プライベート サービス アクセス

このページでは、プライベート サービス アクセスの概要について説明します。

Google とサードパーティ（総称的にサービス プロデューサーとも呼ばれます）は、VPC ネットワークでホストされている VM で実行されるサービスである VPC ホスト型サービスを提供できます。プライベート サービス アクセスを使用すると、VPC ネットワークとサービス プロデューサーの VPC ネットワークの間にプライベート接続を作成することで、これらのサービスにアクセスできます。プライベート接続は、ネットワークとサービス プロデューサーのネットワークとの VPC ネットワーク ピアリング接続を確立します。

プライベート サービス アクセスのトラフィックは、公共のインターネットを経由せず、Google のネットワーク内を内部的に転送されます。VPC ネットワーク内のインスタンスは、内部 IPv4 アドレスを使用してサービスにアクセスできます。インスタンスに外部 IP アドレスを指定することもできますが、外部 IP アドレスは必須ではなく、プライベート サービス アクセスには使用されません。

サポート対象のサービス

プライベート サービス アクセスをサポートする Google VPC でホストされているサービスは次のとおりです。

プライベート サービス アクセスと VPC ネットワーク ピアリング

プライベート接続では、サービス プロデューサー ネットワークとユーザーのネットワークが VPC ネットワーク ピアリングを介して接続されます。2 つのネットワーク間のルーティングが正しく機能するには、2 つのネットワークで異なる IP アドレス範囲を使用する必要があります。重複を避けるため、プライベート接続で使用する割り当て範囲を 1 つ以上ネットワークに作成します。

VPC ネットワークに範囲を割り振ると、その範囲はサブネットやカスタム静的ルートの宛先などの他のリソースには使用できません。

割り当てられた範囲の選択については、割り当てられた範囲の IP アドレス範囲を選択するをご覧ください。

プライベート サービス アクセスのワークフロー

プライベート サービス アクセスを使用すると、リソースは VPC ネットワークとサービス プロデューサーのネットワークの両方にデプロイされます。プロセスの概要は次のとおりです。

  1. サービス ユーザーは、限定公開サービス アクセスを使用してサービス インスタンスをデプロイします。詳細は、デプロイするサービスによって異なる場合があります。次の手順は、ユーザーが実行することも、サービス インスタンスのデプロイの一部としてサービス プロデューサーによって自動化することもできます。

    1. VPC ネットワークに IP アドレス範囲を割り振ります。この割り振り範囲は、サービス プロデューサー専用に予約されています。

    2. 作成した割り振り範囲を指定して、サービス プロデューサーへのプライベート接続を作成します。

    3. 作成したプライベート接続を参照して、サービス インスタンス（Cloud SQL インスタンスなど）をプロビジョニングします。

  2. サービス プロデューサーがサービス インスタンスのリソースをプロビジョニングします。

    1. サービス プロデューサーがサービス インスタンスのプロジェクトを作成します。プロジェクトは分離されているため、他のお客様と共有されることはなく、サービス コンシューマーは自分がプロビジョニングするリソースのみに対して課金されます。

    2. このプロジェクト内で、サービス プロデューサーはユーザー専用の VPC ネットワークを作成します。

    3. そのネットワーク内で、サービス プロデューサーがサブネットを作成します。このサブネットの IP アドレス範囲は、指定した割り当て範囲から選択されます。サービス プロデューサーは通常、/29 から /24 の CIDR ブロックを選択します。サービス プロデューサーのサブネット IP アドレス範囲を選択または変更することはできません。

    4. サービス インスタンスには、新しいサブネットから IP アドレスが割り当てられます。

  3. プライベート接続がアクティブになります。

    1. VPC ネットワーク ピアリング接続が確立されます。

    2. VPC ネットワークは、サービス プロデューサーのネットワークからルートをインポートします。

    3. ネットワーク内の VM は、サービス インスタンスの内部 IP アドレスを使用してサービス インスタンスと通信できます。トラフィックは、公共のインターネットを経由せず、Google のネットワーク内を完全に転送されます。

初期デプロイを作成した後、次の操作を行うことができます。

  • リソースの追加プロビジョニング: 同じサービスに追加のリソースをプロビジョニングする場合、サービス プロデューサーは、空き容量があれば既存のサブネットにリソースを配置します。サブネットがいっぱいの場合、割り当てられた範囲からそのリージョンに新しいサブネットが作成されます。

  • リソースの削除: サービス プロデューサーのネットワーク内のサブネットは、そのサブネット内のすべてのサービス リソースを削除した場合にのみ削除されます。リソースの削除については、関連するサービス プロデューサーのドキュメントをご覧ください。

例

次の図は、プライベート接続を使用してサービス インスタンスにアクセスする様子を示しています。

サービス コンシューマー ネットワーク内のリソースは、プライベート サービス アクセスを介して Cloud SQL インスタンスにアクセスできます。
プライベート サービス アクセス（クリックして拡大）

この例では、サービス コンシューマー VPC ネットワークが Google サービスの 10.240.0.0/16 アドレス範囲を割り振り、その範囲を使用するプライベート接続を確立しました。

  • プライベート接続には、10.240.0.0/16 割り当て範囲が割り当てられます。

  • Google は、サービス コンシューマーのリソース用にプロジェクトと VPC ネットワークを作成します。VPC ネットワークは、VPC ネットワーク ピアリングを使用して接続されます。

  • サービス プロデューサーは、IP アドレス範囲 10.240.0.0/24 を使用するサブネットを作成します。

  • Cloud SQL インスタンスには、IP アドレス 10.240.0.2 が割り当てられます。

  • サブネットが作成されると、サービス コンシューマー ネットワークはサービス ネットワークからルートをインポートします。

  • サービス コンシューマー VPC ネットワークでは、宛先が 10.240.0.2 のリクエストは、プライベート接続を経由してサービス プロデューサーのネットワークへとルーティングされます。

  • サービス ユーザーは、europe-west1 で別の Google サービスのサービス インスタンスをデプロイします。Google はサービス プロデューサーであるため、同じプロジェクトとネットワークを使用できます。ただし、インスタンスは別のリージョンにあるため、新しいサブネットが必要です。Google は、IP アドレス範囲 10.240.10.0/24 を使用する新しいサブネットを作成し、サービス インスタンスに IP アドレス 10.240.10.2 を割り当てます。

サービス インスタンスの到達可能性

特定のマネージド サービス インスタンスへのプライベート接続を作成できるのは、1 つのサービス コンシューマー VPC ネットワークのみです。ただし、その VPC ネットワークの外部にあるリソースでプライベート接続を利用できるようにする方法があります。

これらのオプションのいずれもユースケースに適合しない場合は、サービス プロデューサーが、より適切なサービスへの接続方法（Private Service Connect など）を提供している可能性があります。詳細については、サービスのドキュメントをご覧ください。

Network Connectivity Center を介してアクセスする

プライベート サービス アクセスで利用できる一部のサービスでは、Network Connectivity Center を使用してプロデューサー VPC スポークを作成することで、ハブ上の他のスポークからサービスにアクセスできるようになります。サポートされているサービスなど、詳細については、プロデューサー VPC スポークをご覧ください。

共有 VPC を介したアクセス

共有 VPC を使用している場合は、割り振られた IP 範囲とプライベート接続をホスト プロジェクトに作成します。通常、ホスト プロジェクトのネットワーク管理者がこれらの作業を行う必要があります。ホスト プロジェクトの設定後、サービス プロジェクト内の VM インスタンスはプライベート接続を使用できます。

ハイブリッド接続を介したアクセス

ハイブリッド ネットワーキングのシナリオでは、Cloud VPN または Cloud Interconnect 接続を経由して、オンプレミス ネットワークを VPC ネットワークに接続します。デフォルトでは、オンプレミス ホストはプライベート サービス アクセスを使用してサービス プロデューサーのネットワークに到達することはできません。

VPC ネットワークでは、トラフィックをオンプレミス ネットワークに正しく転送するためのカスタム静的ルートまたは動的ルートがあります。ただし、サービス プロデューサーのネットワークにはこれらと同じルートが含まれていません。プライベート接続を作成すると、VPC ネットワークとサービス プロデューサー ネットワークはサブネット ルートのみを交換します。

サービス プロデューサーのネットワークには、インターネットに接続するデフォルト ルート（0.0.0.0/0）があります。サービス プロデューサーのネットワークに対するデフォルト ルートをエクスポートしても、このルートは無視され、サービス プロデューサー ネットワークのデフォルト ルートが優先されます。代わりに、より具体的な宛先を指定してカスタムルートを定義し、エクスポートしてください。

詳細については、ハイブリッド接続を構成するをご覧ください。

サービス プロデューサー ネットワーク

プライベート接続のサービス プロデューサー側には VPC ネットワークがあり、そこではサービス リソースがプロビジョニングされています。サービス プロデューサーのネットワークは、それぞれのお客様専用に作成され、お客様のリソースのみが含まれます。

サービス プロデューサー ネットワーク内のリソースは、VPC ネットワーク内の他のリソースと似ています。たとえば、そのリソースは、VPC ネットワーク内の他のリソースから内部 IP アドレスを介して到達可能です。VPC ネットワークにファイアウォール ルールを作成して、サービス プロデューサーのネットワークへのアクセスを制御することもできます。

サービス プロデューサー側の詳細については、Service Infrastructure のドキュメントのプライベート サービス アクセスを有効にするをご覧ください。このドキュメントは参考情報であり、プライベート サービス アクセスを有効化または使用するために必須ではありません。

料金

プライベート サービス アクセスの料金については、VPC の料金ページのプライベート サービス アクセスをご覧ください。

制限事項

プライベート サービス アクセスには次の制限が適用されます。

  • プライベート接続は VPC ネットワーク ピアリング接続として実装されているため、ピアリング接続の動作と制約がプライベート接続にも適用されます。たとえば、VPC ネットワーク ピアリングは推移的ではないため、ピアリングされた VPC ネットワークではプライベート接続を使用できません。

    詳細については、VPC ネットワーク ピアリング、VPC ネットワーク ピアリングの制限事項、割り当てと上限をご覧ください。

  • 特定のマネージド サービス インスタンスに接続するプライベート接続を作成できるのは、1 つのサービス コンシューマー VPC ネットワークのみです。ただし、その VPC ネットワークの外部にあるリソースでプライベート接続を使用できるようにする方法はあります。詳細については、サービス インスタンスの到達可能性をご覧ください。

  • 割り当てられた範囲に関連付けられている IP アドレス範囲は変更できません。ただし、プライベート接続に関連付けられている割り当て範囲を変更することはできます。

  • プライベート サービス アクセスでの IPv6 アドレス範囲の使用はサポートされていません。

次のステップ