Private Google Access

Définition

Private Google Access est une fonctionnalité des VPCs Google Cloud Platform permettant aux instances VM sans adresse IP externe (instances dans des sous-réseaux privés sans accès Internet) d'atteindre les services Google Cloud (APIs GCP : Cloud Storage, BigQuery, Pub/Sub, Cloud Functions, etc.) via le réseau interne de Google, sans transiter par Internet. Cela permet de maintenir des VMs entièrement privées tout en leur permettant d'utiliser les services GCP nécessaires. Private Google Access fonctionne au niveau du sous-réseau : en activant Private Google Access sur un sous-réseau (privateIpGoogleAccess: true dans la définition du sous-réseau), les instances VM dans ce sous-réseau peuvent atteindre les plages d'adresses IP utilisées par les APIs Google (199.36.153.4/30 pour restricted.googleapis.com et 199.36.153.8/30 pour private.googleapis.com) via le routage interne du VPC, sans nécessiter de gateway NAT ou d'adresse IP externe. Il existe deux variantes de Private Google Access. Private Google Access standard (via le domaine www.googleapis.com) donne accès à la plupart des services Google mais permet techniquement l'accès à tous les services Google (incluant des services publics). Private Google Access via restricted.googleapis.com (199.36.153.4/30) donne accès uniquement aux services Google compatibles avec VPC Service Controls, bloquant l'accès aux services Google non-approuvés (YouTube, Gmail public, etc.) - recommandé pour les environnements avec exigences de conformité. VPC Service Controls (VPC-SC) complète Private Google Access en définissant des périmètres de service autour des ressources GCP : même si une instance a accès aux services GCP via Private Google Access, VPC-SC peut restreindre quelles ressources GCP (quels buckets GCS, quels datasets BigQuery) elle peut atteindre. Cette combinaison permet de prévenir l'exfiltration de données vers des projets GCP externes au périmètre. Private Service Connect (PSC) est l'évolution de Private Google Access pour les services managés GCP (Cloud SQL, Cloud Memorystore) et les services de partenaires, permettant des connexions entièrement privées avec des adresses IP du VPC client, sans nécessiter de peering ou d'adresses IP Google.