יצירת חיבורים פרטיים (גישה לשירותים פרטיים) למופע Looker (ליבת Google Cloud)

אתם יכולים להגדיר מכונה של Looker (ליבת Google Cloud) בסביבת ייצור או בסביבה שהיא לא סביבת ייצור, כך שתשתמש בחיבורים פרטיים עם גישה לשירותים פרטיים.

באמצעות גישה לשירותים פרטיים, מופע Looker (ליבת Google Cloud) מתקשר ישירות עם משאבים אחרים בענן הווירטואלי הפרטי (VPC) שלכם, בלי לעבור דרך האינטרנט הציבורי או להשתמש בכתובות IP חיצוניות. ההגדרה הזו מגבילה את וקטורי התקיפה, מונעת תנועה נכנסת מהאינטרנט הציבורי ומפחיתה את זמן האחזור ברשת.

קישוריות פרטית מאפשרת שימוש בתכונות כמו VPC Service Controls. עם זאת, חיבורים פרטיים לא תואמים לכל התכונות של Looker (Google Cloud core). מידע נוסף זמין בטבלה תאימות תכונות.

‫Looker (Google Cloud core) תומך בחיבורים פרטיים (PSA) במהדורות של Enterprise או Embed של מכונות.

תפקידים והרשאות נדרשים

כדי להגדיר מכונה של חיבורים פרטיים (PSA), נדרשות הרשאות ה-IAM הבאות:

  1. כדי ליצור מכונה של Looker (Google Cloud core), צריך להיות לכם התפקיד אדמין ב-Looker‏ (roles/looker.Admin).

  2. כדי לקבל את ההרשאות שנדרשות ליצירת טווחי כתובות IP מוקצים ולניהול חיבורים פרטיים, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין רשתות של Compute (roles/compute.networkAdmin) בפרויקט. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

    זהו תפקיד שמוגדר מראש וכולל את ההרשאות שנדרשות ליצירת טווחי כתובות IP שהוקצו ולניהול חיבורים פרטיים. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

    ההרשאות הנדרשות

    כדי ליצור טווחי כתובות IP שהוקצו ולנהל חיבורים פרטיים, נדרשות ההרשאות הבאות:

    • בתפריט הנפתח רשת אפשר לראות את הרשתות הזמינות:
      • compute.addresses.list
      • compute.globalAddresses.list
      • compute.networks.list
      • compute.globalAddresses.list
    • יוצרים רשת VPC חדשה:
      • compute.addresses.create
      • compute.globalAddresses.create
      • serviceusage.services.enable
    • מקצים טווח של כתובות IP פרטיות ומגדירים חיבור של גישה לשירותים פרטיים: compute.networks.addPeering

    יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

    אם אתם משתמשים ברשת פרטית שכבר הוגדרה, אתם לא צריכים את ההרשאות האלה.

יכול להיות שתצטרכו גם תפקידי IAM נוספים כדי להגדיר VPC Service Controls או מפתחות הצפנה בניהול הלקוח (CMEK). מידע נוסף זמין בדפי התיעוד של התכונות האלה: תמיכה ב-VPC Service Controls ב-Looker (Google Cloud core) או הפעלת CMEK ב-Looker (Google Cloud core).

יכול להיות שתצטרכו גם תפקידים נוספים ב-IAM כדי להגדיר את איחוד שירותי אימות הזהות של כוח עבודה, את VPC Service Controls או את מפתחות ההצפנה בניהול הלקוח (CMEK). מידע נוסף על התכונות האלה זמין במאמרים שימוש באיחוד זהויות של כוח העבודה לאימות משתמשים ב-Looker (Google Cloud core), תמיכה ב-VPC Service Controls ב-Looker (Google Cloud core) והפעלת CMEK ב-Looker (Google Cloud core).

לפני שמתחילים

  1. פונים לצוות המכירות כדי לוודא שהחוזה השנתי הושלם ושהוקצתה לכם מכסת שימוש בפרויקט.
  2. מוודאים שהחיוב מופעל בפרויקט ב- Google Cloud .
  3. במסוף Google Cloud, בדף לבחירת הפרויקט, יוצרים Google Cloud פרויקט או עוברים לפרויקט קיים שבו רוצים ליצור את מופע Looker (Google Cloud core).

    כניסה לדף לבחירת הפרויקט

  4. מפעילים את Looker API בפרויקט במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שצריך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  5. מפעילים את Service Networking API בפרויקט במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שצריך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  6. מפעילים את Compute Engine API בפרויקט במסוף Google Cloud. אחרי שמפעילים את ה-API, יכול להיות שצריך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  7. הגדרת לקוח OAuth ויצירת פרטי הרשאה. לקוח ה-OAuth מאפשר לכם לאמת את המכונה ולגשת אליה. אתם צריכים להגדיר OAuth כדי ליצור מכונה של Looker (Google Cloud core), גם אם אתם משתמשים בשיטת אימות אחרת כדי לאמת משתמשים במכונה.

יצירה והגדרה של רשת VPC

כדי ליצור חיבור פרטי, קודם צריך ליצור ולהגדיר רשת של ענן וירטואלי פרטי (VPC). ‫Looker (Google Cloud core) תומך בכמה מקרים של גישה לשירותים פרטיים (PSA) באותו VPC, באותו אזור או באזורים שונים.

  1. יוצרים רשת VPC בפרויקט. לחלופין, אם אתם משתמשים ב-VPC משותף במקום ליצור רשת VPC חדשה, בצעו את השלבים בקטע הבא, יצירת מכונה ב-VPC משותף, בנוסף לביצוע השלבים הנותרים בקטע הזה עבור ה-VPC המשותף.
  2. מקצים טווח של כתובות IPv4 (בלוק CIDR) ב-VPC לחיבור של גישה לשירותים פרטיים ל-Looker (Google Cloud core).
    • לפני שמקצים את הטווח, כדאי לעיין באילוצים.
    • כשמגדירים את הגודל של טווח כתובות ה-IP, חשוב לזכור שהגודל המינימלי הוא בלוק /22.
    • ‫Looker (Google Cloud core) תומך בכל טווחי ה-IPv4 ב-RFC 1918, שמציין כתובות IP שמוקצות לשימוש פנימי (כלומר, בתוך הארגון) ולא ינותבו באינטרנט. באופן ספציפי, אלה הפעולות:
      • 10.0.0.0/8
      • 172.16.0.0/12
      • 192.168.0.0/16
    • טווחי IPv4 מסוג Class E (240.0.0.0/4) שמורים לשימוש עתידי, כפי שמתואר ב-RFC 5735 וב-RFC 1112, ואין תמיכה בהם ב-Looker (Google Cloud core).
    כשיוצרים מכונה של Looker (Google Cloud core) בפעם הראשונה באזור ב-VPC, ‏Looker יוצר תת-רשת לשרתי proxy בלבד. תת-הרשת של הפרוקסי בלבד משתמשת בתת-רשת של טווח /26 של תת-הרשת /22 שאתם שומרים כשאתם יוצרים את מופע Looker (Google Cloud core). כל מכונות Looker (Google Cloud core) עם חיבורים פרטיים (PSA) באותו VPC ובאותו אזור משתמשות באותה רשת משנה של שרתי proxy בלבד.
  3. מוסיפים את החיבור לגישה לשירותים פרטיים לרשת ה-VPC באמצעות טווח ה-IP שהוקצה בשלב הקודם להקצאה שהוגדרה.
  4. אחרי שיוצרים את רשת ה-VPC, חוזרים לדף Create Looker instance בפרויקט ב- Google Cloud . יכול להיות שתצטרכו לרענן את הדף כדי שרשת ה-VPC תזוהה.

אחרי שתסיימו את השלבים האלה, תוכלו להתחיל ליצור את המכונה לפי השלבים שמופיעים בדף העזרה יצירת מכונה של Looker (Google Cloud core) , החל מהקטע לפני שמתחילים.

כמה מכונות של חיבורים פרטיים באותו VPC

אם שני מכונים או יותר של Looker (Google Cloud core) עם חיבורים פרטיים נמצאים באותו אזור ובאותו VPC, ואתם מוחקים את המכון הראשון של Looker (Google Cloud core) שנוצר באזור, רשת המשנה שמשמשת רק לשרתי proxy לא משתחררת כי המכונים האחרים עדיין משתמשים בה. אם תנסו ליצור מכונה חדשה של Looker (Google Cloud core) עם חיבורים פרטיים (PSA) שמשתמשת באותו טווח כתובות שבו השתמשתם במכונה שנמחקה (שמכיל את טווח כתובות ה-IP של רשת המשנה שמשמשת רק לשרת proxy), יצירת המכונה תיכשל ותופיע השגיאה "IP ranges exhausted". כדי לבדוק אם נעשה שימוש בטווח כתובות IP, בודקים את ה-VPC Peering של Service Networking, ואת המסלולים המיובאים כדי לראות אם נעשה שימוש בטווח כתובות ה-IP שמעניין אתכם.

יצירת מכונה ב-VPC משותף

אם אתם יוצרים מכונה של Looker (Google Cloud core) ב-VPC משותף, בצעו את השלבים הבאים בפרויקט המארח של ה-VPC המשותף:

  1. מפעילים את Looker API בפרויקט המארח של ה-VPC המשותף במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שצריך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  2. יוצרים חשבון שירות בפרויקט המארח של ה-VPC המשותף, באמצעות הפקודה services identity create של gcloud:

    gcloud beta services identity create --service=looker.googleapis.com \
--project=SHARED_HOST_PROJECT_ID

    מחליפים את SHARED_HOST_PROJECT_ID במזהה של הפרויקט המארח של ה-VPC המשותף.

  3. מקצים לחשבון השירות בפרויקט המארח של ה-VPC המשותף תפקיד ב-IAM שכולל את ההרשאה compute.globalAddresses.get ב-IAM. לאחר מכן, מריצים את הפקודה add-iam-policy-binding:

    gcloud projects add-iam-policy-binding SHARED_HOST_PROJECT_ID \
    --member=serviceAccount:SA_EMAIL --role=ROLE_NAME

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫SHARED_HOST_PROJECT_ID: מזהה הפרויקט המארח של ה-VPC המשותף.

    • ‫SA_EMAIL: כתובת האימייל של חשבון השירות שיצרתם בפרויקט המארח של ה-VPC המשותף.

    • ‫ROLE_NAME: שם התפקיד שמכיל את ההרשאה compute.globalAddresses.get. משתמשים באחד מהפורמטים הבאים:

      • תפקידים מוגדרים מראש: roles/SERVICE.IDENTIFIER
      • תפקידים בהתאמה אישית ברמת הפרויקט: projects/PROJECT_ID/roles/IDENTIFIER
      • תפקידים בהתאמה אישית ברמת הארגון: organizations/ORG_ID/roles/IDENTIFIER

      רשימה של תפקידים מוגדרים מראש מופיעה במאמר הסבר על תפקידים.

אחרי שיוצרים את חשבון השירות ונותנים לו את הרשאת ה-IAM, צריך להמתין כמה דקות עד שהחשבון וההרשאה יופצו.

בנוסף, צריך להקצות טווח של כתובות IPv4 ב-VPC המשותף ולהוסיף את החיבור לגישה לשירותים פרטיים ל-VPC המשותף, כמו שמתואר בקטע הקודם, יצירה והגדרה של רשת VPC.

יצירת המכונה של החיבורים הפרטיים

יצירת מכונה חדשה ב-Looker (Google Cloud core) נמשכת כ-60 דקות.

אם רוצים ליצור מכונה עם חיבורים פרטיים (PSA), צריך להשתמש ב-Google Cloud CLI או ב-Terraform ולהגדיר את המכונה כחיבורים פרטיים (PSA) כשיוצרים אותה. אי אפשר להוסיף חיבורים פרטיים למכונה או להסיר אותם ממנה אחרי שהיא נוצרה.

כדי ליצור מכונה של חיבורים פרטיים (PSA) באמצעות Google Cloud CLI:

  1. אם אתם משתמשים ב-CMEK, אז פעלו לפי ההוראות ליצירת חשבון שירות, אוסף מפתחות ומפתח לפני שאתם יוצרים את מופע Looker (Google Cloud core).

  2. משתמשים בפקודה gcloud looker instances create כדי ליצור את המכונה:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
--private-ip-enabled \
--consumer-network=CONSUMER_NETWORK --reserved-range=RESERVED_RANGE
[--no-public-ip-enabled]\
[--public-ip-enabled]\
[--release-channel=RELEASE_CHANNEL]

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫INSTANCE_NAME: שם למופע Looker (Google Cloud Core), שלא משויך לכתובת ה-URL של המופע.
    • ‫PROJECT_ID: השם של Google Cloud הפרויקט שבו אתם יוצרים את מופע Looker (Google Cloud Core).
    • ‫OAUTH_CLIENT_ID ו-OAUTH_CLIENT_SECRET: מזהה הלקוח ב-OAuth והסוד ב-OAuth שיצרתם כשהגדרתם את לקוח ה-OAuth. אחרי שיוצרים את המכונה, מזינים את כתובת ה-URL של המכונה בקטע Authorized redirect URIs של לקוח ה-OAuth.
    • ‫REGION: האזור שבו מארחים את המכונה של Looker (Google Cloud core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי. אזורים זמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core).
    • ‫EDITION: המהדורה, סוג הסביבה (ייצור או לא ייצור) ואם זו מהדורת ניסיון של המכונה. במכונה של חיבורים פרטיים (PSA), הערך צריך להיות core-enterprise-annual,‏ core-embed-annual,‏ nonprod-core-enterprise-annual,‏ nonprod-core-embed-annual,‏ core-trial-enterprise או core-trial-embed. חשוב לוודא שבחרתם את אותו סוג מהדורה שמופיע בחוזה השנתי ושהוקצה לכם מכסת שימוש. אי אפשר לשנות את המהדורות אחרי שיוצרים את המופע. אם רוצים לשנות מהדורה, אפשר להשתמש בייבוא וייצוא כדי להעביר את נתוני מופע Looker (Google Cloud core) למופע חדש שמוגדר עם מהדורה אחרת.
    • ‫CONSUMER_NETWORK: רשת ה-VPC או רשת ה-VPC המשותפת בפורמט projects/PROJECT_ID/global/networks/NETWORK_NAME. חובה להגדיר את הערך הזה כשיוצרים מופע של חיבורים פרטיים (PSA).
    • ‫RESERVED_RANGE: טווח כתובות ה-IP ב-VPC שבו Google תקצה רשת משנה למכונה של Looker (ליבת Google Cloud).
    • ‫RELEASE_CHANNEL: ערוץ ההפצה של המכונה. הערכים האפשריים הם rapid,‏ regular ו-no-channel. ערך ברירת המחדל במהלך התצוגה המקדימה הוא no-channel. אם לא כוללים את הדגל הזה בפקודה create, המופע נוצר עם הערוץ שמוגדר כברירת מחדל. התכונה הזאת נמצאת בגרסת טרום-השקה (Preview).

    אפשר לכלול את הדגלים הבאים:

    • ‫--private-ip-enabled מאפשר חיבורים פרטיים (PSA). צריך לכלול את זה כדי ליצור מכונה של חיבורים פרטיים (PSA).
    • --public-ip-enabled מפעיל כתובת IP ציבורית.
    • ‫--no-public-ip-enabled משבית את כתובת ה-IP הציבורית.
    • מומלץ להשתמש ב---async כשיוצרים מופע של Looker (Google Cloud Core).

  3. אפשר להוסיף עוד פרמטרים כדי להחיל הגדרות אחרות על המכונה: 

      [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  [--kms-key=KMS_KEY_ID]
  [--accelerated-security-patch-enabled]
  [--no-accelerated-security-patch-enabled]
  [--fips-enabled]
  [--catalog-integration-enabled]
  [--no-catalog-integration-enabled]

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫MAINTENANCE_WINDOW_DAY: חייב להיות אחד מהערכים הבאים: friday, monday, saturday, sunday, thursday, tuesday, wednesday. למידע נוסף על הגדרות של חלונות זמן לתחזוקה, קראו את המאמר ניהול מדיניות התחזוקה של Looker (Google Cloud core).
    • ‫MAINTENANCE_WINDOW_TIME ו- ‫DENY_MAINTENANCE_PERIOD_TIME: צריך להיות בשעון UTC בפורמט של 24 שעות (לדוגמה, 13:00, ‏ 17:45).
    • ‫DENY_MAINTENANCE_PERIOD_START_DATE ו-DENY_MAINTENANCE_PERIOD_END_DATE: חייבים להיות בפורמט YYYY-MM-DD. אי אפשר להגדיר פרק זמן לדחיית עדכונים ותחזוקה אם רושמים את המכונה לערוץ ההפצה המהירה, או אם משתמשים בדגל ההגדרה של תיקוני אבטחה מואצים (ASP) עם ערוץ ההפצה הרגילה.
    • ‫KMS_KEY_ID: חייב להיות המפתח שנוצר כשמגדירים מפתחות הצפנה בניהול הלקוח (CMEK).

    הדגלים הבאים מפעילים הגדרות אחרות:

במהלך יצירת המופע, אפשר לראות את הסטטוס שלו בדף Instances במסוף. אפשר גם לראות את הפעילות של יצירת המכונה בלחיצה על סמל ההתראות בתפריט של מסוף Google Cloud .

אם בחרתם בחיבורים היברידיים כשקבעתם את הגדרות המכונה, תוכלו להגדיר גישה נכנסת דרך כתובת ה-URL של המכונה באינטרנט. כתובת ה-URL הזו מופיעה בדף Instances במסוף Google Cloud , או בכרטיסייה Custom domain בדף הפרטים של המכונה, אם הגדרתם דומיין מותאם אישית. אתם יכולים להגדיר רשימת היתרים של כתובות IP כדי להגביל את החיבורים הנכנסים לתנועה מכתובות IP מסוימות.

אם יוצרים רק מופע של חיבורים פרטיים (PSA), כתובת URL לא תופיע בדף Instances (מופעים). בקטע גישה למכונה של גישה לשירותים פרטיים אחרי היצירה מוסבר איך להגדיר גישה למכונה של חיבורים פרטיים (PSA).

גישה למכונה של גישה לשירותים פרטיים אחרי היצירה

אם יוצרים מכונה שמופעלת רק לחיבורים פרטיים, לא מקבלים כתובת URL למכונה. כדי לגשת למופע, צריך להגדיר דומיין מותאם אישית למופע ולהוסיף את הדומיין המותאם אישית הזה לפרטי הכניסה של OAuth של המופע. כדי ליצור דומיין מותאם אישית ולגשת אליו, פועלים לפי ההוראות בדף העזרה גישה למכונה של Looker (Google Cloud core) באמצעות גישה לשירותים פרטיים.

אם אתם יוצרים מכונה שמשתמשת בהגדרת רשת היברידית, כדי ליצור דומיין מותאם אישית ולגשת אליו, פעלו לפי ההוראות בדף התיעוד הגדרת דומיין מותאם אישית למכונה של Looker (Google Cloud core) שמשתמשת בחיבורים ציבוריים.

פתרון בעיות ביצירת מכונות

כדי לקבל עזרה בפתרון בעיות, אפשר לעיין בדף התיעוד פתרון בעיות שקשורות לכשלים ביצירת מכונות של Looker (Google Cloud core).

המאמרים הבאים