יצירת חיבורים פרטיים (גישה לשירותים פרטיים) למופע Looker (ליבת Google Cloud)

בדף הזה מוסבר איך ליצור ב-Looker (ליבת Google Cloud) חיבורים פרטיים (PSA) לשרת ייצור או לשרת שאינו שרת ייצור שמשתמש בגישה לשירותים פרטיים (PSA).

חיבורים פרטיים מאפשרים להגיע לשירותים בלי לעבור דרך האינטרנט או להשתמש בכתובות IP חיצוניות. חיבורים פרטיים לא עוברים דרך האינטרנט, ולכן בדרך כלל יש להם זמן אחזור נמוך ווקטורי תקיפה מוגבלים. חיבורים פרטיים מאפשרים למופע Looker (ליבת Google Cloud) לתקשר עם משאבים אחרים בענן הווירטואלי הפרטי (VPC), אבל לא מאפשרים תקשורת נכנסת מהאינטרנט הציבורי.

קישוריות פרטית מאפשרת שימוש בתכונות מסוימות, כמו VPC Service Controls. עם זאת, חיבורים פרטיים לא תואמים לחלק מהתכונות של Looker (ליבת Google Cloud). מידע נוסף זמין בטבלה בנושא תאימות תכונות.

‫Looker (Google Cloud core) תומך בחיבורים פרטיים (PSA) במהדורות של מכונות Enterprise או Embed.

תפקידים והרשאות נדרשים

כדי להגדיר מכונה של גישה לשירותים פרטיים (PSA), צריכות להיות לכם הרשאות IAM הבאות:

  1. כדי ליצור מופע של Looker (Google Cloud Core), צריך להיות לכם התפקיד אדמין של Looker (roles/looker.Admin).

  2. כדי לקבל את ההרשאות שנדרשות ליצירת טווחים של כתובות IP שהוקצו ולניהול חיבורים פרטיים, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של רשת Compute (roles/compute.networkAdmin) בפרויקט. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

    התפקיד המוגדר מראש הזה כולל את ההרשאות שנדרשות ליצירת טווחי כתובות IP שהוקצו ולניהול חיבורים פרטיים. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

    ההרשאות הנדרשות

    כדי ליצור טווחי כתובות IP שהוקצו ולנהל חיבורים פרטיים, נדרשות ההרשאות הבאות:

    • בתפריט הנפתח רשת, רואים את הרשתות הזמינות:
      • compute.addresses.list
      • compute.globalAddresses.list
      • compute.networks.list
      • compute.globalAddresses.list
    • יוצרים רשת VPC חדשה:
      • compute.addresses.create
      • compute.globalAddresses.create
      • serviceusage.services.enable
    • מקצים טווח של כתובות IP פרטיות ומגדירים חיבור של גישה לשירותים פרטיים: compute.networks.addPeering

    יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

    אם אתם משתמשים ברשת פרטית שכבר הוגדרה, אתם לא צריכים את ההרשאות האלה.

יכול להיות שתצטרכו גם תפקידי IAM נוספים כדי להגדיר VPC Service Controls או מפתחות הצפנה בניהול הלקוח (CMEK). מידע נוסף על התכונות האלה זמין במאמרים תמיכה ב-VPC Service Controls ב-Looker (Google Cloud core) והפעלת CMEK ב-Looker (Google Cloud core).

לפני שמתחילים

  1. פונים לצוות המכירות כדי לוודא שהחוזה השנתי הושלם ושהוקצתה לכם מכסת שימוש בפרויקט.
  2. מוודאים שהחיוב מופעל בפרויקט Google Cloud .
  3. במסוף Google Cloud, בדף לבחירת הפרויקט, יוצרים פרויקט או עוברים לפרויקט קיים שבו רוצים ליצור את מופע Looker (Google Cloud core). Google Cloud

    כניסה לדף לבחירת הפרויקט

  4. מפעילים את Looker API בפרויקט במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שיהיה צורך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  5. מפעילים את Service Networking API בפרויקט במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שיהיה צורך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  6. מפעילים את Compute Engine API בפרויקט במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שצריך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  7. הגדרת לקוח OAuth ויצירת פרטי הרשאה. לקוח OAuth מאפשר לכם לבצע אימות ולגשת למופע. צריך להגדיר OAuth כדי ליצור מופע של Looker (Google Cloud core), גם אם משתמשים בשיטת אימות אחרת כדי לאמת את המשתמשים במופע.

יצירה והגדרה של רשת VPC

לפני שיוצרים חיבור פרטי, צריך ליצור ולהגדיר רשת של ענן וירטואלי פרטי (VPC). ‫Looker (Google Cloud core) תומך בכמה מקרים של חיבורים פרטיים (PSA) באותו VPC, באותו אזור או באזורים שונים.

  1. יוצרים רשת VPC בפרויקט. לחלופין, אם אתם משתמשים ב-VPC משותף במקום ליצור רשת VPC חדשה, אתם צריכים לבצע את השלבים שבקטע הבא, יצירת מכונה וירטואלית ב-VPC משותף, בנוסף לשאר השלבים שבקטע הזה שמתייחסים ל-VPC משותף.
  2. מקצים טווח של כתובות IPv4 (בלוק CIDR) ב-VPC לחיבור גישה לשירותים פרטיים ל-Looker (ליבת Google Cloud).
    • לפני שמקצים את הטווח, כדאי לעיין באילוצים.
    • כשמגדירים את הגודל של טווח כתובות ה-IP, חשוב לדעת שהגודל המינימלי הוא בלוק של /22.
    • ‫Looker (Google Cloud core) תומך בכל טווחי ה-IPv4 ב-RFC 1918, שמציין כתובות IP שמוקצות לשימוש פנימי (כלומר, בתוך ארגון) ולא ינותבו באינטרנט. אלה הדוגמאות הספציפיות:
      • 10.0.0.0/8
      • 172.16.0.0/12
      • 192.168.0.0/16
    • טווחי IPv4 מסוג E (240.0.0.0/4) שמורים לשימוש עתידי, כפי שמצוין ב-RFC 5735 וב-RFC 1112, והם לא נתמכים ב-Looker (Google Cloud core).
    כשיוצרים מכונה של Looker (Google Cloud core) בפעם הראשונה באזור בתוך VPC, ‏ Looker יוצר תת-רשת של proxy בלבד. תת-הרשת של הפרוקסי בלבד משתמשת בתת-רשת של טווח /26 של תת-הרשת /22 שאתם שומרים כשאתם יוצרים את מופע Looker (Google Cloud core). כל החיבורים הפרטיים (PSA) הבאים למכונות Looker (ליבת Google Cloud) באותו VPC ובאותו אזור משתמשים באותה רשת משנה של פרוקסי בלבד.
  3. מוסיפים את החיבור לגישה לשירותים פרטיים לרשת ה-VPC באמצעות טווח כתובות ה-IP שהוקצה בשלב הקודם להקצאה שהוקצתה.
  4. אחרי שיוצרים את רשת ה-VPC, חוזרים לדף Create Looker instance בפרויקט Google Cloud . יכול להיות שתצטרכו לרענן את הדף כדי שמערכת ה-VPC תזהה את הרשת.

אחרי שמשלימים את השלבים האלה, אפשר להתחיל ליצור את המופע לפי השלבים שמופיעים בקטע יצירת מופע של Looker (Google Cloud core) במאמר הזה, החל מהקטע לפני שמתחילים.

כמה מופעים של חיבורים פרטיים באותו VPC

אם שתי מכונות או יותר של Looker (Google Cloud core) עם חיבורים פרטיים נמצאות באותו אזור ובאותו VPC, ואתם מוחקים את המכונה הראשונה של Looker (Google Cloud core) שנוצרה באזור, רשת המשנה של ה-proxy בלבד לא משוחררת כי היא עדיין בשימוש על ידי המכונות שנותרו. אם תנסו ליצור מכונה חדשה של Looker (Google Cloud core) עם חיבורים פרטיים (PSA) שמשתמשת באותו טווח כתובות שבו השתמשתם במכונה שנמחקה (שכוללת את טווח כתובות ה-IP של רשת המשנה של ה-proxy בלבד), יצירת המכונה תיכשל ותופיע השגיאה "טווח כתובות ה-IP מוצה". כדי לבדוק אם נעשה שימוש בטווח כתובות IP, בודקים את ה-VPC Peering של Service Networking, ואת המסלולים המיובאים כדי לראות אם נעשה שימוש בטווח כתובות ה-IP שמעניין אתכם.

יצירת מכונה וירטואלית ב-VPC משותף

אם אתם יוצרים מופע של Looker (Google Cloud core) בVPC משותף, אתם צריכים לבצע את השלבים הבאים בפרויקט המארח של ה-VPC המשותף:

  1. מפעילים את Looker API בפרויקט המארח של ה-VPC המשותף במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שצריך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  2. יוצרים חשבון שירות בפרויקט המארח של ה-VPC המשותף באמצעות הפקודה services identity create של gcloud:

    gcloud beta services identity create --service=looker.googleapis.com \
--project=SHARED_HOST_PROJECT_ID

    מחליפים את SHARED_HOST_PROJECT_ID במזהה של הפרויקט המארח של ה-VPC המשותף.

  3. מקצים לחשבון השירות בפרויקט המארח של ה-VPC המשותף תפקיד ב-IAM שכולל את ההרשאה compute.globalAddresses.get ב-IAM. לאחר מכן, מריצים את הפקודה add-iam-policy-binding:

    gcloud projects add-iam-policy-binding SHARED_HOST_PROJECT_ID \
    --member=serviceAccount:SA_EMAIL --role=ROLE_NAME

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫SHARED_HOST_PROJECT_ID: מזהה פרויקט המארח של ה-Shared VPC.

    • ‫SA_EMAIL: כתובת האימייל של חשבון השירות שיצרתם בפרויקט המארח של ה-VPC המשותף.

    • ‫ROLE_NAME: שם התפקיד שמכיל את ההרשאה compute.globalAddresses.get. משתמשים באחד מהפורמטים הבאים:

      • תפקידים מוגדרים מראש: roles/SERVICE.IDENTIFIER
      • תפקידים בהתאמה אישית ברמת הפרויקט: projects/PROJECT_ID/roles/IDENTIFIER
      • תפקידים בהתאמה אישית ברמת הארגון: organizations/ORG_ID/roles/IDENTIFIER

      רשימה של תפקידים מוגדרים מראש מופיעה במאמר הסבר על תפקידים.

אחרי שיוצרים את חשבון השירות ומעניקים לו את הרשאת IAM, צריך להמתין כמה דקות עד שחשבון השירות וההרשאה יתעדכנו.

בנוסף, צריך להקצות טווח כתובות IPv4 ב-VPC המשותף ולהוסיף את חיבור הגישה לשירותים פרטיים ל-VPC המשותף, כמו שמתואר בקטע הקודם, יצירה והגדרה של רשת VPC.

יצירת מופע של חיבורים פרטיים

יצירת מופע חדש של Looker (Google Cloud core) נמשכת כ-60 דקות.

אם רוצים ליצור מכונה עם חיבורים פרטיים (PSA), צריך להשתמש ב-Google Cloud CLI או ב-Terraform ולהגדיר את המכונה כחיבורים פרטיים (PSA) כשיוצרים אותה. אי אפשר להוסיף חיבורים פרטיים למופע או להסיר אותם ממנו אחרי שהוא נוצר.

כדי ליצור מופע של חיבורים פרטיים (PSA) באמצעות Google Cloud CLI, מבצעים את השלבים הבאים:

  1. אם אתם משתמשים ב-CMEK, אתם צריכים לפעול לפי ההוראות ליצירת חשבון שירות, מחזיק מפתחות ומפתח לפני שאתם יוצרים את מופע Looker (Google Cloud core).

  2. משתמשים בפקודה gcloud looker instances create כדי ליצור את המכונה:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
--private-ip-enabled \
--consumer-network=CONSUMER_NETWORK --reserved-range=RESERVED_RANGE
[--no-public-ip-enabled]\
[--public-ip-enabled]\
[--release-channel=RELEASE_CHANNEL]

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫INSTANCE_NAME: שם למופע של Looker (Google Cloud Core), שלא משויך לכתובת ה-URL של המופע.
    • ‫PROJECT_ID: השם של Google Cloud הפרויקט שבו אתם יוצרים את מופע Looker (Google Cloud Core).
    • ‫OAUTH_CLIENT_ID ו-OAUTH_CLIENT_SECRET: מזהה לקוח OAuth והסוד של OAuth שיצרתם כשהגדרתם את לקוח OAuth. אחרי שיוצרים את המופע, מזינים את כתובת ה-URL של המופע בקטע Authorized redirect URIs (כתובות URI מורשות להפניה אוטומטית) של לקוח OAuth.
    • ‫REGION: האזור שבו מתארחת המכונה של Looker (Google Cloud Core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי. אזורים זמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core).
    • ‫EDITION: המהדורה, סוג הסביבה (ייצור או לא ייצור), והאם זו מהדורת ניסיון של המופע. במקרה של מופע של חיבור פרטי (PSA), הערך צריך להיות core-enterprise-annual,‏ core-embed-annual,‏ nonprod-core-enterprise-annual,‏ nonprod-core-embed-annual,‏ core-trial-enterprise או core-trial-embed. חשוב לוודא שבחרתם את אותו סוג מהדורה שמופיע בחוזה השנתי שלכם, ושהוקצה לכם מכסת נפח. אי אפשר לשנות את המהדורה אחרי שיוצרים את המופע. אם רוצים לשנות מהדורה, אפשר להשתמש בייבוא וייצוא כדי להעביר את נתוני מופע Looker (Google Cloud core) למופע חדש שמוגדר עם מהדורה אחרת.
    • ‫CONSUMER_NETWORK: רשת ה-VPC או רשת ה-VPC המשותפת בפורמט projects/PROJECT_ID/global/networks/NETWORK_NAME. צריך להגדיר את הערך הזה אם יוצרים מופע של חיבורים פרטיים (PSA).
    • ‫RESERVED_RANGE: טווח כתובות ה-IP ב-VPC שבו Google תקצה רשת משנה למופע Looker (Google Cloud core).
    • ‫RELEASE_CHANNEL: ערוץ ההפצה של המכונה. הערכים הזמינים הם rapid,‏ regular ו-no-channel. ערך ברירת המחדל במהלך התצוגה המקדימה הוא no-channel. אם לא תכללו את הדגל הזה בפקודה create, המופע ייווצר עם הערוץ שמוגדר כברירת מחדל. התכונה הזו נמצאת בגרסת טרום-השקה.

    אפשר לכלול את הדגלים הבאים:

    • ‫--private-ip-enabled מאפשר חיבורים פרטיים (PSA). חובה לכלול את זה כדי ליצור מופע של חיבורים פרטיים (PSA).
    • --public-ip-enabled מפעיל כתובת IP ציבורית.
    • ‫--no-public-ip-enabled disables public IP.
    • מומלץ להשתמש ב---async כשיוצרים מופע של Looker (Google Cloud Core).

  3. אפשר להוסיף עוד פרמטרים כדי להחיל הגדרות נוספות של המופע: 

      [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  [--kms-key=KMS_KEY_ID]
  [--accelerated-security-patch-enabled]
  [--no-accelerated-security-patch-enabled]
  [--fips-enabled]
  [--catalog-integration-enabled]
  [--no-catalog-integration-enabled]

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫MAINTENANCE_WINDOW_DAY: הערך חייב להיות אחד מהערכים הבאים: friday, ‏ monday, ‏ saturday,‏ sunday, ‏ thursday, ‏ tuesday,‏ wednesday. מידע נוסף על הגדרות חלון התחזוקה זמין במאמר ניהול מדיניות תחזוקה ב-Looker (Google Cloud core).
    • ‫MAINTENANCE_WINDOW_TIME ו- DENY_MAINTENANCE_PERIOD_TIME: צריך להיות בשעון UTC בפורמט של 24 שעות (לדוגמה, 13:00, 17:45).
    • ‫DENY_MAINTENANCE_PERIOD_START_DATE ו-DENY_MAINTENANCE_PERIOD_END_DATE: הפורמט הנדרש הוא YYYY-MM-DD. אי אפשר להגדיר תקופת המתנה אם רושמים את המופע לערוץ ההפצה המהירה או משתמשים בדגל ההגדרה של תיקון אבטחה מואץ (ASP) עם ערוץ ההפצה הרגיל.
    • ‫KMS_KEY_ID: צריך להיות המפתח שנוצר כשמגדירים מפתחות הצפנה בניהול הלקוח (CMEK).

    הדגלים הבאים מאפשרים הגדרות נוספות:

במהלך יצירת המופע, אפשר לראות את הסטטוס שלו בדף Instances במסוף. אפשר גם לראות את הפעילות של יצירת המופע בלחיצה על סמל ההתראות בתפריט של Google Cloud המסוף.

אם בחרתם בחיבורים היברידיים כשקבעתם את הגדרות המופע, תוכלו להגדיר גישה נכנסת דרך כתובת ה-URL של המופע באינטרנט. אפשר למצוא את כתובת ה-URL הזו בדף Instances במסוף Google Cloud , או בכרטיסייה Custom domain בדף הפרטים של המופע, אם הגדרתם דומיין מותאם אישית. אפשר להגדיר רשימת היתרים של כתובות IP כדי להגביל את החיבורים הנכנסים לתנועה מכתובות IP מסוימות.

אם יוצרים רק מופע של חיבורים פרטיים (PSA), כתובת URL לא תופיע בדף Instances (מופעים). מידע נוסף על הגדרת גישה למופע של גישה לשירותים פרטיים (PSA) זמין בקטע גישה למופע של גישה לשירותים פרטיים אחרי שהוא נוצר.

גישה למופע של גישה לשירותים פרטיים אחרי היצירה

אם תיצרו מופע שמופעל רק לחיבורים פרטיים, לא תקבלו כתובת URL למופע. כדי לגשת למופע, צריך להגדיר דומיין מותאם אישית למופע ולהוסיף את הדומיין המותאם אישית הזה לפרטי הכניסה של OAuth של המופע. כדי ליצור דומיין מותאם אישית ולגשת אליו, פועלים לפי ההוראות בדף התיעוד בנושא גישה למכונה של Looker (Google Cloud core) באמצעות גישה לשירותים פרטיים.

אם יוצרים מופע שמשתמש בהגדרת רשת היברידית, צריך לפעול לפי ההוראות במאמר הגדרת דומיין בהתאמה אישית למופע Looker (Google Cloud core) שמשתמש בחיבורים ציבוריים כדי ליצור דומיין בהתאמה אישית ולגשת אליו.

פתרון בעיות שקשורות ליצירת מופעים

לקבלת עזרה בפתרון בעיות, אפשר לעיין בדף התיעוד בנושא פתרון בעיות ביצירת מופעים של Looker (Google Cloud core).

המאמרים הבאים