יצירת מופע של Private Service Connect ב-Looker (Google Cloud core)

כדי להבטיח חיבורים פרטיים ומאובטחים לסביבות הייצור או לסביבות שאינן סביבות ייצור, יוצרים מכונה של Looker (ליבה של Google Cloud) עם הפעלה של Private Service Connect. אפשר להגדיר את המכונה באמצעות מסוף Google Cloud , ה-CLI של gcloud או Terraform. לאפשרויות חיבור אחרות, עיינו במסמכי התיעוד בנושא חיבורים מאובטחים ציבוריים או גישה לשירותים פרטיים.

אפשר להפעיל את Private Service Connect במכונה של Looker (Google Cloud core) שעומדת בקריטריונים הבאים:

  • המכונה של Looker (Google Cloud core) צריכה להיות חדשה. אפשר להפעיל את Private Service Connect רק כשיוצרים את המכונה.
  • מהדורת המכונה צריכה להיות Enterprise (core-enterprise-annual) או Embed (core-embed-annual).

לפני שמתחילים

  1. פנו לצוות המכירות כדי לוודא שהחוזה השנתי שלכם הושלם ושהוקצתה לכם מכסה בפרויקט.
  2. מוודאים שהחיוב מופעל בפרויקט ב- Google Cloud .
  3. במסוף Google Cloud, בדף לבחירת הפרויקט, בוחרים את הפרויקט שבו רוצים ליצור את המכונה של Private Service Connect.

    כניסה לדף לבחירת הפרויקט

  4. מפעילים את Looker API בפרויקט במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שצריך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  5. הגדרת לקוח OAuth ויצירת פרטי כניסה להרשאה. לקוח ה-OAuth מאפשר לכם לאמת את המכונה ולגשת אליה. אתם צריכים להגדיר OAuth כדי ליצור מכונה של Looker (Google Cloud core), גם אם אתם משתמשים בשיטת אימות אחרת כדי לאמת משתמשים במכונה.
  6. אם אתם רוצים להשתמש ב-VPC Service Controls או במפתחות הצפנה בניהול הלקוח (CMEK) במכונה של Looker (Google Cloud core) שאתם יוצרים, תצטרכו לבצע הגדרות נוספות לפני יצירת המכונה. יכול להיות שתצטרכו גם לבחור מהדורה ולהגדיר את הרשת במהלך יצירת המכונה.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת מכונה של Looker (Google Cloud core), צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של Looker (roles/looker.admin) בפרויקט שבו המכונה תהיה. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

יכול להיות שתצטרכו גם תפקידי IAM נוספים כדי להגדיר את VPC Service Controls או מפתחות הצפנה בניהול הלקוח (CMEK). מידע נוסף זמין בדפי התיעוד של התכונות האלה.

יצירת מכונה של Private Service Connect

console

  1. בפרויקט במסוף Google Cloud, נכנסים לדף המוצר של Looker (Google Cloud core). אם כבר יצרתם מכונה של Looker (Google Cloud core) בפרויקט הזה, ייפתח הדף Instances.

    אל Looker (Google Cloud core)

  2. לוחצים על CREATE INSTANCE.
  3. בקטע Instance name, נותנים שם למכונה של Looker (Google Cloud core). שם המכונה לא משויך לכתובת ה-URL של המכונה של Looker (Google Cloud core) אחרי שהיא נוצרת. אי אפשר לשנות את שם המכונה אחרי שיוצרים אותה.

  4. בקטע Region, בוחרים מהתפריט הנפתח את האפשרות המתאימה לאירוח של המכונה של Looker (Google Cloud core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי, שבו מוקצית המכסה של הפרויקט. האזורים הזמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core)‎.

    אי אפשר לשנות את האזור אחרי שיוצרים את המכונה.

  5. בקטע Edition, בוחרים באפשרות Enterprise או Embed (ייצור או לא ייצור). סוג המהדורה משפיע על חלק מהתכונות שזמינות למכונה. חשוב לבחור את אותו סוג מהדורה שמופיע בחוזה השנתי, ולוודא שיש לכם מכסה שמוקצית לסוג המהדורה הזה.

    • ‫Enterprise: פלטפורמת Looker (Google Cloud core) עם אמצעי אבטחה משופרים, שמתאימה למגוון רחב של תרחישי שימוש פנימיים ב-BI ובניתוח נתונים
    • הטמעה: פלטפורמת Looker (Google Cloud core)‎ לפריסה ולתחזוקה של ניתוח נתונים חיצוני אמין ואפליקציות בהתאמה אישית בקנה מידה נרחב
    • מהדורות לא-ייצור: אם אתם רוצים סביבת Staging וסביבת בדיקה, בחרו באחת מהמהדורות הלא-ייצור. מידע נוסף זמין במאמרי העזרה בנושא מכונות שלא מיועדות לסביבת ייצור.
    • מהדורות לניסיון: מהדורה לניסיון תומכת באותן תכונות כמו המהדורה המקבילה לסביבת הייצור, אבל מהדורות לניסיון תקפות ל-90 יום.

    אי אפשר לשנות את המהדורות אחרי שיוצרים את המכונה. אם אתם רוצים לשנות מהדורה, אתם יכולים להשתמש בייבוא וייצוא כדי להעביר את נתוני המכונה של Looker (Google Cloud core) למכונה חדשה שמוגדרת עם מהדורה אחרת.

  6. בקטע Customize your instance, לוחצים על Show configuration options כדי להציג קבוצה של הגדרות נוספות שאפשר להתאים אישית למכונה.

  7. בקטע Connections, בקטע Instance IP assignment, בוחרים באפשרות Use hybrid connections או באפשרות Use private connections. סוג החיבור לרשת שבוחרים משפיע על התכונות של Looker שזמינות למכונה. אלה האפשרויות הזמינות לחיבור לרשת:

    • שימוש בחיבורים מאובטחים ציבוריים: ל-Looker תהיה כתובת URL ציבורית והוא ישתמש ברשת ציבורית לחיבורים יוצאים.

    • שימוש בחיבורים היברידיים: ל-Looker תהיה כתובת URL ציבורית והוא ישתמש בנקודות קצה של PSC לחיבורים יוצאים.

    • שימוש בחיבורים פרטיים: מקצה כתובת IP פנימית שמוגדרת על ידי הלקוח, שאפשר לגשת אליה בענן וירטואלי פרטי (VPC) לתעבורת נתונים נכנסת. כדי לתקשר עם VPC ועם עומסי עבודה מקומיים או מרובי עננים, צריך לפרוס קבצים מצורפים של שירות לתעבורת נתונים יוצאת. אם רוצים להשתמש ב-VPC Service Controls, צריך לבחור באפשרות Use private connections.

    • אם אתם יוצרים מכונה שמשתמשת רק בחיבורים פרטיים, צריך להגדיר לפחות VPC אחד מורשה שיקבל חיבורים נכנסים למכונה. בקטע Configure inbound connections, בשדה Project 1, בוחרים את הפרויקט שבו הרשת הזו נוצרה.

      כדי להוסיף עוד חיבורים נכנסים, לוחצים על Add Item ומוסיפים כל VPC. בשדה Project X, בוחרים את הפרויקט שבו נוצרה הרשת. בתפריט הנפתח רשת, בוחרים את הרשת.

      אם בוחרים באפשרות שימוש בחיבורים היברידיים בקטע חיבורים, הקטע הגדרת חיבורים נכנסים לא מופיע. אתם יכולים להגדיר גישה למכונה דרך כתובת ה-URL שלה.

    • בקטע Local FQDN, מציינים קובץ מצורף אחד או יותר של שירות שחושף נקודת קצה לחיבורים יוצאים ש-Looker יכול להתחבר אליהם. בשדה Local FQDN 1, מזינים את שם הדומיין שמוגדר במלואו של השירות, ובשדה Target Service Attachment URI 1, מזינים את ה-URI המלא של צירוף השירות של השירות החיצוני.

      כדי להוסיף עוד קבצים מצורפים של שירות, לוחצים על Add Item. בשדה Local FQDN, מזינים את שם הדומיין שמוגדר במלואו של השירות. בשדה Target Service Attachment URI, מזינים את ה-URI המלא של צירוף השירות של השירות החיצוני.

    • בקטע Encryption, אתם יכולים לבחור את סוג ההצפנה שבה אתם רוצים להשתמש במכונה. אלה אפשרויות ההצפנה הזמינות:

    • בקטע ערוץ הפצה, בוחרים את ערוץ ההפצה שהכי מתאים לצרכים שלכם:

      • מהיר: גישה מוקדמת לתכונות. מומלץ למכונות שלא מיועדות לייצור.
      • רגיל: יציבות מאוזנת. מומלץ למכונות בסביבת ייצור.
      • אין ערוץ: אין ערוץ הפצה. במהלך גרסת טרום-השקה (Preview), ברירת המחדל היא "ללא ערוץ".

    • בקטע חלון זמן לתחזוקה, אתם יכולים לציין את היום בשבוע ואת השעה שבהם Looker (Google Cloud core)‎ מתזמן את התחזוקה. חלונות הזמן לתחזוקה נמשכים שעה. כברירת מחדל, האפשרות Preferred Window ב-חלון זמן לתחזוקה מוגדרת ל-Any window.

    • בקטע פרק זמן לדחיית עדכונים ותחזוקה, אתם יכולים לציין קבוצת ימים שבהם Looker (ליבת Google Cloud) לא יתזמן פעולות תחזוקה. פרק הזמן לדחיית עדכונים ותחזוקה יכול להיות עד 60 ימים. צריך לאפשר לפחות 14 ימים של זמינות לתחזוקה בין כל 2 פרקי זמן לדחיית עדכונים ותחזוקה. אי אפשר להגדיר פרק זמן לדחיית עדכונים ותחזוקה אם אתם גם רושמים את המכונה לערוץ ההפצה המהירה, או משתמשים בדגל ההגדרה של תיקוני אבטחה מואצים (ASP) עם ערוץ ההפצה הרגילה.

    • בקטע Gemini ב-Looker, אתם יכולים להפוך את התכונות של Gemini ב-Looker לזמינות במכונה של Looker (Google Cloud core). כדי להפעיל את Gemini ב-Looker, בוחרים באפשרות Gemini ואז באפשרות תכונות של בודק מהימן. כשההגדרה תכונות של בודקים נאמנים מופעלת, המשתמשים יכולים לגשת ליכולות של Gemini ב-Looker כבודקים נאמנים. אפשר לבקש גישה ליכולות שזמינות לבודקים נאמנים, ולא לקהל הרחב, באמצעות טופס הגישה לגרסת טרום השקה (Preview) של Gemini ב-Looker. את הבקשה צריך להגיש לכל משתמש בנפרד. כדי להשתמש ב-Gemini במהלך גרסת טרום-ההשקה (Preview) לפני הזמינות הכללית (GA), צריך להפעיל את ההגדרה הזו. אם רוצים, בוחרים באפשרות שימוש של הבודקים הנאמנים במידע. כשאתם מפעילים את ההגדרה הזו, אתם מסכימים ש-Google תשתמש בנתונים שלכם כמו שמתואר בתנאים של תוכנית הבודקים הנאמנים של Gemini for Google Cloud . כדי להשבית את Gemini במכונה של Looker (Google Cloud core), צריך לבטל את הבחירה בהגדרה Gemini.

    • בקטע Knowledge Catalog integration, אתם יכולים לסמן את התיבה Opt out of Knowledge Catalog integration אם אתם רוצים ש-Looker (Google Cloud core)‎ ישבית את השילוב עם Knowledge Catalog. השילוב בין Looker (Google Cloud core) לבין Knowledge Catalog מופעל כברירת מחדל.

    • לוחצים על יצירה.

gcloud

כדי ליצור מכונה של Private Service Connect, מריצים את הפקודה gcloud looker instances create עם כל הדגלים הבאים:


gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]\
[--no-public-ip-enabled]\
[--public-ip-enabled]\
[--release-channel=RELEASE_CHANNEL]\
--async

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: שם למכונה של Looker (Google Cloud core). הוא לא משויך לכתובת ה-URL של המכונה.
  • ‫OAUTH_CLIENT_ID ו-OAUTH_CLIENT_SECRET: מזהה הלקוח והסוד ב-OAuth שיצרתם כשהגדרתם את לקוח ה-OAuth. אחרי שיוצרים את המכונה, מזינים את כתובת ה-URL של המכונה בקטע Authorized redirect URIs (כתובות URI מורשות להפניה אוטומטית) של לקוח OAuth.
  • ‫REGION: האזור שבו מתארח המכונה של Looker (Google Cloud core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי. האזורים הזמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core)‎.
  • ‫EDITION: המהדורה, סוג הסביבה (ייצור או לא ייצור) ואם זו מהדורת ניסיון של המכונה. הערכים הזמינים הם core-enterprise-annual,‏ core-embed-annual,‏ nonprod-core-enterprise-annual,‏ nonprod-core-embed-annual,‏ core-trial-enterprise ו-core-trial-embed. אי אפשר לשנות את המהדורות אחרי שיוצרים את המכונה. אם אתם רוצים לשנות מהדורה, אתם יכולים להשתמש בייבוא וייצוא כדי להעביר את נתוני המכונה של Looker (Google Cloud core) למכונה חדשה שמוגדרת עם מהדורה אחרת.

  • ‫ALLOWED_VPC: אם יוצרים מכונה שמשתמשת רק בחיבורים פרטיים, צריך לציין VPC שתהיה לו גישה נכנסת (ingress) ל-Looker (Google Cloud core). כדי לגשת למכונה מחוץ ל-VPC שבו היא נמצאת, צריך לציין לפחות VPC אחד. מציינים VPC באחד מהפורמטים הבאים:

    • projects/{project}/global/networks/{network}
    • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

    אם אתם יוצרים מכונה שמשתמשת בחיבורים היברידיים, אתם לא צריכים להגדיר VPC מורשה.

  • ‫ADDITIONAL_ALLOWED_VPCS: אפשר להוסיף עוד רשתות VPC שרוצים לאפשר להן גישה נכנסת ל-Looker (Google Cloud core) לדגל --psc-allowed-vpcs ברשימה מופרדת בפסיקים.

  • ‫RELEASE_CHANNEL: ערוץ ההפצה של המכונה. הערכים האפשריים הם rapid,‏ regular ו-no-channel. ברירת המחדל במהלך גרסת טרום-ההשקה (Preview) היא no-channel. אם לא תכללו את הדגל הזה בפקודה create, המכונה תיווצר עם ערוץ ברירת המחדל. התכונה הזו נמצאת בגרסת טרום-השקה (Preview).

כדי להפעיל או להשבית חיבורים ציבוריים, צריך לכלול גם אחד מהדגלים הבאים:

  • ‫--public-ip-enabled מאפשר חיבורים ציבוריים. אם מפעילים חיבורים ציבוריים למכונה, התנועה הנכנסת תנותב דרך חיבורים ציבוריים והתנועה היוצאת תנותב דרך Private Service Connect.
  • ‫--no-public-ip-enabled משבית חיבורים ציבוריים.

אם רוצים, אפשר להוסיף עוד פרמטרים כדי להחיל הגדרות אחרות של המכונה:

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  [--kms-key=KMS_KEY_ID]
  [--accelerated-security-patch-enabled]
  [--no-accelerated-security-patch-enabled]
  [--fips-enabled]
  [--catalog-integration-enabled]
  [--no-catalog-integration-enabled]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫MAINTENANCE_WINDOW_DAY: חייב להיות אחד מהערכים הבאים: friday, monday, saturday, sunday, thursday, tuesday, wednesday. למידע נוסף על הגדרות של חלונות זמן לתחזוקה, קראו את המאמר ניהול מדיניות התחזוקה של Looker (Google Cloud core).
  • ‫MAINTENANCE_WINDOW_TIME ו-DENY_MAINTENANCE_PERIOD_TIME: חייבים להיות בפורמט של 24 שעות לפי שעון UTC (לדוגמה, 13:00, 17:45). אי אפשר להגדיר פרק זמן לדחיית עדכונים ותחזוקה אם המכונה רשומה לערוץ ההפצה המהירה, או אם משתמשים בדגל ההגדרה של תיקוני אבטחה מואצים (ASP) עם ערוץ ההפצה הרגילה.
  • ‫DENY_MAINTENANCE_PERIOD_START_DATE ו-DENY_MAINTENANCE_PERIOD_END_DATE: חייבים להיות בפורמט YYYY-MM-DD.
  • ‫KMS_KEY_ID: המפתח שנוצר כשמגדירים מפתחות הצפנה בניהול הלקוח (CMEK).

הדגלים הבאים מפעילים הגדרות אחרות:

התהליך ליצירת מכונה של Private Service Connect שונה מהתהליך ליצירת מכונה של Looker (Google Cloud core) (גישה לשירותים פרטיים) בדרכים הבאות:

  • אם מגדירים את Private Service Connect, לא צריך להשתמש בדגלים --consumer-network ו---reserved-range.
  • במכונות של Private Service Connect צריך להוסיף את הדגל --psc-enabled.
  • הדגל --psc-allowed-vpcs הוא רשימה מופרדת בפסיקים של רשתות VPC. אפשר לציין ברשימה כמה רשתות VPC שרוצים.

Terraform

כדי להקצות מכונה של Looker (Google Cloud core) בגרסת Enterprise שמשתמשת ב-PSC, משתמשים במשאב Terraform הבא:

# Create an ENTERPRISE edition Looker (Google Cloud core) instance that has PSC enabled.
resource "google_looker_instance" "default" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = false
  public_ip_enabled  = false
  psc_enabled        = true
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  psc_config {
    # allowed_vpcs = ["projects/{project}/global/networks/{network}"]
    # (Optional) List of VPCs that are allowed ingress into the Looker instance. Set an allowed VPC if you are creating an instance that uses only private IP.
  }
}

מזינים ערכים בשדות הבאים:

  • ‫name: שם למכונה של Looker (Google Cloud core). הוא לא משויך לכתובת ה-URL של המכונה.
  • ‫platform_edition: המהדורה, סוג הסביבה (ייצור או לא ייצור) ואם זו מהדורת ניסיון של המכונה. הערכים האפשריים הם LOOKER_CORE_ENTERPRISE_ANNUAL,‏ LOOKER_CORE_EMBED_ANNUAL,‏ LOOKER_NONPROD_CORE_ENTERPRISE_ANNUAL,‏ LOOKER_NONPROD_CORE_EMBED_ANNUAL,‏ LOOKER_CORE_TRIAL_ENTERPRISE או LOOKER_CORE_TRIAL_EMBED. בדוגמה הזו נשתמש ב-LOOKER_CORE_ENTERPRISE_ANNUAL. אי אפשר לשנות את המהדורות אחרי שיוצרים את המכונה. אם אתם רוצים לשנות מהדורה, אתם יכולים להשתמש בייבוא וייצוא כדי להעביר את נתוני המכונה של Looker (Google Cloud core) למכונה חדשה שמוגדרת עם מהדורה אחרת.
  • ‫region: האזור שבו מתארח המכונה של Looker (Google Cloud core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי. בדוגמה הזו נשתמש ב-us-central1. האזורים הזמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core)‎.
  • ‫client_id ו-client_secret: מזהה הלקוח והסוד ב-OAuth שיצרתם כשהגדרתם את לקוח ה-OAuth. אחרי שיוצרים את המכונה, מזינים את כתובת ה-URL של המכונה בקטע Authorized redirect URIs (כתובות URI מורשות להפניה אוטומטית) של לקוח OAuth.

  • ‫allowed_vpcs: אם יוצרים מכונה שמשתמשת רק בחיבורים פרטיים, צריך לציין VPC שתהיה לו גישה נכנסת (ingress) למכונה של Looker (ליבת Google Cloud). כדי לגשת למכונה מחוץ ל-VPC שבו היא נמצאת, צריך לציין לפחות VPC אחד. מציינים VPC באחד מהפורמטים הבאים:

    • projects/{project}/global/networks/{network}
    • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

    אם אתם יוצרים מכונה שמשתמשת בחיבורים היברידיים, אתם לא צריכים להגדיר VPC מורשה. אפשר לעדכן ולהוסיף עוד כתובות IP של VPC בהמשך.

    תצטרכו גם לעדכן את המכונה כדי ליצור חיבורים יוצאים.

בדיקת הסטטוס של המכונה

יצירת המכונה נמשכת כ-40 עד 60 דקות.

console

בזמן שהמכונה נוצרת, אפשר לראות את הסטטוס שלה בדף Instances במסוף. אפשר גם לראות את פעילות יצירת המכונה בלחיצה על סמל ההתראות בתפריט של מסוף Google Cloud . אחרי שהמכונה נוצרת, הסטטוס שלה בדף Details הוא Active.

gcloud

כדי לבדוק את הסטטוס, משתמשים בפקודה gcloud looker instances describe:

gcloud looker instances describe INSTANCE_NAME --region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של המכונה של Looker (Google Cloud core).
  • ‫REGION: האזור שבו מתארח המכונה של Looker (Google Cloud core).

המכונה מוכנה כשהיא מגיעה למצב ACTIVE.

בנוסף, אחרי שיוצרים את המכונה אפשר לבצע שינויים אחרים על ידי עריכת ההגדרות של המכונה.

הגדרת חיבורים נכנסים

אחרי שיוצרים מכונה של Looker (Google Cloud core) עם Private Service Connect, אפשר להגדיר חיבורים נכנסים.

אם אתם משתמשים בחיבורים היברידיים במכונה של Looker (Google Cloud core), אפשר לגשת למכונה דרך חיבורים מאובטחים ציבוריים. אם בחרתם להשתמש רק בחיבורים פרטיים במכונה של Looker (Google Cloud core), אתם צריכים לאפשר לפחות ל-VPC אחד לגשת למכונה. כדי לעדכן את ה-VPC שיש להם גישה למכונה: יותר מ-VPC אחד יכול לקבל גישה למכונה.

console

  1. בדף Instances, לוחצים על שם המכונה שרוצים לעדכן את ה-VPCs שלה שמורשים לגישה נכנסת.
  2. לוחצים על Edit.
  3. מרחיבים את הקטע חיבורים.
  4. עוברים לקטע הגדרת חיבורים נכנסים.
  5. לוחצים על הוספת פריט. אחר כך, בשדה Project בוחרים את הפרויקט שבו נמצא ה-VPC, ובוחרים את הרשת מהתפריט הנפתח Network.
  6. כדי למחוק VPC, לוחצים על סמל האשפה Delete item שמופיע כשמציבים את הסמן מעל הרשת.
  7. לוחצים על Save.

gcloud

משתמשים בדגל --psc-allowed-vpcs כדי לעדכן את רשימת רשתות ה-VPC שיש להן גישה מורשית למכונה.

כשמעדכנים את רשתות ה-VPC המורשות, צריך לציין את כל הרשימה שרוצים שתהיה בתוקף אחרי העדכון. לדוגמה, נניח ש-VPC ALLOWED_VPC_1 כבר מורשה, ואתם רוצים להוסיף את VPC ALLOWED_VPC_2. כדי להוסיף את VPC ALLOWED_VPC_1 ולוודא ש-VPC ALLOWED_VPC_2 עדיין מותר, מוסיפים את הדגל --psc-allowed-vpcs באופן הבא:

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של המכונה של Looker (Google Cloud core).
  • ‫ALLOWED_VPC_1 ו-ALLOWED_VPC_2: רשתות ה-VPC שתהיה להן גישה נכנסת ל-Looker (Google Cloud core). מציינים כל VPC מותר באחד מהפורמטים הבאים:
    • projects/{project}/global/networks/{network}
    • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
  • ‫REGION: האזור שבו מתארח המכונה של Looker (Google Cloud core).

אחרי של-VPC יש גישה נכנסת למכונה, אתם יכולים להגדיר חיבורים צפונה דרך ה-VPC הזה.

מחיקת כל רשתות ה-VPC המורשות

כדי למחוק את כל רשתות ה-VPC המורשות, מריצים את הפקודה הבאה:

gcloud looker instances update MY_INSTANCE --clear-psc-allowed-vpcs \
--region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של המכונה של Looker (Google Cloud core).
  • ‫REGION: האזור שבו מתארח המכונה של Looker (Google Cloud core).

הגדרת חיבורים יוצאים

אחרי שיוצרים מכונה של Looker (Google Cloud core)‎ עם Private Service Connect, אפשר להגדיר חיבורים יוצאים (egress) לשירותים חיצוניים.

אם אתם רוצים להתחבר לשירות חיצוני שמשתמש בפרוטוקול האינטרנט הרגיל, HTTPS, עם יציאות זמינות 443 או 8443, אתם יכולים להשתמש בתעבורת נתונים יוצאת מבוקרת מקומית של Looker (Google Cloud core) ובהגדרה Global FQDN כדי להגדיר את החיבור. עם זאת, אם השירות החיצוני משתמש בפרוטוקול אחר, צריך לפרסם את השירות החיצוני באמצעות Private Service Connect כדי לאפשר לו להתחבר למכונה של Looker (Google Cloud core) באמצעות FQDN מקומי.

בקטעים הבאים מוסבר איך להתחבר ל-Looker Marketplace, לדומיין חיצוני באמצעות Global FQDN או לשירותים שפורסמו באמצעות Local FQDN.

חיבור ל-Looker Marketplace

כדי להתחבר ישירות ל-Looker Marketplace, אפשר להשתמש ב-Looker (Google Cloud core)‎ עם HTTPS ו-Secure Web Proxy. החיבור ל-Marketplace מאפשר גם תעבורת נתונים יוצאת אל github.com.

כדי להתחבר ל-Marketplace, מבצעים את השלבים הבאים:

console

  1. בדף Instances, לוחצים על שם המכונה שרוצים להפעיל בה חיבורים יוצאים (egress).
  2. לוחצים על Edit.
  3. מרחיבים את הקטע חיבורים.
  4. עוברים לקטע הגדרת חיבורים יוצאים.
  5. מסמנים את התיבה Enable Looker to connect to external services.
  6. מסמנים את התיבה Enable connection to Looker Marketplace.
  7. בתיבת הדו-שיח שמופיעה, לוחצים על Confirm כדי לאשר שהחיבור ל-Marketplace מאפשר תעבורת נתונים יוצאת אל github.com.
  8. לוחצים על Save.

התחברות לדומיין חיצוני באמצעות Global FQDN

‫Looker (Google Cloud core) יכול להשתמש ב-HTTPS וב-Secure Web Proxy כדי להתחבר לדומיין ציבורי חיצוני באמצעות ההגדרה Global FQDN. החיבור מתבצע באמצעות HTTPS. יציאה 443 צריכה להיות פתוחה בשירות החיצוני. לא נדרש URI של צירוף שירות.

ההגדרה הזו משמשת גם כדי לאפשר תנועה לממשקי Google API שלא נתמכים על ידי VIP מוגבל. לדוגמה, כדי לאפשר למכונה של Looker (Google Cloud core) להתחבר ל-Google Maps API, צריך להוסיף את maps.googleapis.com בתור FQDN גלובלי.

כדי לזהות את כתובות ה-IP הציבוריות של תעבורת הנתונים היוצאת שמשמשות את המכונה של Looker (Google Cloud core), נכנסים לכרטיסייה Details בדף Instances של המכונה של Looker (Google Cloud core) במסוף Google Cloud . כתובות ה-IP שמשמשות לתעבורת נתונים לאינטרנט מופיעות בשדה Egress IPs בקטע Controlled Egress Configuration. כתובות ה-IP ייחודיות למכונה של Looker (Google Cloud core). כתובות ה-IP האלה מוקצות באמצעות Secure Web Proxy, והן דינמיות ועשויות להשתנות ללא אזהרה.

כדי להתחבר לשירות חיצוני באמצעות FQDN גלובלי, מבצעים את הפעולות הבאות:

console

  1. בדף Instances, לוחצים על שם המכונה שרוצים להפעיל בה חיבורים יוצאים (egress).
  2. לוחצים על Edit.
  3. מרחיבים את הקטע חיבורים.
  4. עוברים לקטע הגדרת חיבורים יוצאים.
  5. מסמנים את התיבה Enable Looker to connect to external services.
  6. בקטע Global FQDN, מזינים את שם הדומיין שמוגדר במלואו שאליו רוצים להתחבר.
  7. כדי להוסיף עוד דומיין, לוחצים על הוספת פריט.
  8. לוחצים על Save.

התחברות לשירותים שפורסמו באמצעות FQDN מקומי

ב-Looker (Google Cloud core) אפשר להשתמש ב-Private Service Connect כדי להתחבר לשירות שפורסם באמצעות ההגדרה Local FQDN.

קודם צריך לפרסם את השירות החיצוני באמצעות Private Service Connect ולקבל את ה-URI של קובץ השירות המצורף. בשלב הבא צריך לעדכן את ההגדרה Local FQDN במסוף Google Cloud .

פרסום שירותים חיצוניים באמצעות Private Service Connect

פועלים לפי ההוראות לפרסום שירותים באמצעות Private Service Connect לכל שירות שרוצים לפרסם.

אפשר לפרסם שירותים עם אישור אוטומטי או עם אישור מפורש. אם אתם בוחרים לפרסם עם אישור מפורש, אתם צריכים להגדיר את צירוף השירות באופן הבא:

  • מגדירים את רשימת ההיתרים של צירוף השירות כך שתשתמש בפרויקטים (ולא ברשתות).
  • מוסיפים לרשימת ההיתרים את מזהה הפרויקט של דייר (tenant) ב-Looker.

כדי למצוא את מזהה הפרויקט של דייר (tenant) ב-Looker אחרי שיוצרים את המכונה, מריצים את הפקודה הבאה:

gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של המכונה של Looker (Google Cloud core).
  • ‫REGION: האזור שבו מתארח המכונה של Looker (Google Cloud core).

בפלט הפקודה, השדה looker_service_attachment_uri יכיל את מזהה הפרויקט של הדייר (tenant) ב-Looker. הפורמט שלו יהיה: projects/{Looker tenant project ID}/regions/…

‫URI של קובץ מצורף לשירות

כשמעדכנים את המכונה של Looker (Google Cloud core) במסוף Google Cloud כדי להתחבר לשירות, צריך את ה-URI המלא של צירוף השירות החיצוני. מציינים את ה-URI באופן הבא, באמצעות הפרויקט, האזור והשם שבהם השתמשתם כדי ליצור את חיבור השירות:

projects/{project}/regions/{region}/serviceAttachments/{name}

מעדכנים את ההגדרה Local FQDN במסוף Google Cloud

console

  1. בדף Instances, לוחצים על שם המכונה שרוצים להפעיל בה חיבורים יוצאים (egress).
  2. לוחצים על Edit.
  3. מרחיבים את הקטע חיבורים.
  4. עוברים לקטע FQDN מקומי.
  5. כדי לערוך חיבור קיים לשירות, מעדכנים את שם הדומיין שמוגדר במלואו של השירות בשדה Local FQDN ואת ה-URI של החיבור לשירות בשדה Target Service Attachment URI.
  6. כדי להוסיף צירוף שירות חדש, לוחצים על הוספת פריט. אחר כך מזינים את שם הדומיין שמוגדר במלואו של השירות בשדה Local FQDN ואת ה-URI של צירוף השירות בשדה Target Service Attachment URI.
  7. לוחצים על Save.

gcloud

משתמשים בדגלים של --psc-service-attachment כדי להפעיל חיבורים יוצאים (תעבורת נתונים יוצאת) לשירותים חיצוניים שכבר הגדרתם להם את Private Service Connect:

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של המכונה של Looker (Google Cloud core).

  • ‫DOMAIN_1 ו-DOMAIN_2: אם אתם מתחברים לשירות ציבורי, השתמשו בשם הדומיין של השירות. אם אתם מתחברים לשירות פרטי, אתם יכולים להשתמש בשם דומיין שמוגדר במלואו לבחירתכם. ההגבלות הבאות חלות על שם הדומיין:

  • כל חיבור יוצא תומך בדומיין אחד.

  • שם הדומיין חייב להכיל לפחות שלושה חלקים. לדוגמה, mydomain.github.com הוא תקין, אבל github.com לא תקין.

  • החלק האחרון של השם לא יכול להיות אחד מהבאים:

    • googleapis.com
    • google.com
    • gcr.io
    • pkg.dev

    כשמגדירים חיבור לשירות מתוך המכונה של Looker (Google Cloud core), משתמשים בדומיין הזה בתור הכינוי של השירות.

  • ‫SERVICE_ATTACHMENT_1 ו-SERVICE_ATTACHMENT_2: ה-URI המלא של קובץ השירות המצורף של השירות שפורסם שאליו אתם מתחברים. אפשר לגשת לכל URI של צירוף שירות מדומיין אחד.

  • ‫REGION: האזור שבו מתארח המכונה של Looker (Google Cloud core).

צריך לכלול את כל החיבורים שרוצים להפעיל

בכל פעם שמריצים פקודת עדכון עם דגלי --psc-service-attachment, צריך לכלול כל חיבור שרוצים להפעיל, כולל חיבורים שכבר הופעלו בעבר. לדוגמה, נניח שחיברתם בעבר מכונה בשם my-instance לדומיין www.cloud.com באופן הבא:

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud

אם תריצו את הפקודה הבאה כדי להוסיף חיבור www.me.com חדש, החיבור www.cloud.com יימחק:

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

כדי למנוע את המחיקה של החיבור www.cloud.com כשמוסיפים את החיבור החדש www.me.com, צריך לכלול דגל psc-service-attachment נפרד גם לחיבור הקיים וגם לחיבור החדש בפקודת העדכון, באופן הבא:

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud \
--psc-service-attachment domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

Terraform

כדי לעדכן את המכונה של Looker (Google Cloud core) ולהפעיל חיבורים יוצאים (egress) לשירותים חיצוניים שכבר פרסמתם באמצעות Private Service Connect, אתם יכולים להשתמש במשאב Terraform הבא:

service_attachments = [{local_fqdn: "www.local-fqdn.com" target_service_attachment_uri: "projects/{project}/regions/{region}/serviceAttachments/{name}}]

מזינים ערכים בשדות הבאים:

  • ‫local_fqdn: שם הדומיין שמוגדר במלואו של השירות שפורסם.
  • ‫target_service_attachment_uri: ה-URI המלא של צירוף השירות של השירות שפורסם שאליו מתחברים. לכל URI של קובץ מצורף לשירות יכול לגשת דומיין אחד בלבד.

אם אתם מתחברים לשירות מנוהל שלא שייך ל-Google באזור שונה מהאזור שבו נמצא המכונה של Looker (Google Cloud core), הפעילו גישה גלובלית במאזן העומסים של היצרן.

בדיקת הסטטוס של החיבור היוצא

אתם יכולים לבדוק את הסטטוס של החיבורים היוצאים (egress) באמצעות Google Cloud CLI או במסוף.

console

אפשר לראות את סטטוס החיבור בכרטיסייה Details בדף הגדרת המכונה במסוף. בשדות PSC Configuration מוצגים הסטטוסים של כל סוג חיבור.

gcloud

מריצים את הפקודה gcloud looker instances describe --format=json כדי לבדוק את סטטוס החיבור היוצא. כל חיבור שירות צריך להיות מאוכלס בשדה connection_status.

פתרון בעיות בחיבורים יוצאים

אם סטטוס החיבור הוא נדחה כשאתם מגדירים צירוף שירות לחיבורים יוצאים (לדוגמה, כשאתם מתחברים למאגר Git או למסד הנתונים), בדקו את מדיניות הארגון של היצרן בפרויקט או בארגון שמארח את צירוף השירות. יכול להיות שהאילוץ של הרשימה compute.restrictPrivateServiceConnectConsumer מונע את החיבור. מוודאים שהארגון, התיקייה או הפרויקט שמשויכים לחיבור לרשת של המכונה של Looker (Google Cloud core) נכללים בערכים המותרים של המדיניות הזו בצד של הבעלים. לפרטים נוספים, קראו את המאמר כללי מדיניות של ארגון המפיק.

מחיקת כל החיבורים היוצאים

כדי למחוק את כל החיבורים היוצאים (egress), מריצים את הפקודה הבאה:

gcloud looker instances update MY_INSTANCE --clear-psc-service-attachments \
--region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של המכונה של Looker (Google Cloud core).
  • ‫REGION: האזור שבו מתארח המכונה של Looker (Google Cloud core).

גישה למכונה מצפון

אחרי שיוצרים את המכונה של Looker (Google Cloud core) (Private Service Connect), אפשר להגדיר גישה נכנסת כדי לאפשר למשתמשים לגשת למכונה.

אם בחרתם בחיבורים היברידיים כשהגדרתם את המכונה, אתם יכולים להגדיר גישה נכנסת דרך כתובת ה-URL של המכונה. כתובת ה-URL הזו מופיעה בדף Instances במסוף Google Cloud , או בכרטיסייה Custom domain בדף הפרטים של המכונה, אם הגדרתם דומיין בהתאמה אישית. אתם יכולים להגדיר רשימת היתרים של כתובות IP כדי להגביל את החיבורים הנכנסים לתנועה מכתובות IP מסוימות.

אם בחרתם בחיבורים פרטיים כשהגדרתם את המכונה, אתם יכולים להגדיר גישה נכנסת למכונה מרשת VPC אחרת לפי ההוראות ליצירת נקודת קצה (endpoint) של Private Service Connect. כשיוצרים את נקודת הקצה, חשוב לפעול לפי ההנחיות הבאות:

  • מוודאים שלרשת יש גישה נכנסת למכונה של Looker (Google Cloud core) על ידי הוספה שלה לרשימת ה-VPC המורשים.

  • מגדירים את השדה Target service (אם משתמשים במסוף Google Cloud ) או את המשתנה SERVICE_ATTACHMENT (אם משתמשים ב-Google Cloud CLI או ב-Looker API) ל-URI של צירוף השירות של Looker. אפשר למצוא אותו בכרטיסייה Details בדף הגדרת המכונה במסוף, או על ידי הרצת הפקודה הבאה:

    gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫INSTANCE_NAME: השם של המכונה של Looker (Google Cloud core).
    • ‫REGION: האזור שבו מתארח המכונה של Looker (Google Cloud core).

  • אפשר להשתמש בכל רשת משנה שמתארחת באותו אזור שבו נמצא המכונה של Looker (Google Cloud core).

  • גישה גלובלית מאפשרת לכם לגשת למכונה של Looker (Google Cloud core) מכל אזור. בנקודות הבאות מוסבר אם ואיך אפשר להפעיל גישה גלובלית:

יצירת דומיין בהתאמה אישית למכונה של Private Service Connect

אם בחרתם בחיבורים היברידיים כשהגדרתם את המכונה, כדי להגדיר דומיין בהתאמה אישית, פעלו לפי ההוראות בדף התיעוד הגדרת דומיין בהתאמה אישית למכונה של Looker (Google Cloud core) שמשתמשת בחיבורים ציבוריים.

פתרון בעיות ביצירת מכונות

כדי לקבל עזרה בפתרון בעיות, אפשר לעיין בדף התיעוד פתרון בעיות שקשורות לכשלים ביצירת מכונות של Looker (Google Cloud core).

המאמרים הבאים