Criar uma instância do Looker (Google Cloud Core) com conexões seguras públicas

Nesta página, discutimos como provisionar uma instância de produção ou não produção do Looker (Google Cloud Core) configurada para conexões públicas seguras.

Se você quiser criar uma instância de conexões particulares, a configuração precisará ser atribuída na criação da instância. Para instruções sobre como criar uma instância de conexões particulares, siga o procedimento nas páginas de documentação Criar uma instância do Private Service Connect do Looker (Google Cloud Core) ou Criar uma instância do Looker (Google Cloud Core) de conexões particulares (acesso a serviços particulares) em vez do procedimento a seguir.

Antes de começar

  1. Entre em contato com a equipe de vendas para garantir que seu contrato anual seja concluído e que você tenha uma cota alocada no projeto.
  2. Verifique se o faturamento está ativado para o projeto do Google Cloud .
  3. No console do Google Cloud, na página do seletor de projetos, crie um projeto do Google Cloud ou navegue até um projeto atual.

    Acessar o seletor de projetos

  4. Ative a API Looker para seu projeto no console do Google Cloud. Ao ativar a API, talvez seja necessário atualizar a página do console para confirmar que ela foi ativada.

    Ativar a API

  5. Se você quiser usar o VPC Service Controls, crie uma instância de conexões particulares (acesso a serviços particulares) em vez de uma instância de conexão segura pública.

Funções exigidas

Para receber as permissões necessárias para criar uma instância do Looker (Google Cloud Core), peça ao administrador para conceder a você o papel do IAM de Administrador do Looker (roles/looker.admin) no projeto em que a instância vai residir. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias usando papéis personalizados ou outros papéis predefinidos.

Também pode ser necessário ter outros papéis do IAM para configurar a federação de identidade de colaboradores ou as chaves de criptografia gerenciadas pelo cliente (CMEK). Para saber mais, acesse as páginas de documentação Usar a federação de identidade de colaboradores para autenticação de usuários do Looker (Google Cloud Core) ou Ativar CMEK para o Looker (Google Cloud Core).

Criar uma instância do Looker (Google Cloud Core)

O Looker (Google Cloud Core) leva aproximadamente 60 minutos para gerar uma nova instância.

Para criar sua instância do Looker (Google Cloud Core), selecione uma das seguintes opções:

Console

  1. Acesse a página do produto Looker (Google Cloud Core) no seu projeto no console do Google Cloud. Se você já tiver criado uma instância do Looker (Google Cloud Core) neste projeto, a página Instâncias será aberta.

    Acessar o Looker (Google Cloud Core)

  2. Clique em CRIAR INSTÂNCIA.
  3. Na seção Nome da instância, dê um nome para sua instância do Looker (Google Cloud Core). O nome da instância não está associado ao URL da instância do Looker (Google Cloud Core) depois que ela é criada. Não é possível alterar o nome da instância após a criação.
  4. Na seção Região, selecione a opção adequada no menu suspenso para hospedar sua instância do Looker (Google Cloud Core). Selecione a região que corresponde à região no contrato de assinatura, que é onde a cota do seu projeto está alocada. As regiões disponíveis estão listadas na página de documentação Locais do Looker (Google Cloud Core). Não é possível mudar a região depois que a instância é criada.

  5. Na seção Edição, defina a edição da instância de acordo com as necessidades da sua organização. O tipo de edição afeta alguns dos recursos disponíveis para a instância. Escolha o mesmo tipo de edição listado no seu contrato anual e verifique se você tem uma cota alocada para esse tipo de edição. Estas são as opções de edição:

    • Standard: plataforma do Looker (Google Cloud Core) para pequenas organizações ou equipes com menos de 50 usuários
    • Enterprise: plataforma Looker (Google Cloud Core) com recursos de segurança reforçada para atender a uma ampla variedade de casos de uso internos de BI e análise.
    • Embed: plataforma do Looker (Google Cloud Core) para implantar e manter análises externas confiáveis e aplicativos personalizados em larga escala.
    • Edições de não produção: se você quiser um ambiente de preparo e teste, selecione uma das edições de não produção. Para mais informações, consulte a documentação sobre instâncias que não são de produção.
    • Edições de teste: uma edição de teste tem o mesmo suporte a recursos que a edição de produção correspondente, mas é válida por 90 dias.

    Não é possível alterar as edições depois que uma instância é criada. Se você quiser mudar uma edição, use a importação e exportação para mover os dados da instância do Looker (Google Cloud Core) para uma nova instância configurada com uma edição diferente.

  6. Na seção Personalizar a instância, clique em Mostrar opções de configuração para exibir um grupo de configurações adicionais que podem ser personalizadas para a instância.

  7. Na seção Conexões, selecione Usar conexões públicas seguras. Uma configuração de conexão pública segura atribui um endereço IP externo acessível pela Internet e está disponível para todos os tipos de edição.

  8. Na seção Autenticação, selecione o método de autenticação principal para a instância. Os métodos de autenticação primários são obrigatórios para todas as instâncias do Looker (Google Cloud Core). As seguintes opções de autenticação primária estão disponíveis:
    • OAuth do Google: use esse método se os usuários se autenticarem com Contas do Google (Google Workspace ou Cloud Identity). Essa opção é o padrão.
    • Federação de identidade de colaboradores (SAML/OIDC): use esse método se os usuários se autenticarem com um provedor de identidade externo (como Okta, Microsoft Entra ID ou PingIdentity) e você quiser logon único (SSO) com controle de acesso do IAM sem gerenciar Contas do Google individuais.

  9. Na seção Canal de lançamento, selecione o canal de lançamento que melhor atende às suas necessidades:

    • Rápido: acesso antecipado aos recursos. Padrão recomendado para instâncias que não são de produção.
    • Normal: estabilidade equilibrada. Recomendado para instâncias de produção.
    • Nenhum canal: nenhum canal de lançamento. Durante o pré-lançamento, "Nenhum canal" é o padrão.

  10. Se você estiver criando uma instância da edição Enterprise ou Embed, a seção Criptografia vai aparecer. Na seção Criptografia, selecione o tipo de criptografia que será usado na instância. As seguintes opções de criptografia estão disponíveis:

  11. Na seção Janela de manutenção, é possível especificar o dia da semana e o horário em que o Looker (Google Cloud Core) programa a manutenção.

  12. Na seção Período de manutenção de negação, é possível especificar um bloco de dias em que o Looker (Google Cloud Core) não programa manutenções. Não é possível definir um período de manutenção de negação se você também estiver registrando a instância no canal de lançamento rápido ou usando a flag de configuração de aplicação de patch de segurança acelerada (ASP, na sigla em inglês) com o canal de lançamento regular.

  13. Na seção Gemini no Looker, é possível disponibilizar os recursos do Gemini no Looker para a instância do Looker (Google Cloud Core). Para ativar o Gemini no Looker, selecione Gemini e, em seguida, Recursos do Trusted Tester. Quando os recursos do Trusted Tester estão ativados, os usuários podem acessar os recursos do Gemini no Looker disponíveis para o programa. Você pode solicitar o acesso a recursos não públicos do Trusted Tester enviando o formulário de pré-lançamento do Gemini no Looker para cada usuário. Ative essa configuração para usar o Gemini durante a prévia pré-GA. Se quiser, selecione Uso de dados do Trusted Tester. Ao ativar essa configuração, você concorda que seus dados sejam usados pelo Google, conforme descrito nos termos do programa Trusted Tester do Gemini para Google Cloud . Para desativar o Gemini em uma instância do Looker (Google Cloud Core), desmarque a configuração Gemini.

  14. Na seção Integração do Knowledge Catalog, marque a caixa de seleção Desativar a integração do Knowledge Catalog se não quiser que o Looker (Google Cloud Core) seja integrado ao Knowledge Catalog. O Looker (Google Cloud Core) e o Knowledge Catalog são integrados por padrão.

  15. Clique em Criar.

gcloud

  1. Se você estiver usando CMEK, crie a conta de serviço do Looker e siga as instruções para configurar a CMEK primeiro.

  2. Use o comando gcloud looker instances create para criar a instância:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION \
--edition=EDITION \
[--release-channel=RELEASE_CHANNEL]\
--public-ip-enabled \
--async

    Substitua:

    • INSTANCE_NAME: um nome para a instância do Looker (Google Cloud Core). Ele não está associado ao URL da instância.
    • PROJECT_ID: o nome do projeto do Google Cloud em que você está criando a instância do Looker (Google Cloud Core).
    • REGION: a região em que a instância do Looker (Google Cloud Core) está hospedada. Selecione a região que corresponde à região no contrato de assinatura. As regiões disponíveis estão listadas na página de documentação Locais do Looker (Google Cloud Core). Não é possível mudar a região depois que a instância é criada.
    • EDITION: a edição, o tipo de ambiente (produção ou não produção) e se esta é uma edição de teste para a instância. Os valores disponíveis são core-standard-annual, core-enterprise-annual, core-embed-annual, nonprod-core-standard-annual, nonprod-core-enterprise-annual, nonprod-core-embed-annual, core-trial-standard, core-trial-enterprise e core-trial-embed. Não é possível alterar as edições depois que uma instância é criada. Se você quiser mudar uma edição, use a importação e exportação para mover os dados da instância do Looker (Google Cloud Core) para uma nova instância configurada com uma edição diferente.
    • RELEASE_CHANNEL: o canal de lançamento da instância. Os valores disponíveis são rapid, regular e no-channel. O padrão durante o pré-lançamento é no-channel. Se você não incluir essa flag no comando create, a instância será criada com o canal padrão. Esse recurso está em pré-lançamento.

    Inclua também estas flags:

    • --public-ip-enabled é usado para ativar a conexão segura pública.
    • Recomendamos usar --async ao criar uma instância do Looker (Google Cloud Core).

  3. É possível adicionar mais parâmetros para aplicar outras configurações da instância: 

    [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
[--kms-key=KMS_KEY_ID]
[--accelerated-security-patch-enabled]
[--no-accelerated-security-patch-enabled]
[--fips-enabled]
[--catalog-integration-enabled]
[--no-catalog-integration-enabled]

    Substitua:

    As flags a seguir ativam outras configurações:

Terraform

Use o seguinte recurso do Terraform para provisionar uma instância Standard do Looker (Google Cloud Core) com funcionalidade básica:

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Use o seguinte recurso do Terraform para provisionar uma instância padrão do Looker (Google Cloud Core) com outras configurações aplicadas:

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Use o seguinte recurso do Terraform para provisionar uma instância do Looker (Google Cloud Core) Enterprise com uma conexão de rede particular:

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

Não é possível pausar ou encerrar a criação da instância depois que ela é iniciada. Quando o recurso do Terraform for provisionado, o terminal vai mostrar a seguinte mensagem:

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]


Apply complete! Resources: X added, X changed, X destroyed.

Enquanto a instância está sendo criada, é possível conferir o status dela na página Instâncias no console. Também é possível ver a atividade de criação de instâncias clicando no ícone de notificações no menu do console do Google Cloud .

Depois que a instância de conexão segura pública for criada, o URL público dela vai aparecer na coluna URL da instância da página Instâncias.

Depois que a instância for criada, acesse o URL dela, que será mostrado na página Instâncias, e faça login com o Google.

Para editar as configurações da instância, incluindo a adição de credenciais OAuth manuais, acesse a página de detalhes da instância e clique em Editar.

Solução de problemas de criação de instâncias

Para receber ajuda com a solução de problemas, consulte a página de documentação Solução de problemas de falhas na criação de instâncias do Looker (Google Cloud Core).

A seguir