יצירת מופע Looker (Google Cloud core) עם חיבורים ציבוריים מאובטחים

בדף הזה מוסבר איך להקצות מכונה של Looker (Google Cloud core) בסביבת ייצור או בסביבה שהיא לא סביבת ייצור, שמוגדרת לחיבורים מאובטחים ציבוריים.

אם רוצים ליצור מכונה של חיבורים פרטיים, צריך להקצות את ההגדרות בזמן יצירת המכונה. כדי ליצור מכונה של חיבורים פרטיים, פועלים לפי ההוראות בדף התיעוד יצירת מכונה של Private Service Connect ב-Looker (Google Cloud core) או בדף התיעוד יצירת מכונה של חיבורים פרטיים (גישה לשירותים פרטיים) ב-Looker (Google Cloud core) במקום לפי ההוראות הבאות.

לפני שמתחילים

  1. פנו לצוות המכירות כדי לוודא שהחוזה השנתי שלכם הושלם ושהוקצתה לכם מכסה בפרויקט.
  2. מוודאים שהחיוב מופעל בפרויקט ב- Google Cloud .
  3. במסוף Google Cloud, בדף לבחירת הפרויקט, יוצרים פרויקט ב- Google Cloud או עוברים לפרויקט קיים.

    כניסה לדף לבחירת הפרויקט

  4. מפעילים את Looker API בפרויקט במסוף Google Cloud. כשמפעילים את ה-API, יכול להיות שצריך לרענן את דף המסוף כדי לוודא שה-API הופעל.

    הפעלת ה-API

  5. אם אתם רוצים להשתמש ב-VPC Service Controls, אתם צריכים ליצור מכונה של חיבורים פרטיים (גישה לשירותים פרטיים) במקום מכונה של חיבור מאובטח ציבורי.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת מכונה של Looker (Google Cloud core), צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של Looker (roles/looker.admin) בפרויקט שבו המכונה תהיה. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

יכול להיות שתצטרכו גם תפקידי IAM נוספים כדי להגדיר את איחוד שירותי אימות הזהות של כוח העבודה או מפתחות הצפנה בניהול הלקוח (CMEK). מידע נוסף זמין בדפי התיעוד של התכונות האלה: שימוש באיחוד שירותי אימות הזהות של כוח העבודה לאימות משתמשים ב-Looker (Google Cloud core) או הפעלת CMEK ב-Looker (Google Cloud core).

יצירת מכונה של Looker (Google Cloud core)

יצירת מכונה חדשה ב-Looker (Google Cloud core)‎ נמשכת כ-60 דקות.

כדי ליצור מכונה של Looker (Google Cloud core), בוחרים באחת מהאפשרויות הבאות:

console

  1. בפרויקט במסוף Google Cloud, נכנסים לדף המוצר של Looker (Google Cloud core). אם כבר יצרתם מכונה של Looker (Google Cloud core) בפרויקט הזה, ייפתח הדף Instances.

    אל Looker (Google Cloud core)

  2. לוחצים על CREATE INSTANCE.
  3. בקטע Instance name, נותנים שם למכונה של Looker (Google Cloud core). שם המכונה לא משויך לכתובת ה-URL של המכונה של Looker (Google Cloud core) אחרי שהיא נוצרת. אי אפשר לשנות את שם המכונה אחרי שיוצרים אותה.
  4. בקטע Region, בוחרים מהתפריט הנפתח את האפשרות המתאימה לאירוח של המכונה של Looker (Google Cloud core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי, שבו מוקצית המכסה של הפרויקט. האזורים הזמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core)‎. אי אפשר לשנות את האזור אחרי שיוצרים את המכונה.

  5. בקטע Edition, מגדירים את מהדורת המכונה בהתאם לצורכי הארגון. סוג המהדורה משפיע על חלק מהתכונות שזמינות למכונה. חשוב לבחור את אותו סוג מהדורה שמופיע בחוזה השנתי, ולוודא שיש לכם מכסה שמוקצית לסוג המהדורה הזה. אלה האפשרויות למהדורות:

    • ‫Standard: פלטפורמת Looker (Google Cloud core)‎ לארגונים קטנים או לצוותים עם פחות מ-50 משתמשים
    • ‫Enterprise: פלטפורמת Looker (Google Cloud core) עם אמצעי אבטחה משופרים, שמתאימה למגוון רחב של תרחישי שימוש פנימיים ב-BI ובניתוח נתונים
    • הטמעה: פלטפורמת Looker (Google Cloud core)‎ לפריסה ולתחזוקה של ניתוח נתונים חיצוני אמין ואפליקציות בהתאמה אישית בקנה מידה נרחב
    • מהדורות לא-ייצור: אם אתם רוצים סביבת Staging וסביבת בדיקה, בחרו באחת מהמהדורות הלא-ייצור. מידע נוסף זמין במאמרי העזרה בנושא מכונות שלא מיועדות לסביבת ייצור.
    • מהדורות לניסיון: מהדורה לניסיון תומכת באותן תכונות כמו המהדורה המקבילה לסביבת הייצור, אבל מהדורות לניסיון תקפות ל-90 יום.

    אי אפשר לשנות את המהדורות אחרי שיוצרים את המכונה. אם אתם רוצים לשנות מהדורה, אתם יכולים להשתמש בייבוא וייצוא כדי להעביר את נתוני המכונה של Looker (Google Cloud core) למכונה חדשה שמוגדרת עם מהדורה אחרת.

  6. בקטע Customize your instance, לוחצים על Show configuration options כדי להציג קבוצה של הגדרות נוספות שאפשר להתאים אישית למכונה.

  7. בקטע חיבורים, בוחרים באפשרות שימוש בחיבורים מאובטחים ציבוריים. הגדרה של חיבור מאובטח ציבורי מקצה כתובת IP חיצונית עם גישה לאינטרנט, והיא זמינה לכל סוגי המהדורות.

  8. בקטע Authentication, בוחרים את שיטת האימות הראשית של המכונה. בכל המופעים של Looker (Google Cloud core) נדרשות שיטות אימות ראשיות. אלה אפשרויות האימות הראשיות שזמינות:
    • ‫Google OAuth: השתמשו בשיטה הזו אם המשתמשים שלכם מאמתים את הזהות שלהם באמצעות חשבונות Google (‏Google Workspace או Cloud Identity). זו האפשרות שמוגדרת כברירת המחדל.
    • איחוד שירותי אימות הזהות של כוח עבודה (SAML/OIDC): השיטה הזו מתאימה אם המשתמשים שלכם מבצעים אימות באמצעות ספק זהויות חיצוני (כמו Okta, ‏ Microsoft Entra ID או PingIdentity), ואתם רוצים כניסה יחידה (SSO) עם בקרת גישה של IAM בלי לנהל חשבונות Google נפרדים.

  9. בקטע ערוץ הפצה, בוחרים את ערוץ ההפצה שהכי מתאים לצרכים שלכם:

    • מהיר: גישה מוקדמת לתכונות. ברירת המחדל המומלצת למכונות שלא מיועדות לייצור.
    • רגיל: יציבות מאוזנת. מומלץ למכונות בסביבת ייצור.
    • אין ערוץ: אין ערוץ הפצה. במהלך גרסת טרום-השקה (Preview), ברירת המחדל היא "ללא ערוץ".

  10. אם אתם יוצרים מכונה במהדורת Enterprise או Embed, יופיע הקטע Encryption. בקטע Encryption, אתם יכולים לבחור את סוג ההצפנה שבה תשתמשו במכונה. אלה אפשרויות ההצפנה הזמינות:

  11. בקטע חלון זמן לתחזוקה, אתם יכולים לציין את היום בשבוע ואת השעה שבהם Looker (Google Cloud core)‎ מתזמן את התחזוקה.

  12. בקטע פרק זמן לדחיית עדכונים ותחזוקה, אתם יכולים לציין טווח של ימים שבהם לא יתבצעו פעולות תחזוקה ב-Looker (Google Cloud core). אי אפשר להגדיר פרק זמן לדחיית עדכונים ותחזוקה אם אתם גם רושמים את המכונה לערוץ ההפצה המהירה, או משתמשים בדגל ההגדרה של תיקוני אבטחה מואצים (ASP) עם ערוץ ההפצה הרגילה.

  13. בקטע Gemini ב-Looker, אתם יכולים להפוך את התכונות של Gemini ב-Looker לזמינות במכונה של Looker (Google Cloud core). כדי להפעיל את Gemini ב-Looker, בוחרים באפשרות Gemini ואז באפשרות תכונות של בודק מהימן. כשההגדרה תכונות של בודקים נאמנים מופעלת, המשתמשים יכולים לגשת ליכולות של Gemini ב-Looker כבודקים נאמנים. אפשר לבקש גישה ליכולות שזמינות לבודקים נאמנים, ולא לקהל הרחב, באמצעות טופס הגישה לגרסת טרום השקה (Preview) של Gemini ב-Looker. את הבקשה צריך להגיש לכל משתמש בנפרד. כדי להשתמש ב-Gemini במהלך גרסת טרום-ההשקה (Preview) לפני הזמינות הכללית (GA), צריך להפעיל את ההגדרה הזו. אם רוצים, בוחרים באפשרות שימוש של הבודקים הנאמנים במידע. כשאתם מפעילים את ההגדרה הזו, אתם מסכימים ש-Google תשתמש בנתונים שלכם כמו שמתואר בתנאים של תוכנית הבודקים הנאמנים של Gemini for Google Cloud . כדי להשבית את Gemini במכונה של Looker (Google Cloud core), צריך לבטל את הבחירה בהגדרה Gemini.

  14. בקטע Knowledge Catalog integration, אתם יכולים לסמן את התיבה Opt out of Knowledge Catalog integration אם אתם לא רוצים ש-Looker (Google Cloud core) ישתלב עם Knowledge Catalog. ‫Looker (Google Cloud Core)‎ ו-Knowledge Catalog משולבים כברירת מחדל.

  15. לוחצים על יצירה.

gcloud

  1. אם אתם משתמשים ב-CMEK, צרו את חשבון השירות של Looker ופעלו לפי ההוראות להגדרת CMEK.

  2. משתמשים בפקודה gcloud looker instances create כדי ליצור את המכונה:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION \
--edition=EDITION \
[--release-channel=RELEASE_CHANNEL]\
--public-ip-enabled \
--async

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫INSTANCE_NAME: שם למכונה של Looker (Google Cloud core). הוא לא משויך לכתובת ה-URL של המכונה.
    • ‫PROJECT_ID: שם הפרויקט ב- Google Cloud שבו יוצרים את המכונה של Looker (Google Cloud core).
    • ‫REGION: האזור שבו מתארח המכונה של Looker (Google Cloud core). בוחרים את האזור שתואם לאזור שמופיע בחוזה המינוי. האזורים הזמינים מפורטים בדף התיעוד מיקומים של Looker (Google Cloud core)‎. אי אפשר לשנות את האזור אחרי שיוצרים את המכונה.
    • ‫EDITION: המהדורה, סוג הסביבה (ייצור או לא ייצור) ואם זו מהדורת ניסיון של המכונה. הערכים הזמינים הם core-standard-annual,‏ core-enterprise-annual,‏ core-embed-annual,‏ nonprod-core-standard-annual,‏ nonprod-core-enterprise-annual,‏ nonprod-core-embed-annual,‏ core-trial-standard,‏ core-trial-enterprise ו-core-trial-embed. אי אפשר לשנות את המהדורות אחרי שיוצרים את המכונה. אם אתם רוצים לשנות מהדורה, אתם יכולים להשתמש בייבוא וייצוא כדי להעביר את נתוני המכונה של Looker (Google Cloud core) למכונה חדשה שמוגדרת עם מהדורה אחרת.
    • ‫RELEASE_CHANNEL: ערוץ ההפצה של המכונה. הערכים האפשריים הם rapid,‏ regular ו-no-channel. ברירת המחדל במהלך גרסת טרום-ההשקה (Preview) היא no-channel. אם לא תכללו את הדגל הזה בפקודה create, המכונה תיווצר עם ערוץ ברירת המחדל. התכונה הזו נמצאת בגרסת טרום-השקה (Preview).

    צריך לכלול גם את הדגלים הבאים:

    • --public-ip-enabled משמש להפעלת חיבור מאובטח ציבורי.
    • מומלץ להשתמש ב---async כשיוצרים מכונה של Looker (Google Cloud core).

  3. אפשר להוסיף עוד פרמטרים כדי להחיל הגדרות אחרות על המכונה: 

    [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
[--kms-key=KMS_KEY_ID]
[--accelerated-security-patch-enabled]
[--no-accelerated-security-patch-enabled]
[--fips-enabled]
[--catalog-integration-enabled]
[--no-catalog-integration-enabled]

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫MAINTENANCE_WINDOW_DAY: חייב להיות אחד מהערכים הבאים: friday, monday, saturday, sunday, thursday, tuesday, wednesday. למידע נוסף על הגדרות של חלונות זמן לתחזוקה, קראו את המאמר ניהול מדיניות התחזוקה של Looker (Google Cloud core).
    • ‫MAINTENANCE_WINDOW_TIME ו-DENY_MAINTENANCE_PERIOD_TIME: חייבים להיות בפורמט של 24 שעות לפי שעון UTC (לדוגמה, 13:00, 17:45).
    • ‫DENY_MAINTENANCE_PERIOD_START_DATE ו-DENY_MAINTENANCE_PERIOD_END_DATE: חייבים להיות בפורמט YYYY-MM-DD. אי אפשר להגדיר פרק זמן לדחיית עדכונים ותחזוקה אם המופע רשום לערוץ ההפצה המהירה, או אם משתמשים בדגל ההגדרה של תיקוני אבטחה מואצים (ASP) עם ערוץ ההפצה הרגילה.
    • ‫KMS_KEY_ID: המפתח שנוצר כשמגדירים מפתחות הצפנה בניהול הלקוח (CMEK).

    הדגלים הבאים מפעילים הגדרות אחרות:

Terraform

כדי להקצות מכונה של Looker (Google Cloud core) בגרסת Standard עם פונקציונליות בסיסית, משתמשים במשאב של Terraform:

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

כדי להקצות מכונה של Looker (Google Cloud core) במהדורת Standard עם הגדרות נוספות, משתמשים במשאב Terraform הבא:

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

כדי להקצות מכונה של Looker (Google Cloud core) ברמת Enterprise עם חיבור לרשת פרטית, משתמשים במשאב Terraform הבא:

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

אחרי שמתחילים ליצור מכונה, אי אפשר להשהות או להפסיק את התהליך. אחרי שהמשאב של Terraform הוקצה בהצלחה, במסוף תודפס ההודעה הבאה:

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]


Apply complete! Resources: X added, X changed, X destroyed.

בזמן שהמכונה נוצרת, אפשר לראות את הסטטוס שלה בדף Instances במסוף. אפשר גם לראות את פעילות יצירת המכונה בלחיצה על סמל ההתראות בתפריט של מסוף Google Cloud .

אחרי שיוצרים את המכונה הציבורית עם החיבור המאובטח, כתובת ה-URL הציבורית של המכונה מופיעה בעמודה Instance URL בדף Instances.

אחרי שיוצרים את המכונה, אפשר לראות אותה בכתובת ה-URL של המכונה שמופיעה בדף Instances, ולהיכנס באמצעות חשבון Google.

כדי לערוך את הגדרות המכונה, כולל הוספה של פרטי כניסה ידניים ל-OAuth, נכנסים לדף הפרטים של המכונה ולוחצים על עריכה.

פתרון בעיות ביצירת מכונות

כדי לקבל עזרה בפתרון בעיות, אפשר לעיין בדף התיעוד פתרון בעיות שקשורות לכשלים ביצירת מכונות של Looker (Google Cloud core).

המאמרים הבאים