使用 Private Service Connect 連線至執行個體

如要從屬於不同群組、團隊、專案或組織的多個虛擬私有雲 (VPC) 網路，連線至 AlloyDB for PostgreSQL 主要、讀取集區或次要執行個體，而不設定虛擬私有雲網路對接，可以設定 Private Service Connect。

必要的角色

視您要設定 Private Service Connect 基礎架構，還是以資料庫用戶端身分連線，授予適當的身分與存取權管理 (IAM) 角色：

建立 Private Service Connect 端點

Private Service Connect 端點是用戶虛擬私有雲網路中的內部 IP 位址，該網路中的用戶端可以直接存取，連線至 AlloyDB 執行個體。

如要讓 AlloyDB 自動建立 Private Service Connect 端點，請按照下列步驟操作：

• 在虛擬私有雲網路中，重複使用現有的服務連線政策，或建立服務連線政策。這項政策可讓您自動佈建 Private Service Connect 端點。
• 建立 AlloyDB 叢集和執行個體，並為執行個體啟用 Private Service Connect，以及設定執行個體，自動建立 Private Service Connect 端點。
• 擷取執行個體的端點。這樣一來，您就能使用端點連線至執行個體。
• 選用：更新現有的 AlloyDB 叢集和執行個體，並啟用 Private Service Connect，自動產生端點。

您也可以手動建立 Private Service Connect 端點，或在多專案 Shared VPC 或中樞與輪輻網路中設定端點。

自動建立端點

如要設定執行個體，讓 AlloyDB 自動建立 Private Service Connect 端點，請按照下列概略步驟操作：

1. 建立服務連線政策。
2. 建立 AlloyDB 執行個體。
3. 擷取端點。
4. 更新執行個體，自動建立端點。
5. 設定傳出連線。

建立服務連線政策

您可以使用 Google Cloud 控制台或 Google Cloud CLI，重複使用現有的服務連線政策，或建立服務連線政策。

服務連線政策可讓您授權指定的服務類別，在用戶端虛擬私有雲網路中建立 Private Service Connect 端點。您可以使用服務連線政策，讓 AlloyDB 自動建立 Private Service Connect 端點。

gcloud network-connectivity service-connection-policies create POLICY_NAME \
    --network=NETWORK \
    --project=PROJECT_ID \
    --region=REGION \
    --service-class=SERVICE_CLASS \
    --subnets=https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETS \
    --psc-connection-limit=LIMIT \
    --description="DESCRIPTION" \
    --producer-instance-location=PRODUCER_INSTANCE_LOCATION \
    --allowed-google-producers-resource-hierarchy-level=LIST_OF_NODES

gcloud network-connectivity service-connection-policies create alloydb-policy \
    --network=default \
    --project=my-project \
    --region=us-central1 \
    --service-class=google-cloud-alloydb \
    --subnets=managed-service-subnet \
    --psc-connection-limit=10 \
    --producer-instance-location=custom-resource-hierarchy-levels \
    --allowed-google-producers-resource-hierarchy-level=projects/myproject

建立 AlloyDB 執行個體

您可以建立已啟用 Private Service Connect 的執行個體，並使用 Google Cloud 控制台、gcloud CLI 或 Terraform，將執行個體設為自動建立端點。

gcloud alloydb clusters create CLUSTER_ID \
  --password=PASSWORD \
  --region=REGION_ID \
  --project=PROJECT_ID \
  --enable-private-service-connect

gcloud alloydb instances create INSTANCE_ID \
    --instance-type=PRIMARY \
    --cpu-count=CPU_COUNT \
    --availability-type=AVAILABILITY \
    --region=REGION_ID \
    --cluster=CLUSTER_ID \
    --project=PROJECT_ID \
    --allowed-psc-projects=ALLOWED_PROJECT_LIST \
    --psc-network-attachment-uri=NETWORK_ATTACHMENT_URI \
    --psc-auto-connections=network=CONSUMER_NETWORK,project=CONSUMER_PROJECT

resource "google_alloydb_cluster" "default" {
  cluster_id = "alloydb-cluster"
  location   = "us-central1"
  psc_config {
    psc_enabled = true
  }
}

resource "google_alloydb_instance" "default" {
  cluster       = google_alloydb_cluster.default.name
  instance_id   = "alloydb-instance"
  instance_type = "PRIMARY"
  machine_config {
    cpu_count = 2
  }
  psc_instance_config {
    allowed_consumer_projects = [data.google_project.project.number]
    psc_auto_connections {
      consumer_network = google_compute_network.default.id
      consumer_project = data.google_project.project.project_id
    }
    psc_interface_configs {
      network_attachment_resource = google_compute_network_attachment.default.id
    }
  }
}

resource "google_compute_network" "default" {
  name                    = "alloydb-network"
  auto_create_subnetworks = false
}

resource "google_compute_subnetwork" "default" {
  name          = "alloydb-subnetwork"
  region        = "us-central1"
  network       = google_compute_network.default.id
  ip_cidr_range = "10.0.0.0/16"
}

resource "google_compute_network_attachment" "default" {
  name                  = "alloydb-network-attachment"
  region                = "us-central1"
  connection_preference = "ACCEPT_AUTOMATIC"
  subnetworks = [
    google_compute_subnetwork.default.self_link
  ]
}

data "google_project" "project" {}

擷取端點

擷取內部 IP 位址 (即執行個體的 Private Service Connect 端點) 後，您可以使用這個端點連線至執行個體。

如要查看執行個體的相關資訊，包括執行個體的 Private Service Connect 端點 IP 位址，請使用 gcloud alloydb instances describe 指令：

gcloud alloydb instances describe INSTANCE_NAME \
--project=PROJECT_ID \
--cluster=CLUSTER_ID \
--region=REGION_ID \
--format='json(pscInstanceConfig.pscAutoConnections)'

更改下列內容：

• INSTANCE_NAME：AlloyDB 執行個體的名稱。如果這個執行個體已啟用 Private Service Connect，虛擬私有雲網路中的 Private Service Connect 端點就能連線至該執行個體。
• PROJECT_ID：執行個體所在 Google Cloud 專案的 ID 或專案編號。
• CLUSTER_ID：叢集 ID。
• REGION_ID：執行個體所在的區域。

在回應中，請記下 pscInstanceConfig.pscAutoConnections.ipAddress 欄位旁顯示的值。這個值是內部 IP 位址，也是執行個體的 Private Service Connect 端點。

更新執行個體，自動建立端點

如要更新執行個體，讓系統自動建立端點，請使用 gcloud alloydb instances update 指令並搭配 --psc-auto-connections 參數：

gcloud alloydb instances update INSTANCE_ID \
    --cluster=CLUSTER_ID \
    --region=REGION_ID \
    --project=PROJECT_ID \
    --psc-auto-connections=network=CONSUMER_NETWORK,project=CONSUMER_PROJECT

更改下列內容：

• INSTANCE_ID：要更新的執行個體 ID。
• CLUSTER_ID：叢集 ID。
• REGION_ID：執行個體所在的區域。
• PROJECT_ID：執行個體所在專案的 ID。
• CONSUMER_NETWORK：建立 Private Service Connect 端點的虛擬私有雲網路路徑，例如 projects/my-host-project/global/networks/default。
• CONSUMER_PROJECT：建立 Private Service Connect 端點的專案。

設定傳出連線

如要為已啟用 Private Service Connect 的 AlloyDB 執行個體啟用傳出連線，必須設定執行個體的網路連結 URI。詳情請參閱「設定傳出連線」。

手動建立端點

以下各節說明如何手動建立 Private Service Connect 端點。

建立 AlloyDB 執行個體

您可以使用 Google Cloud 控制台、gcloud CLI 或 Terraform，建立已啟用 Private Service Connect 的執行個體。

gcloud alloydb clusters create CLUSTER_ID \
  --password=PASSWORD \
  --region=REGION_ID \
  --project=PROJECT_ID \
  --enable-private-service-connect

gcloud alloydb instances create INSTANCE_ID \
    --instance-type=PRIMARY \
    --cpu-count=CPU_COUNT \
    --availability-type=AVAILABILITY \
    --region=REGION_ID \
    --cluster=CLUSTER_ID \
    --project=PROJECT_ID \
    --allowed-psc-projects=ALLOWED_PROJECT_LIST \
    --psc-network-attachment-uri=NETWORK_ATTACHMENT_URI

resource "google_alloydb_cluster" "default" {
  cluster_id = "alloydb-cluster"
  location   = "us-central1"
  psc_config {
    psc_enabled = true
  }
}

resource "google_alloydb_instance" "default" {
  cluster       = google_alloydb_cluster.default.name
  instance_id   = "alloydb-instance"
  instance_type = "PRIMARY"
  machine_config {
    cpu_count = 2
  }
  psc_instance_config {
    allowed_consumer_projects = [data.google_project.project.number]
    psc_interface_configs {
      network_attachment_resource = google_compute_network_attachment.default.id
    }
  }
}

resource "google_compute_network" "default" {
  name                    = "alloydb-network"
  auto_create_subnetworks = false
}

resource "google_compute_subnetwork" "default" {
  name          = "alloydb-subnetwork"
  region        = "us-central1"
  network       = google_compute_network.default.id
  ip_cidr_range = "10.0.0.0/16"
}

resource "google_compute_network_attachment" "default" {
  name                  = "alloydb-network-attachment"
  region                = "us-central1"
  connection_preference = "ACCEPT_AUTOMATIC"
  subnetworks = [
    google_compute_subnetwork.default.self_link
  ]
}

data "google_project" "project" {}

取得服務連結

建立啟用 Private Service Connect 的 AlloyDB 執行個體後，請取得服務連結網址，並使用該網址建立 Private Service Connect 端點。

如要查看執行個體的詳細資料，請使用 gcloud alloydb instances describe 指令。

gcloud alloydb instances describe INSTANCE_ID \
 --cluster=CLUSTER_ID \
 --region=REGION_ID

更改下列內容：

• INSTANCE_ID：執行個體的 ID。
• CLUSTER_ID：叢集 ID。
• REGION_ID：部署 AlloyDB 叢集的區域。

指令的回應範例如下：

{
  "pscInstanceConfig": {
    "serviceAttachmentLink": "https://www.googleapis.com/compute/v1/projects/my-project/regions/my-region/serviceAttachments/my-service-attachment-id",
    "allowedConsumerProjects": [
      "45678",
      "12345",
      "67890"
    ],
    "pscDnsName": "015f5524-0555-4a0a-ac5a-0d15d64b15cb.008225d5-070a-4566-aaad-fcb3c87c5901.us-east4.alloydb-psc.goog."
  }
}

serviceAttachmentLink 參數會保留服務連結網址的值。

建立 Private Service Connect 端點

如要建立 Private Service Connect 端點，請傳遞服務連結網址和不重複的端點名稱。如要進一步瞭解如何建立 Private Service Connect 端點，請參閱「建立端點」。

您也可以使用 gcloud compute addresses create 指令，為 Private Service Connect 端點預留內部 IP 位址，然後在建立端點時使用預留的 IP 位址，或使用 Terraform 佈建內部 IP 位址和轉送規則：

resource "google_compute_address" "psc_endpoint_ip" {
  name         = "alloydb-psc-endpoint-ip"
  region       = "us-central1"
  subnetwork   = google_compute_subnetwork.default.id
  address_type = "INTERNAL"
}

resource "google_compute_forwarding_rule" "psc_endpoint" {
  name                  = "alloydb-psc-endpoint"
  region                = "us-central1"
  network               = google_compute_network.default.id
  ip_address            = google_compute_address.psc_endpoint_ip.self_link
  load_balancing_scheme = ""
  target                = google_alloydb_instance.default.psc_instance_config[0].service_attachment_link
}

在多專案 Shared VPC 或中樞與輪輻網路中設定端點

在多專案架構中，您可以在主機或中樞專案中部署集中式 Private Service Connect 端點。多項服務或輪輻專案中的資料庫用戶端，即可透過該端點連線至 AlloyDB 執行個體。

輪輻專案中的用戶端如何連線至集中式端點，取決於網路拓撲：

• Shared VPC：主機專案和附加的服務專案共用單一虛擬私有雲網路。任何附加服務專案中的資料庫用戶端，都能連線至相同區域的端點。如果啟用全域存取權，則可跨區域連線。

• 使用 Network Connectivity Center 的多虛擬私有雲軸輻式架構：輪輻專案使用獨立的虛擬私有雲網路，連線至 Network Connectivity Center 中樞。在中樞啟用 Private Service Connect 連線傳播後，其他虛擬私有雲輪輻中的用戶端就能連至中樞虛擬私有雲輪輻中的 Private Service Connect 端點。

• 使用虛擬私有雲網路對接的多虛擬私有雲中樞與輪輻：Private Service Connect 端點無法透過虛擬私有雲網路對接傳遞。請改為在每個對接的虛擬私有雲網路中，部署個別的 Private Service Connect 端點。

建議您在主專案中建立服務連線政策，自動佈建端點。如果無法建立服務連線政策，您可以在 Shared VPC 主專案中手動建立 Private Service Connect 端點，步驟如下：

1. 在 AlloyDB 執行個體設定中，允許擁有端點的專案。

   在 AlloyDB 執行個體的 --allowed-psc-projects 旗標中，加入您建立端點的專案 ID。在主專案中部署集中式端點時，請加入主專案 ID。如果服務專案只執行連線至主專案端點的用戶端工作負載，則不必列出。如要讓服務專案在本機部署自己的端點，請一併加入這些服務專案 ID。如要更新現有執行個體的允許專案，請執行 gcloud alloydb instances update 指令並加上 --allowed-psc-projects 旗標。--allowed-psc-projects 旗標會取代現有的允許專案清單，而非附加至清單。請一併提供所有現有的允許專案 ID 和新的主專案 ID，以免現有端點中斷連線。

2. 在主專案中，使用 gcloud compute addresses create 指令為端點預留內部 IP 位址：

   gcloud compute addresses create ADDRESS_NAME \
       --project=HOST_PROJECT_ID \
       --region=REGION_ID \
       --subnet=HOST_SUBNET

   更改下列內容：

   • ADDRESS_NAME：要指派給預留 IP 位址的名稱。

   • HOST_PROJECT_ID：Shared VPC 主機專案的專案 ID。

   • REGION_ID：端點 IP 位址的區域。這個區域必須與 AlloyDB 執行個體所在的區域相同。

   • HOST_SUBNET：提供端點 IP 位址的主機專案子網路名稱。

3. 在主機專案中，使用 gcloud compute forwarding-rules create 指令建立端點的轉送規則：

   gcloud compute forwarding-rules create ENDPOINT_NAME \
       --project=HOST_PROJECT_ID \
       --region=REGION_ID \
       --network=HOST_NETWORK \
       --address=ADDRESS_NAME \
       --target-service-attachment=SERVICE_ATTACHMENT_URL

   更改下列內容：

   • ENDPOINT_NAME：要指派給端點的名稱。

   • HOST_PROJECT_ID：Shared VPC 主機專案的專案 ID。

   • REGION_ID：端點的區域。

   • HOST_NETWORK：主機虛擬私有雲網路的名稱。

   • ADDRESS_NAME：上一步中預留 IP 位址的名稱。

   • SERVICE_ATTACHMENT_URL：從 AlloyDB 執行個體擷取的服務連結網址。

   如要允許 Shared VPC 網路中任何區域的用戶端連線至端點，請加入選用的 --allow-psc-global-access 旗標。

4. 使用 gcloud compute forwarding-rules describe 指令，確認端點連線狀態為 ACCEPTED：

   gcloud compute forwarding-rules describe ENDPOINT_NAME \
       --project=HOST_PROJECT_ID \
       --region=REGION_ID \
       --format="value(pscConnectionStatus)"

5. 將共用子網路的 Compute 網路使用者 (roles/compute.networkUser) 角色授予各服務專案的管理員和服務代理。

   Shared VPC 網路中的用戶端工作負載不需要端點子網路的 roles/compute.networkUser 角色，即可將網路流量傳送至主專案端點。不過，Shared VPC 管理員必須在主專案或共用子網路上授予 roles/compute.networkUser 角色，服務專案管理員和服務代理才能在共用子網路上佈建 Compute Engine VM 或 Google Kubernetes Engine (GKE) 叢集。

   如要授予共用子網路的 roles/compute.networkUser 角色，請執行 gcloud compute networks subnets add-iam-policy-binding 指令：

   gcloud compute networks subnets add-iam-policy-binding SHARED_SUBNET \
       --project=HOST_PROJECT_ID \
       --region=SUBNET_REGION_ID \
       --member=PRINCIPAL \
       --role=roles/compute.networkUser

   更改下列內容：

   • SHARED_SUBNET：主專案中共用子網路的名稱，服務專案會在該子網路中部署用戶端資源，例如 Compute Engine VM 或 GKE 節點。這個子網路不一定要是您預留端點 IP 位址的 HOST_SUBNET 子網路。

   • HOST_PROJECT_ID：Shared VPC 主機專案的專案 ID。

   • SUBNET_REGION_ID：共用子網路的區域。

   • PRINCIPAL：服務專案中的主體，例如 user:admin@example.com 或 serviceAccount:SERVICE_PROJECT_NUMBER@cloudservices.gserviceaccount.com。

   如果服務或輪輻專案中的用戶端工作負載，是透過 AlloyDB Auth Proxy、AlloyDB 語言連接器或 IAM 資料庫驗證機制連線，請將必要的 AlloyDB 用戶端角色 (roles/alloydb.client 和 roles/alloydb.databaseUser) 授予 AlloyDB 叢集所在專案中的工作負載服務帳戶，而非主專案或中樞專案。

6. 在主專案中設定私人 DNS 區域和記錄，並將該區域與共用虛擬私有雲網路建立關聯。

   在 Shared VPC 中，所有附加的服務專案都會共用主機虛擬私有雲網路，並自動解析執行個體的 pscDnsName 主機名稱，不需在每個服務專案中建立個別的 DNS 區域。在多虛擬私有雲中樞與輪輻拓撲中，如果輪輻專案使用不同的虛擬私有雲網路，請使用跨專案繫結或 Cloud DNS 對接區域，將私人 DNS 區域繫結至輪輻虛擬私有雲網路。

或者，如要讓服務專案管理員使用共用子網路，直接在各自的服務專案中建立及管理端點，請參閱「在 Shared VPC 服務專案中建立端點」。

設定傳出連線

如要啟用外送連線，請在建立或更新 AlloyDB 執行個體時，設定網路連結 URI。在執行遷移等傳出作業時，這項 URI 可確保專案與 AlloyDB 執行個體之間的連線安全。

建立網路連結

您可以建立可自動 (ACCEPT_AUTOMATIC) 或手動 (ACCEPT_MANUAL) 接受連線的網路連結。如要進一步瞭解如何建立網路連結，請參閱「建立及管理網路連結」。

如果選擇建立自動接受連線的網路連結，就不需要明確設定接受的專案清單。如要手動接受連線，您必須將 AlloyDB 執行個體所在專案的服務擁有專案編號，新增至已接受專案清單。

如要找出服務擁有的專案編號，請執行下列指令：

gcloud alloydb clusters describe CLUSTER_ID --region=REGION_ID

以下是回應範例：

pscConfig:
  pscEnabled: true
  serviceOwnedProjectNumber: 123456789012

找出服務擁有的專案編號後，請將該專案新增至已接受的專案清單，然後建立網路連結。

請確認網路連結的區域與 AlloyDB 執行個體的區域相同。此外，用於建立網路連結的子網路必須屬於 RFC 1918 IP 範圍，即 10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16。

更新執行個體以建立傳出連線

如要為已啟用 Private Service Connect 的現有 AlloyDB 執行個體啟用傳出連線，請使用 gcloud alloydb instances update 指令並加上 --psc-network-attachment-uri 參數：

gcloud alloydb instances update INSTANCE_ID \
    --cluster=CLUSTER_ID \
    --region=REGION_ID \
    --project=PROJECT_ID \
    --psc-network-attachment-uri=NETWORK_ATTACHMENT_URI

更改下列內容：

• INSTANCE_ID：執行個體的 ID。
• CLUSTER_ID：叢集 ID。
• REGION_ID：執行個體所在的區域。
• PROJECT_ID：執行個體所在專案的 ID。
• NETWORK_ATTACHMENT_URI：您為傳出連線建立的網路連結 URI 完整資源名稱，例如 projects/PROJECT_ID/regions/REGION_ID/networkAttachments/NETWORK_ATTACHMENT_ID。

停用傳出連線

如要停用現有 AlloyDB 執行個體的傳出連線，請使用 gcloud alloydb instances update 指令和 --clear-psc-network-attachment-uri 參數：

gcloud alloydb instances update INSTANCE_ID \
    --cluster=CLUSTER_ID \
    --region=REGION_ID \
    --project=PROJECT_ID \
    --clear-psc-network-attachment-uri

更改下列內容：

• INSTANCE_ID：執行個體的 ID。
• CLUSTER_ID：叢集 ID。
• REGION_ID：執行個體所在的區域。
• PROJECT_ID：執行個體所在專案的 ID。

連線至 AlloyDB 執行個體

如要連線至已啟用 Private Service Connect 的 AlloyDB 執行個體，請使用下列任一選項：

• 使用 DNS 記錄直接連線
• 搭配使用 AlloyDB Auth Proxy 和 DNS 記錄
• 搭配使用 AlloyDB 語言連接器和 DNS 記錄
• 使用內部 IP 位址直接連線

如果方法使用 DNS 記錄，您必須在對應用戶虛擬私有雲網路的私人 DNS 區域中建立記錄。AlloyDB API 傳回的 pscDnsName 是預先產生的主機名稱字串，必須在用戶虛擬私有雲網路中建立私人 DNS 區域和 A 記錄，才能解析。

設定 DNS 代管區域和 DNS 記錄

如要在用戶網路中設定 DNS 代管區域和 DNS 記錄，請按照下列步驟操作：

resource "google_dns_managed_zone" "psc_dns_zone" {
  name        = "alloydb-psc-zone"
  dns_name    = google_alloydb_instance.default.psc_instance_config[0].psc_dns_name
  description = "Private DNS zone for AlloyDB PSC endpoint"
  visibility  = "private"

  private_visibility_config {
    networks {
      network_url = google_compute_network.default.id
    }
  }
}

resource "google_dns_record_set" "psc_dns_record" {
  name         = google_alloydb_instance.default.psc_instance_config[0].psc_dns_name
  type         = "A"
  ttl          = 300
  managed_zone = google_dns_managed_zone.psc_dns_zone.name
  rrdatas      = [google_compute_address.psc_endpoint_ip.address]
}

使用 DNS 記錄直接連線

建立 Private Service Connect 端點，並為執行個體的 pscDnsName 設定私人 DNS A 記錄後，您可以使用 DNS 名稱 (不含結尾點號)，直接從用戶虛擬私有雲網路中的用戶端連線：

psql -U USERNAME -h DNS_NAME -d DATABASE_NAME

更改下列內容：

• USERNAME：連線至執行個體的資料庫使用者名稱。
• DNS_NAME：解析為 Private Service Connect 端點的 DNS 記錄名稱 (例如執行個體的 pscDnsName，不含結尾的點)。
• DATABASE_NAME：要連線的資料庫名稱 (例如 postgres)。

使用 AlloyDB Auth Proxy 連線

AlloyDB Auth Proxy 是一種連接器，可讓您建立與 AlloyDB 資料庫的授權加密連線。AlloyDB Auth Proxy 的運作方式是讓本機用戶端在本機環境中執行。您的應用程式會透過資料庫使用的標準資料庫通訊協定，與 AlloyDB Auth Proxy 通訊。

在啟動 Auth Proxy 用戶端時設定 --psc 旗標，AlloyDB Auth Proxy 會使用您建立的私人 DNS 記錄解析執行個體的 pscDnsName，連線至已啟用 Private Service Connect 的執行個體。

傳遞使用 gcloud alloydb instances describe 指令擷取的執行個體 URI，並設定 --psc 旗標，啟動 Auth Proxy 用戶端。

如要進一步瞭解如何使用 Auth Proxy 連線至執行個體，請參閱「使用 AlloyDB Auth Proxy 連線」。

使用 AlloyDB 語言連接器連線

AlloyDB 語言連接器是程式庫，可在連線至 AlloyDB 執行個體時，提供採用 TLS 1.3 和 IAM 授權的自動化 mTLS。

為 Private Service Connect 設定 Language Connector 後，系統會使用您建立的私人 DNS 記錄解析執行個體的 pscDnsName，連線至執行個體。

config.addDataSourceProperty("alloydbIpType", "PSC");

  def getconn() -> pg8000.dbapi.Connection:
      conn: pg8000.dbapi.Connection = connector.connect(
          inst_uri,
          "pg8000",
          user=user,
          password=password,
          db=db,
          # use ip_type to specify PSC
          ip_type=IPTypes.PSC,
      )
      return conn

  async def getconn() -> asyncpg.Connection:
    conn: asyncpg.Connection = await connector.connect(
        inst_uri,
        "asyncpg",
        user=user,
        password=password,
        db=db,
        # use ip_type to specify PSC
        ip_type=IPTypes.PSC,
    )
    return conn

d.Dial(ctx, instURI, alloydbconn.WithPSC())

  cleanup, err := postgres.RegisterDriver(
    "alloydb",
    alloydbconn.WithDefaultDialOptions(alloydbconn.WithPSC()),
  )

直接透過內部 IP 位址連線

建立 Private Service Connect 端點後，您可以使用端點的內部 IP 位址直接連線至 AlloyDB 執行個體，不必設定 DNS 記錄。

1. 如要擷取手動建立的 Private Service Connect 端點 IP 位址，請使用 gcloud compute addresses describe 指令：

   gcloud compute addresses describe ADDRESS_NAME \
   --project=PROJECT_ID \
   --region=REGION_NAME

   更改下列內容：

   • ADDRESS_NAME：端點預留 IP 位址資源的名稱。
   • PROJECT_ID：端點所在 Google Cloud 專案的 ID 或專案編號。
   • REGION_NAME：端點的區域名稱。

2. 如要連線至 AlloyDB 執行個體，請使用內部 IP 位址：

   psql -U USERNAME -h IP_ADDRESS

   更改下列內容：

   • USERNAME：連線至執行個體的使用者名稱。
   • IP_ADDRESS：端點的內部 IP 位址。

限制

• 您最多可以設定 20 個 Private Service Connect 端點，連線至已啟用 Private Service Connect 的 AlloyDB 執行個體服務連結。
• 建立已啟用 Private Service Connect 的叢集時，無法使用 --network 旗標，因為該旗標與私人服務存取權相關聯。
• 您無法在現有執行個體上啟用或停用 Private Service Connect。
• 如果執行個體已啟用 Private Service Connect，就無法設定使用私人服務存取權。