觀點 · 資訊分享

Cloud SQL 私有連線 8 月 1 日起新規則：把專案移出允許清單，它的連線會立刻被切斷，而且關不掉

Google Cloud 公告，從 8 月 1 日起，建立、複製或啟用 Private Service Connect 的 Cloud SQL 實例，會預設開啟「連線對帳」且不能關閉：專案一被移出允許清單，連過來的內網連線立刻斷開。

一句話看懂：從 8 月 1 日起，Cloud SQL 用 Private Service Connect 連線的實例，只要把某個專案從「允許清單」拿掉，那個專案的連線就會立刻被切斷，而且這個行為關不掉。

Cloud SQL 私有連線新規則資訊圖卡：8/1 起專案移出允許清單，連線立刻被切斷，而且關不掉

先用白話講：Private Service Connect 是什麼？

想像你的公司有一間檔案室（Cloud SQL 資料庫），不想讓大馬路上的人看見，只想讓自己公司的人從內部走廊進去。

Private Service Connect（PSC）就是這條內部走廊：你的雲端網路（VPC）用私有位址直接連到資料庫，不用經過公開網路。

而允許清單，就是門口的「可進入部門名單」：只有名單上的專案，才能在自己的網路裡建立連到資料庫的端點（也就是走廊的入口）。

Google Cloud 在 7 月 31 日的 Cloud SQL 發行說明裡，公告了一項「變更」：

從 2026 年 8 月 1 日起，當你新建或複製一個啟用 PSC 的實例，或對既有實例啟用 PSC，「連線對帳」（connection reconciliation）會預設開啟，而且不能關閉
對帳的意思是：你把某個專案從允許清單移除，該專案現有的 PSC 連線會被立即關閉
結果：那個專案裡用 PSC 端點連資料庫的應用程式，會連不上實例
適用 Cloud SQL for MySQL、PostgreSQL 與 SQL Server

白話一點：名單一改，已經建好的走廊入口也會一併被封死。

這裡要小心：公告沒有交代舊行為的細節，也沒有說明早就啟用 PSC 的既有實例會不會一起適用。

設定允許清單：建立實例時用 --allowed-psc-projects，後面接以逗號分隔的專案 ID 或編號；API 欄位是 pscConfig.allowedConsumerProjects
文件寫明：不在清單裡的專案，無法建立連到該實例的 PSC 端點；你在自動連線參數裡指定的專案，會自動加入允許清單
想檢查現況，可以用 gcloud sql instances describe 看該實例的 pscConfig 設定
同一天的發行說明還提到兩項功能：SQL Server 支援用 Cloud SQL Data API 執行 SQL 敘述；QueryData 加入參數化安全檢視表（預覽，列在 MySQL 項目下）

雲端專案常常會隨著組織調整被搬來搬去、合併或刪掉。小團隊或接案的人，常見的情況是一個資料庫連著測試、預覽、正式好幾個專案。如果某次整理清單，順手把某個專案拿掉，過去可能不會立刻出事，現在就是馬上斷線。

這個改動對安全是好事：名單改了，連線就該跟著收，不該留下一條沒人管的後門。但對維運的人來說，等於「改清單」從一件小事變成「有立即影響的操作」。我會把這件事寫進變更流程：移除專案之前，先查誰在連、通知對方、選在離峰時間。

Private Service Connect 是什麼？

是 Google Cloud 讓你的 VPC 用私有的內網位址連到服務（這裡是 Cloud SQL）的方式，資料不用走公開網路。

「連線對帳」是什麼意思？

指的是系統會依照允許清單核對現有連線：不在清單裡的專案，它的連線就會被關閉。這次公告把這個行為變成預設開啟、不能關。

我的現有資料庫會被影響嗎？

公告只寫了新建、複製，以及對既有實例啟用 PSC 這幾種情況；沒有說明早就啟用的實例，建議到 Cloud SQL 發行說明與文件確認。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。