שימוש בדומיין מותאם אישית עם אישורים שמנוהלים על ידי Google עבור Looker (Google Cloud Core)‎

בדף הזה מוסבר איך להגדיר דומיין בהתאמה אישית למופע של חיבורים פרטיים ב-Looker (Google Cloud core) באמצעות אישורים שמנוהלים על ידי Google. השיטה הפשוטה הזו מבטלת את הצורך להשיג, להעלות ולנהל אישורי SSL משלכם או להגדיר פרוקסי הפוך לסיום TLS.

סקירה כללית

מעכשיו אפשר להשתמש בדומיין מותאם אישית ב-*.private.looker.app (לדוגמה, my-instance.private.looker.app) עבור מופעים של Private Service Connect ב-Looker (Google Cloud core). הדומיין הזה מאובטח באמצעות אישור שמנוהל על ידי Google, כלומר Google מטפלת בתהליך הקצאת האישור והחידוש שלו בשבילכם.

צריך להגדיר שרת DNS פרטי (במקום או בתוך Google Cloud) ולהשתמש בנקודת קצה (endpoint) של Private Service Connect, ולהגדיר את כתובת ה-IP של נקודת הקצה של PSC כערך של רשומת A עבור הדומיין שצוין.

התכונה הזו מספקת את היתרונות הבאים:

  • ניהול אישורים פשוט יותר: לא צריך יותר לקבל, להעלות ולנהל אישורי SSL משלכם.
  • חידוש אישורים אוטומטי: Google מטפלת בחידוש האישורים באופן אוטומטי, כדי להבטיח אבטחה רציפה ללא התערבות ידנית.
  • מורכבות מופחתת של ההגדרה: לא צריך להגדיר מאזן עומסים של אפליקציות (ALB) פנימי (HTTPS), קבוצה של נקודות קצה ברשת (NEG) של Private Service Connect ואישור לסיום TLS.

לפני שמתחילים

אם המופע שלכם משתמש ב-Private Service Connect, צריך לוודא שהמופע של Looker (Google Cloud core) משתמש במזהה ה-URI החדש של קובץ השירות לחיבורים הנכנסים שלו. אם אתם לא בטוחים, כדאי לעיין בתיעוד בנושא העברת חיבורים של Private Service Connect ל-URI החדש של קובץ מצורף עם שירות.

לפני שמתאימים אישית את הדומיין של מופע Looker (Google Cloud core), צריך לזהות איפה מאוחסנות רשומות ה-DNS של הדומיין כדי שתוכלו לעדכן אותן.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת דומיין בהתאמה אישית למופע של Looker (Google Cloud core), צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Looker Admin (roles/looker.admin) בפרויקט שבו נמצא המופע. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

יצירת דומיין מותאם אישית

כדי להתאים אישית את הדומיין של מופע Looker (Google Cloud core) במסוף Google Cloud :

  1. בדף Instances (מכונות), לוחצים על השם של המכונה שרוצים להגדיר לה דומיין מותאם אישית.
  2. לוחצים על הכרטיסייה דומיין מותאם אישית.

  3. לוחצים על הוספת דומיין מותאם אישית כדי לפתוח את החלונית הוספת דומיין מותאם אישית חדש.

  4. מזינים דומיין מותאם אישית בקטע *.private.looker.app. לדוגמה, my-instance.private.looker.app.

  5. בחלונית הוספת דומיין חדש מותאם אישית, לוחצים על סיום כדי לחזור לכרטיסייה דומיין מותאם אישית.

העדכון של הדומיין המותאם אישית נמשך 10 עד 15 דקות.

אחרי שמגדירים את הדומיין המותאם אישית, הוא מוצג בעמודה Domain בכרטיסייה CUSTOM DOMAIN בדף פרטי המופע של Looker (Google Cloud core) במסוף Google Cloud .

אחרי שיוצרים דומיין מותאם אישית, אפשר לראות מידע עליו או למחוק אותו.

עדכון פרטי הכניסה של OAuth

אפשר להשתמש בכל לקוח OAuth כדי ליצור פרטי כניסה להרשאה עבור מופע Looker (Google Cloud core). לדוגמה, השלבים הבאים מתארים איך לעדכן את פרטי הכניסה באמצעות Google Cloud המסוף. אם אתם משתמשים בלקוח אחר, צריך לשנות את השלבים בהתאם.

  1. כדי לגשת ללקוח OAuth, עוברים במסוף Google Cloud אל APIs & Services > Credentials ובוחרים את מזהה לקוח OAuth של לקוח OAuth שבו נעשה שימוש במופע Looker (Google Cloud core).
  2. לוחצים על הלחצן הוספת URI כדי לעדכן את השדה מקורות מורשים של JavaScript בלקוח OAuth, כך שיכלול את אותו שם DNS שהארגון שלכם ישתמש בו כדי לגשת ל-Looker (Google Cloud core). לדוגמה, אם הדומיין המותאם אישית הוא my-instance.private.looker.app, מזינים my-instance.private.looker.app כ-URI.
  3. מעדכנים או מוסיפים את הדומיין המותאם אישית לרשימת כתובות ה-URI המורשות להפניה אוטומטית עבור פרטי הכניסה של OAuth שבהם השתמשתם כשיצרתם את מופע Looker (Google Cloud core). מוסיפים /oauth2callback לסוף ה-URI. לדוגמה, אם הדומיין המותאם אישית הוא my-instance.private.looker.app, מזינים my-instance.private.looker.app/oauth2callback.

שלבי הגדרת ה-DNS

כדי להגדיר DNS, מבצעים את השלבים הבאים:

  1. הגדרת DNS פרטי: הטמעה של פתרון DNS פרטי, שאפשר לפרוס אותו במקום Google Cloud (לדוגמה, באמצעות Cloud DNS).

  2. שימוש בנקודת קצה של Private Service Connect: מוודאים שהקציתם נקודת קצה של Private Service Connect שמתחברת ל-Looker (Google Cloud core).

  3. יוצרים את רשומת ה-A: באזור ה-DNS הפרטי, יוצרים רשומת A שממפה את הדומיין המותאם אישית שלכם בקטע *.private.looker.app (לדוגמה, my-instance.private.looker.app) לכתובת ה-IP של נקודת הקצה (endpoint) של Private Service Connect.

אחרי שמגדירים את שרת ה-DNS הפרטי כך שיתרגם את הדומיין המותאם אישית לכתובת ה-IP של נקודת הקצה (endpoint) של Private Service Connect, אפשר לגשת בצורה מאובטחת למופע של Looker (Google Cloud core) באמצעות הדומיין המותאם אישית הזה, וכך להפעיל תמיכה מקורית בסיום TLS.

שימוש בדומיינים מותאמים אישית אחרים

אתם יכולים להשתמש בדומיין מותאם אישית שאינו *.private.looker.app. עם זאת, בדומיינים המותאמים אישית האלה, אתם צריכים לספק באופן ידני את ההגדרות הבאות:

  • הקצאת אישורים: אתם צריכים לספק אישורים משלכם. אלה יכולים להיות אישורים בניהול עצמי (חתימה עצמית) או אישורים בניהול Google.
  • פריסת תשתית: פריסת מאזן עומסים של אפליקציות (ALB) מסוג HTTPS (פנימי או חיצוני). מאזן העומסים הזה חייב להשתמש ב-NEG מסוג Private Service Connect כשירות לקצה העורפי שלו, כשהאישור מוחל על הקצה הקדמי.
  • הגדרת DNS: מגדירים את רשומות ה-DNS הנדרשות (DNS פרטי או ציבורי) כדי למפות את הדומיין המותאם אישית לכתובת ה-IP של מאזן העומסים של האפליקציה באמצעות רשומת A.

המאמרים הבאים