Private Service Connect 可讓用戶從虛擬私有雲 (VPC) 網路內部私下存取代管服務。同樣地，代管服務供應商也能在自己的獨立虛擬私有雲網路和專案中託管這些服務，並為消費者提供私人連線。Private Service Connect 連線不會在虛擬私有雲輪輻之間傳遞。透過 Network Connectivity Center (NCC) 中樞傳播 Private Service Connect 服務後，同一中樞內的其他輪輻虛擬私有雲，即可透過路由表連至這些服務。
NCC 也支援下列功能：
- 區域端點傳播。如要進一步瞭解區域端點，請參閱「關於透過 Private Service Connect 端點存取區域端點」。
- 虛擬私有雲流量記錄，用於記錄傳播至內部直通式網路負載平衡器的 Private Service Connect 連線。如要進一步瞭解這項功能，請參閱虛擬私有雲流量記錄說明文件的「透過 Private Service Connect 傳送 VM 對 VM 流量」一節。
NCC Private Service Connect 連線傳播功能適用於下列用途：
您可以使用一般服務虛擬私有雲網路，建立多個 Private Service Connect 用戶端點。只要將單一通用服務虛擬私有雲網路新增至 NCC 中樞，該網路中的所有 Private Service Connect 用戶端點，都能透過 NCC 中樞，由其他虛擬私有雲輪輻存取。這項連線能力讓您不必個別管理每個虛擬私有雲網路中的各個 Private Service Connect 端點。
您可以從混合輪輻可連線的地端部署網路，存取虛擬私有雲輪輻網路中的代管服務。
將虛擬私有雲輪輻連結至已啟用傳播連線的中樞時，NCC 會在該輪輻中，為連結至相同中樞的所有端點建立傳播連線，除非端點的子網路已排除在匯出範圍之外。將虛擬私有雲網路新增至 NCC 中樞，做為虛擬私有雲輪輻後，新的 Private Service Connect 端點也會傳播，除非端點的子網路已排除在匯出範圍外。
如要設定已啟用 Private Service Connect 傳播連線的中樞，中樞管理員必須建立中樞，並啟用 Private Service Connect 傳播功能，或使用 --export-psc 旗標更新傳播設定。接著，中樞管理員必須將虛擬私有雲網路新增為中樞的輪輻。輪輻擁有者可以使用 --exclude-export-ranges 和 --include-export-ranges 旗標，從 NCC 路由中排除特定 Private Service Connect 分配的子網路，這樣其他虛擬私有雲網路就無法連線至指定子網路，讓這些子網路保持私密，僅供本機虛擬私有雲網路使用。
如要瞭解 Private Service Connect 傳播連線，請參閱「關於傳播連線」。
如要瞭解 --exclude-export-ranges 和 --include-export-ranges 旗標，請參閱「使用匯出篩選器的虛擬私有雲連線」。
如要進一步瞭解如何為 Private Service Connect 傳播連線設定中樞，請參閱「設定中樞」。
連線傳播限制
如要進一步瞭解傳播連線限制，請參閱「傳播連線限制」。
注意事項
啟用 Private Service Connect 傳播連線前，請考量下列事項：
Private Service Connect 傳播連線僅適用於虛擬私有雲輪輻。
不支援跨虛擬私有雲輪輻傳播 Private Service Connect IPv6 連線。
如要將傳播的 Private Service Connect 連線提供給連至混合式輪輻的地端部署網路，請按照下列步驟操作：
NCC 中樞只能有一個轉送虛擬私有雲網路，其中包含所有混合式輪輻。
中樞的單一轉送虛擬私有雲網路也必須是虛擬私有雲輪輻。
如果中樞有兩個以上的轉送虛擬私有雲網路，則這些網路都不能是虛擬私有雲輪輻。因此，如果中樞有兩個以上的轉送虛擬私有雲網路，就無法將傳播的 Private Service Connect 連線提供給地端部署網路。
如要讓 Private Service Connect 傳播功能與混合輪輻搭配運作，也必須將轉送虛擬私有雲網路新增為虛擬私有雲輪輻。
使用私用公開 IP 位址範圍的 Private Service Connect 端點，不會傳播至 NCC 中樞。
如果虛擬私有雲輪輻中的子網路設有 Private NAT，可存取 NCC 中樞，則從子網路傳送至傳播的 Private Service Connect 服務流量會遭到捨棄。如果 Private NAT 閘道設為
--nat-all-subnet-ip-ranges，則這個輪輻虛擬私有雲中的所有子網路，都無法透過 NCC 傳播 Private Service Connect。如要從這個虛擬私有雲輪輻的非重疊子網路運作，請為 Private NAT 閘道使用--nat-custom-subnet-ip-ranges。請勿使用 NAT 將不重疊子網路的流量轉送至 NCC 中樞。如果您在短時間內建立、刪除及重新建立 Private Service Connect 端點，傳播狀態可能不準確。不過，一段時間後，傳播狀態就會變得準確，並反映傳播連線的實際狀態。這項程序最多需要 15 分鐘。
建立或刪除輪輻後，Private Service Connect 連線會以非同步方式傳播。從中樞移除虛擬私有雲輪輻後，可能需要一段時間，系統才會更新傳播的 Private Service Connect 連線。在 Private Service Connect 傳播連線更新期間，即使虛擬私有雲輪輻已新增至新中樞，虛擬私有雲網路中 VM 的流量仍可流向後端。為避免流量流向後端，請務必先刪除先前中樞內虛擬私有雲網路的所有傳播狀態項目 (無論是來源輪輻或目標輪輻)，再將輪輻新增至其他中樞。
Private Service Connect 連線傳播狀態
NCC 可讓您查看 NCC 中樞內 Private Service Connect 連線傳播的狀態。您可以查看狀態摘要，或深入瞭解特定錯誤，查看錯誤詳細資料。
下表列出傳播狀態碼及其代表意義。
| 程式碼 | 訊息 |
|---|---|
| 準備就緒 | 傳播的 Private Service Connect 連線已就緒。 |
| 傳播 | Private Service Connect 連線傳播作業待處理。這是目前暫時的狀態。 |
| 錯誤：超過供應商傳播連線限制 | 無法傳播 Private Service Connect 連線，因為目標輪輻的專案或虛擬私有雲網路已超過供應商設定的傳播連線限制。如要解決這個問題，請參閱生產者的說明文件，或與支援團隊聯絡。 |
| 錯誤，供應端網路位址轉譯 (NAT) IP 空間已用盡 | 網路位址轉譯 (NAT) IP 子網路空間已用盡，因此無法傳播 Private Service Connect 連線。這相當於 PSC 連線的 Needs attention 狀態。詳情請參閱 Private Service Connect 說明文件中的「連線狀態」一節。 |
| 錯誤：超過供應端配額 | 已超過供應商虛擬私有雲網路的 PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK 配額，因此無法傳播 Private Service Connect 連線。 |
| 錯誤：超過用戶端配額 | 無法傳播 Private Service Connect 連線，因為已超過用戶虛擬私有雲網路的 PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK 配額。 |
如要瞭解如何查看 Private Service Connect 連線傳播狀態，請參閱「查看 Private Service Connect 連線傳播狀態」。如需 Private Service Connect 連線傳播疑難排解資訊，請參閱「排解 Private Service Connect 連線傳播錯誤」。
透過 Private Service Connect 端點存取全域 Google API
虛擬私有雲輪輻可以透過 Private Service Connect 端點匯出全域 Google API，以便傳播至中樞內的其他輪輻。您可以在中樞使用 --export-psc-global-google-apis 旗標，允許跨輪輻存取 Google API，透過 Private Service Connect 端點在 Google API 上啟用這項功能。您也可以將 Private Service Connect Google API 端點的 /32 IP 位址新增至排除篩選器，將其排除在傳播範圍之外。
如要設定透過 Private Service Connect 端點將全域 Google API 傳播至其他輪輻，請執行下列工作：
- 使用
gcloud network-connectivity hubs create指令建立 NCC 中樞。 - 使用
gcloud network-connectivity spokes linked-vpc-network create指令建立虛擬私有雲網路，並連結至 NCC 中樞。 - 使用
gcloud compute addresses create指令，在虛擬私有雲網路上建立 Private Service Connect 全域 IP 位址。 - 使用
gcloud compute forwarding-rules create指令建立全域 Google API 端點。 使用
gcloud beta network-connectivity hubs update指令更新中樞，啟用將 Private Service Connect 全域 Google API 端點傳播至其他輪輻的功能啟用傳播選項後，任何虛擬私有雲輪輻中，不在排除範圍內的 Private Service Connect 全域 Google API 端點，都會傳播至 NCC 中樞的每個虛擬私有雲輪輻。其他直接連線至中樞的虛擬私有雲輪輻，可以將流量傳送至正在傳播的 Private Service Connect 全域 Google API 端點 IP 位址，藉此存取 Google API 服務。
如要進一步瞭解 Private Service Connect 傳播連線，請參閱「關於傳播連線」。
後續步驟
- 如要建立中樞和輪輻，請參閱「使用中樞和輪輻」。
- 如要查看解決方案與 NCC 整合的合作夥伴清單，請參閱「NCC 合作夥伴」。
- 如要瞭解常見問題的解決方法，請參閱「疑難排解」。
- 如要進一步瞭解 API 和 Google Cloud CLI 指令，請參閱「API 和參考資料」。