicados a través de backends.

Para publicar un servicio, consulta el artículo sobre cómo publicar servicios.

Endpoints y APIs de Google globales

En esta tabla se resumen las funciones que admiten los endpoints que se usan para acceder a las APIs de Google.

Para crear esta configuración, consulta Acceder a las APIs de Google a través de endpoints.

Configuración Detalles
Configuración del consumidor (endpoint)
Accesibilidad global Usa una dirección IP interna global
Tráfico de Cloud Interconnect
Tráfico de Cloud VPN
Acceso mediante el emparejamiento entre redes de VPC
Propagación de conexiones a través de Network Connectivity Center
Configuración automática de DNS
Versión de IP IPv4
Producer
Servicios admitidos APIs de Google globales admitidas

Back-ends y APIs de Google globales

En esta tabla se describe qué balanceadores de carga pueden usar un backend de Private Service Connect para una API de Google global.

Configuración Detalles
Configuración del consumidor (backend de Private Service Connect)
Balanceadores de carga de consumidor admitidos
  • Balanceador de carga de aplicación externo global

    Nota: No se admite el balanceador de carga de aplicaciones clásico.

  • Balanceador de carga de aplicación interno entre regiones

Versión de IP IPv4
Producer
Servicios admitidos

Puntos de conexión y APIs de Google regionales

En esta tabla se resumen las funciones que admiten los endpoints que se usan para acceder a las APIs de Google regionales.

Configuración Detalles
Configuración del consumidor (endpoint)
Accesibilidad global Si el acceso global está habilitado
Tráfico de Cloud Interconnect
Tráfico de Cloud VPN
Acceso mediante el emparejamiento entre redes de VPC
Propagación de conexiones a través de Network Connectivity Center
Configuración de DNS Configuración manual de DNS
Versión de IP IPv4 o IPv6
Producer
Servicios admitidos APIs de Google regionales admitidas

Back-ends y APIs de Google regionales

En esta tabla se describe qué balanceadores de carga pueden usar un backend de Private Service Connect para acceder a las APIs de Google regionales.

Para ver un ejemplo de configuración de backend que usa un balanceador de carga de aplicación interno, consulta Acceder a las APIs de Google regionales a través de backends.

Configuración Detalles
Configuración del consumidor (backend de Private Service Connect)
Balanceadores de carga de consumidor admitidos
  • Balanceador de carga de aplicación interno

    Protocolos: HTTPS

  • Balanceador de carga de aplicación externo regional

    Protocolos: HTTPS

Versión de IP IPv4
Producer
Servicios admitidos APIs de Google regionales admitidas

Siguientes pasos