GCP环境下如何实现Dataproc集群安全访问GKE集群内的Postgres

这是完全不暴露数据库到公网的最优解，先排查之前内部LB无法连通的根因对应配置即可：

• 确认集群网络归属：
  • 若GKE与Dataproc部署在同一VPC：直接配置防火墙规则，放行Dataproc集群节点网段到Postgres内部LB的5432端口入站请求，防火墙目标选择内部LB对应的网络标签，源IP填Dataproc网段即可。
  • 若GKE与Dataproc部署在不同VPC：先配置两个VPC的对等连接，开启两端的导出自定义路由、导入自定义路由开关，再配置跨VPC防火墙放行规则即可。
• 如果你的Dataproc是私有部署模式（节点无公网IP），只能采用该内网连通方案，无法通过公网LB访问数据库。
• 连通性验证：登陆Dataproc节点执行nc -zv <Postgres内部LB地址> 5432，确认返回连通成功即可。

如果因架构限制暂时无法切换为内网模式，可通过多层访问控制将暴露范围缩到最小：

• 第一层（云防火墙层面）：配置GCP防火墙入站规则，仅允许Dataproc集群的公网出口IP段访问Postgres公网LB的5432端口，禁止其余所有来源IP的访问请求。
• 第二层（GKE层面）：为Postgres工作负载配置NetworkPolicy，仅放行Dataproc的IP段到数据库Pod的访问请求，作为额外的访问控制层。
• 第三层（数据库层面）：在Postgres配置文件中添加IP白名单，仅接受Dataproc网段的连接请求，同时强制所有连接走TLS加密，避免明文传输。

• Dataproc访问Postgres使用最小权限账号，仅开放业务需要的读写权限，禁止使用超级账号连接。
• 定期轮换数据库账号密码，每月审计数据库访问日志，及时清理异常访问记录。

内容的提问来源于stack exchange，提问作者Nishchal Dinesh