יצירת מופע של Private Service Connect ב-Looker (Google Cloud core)

כדי להבטיח חיבורים מאובטחים ופרטיים לסביבות הייצור או לסביבות שאינן ייצור, אפשר ליצור מופע של Looker (Google Cloud core) עם Private Service Connect מופעל. אפשר להגדיר את המכונה באמצעות מסוף Google Cloud , ה-CLI של gcloud או Terraform. אפשרויות חיבור אחרות מפורטות במאמרי העזרה בנושא חיבורים ציבוריים מאובטחים או גישה לשירותים פרטיים.

אפשר להפעיל את Private Service Connect במכונה של Looker (Google Cloud core) שעומדת בקריטריונים הבאים:

  • המכונה של Looker (Google Cloud Core)‎ חייבת להיות חדשה. אפשר להפעיל את Private Service Connect רק בזמן יצירת המכונה.
  • המהדורה של המכונה צריכה להיות Enterprise‏ (core-enterprise-annual) או Embed‏ (core-embed-annual).

לפני שמתחילים

  1. פונים לצוות המכירות כדי לוודא שהחוזה השנתי הושלם ושהוקצתה לכם מכסת שימוש בפרויקט.
  2. מוודאים שהחיוב מופעל בפרויקט Google Cloud .
  3. במסוף Google Cloud, בדף לבחירת הפרויקט, בוחרים את הפרויקט שבו רוצים ליצור את מופע Private Service Connect.

    כניסה לדף לבחירת הפרויקט

  4. מפעילים את Looker API בפרויקט במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שיהיה צורך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  5. הגדרת לקוח OAuth ויצירת פרטי הרשאה. לקוח OAuth מאפשר לכם לבצע אימות ולגשת למופע. צריך להגדיר OAuth כדי ליצור מופע של Looker (Google Cloud core), גם אם משתמשים בשיטת אימות אחרת כדי לאמת את המשתמשים במופע.
  6. אם אתם רוצים להשתמש ב-VPC Service Controls או במפתחות הצפנה בניהול הלקוח (CMEK) עם מופע Looker (Google Cloud core) שאתם יוצרים, תצטרכו לבצע הגדרות נוספות לפני יצירת המופע. יכול להיות שיהיה צורך גם בהגדרות נוספות של מהדורה ורשת במהלך יצירת המופע.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת מופע של Looker (Google Cloud core), צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של Looker (roles/looker.admin) בפרויקט שבו המופע ימוקם. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

יכול להיות שתצטרכו גם תפקידים נוספים ב-IAM כדי להגדיר VPC Service Controls או מפתחות הצפנה בניהול הלקוח (CMEK). מידע נוסף זמין בדפי התיעוד של התכונות האלה.

יצירת מופע של Private Service Connect

console

  1. נכנסים לדף המוצר Looker (Google Cloud core) מהפרויקט במסוף Google Cloud. אם כבר יצרתם מופע של Looker (Google Cloud core) בפרויקט הזה, ייפתח הדף Instances.

    מעבר אל Looker (Google Cloud Core)‎

  2. לוחצים על CREATE INSTANCE.
  3. בקטע Instance name (שם המכונה), מציינים שם למכונה של Looker (Google Cloud core). שם המופע לא משויך לכתובת ה-URL של מופע Looker (Google Cloud Core) אחרי שהוא נוצר. אי אפשר לשנות את שם המופע אחרי שיוצרים אותו.

  4. בקטע Region (אזור), בוחרים את האפשרות המתאימה מהתפריט הנפתח כדי לארח את מופע Looker (Google Cloud core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי, שבו מוקצה הנפח של הפרויקט. אזורים זמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core).

    אחרי שיוצרים את המופע, אי אפשר לשנות את האזור.

  5. בקטע מהדורה, בוחרים באפשרות של מהדורת Enterprise או Embed (לייצור או לא לייצור). סוג המהדורה משפיע על חלק מההתכונות שזמינות במופע. חשוב לוודא שסוג המהדורה שבחרתם זהה לזה שמופיע בחוזה השנתי, ושיש לכם מכסת שימוש שהוקצתה לסוג המהדורה הזה.

    • ‫Enterprise: פלטפורמת Looker (ליבת Google Cloud) עם תכונות אבטחה משופרות לטיפול במגוון רחב של תרחישי שימוש פנימיים של BI וניתוח
    • הטמעה: פלטפורמת Looker (Google Cloud Core) לפריסה ולתחזוקה של ניתוח נתונים חיצוני אמין ואפליקציות בהתאמה אישית בהיקף נרחב
    • מהדורות שאינן מהדורות ייצור: אם אתם רוצים סביבת Staging ובדיקה, אתם יכולים לבחור אחת מהמהדורות שאינן מהדורות ייצור. מידע נוסף זמין במאמר בנושא מופעים שאינם מיועדים לסביבת ייצור.
    • מהדורות ניסיון: מהדורת ניסיון תומכת באותן תכונות כמו מהדורת הייצור התואמת, למעט העובדה שמהדורות ניסיון תקפות למשך 90 יום.

    אי אפשר לשנות את המהדורה אחרי שיוצרים את המופע. אם רוצים לשנות מהדורה, אפשר להשתמש בייבוא וייצוא כדי להעביר את נתוני מופע Looker (Google Cloud core) למופע חדש שמוגדר עם מהדורה אחרת.

  6. בקטע Customize your instance (התאמה אישית של המופע), לוחצים על Show configuration options (הצגת אפשרויות ההגדרה) כדי להציג קבוצה של הגדרות נוספות שאפשר להתאים אישית למופע.

  7. בקטע Connections, מתחת לInstance IP assignment, בוחרים באפשרות Use hybrid connections או באפשרות Use private connections. סוג החיבור לרשת שבוחרים משפיע על התכונות של Looker שזמינות במופע. אלה האפשרויות לחיבור לרשת שזמינות:

    • שימוש בחיבורים מאובטחים ציבוריים: ל-Looker תהיה כתובת URL ציבורית והוא ישתמש ברשת ציבורית לחיבורים יוצאים.

    • שימוש בחיבורים היברידיים: ל-Looker תהיה כתובת URL ציבורית והוא ישתמש בנקודות קצה של PSC לחיבורים יוצאים.

    • שימוש בחיבורים פרטיים: הקצאת כתובת IP פנימית שמוגדרת על ידי הלקוח ונגישה בענן וירטואלי פרטי (VPC) לכניסת תנועה. כדי לתקשר עם עומסי עבודה ב-VPC ועם עומסי עבודה מקומיים או מרובי עננים, צריך לפרוס קבצים מצורפים של שירותים לתעבורת נתונים יוצאת (egress). אם רוצים להשתמש ב-VPC Service Controls, צריך לבחור באפשרות שימוש בחיבורים פרטיים.

  8. בקטע OAuth Application Credentials (פרטי כניסה לאפליקציית OAuth), מזינים את מזהה הלקוח ב-OAuth ואת הסוד של OAuth שיצרתם כשהגדרתם את לקוח OAuth.

  9. אם אתם יוצרים מכונה שמשתמשת רק בחיבורים פרטיים, צריך להגדיר לפחות רשת VPC אחת מותרת שתקבל חיבורים נכנסים למכונה. בקטע Configure inbound connections, בשדה Project 1, בוחרים את הפרויקט שבו נוצרה הרשת הזו.

    כדי להוסיף עוד חיבורים נכנסים, לוחצים על Add Item כדי להוסיף כל VPC. בשדה Project X, בוחרים את הפרויקט שבו נוצרה הרשת. בתפריט הנפתח רשת, בוחרים את הרשת.

    אם בוחרים באפשרות שימוש בחיבורים היברידיים בקטע חיבורים, הקטע הגדרת חיבורים נכנסים לא מופיע. אפשר להגדיר גישה למופע דרך כתובת ה-URL של המופע באינטרנט.

  10. בקטע Local FQDN, מציינים חיבור שירות אחד או יותר שחושף נקודת קצה לחיבורים יוצאים ש-Looker יכול להתחבר אליהם. בשדה Local FQDN 1 מזינים את שם הדומיין שמוגדר במלואו של השירות, ובשדה Target Service Attachment URI 1 מזינים את ה-URI המלא של קובץ השירות בשביל השירות החיצוני.

    כדי להוסיף קבצים מצורפים של שירותים נוספים, לוחצים על הוספת פריט כדי להוסיף כל קובץ מצורף של שירות. בשדה Local FQDN, מזינים את שם הדומיין שמוגדר במלואו של השירות. בשדה Target Service Attachment URI (מזהה משאבים אחיד של שירות היעד), מזינים את מזהה המשאבים האחיד המלא של שירות היעד בשביל השירות החיצוני.

  11. בקטע הצפנה, אפשר לבחור את סוג ההצפנה שבו רוצים להשתמש במופע. אלה אפשרויות ההצפנה שזמינות:

  12. בקטע Maintenance Window (חלון תחזוקה), אפשר לציין את היום בשבוע ואת השעה שבהם Looker (Google Cloud core) יתזמן את התחזוקה. חלונות הזמן לתחזוקה נמשכים שעה אחת. כברירת מחדל, האפשרות חלון מועדף בחלון התחזוקה מוגדרת לכל חלון.

  13. בקטע Deny Maintenance Period (דחיית תקופת התחזוקה), אפשר לציין טווח ימים שבהם לא תתבצע תחזוקה ב-Looker (Google Cloud core). אפשר לדחות את תקופות התחזוקה עד 60 יום. צריך להמתין לפחות 14 ימים בין כל 2 תקופות שבהן נדחתה בקשה לתחזוקה.

  14. בקטע Gemini ב-Looker, אפשר להפעיל את התכונות של Gemini ב-Looker במופע של Looker ‏ (Google Cloud Core). כדי להפעיל את Gemini ב-Looker, בוחרים באפשרות Gemini ואז באפשרות תכונות של בודקים נאמנים. כשהאפשרות תכונות של בודקים נאמנים מופעלת, המשתמשים יכולים לגשת ליכולות של Gemini ב-Looker כבודקים נאמנים. אפשר לבקש גישה ליכולות שזמינות לבודקים נאמנים, ולא לקהל הרחב, באמצעות טופס הגישה לגרסת טרום השקה (Preview) של Gemini ב-Looker. את הבקשה צריך להגיש לכל משתמש בנפרד. כדי להשתמש ב-Gemini במהלך התקופה של טרום-GA, צריך להפעיל את ההגדרה הזו. אופציונלי: בוחרים באפשרות שימוש של הבודקים הנאמנים במידע. כשההגדרה הזו מופעלת, אתם מסכימים ש-Google תשתמש בנתונים שלכם כפי שמתואר בתנאים של תוכנית הבודקים הנאמנים של Gemini for Google Cloud . כדי להשבית את Gemini במכונת Looker (ליבת Google Cloud), צריך לבטל את הסימון של ההגדרה Gemini.

  15. בקטע Knowledge Catalog integration (שילוב עם Knowledge Catalog), אפשר לסמן את תיבת הסימון Opt out of Knowledge Catalog integration (ביטול ההסכמה לשילוב עם Knowledge Catalog) אם רוצים ש-Looker (Google Cloud core) ישבית את השילוב עם Knowledge Catalog. השילוב בין Looker (Google Cloud core) לבין Knowledge Catalog מופעל כברירת מחדל.

  16. לוחצים על יצירה.

gcloud

כדי ליצור מופע של Private Service Connect, מריצים את הפקודה gcloud looker instances create עם כל הדגלים הבאים:


gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]
[--no-public-ip-enabled]
[--public-ip-enabled]
--async

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: שם למופע של Looker (Google Cloud Core), שלא משויך לכתובת ה-URL של המופע.
  • ‫OAUTH_CLIENT_ID ו-OAUTH_CLIENT_SECRET: מזהה לקוח OAuth והסוד של OAuth שיצרתם כשהגדרתם את לקוח OAuth. אחרי שיוצרים את המופע, מזינים את כתובת ה-URL של המופע בקטע Authorized redirect URIs (כתובות URI מורשות להפניה אוטומטית) של לקוח OAuth.
  • ‫REGION: האזור שבו מתארחת מכונת Looker (Google Cloud core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי. אזורים זמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core).
  • ‫EDITION: המהדורה, סוג הסביבה (ייצור או לא ייצור), והאם זו מהדורת ניסיון של המופע. הערכים האפשריים הם core-enterprise-annual,‏ core-embed-annual,‏ nonprod-core-enterprise-annual,‏ nonprod-core-embed-annual,‏ core-trial-enterprise או core-trial-embed. אי אפשר לשנות את המהדורה אחרי שיוצרים את המופע. אם רוצים לשנות מהדורה, אפשר להשתמש בייבוא וייצוא כדי להעביר את נתוני מופע Looker (Google Cloud core) למופע חדש שמוגדר עם מהדורה אחרת.

  • ‫ALLOWED_VPC: אם אתם יוצרים אינסטנס שמשתמש רק בחיבורים פרטיים, צריך לציין רשת VPC שתהיה לה גישה נכנסת (ingress) אל Looker (הליבה של Google Cloud). כדי לגשת למכונה מחוץ לרשת ה-VPC שבה היא נמצאת, צריך לציין לפחות רשת VPC אחת. מציינים VPC באחד מהפורמטים הבאים:

    • projects/{project}/global/networks/{network}
    • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

    אם אתם יוצרים מופע שמשתמש בחיבורים היברידיים, אתם לא צריכים להגדיר VPC מותר.

  • ‫ADDITIONAL_ALLOWED_VPCS: אפשר להוסיף לרשימה מופרדת בפסיקים של הדגל --psc-allowed-vpcs כל רשת VPC נוספת שרוצים לאפשר לה גישה נכנסת ל-Looker (Google Cloud core).

כדי להפעיל או להשבית חיבורים ציבוריים, צריך לכלול גם אחד מהדגלים הבאים:

  • ‫--public-ip-enabled מאפשר חיבורים ציבוריים. אם מפעילים חיבורים ציבוריים למופע, תנועה נכנסת תנותב דרך חיבורים ציבוריים, ותנועה יוצאת תנותב דרך Private Service Connect.
  • --no-public-ip-enabled משבית את הקישורים שגלויים לכולם.

אם רוצים, אפשר להוסיף עוד פרמטרים כדי להחיל הגדרות אחרות של המופע:

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  [--kms-key=KMS_KEY_ID]
  [--fips-enabled]
  [--catalog-integration-enabled]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫MAINTENANCE_WINDOW_DAY: הערך חייב להיות אחד מהערכים הבאים: friday, ‏ monday, ‏ saturday,‏ sunday, ‏ thursday, ‏ tuesday,‏ wednesday. מידע נוסף על הגדרות חלון זמן לתחזוקה זמין במאמר ניהול מדיניות תחזוקה ב-Looker (Google Cloud core).
  • ‫MAINTENANCE_WINDOW_TIME ו- DENY_MAINTENANCE_PERIOD_TIME: צריך להיות בשעון UTC בפורמט של 24 שעות (לדוגמה, 13:00, 17:45).
  • ‫DENY_MAINTENANCE_PERIOD_START_DATE ו-DENY_MAINTENANCE_PERIOD_END_DATE: הפורמט הנדרש הוא YYYY-MM-DD.
  • ‫KMS_KEY_ID: צריך להיות המפתח שנוצר כשמגדירים מפתחות הצפנה בניהול הלקוח (CMEK).

אפשר לכלול את הדגל --fips-enabled כדי להפעיל תאימות לרמה 1 של FIPS 140-2, או להחליף את הדגל --catalog-integration-enabled בדגל --no-catalog-integration-enabled כדי להשבית את השילוב של Looker (Google Cloud core) ושל Knowledge Catalog.

תהליך היצירה של מופע Private Service Connect שונה מתהליך היצירה של מופע Looker (Google Cloud core) (גישה לשירותים פרטיים) בכמה אופנים:

  • אם הגדרתם Private Service Connect, אין צורך בדגלים --consumer-network ו---reserved-range.
  • למופעי Private Service Connect נדרש דגל נוסף: --psc-enabled.
  • הדגל --psc-allowed-vpcs הוא רשימה מופרדת בפסיקים של רשתות VPC. אפשר לציין כמה רשתות VPC שרוצים ברשימה.

Terraform

כדי להקצות מופע Enterprise של Looker (Google Cloud core) שמשתמש ב-PSC, אפשר להשתמש במשאב Terraform הבא:

# Create an ENTERPRISE edition Looker (Google Cloud core) instance that has PSC enabled.
resource "google_looker_instance" "default" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = false
  public_ip_enabled  = false
  psc_enabled        = true
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  psc_config {
    # allowed_vpcs = ["projects/{project}/global/networks/{network}"]
    # (Optional) List of VPCs that are allowed ingress into the Looker instance. Set an allowed VPC if you are creating an instance that uses only private IP.
  }
}

מזינים ערכים למשתנים הבאים:

  • ‫name: שם למופע של Looker (Google Cloud Core), שלא משויך לכתובת ה-URL של המופע.
  • ‫platform_edition: המהדורה, סוג הסביבה (ייצור או לא ייצור) והאם זו מהדורת ניסיון של המופע. הערכים האפשריים הם LOOKER_CORE_ENTERPRISE_ANNUAL,‏ LOOKER_CORE_EMBED_ANNUAL,‏ LOOKER_NONPROD_CORE_ENTERPRISE_ANNUAL,‏ LOOKER_NONPROD_CORE_EMBED_ANNUAL,‏ LOOKER_CORE_TRIAL_ENTERPRISE או LOOKER_CORE_TRIAL_EMBED. בדוגמה הזו נשתמש ב-LOOKER_CORE_ENTERPRISE_ANNUAL. אי אפשר לשנות את המהדורה אחרי שיוצרים את המופע. אם רוצים לשנות מהדורה, אפשר להשתמש בייבוא וייצוא כדי להעביר את נתוני מופע Looker (Google Cloud core) למופע חדש שמוגדר עם מהדורה אחרת.
  • ‫region: האזור שבו מתארחת מכונת Looker (Google Cloud core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי. בדוגמה הזו נשתמש ב-us-central1. אזורים זמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core).
  • ‫client_id ו-client_secret: מזהה לקוח OAuth והסוד של OAuth שיצרתם כשהגדרתם את לקוח OAuth. אחרי שיוצרים את המופע, מזינים את כתובת ה-URL של המופע בקטע Authorized redirect URIs (כתובות URI מורשות להפניה אוטומטית) של לקוח OAuth.

  • ‫allowed_vpcs: אם אתם יוצרים מופע שמשתמש רק בחיבורים פרטיים, צריך לציין רשת VPC שתהיה לה גישה נכנסת (ingress) למופע Looker (Google Cloud core). כדי לגשת למכונה מחוץ ל-VPC שבו היא נמצאת, צריך לציין לפחות רשת VPC אחת. מציינים VPC באחד מהפורמטים הבאים:

    • projects/{project}/global/networks/{network}
    • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

    אם אתם יוצרים מופע שמשתמש בחיבורים היברידיים, אתם לא צריכים להגדיר VPC מותר. אפשר לעדכן ולהוסיף כתובות IP נוספות של VPC בהמשך.

    תצטרכו גם לעדכן את המופע כדי ליצור חיבורים יוצאים.

בדיקת הסטטוס של המופע

יצירת המכונה נמשכת כ-40-60 דקות.

console

במהלך יצירת המופע, אפשר לראות את הסטטוס שלו בדף Instances במסוף. אפשר גם לראות את הפעילות של יצירת המופע בלחיצה על סמל ההתראות בתפריט של Google Cloud המסוף. בדף פרטים של המופע, הסטטוס שלו יהיה פעיל אחרי שהוא ייווצר.

gcloud

כדי לבדוק את הסטטוס, משתמשים בפקודה gcloud looker instances describe:

gcloud looker instances describe INSTANCE_NAME --region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של מופע Looker (Google Cloud Core).
  • ‫REGION: האזור שבו מתארחת מכונת Looker (Google Cloud core).

המכונה מוכנה כשהיא מגיעה לסטטוס ACTIVE.

בנוסף, אפשר לבצע שינויים אחרים אחרי יצירת המופע על ידי עריכת הגדרות המופע.

הגדרת חיבורים נכנסים

אחרי שיוצרים את מופע Private Service Connect של Looker (Google Cloud core), אפשר להגדיר חיבורים נכנסים.

אם משתמשים בחיבורים היברידיים במכונת Looker (Google Cloud core), אפשר לגשת למכונה באמצעות חיבורים ציבוריים מאובטחים. אם בחרתם להשתמש רק בחיבורים פרטיים במופע Looker (Google Cloud core), אתם צריכים לאפשר לפחות גישת VPC אחת למופע. כדי לעדכן את ה-VPC שיש להם גישה למופע: יכולות להיות כמה רשתות VPC עם גישה למופע.

console

  1. בדף Instances (מופעים), לוחצים על השם של המופע שרוצים לעדכן את ה-VPC שמותרת לו גישה נכנסת.
  2. לוחצים על Edit.
  3. מרחיבים את הקטע Connections.
  4. עוברים לקטע Configure inbound connections (הגדרת חיבורים נכנסים).
  5. לוחצים על הוספת פריט. לאחר מכן, בוחרים את הפרויקט שבו נמצא ה-VPC בשדה Project, ובוחרים את הרשת מהתפריט הנפתח Network.
  6. כדי למחוק VPC, לוחצים על סמל האשפה מחיקת פריט שמופיע כשמעבירים את מצביע העכבר מעל הרשת.
  7. לוחצים על Save.

gcloud

משתמשים בדגל --psc-allowed-vpcs כדי לעדכן את רשימת ה-VPC שיש להם גישה נכנסת מאושרת למופע.

כשמעדכנים את רשימת ה-VPC המותרים, צריך לציין את כל הרשימה שרוצים שתהיה בתוקף אחרי העדכון. לדוגמה, נניח ש-VPC ALLOWED_VPC_1 כבר מותר, ואתם רוצים להוסיף את VPC ALLOWED_VPC_2. כדי להוסיף VPC ALLOWED_VPC_1 ולוודא שהגישה ל-VPC ALLOWED_VPC_2 תמשיך להיות מותרת, מוסיפים את הדגל --psc-allowed-vpcs באופן הבא:

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של מופע Looker (Google Cloud Core).
  • ‫ALLOWED_VPC_1 ו-ALLOWED_VPC_2: רשתות ה-VPC שיוכלו להיכנס ל-Looker (שירות הליבה של Google Cloud). מציינים כל VPC מותר באחד מהפורמטים הבאים:
    • projects/{project}/global/networks/{network}
    • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
  • ‫REGION: האזור שבו מתארחת מכונת Looker (Google Cloud core).

אחרי שרשת ה-VPC מקבלת גישה נכנסת למכונה, אפשר להגדיר חיבורים צפונה דרך רשת ה-VPC הזו.

מחיקת כל רשתות ה-VPC המותרות

כדי למחוק את כל רשתות ה-VPC המותרות, מריצים את הפקודה הבאה:

gcloud looker instances update MY_INSTANCE --clear-psc-allowed-vpcs \
--region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של מופע Looker (Google Cloud Core).
  • ‫REGION: האזור שבו מתארחת מכונת Looker (Google Cloud core).

הגדרת חיבורים יוצאים

אחרי שיוצרים את מופע Private Service Connect של Looker (Google Cloud core), אפשר להגדיר חיבורים יוצאים (egress) לשירותים חיצוניים.

אם רוצים להתחבר לשירות חיצוני שמשתמש בפרוטוקול האינטרנט הרגיל, HTTPS, עם היציאות הזמינות 443 או 8443, אפשר להשתמש ביציאה מקורית מבוקרת של Looker (Google Cloud core) ובהגדרה Global FQDN כדי להגדיר את החיבור. עם זאת, אם השירות החיצוני משתמש בפרוטוקול אחר, צריך לפרסם אותו באמצעות Private Service Connect כדי לאפשר לו להתחבר למופע Looker (Google Cloud core) באמצעות Local FQDN.

בקטעים הבאים מוסבר איך להתחבר אל Looker Marketplace, אל דומיין חיצוני באמצעות Global FQDN או אל שירותים שפורסמו באמצעות Local FQDN.

חיבור אל Looker Marketplace

‫Looker (Google Cloud core) יכול להשתמש ב-HTTPS ובSecure Web Proxy כדי להתחבר ישירות אל Looker Marketplace. התחברות אל Marketplace מאפשרת גם יציאה אל github.com.

כדי להתחבר ל-Marketplace, מבצעים את השלבים הבאים:

console

  1. בדף Instances (מכונות), לוחצים על השם של המכונה שרוצים להפעיל עבורה חיבורים יוצאים (תעבורת נתונים יוצאת (egress)).
  2. לוחצים על Edit.
  3. מרחיבים את הקטע Connections.
  4. עוברים לקטע הגדרת חיבורים יוצאים.
  5. מסמנים את תיבת הסימון Enable Looker to connect to external services (הפעלת הקישור של Looker לשירותים חיצוניים).
  6. מסמנים את תיבת הסימון הפעלת חיבור ל-Looker Marketplace.
  7. בתיבת הדו-שיח שמופיעה עם ההסבר על כך שהתחברות אל Marketplace מאפשרת יציאה אל github.com, לוחצים על אישור.
  8. לוחצים על Save.

התחברות לדומיין חיצוני באמצעות FQDN גלובלי

‫Looker (Google Cloud core) יכול להשתמש ב-HTTPS ובSecure Web Proxy כדי להתחבר לדומיין חיצוני וציבורי עם ההגדרה Global FQDN. החיבור מתבצע באמצעות HTTPS. יציאה 443 צריכה להיות פתוחה בשירות החיצוני. לא נדרש URI של קובץ שירות.

ההגדרה הזו משמשת גם כדי לאפשר תנועה אל ממשקי Google API שלא נתמכים על ידי כתובת ה-VIP המוגבלת. לדוגמה, כדי לאפשר למופע Looker (Google Cloud core) להתחבר ל-Google Maps API, מוסיפים את maps.googleapis.com כ-FQDN גלובלי.

כדי לזהות את כתובות ה-IP הציבוריות של תעבורת הנתונים היוצאת (egress) שבהן נעשה שימוש במופע Looker (Google Cloud core), עוברים אל הכרטיסייה Details בדף Instances של מופע Looker (Google Cloud core) במסוף Google Cloud . כתובות ה-IP שמשמשות לתעבורת נתונים יוצאת לאינטרנט מופיעות בשדה Egress IPs (כתובות IP של תעבורת נתונים יוצאת) בקטע Controlled Egress Configuration (הגדרת תעבורת נתונים יוצאת מבוקרת). כתובות ה-IP ייחודיות למכונה של Looker (Google Cloud core). כתובות ה-IP האלה מוקצות באמצעות Secure Web Proxy, הן דינמיות ועשויות להשתנות ללא אזהרה.

כדי להתחבר לשירות חיצוני באמצעות FQDN גלובלי, צריך לבצע את השלבים הבאים:

console

  1. בדף Instances (מכונות), לוחצים על השם של המכונה שרוצים להפעיל עבורה חיבורים יוצאים (תעבורת נתונים יוצאת (egress)).
  2. לוחצים על Edit.
  3. מרחיבים את הקטע Connections.
  4. עוברים לקטע הגדרת חיבורים יוצאים.
  5. מסמנים את תיבת הסימון Enable Looker to connect to external services (הפעלת הקישור של Looker לשירותים חיצוניים).
  6. בקטע Global FQDN (שם דומיין מוגדר במלואו), מזינים את שם הדומיין המוגדר במלואו שרוצים להתחבר אליו.
  7. אם רוצים להוסיף עוד דומיין, לוחצים על הוספת פריט.
  8. לוחצים על Save.

התחברות לשירותים שפורסמו באמצעות שם דומיין מלא מקומי

‫Looker (Google Cloud core) יכול להשתמש ב-Private Service Connect כדי להתחבר לשירות שפורסם באמצעות ההגדרה Local FQDN.

קודם צריך לפרסם את השירות החיצוני באמצעות Private Service Connect ולקבל את ה-URI של קובץ השירות המצורף בשביל השירות. בשלב הבא צריך לעדכן את ההגדרה Local FQDN במסוף Google Cloud .

פרסום שירותים חיצוניים באמצעות Private Service Connect

פועלים לפי ההוראות לפרסום שירותים באמצעות Private Service Connect לכל שירות שרוצים לפרסם.

אפשר לפרסם שירותים עם אישור אוטומטי או עם אישור מפורש. אם בוחרים לפרסם באישור מפורש, צריך להגדיר את קובץ ה-Service Attachment באופן הבא:

  • מגדירים את רשימת ההיתרים של קובץ השירות לשימוש בפרויקטים (ולא ברשתות).
  • מוסיפים את מזהה פרויקט הדייר (tenant) ב-Looker לרשימת ההיתרים.

אחרי שיוצרים את המכונה, אפשר להריץ את הפקודה הבאה כדי למצוא את מזהה הפרויקט של הדייר (tenant) ב-Looker:

gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של מופע Looker (Google Cloud Core).
  • ‫REGION: האזור שבו מתארחת מכונת Looker (Google Cloud core).

בפלט פקודה, השדה looker_service_attachment_uri יכיל את מזהה פרויקט הדייר של Looker. הפורמט יהיה: projects/{Looker tenant project ID}/regions/…

‫URI של קובץ מצורף עם השירות

כשמעדכנים את מופע Looker (Google Cloud core) במסוף Google Cloud כדי להתחבר לשירות, צריך את ה-URI המלא של קובץ השירות בשביל השירות החיצוני. מזהה ה-URI יצוין באופן הבא, באמצעות הפרויקט, האזור והשם שבהם השתמשתם כדי ליצור את קובץ השירות:

projects/{project}/regions/{region}/serviceAttachments/{name}

עדכון ההגדרה Local FQDN במסוף Google Cloud

console

  1. בדף Instances (מכונות), לוחצים על השם של המכונה שרוצים להפעיל עבורה חיבורים יוצאים (תעבורת נתונים יוצאת (egress)).
  2. לוחצים על Edit.
  3. מרחיבים את הקטע Connections.
  4. עוברים לקטע Local FQDN (שם דומיין מלא מקומי).
  5. כדי לערוך קובץ מצורף קיים לשירות, מעדכנים את שם הדומיין שמוגדר במלואו של השירות בשדה Local FQDN ואת service attachment URI בשדה Target Service Attachment URI.
  6. כדי להוסיף קובץ מצורף חדש של שירות, לוחצים על הוספת פריט. לאחר מכן, מזינים את שם הדומיין שמוגדר במלואו של השירות בשדה Local FQDN (שם דומיין שמוגדר במלואו באופן מקומי) ואת ה-URI של קובץ השירות בשדה Target Service Attachment URI (ה-URI של קובץ השירות של היעד).
  7. לוחצים על Save.

gcloud

משתמשים בדגלים --psc-service-attachment כדי להפעיל חיבורים יוצאים (יציאה) לשירותים חיצוניים שכבר הגדרתם עבורם את Private Service Connect:

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של מופע Looker (Google Cloud Core).

  • ‫DOMAIN_1 ו-DOMAIN_2: אם אתם מתחברים לשירות ציבורי, השתמשו בשם הדומיין של השירות. אם אתם מתחברים לשירות פרטי, אתם יכולים להשתמש בשם דומיין שמוגדר במלואו. ההגבלות הבאות חלות על שם הדומיין:

  • כל חיבור יוצא תומך בדומיין יחיד.

  • שם הדומיין חייב לכלול לפחות שלושה חלקים. לדוגמה, mydomain.github.com הוא ערך תקין, אבל github.com הוא ערך לא תקין.

  • החלק האחרון של השם לא יכול להיות אף אחת מהאפשרויות הבאות:

    • googleapis.com
    • google.com
    • gcr.io
    • pkg.dev

    כשמגדירים חיבור לשירות מתוך מופע Looker (ליבת Google Cloud), משתמשים בדומיין הזה ככינוי לשירות.

  • ‫SERVICE_ATTACHMENT_1 ו-SERVICE_ATTACHMENT_2: מזהה המשאבים האחיד (URI) המלא של קובץ השירות שפורסם ואליו אתם מתחברים. לכל URI של קובץ מצורף לשירות יכולה להיות גישה מדומיין אחד.

  • ‫REGION: האזור שבו מתארחת מכונת Looker (Google Cloud core).

כוללים את כל החיבורים שצריך להפעיל

בכל פעם שמריצים פקודת עדכון עם דגלי --psc-service-attachment, צריך לכלול את כל החיבורים שרוצים להפעיל, כולל חיבורים שכבר הופעלו בעבר. לדוגמה, נניח שחיברתם בעבר מכונה בשם my-instance לדומיין www.cloud.com באופן הבא:

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud

הרצת הפקודה הבאה כדי להוסיף חיבור חדש של www.me.com תמחק את החיבור של www.cloud.com:

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

כדי למנוע את מחיקת החיבור www.cloud.com כשמוסיפים את החיבור www.me.com החדש, צריך לכלול פקודה נפרדת psc-service-attachment גם לחיבור הקיים וגם לחיבור החדש בפקודת העדכון, באופן הבא:

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud \
--psc-service-attachment domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

Terraform

כדי לעדכן את מכונת Looker (Google Cloud core) ולהפעיל חיבורים יוצאים (יציאה) לשירותים חיצוניים שכבר פרסמתם באמצעות Private Service Connect, אתם יכולים להשתמש במשאב Terraform הבא:

service_attachments = [{local_fqdn: "www.local-fqdn.com" target_service_attachment_uri: "projects/{project}/regions/{region}/serviceAttachments/{name}}]

מזינים ערכים למשתנים הבאים:

  • ‫local_fqdn: שם דומיין שמוגדר במלואו של השירות שפורסם.
  • ‫target_service_attachment_uri: ה-URI המלא של קובץ השירות המצורף של השירות שפורסם שאליו אתם מתחברים. לכל URI של קובץ מצורף לשירות יכולה להיות גישה מדומיין אחד.

אם אתם מתחברים לשירות מנוהל שאינו של Google באזור שונה מהאזור שבו נמצא מופע Looker (Google Cloud core), צריך להפעיל גישה גלובלית במאזן העומסים של היצרן.

בדיקת הסטטוס של חיבורים יוצאים

אתם יכולים לבדוק את הסטטוס של החיבורים היוצאים (יציאה) באמצעות Google Cloud CLI או במסוף.

console

אפשר לראות את סטטוס החיבור בכרטיסייה Details (פרטים) בדף ההגדרה של המופע במסוף. בשדות הגדרת PSC מוצגים הסטטוסים של כל סוג חיבור.

gcloud

מריצים את הפקודה gcloud looker instances describe --format=json כדי לבדוק את סטטוס החיבור היוצא. צריך לאכלס כל קובץ מצורף של שירות בשדה connection_status.

פתרון בעיות בחיבורים יוצאים

אם אתם נתקלים בסטטוס חיבור נדחה כשאתם מגדירים קובץ מצורף לשירות לחיבורים יוצאים (לדוגמה, כשאתם מתחברים למאגר Git או למסד נתונים), כדאי לבדוק את מדיניות הארגון של הספק בפרויקט או בארגון שמארח את הקובץ המצורף לשירות. יכול להיות שההגבלה על רשימת compute.restrictPrivateServiceConnectConsumer מונעת את החיבור. מוודאים שהארגון, התיקייה או הפרויקט שמשויכים לחיבור הרשת של מופע Looker (Google Cloud core) כלולים בערכים המותרים של המדיניות הזו בצד הבעלים של השירות המנוהל. פרטים נוספים מופיעים במסמכי התיעוד בנושא מדיניות הארגון של המפיק.

מחיקת כל החיבורים היוצאים

כדי למחוק את כל החיבורים היוצאים (egress), מריצים את הפקודה הבאה:

gcloud looker instances update MY_INSTANCE --clear-psc-service-attachments \
--region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של מופע Looker (Google Cloud Core).
  • ‫REGION: האזור שבו מתארחת מכונת Looker (Google Cloud core).

גישה צפונית למופע

אחרי שיוצרים את מופע Looker (Google Cloud core) (Private Service Connect), אפשר להגדיר גישה נכנסת כדי לאפשר למשתמשים לגשת למופע.

אם בחרתם בחיבורים היברידיים כשקבעתם את הגדרות המופע, תוכלו להגדיר גישה נכנסת דרך כתובת ה-URL של המופע באינטרנט. אפשר למצוא את כתובת ה-URL הזו בדף Instances במסוף Google Cloud , או בכרטיסייה Custom domain בדף הפרטים של המופע, אם הגדרתם דומיין מותאם אישית. אפשר להגדיר רשימת היתרים של כתובות IP כדי להגביל את החיבורים הנכנסים לתנועה מכתובות IP מסוימות.

אם בחרתם בחיבורים פרטיים כשקבעתם את הגדרות המופע, אתם יכולים להגדיר גישה נכנסת למופע מרשת VPC אחרת באמצעות ההוראות ליצירת נקודת קצה של Private Service Connect. כשיוצרים את נקודת הקצה, חשוב לפעול לפי ההנחיות הבאות:

  • מוודאים שהרשת מאפשרת גישה נכנסת למופע Looker (Google Cloud core) על ידי הוספתה לרשימת ה-VPC המותרים.

  • מגדירים את השדה Target service (אם משתמשים במסוף Google Cloud ) או את המשתנה SERVICE_ATTACHMENT (אם משתמשים ב-Google Cloud CLI או ב-Looker API) ל-URI של קובץ השירות של Looker, שאפשר למצוא אותו בכרטיסייה Details בדף ההגדרות של המופע במסוף, או על ידי הפעלת הפקודה הבאה:

    gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫INSTANCE_NAME: השם של מופע Looker (Google Cloud Core).
    • ‫REGION: האזור שבו מתארחת מכונת Looker (Google Cloud core).

  • אפשר להשתמש בכל רשת משנה שמארחת באותו אזור את מופע Looker (ליבת Google Cloud).

  • גישה גלובלית מאפשרת לכם לגשת למופע של Looker (Google Cloud core) מכל אזור. בנקודות הבאות מוסבר אם אפשר להפעיל גישה גלובלית ואיך עושים את זה:

יצירת דומיין מותאם אישית למופע של Private Service Connect

אם בחרתם בחיבורים היברידיים כשביצעתם את ההגדרה של המופע, אתם צריכים לפעול לפי ההוראות שבדף התיעוד בנושא הגדרת דומיין מותאם אישית למופע Looker (Google Cloud core) שמשתמש בחיבורים ציבוריים.

פתרון בעיות שקשורות ליצירת מופעים

לקבלת עזרה בפתרון בעיות, אפשר לעיין בדף התיעוד בנושא פתרון בעיות ביצירת מופעים של Looker (Google Cloud core).

המאמרים הבאים