本技能用于为 CockroachDB Cloud 集群配置私有网络连接，以消除数据库流量经由公共互联网暴露的风险。它覆盖入口私有端点、出口私有端点以及 VPC 对等连接三类方式，并按 AWS、GCP、Azure 分别给出操作路径。
用途与适用场景 在需要为数据库连接消除公共互联网暴露时使用；为 CDC changefeed 到 Confluent Kafka 或其他外部服务配置出口私有端点时使用；在 CockroachDB Cloud 集群与应用 VPC 之间建立 VPC 对等时使用；排查私有端点的 DNS 解析问题，处理私有端点“卡在 pending”或连接失败，以及用 Terraform 自动化私有连接配置时也可参考。
前置条件 需要一个 CockroachDB Cloud 集群，计划为 Standard 或 Advanced（VPC 对等要求 Advanced）。ccloud CLI 需以 Cluster Admin 角色完成认证。云厂商侧需具备相应权限：AWS 需创建 VPC 端点、修改 DNS、管理安全组的 IAM 权限；GCP 需创建 Private Service Connect 端点和 DNS 记录的权限；Azure 需创建私有端点和管理 DNS 区域的权限。还需从 ccloud cluster info 获取集群 ID 与云厂商信息。可用 ccloud auth whoami 和 ccloud cluster info <cluster-name> -o json 验证访问。
配置决策 开始前先确定所需的连接类型：入口私有端点（应用经私有网络路径连接 CockroachDB，最常见）、出口私有端点（CockroachDB 出站连接外部服务，如 Confluent Kafka）、VPC 对等（应用 VPC 与 CockroachDB Cloud VPC 直连，需 Advanced 计划），也可多种组合。再确定云厂商：AWS 用 PrivateLink 做入口、VPC peering 做对等；GCP 用 Private Service Connect 做入口、VPC peering 做对等；Azure 用 Private Link 做入口，不支持 VPC 对等。
主要能力与步骤 第一部分为入口私有端点：先从 Cloud Console 的 Networking > Private endpoint 或 Cloud API 获取私有端点服务信息，再按云厂商创建端点——AWS 用 aws ec2 create-vpc-endpoint（安全组需允许来自应用子网的 TCP 26257 入站并允许到 VPC 端点的出站），GCP 用 gcloud compute addresses 与 forwarding-rules 创建 Private Service Connect 端点，Azure 用 az network private-endpoint create；随后在 CockroachDB Cloud 通过 Console 或 Cloud API 注册端点，也可用 Terraform 的 cockroach_private_endpoint_connection 资源，并等待连接状态变为 AVAILABLE；最后配置 DNS，使客户端将集群主机名解析到私有端点 IP（AWS 用 Route 53 私有托管区，GCP 用 Cloud DNS 私有区 A 记录，Azure 用私有 DNS 区 A 记录）。
第二部分为出口私有端点：在 Console 的 Networking > Egress 或通过 Cloud API 创建出口端点并指定外部服务，常见目标包括 Confluent Cloud Kafka、Amazon MSK、基于 PrivateLink 的自管理 Kafka 及其他支持 PrivateLink 的 SaaS；外部服务方需接受待处理连接（如 Confluent Cloud 在 Networking > Private Link Access 接受）；再验证状态，若“卡在 pending”需确认外部服务已接受、位于同一云厂商区域；最后在 changefeed 中使用该出口端点连接 Kafka。
第三部分为 VPC 对等：用 ccloud cluster networking peering create 发起（AWS 需 peer-account-id、peer-vpc-id、peer-vpc-region、peer-cidr；GCP 需 peer-project-id、peer-network），AWS 需在 VPC 控制台用 aws ec2 accept-vpc-peering-connection 接受请求，GCP 配置正确时自动建立；之后更新路由表将发往 CockroachDB Cloud CIDR 的流量指向对等连接，并用 ccloud cluster networking peering list 查看状态、从对等 VPC 内实例测试连接。Azure 不支持 VPC 对等。
安全与限制 安全性方面：创建私有端点影响低，属增量变更；DNS 配置变更为中等风险，配置错误可能中断既有连接；私有端点会绕过 IP 允许列表，需评估安全影响；VPC 对等 CIDR 重叠为高风险，会阻止对等建立，需提前规划 IP 空间；出口端点创建影响低。不应在未迁移流量的情况下删除仍有活动连接的私有端点，不应在对等 VPC 间配置重叠 CIDR，不应在客户端仍连接时移除私有端点 DNS 记录，也不应假定私有端点可替代其他安全控制（认证与授权仍适用）。当 IP 允许列表条目数不足以覆盖源 IP、需要完全消除公共互联网暴露或合规要求私有网络路径时，可优先考虑私有端点。
回滚 可通过 Cloud API 删除私有端点连接（或 Console 路径 Networking > Private endpoint > Delete），再在云厂商侧删除端点（如 aws ec2 delete-vpc-endpoints）；VPC 对等可用 ccloud cluster networking peering delete 删除。移除私有连接后，如需公网访问应确保 IP 允许列表已配置。
其他说明 技能包含参考内容：ccloud networking 命令、云厂商配置步骤，以及相关技能 configuring-ip-allowlists（基于 IP 的网络访问控制）和 auditing-cloud-cluster-security（完整安全态势审计）。具体价格、收费与更多平台细节暂未提供。