Verbindung zu Cloud SQL herstellen

Auf dieser Seite finden Sie eine Übersicht über die Möglichkeiten, wie Sie eine Verbindung zu Ihrer Cloud SQL-Instanz herstellen können.

Bevor Sie eine Verbindung zu einer Cloud SQL-Instanz herstellen können, müssen Sie entscheiden, wie Sie Ihre Cloud SQL-Instanz und die unterstützenden Netzwerkressourcen bereitstellen und konfigurieren möchten. Wenn Ihre Cloud SQL-Instanz bereits konfiguriert und bereitgestellt ist, finden Sie auf dieser Seite Informationen zu den verschiedenen Möglichkeiten, wie Sie Ihre Clients mit der vorhandenen Instanz verbinden können.

IP-Adresstyp: privat oder öffentlich

Wenn Sie Ihre Cloud SQL-Instanz zum ersten Mal erstellen, können Sie auswählen, ob Sie die Instanz mit einer öffentlichen IP-Adresse, einer privaten IP-Adresse oder einer Kombination aus beiden konfigurieren möchten.

Sie wählen die IP-Adresskonfiguration Ihrer Instanz basierend auf Ihren Anwendungsanforderungen aus. Nachdem Sie die Instanz konfiguriert haben, geben Sie im Verbindungsstring des Clients entweder eine öffentliche IP-Adresse, eine private IP-Adresse oder in einigen Fällen einen DNS-Namen an.

Private IP-Adresse Öffentliche IP-Adresse
Beschreibung Interne, nur für das VPC-Netzwerk (Virtual Private Cloud) bestimmte (private) IP-Adresse Eine externe, über das Internet zugängliche (öffentliche) IP-Adresse
Entscheidungspunkte

Müssen Sie eine Verbindung von Clients herstellen, die in VPC-Netzwerken in Google Cloud gehostet werden, oder von Clients, die Zugriff auf diese VPC-Netzwerke haben?

Wenn ja, wählen Sie eine private IP-Adresse für die Instanz aus.

Müssen Sie eine Verbindung von Clients außerhalb des Google Cloud-VPC-Netzwerk über das öffentliche Internet herstellen?

Wenn ja, wählen Sie eine öffentliche IP-Adresse für die Instanz aus.
Konfigurationsoptionen

Die folgenden Arten von privaten Netzwerkkonfigurationen werden unterstützt:

  • Private Service Connect: Stellen Sie eine Verbindung zu Cloud SQL-Instanzen aus mehreren VPC-Netzwerken her, die zu verschiedenen Gruppen, Projekten oder Organisationen gehören. Private Service Connect ist die Standardoption für die Verbindung über private IP-Adressen für neue Projekte.
  • Zugriff auf private Dienste: Stellen Sie eine Verbindung zu Cloud SQL-Instanzen von einem einzelnen VPC-Netzwerk her, das auf VPC-Netzwerk-Peering basiert.

    • Weitere Informationen zur Auswahl einer privaten Netzwerkkonfiguration finden Sie unter Konfigurationsoptionen für private IP-Adressen.

Wenn Sie eine direkte Verbindung zu einer Instanz über eine öffentliche IP-Adresse herstellen, müssen Sie autorisierte Netzwerke konfigurieren.

Eine weitere, sicherere Alternative für die Verbindung mit einer Cloud SQL-Instanz, die eine öffentliche IP-Adresse verwendet, ist die Verwendung eines Cloud SQL-Connectors (z. B. des Cloud SQL Auth-Proxys oder eines der Cloud SQL-Sprach-Connectors).

Eine Anleitung zum Hinzufügen einer öffentlichen IP-Adresse zu Ihrer Instanz finden Sie unter Öffentliche IP-Adresse konfigurieren.

Wenn Sie eine Verbindung zu einer Cloud SQL-Instanz über eine öffentliche IP-Adresse herstellen möchten, können Sie den psql-Client oder einen anderen verfügbaren Client verwenden.
Zusammenfassung

Empfehlung: Aus Sicherheitsgründen empfehlen wir, Ihre Instanz mit einem privaten IP-Adresstyp zu konfigurieren, es sei denn, Sie haben bestimmte Anforderungen an eine über das Internet zugängliche Cloud SQL-Instanz oder Sie stellen eine Verbindung von einem Client her, der die Anforderungen für eine VPC nicht erfüllt.

Verbindungstyp: Cloud SQL-Connector oder direkt

Wenn Sie eine Verbindung zu einer Cloud SQL-Instanz herstellen, können Sie einen Cloud SQL-Connector verwenden oder eine direkte Verbindung herstellen.

Ein Cloud SQL-Connector ist entweder der Cloud SQL Auth-Proxy oder einer der Cloud SQL-Sprach-Connectors.

Cloud SQL-Connector Direkte Verbindung
Beschreibung Der Cloud SQL Auth-Proxy, ein clientseitiger Proxy, und die Cloud SQL Language Connectors, clientseitige Bibliotheken, bieten einen vereinfachten und sicheren Zugriff auf Ihre Cloud SQL-Instanzen, insbesondere wenn Sie eine Verbindung zu einer Instanz über eine öffentliche IP-Adresse herstellen. Eine direkte Verbindung von einem Client zu einer Cloud SQL-Instanz bietet eine Verbindung mit geringerer Latenz. Eine direkte Verbindung kann entweder über eine öffentliche oder eine private IP-Adresse hergestellt werden.
Entscheidungspunkte

Cloud SQL-Connectors sind in den folgenden Szenarien nützlich:

  • Wenn Sie eine Verbindung zu einer Cloud SQL-Instanz über eine öffentliche IP-Adresse herstellen möchten, ohne autorisierte Netzwerke konfigurieren zu müssen.
  • Wenn Sie den Traffic zur und von der Datenbank automatisch mit Server- und Client-Identitätsüberprüfung verschlüsseln möchten, ohne SSL-Zertifikate verwalten zu müssen.
  • Wenn Sie die IAM-Datenbankauthentifizierung verwenden und Ihre OAuth 2.0-Zugriffstokens automatisch aktualisieren möchten.
  • Wenn Sie eine Verbindung von einem Client oder einer Anwendung herstellen, die eine dynamisch zugewiesene oder sitzungsspezifische IP-Adresse verwendet. Die dynamische IP-Konfiguration ist für PaaS-Anwendungen (Platform as a Service) üblich.

Die Verwendung einer direkten Verbindung bietet folgende Vorteile:

  • Geringere Latenz im Vergleich zu Verbindungen über Cloud SQL-Connectors.
  • Im Gegensatz zu Cloud SQL-Connectors sind keine zusätzlichen Paket- oder Bibliotheksabhängigkeiten erforderlich.
  • Wenn Sie eine direkte Verbindung verwenden, sind Sie für die Konfiguration der SSL/TLS-Einstellungen verantwortlich.
Konfigurationsoptionen

So konfigurieren Sie SSL/TLS-Zertifikate auf der Cloud SQL-Instanz und für Ihren Client:

  1. Wählen Sie einen Modus für die Serverzertifizierungsstelle für Ihre Instanz aus.
  2. Konfigurieren Sie Ihre Instanz so, dass die SSL/TLS-Verschlüsselung für Verbindungen auf der Instanz erzwungen wird.
  3. Clientzertifikate erstellen
  4. Laden Sie die Server- und Clientzertifikate herunter.
Zusammenfassung

Wenn Sie eine Verbindung zu einer Cloud SQL-Instanz herstellen, können Sie entweder einen Cloud SQL-Connector verwenden oder eine direkte Verbindung von Clients herstellen.

Allgemeine Empfehlung: Wenn Sie eine Verbindung zu einer Instanz über eine private IP-Adresse herstellen, verwenden Sie eine direkte Verbindung. Wir empfehlen außerdem, SSL zu erzwingen und SSL/TLS-Zertifikate für Ihre Verbindung zu konfigurieren.

Wenn Sie eine Verbindung zu einer Instanz über eine öffentliche IP-Adresse herstellen, verwenden Sie einen Cloud SQL-Connector (entweder den Cloud SQL Auth-Proxy oder einen der Cloud SQL Language Connectors).

Datenbankauthentifizierungstyp: IAM oder integriert

Wenn Sie eine Verbindung zu einer Instanz herstellen, müssen Sie sich als Datenbanknutzer authentifizieren. Sie können zwischen der integrierten Authentifizierung und der IAM-Datenbankauthentifizierung wählen.

Authentifizierung der IAM-Datenbank Integrierte Authentifizierung
Beschreibung Mit der IAM-Datenbankauthentifizierung können Sie sich mit Google Cloud IAM-Nutzer- und -Dienstkonten bei Datenbanken authentifizieren, indem Sie kurzlebige Zugriffstokens anstelle von Passwörtern verwenden. Sie können Datenbankberechtigungen mithilfe von IAM-Hauptkonten wie Nutzern, Dienstkonten und Gruppen verwalten. Bei der integrierten Authentifizierung werden lokale Datenbanknutzernamen und ‑passwörter verwendet, um Datenbanknutzer zu authentifizieren.
Entscheidungspunkte Möchten Sie die Nutzerverwaltung für Google Cloud-Dienste mit IAM in Google Cloudzentralisieren? Wenn ja, verwenden Sie die IAM-Datenbankauthentifizierung. Haben Sie Anwendungen oder Workflows, die von der integrierten Datenbankauthentifizierung abhängen? Wenn ja, verwenden Sie die integrierte Authentifizierung.
Konfigurationsoptionen

Sie können die IAM-Datenbankauthentifizierung für einzelne IAM-Nutzer, einzelne Dienstkonten und Gruppen verwenden. Weitere Informationen finden Sie unter Nutzer mit IAM-Datenbankauthentifizierung verwalten.

Wenn Sie einen Cloud SQL-Connector verwenden, übernimmt der Connector die automatische Aktualisierung der IAM-Zugriffstokens. Weitere Informationen finden Sie unter Automatische IAM-Datenbankauthentifizierung.

 Sie können die integrierte Datenbankauthentifizierung verwenden und Passwortrichtlinien auf Instanz- und Nutzerebene konfigurieren. Weitere Informationen finden Sie unter Integrierte Authentifizierung.
Zusammenfassung Empfehlung: Wenn Sie keine Anwendungen oder Workflows haben, die von der integrierten Datenbankauthentifizierung abhängen, sollten Sie nach Möglichkeit die IAM-Datenbankauthentifizierung verwenden.

Netzwerkoptionen aus einer Instanz entfernen

Cloud SQL unterstützt das Entfernen der folgenden Netzwerkoptionen aus einer Instanz:

  • Öffentliche IP-Adresse von einer Instanz mit Zugriff auf private Dienste und öffentlicher IP-Adresse
  • Öffentliche IP-Adresse von einer Instanz mit öffentlicher IP-Adresse, Zugriff auf private Dienste und Private Service Connect
  • Private Service Connect von einer Instanz mit Private Service Connect und Zugriff auf private Dienste
  • Private Service Connect von einer Instanz mit Private Service Connect, Zugriff auf private Dienste und öffentlicher IP-Adresse

Netzwerkoptionen für eine Instanz aktivieren

Cloud SQL unterstützt die Aktivierung der folgenden Verbindungsoptionen für Instanzen:

  • Zugriff auf private Dienste auf einer Instanz nur mit öffentlicher IP-Adresse
  • Private Service Connect auf einer Instanz, die nur Zugriff auf private Dienste hat
  • Private Service Connect auf einer Instanz mit Zugriff auf private Dienste und öffentlicher IP-Adresse
  • Öffentliche IP-Adresse auf einer Instanz, die nur Zugriff auf private Dienste hat
  • Öffentliche IP-Adresse auf einer Instanz mit Zugriff auf private Dienste und Private Service Connect

Beschränkungen

  • Sie können keine Instanz mit nur einer öffentlichen IP-Adresse und Private Service Connect erstellen oder aktualisieren. Wenn Sie sowohl eine öffentliche IP-Adresse als auch Private Service Connect für eine Instanz verwenden möchten, müssen Sie auch den Zugriff auf private Dienste konfigurieren.
  • Sie können den Zugriff auf private Dienste nicht von einer Instanz mit Zugriff auf private Dienste und Private Service Connect entfernen.
  • Sie können den Zugriff auf private Dienste nicht von einer Instanz mit Zugriff auf private Dienste und öffentlicher IP-Adresse entfernen.
  • Wenn Sie eine Instanz haben, die nur öffentliche IP-Adressen verwendet, können Sie nicht gleichzeitig den Zugriff auf private Dienste und Private Service Connect aktivieren. Aktivieren Sie zuerst den Zugriff auf private Dienste und dann Private Service Connect.
  • Sie können autorisierte Netzwerke nicht verwenden, um IP-Adressen-basierte Zulassungslisten für Private Service Connect-Instanzen zu erstellen.

Tools zum Herstellen einer Verbindung zu Cloud SQL

Die folgende Tabelle enthält einige Optionen für die Verbindung zu Cloud SQL:

Verbindungsoption Weitere Informationen
Cloud SQL Auth-Proxy
gcloud CLI
Cloud SQL-Sprachverbindungen
Cloud Shell
Cloud Code
Google Cloud Data Agent Kit
Verbindung mithilfe von Drittanbieter-Datenbankverwaltungstools herstellen
pgAdmin
Toad Edge
Blendo

Fehlerbehebung

Wenn beim Herstellen der Verbindung Probleme auftreten, lesen Sie die folgenden Seiten für das Debugging oder zur Suche nach Lösungen für bekannte Probleme:

Nächste Schritte