初めに
GCP環境のセキュリティを向上させるために Security Command Center を導入しチェックしたところ Cloud SQL にてパブリックIPを使われていることが検出されたため、プライベートIPを使った通信に切り替えるべく、その時の作業を忘備録的に残します。
設定箇所
Cloud SQLをVPC内で通信させるには以下の設定が必要です。
- Cloud SQL
- VPCネットワーク
- サブネット
- VPCネットワークピアリング
- プライベートサービスアクセス
また、Cloud RunやCloud Functionなどサーバレスな環境から接続する場合はそれらがVPC経由でプライベートアクセスできるようにするために、サーバレスVPCアクセスの設定も必要となります。
今回はその部分の設定は除きます。
設定
設定は今回はTerrafromから設定を行いました。リソースごとにTerraformのコードを書いておきます。
今回の設定は、VPCネットワークピアリングの設定で servicenetworking というCloudSQLなどのマネージドサービスのためのVPCを用意してGCEがある既存のVPCとのルートを作り、プライベートサービスアクセスでVPCピアリングで用意したVPCにサブネットを作りCloudSQLにプライベートIPを割り当てる形になります。
※各APIを有効にしておくこと
VPC
resource "google_compute_network" "private_network" {
provider = google-beta
name = "private-network"
auto_create_subnetworks = false
}
サブネットワーク
resource "google_compute_subnetwork" "subnetwork" {
name = "test-subnetwork"
ip_cidr_range = "10.2.0.0/16"
region = "us-central1"
network = google_compute_network.private_network.id
}
VPCネットワークピアリング
resource "google_compute_global_address" "private_ip_address" {
provider = google-beta
name = "private-ip-address"
purpose = "VPC_PEERING"
address_type = "INTERNAL"
prefix_length = 16
network = google_compute_network.private_network.id
}
プライベートサービスアクセス
resource "google_service_networking_connection" "private_vpc_connection" {
provider = google-beta
network = google_compute_network.private_network.id
service = "servicenetworking.googleapis.com"
reserved_peering_ranges = [google_compute_global_address.private_ip_address.name]
}
Cloud SQL
resource "google_sql_database_instance" "instance" {
provider = google-beta
name = "private-instance"
database_version = "POSTGRES_15"
region = "us-central1"
// Terraformでdestroyするときにエラーが出るので削除プロテクションは無効にする
deletion_protection = "false"
// プライベートサービスアクセスの作成に時間が掛かるので依存関係に含める
depends_on = [google_service_networking_connection.private_vpc_connection]
settings {
tier = "db-f1-micro"
ip_configuration {
ipv4_enabled = false // プライベートIP
private_network = google_compute_network.private_network.id
require_ssl= false
ssl_mode = "ALLOW_UNENCRYPTED_AND_ENCRYPTED"
}
}
}
まとめ
簡単ですが上記の設定でVPC経由でCloudSQLにアクセスできるようになります。
CloudSQL以外にもプライベートアクセスをサポートするサービスは複数あります。
サポート対象のサービス
またサーバレスのサービスの場合は上記にもあるように別の設定サーバレスVPCアクセスが必要となります。
使用するサービスで使い分けてください。
以上、皆さんの役立てれば幸いです。
Discussion