为使用公共连接的 Looker (Google Cloud Core) 实例设置自定义网域

您可以使用自定义网域（例如 yourcompany.com）而不是 Looker 提供的默认网域来提供 Looker (Google Cloud Core) 实例。自定义网域有助于提升品牌形象，并为用户创建专业且易于识别的网址。

您可以为使用任何网络连接选项的 Looker (Google Cloud Core) 实例配置自定义网域。如需为使用公共安全连接或混合连接的实例设置自定义网域，请按照本页中的流程操作。如需为使用专用连接的实例设置自定义网域，请参阅有关使用 Private Service Connect 或专用服务访问通道 的实例的自定义网域文档。

对于使用公共网络连接的实例，Google 会提供自动续订的代管式 SSL 证书。

如果您的实例使用混合连接，请注意，日后更改为专用连接配置会使您的自定义网域失效，您需要为新设置重新创建自定义网域。

如需为公共连接或混合连接实例实现自定义网域，您必须执行以下步骤：

  1. 设置自定义网域。
  2. 创建 DNS A 记录。
  3. 更新 OAuth 凭据。

设置自定义域名

创建 Looker (Google Cloud Core) 实例后，您可以设置自定义网域。

准备工作

在自定义 Looker (Google Cloud Core) 实例的网域之前，请先确定网域的 DNS 记录存储在何处，以便您更新这些记录。

所需的角色

如需获得为 Looker (Google Cloud Core) 实例创建自定义网域所需的权限，请让您的管理员为您授予该实例所在项目的 Looker Admin (roles/looker.admin) IAM 角色。 如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

创建自定义网域

在 Google Cloud 控制台中，按以下步骤操作可自定义 Looker (Google Cloud Core) 实例的网域：

  1. 在实例页面上，点击要为其设置自定义网域的实例的名称。
  2. 点击自定义网域标签页。

  3. 点击添加自定义网域。

    此操作会打开添加新的自定义网域面板。

  4. 仅使用字母、数字和短划线，输入您要使用的网域的主机名（最多 64 个字符），例如：looker.examplepetstore.com。

  5. 点击继续按钮。

  6. 如果您尚未将手动 OAuth 凭据与 Looker (Google Cloud Core) 实例相关联（例如，如果您拥有公共安全连接实例，但未手动添加 OAuth 凭据），系统会打开 OAuth 应用凭据部分。按照说明完成以下两项任务：

    1. 生成 OAuth 客户端 ID 和客户端密钥。
    2. 在 OAuth 客户端的已获授权的重定向 URI 部分中添加已获授权的重定向 URI。在此流程步骤中，输入 Google Cloud 控制台实例页面上显示的 Looker 自动生成的网址。您将在更新 OAuth 凭证时输入自定义网域。

    在 OAuth 客户端 ID 和 OAuth 客户端密钥 字段中输入凭据，然后点击继续按钮。

  7. 如果您的 Looker (Google Cloud Core) 实例已关联手动 OAuth 凭证（例如，如果您有混合连接实例），或者您刚刚在面板的 OAuth 应用凭证部分中添加了 OAuth 凭证，系统会打开更新 DNS 记录部分。在创建或更新 A 记录的 IP 地址时，请使用数据字段中列出的入站公共 IP。

  8. 点击添加新的自定义网域面板上的完成，返回自定义网域标签页。

自定义网域设置完毕后，该网域会显示在 Google Cloud 控制台中 Looker (Google Cloud Core) 实例详情页面的自定义网域标签页的网域列中。

自定义网域创建完毕后，您可以查看相关信息，也可以删除该网域。

访问自定义网域

如需为使用公共安全连接的 Looker (Google Cloud Core) 实例设置自定义网域访问权限，请创建 DNS 记录并更新 OAuth 凭据。

准备工作

如需获得设置对公共安全连接自定义网域的访问权限所需的权限，请让管理员向您授予实例所在项目的以下 IAM 角色：

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

创建 DNS 记录

无论您的 DNS 记录存储在何处，都请在网域的 DNS 区域中创建 A 记录。对于使用公共网络连接的实例，请使用 Looker (Google Cloud Core) 实例的入站公共 IP 作为 A 记录的 IP 地址。您可以在 Google Cloud 控制台中 Looker (Google Cloud Core) 实例的详情标签页中找到 Ingress 公共 IP。（它也会显示在添加新的自定义网域面板的更新 DNS 记录部分的数据字段中。）

如果您的网域使用证书授权机构授权 (CAA) 记录，请验证这些记录是否授权 Google 的证书授权机构（pki.goog 和 letsencrypt.org）颁发证书。公开实例的自定义网域也不支持公开 IP 地址前面的第三方 CDN 或反向代理（例如 Akamai 或 Cloudflare），因为自动证书配置需要直接解析 A 记录。如需通过第三方 CDN 或 WAF 路由流量，请参阅使用 Private Service Connect 实现对 Looker (Google Cloud Core) 实例的公共入站访问。

如果 Looker (Google Cloud Core)实例的自定义网域标签页上显示验证网域按钮，则您的 DNS 记录可能需要进行额外配置。点击验证网域以完成自定义网域的设置。如果域名验证失败并显示 code: 9 错误（“DNS 记录未创建或与公共 IP 地址不一致”），请参阅排查自定义网域代码 9 错误。

在网域的 DNS 记录更新完毕且网域已在 Google Cloud 控制台中通过验证后，映射到实例的自定义网域的状态将在自定义网域标签页上从未验证更新为可用。

更新 OAuth 凭证

  1. 在 Google Cloud 控制台中，依次前往 API 和服务 > 凭据，然后选择 Looker (Google Cloud Core) 实例所使用的 OAuth 客户端的 OAuth 客户端 ID，即可访问您的 OAuth 客户端。

  2. 点击添加 URI 按钮，以更新 OAuth 客户端中的已获授权的 JavaScript 来源字段，使其包含贵组织将用于访问 Looker (Google Cloud Core)的相同 DNS 名称。例如，如果您的自定义网域是 looker.examplepetstore.com，您应输入 looker.examplepetstore.com 作为 URI。

  3. 将自定义网域添加到您创建 Looker (Google Cloud Core) 实例时使用的 OAuth 凭据的授权重定向 URI 列表中。在 URI 末尾添加 /oauth2callback。例如，如果您的自定义网域是 looker.examplepetstore.com，则应输入 looker.examplepetstore.com/oauth2callback。

    您必须在 OAuth 客户端的已获授权的重定向 URI 部分中同时列出自定义域名网址和原始 Looker (Google Cloud Core) 自动生成的网址。

添加用户

完成上述步骤后，用户即可访问自定义网域网址。

在将用户添加到 Looker (Google Cloud Core) 实例之前，请确保已为该实例完全设置用户身份验证方法。

配置自定义网域以实现跨网域 iframe 嵌入

设置自定义网域后，请务必更新应用的 iframe 网址，使其指向新的自定义网域。此外，还要验证公司网络政策（例如 VPN 或 MAM 隧道）是否允许访问新的自定义网域。

后续步骤