Créer une instance Looker (Google Cloud Core) avec des connexions sécurisées publiques

Cette page explique comment provisionner une instance de production ou de non-production Looker (Google Cloud Core) configurée pour des connexions sécurisées publiques.

Si vous souhaitez créer une instance de connexions privées, la configuration doit être attribuée lors de la création de l'instance. Pour savoir comment créer une instance de connexions privées, suivez la procédure décrite sur les pages de documentation Créer une instance Private Service Connect Looker (Google Cloud Core) ou Créer une instance de connexions privées (accès aux services privés) Looker (Google Cloud Core) au lieu de la procédure suivante.

Avant de commencer

  1. Contactez l'équipe commerciale pour vous assurer que votre contrat annuel est finalisé et qu'un quota est alloué à votre projet.
  2. Assurez-vous que la facturation est activée pour votre projet Google Cloud .
  3. Dans la console Google Cloud, sur la page de sélection du projet, créez un projet Google Cloud ou accédez à un projet existant.

    Accéder au sélecteur de projet

  4. Activez l'API Looker pour votre projet dans la console Google Cloud. Lors de l'activation, il se peut que vous deviez actualiser la page de la console pour confirmer que l'API a bien été activée.

    Activer l'API

  5. Si vous souhaitez utiliser VPC Service Controls, vous devez créer une instance de connexions privées (accès aux services privés) au lieu d'une instance de connexion sécurisée publique.

Rôles requis

Pour obtenir les autorisations nécessaires pour créer une instance Looker (Google Cloud Core), demandez à votre administrateur de vous accorder le rôle IAM Administrateur Looker (roles/looker.admin) sur le projet dans lequel l'instance résidera. Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Vous aurez peut-être également besoin de rôles IAM supplémentaires pour configurer la fédération d'identité de personnel ou les clés de chiffrement gérées par le client (CMEK). Pour en savoir plus, consultez les pages de documentation Utiliser la fédération d'identité de personnel pour l'authentification des utilisateurs Looker (Google Cloud Core) ou Activer CMEK pour Looker (Google Cloud Core).

Créer une instance Looker (Google Cloud Core)

Looker (Google Cloud Core) nécessite environ 60 minutes pour générer une nouvelle instance.

Pour créer votre instance Looker (Google Cloud Core), sélectionnez l'une des options suivantes :

Console

  1. Accédez à la page du produit Looker (Google Cloud Core) depuis votre projet dans la console Google Cloud. Si vous avez déjà créé une instance Looker (Google Cloud Core) dans ce projet, la page Instances s'ouvre.

    Accéder à Looker (Google Cloud Core)

  2. Cliquez sur CRÉER UNE INSTANCE.
  3. Dans la section Nom de l'instance, indiquez un nom pour votre instance Looker (Google Cloud Core). Le nom de l'instance n'est pas associé à l'URL de l'instance Looker (Google Cloud Core) une fois celle-ci créée. Le nom de l'instance ne peut pas être modifié après sa création.
  4. Dans la section Région, sélectionnez l'option appropriée dans le menu déroulant pour héberger votre instance Looker (Google Cloud Core). Sélectionnez la région correspondant à celle du contrat d'abonnement, car c'est là que le quota de votre projet est alloué. Les régions disponibles sont listées sur la page de documentation Emplacements Looker (Google Cloud Core). Une fois l'instance créée, vous ne pouvez plus modifier la région.

  5. Dans la section Édition, définissez l'édition de l'instance en fonction des besoins de votre organisation. Le type d'édition affecte certaines des fonctionnalités disponibles pour l'instance. Veillez à choisir le même type d'édition que celui indiqué dans votre contrat annuel et à disposer d'un quota alloué pour ce type d'édition. Voici les options d'édition :

    • Standard : plate-forme Looker (Google Cloud Core) destinée aux petites entreprises ou équipes comptant moins de 50 utilisateurs
    • Enterprise : plate-forme Looker (Google Cloud Core) dotée de fonctionnalités de sécurité renforcée pour répondre à une grande variété de cas d'utilisation internes d'informatique décisionnelle et d'analyse.
    • Embed : plate-forme Looker (Google Cloud Core) permettant de déployer et de gérer des applications personnalisées et des analyses externes fiables à grande échelle
    • Éditions hors production : si vous souhaitez un environnement de préproduction et de test, sélectionnez l'une des éditions hors production. Pour en savoir plus, consultez la documentation sur les instances hors production.
    • Éditions d'essai : une édition d'essai est compatible avec les mêmes fonctionnalités que l'édition de production correspondante, à l'exception du fait que les éditions d'essai sont valables pendant 90 jours.

    Les éditions ne peuvent pas être modifiées après la création de l'instance. Si vous souhaitez changer d'édition, vous pouvez utiliser l'importation et l'exportation pour déplacer les données de votre instance Looker (Google Cloud Core) vers une nouvelle instance configurée avec une autre édition.

  6. Dans la section Personnaliser votre instance, cliquez sur Afficher les options de configuration pour afficher un groupe de paramètres supplémentaires que vous pouvez personnaliser pour l'instance.

  7. Dans la section Connexions, sélectionnez Utiliser des connexions sécurisées publiques. Un paramètre de connexion sécurisée publique attribue une adresse IP externe accessible par Internet et est disponible pour tous les types d'édition.

  8. Dans la section Authentification, sélectionnez la méthode d'authentification principale pour l'instance. Les méthodes d'authentification principales sont requises pour toutes les instances Looker (Google Cloud Core). Les options d'authentification principale suivantes sont disponibles :
    • Google OAuth : utilisez cette méthode si vos utilisateurs s'authentifient avec des comptes Google (Google Workspace ou Cloud Identity). Cette option est sélectionnée par défaut.
    • Fédération d'identité des employés (SAML/OIDC) : utilisez cette méthode si vos utilisateurs s'authentifient auprès d'un fournisseur d'identité externe (tel qu'Okta, Microsoft Entra ID ou PingIdentity) et que vous souhaitez utiliser l'authentification unique (SSO) avec le contrôle des accès IAM sans gérer de comptes Google individuels.

  9. Dans la section Canal de publication, sélectionnez le canal de publication qui correspond le mieux à vos besoins :

    • Rapide : accès le plus rapide aux fonctionnalités. Option par défaut recommandée pour les instances hors production.
    • Standard : stabilité équilibrée. Recommandés pour les instances de production.
    • Aucun canal : aucun version disponible. Pendant la phase de preview, "Aucun canal" est l'option par défaut.

  10. Si vous créez une instance d'édition Enterprise ou Embed, la section Chiffrement s'affiche. Dans la section Chiffrement, vous pouvez sélectionner le type de chiffrement à utiliser sur votre instance. Les options de chiffrement suivantes sont disponibles :

  11. Dans la section Intervalle de maintenance, vous pouvez éventuellement spécifier le jour de la semaine et l'heure auxquels Looker (Google Cloud Core) planifie la maintenance.

  12. Dans la section Période de refus de maintenance, vous pouvez éventuellement spécifier un bloc de jours pendant lesquels Looker (Google Cloud core) ne planifie pas de maintenance. Vous ne pouvez pas définir de période de refus de maintenance si vous enregistrez également l'instance dans le version disponible rapide ou si vous utilisez l'option de configuration des correctifs de sécurité accélérés (ASP) avec le version disponible standard.

  13. Dans la section Gemini dans Looker, vous pouvez éventuellement rendre les fonctionnalités Gemini dans Looker disponibles pour l'instance Looker (Google Cloud Core). Pour activer Gemini dans Looker, sélectionnez Gemini, puis Fonctionnalités pour les testeurs de confiance. Lorsque l'option Fonctionnalités pour les testeurs de confiance est activée, les utilisateurs peuvent accéder aux fonctionnalités pour les testeurs de confiance de Gemini dans Looker. Vous pouvez demander l'accès aux fonctionnalités pour les testeurs de confiance non publiées en remplissant le formulaire de prévisualisation Gemini dans Looker pour chaque utilisateur. Vous devez activer ce paramètre pour utiliser Gemini pendant la version preview pré-DG. Si vous le souhaitez, sélectionnez Utilisation des données des testeurs de confiance. Lorsque ce paramètre est activé, vous autorisez Google à utiliser vos données conformément aux Conditions d'utilisation du programme Testeur de confiance de Gemini pour Google Cloud . Pour désactiver Gemini pour une instance Looker (Google Cloud Core), désactivez le paramètre Gemini.

  14. Dans la section Intégration de Knowledge Catalog, vous pouvez éventuellement cocher la case Désactiver l'intégration de Knowledge Catalog si vous ne souhaitez pas que Looker (Google Cloud Core) s'intègre à Knowledge Catalog. Looker (Google Cloud Core) et Knowledge Catalog sont intégrés par défaut.

  15. Cliquez sur Créer.

gcloud

  1. Si vous utilisez une CMEK, créez le compte de service Looker et suivez d'abord les instructions de configuration de la CMEK.

  2. Utilisez la commande gcloud looker instances create pour créer l'instance :

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION \
--edition=EDITION \
[--release-channel=RELEASE_CHANNEL]\
--public-ip-enabled \
--async

    Remplacez les éléments suivants :

    • INSTANCE_NAME : nom de votre instance Looker (Google Cloud Core). Il n'est pas associé à l'URL de l'instance.
    • PROJECT_ID : nom du projet Google Cloud dans lequel vous créez l'instance Looker (Google Cloud Core).
    • REGION : région dans laquelle votre instance Looker (Google Cloud Core) est hébergée. Sélectionnez la région correspondant à celle du contrat d'abonnement. Les régions disponibles sont listées sur la page de documentation Emplacements Looker (Google Cloud Core). Une fois l'instance créée, vous ne pouvez plus modifier la région.
    • EDITION : édition, type d'environnement (production ou hors production) et s'il s'agit d'une édition d'essai pour l'instance. Les valeurs disponibles sont core-standard-annual, core-enterprise-annual, core-embed-annual, nonprod-core-standard-annual, nonprod-core-enterprise-annual, nonprod-core-embed-annual, core-trial-standard, core-trial-enterprise et core-trial-embed. Les éditions ne peuvent pas être modifiées après la création de l'instance. Si vous souhaitez changer d'édition, vous pouvez utiliser l'importation et l'exportation pour déplacer les données de votre instance Looker (Google Cloud Core) vers une nouvelle instance configurée avec une autre édition.
    • RELEASE_CHANNEL : canal de publication de l'instance. Les valeurs disponibles sont rapid, regular et no-channel. La valeur par défaut pendant la preview est no-channel. Si vous n'incluez pas cette option dans votre commande create, l'instance sera créée avec le canal par défaut. Cette fonctionnalité est disponible en version preview.

    Incluez également ces options :

    • --public-ip-enabled permet d'activer une connexion sécurisée publique.
    • --async est recommandé lorsque vous créez une instance Looker (Google Cloud Core).

  3. Vous pouvez ajouter plus de réglages pour appliquer d'autres paramètres d'instance : 

    [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
[--kms-key=KMS_KEY_ID]
[--accelerated-security-patch-enabled]
[--no-accelerated-security-patch-enabled]
[--fips-enabled]
[--catalog-integration-enabled]
[--no-catalog-integration-enabled]

    Remplacez les éléments suivants :

    • MAINTENANCE_WINDOW_DAY : doit être l'une des valeurs suivantes : friday, monday, saturday, sunday, thursday, tuesday, wednesday. Pour en savoir plus sur les paramètres d'intervalle de maintenance, consultez la page de documentation Gérer les règles de maintenance pour Looker (Google Cloud Core).
    • MAINTENANCE_WINDOW_TIME et DENY_MAINTENANCE_PERIOD_TIME : doivent être au format UTC 24 heures (par exemple, 13:00, 17:45).
    • DENY_MAINTENANCE_PERIOD_START_DATE et DENY_MAINTENANCE_PERIOD_END_DATE : doivent être au format YYYY-MM-DD. Vous ne pouvez pas définir de période de refus de maintenance si vous enregistrez également l'instance dans le version disponible rapide ou si vous utilisez l'option de configuration des correctifs de sécurité accélérés (ASP) avec le version disponible standard.
    • KMS_KEY_ID : doit être la clé créée lors de la configuration des clés de chiffrement gérées par le client (CMEK).

    Les options suivantes permettent d'activer d'autres paramètres :

Terraform

Utilisez la ressource Terraform suivante pour provisionner une instance Looker (Google Cloud Core) Standard avec des fonctionnalités de base :

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Utilisez la ressource Terraform suivante pour provisionner une instance Looker (Google Cloud Core) Standard avec des paramètres supplémentaires appliqués :

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Utilisez la ressource Terraform suivante pour provisionner une instance Looker (Google Cloud Core) Enterprise avec une connexion réseau privée :

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez Commandes Terraform de base.

Une fois lancée, la création d'une instance ne peut pas être mise en pause ni arrêtée. Une fois votre ressource Terraform provisionnée, votre terminal affiche le message suivant :

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]


Apply complete! Resources: X added, X changed, X destroyed.

Pendant la création de l'instance, vous pouvez consulter son état sur la page Instances de la console. Vous pouvez également voir l'activité de création de votre instance en cliquant sur l'icône de notifications dans le menu de la console Google Cloud .

Une fois l'instance de connexion sécurisée publique créée, son URL publique s'affiche dans la colonne URL de l'instance de la page Instances.

Une fois l'instance créée, vous pouvez l'afficher en accédant à son URL, qui s'affiche sur la page Instances, et en vous connectant avec Google.

Vous pouvez modifier les paramètres de l'instance, y compris ajouter des identifiants OAuth manuels si vous le souhaitez, en accédant à la page d'informations de l'instance et en cliquant sur Modifier.

Résoudre les problèmes de création d'instance

Pour obtenir de l'aide sur le dépannage, consultez la page de documentation Résoudre les problèmes d'échec de création d'instance Looker (Google Cloud Core).

Étapes suivantes