建立公開安全連線 Looker (Google Cloud Core) 執行個體

本頁說明如何佈建設定為公開安全連線的 Looker (Google Cloud Core) 實際工作環境或非實際工作環境執行個體。

如要建立私人連線執行個體，必須在建立執行個體時指派設定。如要瞭解如何建立私人連線執行個體，請按照「建立 Looker (Google Cloud Core) Private Service Connect 執行個體」或「建立私人連線 (私人服務存取權) Looker (Google Cloud Core) 執行個體」說明文件頁面中的程序操作，而非下列程序。

事前準備

  1. 與銷售人員合作，確保年約已完成，且專案已分配配額。
  2. 請確認您已為 Google Cloud 專案啟用計費功能。
  3. 在 Google Cloud 控制台的專案選取器頁面，建立 Google Cloud 專案或前往現有專案。

    前往專案選取器

  4. 在 Google Cloud 控制台中，為專案啟用 Looker API。啟用 API 時，您可能需要重新整理控制台頁面，確認 API 已啟用。

    啟用 API

  5. 如要使用 VPC Service Controls，請建立私人連線 (私人服務存取權) 執行個體，而非公開安全連線執行個體。

必要的角色

如要取得建立 Looker (Google Cloud Core) 執行個體所需的權限，請要求管理員在執行個體所在的專案中，授予您 Looker 管理員 (roles/looker.admin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

您可能也需要其他 IAM 角色，才能設定員工身分聯盟或客戶自行管理的加密金鑰 (CMEK)。如要進一步瞭解這些功能，請參閱「使用 Workforce Identity Federation 進行 Looker (Google Cloud Core) 使用者驗證」或「為 Looker (Google Cloud Core) 啟用 CMEK」說明文件頁面。

建立 Looker (Google Cloud Core) 執行個體

Looker (Google Cloud Core) 大約需要 60 分鐘才能產生新的執行個體。

如要建立 Looker (Google Cloud Core) 執行個體，請選取下列其中一個選項：

主控台

  1. 在 Google Cloud 控制台的專案中，前往 Looker (Google Cloud Core) 產品頁面。如果您已在這項專案中建立 Looker (Google Cloud Core) 執行個體，系統會開啟「Instances」(執行個體) 頁面。

    前往 Looker (Google Cloud Core)

  2. 點選「建立執行個體」。
  3. 在「執行個體名稱」部分，提供 Looker (Google Cloud Core) 執行個體的名稱。執行個體名稱不會與 Looker (Google Cloud Core) 執行個體建立後的網址建立關聯。執行個體建立後，即無法變更名稱。
  4. 在「區域」部分，從下拉式選單選取適當選項，託管 Looker (Google Cloud Core) 執行個體。選取與訂閱合約相符的區域，因為會在這裡分配專案配額。如要查看可用區域，請參閱 Looker (Google Cloud Core) 位置說明文件頁面。執行個體建立後，即無法變更區域。

  5. 在「Edition」(版本) 專區中，依據組織需求設定執行個體版本。版本類型會影響執行個體可用的部分功能。請務必選擇年約中列出的版本類型，並確認您已為該版本類型分配配額。版本選項如下：

    • Standard：Looker (Google Cloud Core) 平台，適合使用者不到 50 人的小型機構或團隊
    • 企業版：具備強化版安全防護功能的 Looker (Google Cloud Core) 平台，適用於多種內部商業智慧 (BI) 和數據分析用途
    • Embed：Looker (Google Cloud Core) 平台，適合大規模部署及維護可靠的外部數據分析和自訂應用程式
    • 非正式環境版本：如需測試環境，請選取其中一個非正式環境版本。詳情請參閱「非正式版執行個體」說明文件。
    • 試用版：試用版的功能支援與對應的正式版相同，但試用版的有效期限為 90 天。

    執行個體建立後即無法變更版本。如要變更版本，可以使用匯入和匯出功能，將 Looker (Google Cloud Core) 執行個體資料移至設定為其他版本的新執行個體。

  6. 在「自訂執行個體」部分，按一下「顯示設定選項」，即可顯示一組可為執行個體自訂的其他設定。

  7. 在「連線」部分，選取「使用公開安全連線」。公開安全連線設定會指派可透過網際網路存取的外部 IP 位址，適用於所有版本類型。

  8. 在「Authentication」(驗證) 部分，選取執行個體的主要驗證方式。所有 Looker (Google Cloud Core) 執行個體都必須設定主要驗證方式。可用的主要驗證選項如下：
    • Google OAuth：如果使用者透過 Google 帳戶 (Google Workspace 或 Cloud Identity) 進行驗證，請使用這個方法。這是預設選項。
    • 員工身分聯盟 (SAML/OIDC)：如果使用者透過外部身分識別資訊提供者 (例如 Okta、Microsoft Entra ID 或 PingIdentity) 進行驗證，且您希望透過 IAM 存取控管機制使用單一登入 (SSO)，而不必管理個別 Google 帳戶，請使用這個方法。

  9. 在「發布管道」部分，選取最符合需求的發布管道：

    • 快速：最早可使用功能。建議非正式環境執行個體採用的預設值。
    • 一般：穩定性適中。建議您對正式環境的執行個體採用這項做法，
    • 不使用發布管道：不使用任何發布管道。預覽期間，預設值為「無管道」。

  10. 如果您建立的是企業版或嵌入版執行個體，就會看到「加密」部分。在「Encryption」(加密) 部分，您可以選取要用於執行個體的加密類型。可用的加密選項如下：

  11. 在「維護期間」部分，您可以指定 Looker (Google Cloud Core) 排定維護作業的星期幾和小時。

  12. 在「拒絕維護期」部分，您可以選擇指定一段時間，讓 Looker (Google Cloud Core) 不會安排維護作業。如果執行個體也註冊了 Rapid 發布管道，或是使用 Regular 發布管道搭配加速安全性修補程式 (ASP) 設定旗標，就無法設定拒絕維護期。

  13. 在「Gemini in Looker」部分，您可以選擇為 Looker (Google Cloud Core) 執行個體啟用 Gemini in Looker 功能。如要啟用 Gemini in Looker，請選取 Gemini，然後選取 早鳥測試者功能。啟用早鳥測試者功能後，使用者就能存取 Gemini in Looker 的早鳥測試者功能。如需非公開的「早鳥測試者」專屬功能，請用 Gemini in Looker 預先發布版表單，為需要這些功能的使用者分別提出存取權要求。您必須啟用這項設定，才能在正式發布前的預先發布階段使用 Gemini。(選用) 選取「早鳥測試者」資料使用。啟用這項設定，即代表您同意 Google 依據《Gemini for Google Cloud 早鳥測試者計畫條款》使用您的資料。如要停用 Looker (Google Cloud Core) 執行個體的 Gemini，請清除「Gemini」Gemini設定。

  14. 在「Knowledge Catalog integration」(Knowledge Catalog 整合) 區段，如果不希望 Looker (Google Cloud Core) 與 Knowledge Catalog 整合，可以勾選「Opt out of Knowledge Catalog integration」(停用 Knowledge Catalog 整合功能) 核取方塊。Looker (Google Cloud Core) 和 Knowledge Catalog 預設會整合。

  15. 點選「建立」。

gcloud

  1. 如果您使用CMEK，請先建立 Looker 服務帳戶，並按照操作說明設定客戶自行管理的加密金鑰。

  2. 使用 gcloud looker instances create 指令建立執行個體：

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--region=REGION \
--edition=EDITION \
[--release-channel=RELEASE_CHANNEL]\
--public-ip-enabled \
--async

    更改下列內容：

    • INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱，與執行個體網址無關。
    • PROJECT_ID：您要建立 Looker (Google Cloud Core) 執行個體的 Google Cloud 專案名稱。
    • REGION：託管 Looker (Google Cloud Core) 執行個體的區域。選取與訂閱合約相符的區域。如要查看可用區域，請參閱 Looker (Google Cloud Core) 服務位置說明文件頁面。執行個體建立後，即無法變更區域。
    • EDITION：版本、環境類型 (正式版或非正式版)，以及這是否為執行個體的試用版。可用的值為 core-standard-annual、core-enterprise-annual、core-embed-annual、nonprod-core-standard-annual、nonprod-core-enterprise-annual、nonprod-core-embed-annual、core-trial-standard、core-trial-enterprise 和 core-trial-embed。執行個體建立後即無法變更版本。如要變更版本，可以使用匯入和匯出功能，將 Looker (Google Cloud Core) 執行個體資料移至設定為其他版本的新執行個體。
    • RELEASE_CHANNEL：執行個體的發布管道。可用值為 rapid、regular 和 no-channel。預先發布版期間的預設值為 no-channel。如果未在 create 指令中加入這個標記，系統會使用預設管道建立執行個體。這項功能為預先發布版。

    同時加入下列標記：

    • --public-ip-enabled 用於啟用公開安全連線。
    • 建議您在建立 Looker (Google Cloud Core) 執行個體時，使用 --async。

  3. 您可以新增更多參數，套用其他執行個體設定： 

    [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
[--kms-key=KMS_KEY_ID]
[--accelerated-security-patch-enabled]
[--no-accelerated-security-patch-enabled]
[--fips-enabled]
[--catalog-integration-enabled]
[--no-catalog-integration-enabled]

    更改下列內容：

    • MAINTENANCE_WINDOW_DAY：必須是下列其中一項：friday、monday、saturday、sunday、thursday、tuesday、wednesday。如要進一步瞭解維護期間設定，請參閱「管理 Looker (Google Cloud Core) 的維護政策」說明文件頁面。
    • MAINTENANCE_WINDOW_TIME 和 DENY_MAINTENANCE_PERIOD_TIME：必須採用世界標準時間的 24 小時制格式 (例如 13:00、17:45)。
    • DENY_MAINTENANCE_PERIOD_START_DATE 和 DENY_MAINTENANCE_PERIOD_END_DATE：必須採用 YYYY-MM-DD 格式。如果執行個體也註冊了 Rapid 發布管道，或是使用 Regular 發布管道搭配加速安全性修補程式 (ASP) 設定旗標，就無法設定拒絕維護期。
    • KMS_KEY_ID：必須是在設定客戶自行管理的加密金鑰 (CMEK) 時建立的金鑰。

    下列標記可啟用其他設定：

Terraform

使用下列 Terraform 資源，佈建具有基本功能的 Standard Looker (Google Cloud Core) 執行個體：

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

使用下列 Terraform 資源佈建標準 Looker (Google Cloud Core) 執行個體，並套用其他設定：

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

使用下列 Terraform 資源，佈建具有私人網路連線的企業版 Looker (Google Cloud Core) 執行個體：

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

執行個體建立作業啟動後，就無法暫停或終止。Terraform 資源佈建成功後，終端機會顯示下列訊息：

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]


Apply complete! Resources: X added, X changed, X destroyed.

執行個體建立期間，您可以在控制台的「執行個體」頁面查看狀態。您也可以點選 Google Cloud 控制台選單中的通知圖示，查看執行個體建立活動。

建立公開安全連線執行個體後，執行個體的公開網址會顯示在「執行個體」頁面的「執行個體網址」欄中。

建立執行個體後，您可以前往「Instances」頁面顯示的執行個體網址，然後使用 Google 帳戶登入，即可查看執行個體。

如要編輯執行個體設定 (包括視需要新增手動 OAuth 憑證)，請前往執行個體詳細資料頁面，然後按一下「Edit」(編輯)。

疑難排解執行個體建立問題

如需疑難排解說明，請參閱「排解 Looker (Google Cloud Core) 執行個體建立失敗問題」說明文件頁面。

後續步驟