此页面由 Cloud Translation API 翻译。

配置专用服务访问通道

专用服务访问通道是 Google Cloud 虚拟私有云 (VPC) 网络与 Google 管理或第三方服务之间的安全专用连接。它允许 VPC 网络中的虚拟机实例使用内部 IP 地址与这些服务通信，而不会将流量暴露给公共互联网。

准备工作

如需建立专用连接，请先满足以下前提条件：

您必须具有可用于连接到服务提供方网络的现有 VPC 网络。虚拟机实例必须使用此 VPC 网络通过专用连接接入服务。
按照 Live Stream API 的准备工作页面中的步骤，创建一个正确配置的 Google Cloud 项目（或选择现有项目）。

为 Live Stream API 启用专用服务访问通道

Virtual Private Cloud 文档提供了配置专用服务访问通道的一般过程。本页根据 Live Stream API 调整该流程。

安装和配置 Google Cloud CLI。

注意：如果您之前安装了 Google Cloud CLI，请运行 gcloud components update 以确保您使用的是最新版本。
启用 Service Networking API。

执行以下命令：
Linux、macOS 或 Cloud Shell

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services enable servicenetworking.googleapis.com
```
Windows (PowerShell)

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services enable servicenetworking.googleapis.com
```
Windows (cmd.exe)

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services enable servicenetworking.googleapis.com
```
如需获取设置专用连接所需的权限，请让管理员向您授予 VPC 网络所在 Google Cloud 项目的 Compute Engine Network Admin (roles/compute.networkAdmin) IAM 角色。如需详细了解如何授予角色，请参阅管理访问权限。

也可以通过自定义角色或其他预定义角色获得所需的权限。
在 VPC 网络中，使用 addresses create 命令分配已命名的 IP 范围，如以下示例所示。

如需指定地址范围和前缀长度（也是子网掩码），请使用 addresses 和 prefix-length 标志。例如，如需分配 CIDR 块 192.168.0.0/13，请指定 192.168.0.0 作为地址，并指定 13 作为前缀长度。

在使用下面的命令数据之前，请先进行以下替换：
- RESERVED_RANGE_NAME：分配的范围的名称，例如 my-allocated-range
- DESCRIPTION：范围的说明，例如 allocated for my-service
- VPC_NETWORK：您的 VPC 网络的名称，例如 my-vpc-network
执行以下命令：
Linux、macOS 或 Cloud Shell

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud compute addresses create RESERVED_RANGE_NAME \
    --global \
    --purpose=VPC_PEERING \
    --addresses=192.168.0.0 \
    --prefix-length=13 \
    --description="DESCRIPTION" \
    --network=VPC_NETWORK
```
Windows (PowerShell)

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud compute addresses create RESERVED_RANGE_NAME `
    --global `
    --purpose=VPC_PEERING `
    --addresses=192.168.0.0 `
    --prefix-length=13 `
    --description="DESCRIPTION" `
    --network=VPC_NETWORK
```
Windows (cmd.exe)

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud compute addresses create RESERVED_RANGE_NAME ^
    --global ^
    --purpose=VPC_PEERING ^
    --addresses=192.168.0.0 ^
    --prefix-length=13 ^
    --description="DESCRIPTION" ^
    --network=VPC_NETWORK
```
您应该会收到类似如下所示的响应：
```
Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses/RESERVED_RANGE_NAME].
```
如需仅指定前缀长度，请使用 prefix-length 标志。如果您省略地址范围，则 Google Cloud 会自动选择您的 VPC 网络中未使用的地址范围。以下示例选择的是前缀长度为 13 位的未使用的 IP 地址范围。

在使用下面的命令数据之前，请先进行以下替换：
- RESERVED_RANGE_NAME：分配的范围的名称，例如 my-allocated-range
- DESCRIPTION：范围的说明，例如 allocated for my-service
- VPC_NETWORK：您的 VPC 网络的名称，例如 my-vpc-network
执行以下命令：
Linux、macOS 或 Cloud Shell

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud compute addresses create RESERVED_RANGE_NAME \
    --global \
    --purpose=VPC_PEERING \
    --prefix-length=13 \
    --description="DESCRIPTION" \
    --network=VPC_NETWORK
```
Windows (PowerShell)

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud compute addresses create RESERVED_RANGE_NAME `
    --global `
    --purpose=VPC_PEERING `
    --prefix-length=13 `
    --description="DESCRIPTION" `
    --network=VPC_NETWORK
```
Windows (cmd.exe)

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud compute addresses create RESERVED_RANGE_NAME ^
    --global ^
    --purpose=VPC_PEERING ^
    --prefix-length=13 ^
    --description="DESCRIPTION" ^
    --network=VPC_NETWORK
```
您应该会收到类似如下所示的响应：
```
Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses/RESERVED_RANGE_NAME].
```
上面的示例创建了与 Google 的专用连接，以便提供的 VPC 网络（例如 my-vpc-network）中的虚拟机实例可以使用专用服务访问通道来访问支持专用连接的 Google 服务。

Live Stream API 要求为每个区域分配一个 CIDR/13 地址块。如果您打算在多个区域中使用 Live Stream API，请分配一个更大的块。下表介绍了建议根据区域数量分配的块大小：

区域数量 prefix-length 标志的值

1 13

2 12

3-4 11

5-8 10

7-16 9
在服务提供方网络与您的 VPC 网络之间创建专用连接：
1. 创建专用连接。
  
  在使用下面的命令数据之前，请先进行以下替换：
  - RESERVED_RANGE_NAME：您在上一步中创建的分配范围的名称
  - VPC_NETWORK：您的 VPC 网络的名称
  - PROJECT_ID：您的 VPC 网络所在项目的 Google Cloud 项目 ID
  执行以下命令：
  Linux、macOS 或 Cloud Shell
  
  注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services vpc-peerings connect \
    --service=servicenetworking.googleapis.com \
    --ranges=RESERVED_RANGE_NAME \
    --network=VPC_NETWORK \
    --project=PROJECT_ID
```
  Windows (PowerShell)
  
  注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services vpc-peerings connect `
    --service=servicenetworking.googleapis.com `
    --ranges=RESERVED_RANGE_NAME `
    --network=VPC_NETWORK `
    --project=PROJECT_ID
```
  Windows (cmd.exe)
  
  注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services vpc-peerings connect ^
    --service=servicenetworking.googleapis.com ^
    --ranges=RESERVED_RANGE_NAME ^
    --network=VPC_NETWORK ^
    --project=PROJECT_ID
```
  您应该会收到类似如下所示的响应：
```
Operation "operations/OPERATION_ID" finished successfully.
```
  此命令会创建一个长时间运行的操作 (LRO)。
2. 如果命令成功，请跳到下一步。否则，请检查操作状态。
  
  在使用下面的命令数据之前，请先进行以下替换：
  - OPERATION_ID：上一步中返回的操作的 ID
  执行以下命令：
  Linux、macOS 或 Cloud Shell
  
  注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services vpc-peerings operations describe \
  --name=operations/OPERATION_ID
```
  Windows (PowerShell)
  
  注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services vpc-peerings operations describe `
  --name=operations/OPERATION_ID
```
  Windows (cmd.exe)
  
  注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services vpc-peerings operations describe ^
  --name=operations/OPERATION_ID
```
  您应该会收到类似如下所示的响应：
```
Operation "operations/OPERATION_ID" finished successfully.
```
  注意：创建专用连接时，您可以指定多个分配范围。例如，如果范围已用尽，您可以分配额外的分配范围。该服务将按您指定的顺序使用提供的所有范围中的 IP 地址。
（可选）如果您使用的是 VPC Service Controls，则需要为刚刚创建的专用连接启用 VPC-SC。

在使用下面的命令数据之前，请先进行以下替换：
- VPC_NETWORK：您的 VPC 网络的名称
执行以下命令：
Linux、macOS 或 Cloud Shell

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services vpc-peerings enable-vpc-service-controls \
    --service=servicenetworking.googleapis.com \
    --network=VPC_NETWORK
```
Windows (PowerShell)

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services vpc-peerings enable-vpc-service-controls `
    --service=servicenetworking.googleapis.com `
    --network=VPC_NETWORK
```
Windows (cmd.exe)

注意：通过运行 gcloud init 或 gcloud auth login 和 gcloud config set project，确保您已使用身份验证和项目初始化了 Google Cloud CLI。
```
gcloud services vpc-peerings enable-vpc-service-controls ^
    --service=servicenetworking.googleapis.com ^
    --network=VPC_NETWORK
```
您应该会收到类似如下所示的响应：
```
Operation "operations/OPERATION_ID" finished successfully.
```
（可选）如果您有已连接到 VPC 的本地网络，则可以配置对等互连连接，以便本地主机能够与服务提供方的网络进行通信。如需了解详情，请参阅本地主机问题排查。

区域数量	`prefix-length` 标志的值
1	13
2	12
3-4	11
5-8	10
7-16	9

概览

配置专用池

配置专用服务访问通道

准备工作

为 Live Stream API 启用专用服务访问通道

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)