Looker（Google Cloud コア）の適切なネットワーク構成について

Looker（Google Cloud コア）を構成する際は、シームレスな統合と最適なパフォーマンスを確保するために、適切なネットワーク構成を選択することが重要です。このページでは、パブリック セキュア接続とさまざまなプライベート接続構成のどちらを選択するかを判断するうえで役立つガイドを提供します。

ネットワーク構成に関する考慮事項

ネットワーク構成を選択する前に、Looker（Google Cloud コア）が接続するように構成されるシステムを特定します。

  • データソース: Looker（Google Cloud コア）が接続するデータソース（BigQuery、Cloud SQL、オンプレミス データベース）
  • Git リポジトリ: Git リポジトリはどこでホストされていますか（例: 公開 GitHub、Google Cloud でホストされている限定公開 GitHub Enterprise）。
  • チームの専門知識: チームにネットワーキングの専門知識はありますか？

基本情報

ネットワーク構成を選択する際は、次の点を考慮してください。

  • BigQuery への接続: BigQuery への接続はすべて、すべてのネットワーク構成オプションで Google のプライベート ネットワークを使用します。
  • SSO 構成: サードパーティの ID プロバイダが SSO 用に構成されている場合、通信はユーザーのブラウザから ID プロバイダに行われ、その後 Looker（Google Cloud コア）インスタンスにリダイレクトされます。リダイレクト URL にユーザーがアクセスできる限り、すべてのオプションで機能します。
  • インスタンスの作成: インスタンスの作成時にネットワーク構成を選択する必要があります。作成後に変更することはできません。ただし、限定公開サービス アクセスまたは Private Service Connect のプライベート IP 専用インスタンスにパブリック IP 接続を追加する場合、または限定公開サービス アクセスまたは Private Service Connect のハイブリッド接続インスタンスからパブリック IP 接続を削除する場合は除きます。
  • 機能の提供状況: ネットワーク オプションによって、初期設定で利用できる機能が異なります。詳細については、Looker（Google Cloud コア）の機能の違いをご覧ください。

ネットワーク構成オプション

次の図は、どのネットワーク構成オプションが適切かを判断する際に役立ちます。この図では、Private Service Connect を PSC、プライベート サービス アクセスを PSA と表記しています。

パブリック IP のみ

  • 説明: インスタンスにパブリック URL があり、トラフィックは公共のインターネット経由です。これは最もシンプルな設定で、高度なネットワーク構成は必要ありません。looker.mycompany.com などのカスタム URL が必要な場合は、カスタム ドメインを設定できます。

Private Service Connect - プライベート IP のみ - 推奨

  • Private Service Connect を選択する理由: Private Service Connect は、プライベート ネットワーク内のリソースに接続するための、Google が推奨するサービス指向のアプローチです。ネットワーク全体の VPC ピアリングの複雑さ、IP 範囲の競合、推移的ピアリングの制限を回避できます。ネットワーク全体のピアリングではなくサービス指向の接続を使用し、Looker（Google Cloud コア）のすべての新機能と高度な機能をサポートするように設計されています。
  • 説明: Private Service Connect を使用すると、Looker（Google Cloud コア）は Private Service Connect エンドポイントを介してリソースに接続し、ユーザーは公開された Private Service Connect エンドポイントを介して Looker（Google Cloud コア）インスタンスに接続します。
  • 制限事項: インスタンスには Private Service Connect エンドポイントを使用してのみアクセスできます。パブリック IP アドレスはありません。VPC 内の個別のデータソースごとに、個別のエンドポイント構成が必要になる場合があります。
  • 要件: パブリック インターネット上のリソース（github.com など）に接続する場合は、制御されたネイティブ下り（外向き）を使用するか、インターネット NEG を使用してサウスバウンド Private Service Connect 接続を構成できます。Private Service Connect が機能するには、Looker（Google Cloud コア）インスタンスの詳細ページの Private Service Connect 接続ステータスが [承認済み] になっていることを確認します。
  • 詳細:

Private Service Connect - パブリック IP とプライベート IP - 推奨

  • Private Service Connect を選択する理由: Private Service Connect は、プライベート ネットワーク内のリソースに接続するために Google が推奨するサービス指向のアプローチです。ネットワーク全体の VPC ピアリングの複雑さ、IP 範囲の競合、推移的ピアリングの制限を回避できます。ネットワーク全体のピアリングではなくサービス指向の接続を使用し、Looker（Google Cloud コア）のすべての新しい高度な機能をサポートするように設計されています。このオプションは、[パブリック IP のみ] オプションと同様に、インターネットからアクセスするためのパブリック URL を提供しますが、Looker（Google Cloud コア）からの送信トラフィックを Private Service Connect 接続を使用して VPC 経由でデータソースまたは Git リポジトリに転送します。
  • 説明: インスタンスにはインターネットからアクセスするためのパブリック URL がありますが、Looker（Google Cloud コア）からデータソースまたは Git リポジトリへのすべてのアウトバウンド トラフィックは、Private Service Connect 接続を介して VPC に転送されます。
  • 制限事項: VPC 内の個別のデータソースごとに、個別のエンドポイント構成が必要になる場合があります。
  • 要件: VPC にない公共のインターネット上のリソース（github.com など）に接続する場合は、制御されたネイティブ下り（外向き）を使用するか、インターネット NEG を使用してサウスバウンドの Private Service Connect 接続を構成できます。Private Service Connect が機能するには、Looker（Google Cloud コア）インスタンスの詳細ページの Private Service Connect 接続ステータスが [承認済み] になっていることを確認します。
  • 詳細:

プライベート サービス アクセス - プライベート IP のみ - レガシー

  • プライベート サービス アクセスを選択する理由: プライベート サービス アクセスは、VPC ネットワーク ピアリングに依存する古い方法です。既存の VPC ピアリング設定がある場合は適している可能性がありますが、スケーリングの問題や IP 範囲の枯渇が発生しやすく、推移的ピアリングのサポートがありません。プライベート サービス アクセスの詳細については、プライベート接続（プライベート サービス アクセス）の Looker（Google Cloud コア）インスタンスを作成するをご覧ください。
  • 説明: インスタンスには、プライベート IP アドレスを使用して VPC または他のピアリングされたネットワーク内からのみアクセスできます。パブリック URL はありません。このオプションでは、ユーザーフレンドリーな URL のカスタム ドメイン構成が必要です。すべてのトラフィックが VPC 経由でルーティングされます。
  • 制限事項: セットアップには /22 IP 範囲が必要です。一部の BI コネクタは使用できない場合があります。セットアップにはネットワーキングの専門知識が必要です。推移的ピアリングはサポートされていません。データソースが VPC とピアリングされているネットワーク（ハブアンドスポーク モデルなど）にある場合、Looker（Google Cloud コア）はプライベート サービス アクセスを使用してデータソースにアクセスできません。共有 VPC を使用している場合は、ネットワーク管理者と協力して、ホスト プロジェクト内の /22 IP 範囲の割り当てとピアリングの影響について話し合ってください。
  • 要件: パブリック Git リポジトリ（github.com など）に接続する場合は、プロキシ VM や Cloud NAT などの追加のインフラストラクチャが必要です。

プライベート サービス アクセス - パブリック IP とプライベート IP - レガシー

  • プライベート サービス アクセスを選択する理由: プライベート サービス アクセスは、VPC ネットワーク ピアリングに依存する古い方法です。既存の VPC ピアリング設定がある場合は適している可能性がありますが、スケーリングの問題や IP 範囲の枯渇が発生しやすく、推移的ピアリングのサポートがありません。プライベート サービス アクセスの詳細については、Looker（Google Cloud コア）用の Private Service Access を使用してプライベート接続を作成するをご覧ください。
  • 説明: インスタンスにはインターネットからアクセスするためのパブリック URL がありますが、Looker（Google Cloud コア）からデータソースまたは Git リポジトリへのすべての送信トラフィックは、VPC ネットワーク ピアリングを使用して VPC 経由で転送されます。
  • 制限事項: セットアップには /22 IP 範囲が必要です。セットアップにはネットワーキングの専門知識が必要です。推移的ピアリングはサポートされていません。データソースが VPC とピアリングされているネットワーク（ハブアンドスポーク モデルなど）にある場合、Looker（Google Cloud コア）はプライベート サービス アクセスを使用してデータソースにアクセスできません。共有 VPC を使用している場合は、ネットワーク管理者に相談して、ホスト プロジェクト内の /22 IP 範囲の割り当てとピアリングの影響について話し合ってください。

次のステップ