Looker (Google Cloud Core)-Instanz mit öffentlichen verschlüsselten Verbindungen erstellen

Auf dieser Seite wird beschrieben, wie Sie eine Produktions- oder Nicht-Produktionsinstanz von Looker (Google Cloud Core) bereitstellen, die für öffentliche sichere Verbindungen konfiguriert ist.

Wenn Sie eine Instanz für private Verbindungen erstellen möchten, muss die Konfiguration bei der Instanzerstellung zugewiesen werden. Eine Anleitung zum Erstellen einer Instanz mit privaten Verbindungen finden Sie auf den Dokumentationsseiten Private Service Connect-Instanz für Looker (Google Cloud Core) erstellen oder Looker (Google Cloud Core)-Instanz mit privaten Verbindungen (Zugriff auf private Dienste) erstellen. Folgen Sie nicht der Anleitung unten.

Hinweis

  1. Wenden Sie sich an den Vertrieb, um sicherzustellen, dass Ihr Jahresvertrag abgeschlossen ist und Ihrem Projekt ein Kontingent zugewiesen wurde.
  2. Achten Sie darauf, dass die Abrechnung für Ihr Projekt in Google Cloud aktiviert ist.
  3. Erstellen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud -Projekt oder rufen Sie ein vorhandenes Projekt auf.

    Zur Projektauswahl

  4. Aktivieren Sie die Looker API für Ihr Projekt in der Google Cloud Console. Wenn Sie die API aktivieren, müssen Sie die Seite der Console möglicherweise aktualisieren, um zu bestätigen, dass die API aktiviert wurde.

    API aktivieren

  5. Wenn Sie VPC Service Controls verwenden möchten, müssen Sie eine Instanz mit privaten Verbindungen (Zugriff auf private Dienste) anstelle einer Instanz mit öffentlicher sicherer Verbindung erstellen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Looker Admin (roles/looker.admin) für das Projekt zuzuweisen, in dem sich die Instanz befinden soll, um die Berechtigungen zu erhalten, die Sie zum Erstellen einer Looker (Google Cloud Core)-Instanz benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Möglicherweise benötigen Sie auch zusätzliche IAM-Rollen, um die Mitarbeiteridentitätsföderation oder kundenverwaltete Verschlüsselungsschlüssel (CMEK) einzurichten. Weitere Informationen finden Sie auf den Dokumentationsseiten Workforce Identity-Föderation für die Looker (Google Cloud Core)-Nutzerauthentifizierung verwenden und CMEK für Looker (Google Cloud Core) aktivieren.

Looker-Instanz (Google Cloud Core) erstellen

Looker (Google Cloud Core) erfordert etwa 60 Minuten, um eine neue Instanz zu generieren.

Wählen Sie eine der folgenden Optionen aus, um Ihre Looker (Google Cloud Core)-Instanz zu erstellen:

Console

  1. Rufen Sie in der Google Cloud Console in Ihrem Projekt die Produktseite für Looker (Google Cloud Core) auf. Wenn Sie in diesem Projekt bereits eine Looker (Google Cloud Core)-Instanz erstellt haben, wird die Seite Instanzen geöffnet.

    Looker (Google Cloud Core) aufrufen

  2. Klicken Sie auf INSTANZ ERSTELLEN.
  3. Geben Sie im Abschnitt Instanzname einen Namen für Ihre Looker (Google Cloud Core)-Instanz ein. Der Instanzname ist nach dem Erstellen nicht mit der URL der Looker (Google Cloud Core)-Instanz verknüpft. Der Instanzname kann nach dem Erstellen der Instanz nicht mehr geändert werden.
  4. Wählen Sie im Bereich Region die gewünschte Option aus dem Drop-down-Menü aus, um Ihre Looker (Google Cloud Core)-Instanz zu hosten. Wählen Sie die Region aus, die der Region im Abovertrag entspricht, da dort das Kontingent für Ihr Projekt zugewiesen wird. Die verfügbaren Regionen sind auf der Dokumentationsseite Looker-Standorte (Google Cloud Core) aufgeführt. Sie können die Region nicht mehr ändern, nachdem die Instanz erstellt wurde.

  5. Legen Sie im Bereich Version die Instanzversion entsprechend den Anforderungen Ihrer Organisation fest. Der Versionstyp wirkt sich auf einige der Funktionen aus, die für die Instanz verfügbar sind. Achten Sie darauf, dass Sie denselben Editionstyp auswählen, der in Ihrem Jahresvertrag aufgeführt ist, und dass Ihnen für diesen Editionstyp ein Kontingent zugewiesen wurde. Folgende Versionen sind verfügbar:

    • Standard: Looker (Google Cloud Core)-Plattform für kleine Organisationen oder Teams mit weniger als 50 Nutzern
    • Enterprise: Looker (Google Cloud Core)-Plattform mit erweiterten Sicherheitsfunktionen für eine Vielzahl interner BI- und Analyseanwendungsfälle
    • Embed: Looker (Google Cloud Core)-Plattform zum Bereitstellen und Verwalten zuverlässiger externer Analysen und benutzerdefinierter Anwendungen im großen Maßstab
    • Nicht-Produktionsversionen: Wenn Sie eine Staging- und Testumgebung benötigen, wählen Sie eine der Nicht-Produktionsversionen aus. Weitere Informationen finden Sie in der Dokumentation zu Nicht-Produktionsinstanzen.
    • Testversionen: Eine Testversion bietet dieselbe Funktionsunterstützung wie die entsprechende Produktionsversion, mit der Ausnahme, dass Testversionen 90 Tage lang gültig sind.

    Nach dem Erstellen einer Instanz sind Änderungen an Versionen nicht mehr möglich. Wenn Sie eine Version ändern möchten, können Sie die Daten Ihrer Looker (Google Cloud Core)-Instanz mithilfe der Import- und Exportfunktionen in eine neue Instanz verschieben, die mit einer anderen Version konfiguriert ist.

  6. Klicken Sie im Abschnitt Instanz anpassen auf Konfigurationsoptionen einblenden, um eine Gruppe zusätzlicher Einstellungen aufzurufen, die Sie für die Instanz anpassen können.

  7. Wählen Sie im Bereich Verbindungen die Option Öffentliche verschlüsselte Verbindungen verwenden aus. Mit der Einstellung für eine öffentliche sichere Verbindung wird eine externe, über das Internet zugängliche IP-Adresse zugewiesen. Diese Einstellung ist für alle Versionstypen verfügbar.

  8. Wählen Sie im Abschnitt Authentifizierung die primäre Authentifizierungsmethode für die Instanz aus. Primäre Authentifizierungsmethoden sind für alle Looker (Google Cloud Core)-Instanzen erforderlich. Die folgenden primären Authentifizierungsoptionen sind verfügbar:
    • Google OAuth: Verwenden Sie diese Methode, wenn sich Ihre Nutzer mit Google-Konten (Google Workspace oder Cloud Identity) authentifizieren. Diese Option ist die Standardeinstellung.
    • Workforce Identity-Föderation (SAML/OIDC): Verwenden Sie diese Methode, wenn sich Ihre Nutzer bei einem externen Identitätsanbieter (z. B. Okta, Microsoft Entra ID oder PingIdentity) authentifizieren und Sie Single Sign-On (SSO) mit IAM-Zugriffssteuerung wünschen, ohne einzelne Google-Konten verwalten zu müssen.

  9. Wählen Sie im Bereich Release-Version die Release-Version aus, die Ihren Anforderungen am besten entspricht:

    • Schnell: Frühester Zugriff auf Funktionen. Empfohlener Standard für Nicht-Produktionsinstanzen.
    • Regular: Ausgewogene Stabilität. Wird für Produktionsinstanzen empfohlen.
    • Keine Release-Version: Keine Release-Version. In der Vorabversion ist „Kein Kanal“ die Standardeinstellung.

  10. Wenn Sie eine Instanz der Enterprise- oder Embed-Version erstellen, wird der Abschnitt Verschlüsselung angezeigt. Im Abschnitt Verschlüsselung können Sie den Verschlüsselungstyp für Ihre Instanz auswählen. Die folgenden Verschlüsselungsoptionen sind verfügbar:

  11. Im Abschnitt Wartungsfenster können Sie optional den Wochentag und die Uhrzeit angeben, zu der Looker (Google Cloud Core) die Wartung plant.

  12. Im Abschnitt Zeitraum für Wartungsausschluss können Sie optional einen Block von Tagen angeben, an denen Looker (Google Cloud Core) keine Wartung plant. Sie können keinen Zeitraum für den Wartungsausschluss festlegen, wenn Sie die Instanz auch in der Rapid-Release-Version registrieren oder das Konfigurations-Flag für beschleunigtes Sicherheitspatching (ASP) mit der Regular-Release-Version verwenden.

  13. Im Abschnitt Gemini in Looker können Sie optional Gemini in Looker-Funktionen für die Looker (Google Cloud Core)-Instanz verfügbar machen. Wenn Sie Gemini in Looker aktivieren möchten, wählen Sie Gemini und dann Trusted Tester-Funktionen aus. Wenn Trusted Tester-Funktionen aktiviert ist, können Nutzer auf die Trusted Tester-Funktionen von Gemini in Looker zugreifen. Sie können den Zugriff auf nicht öffentliche Trusted Tester-Funktionen über das Formular für die Vorabversion von Gemini in Looker auf Nutzerbasis anfordern. Sie müssen diese Einstellung aktivieren, um Gemini während der Pre-GA-Vorabversion verwenden zu können. Wählen Sie optional Trusted Tester-Datennutzung aus. Wenn diese Einstellung aktiviert ist, stimmen Sie zu, dass Ihre Daten von Google gemäß den Nutzungsbedingungen für Gemini im Rahmen des Trusted Tester-Programms von Google Cloud verwendet werden. Wenn Sie Gemini für eine Looker (Google Cloud Core)-Instanz deaktivieren möchten, deaktivieren Sie die Einstellung Gemini.

  14. Im Bereich Knowledge Catalog-Einbindung können Sie optional das Kästchen Knowledge Catalog-Einbindung deaktivieren anklicken, wenn Sie nicht möchten, dass Looker (Google Cloud Core) in Knowledge Catalog eingebunden wird. Looker (Google Cloud Core) und Knowledge Catalog sind standardmäßig eingebunden.

  15. Klicken Sie auf Erstellen.

gcloud

  1. Wenn Sie CMEK verwenden, erstellen Sie das Looker-Dienstkonto und folgen Sie zuerst der Anleitung zum Einrichten von CMEK.

  2. Erstellen Sie die Instanz mit dem Befehl gcloud looker instances create:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION \
--edition=EDITION \
[--release-channel=RELEASE_CHANNEL]\
--public-ip-enabled \
--async

    Ersetzen Sie Folgendes:

    • INSTANCE_NAME: ein Name für Ihre Looker (Google Cloud Core)-Instanz. Er ist nicht mit der Instanz-URL verknüpft.
    • PROJECT_ID: der Name des Google Cloud -Projekts, in dem Sie die Looker (Google Cloud Core)-Instanz erstellen.
    • REGION: die Region, in der Ihre Looker (Google Cloud Core)-Instanz gehostet wird. Wählen Sie die Region aus, die der Region im Abovertrag entspricht. Die verfügbaren Regionen sind auf der Dokumentationsseite Looker-Standorte (Google Cloud Core) aufgeführt. Sie können die Region nicht mehr ändern, nachdem die Instanz erstellt wurde.
    • EDITION: die Version, der Umgebungstyp (Produktion oder Nicht-Produktion) und ob es sich um eine Testversion für die Instanz handelt. Die verfügbaren Werte sind core-standard-annual, core-enterprise-annual, core-embed-annual, nonprod-core-standard-annual, nonprod-core-enterprise-annual, nonprod-core-embed-annual, core-trial-standard, core-trial-enterprise und core-trial-embed. Versionen können nach dem Erstellen der Instanz nicht mehr geändert werden. Wenn Sie eine Version ändern möchten, können Sie die Daten Ihrer Looker (Google Cloud Core)-Instanz mit der Import- und Exportfunktion in eine neue Instanz verschieben, die mit einer anderen Version konfiguriert ist.
    • RELEASE_CHANNEL: die Release-Version für die Instanz. Verfügbare Werte sind rapid, regular und no-channel. Der Standardwert während der Vorabversion ist no-channel. Wenn Sie dieses Flag nicht in den create-Befehl einfügen, wird die Instanz mit dem Standardkanal erstellt. Diese Funktion ist eine Vorabversion.

    Fügen Sie außerdem diese Flags hinzu:

    • --public-ip-enabled wird verwendet, um eine öffentliche verschlüsselte Verbindung zu aktivieren.
    • --async wird empfohlen, wenn Sie eine Looker (Google Cloud Core)-Instanz erstellen.

  3. Sie können weitere Parameter hinzufügen, um andere Instanzeinstellungen anzuwenden: 

    [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
[--kms-key=KMS_KEY_ID]
[--accelerated-security-patch-enabled]
[--no-accelerated-security-patch-enabled]
[--fips-enabled]
[--catalog-integration-enabled]
[--no-catalog-integration-enabled]

    Ersetzen Sie Folgendes:

    • MAINTENANCE_WINDOW_DAY: muss einer der folgenden Werte sein: friday, monday, saturday, sunday, thursday, tuesday, wednesday. Weitere Informationen zu den Einstellungen für Wartungsfenster finden Sie auf der Dokumentationsseite Wartungsrichtlinien für Looker (Google Cloud Core) verwalten.
    • MAINTENANCE_WINDOW_TIME und DENY_MAINTENANCE_PERIOD_TIME: müssen im 24-Stunden-Format in UTC angegeben werden (z. B. 13:00, 17:45).
    • DENY_MAINTENANCE_PERIOD_START_DATE und DENY_MAINTENANCE_PERIOD_END_DATE: müssen das Format YYYY-MM-DD haben. Sie können keinen Zeitraum für den Wartungsausschluss festlegen, wenn Sie die Instanz auch in der Rapid-Release-Version registrieren oder das Konfigurations-Flag für beschleunigtes Sicherheitspatching (ASP) mit der Regular-Release-Version verwenden.
    • KMS_KEY_ID: Muss der Schlüssel sein, der beim Einrichten von kundenverwalteten Verschlüsselungsschlüsseln (CMEK) erstellt wird.

    Die folgenden Flags aktivieren andere Einstellungen:

Terraform

Verwenden Sie die folgende Terraform-Ressource, um eine Standard-Looker-Instanz (Google Cloud Core) mit grundlegenden Funktionen bereitzustellen:

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Verwenden Sie die folgende Terraform-Ressource, um eine Standard-Looker (Google Cloud Core)-Instanz mit zusätzlichen Einstellungen bereitzustellen:

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Verwenden Sie die folgende Terraform-Ressource, um eine Enterprise-Looker (Google Cloud Core)-Instanz mit einer privaten Netzwerkverbindung bereitzustellen:

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

Informationen zum Anwenden oder Entfernen einer Terraform-Konfiguration finden Sie unter Grundlegende Terraform-Befehle.

Die Instanzerstellung kann nach dem Start nicht mehr pausiert oder beendet werden. Wenn Ihre Terraform-Ressource erfolgreich bereitgestellt wurde, wird im Terminal die folgende Meldung angezeigt:

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]


Apply complete! Resources: X added, X changed, X destroyed.

Während die Instanz erstellt wird, können Sie ihren Status in der Console auf der Seite Instanzen einsehen. Sie können die Aktivität zur Instanzerstellung auch aufrufen, indem Sie im Menü der Google Cloud Console auf das Benachrichtigungssymbol klicken.

Sobald die Instanz mit öffentlicher sicherer Verbindung erstellt wurde, wird die öffentliche URL der Instanz in der Spalte Instanz-URL auf der Seite Instanzen angezeigt.

Nachdem die Instanz erstellt wurde, können Sie sie aufrufen, indem Sie die Instanz-URL auf der Seite Instanzen aufrufen und sich über Google anmelden.

Sie können die Instanzeinstellungen bearbeiten, einschließlich des Hinzufügens manueller OAuth-Anmeldedaten, wenn Sie möchten. Rufen Sie dazu die Seite mit den Instanzdetails auf und klicken Sie auf Bearbeiten.

Fehlerbehebung bei Problemen mit der Instanzerstellung

Hilfe zur Fehlerbehebung finden Sie auf der Dokumentationsseite Fehlerbehebung bei der Erstellung von Looker (Google Cloud Core)-Instanzen.

Nächste Schritte