Membuat instance Looker (Google Cloud core) koneksi aman publik

Halaman ini membahas cara menyediakan instance produksi atau non-produksi Looker (Google Cloud core) yang dikonfigurasi untuk koneksi aman publik.

Jika Anda ingin membuat instance koneksi pribadi, konfigurasi harus ditetapkan saat pembuatan instance. Untuk mengetahui petunjuk cara membuat instance koneksi pribadi, ikuti prosedur di halaman dokumentasi Membuat instance Private Service Connect Looker (Google Cloud core) atau di halaman dokumentasi Membuat instance Looker (Google Cloud core) koneksi pribadi (akses layanan pribadi), bukan prosedur berikut.

Sebelum memulai

  1. Hubungi Bagian Penjualan untuk memastikan bahwa kontrak tahunan Anda telah selesai dan Anda memiliki kuota yang dialokasikan dalam project Anda.
  2. Pastikan penagihan diaktifkan untuk project Google Cloud Anda.
  3. Di Konsol Google Cloud, pada halaman pemilih project, buat project Google Cloud atau buka project yang sudah ada.

    Buka pemilih project

  4. Aktifkan Looker API untuk project Anda di Konsol Google Cloud. Saat mengaktifkan API, Anda mungkin perlu memuat ulang halaman konsol untuk mengonfirmasi bahwa API telah diaktifkan.

    Mengaktifkan API

  5. Jika ingin menggunakan Kontrol Layanan VPC, Anda harus membuat instance koneksi pribadi (akses layanan pribadi), bukan instance koneksi aman publik.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk membuat instance Looker (Google Cloud core), minta administrator untuk memberi Anda peran IAM Looker Admin (roles/looker.admin) pada project tempat instance akan berada. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Anda mungkin juga memerlukan peran IAM tambahan untuk menyiapkan Workforce Identity Federation atau kunci enkripsi yang dikelola pelanggan (CMEK). Pelajari lebih lanjut dengan membuka halaman dokumentasi Menggunakan Workforce Identity Federation untuk autentikasi pengguna Looker (Google Cloud core) atau Mengaktifkan CMEK untuk Looker (Google Cloud core) untuk fitur tersebut.

Membuat instance Looker (Google Cloud core)

Looker (Google Cloud core) memerlukan waktu sekitar 60 menit untuk membuat instance baru.

Untuk membuat instance Looker (Google Cloud core), pilih salah satu opsi berikut:

console

  1. Buka halaman produk Looker (Google Cloud core) dari project Anda di Konsol Google Cloud. Jika Anda telah membuat instance Looker (Google Cloud core) dalam project ini, tindakan ini akan membuka halaman Instances.

    Buka Looker (Google Cloud core)

  2. Klik CREATE INSTANCE.
  3. Di bagian Instance name, berikan nama untuk instance Looker (Google Cloud core) Anda. Nama instance tidak terkait dengan URL instance Looker (Google Cloud core) setelah dibuat. Nama instance tidak dapat diubah setelah pembuatan instance.
  4. Di bagian Region, pilih opsi yang sesuai dari menu drop-down untuk menghosting instance Looker (Google Cloud core) Anda. Pilih region yang cocok dengan region dalam kontrak langganan, yang merupakan tempat kuota untuk project Anda dialokasikan. Region yang tersedia tercantum di halaman dokumentasi lokasi Looker (Google Cloud core). Anda tidak dapat mengubah region setelah instance dibuat.

  5. Di bagian Edition, tetapkan edisi instance sesuai dengan kebutuhan organisasi Anda. Jenis edisi memengaruhi beberapa fitur yang tersedia untuk instance. Pastikan Anda memilih jenis edisi yang sama seperti yang tercantum dalam kontrak tahunan dan Anda memiliki kuota yang dialokasikan untuk jenis edisi tersebut. Berikut adalah opsi edisi:

    • Standar: Platform Looker (Google Cloud core) untuk organisasi atau tim kecil yang memiliki kurang dari 50 pengguna
    • Enterprise: Platform Looker (Google Cloud core) dengan fitur keamanan yang ditingkatkan untuk menangani berbagai kasus penggunaan BI dan analisis internal
    • Embed: Platform Looker (Google Cloud core) untuk men-deploy dan mengelola analisis eksternal yang andal dan aplikasi kustom dalam skala besar
    • Edisi non-produksi: Jika Anda menginginkan lingkungan staging dan pengujian, pilih salah satu edisi non-produksi. Untuk mengetahui informasi selengkapnya, lihat dokumentasi Instance non-produksi.
    • Edisi uji coba: Edisi uji coba memiliki dukungan fitur yang sama dengan edisi produksi yang sesuai, dengan pengecualian bahwa edisi uji coba berlaku selama 90 hari.

    Edisi tidak dapat diubah setelah pembuatan instance. Jika ingin mengubah edisi, Anda dapat menggunakan impor dan ekspor untuk memindahkan data instance Looker (Google Cloud core) ke instance baru yang dikonfigurasi dengan edisi yang berbeda.

  6. Di bagian Customize your instance, klik Show configuration options untuk menampilkan grup setelan tambahan yang dapat Anda sesuaikan untuk instance.

  7. Di bagian Connections, pilih Use public secure connections. Setelan koneksi aman publik menetapkan alamat IP eksternal yang dapat diakses internet dan tersedia untuk semua jenis edisi.

  8. Di bagian Authentication, pilih metode autentikasi utama untuk instance. Metode autentikasi utama diperlukan untuk semua instance Looker (Google Cloud core). Tersedia opsi autentikasi utama berikut:
    • Google OAuth: Gunakan metode ini jika pengguna Anda melakukan autentikasi dengan Akun Google (Google Workspace atau Cloud Identity). Opsi ini adalah opsi default.
    • Workforce Identity Federation (SAML/OIDC): Gunakan metode ini jika pengguna Anda melakukan autentikasi dengan penyedia identitas eksternal (seperti Okta, Microsoft Entra ID, atau PingIdentity) dan Anda menginginkan single sign-on (SSO) dengan kontrol akses IAM tanpa mengelola Akun Google individual.

  9. Di bagian Release Channel, pilih saluran rilis yang paling sesuai dengan kebutuhan Anda:

    • Cepat: Akses paling awal ke fitur. Default yang direkomendasikan untuk instance non-produksi.
    • Reguler: Stabilitas seimbang. Direkomendasikan untuk instance produksi.
    • Tidak ada saluran: Tidak ada saluran rilis. Selama pratinjau, Tidak ada saluran adalah setelan default.

  10. Jika Anda membuat instance edisi Enterprise atau Embed, Anda akan melihat bagian Encryption. Di bagian Encryption, Anda dapat memilih jenis enkripsi yang akan digunakan pada instance Anda. Tersedia opsi enkripsi berikut:

  11. Di bagian Maintenance Window, Anda dapat menentukan hari dan jam saat Looker (Google Cloud core) menjadwalkan pemeliharaan.

  12. Di bagian Deny Maintenance Period, Anda dapat menentukan blok hari saat Looker (Google Cloud core) tidak menjadwalkan pemeliharaan. Anda tidak dapat menetapkan periode menolak pemeliharaan jika Anda juga mendaftarkan instance di saluran rilis Cepat atau menggunakan flag konfigurasi Accelerated Security Patching (ASP) dengan saluran rilis Reguler.

  13. Di bagian Gemini in Looker, Anda dapat menyediakan fitur Gemini in Looker untuk instance Looker (Google Cloud core). Untuk mengaktifkan Gemini di Looker, pilih Gemini, lalu pilih Fitur Penguji Tepercaya. Jika Fitur Penguji Tepercaya diaktifkan, pengguna dapat mengakses kapabilitas Penguji Tepercaya Gemini in Looker. Anda dapat meminta akses ke kapabilitas Penguji Tepercaya non-publik melalui formulir pratinjau Gemini in Looker untuk tiap-tiap pengguna. Anda harus mengaktifkan setelan ini untuk menggunakan Gemini selama pratinjau pra-GA. Jika perlu, pilih Penggunaan data Penguji Tepercaya. Jika setelan ini diaktifkan, Anda mengizinkan data Anda digunakan oleh Google sebagaimana dijelaskan dalam persyaratan Program Penguji Tepercaya Gemini untuk Google Cloud Untuk menonaktifkan Gemini untuk instance Looker (Google Cloud core), hapus centang pada setelan Gemini.

  14. Di bagian Knowledge Catalog integration, Anda dapat memilih kotak centang Opt out of Knowledge Catalog integration jika tidak ingin Looker (Google Cloud core) berintegrasi dengan Knowledge Catalog. Looker (Google Cloud core) dan Knowledge Catalog terintegrasi secara default.

  15. Klik Create.

gcloud

  1. Jika Anda menggunakan CMEK, buat akun layanan Looker dan ikuti petunjuk untuk menyiapkan CMEK terlebih dahulu.

  2. Gunakan perintah gcloud looker instances create untuk membuat instance:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION \
--edition=EDITION \
[--release-channel=RELEASE_CHANNEL]\
--public-ip-enabled \
--async

    Ganti kode berikut:

    • INSTANCE_NAME: nama untuk instance Looker (Google Cloud core) Anda; nama ini tidak terkait dengan URL instance.
    • PROJECT_ID: nama project Google Cloud tempat Anda membuat instance Looker (Google Cloud core).
    • REGION: region tempat instance Looker (Google Cloud core) Anda dihosting. Pilih region yang sesuai dengan region dalam kontrak langganan. Region yang tersedia tercantum di halaman dokumentasi lokasi Looker (Google Cloud core). Anda tidak dapat mengubah region setelah instance dibuat.
    • EDITION: edisi, jenis lingkungan (produksi atau non-produksi), dan apakah ini adalah edisi uji coba untuk instance. Nilai yang tersedia adalah core-standard-annual, core-enterprise-annual, core-embed-annual, nonprod-core-standard-annual, nonprod-core-enterprise-annual, nonprod-core-embed-annual, core-trial-standard, core-trial-enterprise, dan core-trial-embed. Edisi tidak dapat diubah setelah pembuatan instance. Jika ingin mengubah edisi, Anda dapat menggunakan impor dan ekspor untuk memindahkan data instance Looker (Google Cloud core) ke instance baru yang dikonfigurasi dengan edisi yang berbeda.
    • RELEASE_CHANNEL: saluran rilis untuk instance. Nilai yang tersedia adalah rapid, regular, dan no-channel. Default selama pratinjau adalah no-channel. Jika Anda tidak menyertakan flag ini dalam perintah create, instance akan dibuat dengan saluran default. Fitur ini berada dalam pratinjau.

    Sertakan juga flag berikut:

    • --public-ip-enabled digunakan untuk mengaktifkan koneksi aman publik.
    • --async direkomendasikan saat Anda membuat instance Looker (Google Cloud core).

  3. Anda dapat menambahkan parameter lainnya untuk menerapkan setelan instance lainnya: 

    [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
[--kms-key=KMS_KEY_ID]
[--accelerated-security-patch-enabled]
[--no-accelerated-security-patch-enabled]
[--fips-enabled]
[--catalog-integration-enabled]
[--no-catalog-integration-enabled]

    Ganti kode berikut:

    • MAINTENANCE_WINDOW_DAY: harus salah satu dari yang berikut: friday, monday, saturday, sunday, thursday, tuesday, wednesday. Lihat halaman dokumentasi Mengelola kebijakan pemeliharaan untuk Looker (Google Cloud core) untuk mengetahui informasi selengkapnya tentang setelan masa pemeliharaan.
    • MAINTENANCE_WINDOW_TIME dan DENY_MAINTENANCE_PERIOD_TIME: harus dalam waktu UTC dalam format 24 jam (misalnya, 13.00, 17.45).
    • DENY_MAINTENANCE_PERIOD_START_DATE dan DENY_MAINTENANCE_PERIOD_END_DATE: harus dalam format YYYY-MM-DD. Anda tidak dapat menetapkan periode menolak pemeliharaan jika Anda juga mendaftarkan instance di saluran rilis Cepat atau menggunakan flag konfigurasi Accelerated Security Patching (ASP) dengan saluran rilis Reguler.
    • KMS_KEY_ID: harus berupa kunci yang dibuat saat menyiapkan kunci enkripsi yang dikelola pelanggan (CMEK).

    Flag berikut mengaktifkan setelan lainnya:

Terraform

Gunakan resource Terraform berikut untuk menyediakan instance Looker (Google Cloud core) Standard dengan fungsi dasar:

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Gunakan resource Terraform berikut untuk menyediakan instance Looker (Google Cloud core) Standard dengan setelan tambahan yang diterapkan:

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Gunakan resource Terraform berikut untuk menyediakan instance Looker (Google Cloud core) Enterprise dengan koneksi jaringan pribadi:

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

Untuk mempelajari cara menerapkan atau menghapus konfigurasi Terraform, lihat Perintah dasar Terraform.

Pembuatan instance tidak dapat dijeda atau dihentikan setelah dimulai. Setelah resource Terraform berhasil disediakan, terminal Anda akan mencetak pesan berikut:

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]


Apply complete! Resources: X added, X changed, X destroyed.

Saat instance sedang dibuat, Anda dapat melihat statusnya di halaman Instances dalam konsol. Anda juga dapat melihat aktivitas pembuatan instance dengan mengklik ikon notifikasi di menu konsol Google Cloud .

Setelah instance koneksi aman publik dibuat, URL publik instance akan muncul di kolom Instance URL di halaman Instances.

Setelah instance dibuat, Anda dapat melihat instance dengan membuka URL instance, yang akan ditampilkan di halaman Instances, dan login dengan Google.

Anda dapat mengedit setelan instance, termasuk menambahkan kredensial OAuth manual jika diinginkan, dengan membuka halaman detail instance dan mengklik Edit.

Memecahkan masalah pembuatan instance

Untuk mendapatkan bantuan pemecahan masalah, lihat halaman dokumentasi Memecahkan masalah kegagalan pembuatan instance Looker (Google Cloud core).

Langkah berikutnya