Configurare l'accesso privato Google in Firestore con compatibilità MongoDB

Questa pagina descrive come attivare e configurare l'accesso privato Google in Cloud Firestore.

Informazioni sull'accesso privato Google in Cloud Firestore

Per impostazione predefinita, quando una VM Compute Engine non ha un indirizzo IP esterno assegnato alla sua interfaccia di rete, può inviare pacchetti solo ad altre destinazioni con indirizzi IP interni. Puoi consentire a queste VM di connettersi al servizio Cloud Firestore abilitando l'accesso privato Google sulla subnet utilizzata dall'interfaccia di rete della VM.

Servizi e protocolli applicabili

  • Le istruzioni contenute in questa guida si applicano solo a Cloud Firestore.

  • I domini predefiniti e VIP utilizzati da Cloud Firestore e i relativi intervalli IP supportano solo il protocollo MongoDB sulla porta 443. Tutti gli altri protocolli non sono supportati.

Requisiti di rete

Un'interfaccia VM può raggiungere le API di Google e i servizi tramite la rete Google interna utilizzando l'accesso privato Google se sono soddisfatte tutte le seguenti condizioni:

  • L'interfaccia della VM è connessa a una subnet in cui è abilitato l'accesso privato Google.

  • All'interfaccia della VM non è assegnato un indirizzo IP esterno.

  • L'indirizzo IP di origine dei pacchetti inviati dalla VM corrisponde a uno dei seguenti indirizzi IP.

    • L'indirizzo IPv4 interno principale dell'interfaccia della VM
    • Un indirizzo IPv4 interno da un intervallo IP alias

Una VM con un indirizzo IPv4 esterno assegnato alla sua interfaccia di rete non richiede l'accesso privato Google per connettersi alle API di Google e ai servizi Google. Tuttavia, la rete VPC deve soddisfare i requisiti per l'accesso alle API di Google e ai servizi.

Autorizzazioni IAM

I Project Owner, gli editor e le entità IAM del progetto con il ruolo Network Admin possono creare o aggiornare subnet e assegnare indirizzi IP.

Per saperne di più sui ruoli, consulta la documentazione dei ruoli IAM.

Logging

Cloud Logging acquisisce tutte le richieste API effettuate dalle istanze VM nelle subnet con l'accesso privato Google abilitato. Le voci di log identificano l'origine della richiesta API come indirizzo IP interno dell'istanza chiamante.

Puoi configurare i report sull'utilizzo giornaliero e di rollup mensile in modo che vengano inviati a un bucket Cloud Storage. Per i dettagli, consulta la pagina Visualizzazione dei report sull'utilizzo.

Riepilogo configurazione

La tabella seguente riassume i diversi modi in cui puoi configurare l'accesso privato Google in Cloud Firestore. Per istruzioni più dettagliate, consulta Configurazione di rete.

Opzione di dominio Intervalli IP Configurazione DNS Configurazione del routing Configurazione del firewall

Dominio predefinito (firestore.goog)

I domini predefiniti vengono utilizzati se non configuri i record DNS per restricted.firestore.goog.

136.124.0.0/23 Puoi accedere al servizio Cloud Firestore tramite i suoi indirizzi IP pubblici, quindi non è richiesta alcuna configurazione DNS speciale.

Verifica che la tua rete VPC possa instradare il traffico verso gli intervalli di indirizzi IP utilizzati dal servizio Cloud Firestore.

  • Configurazione di base: verifica di avere route predefinite con hop successivo default-internet-gateway e un intervallo di destinazione di 0.0.0.0/0. Crea queste route se non sono presenti.
  • Configurazione personalizzata: crea route per l'intervallo di indirizzi IP 136.124.0.0/23.

Verifica che le regole firewall consentano il traffico in uscita verso l'intervallo di indirizzi IP 136.124.0.0/23.

La regola firewall predefinita per il traffico in uscita consente questo traffico, se non esiste una regola con priorità più alta che lo blocca.

restricted.firestore.goog

Utilizza restricted.firestore.goog per accedere al servizio Cloud Firestore utilizzando un insieme di indirizzi IP instradabili solo dall'interno di Google Cloud. Può essere utilizzato negli scenari dei Controlli di servizio VPC.

199.36.153.2/31 Configura i record DNS per inviare richieste all'intervallo di indirizzi IP 199.36.153.2/31. Verifica che la tua rete VPC abbia route verso l'intervallo di indirizzi IP 199.36.153.2/31. Verifica che le regole firewall consentano il traffico in uscita verso l'intervallo di indirizzi IP 199.36.153.2/31.

Configurazione di rete

Questa sezione descrive come configurare la rete per accedere a Cloud Firestore utilizzando l'accesso privato Google.

Configurazione DNS

A differenza di altre API di Google, l'API Cloud Firestore utilizza nomi di dominio e indirizzi IP diversi per l'accesso privato Google:

  • restricted.firestore.goog abilita l'accesso API all'API Cloud Firestore.

    • Indirizzi IP: 199.36.153.2 e 199.36.153.3.

    • Poiché Cloud Firestore è conforme ai Controlli di servizio VPC, puoi utilizzare questo dominio negli scenari dei Controlli di servizio VPC.

Per creare una zona DNS e i record per Cloud Firestore:

  1. Crea una zona DNS privata per firestore.goog.

    A questo scopo, valuta la possibilità di creare una zona privata di Cloud DNS.

  2. Nella zona firestore.goog, crea i seguenti record:

    1. Un record A per restricted.firestore.goog che punta ai seguenti indirizzi IP: 199.36.153.2 e 199.36.153.3.

    2. Un record CNAME per *.firestore.goog che punta a restricted.firestore.goog.

    Per creare questi record in Cloud DNS, consulta Aggiungi un record.

Configurazione del routing

La tua rete VPC deve avere route appropriate i cui hop successivi sono il gateway internet predefinito. Google Cloud non supporta il routing del traffico verso le API di Google e i servizi tramite altre istanze VM o hop successivi personalizzati. Anche se viene chiamato gateway internet predefinito, i pacchetti inviati dalle VM della tua rete VPC alle API e ai servizi di Google rimangono all'interno della rete di Google.

  • Se selezioni l'opzione di dominio predefinito, le tue istanze VM si connettono al servizio Cloud Firestore utilizzando il seguente intervallo di indirizzi IP pubblici: 136.124.0.0/23 . Questi indirizzi IP sono instradabili pubblicamente, ma il percorso da una VM in una rete VPC a questi indirizzi rimane all'interno della rete di Google.

  • Google non pubblica route su internet per nessuno degli indirizzi IP utilizzati dal dominio restricted.firestore.goog. Di conseguenza, questo dominio è accessibile solo dalle VM in una rete VPC o dai sistemi on-premise connessi a una rete VPC.

Se la tua rete VPC contiene una route predefinita il cui hop successivo è il gateway internet predefinito, puoi utilizzare questa route per accedere al servizio Cloud Firestore, senza dover creare route personalizzate. Per maggiori dettagli, consulta Routing con una route predefinita.

Se hai sostituito una route predefinita (destinazione 0.0.0.0/0 o ::0/0) con una route personalizzata il cui hop successivo non è il gateway internet predefinito, puoi soddisfare i requisiti di routing per il servizio Cloud Firestore utilizzando il routing personalizzato.

Routing con una route predefinita

Ogni rete VPC contiene una route predefinita IPv4 (0.0.0.0/0) quando viene creata.

La route predefinita fornisce un percorso agli indirizzi IP per le seguenti destinazioni:

  • Dominio predefinito (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

Per istruzioni sulla console Google Cloud e su Google Cloud CLI su come controllare la configurazione di una route predefinita in una determinata rete, consulta Configura l'accesso privato Google.

Routing con route personalizzate

In alternativa a una route predefinita, puoi utilizzare route statiche personalizzate, ciascuna con una destinazione più specifica e ciascuna che utilizza l'hop successivo del gateway internet predefinito. Gli indirizzi IP di destinazione per le route dipendono dal dominio scelto:

  • Dominio predefinito (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

Per istruzioni sulla console Google Cloud e su Google Cloud CLI su come controllare la configurazione delle route personalizzate in una determinata rete, consulta Configura l'accesso privato Google.

Configurazione del firewall

La configurazione del firewall della tua rete VPC deve consentire l'accesso dalle VM agli indirizzi IP utilizzati dal servizio Cloud Firestore. La regola allow egress implicita soddisfa questo requisito.

In alcune configurazioni del firewall, devi creare regole di autorizzazione in uscita specifiche. Ad esempio, supponiamo che tu abbia creato una regola di negazione in uscita che blocca il traffico verso tutte le destinazioni (0.0.0.0 per IPv4). In questo caso, devi creare una regola firewall di autorizzazione in uscita con priorità superiore rispetto alla regola di negazione in uscita per ogni intervallo di indirizzi IP utilizzato dal dominio scelto:

  • Dominio predefinito (firestore.goog: 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

Per creare regole firewall, consulta Creazione di regole firewall. Puoi limitare le VM a cui si applicano le regole firewall quando definisci la destinazione di ogni regola di autorizzazione in uscita.

Configurazione dell'accesso privato Google

Puoi abilitare l'accesso privato Google dopo aver soddisfatto i requisiti di rete nella tua rete VPC. Per le istruzioni relative alla console Google Cloud e a Google Cloud CLI, segui i passaggi descritti in Abilita l'accesso privato Google.

Passaggi successivi