Looker (Google Cloud Core)-Instanz mit privaten Verbindungen (Zugriff auf private Dienste) erstellen

Sie können eine Looker (Google Cloud Core)-Produktions- oder Nichtproduktionsinstanz so konfigurieren, dass private Verbindungen mit Zugriff auf private Dienste verwendet werden.

Mit dem Zugriff auf private Dienste kommuniziert Ihre Looker (Google Cloud Core)-Instanz direkt mit anderen Ressourcen in Ihrer Virtual Private Cloud (VPC), ohne das öffentliche Internet zu durchlaufen oder externe IP-Adressen zu verwenden. Diese Konfiguration begrenzt Angriffsvektoren, verhindert eingehenden Traffic aus dem öffentlichen Internet und reduziert die Netzwerklatenz.

Private Konnektivität ermöglicht die Verwendung von Funktionen wie VPC Service Controls. Private Verbindungen sind jedoch nicht mit allen Looker (Google Cloud Core)-Funktionen kompatibel. Weitere Informationen finden Sie in der Tabelle zur Funktionskompatibilität.

Looker (Google Cloud Core) unterstützt private Verbindungen (Private Service Access, PSA) für die Instanzversionen Enterprise und Embed .

Erforderliche Rollen und Berechtigungen

Zum Einrichten einer Instanz mit privaten Verbindungen (Private Service Access, PSA) benötigen Sie die folgenden IAM-Berechtigungen:

  1. Zum Erstellen einer Looker (Google Cloud Core)-Instanz benötigen Sie die Rolle „Looker-Administrator“ (roles/looker.Admin).

  2. Bitten Sie Ihren Administrator, Ihnen die Compute-Netzwerkadministrator (roles/compute.networkAdmin) IAM-Rolle für das Projekt zu gewähren, um die Berechtigungen zu erhalten, die Sie zum Erstellen zugewiesener IP-Adressbereiche und zum Verwalten privater Verbindungen benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

    Diese vordefinierte Rolle enthält die Berechtigungen, die zum Erstellen zugewiesener IP-Adressbereiche und zum Verwalten privater Verbindungen erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen , um die notwendigen Berechtigungen anzuzeigen, die erforderlich sind:

    Erforderliche Berechtigungen

    Die folgenden Berechtigungen sind erforderlich, um zugewiesene IP-Adressbereiche zu erstellen und private Verbindungen zu verwalten:

    • Verfügbare Netzwerke im Drop-down-Menü Netzwerk ansehen:
      • compute.addresses.list
      • compute.globalAddresses.list
      • compute.networks.list
      • compute.globalAddresses.list
    • Neues VPC-Netzwerk erstellen:
      • compute.addresses.create
      • compute.globalAddresses.create
      • serviceusage.services.enable
    • Privaten IP-Bereich zuweisen und eine Verbindung für den Zugriff auf private Dienste einrichten: compute.networks.addPeering

    Sie können diese Berechtigungen gegebenenfalls auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

    Wenn Sie ein bereits eingerichtetes privates Netzwerk verwenden, benötigen Sie diese Berechtigungen nicht.

Möglicherweise benötigen Sie zusätzliche IAM-Rollen, um VPC Service Controls oder kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) einzurichten. Weitere Informationen finden Sie auf den Dokumentationsseiten VPC Service Controls-Unterstützung für Looker (Google Cloud Core) oder CMEK für Looker (Google Cloud Core) aktivieren.

Möglicherweise benötigen Sie zusätzliche IAM-Rollen, um Workforce Identity Federation, VPC Service Controls oder kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) einzurichten. Weitere Informationen finden Sie auf den Dokumentationsseiten Workforce Identity Federation für die Nutzerauthentifizierung in Looker (Google Cloud Core) verwenden, VPC Service Controls-Unterstützung für Looker (Google Cloud Core) oder CMEK für Looker (Google Cloud Core) aktivieren.

Hinweis

  1. Wenden Sie sich an den Vertrieb, um sicherzustellen, dass Ihr Jahresvertrag abgeschlossen ist und Sie in Ihrem Projekt ein Kontingent zugewiesen haben.
  2. Achten Sie darauf, dass die Abrechnung für Ihr Google Cloud Projekt inaktiviert ist.
  3. Erstellen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud Projekt oder rufen Sie ein vorhandenes Projekt auf, in dem Sie die Looker (Google Cloud Core)-Instanz erstellen möchten.

    Zur Projektauswahl

  4. Aktivieren Sie die Looker API für Ihr Projekt in der Google Cloud Console. Wenn Sie die API aktivieren, müssen Sie die Seite der Console möglicherweise aktualisieren, um zu bestätigen, dass die API aktiviert wurde.

    API aktivieren

  5. Aktivieren Sie die Service Networking API für Ihr Projekt in der Google Cloud Console. Wenn Sie die API aktivieren, müssen Sie die Seite der Console möglicherweise aktualisieren, um zu bestätigen, dass die API aktiviert wurde.

    API aktivieren

  6. Aktivieren Sie die Compute Engine API für Ihr Projekt in der Google Cloud Console. Wenn Sie die API aktivieren, müssen Sie die Seite der Console möglicherweise aktualisieren, um zu bestätigen, dass die API aktiviert wurde.

    API aktivieren

  7. Richten Sie einen OAuth-Client ein und erstellen Sie Anmeldedaten für die Autorisierung. Mit dem OAuth-Client können Sie sich authentifizieren und auf die Instanz zugreifen. Sie müssen OAuth einrichten, um eine Looker (Google Cloud Core)-Instanz zu erstellen, auch wenn Sie eine andere Authentifizierungsmethode verwenden, um Nutzer in Ihrer Instanz zu authentifizieren.

VPC-Netzwerk erstellen und konfigurieren

Bevor Sie eine private Verbindung erstellen können, müssen Sie zuerst ein VPC-Netzwerk (Virtual Private Cloud) erstellen und konfigurieren. Looker (Google Cloud Core) unterstützt mehrere Instanzen mit privaten Verbindungen (Private Service Access, PSA) in derselben VPC, entweder in derselben Region oder in verschiedenen Regionen.

  1. Erstellen Sie ein VPC-Netzwerk in Ihrem Projekt. Wenn Sie anstelle eines neuen VPC-Netzwerk eine gemeinsam genutzte VPC verwenden, führen Sie zusätzlich zu den verbleibenden Schritten in diesem Abschnitt für die gemeinsam genutzte VPC die Schritte im folgenden Abschnitt Instanz in einer gemeinsam genutzten VPC erstellen aus.
  2. Weisen Sie in Ihrer VPC einen IPv4-IP-Bereich (CIDR-Block) zu für eine Verbindung für den Zugriff auf private Dienste zu Looker (Google Cloud Core).
    • Beachten Sie vor der Zuweisung des Bereichs die Einschränkungen.
    • Beim Festlegen der Größe des IP-Adressbereichs ist zu beachten, dass die Mindestgröße ein /22 Block ist.
    • Looker (Google Cloud Core) unterstützt alle IPv4-Bereiche innerhalb von RFC 1918, das IP-Adressen angibt, die intern, also innerhalb einer Organisation, zugewiesen und nicht ins Internet weitergeleitet werden. Konkret sind das die folgenden Bereiche:
      • 10.0.0.0/8
      • 172.16.0.0/12
      • 192.168.0.0/16
    • IPv4-Bereiche der Klasse E (240.0.0.0/4) sind gemäß RFC 5735 und RFC 1112 für die zukünftige Verwendung reserviert und werden für Looker (Google Cloud Core) nicht unterstützt.
    Wenn eine Looker (Google Cloud Core)-Instanz zum ersten Mal in einer Region innerhalb einer VPC erstellt wird, erstellt Looker ein Nur-Proxy-Subnetz. Das Nur-Proxy-Subnetz verwendet ein /26-Subnetz des /22-Subnetzes, das Sie beim Erstellen der Looker (Google Cloud Core)-Instanz reservieren. Alle nachfolgenden Looker (Google Cloud Core)-Instanzen mit privaten Verbindungen (Private Service Access, PSA) in derselben VPC und in derselben Region verwenden dasselbe Nur-Proxy-Subnetz.
  3. Fügen Sie Ihrem VPC-Netzwerk die Verbindung für den Zugriff auf private Dienste mit dem im vorherigen Schritt zugewiesenen IP-Bereich für die zugewiesene Zuweisung hinzu.
  4. Kehren Sie nach dem Erstellen des VPC-Netzwerk in Ihrem Google Cloud Projekt zur Seite Looker-Instanz erstellen zurück. Möglicherweise müssen Sie die Seite aktualisieren, damit Ihr VPC-Netzwerk erkannt wird.

Nachdem Sie diese Schritte ausgeführt haben, können Sie mit dem Erstellen Ihrer Instanz beginnen. Folgen Sie dazu der Anleitung auf der Dokumentationsseite Looker-Instanz (Google Cloud Core) erstellen . Beginnen Sie mit dem Abschnitt Hinweis.

Mehrere Instanzen mit privaten Verbindungen in derselben VPC

Wenn sich zwei oder mehr Looker (Google Cloud Core)-Instanzen mit privaten Verbindungen in derselben Region und in derselben VPC befinden und Sie die erste Looker (Google Cloud Core)-Instanz löschen, die in der Region erstellt wurde, wird das Nur-Proxy-Subnetz nicht freigegeben, da es noch von den verbleibenden Instanzen verwendet wird. Wenn Sie versuchen, eine neue Looker (Google Cloud Core)-Instanz mit privaten Verbindungen (Private Service Access, PSA) zu erstellen, die denselben Adressbereich wie die gelöschte Instanz verwendet (der den IP-Adressbereich des Nur-Proxy-Subnetzes enthält), schlägt die Instanzerstellung fehl und Sie sehen den Fehler „IP-Bereiche erschöpft“. Um zu prüfen, ob ein IP-Bereich verwendet wird, prüfen Sie das VPC-Peering für Service Networking und die Importrouten, um zu sehen, ob sie den gewünschten IP-Bereich verwenden.

Instanz in einer freigegebene VPC erstellen

Wenn Sie eine Looker (Google Cloud Core)-Instanz in einer gemeinsam genutzten VPC erstellen, führen Sie die folgenden Schritte im Hostprojekt der freigegebene VPC aus:

  1. Aktivieren Sie die Looker API im Hostprojekt der freigegebene VPC in der Google Cloud Console. Wenn Sie die API aktivieren, müssen Sie die Seite der Console möglicherweise aktualisieren, um zu bestätigen, dass die API aktiviert wurde.

    API aktivieren

  2. Erstellen Sie im Hostprojekt der freigegebene VPC ein Dienstkonto mit dem gcloud services identity create Befehl:

    gcloud beta services identity create --service=looker.googleapis.com \
--project=SHARED_HOST_PROJECT_ID

    Ersetzen Sie SHARED_HOST_PROJECT_ID durch die ID des Hostprojekts der freigegebene VPC.

  3. Gewähren Sie dem Dienstkonto im Hostprojekt der freigegebene VPC eine IAM-Rolle, die die IAM-Berechtigung compute.globalAddresses.get enthält. Führen Sie dann den add-iam-policy-binding Befehl aus:

    gcloud projects add-iam-policy-binding SHARED_HOST_PROJECT_ID \
    --member=serviceAccount:SA_EMAIL --role=ROLE_NAME

    Ersetzen Sie Folgendes:

    • SHARED_HOST_PROJECT_ID: Die ID des Hostprojekts der gemeinsam genutzten VPC.

    • SA_EMAIL: Die E-Mail-Adresse des Dienstkontos, das Sie im Hostprojekt der freigegebene VPC erstellt haben.

    • ROLE_NAME: Der Name der Rolle, die die Berechtigung compute.globalAddresses.get enthält. Verwenden Sie eines der folgenden Formate:

      • Vordefinierte Rollen: roles/SERVICE.IDENTIFIER
      • Benutzerdefinierte Rollen auf Projektebene: projects/PROJECT_ID/roles/IDENTIFIER
      • Benutzerdefinierte Rollen auf Organisationsebene: organizations/ORG_ID/roles/IDENTIFIER

      Eine Liste der vordefinierten Rollen finden Sie unter Informationen zu Rollen.

Nachdem Sie das Dienstkonto erstellt und ihm die IAM-Berechtigung gewährt haben, warten Sie einige Minuten, bis das Dienstkonto und die Berechtigung weitergegeben wurden.

Weisen Sie außerdem einen IPv4-IP-Bereich in der freigegebene VPC zu und fügen Sie der freigegebene VPC die Verbindung für den Zugriff auf private Dienste hinzu, wie im vorherigen Abschnitt VPC-Netzwerk erstellen und konfigurieren beschrieben.

Instanz mit privaten Verbindungen erstellen

Looker (Google Cloud Core) erfordert etwa 60 Minuten, um eine neue Instanz zu generieren.

Wenn Sie eine Instanz mit privaten Verbindungen (Private Service Access, PSA) möchten, müssen Sie die Google Cloud CLI oder Terraform verwenden und die Instanz beim Erstellen als Instanz mit privaten Verbindungen (Private Service Access, PSA) konfigurieren. Private Verbindungen können nach dem Erstellen der Instanz nicht mehr hinzugefügt oder entfernt werden.

Führen Sie die folgenden Schritte aus, um mit der Google Cloud CLI eine Instanz mit privaten Verbindungen (Private Service Access, PSA) zu erstellen:

  1. Wenn Sie CMEK verwenden, folgen Sie der Anleitung zum Erstellen eines Dienstkontos, eines Schlüsselbunds und eines Schlüssels, bevor Sie Ihre Looker (Google Cloud Core)-Instanz erstellen.

  2. Verwenden Sie den Befehl gcloud looker instances create, um die Instanz zu erstellen:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
--private-ip-enabled \
--consumer-network=CONSUMER_NETWORK --reserved-range=RESERVED_RANGE
[--no-public-ip-enabled]\
[--public-ip-enabled]\
[--release-channel=RELEASE_CHANNEL]

    Ersetzen Sie Folgendes:

    • INSTANCE_NAME: Ein Name für Ihre Looker (Google Cloud Core)-Instanz. Er ist nicht mit der Instanz-URL verknüpft.
    • PROJECT_ID: Der Name des Google Cloud Projekts, in dem Sie die Looker (Google Cloud Core)-Instanz erstellen.
    • OAUTH_CLIENT_ID und OAUTH_CLIENT_SECRET: Die OAuth-Client-ID und das OAuth-Geheimnis, die Sie beim Einrichten Ihres OAuth-Clients erstellt haben. Nachdem die Instanz erstellt wurde, geben Sie die URL der Instanz im Abschnitt Autorisierte Weiterleitungs-URIs des OAuth-Clients ein.
    • REGION: Die Region, in der Ihre Looker (Google Cloud Core)-Instanz gehostet wird. Wählen Sie die Region aus, die mit der Region im Abovertrag übereinstimmt. Die verfügbaren Regionen sind auf der Dokumentationsseite Looker-Standorte (Google Cloud Core) aufgeführt.
    • EDITION: Die Version, der Umgebungstyp (Produktion oder Nichtproduktion) und ob es sich um eine Testversion für die Instanz handelt. Für eine Instanz mit privaten Verbindungen (Private Service Access, PSA) sollte dies core-enterprise-annual, core-embed-annual, nonprod-core-enterprise-annual, nonprod-core-embed-annual, core-trial-enterprise, oder core-trial-embed sein. Achten Sie darauf, dass Sie denselben Versionstyp wie in Ihrem Jahresvertrag angegeben auswählen und dass Sie ein Kontingent zugewiesen haben. Nach dem Erstellen der Instanz sind Änderungen an Versionen nicht mehr möglich. Wenn Sie eine Version ändern möchten, können Sie importieren und exportieren verwenden, um Ihre Looker (Google Cloud Core)-Instanzdaten in eine neue Instanz zu verschieben, die mit einer anderen Version konfiguriert ist.
    • CONSUMER_NETWORK: Ihr VPC-Netzwerk oder gemeinsam genutztes VPC Netzwerk im Format projects/PROJECT_ID/global/networks/NETWORK_NAME. Muss festgelegt werden, wenn Sie eine Instanz mit privaten Verbindungen (Private Service Access, PSA) erstellen.
    • RESERVED_RANGE: Der Bereich von IP-Adressen innerhalb der VPC, in der Google ein Subnetz für Ihre Looker (Google Cloud Core)-Instanz bereitstellt.
    • RELEASE_CHANNEL: die Release-Version für die Instanz. Verfügbare Werte sind rapid, regular und no-channel. Die Standardeinstellung während der Vorschau ist no-channel. Wenn Sie dieses Flag nicht in den Befehl create aufnehmen, wird die Instanz mit der Standardversion erstellt. Diese Feature befindet sich im Vorschaumodus.

    Sie können die folgenden Flags einfügen:

    • --private-ip-enabled aktiviert private Verbindungen (Private Service Access, PSA). Dieses Flag muss enthalten sein, um eine Instanz mit privaten Verbindungen (Private Service Access, PSA) zu erstellen.
    • --public-ip-enabled aktiviert die öffentliche IP-Adresse.
    • --no-public-ip-enabled deaktiviert die öffentliche IP-Adresse.
    • --async wird empfohlen, wenn Sie eine Looker (Google Cloud Core)-Instanz erstellen.

  3. Sie können weitere Parameter hinzufügen, um andere Instanzeinstellungen anzuwenden: 

      [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  [--kms-key=KMS_KEY_ID]
  [--accelerated-security-patch-enabled]
  [--no-accelerated-security-patch-enabled]
  [--fips-enabled]
  [--catalog-integration-enabled]
  [--no-catalog-integration-enabled]

    Ersetzen Sie Folgendes:

    Die folgenden Flags aktivieren andere Einstellungen:

Während die Instanz erstellt wird, können Sie ihren Status in der Console auf der Seite Instanzen ansehen. Sie können Ihre Instanzerstellungsaktivität auch aufrufen, indem Sie im Menü der Google Cloud Console auf das Benachrichtigungssymbol klicken.

Wenn Sie beim Einrichten der Instanz Hybridverbindungen ausgewählt haben, können Sie den eingehenden Zugriff über die Web-URL für die Instanz einrichten. Diese URL finden Sie in der Google Cloud Console auf der Seite Instanzen oder auf dem Tab Benutzerdefinierte Domain der Seite mit den Instanzdetails, wenn Sie eine benutzerdefinierte Domain eingerichtet haben. Sie können eine IP-Zulassungsliste einrichten, um eingehende Verbindungen auf Traffic von bestimmten IP-Adressen zu beschränken.

Wenn Sie eine Instanz erstellen, die nur private Verbindungen (Private Service Access, PSA) verwendet, wird auf der Seite Instanzen keine URL angezeigt. Weitere Informationen zum Einrichten des Zugriffs auf Ihre Instanz mit privaten Verbindungen (Private Service Access, PSA) finden Sie im folgenden Abschnitt Nach der Erstellung auf eine Instanz mit Zugriff auf private Dienste zugreifen.

Nach der Erstellung auf eine Instanz mit Zugriff auf private Dienste zugreifen

Wenn Sie eine Instanz erstellen, die nur für private Verbindungen aktiviert ist, erhalten Sie keine URL für die Instanz. Um auf die Instanz zuzugreifen, müssen Sie eine benutzerdefinierte Domain für die Instanz konfigurieren und diese benutzerdefinierte Domain den OAuth-Anmeldedaten der Instanz hinzufügen. Folgen Sie der Anleitung auf der Dokumentationsseite Mit Zugriff auf private Dienste auf eine Looker (Google Cloud Core)-Instanz zugreifen, um eine benutzerdefinierte Domain zu erstellen und darauf zuzugreifen.

Wenn Sie eine Instanz mit einer Hybridnetzwerkkonfiguration erstellen, folgen Sie der Anleitung auf der Dokumentationsseite Benutzerdefinierte Domain für eine Looker (Google Cloud Core)-Instanz einrichten, für die öffentliche Verbindungen verwendet werden, um eine benutzerdefinierte Domain zu erstellen und darauf zuzugreifen.

Fehlerbehebung bei Problemen mit der Instanzerstellung

Informationen zur Fehlerbehebung finden Sie auf der Dokumentationsseite Fehler bei der Erstellung von Looker (Google Cloud Core)-Instanzen beheben.

Nächste Schritte