Kết nối với CloudSQL thông qua Private Service Connect (Terraform)

1. Tổng quan

Có một số cách để kết nối với một phiên bản Cloud SQL riêng tư từ một dự án hoặc VPC khác. Private Service Connect (PSC) cho phép nhà sản xuất dịch vụ hiển thị dịch vụ của họ thông qua các tệp đính kèm dịch vụ. Người dùng có thể sử dụng các tệp đính kèm dịch vụ này để tạo điểm cuối PSC và/hoặc phần phụ trợ PSC trong môi trường của họ và kết nối với các dịch vụ nhà sản xuất này thông qua một IP riêng tư được chỉ định.

Cloud SQL có khả năng sử dụng tệp đính kèm dịch vụ PSC để cho phép kết nối riêng tư. Trong lớp học này, bạn có thể định cấu hình và kiểm thử tuỳ chọn này.

Trong lớp học này, bạn sẽ xây dựng một cấu trúc đơn giản minh hoạ cách sử dụng quyền truy cập vào điểm cuối PSC bằng CloudSQL.

Hình 1.

1893f48fe1298ea2.png

Đối với lớp học này, bạn sẽ cần hai dự án hoặc các VPC riêng biệt trong cùng một dự án.

Mục tiêu

Trong lớp học này, bạn sẽ tìm hiểu cách thực hiện nhiệm vụ sau:

  • Tạo một phiên bản CloudSQL có tệp đính kèm dịch vụ PSC.
  • Tạo địa chỉ IP tĩnh
  • Tạo điểm cuối PSC trong VPC của người dùng để kết nối với cơ sở dữ liệu CloudSQL
  • Xác minh quyền truy cập vào cơ sở dữ liệu SQL từ một máy ảo thử nghiệm trong mạng của người dùng thông qua IP điểm cuối PSC.

2. Cách thiết lập và các yêu cầu

Thiết lập môi trường theo tốc độ của riêng bạn

  1. Đăng nhập vào Google Cloud Console rồi tạo một dự án mới hoặc sử dụng lại một dự án hiện có. Nếu chưa có tài khoản Gmail hoặc Google Workspace, bạn phải tạo một tài khoản.

fbef9caa1602edd0.png

a99b7ace416376c4.png

5e3ff691252acf41.png

  • Tên dự án là tên hiển thị cho người tham gia dự án này. Đây là một chuỗi ký tự không được API của Google sử dụng. Bạn luôn có thể cập nhật thông tin này.
  • Mã dự án là duy nhất trên tất cả các dự án Google Cloud và không thể thay đổi (không thể thay đổi sau khi đặt). Cloud Console sẽ tự động tạo một chuỗi duy nhất; thường thì bạn không cần quan tâm đến chuỗi này. Trong hầu hết các lớp học lập trình, bạn sẽ cần tham chiếu đến Mã dự án (thường được xác định là PROJECT_ID). Nếu không thích mã được tạo, bạn có thể tạo một mã ngẫu nhiên khác. Ngoài ra, bạn có thể thử dùng email của riêng mình để xem có thể sử dụng hay không. Bạn không thể thay đổi thông tin này sau bước này và thông tin này sẽ được giữ nguyên trong suốt thời gian diễn ra dự án.
  • Xin lưu ý rằng có một giá trị thứ ba là Mã dự án mà một số API sử dụng. Tìm hiểu thêm về cả ba giá trị này trong tài liệu.
  1. Tiếp theo, bạn cần bật tính năng thanh toán trong Cloud Console để sử dụng các tài nguyên/API trên Cloud. Việc tham gia lớp học lập trình này sẽ không tốn kém nhiều chi phí, nếu có. Để tắt các tài nguyên nhằm tránh bị tính phí sau khi hoàn tất hướng dẫn này, bạn có thể xoá các tài nguyên đã tạo hoặc xoá dự án. Người dùng mới của Google Cloud đủ điều kiện tham gia chương trình Dùng thử miễn phí 300 USD.

Khởi động Cloud Shell

Mặc dù có thể điều khiển Google Cloud từ xa trên máy tính xách tay, nhưng trong lớp học lập trình này, bạn sẽ sử dụng Google Cloud Shell, một môi trường dòng lệnh chạy trên đám mây.

Trong Bảng điều khiển Google Cloud, hãy nhấp vào biểu tượng Cloud Shell trên thanh công cụ trên cùng bên phải:

55efc1aaa7a4d3ad.png

Quá trình cấp phép và kết nối với môi trường sẽ chỉ mất vài phút. Khi quá trình này hoàn tất, bạn sẽ thấy như sau:

7ffe5cbb04455448.png

Máy ảo này được tải sẵn tất cả các công cụ phát triển mà bạn cần. Ứng dụng này cung cấp một thư mục gốc 5 GB ổn định và chạy trên Google Cloud, giúp nâng cao đáng kể hiệu suất mạng và xác thực. Bạn có thể thực hiện tất cả công việc trong lớp học lập trình này trong một trình duyệt. Bạn không cần cài đặt gì cả.

3. Nhiệm vụ 1. Thiết lập môi trường cho dự án cơ sở dữ liệu bằng (Terraform)

Trong dự án cơ sở dữ liệu,chúng ta sẽ tạo một VPC tuỳ chỉnh có quy tắc về Tường lửa và mạng con. Mở bảng điều khiển trên đám mây rồi chọn dự án mà bạn sẽ sử dụng cho cơ sở dữ liệu.

  1. Mở Cloud Shell ở đầu bảng điều khiển ở bên phải, đảm bảo bạn thấy Mã dự án của cơ sở dữ liệu cho dự án cơ sở dữ liệu trong Cloud Shell, xác nhận mọi lời nhắc để cho phép truy cập. 4261e776f64ea978.png
  2. Tạo một thư mục có tên terraform-db rồi chuyển sang thư mục
mkdir terraform-db  && cd terraform-db
  1. Tạo tệp main.tf, variable.tf và database.tf.
touch main.tf variable.tf database.tf
  1. Chuyển sang chế độ xem Trình chỉnh sửa Cloud Shell. Chọn editor (trình chỉnh sửa), đảm bảo bạn cho phép mọi lời nhắc cần thiết để giao diện có thể tải.
  2. Sau khi tải, hãy chuyển đến File > Open Folder (Tệp > Mở thư mục) rồi chuyển đến /home/your-user-name/terraform-db và chọn Ok để mở thư mục trong trình chỉnh sửa. 78f5eb9f2f82f1b0.png
  3. Chọn tệp variable.tf rồi thêm nội dung sau. Thay thế văn bản your-database-project-id-here bằng mã dự án cơ sở dữ liệu thực tế của bạn trong dấu ngoặc kép. Thay thế văn bản your-consumer-project-id-here bằng mã dự án người tiêu dùng thực tế của bạn trong dấu ngoặc kép.
variable "project_id" {
  type = string
  default = "your-database-project-id-here"
}

variable "project_id_consumer" {
  type = set(string)
  default = ["your-consumer-project-id-here"]
}

variable "network_id" {
  type = string
  default = "database-net"
}

variable "region_id" {
  type = string
  default = "us-east1"
}

variable "db_password" {
  type = string
  default = "cloudsql24"
}
  1. Tiếp theo, hãy mở tệp main.tf. Chúng ta sẽ thêm một số mã terraform để thực hiện nhiều thao tác như giải thích bên dưới.

Bật API

resource "google_project_service" "default"

Tạo VPC

resource "google_compute_network" "default"

Thêm quy tắc tường lửa

resource "google_compute_firewall" "allow_icmp"

  1. Sao chép và dán nội dung sau vào tệp .tf chính.
resource "google_project_service" "default" {
  for_each = toset([
    "compute.googleapis.com",
    "sqladmin.googleapis.com"
  ])

  service            = each.value
  disable_on_destroy = false
}

resource "google_compute_network" "default" {
  project                 = var.project_id
  name                    = var.network_id
  auto_create_subnetworks = true
  mtu                     = 1460
  routing_mode            = "GLOBAL"
}

resource "google_compute_firewall" "allow_icmp" {
  name    = "allow-icmp-${google_compute_network.default.name}"
  network = google_compute_network.default.id
  project = var.project_id

  allow {
    protocol = "icmp"
  }

  source_ranges = ["0.0.0.0/0"]
  target_tags   = ["allow-icmp"]
}

resource "google_compute_firewall" "allow_ssh" {
  name    = "allow-ssh-${google_compute_network.default.name}"
  network = google_compute_network.default.id
  project = var.project_id

  allow {
    protocol = "tcp"
    ports    = ["22"]
  }

  source_ranges = ["0.0.0.0/0"]
  target_tags   = ["allow-ssh"]
}

resource "google_compute_firewall" "allow_sql" {
  name    = "allow-sql-${google_compute_network.default.name}"
  network = google_compute_network.default.id
  project = var.project_id

  allow {
    protocol = "tcp"
    ports    = ["3306"]
  }

  source_ranges = ["0.0.0.0/0"]
 }

resource "google_compute_firewall" "allow_internal" {
  name    = "allow-internal-${google_compute_network.default.name}"
  network = google_compute_network.default.id
  project = var.project_id

  allow {
    protocol = "icmp"
    }


  allow {
    protocol = "tcp"
    ports    = ["0-65535"]
  }
  allow {
    protocol = "udp"
    ports    = ["0-65535"]
  }

  source_ranges = ["10.128.0.0/9"]
 }
  1. Chuyển về cửa sổ dòng lệnh Cloud Shell, đảm bảo bạn đang ở thư mục terraform-db cd terraform-db rồi chạy các lệnh sau

terraform init

Khởi chạy thư mục đang hoạt động. Bước này sẽ tải các nhà cung cấp cần thiết cho cấu hình đã cho.

terraform plan

Tạo một kế hoạch thực thi, cho biết những hành động mà Terraform sẽ thực hiện để triển khai cơ sở hạ tầng của bạn.

  1. Bây giờ, để tạo tài nguyên, hãy chạy lệnh terraform apply và nhập yes để chạy.

4. Nhiệm vụ 2. Tạo phiên bản CloudSQL có tệp đính kèm PSC (Terraform)

Hãy sử dụng Terraform để tạo một phiên bản CloudSQL, với tuỳ chọn PSC để cho phép kết nối. Hoàn tất cấu hình này trong dự án cơ sở dữ liệu.

  1. Chuyển sang chế độ xem Trình chỉnh sửa Cloud Shell. Đảm bảo bạn đang ở thư mục terraform-db. Chọn tệp database.tf rồi thêm nội dung sau.
resource "google_sql_database_instance" "default" {
  name             = "psc-sql-db"
  region           = var.region_id
  database_version = "MYSQL_8_0"
  settings {
    tier              = "db-f1-micro"
    availability_type = "REGIONAL"
    backup_configuration {
      enabled            = true
      binary_log_enabled = true
    }
    ip_configuration {
      psc_config {
        psc_enabled               = true
        allowed_consumer_projects = var.project_id_consumer
      }
      ipv4_enabled = false
    }
  }
  deletion_protection = false 
}

resource "google_sql_user" "users" {
  name     = "testsql"
  instance = google_sql_database_instance.default.name
  password = var.db_password 
}
  1. Chuyển về cửa sổ dòng lệnh Cloud Shell,đảm bảo bạn đang ở thư mục terraform-db. Bây giờ, để tạo tài nguyên, hãy chạy lệnh terraform apply và nhập yes để chạy. Quá trình tạo thực thể CloudSQL có tệp đính kèm PSC có thể mất hơn 5 phút.

Xác minh cơ sở dữ liệu

  1. Sau khi hoàn tất, hãy chuyển đến SQL trong bảng điều khiển, chọn thực thể cơ sở dữ liệu psc-sql-db mới tạo.
  2. Ở bên trái, hãy mở rộng ngăn trượt các tuỳ chọn SQL rồi chọn Kết nối
  3. Trong thẻ tóm tắt, bạn có thể xem thông tin về kết nối.
  4. Sao chép Địa chỉ đính kèm dịch vụ rồi lưu vào một nơi nào đó trên hệ thống.
  5. Bạn sẽ cần thông tin này để hoàn thành bước 8 trong nhiệm vụ 3.

Cloud sql có tệp đính kèm psc

  1. Ở bên trái, hãy mở rộng ngăn tuỳ chọn SQL và chọn Người dùng.
  2. Bạn sẽ thấy một người dùng có tên là testsql với mật khẩu cloudsql24 (Mật khẩu này sẽ được dùng để truy cập vào cơ sở dữ liệu sau này)

5. Nhiệm vụ 3. Thiết lập môi trường cho dự án người dùng (Terraform)

Trong dự án người dùng, chúng ta sẽ tạo một VPC tuỳ chỉnh có quy tắc Tường lửa và mạng con. Mở bảng điều khiển trên đám mây rồi chọn dự án mà bạn sẽ sử dụng.

  1. Ở đầu bảng điều khiển, bên phải biểu tượng Google Cloud, hãy nhấp vào trình đơn thả xuống rồi chọn thẻ tất cả.

thanh dự ánthanh dự án 2

  1. Trong số các dự án được liệt kê, hãy chọn mã dự án người dùng để tiếp tục.
  2. Mở Cloud Shell ở đầu bảng điều khiển ở bên phải, đảm bảo bạn thấy mã dự án của người dùng trong Cloud Shell, xác nhận mọi lời nhắc để cho phép truy cập.
  3. Tạo thư mục có tên terraform-consumer và chuyển đến thư mục
mkdir terraform-consumer  && cd terraform-consumer
  1. Tạo tệp main.tf, variable.tf và psc.tf.
touch main.tf variable.tf psc.tf
  1. Chuyển sang chế độ xem Trình chỉnh sửa Cloud Shell cho mã dự án của người dùng. Chọn editor (trình chỉnh sửa), đảm bảo bạn cho phép mọi lời nhắc cần thiết để giao diện có thể tải.
  2. Sau khi tải, hãy chuyển đến File > Open Folder (Tệp > Mở thư mục) rồi chuyển đến /home/your-user-name/terraform-consumer và chọn Ok để mở thư mục trong trình chỉnh sửa. 78f5eb9f2f82f1b0.png
  3. Chọn tệp variable.tf rồi thêm nội dung sau. Thay thế văn bản your-consumer-project-id-here bằng mã dự án của người tiêu dùng thực tế của bạn trong dấu ngoặc kép. Thay thế văn bản your-psc-attachment-id-here bằng địa chỉ đính kèm psc của bạn trong dấu ngoặc kép. Đây là mã nhận dạng bạn đã sao chép trong nhiệm vụ 2 phần 2-5 d7ac9629a59abfc6.png
variable "project_id" {
  type = string
  default = "your-consumer-project-id-here"
}

variable "psc_attachment_id" {
  type = string
  default = "your-psc-attachment-id-here"
}

variable "network_id" {
  type = string
  default = "psc-endpoint-net"
}

variable "region_id" {
  type = string
  default = "us-east1"
}

variable "region_id2" {
  type = string
  default = "us-central1"
}
  1. Tiếp theo, hãy mở tệp main.tf. Chúng ta sẽ thêm một số mã terraform để thực hiện nhiều thao tác như giải thích bên dưới.

Bật API

resource "google_project_service"

Tạo VPC

resource "google_compute_network"

Tạo cổng NAT

resource "google_compute_router"
resource "google_compute_router_nat"

Thêm quy tắc tường lửa

resource "google_compute_firewall"

  1. Sao chép và dán nội dung sau vào tệp .tf chính.
resource "google_project_service" "default" {
  for_each = toset([
    "compute.googleapis.com",
    "cloudresourcemanager.googleapis.com"
  ])

  service            = each.value
  disable_on_destroy = false
}

resource "google_compute_network" "default" {
  project                 = var.project_id
  name                    = var.network_id
  auto_create_subnetworks = false
  mtu                     = 1460
  routing_mode            = "GLOBAL"
}

resource "google_compute_subnetwork" "vm_subnet" {
  name          = "vm-subnet"
  ip_cidr_range = "192.168.50.0/24"
  region        = var.region_id2
  network       = google_compute_network.default.name
  project       = var.project_id
}

resource "google_compute_subnetwork" "psc_subnet" {
  name          = "psc-subnet"
  ip_cidr_range = "192.168.90.0/24"
  region        = var.region_id
  network       = google_compute_network.default.name
  project       = var.project_id
}

resource "google_compute_router" "default" {
  name    = "outbound-nat"
  region  = var.region_id2
  network = google_compute_network.default.id

 bgp {
  asn = 64514
  }
}

resource "google_compute_router_nat" "default" {
  name = "outbound-nat-gw"
  router = google_compute_router.default.name
  region = google_compute_router.default.region
  nat_ip_allocate_option = "AUTO_ONLY"
  source_subnetwork_ip_ranges_to_nat = "ALL_SUBNETWORKS_ALL_IP_RANGES"

  log_config {
    enable = true
    filter = "ERRORS_ONLY"
  }
}

resource "google_compute_firewall" "allow_icmp" {
  name    = "allow-icmp-${google_compute_network.default.name}"
  network = google_compute_network.default.id
  project = var.project_id

  allow {
    protocol = "icmp"
  }

  source_ranges = ["0.0.0.0/0"]
  
}

resource "google_compute_firewall" "allow_ssh" {
  name    = "allow-ssh-${google_compute_network.default.name}"
  network = google_compute_network.default.id
  project = var.project_id

  allow {
    protocol = "tcp"
    ports    = ["22"]
  }

  source_ranges = ["0.0.0.0/0"]
  target_tags   = ["allow-ssh"]
}


resource "google_compute_firewall" "allow_internal" {
  name    = "allow-internal-${google_compute_network.default.name}"
  network = google_compute_network.default.id
  project = var.project_id

  allow {
    protocol = "icmp"
    }


  allow {
    protocol = "tcp"
    ports    = ["0-65535"]
  }
  allow {
    protocol = "udp"
    ports    = ["0-65535"]
  }

  source_ranges = ["192.168.0.0/16"]
 }
  1. Chuyển về cổng nối Cloud Shell, đảm bảo bạn đang ở thư mục terraform-consumer cd terraform-consumer trong dự án người dùng và chạy các lệnh sau

terraform init

Khởi chạy thư mục đang hoạt động. Bước này sẽ tải các nhà cung cấp cần thiết cho cấu hình đã cho.

terraform plan

Tạo một kế hoạch thực thi, cho biết những hành động mà Terraform sẽ thực hiện để triển khai cơ sở hạ tầng của bạn.

  1. Bây giờ, để tạo tài nguyên, hãy chạy lệnh terraform apply và nhập yes để chạy.

6. Nhiệm vụ 4. Tạo điểm cuối PSC đến tệp đính kèm cơ sở dữ liệu SQL trong dự án của người dùng và kiểm thử máy ảo (Terraform)

Hoàn tất cấu hình này trong dự án người dùng.

  1. Chuyển về trình chỉnh sửa Cloud Shell, mở thư mục terraform-consumer rồi chọn tệp psc.tf. Thêm mã Terraform sau vào tệp. Thao tác này sẽ tạo một IP nội bộ tĩnh, một điểm cuối PSC và một máy ảo thử nghiệm đã cài đặt Maria DB.
resource "google_compute_address" "default" {
  name = "psc-ip"
  region = var.region_id
  address_type = "INTERNAL"
  subnetwork = google_compute_subnetwork.psc_subnet.name
  address = "192.168.90.100" 
}

resource "google_compute_forwarding_rule" "default" {
  name = "psc-sql-endpoint"
  region = var.region_id
  network = google_compute_network.default.name
  ip_address = google_compute_address.default.self_link
  load_balancing_scheme = ""
  target = var.psc_attachment_id
}


resource "google_compute_instance" "sql_test_vm" {
  name         = "sql-test-vm"
  machine_type = "e2-medium"
  zone         = "${var.region_id2}-b"
  project      = var.project_id

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  network_interface {
    subnetwork = google_compute_subnetwork.vm_subnet.name
  }

  # No external IP address
  network_performance_config {
    total_egress_bandwidth_tier = "DEFAULT"
  }

  tags = ["allow-icmp", "allow-ssh", "allow-internal", "allow-health-check"]

  # Install MariaDB at startup
  metadata_startup_script = <<EOF
#!/bin/bash
apt-get update
apt-get install -y mariadb-server
systemctl enable mariadb
EOF
}
  1. Chuyển về cổng nối Cloud Shell, đảm bảo bạn đang ở thư mục terraform-consumer cd terraform-consumer trong dự án người dùng và chạy các lệnh sau

terraform plan

Tạo một kế hoạch thực thi, cho biết những hành động mà Terraform sẽ thực hiện để triển khai cơ sở hạ tầng của bạn.

  1. Bây giờ, để tạo tài nguyên, hãy chạy lệnh terraform apply và nhập yes để chạy
  2. Vì máy ảo và điểm cuối của chúng ta nằm ở các khu vực khác nhau, nên chúng ta cần bật Quyền truy cập toàn cầu trên điểm cuối PSC. Chúng ta thực hiện việc này thông qua bảng điều khiển
  3. Trong bảng điều khiển dự án dành cho người tiêu dùng, hãy chuyển đến phần Private Service Connect (Kết nối dịch vụ riêng tư). Trong thẻ Connected Endpoint (Điểm cuối đã kết nối), hãy xem trong phần Endpoint (Điểm cuối) rồi chọn psc-sql-endpoint
  4. Bây giờ, hãy chọn CHỈNH SỬA, sau đó nhấp vào hộp đánh dấu bên cạnh tuỳ chọn Bật quyền truy cập toàn cầu và Lưu. 7eeb5a4162f5f79d.png
  5. Tiếp tục bước tiếp theo để xác minh khả năng kết nối

7. Nhiệm vụ 5. Xác minh khả năng kết nối của điểm cuối từ máy ảo thông qua địa chỉ IP PSC

Hoàn tất việc này trong dự án người dùng

  1. Chuyển đến Phiên bản máy ảo. Chọn sql-test-vm
  2. Chọn tuỳ chọn SSH để kết nối với máy ảo.
  3. Kết nối với DB qua điểm cuối bằng cách sau:
mysql --host=192.168.90.100 --user=testsql --password=cloudsql24
  1. Khi kết nối được thiết lập, hãy tạo một cơ sở dữ liệu có psc-sql-db sau đây.
CREATE DATABASE remotesqldb;
  1. Sau khi hoàn tất, hãy nhập exit để thoát khỏi kết nối.

8. Nhiệm vụ 6. Xác minh mục nhập cơ sở dữ liệu

Hoàn tất quy trình xác minh này trong dự án cơ sở dữ liệu

  1. Ở đầu bảng điều khiển, bên phải biểu tượng Google Cloud, hãy nhấp vào trình đơn thả xuống rồi chọn thẻ tất cả.

thanh dự ánthanh dự án 2

  1. Trong các dự án được liệt kê, hãy chọn mã dự án database (cơ sở dữ liệu) để tiếp tục.
  2. Chuyển đến SQL, chọn cơ sở dữ liệu psc-sql-db, mở rộng các tuỳ chọn SQL rồi chọn Cơ sở dữ liệu. Bạn sẽ thấy cơ sở dữ liệu mà bạn vừa tạo có tên là remotesqldb từ máy ảo dự án người dùng**.**

cơ sở dữ liệu cloud sql

9. Dọn dẹp

Hoàn thành việc này trong dự án Cơ sở dữ liệu

  1. Chọn mã dự án cơ sở dữ liệu
  2. Chuyển đến Cloud Shell để đảm bảo bạn thấy mã dự án cơ sở dữ liệu
  3. Chuyển đến thư mục terraform-db cd terraform-db và chạy lệnh sau terraform destroy rồi nhập yes, tất cả tài nguyên bạn đã tạo trong dự án db bằng Terraform sẽ bị xoá.

Hoàn tất việc này trong dự án Người dùng

  1. Chọn mã dự án của người tiêu dùng
  2. Chuyển đến Cloud Shell để đảm bảo bạn thấy mã dự án của người dùng
  3. Chuyển đến thư mục terraform-consumer cd terraform-consumer và chạy lệnh sau terraform destroy rồi nhập yes, tất cả tài nguyên bạn đã tạo trong dự án db bằng Terraform sẽ bị xoá.

10. Xin chúc mừng

Xin chúc mừng! Bạn đã định cấu hình thành công một phiên bản Cloud SQL có tệp đính kèm PSC và tạo một điểm cuối Kết nối dịch vụ riêng tư trong một VPC khác. Bạn đã kết nối thành công từ một máy ảo từ xa thông qua điểm cuối PSC vào cơ sở dữ liệu.

Tìm hiểu thêm

Bạn có thể đọc thêm về Kết nối dịch vụ riêng tư và Cloud SQL