Crea una instancia de Looker (Google Cloud Core) con conexiones seguras públicas

En esta página, se explica cómo aprovisionar una instancia de producción o no de producción de Looker (Google Cloud Core) configurada para conexiones seguras públicas.

Si deseas crear una instancia de conexiones privadas, la configuración se debe asignar en el momento de la creación de la instancia. Para obtener instrucciones sobre cómo crear una instancia de conexiones privadas, sigue el procedimiento que se indica en las páginas de documentación Crea una instancia de Private Service Connect de Looker (Google Cloud Core) o Crea una instancia de conexiones privadas (acceso privado a servicios) de Looker (Google Cloud Core) en lugar del siguiente procedimiento.

Antes de comenzar

  1. Comunícate con Ventas para asegurarte de que se complete tu contrato anual y de que tengas una cuota asignada en tu proyecto.
  2. Asegúrate de tener habilitada la facturación para tu proyecto de Google Cloud .
  3. En la consola de Google Cloud, en la página del selector de proyectos, crea un proyecto de Google Cloud o navega a uno existente.

    Ir al selector de proyectos

  4. Habilita la API de Looker para tu proyecto en la consola de Google Cloud. Cuando habilites la API, es posible que debas actualizar la página de la consola para confirmar que se haya habilitado.

    Habilita la API

  5. Si quieres usar los Controles del servicio de VPC, debes crear una instancia de conexiones privadas (acceso privado a servicios) en lugar de una instancia de conexión segura pública.

Roles obligatorios

Para obtener los permisos que necesitas para crear una instancia de Looker (Google Cloud Core), pídele a tu administrador que te otorgue el rol de IAM de administrador de Looker (roles/looker.admin) en el proyecto en el que residirá la instancia. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

También es posible que necesites roles de IAM adicionales para configurar la federación de identidades de personal o las claves de encriptación administradas por el cliente (CMEK). Para obtener más información, visita las páginas de documentación Usa la federación de identidades de personal para la autenticación de usuarios de Looker (Google Cloud core) o Habilita CMEK para Looker (Google Cloud core) para esas funciones.

Crea una instancia de Looker (Google Cloud Core)

Looker (Google Cloud Core) requiere aproximadamente 60 minutos para generar una instancia nueva.

Para crear tu instancia de Looker (Google Cloud Core), selecciona una de las siguientes opciones:

Console

  1. Navega a la página del producto de Looker (Google Cloud Core) desde tu proyecto en la consola de Google Cloud. Si ya creaste una instancia de Looker (Google Cloud Core) en este proyecto, se abrirá la página Instancias.

    Ir a Looker (Google Cloud Core)

  2. Haz clic en CREAR INSTANCIA.
  3. En la sección Nombre de la instancia, proporciona un nombre para la instancia de Looker (Google Cloud Core). El nombre de la instancia no está asociado con la URL de la instancia de Looker (Google Cloud Core) una vez que se crea. El nombre de la instancia no se puede cambiar después de crearla.
  4. En la sección Región, selecciona la opción adecuada en el menú desplegable para alojar tu instancia de Looker (Google Cloud Core). Selecciona la región que coincida con la región del contrato de suscripción, que es donde se asigna la cuota de tu proyecto. Las regiones disponibles se indican en la página de documentación Ubicaciones de Looker (Google Cloud Core). No puedes cambiar la región una vez que se creó la instancia.

  5. En la sección Edición, establece la edición de la instancia según las necesidades de tu organización. El tipo de edición afecta algunas de las funciones que están disponibles para la instancia. Asegúrate de elegir el mismo tipo de edición que se indica en tu contrato anual y de tener una cuota asignada para ese tipo de edición. Estas son las opciones de edición:

    • Estándar: Plataforma de Looker (Google Cloud Core) para organizaciones o equipos pequeños con menos de 50 usuarios
    • Enterprise: Plataforma de Looker (Google Cloud Core) con funciones de seguridad mejoradas para abordar una amplia variedad de casos de uso de IE interna y estadísticas
    • Incorporación: Plataforma de Looker (Google Cloud Core) para implementar y mantener estadísticas externas confiables y aplicaciones personalizadas a gran escala
    • Ediciones que no son de producción: Si deseas un entorno de etapa de pruebas y pruebas, selecciona una de las ediciones que no son de producción. Para obtener más información, consulta la documentación de Instancias que no son de producción.
    • Ediciones de prueba: Una edición de prueba tiene la misma compatibilidad con funciones que su edición de producción correspondiente, con la excepción de que las ediciones de prueba son válidas durante 90 días.

    No se pueden cambiar las ediciones después de crear la instancia. Si quieres cambiar de edición, puedes usar la importación y exportación para mover los datos de tu instancia de Looker (Google Cloud Core) a una instancia nueva que esté configurada con una edición diferente.

  6. En la sección Personaliza tu instancia, haz clic en Mostrar opciones de configuración para ver un grupo de parámetros de configuración adicionales que puedes personalizar para la instancia.

  7. En la sección Conexiones, selecciona Usar conexiones seguras públicas. Un parámetro de configuración de conexión pública segura asigna una dirección IP externa a la que se puede acceder a través de Internet y está disponible para todos los tipos de ediciones.

  8. En la sección Autenticación, selecciona el método de autenticación principal para la instancia. Los métodos de autenticación principales son obligatorios para todas las instancias de Looker (Google Cloud Core). Están disponibles las siguientes opciones de autenticación principal:
    • OAuth de Google: Usa este método si tus usuarios se autentican con Cuentas de Google (Google Workspace o Cloud Identity). Esta es la opción predeterminada.
    • Federación de identidades de personal (SAML/OIDC): Usa este método si tus usuarios se autentican con un proveedor de identidad externo (como Okta, Microsoft Entra ID o PingIdentity) y quieres un inicio de sesión único (SSO) con control de acceso de IAM sin administrar Cuentas de Google individuales.

  9. En la sección Canal de versiones, selecciona el canal de versiones que mejor se adapte a tus necesidades:

    • Rápido: Acceso más temprano a las funciones. Es la opción predeterminada recomendada para las instancias que no son de producción.
    • Regular: Estabilidad equilibrada. Esta opción se recomienda para las instancias de producción.
    • Sin canal: No hay canal de versiones. Durante la versión preliminar, No channel es el valor predeterminado.

  10. Si creas una instancia de la edición Enterprise o Embed, verás la sección Encriptación. En la sección Encriptación, puedes seleccionar el tipo de encriptación que se usará en tu instancia. Están disponibles las siguientes opciones de encriptación:

  11. En la sección Período de mantenimiento, puedes especificar el día de la semana y la hora en que Looker (Google Cloud Core) programa el mantenimiento (opcional).

  12. En la sección Período de rechazo del mantenimiento, puedes especificar un bloque de días en el que Looker (Google Cloud Core) no programe el mantenimiento. No puedes establecer un período de rechazo del mantenimiento si también inscribes la instancia en el canal de versiones rápido o usas la marca de configuración de aplicación de parches de seguridad acelerada (ASP) con el canal de versiones regular.

  13. En la sección Gemini en Looker, puedes hacer que las funciones de Gemini en Looker estén disponibles para la instancia de Looker (Google Cloud Core). Para habilitar Gemini en Looker, selecciona Gemini y, luego, Funciones de verificador de confianza. Cuando se habilitan las funciones de verificador de confianza, los usuarios pueden acceder a las funciones de verificador de confianza de Gemini en Looker. Puedes solicitar acceso a las funciones privadas de verificador de confianza completando un formulario de versión preliminar de Gemini en Looker por cada usuario. Debes habilitar este parámetro de configuración para usar Gemini durante la fase previa a la DG de la versión preliminar. De manera opcional, selecciona Uso de los datos de verificador de confianza. Cuando se habilita este parámetro de configuración, aceptas que Google use tus datos como se describe en las condiciones del Programa de Verificadores de confianza de Gemini para Google Cloud Para inhabilitar Gemini en una instancia de Looker (Google Cloud Core), desmarca el parámetro de configuración Gemini.

  14. En la sección Integración de Knowledge Catalog, puedes seleccionar la casilla de verificación Inhabilitar la integración de Knowledge Catalog si no quieres que Looker (Google Cloud Core) se integre con Knowledge Catalog. Looker (Google Cloud Core) y Knowledge Catalog están integrados de forma predeterminada.

  15. Haz clic en Crear.

gcloud

  1. Si usas CMEK, crea la cuenta de servicio de Looker y sigue las instrucciones para configurar CMEK primero.

  2. Usa el comando gcloud looker instances create para crear la instancia:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION \
--edition=EDITION \
[--release-channel=RELEASE_CHANNEL]\
--public-ip-enabled \
--async

    Reemplaza lo siguiente:

    • INSTANCE_NAME: Es un nombre para tu instancia de Looker (Google Cloud Core). No está asociado con la URL de la instancia.
    • PROJECT_ID: Es el nombre del proyecto de Google Cloud en el que creas la instancia de Looker (Google Cloud Core).
    • REGION: Es la región en la que se aloja tu instancia de Looker (Google Cloud Core). Selecciona la región que coincida con la región del contrato de suscripción. Las regiones disponibles se indican en la página de documentación Ubicaciones de Looker (Google Cloud Core). No puedes cambiar la región una vez que se creó la instancia.
    • EDITION: Es la edición, el tipo de entorno (producción o no producción) y si se trata de una edición de prueba para la instancia. Sus valores disponibles son core-standard-annual, core-enterprise-annual, core-embed-annual, nonprod-core-standard-annual, nonprod-core-enterprise-annual, nonprod-core-embed-annual, core-trial-standard, core-trial-enterprise y core-trial-embed. No se pueden cambiar las ediciones después de crear la instancia. Si quieres cambiar de edición, puedes usar la importación y exportación para mover los datos de tu instancia de Looker (Google Cloud Core) a una instancia nueva que esté configurada con una edición diferente.
    • RELEASE_CHANNEL: Es el canal de versiones de la instancia. Los valores disponibles son rapid, regular y no-channel. El valor predeterminado durante la versión preliminar es no-channel. Si no incluyes esta marca en tu comando create, la instancia se creará con el canal predeterminado. Esta función está en versión preliminar.

    También incluye estas marcas:

    • --public-ip-enabled se usa para habilitar la conexión segura pública.
    • Se recomienda --async cuando creas una instancia de Looker (Google Cloud Core).

  3. Puedes agregar más parámetros para aplicar otros parámetros de configuración de la instancia: 

    [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
[--kms-key=KMS_KEY_ID]
[--accelerated-security-patch-enabled]
[--no-accelerated-security-patch-enabled]
[--fips-enabled]
[--catalog-integration-enabled]
[--no-catalog-integration-enabled]

    Reemplaza lo siguiente:

    Las siguientes marcas habilitan otros parámetros de configuración:

Terraform

Usa el siguiente recurso de Terraform para aprovisionar una instancia de Looker (Google Cloud Core) estándar con funcionalidad básica:

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Usa el siguiente recurso de Terraform para aprovisionar una instancia de Looker (Google Cloud Core) estándar con parámetros de configuración adicionales aplicados:

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Usa el siguiente recurso de Terraform para aprovisionar una instancia de Looker (Google Cloud Core) de Enterprise con una conexión de red privada:

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

La creación de la instancia no se puede pausar ni finalizar una vez que se inicia. Cuando tu recurso de Terraform se haya aprovisionado correctamente, tu terminal imprimirá el siguiente mensaje:

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]


Apply complete! Resources: X added, X changed, X destroyed.

Mientras se crea la instancia, puedes ver su estado en la página Instancias de la consola. También puedes ver la actividad de creación de instancias haciendo clic en el ícono de notificaciones en el menú de la consola de Google Cloud .

Una vez que se cree la instancia de conexión segura pública, la URL pública de la instancia aparecerá en la columna URL de la instancia de la página Instancias.

Una vez que se cree la instancia, puedes verla navegando a su URL, que se mostrará en la página Instancias, y acceder con Google.

Para editar la configuración de la instancia, incluida la adición de credenciales de OAuth manuales si lo deseas, visita la página de detalles de la instancia y haz clic en Editar.

Soluciona problemas de creación de instancias

Para obtener ayuda con la solución de problemas, consulta la página de documentación Soluciona problemas de errores de creación de instancias de Looker (Google Cloud Core).

¿Qué sigue?