创建 Looker (Google Cloud Core) Private Service Connect 实例

创建启用了 Private Service Connect 的 Looker (Google Cloud Core) 实例，以确保生产环境或非生产环境的安全和私密连接。您可以使用 Google Cloud 控制台、gcloud CLI 或 Terraform 设置实例。如需了解其他连接选项，请参阅公共安全连接或专用服务访问通道的相关文档。

您可以为满足以下条件的 Looker (Google Cloud Core) 实例启用 Private Service Connect：

• Looker (Google Cloud Core) 实例必须是新实例。Private Service Connect 只能在创建实例时启用。
• 实例版本必须为企业版 (core-enterprise-annual) 或嵌入版 (core-embed-annual)。

准备工作

1. 与销售团队合作，确保您已完成年度合同，并且您的项目中已分配配额。
2. 确保您的 Google Cloud 项目已启用结算功能。
3. 在 Google Cloud 控制台的项目选择器页面上，选择要在其中创建 Private Service Connect 实例的项目。

   前往“项目选择器”页面

4. 在 Google Cloud 控制台中为您的项目启用 Looker API。启用 API 后，您可能需要刷新控制台页面才能确认相应 API 已启用。

   启用 API

   注意：在创建实例后停用 Looker API 会影响 Looker (Google Cloud Core) 功能。例如，停用该 API 将停用创建实例备份的功能。
5. 设置 OAuth 客户端并创建授权凭证。OAuth 客户端可让您进行身份验证并访问实例。即使您使用其他身份验证方法对用户进行身份验证，也必须设置 OAuth 才能创建 Looker (Google Cloud Core) 实例。
6. 如果您想将 VPC Service Controls 或客户管理的加密密钥 (CMEK) 与您要创建的 Looker (Google Cloud Core) 实例搭配使用，则需要在创建实例之前进行额外的设置。在创建实例期间，可能还需要进行其他版本和网络配置。

重要提示： 在 Looker (Google Cloud Core) 实例上启用 Private Service Connect 后，您无法将该实例切换为使用公共安全连接或专用连接（专用服务访问通道）连接。

所需的角色

如需获得创建 Looker (Google Cloud Core) 实例所需的权限，请让您的管理员为您授予实例所在项目的 Looker Admin (roles/looker.admin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

注意： IAM 基本角色也可能包含创建 Looker (Google Cloud Core) 实例所需的权限。您不应在生产环境中授予基本角色，但可以在开发或测试环境中授予这些角色。

您可能还需要其他 IAM 角色来设置 VPC Service Controls 或客户管理的加密密钥 (CMEK)。如需了解详情，请访问这些功能的相关文档页面。

创建 Private Service Connect 实例

控制台

1. 在 Google Cloud 控制台中，从您的项目前往 Looker (Google Cloud Core) 产品页面。如果您已在此项目中创建 Looker (Google Cloud Core) 实例，系统会打开实例页面。

   前往 Looker (Google Cloud Core)

2. 点击创建实例。
3. 在实例名称部分中，为 Looker (Google Cloud Core) 实例提供名称。创建 Looker (Google Cloud Core) 实例后，实例名称不会与该实例的网址关联。实例名称在实例创建后便无法更改。

4. 在区域部分中，从下拉菜单中选择适当的选项来托管 Looker (Google Cloud Core) 实例。选择与订阅合同中的区域匹配的区域，因为这是分配项目配额的位置。Looker (Google Cloud Core) 位置文档页面中列出了可用区域。

   实例创建后，便无法更改区域。

5. 在版本部分中，选择企业版或嵌入版（生产或非生产）版本选项。版本类型会影响实例可用的部分功能。请确保您选择的版本类型与年度合同中列出的版本类型相同，并且您已为该版本类型分配配额。

   • 企业版：Looker (Google Cloud Core) 平台，具有增强型安全功能，可满足各种内部 BI 和分析应用场景的需求
   • 嵌入版：Looker (Google Cloud Core) 平台，用于大规模部署和维护可靠的外部分析和自定义应用
   • 非生产版本：如果您需要预演和测试环境，请选择其中一个非生产版本。如需了解详情，请参阅非生产实例文档。
   • 试用版：试用版的功能支持与其对应的正式版相同，但试用版的有效期为 90 天。

   实例创建完毕后，版本便无法更改。如果您想更改版本，可以使用导入和导出功能将 Looker (Google Cloud Core) 实例数据迁移到配置了其他版本的新实例中。

   提示： 如果您的项目没有配额，您将无法选择版本类型。请与销售团队联系，为您的项目分配配额。如需获取更多问题排查帮助，请参阅排查 Looker (Google Cloud Core) 实例创建失败问题文档页面。

6. 在自定义实例部分中，点击显示配置选项，以显示一组可为实例自定义的其他设置。

7. 在连接部分的实例 IP 分配下，选择使用混合连接或使用专用连接。您选择的网络连接类型会影响实例可用的 Looker 功能。以下网络连接选项可供选择：

   • 使用公共安全连接：Looker 将具有公开网址，并使用公共网络进行出站连接。

   • 使用混合连接：Looker 将具有公开网址，并使用 PSC 端点进行出站连接。

     注意： 如果在创建实例时分配了混合连接，您可以稍后改用专用连接。

   • 使用专用连接：分配可在 虚拟私有云 (VPC) 中访问的内部客户自定义 IP 地址，用于入站流量。如需与 VPC 以及本地或多云工作负载通信，您必须部署用于出站流量的服务附件。如果您想使用 VPC Service Controls，则必须选择使用专用连接。

   • 如果您要创建仅使用专用连接的实例，请至少设置一个允许的 VPC，该 VPC 将被授予对实例的入站连接。在配置入站连接下，在项目 1 字段中，选择创建此网络的项目。

     如需添加其他入站连接，请点击添加项以添加每个 VPC。在项目 X 字段中，选择创建网络的项目。在网络下拉菜单中，选择相应网络。

     如果您在连接部分中选择使用混合连接，则不会显示配置入站连接部分。您可以通过实例的网址设置对实例的访问权限。

   • 在本地 FQDN 部分中，指定一个或多个服务连接，这些服务连接会公开一个端点，以供 Looker 连接到出站连接。在本地 FQDN 1 字段中，输入服务的完全限定域名；在目标服务连接 URI 1 字段中，输入外部服务的完整服务连接 URI。

     如需添加其他服务连接，请点击添加项以添加每个服务连接。在本地 FQDN 字段中，输入服务的完全限定域名。在目标服务连接 URI 字段中，输入外部服务的完整服务连接 URI。

   • 在加密部分中，您可以选择要在实例上使用的加密类型。您可以使用以下加密选项：

     • Google-managed encryption key：此选项是默认选项，无需进行任何其他配置。
     • 客户管理的加密密钥 (CMEK)：如需详细了解 CMEK 以及如何在创建实例期间配置 CMEK，请参阅将客户管理的加密密钥与 Looker (Google Cloud Core) 搭配使用文档页面。实例创建后，加密类型将无法更改。
     • 启用 FIPS 140-3 1 级验证加密：如需详细了解 Looker (Google Cloud Core) 对 FIPS 140-3 1 级的支持，请参阅在 Looker (Google Cloud Core) 实例上启用 FIPS 140-3 1 级合规性文档页面。

   • 在发布渠道部分中，选择最符合您需求的发布渠道：

     • 快速：最早体验新功能。建议为非生产实例选择此选项。
     • 常规：稳定性适中。建议为生产实例选择此选项。
     • 无渠道：无发布渠道。在预览期间，“无频道”是默认设置。
     注意： 发布渠道功能目前处于预览版阶段。

   • 在维护窗口部分，您可以选择指定 Looker (Google Cloud Core) 安排维护的星期几和小时。维护窗口时长为一小时。默认情况下，维护窗口中的首选窗口选项设置为任意窗口期。

   • 在拒绝维护期部分，您可以选择指定 Looker (Google Cloud Core)不安排维护的时间段。拒绝维护期最长可达 60 天。您必须在任意两个拒绝维护期之间至少留出 14 天允许维护时间。如果您还要将实例注册到快速发布渠道，或将加速安全补丁 (ASP) 配置标志与常规发布渠道搭配使用，则无法设置拒绝维护期。

   • 在 Gemini in Looker 部分中，您可以选择为 Looker (Google Cloud Core) 实例启用 Gemini in Looker 功能。如需启用 Gemini in Looker，请选择 Gemini，然后选择可信测试员功能。启用可信测试员功能后，用户可以使用 Gemini in Looker 的可信测试员功能。您可以通过 Gemini in Looker 预览版表单按用户申请使用非公开的可信测试员功能。您必须启用此设置，才能在正式发布前预览期间使用 Gemini。（可选）选择可信测试员数据使用。启用此设置后，即表示您同意 Google 按照 Gemini for Google Cloud 可信测试员计划条款中所述的方式使用您的数据。如需为 Looker (Google Cloud Core) 实例停用 Gemini，请清除 Gemini 设置。

   • 在 Knowledge Catalog 集成部分中，您可以根据需要选中选择停用 Knowledge Catalog 集成复选框，以便 Looker (Google Cloud core) 停用与 Knowledge Catalog 的集成。Looker (Google Cloud Core) 与 Knowledge Catalog 之间的集成默认处于启用状态。

     注意： Looker (Google Cloud Core) 与 Knowledge Catalog 之间的集成功能目前处于预览版阶段。正式发布前产品和功能“按原样”提供，可能只能获得有限的支持。

   • 点击创建。

gcloud

如需创建 Private Service Connect 实例，请运行 gcloud looker instances create 命令并添加以下所有标志：

gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]\
[--no-public-ip-enabled]\
[--public-ip-enabled]\
[--release-channel=RELEASE_CHANNEL]\
--async

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称；它不与实例网址相关联。
• OAUTH_CLIENT_ID 和 OAUTH_CLIENT_SECRET：您在设置 OAuth 客户端时创建的 OAuth 客户端 ID 和 OAuth secret。创建实例后，在 OAuth 客户端的已获授权的重定向 URI 部分中输入实例的网址。
• REGION：Looker (Google Cloud Core) 实例的托管区域。选择与订阅合同中的区域一致的区域。Looker (Google Cloud Core) 位置文档页面中列出了可用区域。
• EDITION：实例的版本、环境类型（生产或非生产）以及是否为试用版。其可用值为 core-enterprise-annual、core-embed-annual、nonprod-core-enterprise-annual、nonprod-core-embed-annual、core-trial-enterprise 和 core-trial-embed。实例创建完毕后，版本便无法更改。如果您想更改版本，可以使用导入和导出功能，将 Looker (Google Cloud Core) 实例数据移至配置了其他版本的新实例。

• ALLOWED_VPC：如果您要创建仅使用专用连接的实例，请列出将允许入站（入站流量）访问 Looker (Google Cloud Core) 的 VPC。如需从实例所在的 VPC 外部访问该实例，您必须至少列出一个 VPC。使用以下某种格式指定 VPC：

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  如果您要创建使用混合连接的实例，则无需设置允许的 VPC。

• ADDITIONAL_ALLOWED_VPCS：任何其他允许入站访问 Looker (Google Cloud Core) 的 VPC 都可以添加到 --psc-allowed-vpcs 标志中，以逗号分隔列表的形式。

• RELEASE_CHANNEL：实例的发布渠道。可用值为 rapid、regular 和 no-channel。在预览期间，默认值为 no-channel。如果您未在 create 命令中添加此标志，则系统会使用默认渠道创建实例。此功能处于预览阶段。

您还必须添加以下标志中的一个，以启用或停用公共连接：

• --public-ip-enabled 启用公共连接。如果您为实例启用公共连接，则传入流量将通过公共连接路由，传出流量将通过 Private Service Connect 路由。
• --no-public-ip-enabled 会停用公共连接。

重要提示： 使用 Google Cloud CLI 创建实例时，请勿在 create 命令中指定出站（出站流量）连接，例如服务连接。此时指定出站连接会导致 create 操作失败。必须在实例创建后指定出站连接。

如果需要，您可以添加更多参数来应用其他实例设置：

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  [--kms-key=KMS_KEY_ID]
  [--accelerated-security-patch-enabled]
  [--no-accelerated-security-patch-enabled]
  [--fips-enabled]
  [--catalog-integration-enabled]
  [--no-catalog-integration-enabled]

替换以下内容：

• MAINTENANCE_WINDOW_DAY：必须是以下值之一：friday、monday、saturday、sunday、thursday、tuesday、wednesday。如需详细了解维护窗口设置，请参阅管理 Looker (Google Cloud Core) 的维护政策文档页面。
• MAINTENANCE_WINDOW_TIME 和 DENY_MAINTENANCE_PERIOD_TIME：必须采用世界协调时间 (UTC)，并以 24 小时制格式表示（例如 13:00、17:45）。如果您还让实例加入快速发布渠道，或者将加速安全补丁 (ASP) 配置标志与常规发布渠道搭配使用，则无法设置拒绝维护期。
• DENY_MAINTENANCE_PERIOD_START_DATE 和 DENY_MAINTENANCE_PERIOD_END_DATE：必须采用 YYYY-MM-DD 格式。
• KMS_KEY_ID：必须是设置客户管理的加密密钥 (CMEK) 时创建的密钥。

以下标志可启用其他设置：

• --accelerated-security-patch-enabled 和 --no-accelerated-security-patch-enabled：如果您的实例位于 regular 渠道上，并且您希望每两周接收或停用安全补丁，请添加其中一个标志。此功能处于预览版阶段。
• --fips-enabled：启用 FIPS 140-3 级别 1 合规性。
• 将 --catalog-integration-enabled 标志替换为 --no-catalog-integration-enabled 标志，以停用 Looker (Google Cloud Core) 与 Knowledge Catalog 集成。此功能处于预览版阶段。

创建 Private Service Connect 实例的过程与创建 Looker (Google Cloud Core)（专用服务访问通道）实例的过程在以下方面有所不同：

• 设置 Private Service Connect 后，--consumer-network 和 --reserved-range 标志不是必需的。
• Private Service Connect 实例需要一个额外的标志：--psc-enabled。
• --psc-allowed-vpcs 标志是 VPC 的逗号分隔列表。您可以在列表中指定任意数量的 VPC。

提示： 您必须拥有适当版本类型的配额才能创建实例。如果您没有配额，请与销售团队联系，为您的项目分配配额。如需获取更多问题排查帮助，请参阅排查 Looker (Google Cloud Core) 实例创建失败问题文档页面。

Terraform

使用以下 Terraform 资源来预配使用 PSC 的 企业版 Looker (Google Cloud Core) 实例：

# Create an ENTERPRISE edition Looker (Google Cloud core) instance that has PSC enabled.
resource "google_looker_instance" "default" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = false
  public_ip_enabled  = false
  psc_enabled        = true
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  psc_config {
    # allowed_vpcs = ["projects/{project}/global/networks/{network}"]
    # (Optional) List of VPCs that are allowed ingress into the Looker instance. Set an allowed VPC if you are creating an instance that uses only private IP.
  }
}

输入以下项的值：

• name：Looker (Google Cloud Core) 实例的名称；与实例网址无关。
• platform_edition：实例的版本、环境类型（生产或非生产）以及是否为试用版。其可能的值为 LOOKER_CORE_ENTERPRISE_ANNUAL、LOOKER_CORE_EMBED_ANNUAL、LOOKER_NONPROD_CORE_ENTERPRISE_ANNUAL、LOOKER_NONPROD_CORE_EMBED_ANNUAL、LOOKER_CORE_TRIAL_ENTERPRISE 或 LOOKER_CORE_TRIAL_EMBED。此示例使用 LOOKER_CORE_ENTERPRISE_ANNUAL。实例创建完毕后，版本便无法更改。如果您想更改版本，可以使用导入和导出将 Looker (Google Cloud Core) 实例数据迁移到配置了其他版本的新实例中。
• region：托管 Looker (Google Cloud Core) 实例的区域。选择与订阅合同中的区域一致的区域。本示例使用 us-central1。Looker (Google Cloud Core) 位置文档页面中列出了可用区域。
• client_id 和 client_secret：您在设置 OAuth 客户端时创建的 OAuth 客户端 ID 和 OAuth secret。创建实例后，在 OAuth 客户端的已获授权的重定向 URI 部分中输入实例的网址。

• allowed_vpcs：如果您要创建仅使用专用连接的实例，请列出允许入站（入站流量）访问 Looker (Google Cloud Core) 实例的 VPC。如需从实例所在的 VPC 外部访问该实例，您必须至少列出一个 VPC。使用以下某种格式指定 VPC：

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  如果您要创建使用混合连接的实例，则无需设置允许的 VPC。您稍后可以更新和添加其他 VPC IP。

  您还需要更新实例以建立出站连接。

  重要提示： 使用 Terraform 创建实例时，请勿在创建资源块中定义出站（出站流量）连接（例如服务连接）。此时指定出站连接会导致实例创建失败。必须在创建实例后指定出站连接。

检查实例的状态

实例大约需要 40-60 分钟才能创建完毕。

控制台

实例创建期间，您可以在控制台中的实例页面上查看其状态。您还可以通过点击 Google Cloud 控制台菜单中的通知图标来查看实例创建活动。在实例的详情页面上，实例创建完毕后，其状态将显示为有效。

gcloud

如需检查状态，请使用 gcloud looker instances describe 命令：

gcloud looker instances describe INSTANCE_NAME --region=REGION

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
• REGION：Looker (Google Cloud Core) 实例的托管区域。

实例达到 ACTIVE 状态后，即表示已准备就绪。

重要提示： 如果您创建的 Private Service Connect 实例停用了公共连接，您将不会收到该实例的网址。您必须设置自定义网域并配置对该网域的访问权限。如需详细了解如何设置对 Looker (Google Cloud Core) (Private Service Connect) 实例的访问权限，请参阅使用 Private Service Connect 对 Looker (Google Cloud Core) 实例进行北向访问文档页面。

此外，您还可以在创建实例后通过修改实例设置来进行其他更改。

配置入站连接

创建 Looker (Google Cloud Core) Private Service Connect 实例后，您可以配置入站连接。

如果您在 Looker (Google Cloud Core) 实例中使用混合连接，则可以通过公共安全连接访问该实例。如果您选择在 Looker (Google Cloud Core) 实例中仅使用专用连接，则必须允许至少一个 VPC 访问该实例。请完成以下步骤，更新有权访问该实例的 VPC。多个 VPC 可以访问该实例。

控制台

1. 在实例页面上，点击您要更新允许入站访问的 VPC 的实例的名称。
2. 点击修改。
3. 展开连接部分。
4. 前往配置入站连接部分。
5. 点击添加项。然后，在项目字段中选择 VPC 所在的项目，并从网络下拉菜单中选择网络。
6. 如需删除 VPC，请点击将指针悬停在相应网络上时显示的删除项目回收站图标。
7. 点击保存。

gcloud

使用 --psc-allowed-vpcs 标志更新已获授权可入站访问实例的 VPC 列表。

更新允许的 VPC 时，您必须指定要在更新后生效的完整列表。例如，假设 VPC ALLOWED_VPC_1 已获准，而您想添加 VPC ALLOWED_VPC_2。如需添加 VPC ALLOWED_VPC_1，同时确保继续允许 VPC ALLOWED_VPC_2，请添加 --psc-allowed-vpcs 标志，如下所示：

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
• ALLOWED_VPC_1 和 ALLOWED_VPC_2：将允许入站流量进入 Looker (Google Cloud Core) 的 VPC。使用以下某种格式指定每个允许的 VPC：
  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
• REGION：Looker (Google Cloud Core) 实例的托管区域。

当 VPC 具有对实例的入站访问权限后，您可以通过该 VPC 设置北向连接。

删除所有允许的 VPC

如需删除所有允许的 VPC，请运行以下命令：

gcloud looker instances update MY_INSTANCE --clear-psc-allowed-vpcs \
--region=REGION

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
• REGION：Looker (Google Cloud Core) 实例所在的区域。

配置出站连接

创建 Looker (Google Cloud Core) Private Service Connect 实例后，您可以配置与外部服务的出站（出站流量）连接。

如果您想连接到使用标准 Web 协议 HTTPS 且可用端口为 443 或 8443 的外部服务，可以使用 Looker (Google Cloud Core) 的受控原生出站流量和全局 FQDN 设置来设置连接。不过，如果外部服务使用其他协议，则必须使用 Private Service Connect 发布该外部服务，以便它能够使用本地 FQDN 连接到您的 Looker (Google Cloud Core) 实例。

以下部分介绍了如何使用全局 FQDN 连接到 Looker Marketplace（一个外部网域），或使用本地 FQDN 连接到已发布的服务。

连接到 Looker Marketplace

Looker (Google Cloud Core) 可以使用 HTTPS 和Secure Web Proxy直接连接到 Looker Marketplace。连接到 Marketplace 还会允许出站流量访问 github.com。

如需连接到 Marketplace，请完成以下步骤：

控制台

1. 在实例页面上，点击要启用出站（出站）连接的实例的名称。
2. 点击修改。
3. 展开连接部分。
4. 前往配置出站连接部分。
5. 选中支持 Looker 连接到外部服务复选框。
6. 选中支持连接到 Looker Marketplace 复选框。
7. 系统会显示一个对话框，说明连接到 Marketplace 后，出站流量可以访问 github.com，请点击确认。
8. 点击保存。

使用全局 FQDN 连接到外部网域

Looker (Google Cloud Core) 可以使用 HTTPS 和安全 Web 代理，通过全局 FQDN 设置连接到外部公共网域。连接是使用 HTTPS 建立的。外部服务中必须打开端口 443；不需要服务连接 URI。

此设置还用于允许流量流向受限 VIP 不支持的 Google API。例如，如需允许 Looker (Google Cloud Core) 实例连接到 Google 地图 API，请添加 maps.googleapis.com 作为全局 FQDN。

如需确定 Looker (Google Cloud Core) 实例使用的公共出站流量 IP 地址，请在 Google Cloud 控制台中前往 Looker (Google Cloud Core) 实例的实例页面，然后点击详细信息标签页。用于互联网出站流量的 IP 地址会显示在受控出站流量配置部分的出站流量 IP 字段中。这些 IP 地址是您的 Looker (Google Cloud Core) 实例独有的。这些 IP 地址是使用 Secure Web Proxy 分配的，它们是动态的，可能会在不发出警告的情况下发生变化。

注意： 我们建议仅将受控原生出站流量与允许所有入站网络流量且没有基于 IP 的限制的远程端点搭配使用。

如需使用全局 FQDN 连接到外部服务，请完成以下步骤：

控制台

1. 在实例页面上，点击要为其启用出站（出站流量）连接的实例的名称。
2. 点击修改。
3. 展开连接部分。
4. 前往配置出站连接部分。
5. 选中支持 Looker 连接到外部服务复选框。
6. 在全球 FQDN 部分中，输入您要连接到的完全限定域名。
7. 如果您想添加其他网域，请点击添加项。
8. 点击保存。

使用本地 FQDN 连接到已发布的服务

Looker (Google Cloud Core) 可以使用 Private Service Connect 连接到具有本地 FQDN 设置的已发布服务。

您需要先使用 Private Service Connect 发布外部服务，并获取该服务的服务连接 URI。接下来，您需要在 Google Cloud 控制台中更新本地 FQDN 设置。

使用 Private Service Connect 发布外部服务

对于您要发布的任何服务，请按照使用 Private Service Connect 发布服务的说明进行操作。

发布服务时，可以采用自动批准或显式批准。如果您选择发布时需要明确批准，则必须按如下方式配置服务连接：

• 将服务连接许可名单设置为使用项目（而非网络）。
• 将 Looker 租户项目 ID 添加到许可名单。

创建实例后，您可以通过运行以下命令找到 Looker 租户项目 ID：

gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
• REGION：Looker (Google Cloud Core) 实例的托管区域。

在命令输出中，looker_service_attachment_uri 字段将包含您的 Looker 租户项目 ID。其格式如下：projects/{Looker tenant project ID}/regions/…

服务连接 URI

在 Google Cloud 控制台中更新 Looker (Google Cloud Core) 实例以连接到服务时，您需要外部服务的完整服务连接 URI。URI 将按如下方式指定，其中包含您在创建服务连接时使用的项目、区域和名称：

projects/{project}/regions/{region}/serviceAttachments/{name}

在 Google Cloud 控制台中更新本地 FQDN 设置

控制台

1. 在实例页面上，点击要为其启用出站（出站流量）连接的实例的名称。
2. 点击修改。
3. 展开连接部分。
4. 前往本地 FQDN 部分。
5. 如需修改现有服务连接，请在本地 FQDN 字段中更新服务的完全限定域名，并在目标服务连接 URI 字段中更新服务连接 URI。
6. 如需添加新的服务连接，请点击添加项。接下来，在本地 FQDN 字段中输入服务的完全限定域名，并在目标服务连接 URI 字段中输入服务连接 URI。
7. 点击保存。

注意： 将 Looker (Google Cloud Core) 连接到数据库时，请确保在本地 FQDN 字段中指定的名称与在 Looker (Google Cloud Core) 内将数据库连接到 Looker 页面上的主机字段中指定的名称完全一致。

gcloud

使用 --psc-service-attachment 标志可为已设置 Private Service Connect 的外部服务启用出站（出站流量）连接：

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。

• DOMAIN_1 和 DOMAIN_2：如果您要连接到公共服务，请使用该服务的域名。如果您要连接到专用服务，请使用您选择的完全限定域名。域名存在以下限制：

• 每个出站连接支持单个网域。

• 域名必须至少包含三个部分。例如，mydomain.github.com 是可接受的，而 github.com 是不可接受的。

• 名称的最后一部分不能是以下任何一项：

  • googleapis.com
  • google.com
  • gcr.io
  • pkg.dev

  从 Looker (Google Cloud Core) 实例内设置与服务的连接时，请使用此网域作为服务的别名。

• SERVICE_ATTACHMENT_1 和 SERVICE_ATTACHMENT_2：您要连接到的已发布服务的完整服务连接 URI。每个服务连接 URI 只能由一个网域访问。

• REGION：Looker (Google Cloud Core) 实例所在的区域。

包含应启用的所有连接

每次使用 --psc-service-attachment 标志运行更新命令时，您都必须包含要启用的所有连接，包括之前已启用的连接。例如，假设您之前已将名为 my-instance 的实例连接到 www.cloud.com 网域，如下所示：

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud

运行以下命令以添加新的 www.me.com 连接，这会删除 www.cloud.com 连接：

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

为防止在添加新 www.me.com 连接时删除 www.cloud.com 连接，请在更新命令中为现有连接和新连接分别添加一个 psc-service-attachment 标志，如下所示：

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud \
--psc-service-attachment domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

Terraform

使用以下 Terraform 资源更新 Looker (Google Cloud Core) 实例，以启用与您已使用 Private Service Connect 发布的外部服务的出站（出站流量）连接：

service_attachments = [{local_fqdn: "www.local-fqdn.com" target_service_attachment_uri: "projects/{project}/regions/{region}/serviceAttachments/{name}}]

输入以下项的值：

• local_fqdn：已发布服务的完全限定域名。
• target_service_attachment_uri：您要连接到的已发布服务的完整服务连接 URI。每个服务连接 URI 只能由一个网域访问。

如果您要连接到 Looker (Google Cloud Core) 实例所在区域以外的区域中的非 Google 代管式服务，请在提供方负载均衡器上启用全球访问权限。

检查出站连接状态

您可以通过 Google Cloud CLI 或在控制台中查看出站（出站）连接的状态。

控制台

在控制台的实例配置页面上的详细信息标签页中查看连接状态。PSC 配置字段显示每种连接的状态。

gcloud

运行 gcloud looker instances describe --format=json 命令以检查出站连接状态。每个服务连接都应填充 connection_status 字段。

注意： 连接状态每五分钟更新一次。如果您最近更新了服务附件，此字段可能已过时。

注意 ：如果您未通过控制台中的允许的 VPC 字段或 gcloud 命令中的 --psc-allowed-vpcs 标志设置允许的 VPC，则可能会收到错误或连接状态停留在待处理状态。

排查出站连接问题

如果您在为出站连接配置服务附件时（例如，在连接到 Git 代码库或数据库时）遇到连接状态为已拒绝的情况，请检查托管服务附件的项目或组织中的提供方组织政策。compute.restrictPrivateServiceConnectConsumer 列表限制条件可能会阻止连接。确保与 Looker (Google Cloud Core) 实例的网络连接关联的组织、文件夹或项目包含在提供方一侧此政策的允许值中。如需了解详情，请参阅提供方组织政策文档。

删除所有出站连接

如需删除所有出站连接，请运行以下命令：

gcloud looker instances update MY_INSTANCE --clear-psc-service-attachments \
--region=REGION

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
• REGION：Looker (Google Cloud Core) 实例所在的区域。

对实例的北向访问权限

创建 Looker (Google Cloud Core) (Private Service Connect) 实例后，您可以设置入站访问权限，以允许用户访问该实例。

如果您在设置实例时选择了混合连接，则可以通过实例的网址设置入站访问权限。您可以在 Google Cloud 控制台的实例页面上找到该网址，如果您设置了自定义网域，也可以在实例详情页面的自定义网域标签页上找到该网址。您可以设置 IP 地址许可清单，将入站连接限制为来自特定 IP 地址的流量。

如果您在设置实例时选择了专用连接，则可以按照创建 Private Service Connect 端点的说明，设置从其他 VPC 网络到该实例的入站访问权限。创建端点时，请遵循以下准则：

• 确保该网络通过添加到允许的 VPC 列表来允许入站访问您的 Looker (Google Cloud Core)实例。

• 将目标服务字段（如果使用 Google Cloud 控制台）或 SERVICE_ATTACHMENT 变量（如果使用 Google Cloud CLI 或 Looker API）设置为 Looker 服务连接 URI，您可以通过查看控制台实例配置页面上的详细信息标签页或运行以下命令来找到该 URI：

  gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

  替换以下内容：

  • INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
  • REGION：托管 Looker (Google Cloud Core) 实例的区域。
  注意： 请按照将 Private Service Connect 连接迁移到新的服务连接 URI 文档页面上的说明，确保您使用的是更新后的服务连接 URI。

• 您可以使用与 Looker (Google Cloud Core) 实例托管在同一区域中的任何子网。

• 通过全球访问权限，您可以从任何区域访问 Looker (Google Cloud Core) 实例。以下项目符号列表说明了您是否可以启用全局访问权限以及如何启用：

  • 如果您使用的是旧版服务连接 URI，则不支持全球访问。
  • 如果您使用的是新的增强型服务连接 URI，则可以通过以下两种方式之一启用全球访问权限：
    • 如果您使用的是 Private Service Connect 网络端点组 (NEG)，则可以在负载均衡器前端上启用全球访问权限。
    • 否则，您可以在 Private Service Connect 端点上启用全球访问权限。

为 Private Service Connect 实例创建自定义网域

如果您在设置实例时选择了混合连接，请按照为使用公共连接的 Looker (Google Cloud Core) 实例设置自定义网域文档页面上的说明设置自定义网域。

排查实例创建问题

如需获得问题排查方面的帮助，请参阅排查 Looker (Google Cloud Core) 实例创建失败问题文档页面。

后续步骤

• 如果您在设置实例时仅选择了专用连接，请按照使用 Private Service Connect 实现对 Looker (Google Cloud Core) 实例的专用入站访问文档页面中的说明设置自定义网域。
• 如果您使用的是混合连接，请设置 IP 许可清单，以将入站流量限制为特定 IP 地址。
• 您可以使用 Private Service Connect 设置通过互联网进行公开访问。
• 或者，您也可以使用 Private Service Connect 设置专用入站访问权限。