Looker (Google Cloud Core)-Instanz mit privaten Verbindungen (Zugriff auf private Dienste) erstellen

Auf dieser Seite wird erläutert, wie Sie eine Looker (Google Cloud Core)-Produktions- oder Nichtproduktionsinstanz mit privaten Verbindungen (Private Service Access, PSA) erstellen, die den Zugriff auf private Dienste (Private Service Access, PSA) verwendet.

Private Verbindungen machen Dienste erreichbar, ohne das Internet zu nutzen oder externe IP-Adressen zu verwenden. Da sie nicht über das Internet übertragen werden, bieten private Verbindungen in der Regel eine geringere Latenz und eingeschränkte Angriffsvektoren. Private Verbindungen ermöglichen es Ihrer Looker (Google Cloud Core)-Instanz, mit anderen Ressourcen in Ihrer Virtual Private Cloud (VPC) zu kommunizieren, lassen aber keine eingehende Kommunikation aus dem öffentlichen Internet zu.

Private Verbindungen ermöglichen die Verwendung einiger Funktionen wie VPC Service Controls. Private Verbindungen sind jedoch nicht mit allen Looker (Google Cloud Core)-Funktionen kompatibel. Weitere Informationen finden Sie in der Tabelle zur Featurekompatibilität.

Looker (Google Cloud Core) unterstützt private Verbindungen (PSA) für die Instanzversionen Enterprise und Embed .

Erforderliche Rollen und Berechtigungen

Zum Einrichten einer Instanz mit privaten Verbindungen (PSA) benötigen Sie die folgenden IAM-Berechtigungen:

  1. Zum Erstellen einer Looker (Google Cloud Core)-Instanz benötigen Sie die Rolle „Looker-Administrator“ (roles/looker.Admin).

  2. Bitten Sie Ihren Administrator, Ihnen die Compute-Netzwerkadministrator (roles/compute.networkAdmin) IAM-Rolle für das Projekt zu gewähren, um die Berechtigungen zu erhalten, die Sie zum Erstellen zugewiesener IP-Adressbereiche und zum Verwalten privater Verbindungen benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

    Diese vordefinierte Rolle enthält die Berechtigungen, die zum Erstellen zugewiesener IP-Adressbereiche und zum Verwalten privater Verbindungen erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen , um die notwendigen Berechtigungen anzuzeigen, die erforderlich sind:

    Erforderliche Berechtigungen

    Die folgenden Berechtigungen sind erforderlich, um zugewiesene IP-Adressbereiche zu erstellen und private Verbindungen zu verwalten:

    • Verfügbare Netzwerke im Drop-down-Menü Netzwerk ansehen:
      • compute.addresses.list
      • compute.globalAddresses.list
      • compute.networks.list
      • compute.globalAddresses.list
    • Neues VPC-Netzwerk erstellen:
      • compute.addresses.create
      • compute.globalAddresses.create
      • serviceusage.services.enable
    • Privaten IP-Bereich zuweisen und eine Verbindung für den Zugriff auf private Dienste einrichten: compute.networks.addPeering

    Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

    Wenn Sie ein bereits eingerichtetes privates Netzwerk verwenden, benötigen Sie diese Berechtigungen nicht.

Möglicherweise benötigen Sie auch zusätzliche IAM-Rollen, um VPC Service Controls oder kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) einzurichten. Weitere Informationen finden Sie auf den Dokumentationsseiten Unterstützung von VPC Service Controls für Looker (Google Cloud Core) und CMEK für Looker (Google Cloud Core) aktivieren.

Hinweis

  1. Sprechen Sie mit dem Vertrieb, um sicherzustellen, dass Ihr Jahresvertrag abgeschlossen ist und Sie in Ihrem Projekt ein Kontingent zugewiesen haben.
  2. Achten Sie darauf, dass die Abrechnung für Ihr Google Cloud Projekt inaktiviert ist.
  3. Erstellen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud Projekt oder rufen Sie ein vorhandenes Projekt auf, in dem Sie die Looker (Google Cloud Core)-Instanz erstellen möchten.

    Zur Projektauswahl

  4. Aktivieren Sie die Looker API für Ihr Projekt in der Google Cloud Console. Wenn Sie die API aktivieren, müssen Sie die Seite der Console möglicherweise aktualisieren, um zu bestätigen, dass die API aktiviert wurde.

    API aktivieren

  5. Aktivieren Sie die Service Networking API für Ihr Projekt in der Google Cloud Console. Wenn Sie die API aktivieren, müssen Sie die Seite der Console möglicherweise aktualisieren, um zu bestätigen, dass die API aktiviert wurde.

    API aktivieren

  6. Aktivieren Sie die Compute Engine API für Ihr Projekt in der Google Cloud Console. Wenn Sie die API aktivieren, müssen Sie die Seite der Console möglicherweise aktualisieren, um zu bestätigen, dass die API aktiviert wurde.

    API aktivieren

  7. Richten Sie einen OAuth-Client ein und erstellen Sie Anmeldedaten für die Autorisierung. Mit dem OAuth-Client können Sie sich authentifizieren und auf die Instanz zugreifen. Sie müssen OAuth einrichten, um eine Looker (Google Cloud Core)-Instanz zu erstellen, auch wenn Sie eine andere Authentifizierungsmethode verwenden, um Nutzer in Ihrer Instanz zu authentifizieren.

VPC-Netzwerk erstellen und konfigurieren

Bevor Sie eine private Verbindung erstellen können, müssen Sie zuerst ein VPC-Netzwerk (Virtual Private Cloud) erstellen und konfigurieren. Looker (Google Cloud Core) unterstützt mehrere Instanzen mit privaten Verbindungen (PSA) in derselben VPC, entweder in derselben oder in verschiedenen Regionen.

  1. Erstellen Sie ein VPC-Netzwerk in Ihrem Projekt. Wenn Sie anstelle eines neuen VPC-Netzwerk eine gemeinsam genutzte VPC verwenden, führen Sie zusätzlich zu den verbleibenden Schritten in diesem Abschnitt für die gemeinsam genutzte VPC die Schritte im folgenden Abschnitt Instanz in einer gemeinsam genutzten VPC erstellen aus.
  2. Weisen Sie in Ihrer VPC einen IPv4-IP-Bereich (CIDR-Block) zu für eine Verbindung für den Zugriff auf private Dienste zu Looker (Google Cloud Core).
    • Beachten Sie vor der Zuweisung des Bereichs die Einschränkungen.
    • Beim Festlegen der Größe des IP-Adressbereichs ist zu beachten, dass die Mindestgröße ein /22 Block ist.
    • Looker (Google Cloud Core) unterstützt alle IPv4-Bereiche innerhalb von RFC 1918. RFC 1918 gibt IP-Adressen an, die intern, also innerhalb einer Organisation, zugewiesen und nicht ins Internet weitergeleitet werden. Konkret sind das die folgenden Bereiche:
      • 10.0.0.0/8
      • 172.16.0.0/12
      • 192.168.0.0/16
    • IPv4-Bereiche der Klasse E (240.0.0.0/4) sind für die spätere Verwendung reserviert, wie in RFC 5735 und RFC 1112 vermerkt. Sie werden für Looker (Google Cloud Core) nicht unterstützt.
    Wenn eine Looker (Google Cloud Core)-Instanz zum ersten Mal in einer Region innerhalb einer VPC erstellt wird, erstellt Looker ein Nur-Proxy-Subnetz. Das Nur-Proxy-Subnetz verwendet ein /26-Subnetz des /22-Subnetzes, das Sie beim Erstellen der Looker (Google Cloud Core)-Instanz reservieren. Alle nachfolgenden Looker (Google Cloud Core)-Instanzen mit privaten Verbindungen (PSA) in derselben VPC und in derselben Region verwenden dasselbe Nur-Proxy-Subnetz.
  3. Fügen Sie Ihrem VPC-Netzwerk die Verbindung für den Zugriff auf private Dienste hinzu. Verwenden Sie dazu den im vorherigen Schritt zugewiesenen IP-Bereich für die zugewiesene Zuweisung.
  4. Kehren Sie nach dem Erstellen des VPC-Netzwerk in Ihrem Google Cloud Projekt zur Seite Looker-Instanz erstellen zurück. Möglicherweise müssen Sie die Seite aktualisieren, damit Ihr VPC-Netzwerk erkannt wird.

Nachdem Sie diese Schritte ausgeführt haben, können Sie mit der Erstellung Ihrer Instanz beginnen. Folgen Sie dazu der Anleitung auf der Dokumentationsseite Looker-Instanz (Google Cloud Core) erstellen . Beginnen Sie mit dem Abschnitt Vorbereitung.

Mehrere Instanzen mit privaten Verbindungen in derselben VPC

Wenn sich zwei oder mehr Looker (Google Cloud Core)-Instanzen mit privaten Verbindungen in derselben Region und in derselben VPC befinden und Sie die erste Looker (Google Cloud Core)-Instanz löschen, die in der Region erstellt wurde, wird das Nur-Proxy-Subnetz nicht freigegeben, da es weiterhin von den verbleibenden Instanzen verwendet wird. Wenn Sie versuchen, eine neue Looker (Google Cloud Core)-Instanz mit privaten Verbindungen (PSA) zu erstellen, die denselben Adressbereich verwendet wie die gelöschte Instanz (der den IP-Adressbereich des Nur-Proxy-Subnetzes enthält), schlägt die Instanzerstellung fehl und Sie sehen den Fehler „IP-Bereiche erschöpft“. Um zu prüfen, ob ein IP-Bereich verwendet wird, prüfen Sie das VPC-Peering für Service Networking und die Importrouten, um zu sehen, ob sie den gewünschten IP-Bereich verwenden.

Instanz in einer freigegebene VPC erstellen

Wenn Sie eine Looker (Google Cloud Core)-Instanz in einer gemeinsam genutzten VPC erstellen, führen Sie die folgenden Schritte im Hostprojekt der freigegebene VPC aus:

  1. Aktivieren Sie die Looker API im Hostprojekt der freigegebene VPC in der Google Cloud Console. Wenn Sie die API aktivieren, müssen Sie die Seite der Console möglicherweise aktualisieren, um zu bestätigen, dass die API aktiviert wurde.

    API aktivieren

  2. Erstellen Sie im Hostprojekt der freigegebene VPC ein Dienstkonto mit dem gcloud services identity create Befehl:

    gcloud beta services identity create --service=looker.googleapis.com \
--project=SHARED_HOST_PROJECT_ID

    Ersetzen Sie SHARED_HOST_PROJECT_ID durch die ID des Hostprojekts der freigegebene VPC.

  3. Gewähren Sie dem Dienstkonto im Hostprojekt der freigegebene VPC eine IAM-Rolle, die die IAM-Berechtigung compute.globalAddresses.get enthält. Führen Sie dann den add-iam-policy-binding Befehl aus:

    gcloud projects add-iam-policy-binding SHARED_HOST_PROJECT_ID \
    --member=serviceAccount:SA_EMAIL --role=ROLE_NAME

    Ersetzen Sie Folgendes:

    • SHARED_HOST_PROJECT_ID: Die ID des Hostprojekts der gemeinsam genutzten VPC.

    • SA_EMAIL: Die E-Mail-Adresse des Dienstkontos, das Sie im Hostprojekt der freigegebene VPC erstellt haben.

    • ROLE_NAME: Der Name der Rolle, die die Berechtigung compute.globalAddresses.get enthält. Verwenden Sie eines der folgenden Formate:

      • Vordefinierte Rollen: roles/SERVICE.IDENTIFIER
      • Benutzerdefinierte Rollen auf Projektebene: projects/PROJECT_ID/roles/IDENTIFIER
      • Benutzerdefinierte Rollen auf Organisationsebene: organizations/ORG_ID/roles/IDENTIFIER

      Eine Liste der vordefinierten Rollen finden Sie unter Informationen zu Rollen.

Nachdem Sie das Dienstkonto erstellt und ihm die IAM-Berechtigung gewährt haben, warten Sie einige Minuten, bis das Dienstkonto und die Berechtigung weitergegeben wurden.

Weisen Sie außerdem einen IPv4-IP-Bereich in der freigegebene VPC zu und fügen Sie die Verbindung für den Zugriff auf private Dienste der freigegebene VPC hinzu, wie im vorherigen Abschnitt VPC-Netzwerk erstellen und konfigurieren beschrieben.

Instanz mit privaten Verbindungen erstellen

Looker (Google Cloud Core) erfordert etwa 60 Minuten, um eine neue Instanz zu generieren.

Wenn Sie eine Instanz mit privaten Verbindungen (PSA) möchten, müssen Sie die Google Cloud CLI oder Terraform verwenden und die Instanz beim Erstellen als Instanz mit privaten Verbindungen (PSA) konfigurieren. Private Verbindungen können nach der Instanzerstellung nicht mehr hinzugefügt oder entfernt werden.

So erstellen Sie eine Instanz mit privaten Verbindungen (PSA) mit der Google Cloud CLI:

  1. Wenn Sie CMEK verwenden, folgen Sie der Anleitung zum Erstellen eines Dienstkontos, eines Schlüsselbunds und eines Schlüssels, bevor Sie Ihre Looker (Google Cloud Core)-Instanz erstellen.

  2. Erstellen Sie die Instanz mit dem Befehl gcloud looker instances create:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
--private-ip-enabled \
--consumer-network=CONSUMER_NETWORK --reserved-range=RESERVED_RANGE
[--no-public-ip-enabled]\
[--public-ip-enabled]\
[--release-channel=RELEASE_CHANNEL]

    Ersetzen Sie Folgendes:

    • INSTANCE_NAME: ein Name für Ihre Looker (Google Cloud Core)-Instanz. Er ist nicht mit der Instanz-URL verknüpft.
    • PROJECT_ID: der Name des Google Cloud Projekts, in dem Sie die Looker (Google Cloud Core)-Instanz erstellen.
    • OAUTH_CLIENT_ID und OAUTH_CLIENT_SECRET: die OAuth-Client-ID und das OAuth-Geheimnis, die Sie beim Einrichten des OAuth-Clients erstellt haben. Nachdem die Instanz erstellt wurde, geben Sie die URL der Instanz im Abschnitt Autorisierte Weiterleitungs-URIs des OAuth-Clients ein.
    • REGION: die Region, in der Ihre Looker (Google Cloud Core)-Instanz gehostet wird. Wählen Sie die Region aus, die mit der Region im Abovertrag übereinstimmt. Die verfügbaren Regionen sind auf der Dokumentationsseite Looker-Standorte (Google Cloud Core) aufgeführt.
    • EDITION: die Version, der Umgebungstyp (Produktion oder Nichtproduktion) und ob es sich um eine Testversion für die Instanz handelt. Für eine Instanz mit privaten Verbindungen (PSA) sollte dies core-enterprise-annual, core-embed-annual, nonprod-core-enterprise-annual, nonprod-core-embed-annual, core-trial-enterprise oder core-trial-embed sein. Achten Sie darauf, dass Sie denselben Versionstyp auswählen, der in Ihrem Jahresvertrag aufgeführt ist, und dass Sie ein Kontingent zugewiesen haben. Nach dem Erstellen einer Instanz sind Änderungen an Versionen nicht mehr möglich. Wenn Sie eine Version ändern möchten, können Sie Daten importieren und exportieren, um Ihre Looker (Google Cloud Core)-Instanzdaten in eine neue Instanz zu verschieben, die mit einer anderen Version konfiguriert ist.
    • CONSUMER_NETWORK: Ihr VPC-Netzwerk oder gemeinsam genutztes VPC Netzwerk im Format projects/PROJECT_ID/global/networks/NETWORK_NAME. Muss festgelegt werden, wenn Sie eine Instanz mit privaten Verbindungen (PSA) erstellen.
    • RESERVED_RANGE: der Bereich von IP-Adressen innerhalb der VPC, in dem Google ein Subnetz für Ihre Looker (Google Cloud Core)-Instanz bereitstellt.
    • RELEASE_CHANNEL: die Release-Version für die Instanz. Verfügbare Werte sind rapid, regular und no-channel. Während der Vorschau ist der Standardwert no-channel. Wenn Sie dieses Flag nicht in den Befehl create aufnehmen, wird die Instanz mit der Standardversion erstellt. Diese Feature befindet sich im Vorschaumodus.

    Sie können die folgenden Flags verwenden:

    • --private-ip-enabled aktiviert private Verbindungen (PSA). Dieses Flag muss enthalten sein, um eine Instanz mit privaten Verbindungen (PSA) zu erstellen.
    • --public-ip-enabled aktiviert die öffentliche IP-Adresse.
    • --no-public-ip-enabled deaktiviert die öffentliche IP-Adresse.
    • --async wird empfohlen, wenn Sie eine Looker (Google Cloud Core)-Instanz erstellen.

  3. Sie können weitere Parameter hinzufügen, um andere Instanzeinstellungen anzuwenden: 

      [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  [--kms-key=KMS_KEY_ID]
  [--accelerated-security-patch-enabled]
  [--no-accelerated-security-patch-enabled]
  [--fips-enabled]
  [--catalog-integration-enabled]
  [--no-catalog-integration-enabled]

    Ersetzen Sie Folgendes:

    Die folgenden Flags aktivieren andere Einstellungen:

Während die Instanz erstellt wird, können Sie ihren Status auf der Seite Instanzen in der Console ansehen. Sie können Ihre Instanzerstellungsaktivität auch aufrufen, indem Sie im Google Cloud Console-Menü auf das Benachrichtigungssymbol klicken.

Wenn Sie beim Einrichten der Instanz Hybridverbindungen ausgewählt haben, können Sie den eingehenden Zugriff über die Web-URL für die Instanz einrichten. Diese URL finden Sie in der Console auf der Seite Instanzen oder auf dem Tab Benutzerdefinierte Domain der Instanz-Detailseite, wenn Sie eine benutzerdefinierte Domain eingerichtet haben. Google Cloud Sie können eine IP-Zulassungsliste einrichten, um eingehende Verbindungen auf Traffic von bestimmten IP-Adressen zu beschränken.

Wenn Sie eine Instanz erstellen, die nur private Verbindungen (PSA) verwendet, wird auf der Seite Instanzen keine URL angezeigt. Weitere Informationen zum Einrichten des Zugriffs auf Ihre Instanz mit privaten Verbindungen (PSA) finden Sie im folgenden Abschnitt Nach der Erstellung auf eine Instanz mit Zugriff auf private Dienste zugreifen.

Nach der Erstellung auf eine Instanz mit Zugriff auf private Dienste zugreifen

Wenn Sie eine Instanz erstellen, die nur für private Verbindungen aktiviert ist, erhalten Sie keine URL für die Instanz. Um auf die Instanz zuzugreifen, müssen Sie eine benutzerdefinierte Domain für die Instanz konfigurieren und diese benutzerdefinierte Domain den OAuth-Anmeldedaten der Instanz hinzufügen. Folgen Sie der Anleitung auf der Dokumentationsseite Mit Zugriff auf private Dienste auf eine Looker (Google Cloud Core)-Instanz zugreifen, um eine benutzerdefinierte Domain zu erstellen und darauf zuzugreifen.

Wenn Sie eine Instanz mit einer Hybridnetzwerkkonfiguration erstellen, folgen Sie der Anleitung auf der Dokumentationsseite Benutzerdefinierte Domain für eine Looker (Google Cloud Core)-Instanz einrichten, die öffentliche Verbindungen verwendet, um eine benutzerdefinierte Domain zu erstellen und darauf zuzugreifen.

Probleme bei der Instanzerstellung beheben

Informationen zur Fehlerbehebung finden Sie auf der Dokumentationsseite Fehler bei der Erstellung von Looker (Google Cloud Core)-Instanzen beheben.

Nächste Schritte