Akses masuk publik ke instance Looker (Google Cloud core) menggunakan Private Service Connect

Catatan: Untuk menggunakan Private Service Connect dengan Looker (Google Cloud core), instance Looker (Google Cloud core) harus diaktifkan untuk menggunakan Private Service Connect selama pembuatan instance.

Halaman dokumentasi ini menjelaskan cara menggunakan Private Service Connect untuk mengonfigurasi perutean dari klien ke Looker (Google Cloud core), yang juga disebut traffic masuk.

Private Service Connect memungkinkan konsumen mengakses layanan terkelola secara pribadi dari dalam jaringan VPC mereka, melalui jaringan hibrida, atau secara publik saat di-deploy dengan load balancer aplikasi regional eksternal. Layanan ini memungkinkan produsen layanan terkelola menghosting layanan ini di jaringan VPC masing-masing yang terpisah dan menawarkan koneksi pribadi atau publik kepada konsumen mereka.

Saat Anda menggunakan Private Service Connect untuk mengakses Looker (Google Cloud core), Anda adalah konsumen layanan, dan Looker (Google Cloud core) adalah produsen layanan. Akses masuk ke Looker (Google Cloud core) mengharuskan VPC konsumen ditambahkan sebagai VPC yang diizinkan untuk instance Private Service Connect Looker (Google Cloud core).

Dokumentasi ini menjelaskan cara menyiapkan dan mengonfigurasi domain kustom, serta memberikan panduan tentang cara mengakses Looker (Google Cloud core) menggunakan backend Private Service Connect backend untuk konektivitas pribadi atau publik dengan sertifikat.

Deployment yang direkomendasikan untuk mengakses Looker (Google Cloud core) adalah melalui load balancer aplikasi dengan backend. Penyiapan ini juga memungkinkan autentikasi sertifikat domain kustom, yang menambahkan lapisan keamanan dan kontrol tambahan untuk akses pengguna.

Membuat domain kustom

Langkah pertama setelah instance Looker (Google Cloud core) dibuat adalah menyiapkan domain kustom dan memperbarui kredensial OAuth untuk instance tersebut. Bagian berikutnya akan memandu Anda melalui proses ini.

Saat Anda membuat domain kustom untuk instance koneksi pribadi (Private Service Connect), domain kustom harus memenuhi persyaratan berikut:

• Domain kustom harus terdiri dari setidaknya tiga bagian, termasuk setidaknya satu subdomain. Misalnya, subdomain.domain.com.
• Domain kustom tidak boleh berisi salah satu hal berikut:
  • looker.com
  • google.com
  • googleapis.com
  • gcr.io
  • pkg.dev

Menyiapkan domain kustom

Setelah instance Looker (Google Cloud core) dibuat, Anda dapat menyiapkan domain kustom.

Sebelum memulai

Catatan: Domain kustom tidak dapat dibuat menggunakan domain looker.com.

Sebelum dapat menyesuaikan domain instance Looker (Google Cloud core), identifikasi tempat data DNS domain Anda disimpan, sehingga Anda dapat memperbaruinya.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan guna membuat domain kustom untuk instance Looker (Google Cloud core), minta administrator untuk memberi Anda peran IAM Looker Admin (roles/looker.admin) di project tempat instance berada. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Membuat domain kustom

Catatan: Anda tidak dapat mengubah domain kustom setelah dibuat. Jika ingin mengubah domain kustom, Anda harus menghapus domain kustom yang ada dan membuat domain kustom baru.

Di Google Cloud konsol Google Cloud, ikuti langkah-langkah berikut untuk menyesuaikan domain instance Looker (Google Cloud core):

1. Di halaman Instances, klik nama instance yang ingin Anda siapkan domain kustomnya.
2. Klik tab Custom domain.

3. Klik Add a custom domain.

   

   Tindakan ini akan membuka panel Add a new custom domain.

4. Dengan hanya menggunakan huruf, angka, dan tanda hubung, masukkan nama host hingga 64 karakter untuk domain web yang ingin Anda gunakan — misalnya: looker.examplepetstore.com.

   

5. Klik tombol Continue.

6. Bagian Update your DNS records akan terbuka. IP publik ingress tercantum di kolom Data.

7. Klik DONE di panel Add a new custom domain untuk kembali ke tab CUSTOM DOMAIN.

Proses memperbarui domain kustom memerlukan waktu 10 hingga 15 menit.

Catatan: Untuk instance yang hanya menggunakan jaringan pribadi, status di tab CUSTOM DOMAIN mungkin tetap Unverified karena Google tidak dapat memverifikasi data DNS pribadi atau menjangkau alamat IP internal untuk instance Anda. Meskipun statusnya Unverified, Anda tetap dapat menggunakan domain kustom.

Setelah domain kustom Anda disiapkan, domain tersebut akan ditampilkan di kolom Domain pada tab CUSTOM DOMAIN di halaman detail instance Looker (Google Cloud core) di Google Cloud konsol Google Cloud.

Setelah domain kustom dibuat, Anda dapat melihat informasi tentang domain tersebut, atau menghapusnya.

Memperbarui kredensial OAuth

Catatan: Anda dapat menggunakan klien OAuth apa pun untuk membuat kredensial otorisasi bagi instance Looker (Google Cloud core). Sebagai contoh, langkah-langkah ini akan memandu Anda memperbarui kredensial menggunakan konsol Google Cloud. Google Cloud Jika Anda menggunakan klien lain, sesuaikan langkah-langkahnya.

1. Akses klien OAuth Anda dengan membuka di Google Cloud konsol Google Cloud ke APIs & Services > Credentials, lalu pilih client ID OAuth untuk klien OAuth yang digunakan oleh instance Looker (Google Cloud core).

2. Klik tombol Add URI untuk memperbarui kolom Authorized JavaScript origins di klien OAuth Anda agar menyertakan nama DNS yang sama dengan yang akan digunakan organisasi Anda untuk mengakses Looker (Google Cloud core). Misalnya, jika domain kustom Anda adalah looker.examplepetstore.com, masukkan looker.examplepetstore.com sebagai URI.

   

3. Perbarui atau tambahkan domain kustom ke daftar Authorized redirect URIs untuk kredensial OAuth yang Anda gunakan saat membuat instance Looker (Google Cloud core). Tambahkan /oauth2callback ke akhir URI. Misalnya, jika domain kustom Anda adalah looker.examplepetstore.com, masukkan looker.examplepetstore.com/oauth2callback.

   

Akses publik ke Looker (Google Cloud core)

Setelah menyiapkan domain kustom, langkah berikutnya adalah membuat sertifikat yang ditandatangani sendiri atau sertifikat yang dikelola Google dengan otorisasi DNS. Setelah sertifikat dibuat, Anda dapat men-deploy load balancer aplikasi regional eksternal dengan backend Private Service Connect sebagai layanan backend. Setelah load balancer di-deploy, Anda dapat memperbarui DNS publik dengan domain pelanggan dan alamat IP load balancer sebagai data A.

Peran yang diperlukan

Peran	Deskripsi
Admin Jaringan Compute (roles/compute.networkAdmin)	Memberikan kontrol penuh atas jaringan VPC yang memulai koneksi ke instance Looker (Google Cloud core), termasuk membuat dan mengelola proxy target HTTPS.
Peran Compute Load Balancer Admin (roles/compute.loadBalancerAdmin)	Membuat backend Private Service Connect.
Looker Admin (roles/looker.admin)	Memberikan kontrol penuh atas resource Looker (Google Cloud core), termasuk membuat instance yang diaktifkan untuk Private Service Connect dan membuat domain kustom.
DNS Admin (roles/dns.admin) (opsional)	Memberikan kontrol penuh atas resource Cloud DNS, termasuk zona dan data DNS.
Certificate Manager Owner (roles/certificatemanager.owner) (opsional)	Diperlukan untuk membuat dan mengelola resource Certificate Manager.

Penyiapan jaringan

Komponen jaringan berikut diperlukan:

• Subnet khusus proxy
• Load balancer aplikasi eksternal regional
• Resource sertifikat SSL

Looker (Google Cloud core) yang di-deploy dengan Private Service Connect mendukung grup endpoint jaringan (NEG) Private Service Connect, yang disebut backend, yang terintegrasi dengan Google Cloud load balancer. Lihat codelab Looker PSC Northbound Regional External L7 ALB untuk mengetahui petunjuk cara mengakses instance Looker (Google Cloud core) yang diaktifkan untuk Private Service Connect secara publik menggunakan backend.

Contoh penyiapan jaringan backend Private Service Connect untuk akses publik ditampilkan dalam diagram berikut:

Seperti yang ditunjukkan dalam diagram, klien publik mengakses Looker (Google Cloud core) dengan melakukan pencarian DNS dengan menentukan domain pelanggan Looker (Google Cloud core) yang menampilkan alamat IP load balancer aplikasi regional eksternal sebagai data A. Setelah traffic diterima oleh load balancer, layanan backend (yang terdiri dari backend Private Service Connect) akan terhubung ke lampiran layanan di VPC produsen yang dikelola Google yang menghosting Looker (Google Cloud core). Pastikan jaringan VPC konsumen diizinkan untuk masuk ke instance Looker (Google Cloud core) Anda.

Pemecahan masalah

Saat mengonfigurasi akses masuk ke instance Looker (Google Cloud core) menggunakan backend Private Service Connect, Anda mungkin mengalami masalah saat instance gagal disediakan dengan benar atau load balancer tidak dapat menjangkau layanan backend.

Jika log load balancer Anda menampilkan error failed_to_pick_backend dan no healthy upstream (HTTP 503), dan grup endpoint jaringan (NEG) tetap stuck dalam status pending, langkah-langkah konfigurasi jaringan wajib untuk project konsumen tidak ada. Secara khusus, project konsumen tidak diotorisasi untuk terhubung ke layanan produsen Looker (Google Cloud core), atau resource Lampiran Jaringan tidak dibuat di VPC konsumen.

Untuk mengatasi masalah ini, pastikan Anda menyelesaikan langkah-langkah konfigurasi jaringan wajib berikut:

1. Daftar yang diizinkan VPC: Tambahkan jaringan konsumen ke daftar VPC yang diizinkan untuk koneksi masuk di setelan Looker (Google Cloud core). Menambahkan jaringan ini akan mengotorisasi VPC konsumen untuk membuat koneksi ke layanan produsen Looker (Google Cloud core).
2. Konfigurasi lampiran jaringan: Buat resource lampiran jaringan di VPC konsumen dan kaitkan dengan instance Looker (Google Cloud core).

Langkah berikutnya

• Menghubungkan Looker (Google Cloud core) ke database Anda
• Menyiapkan instance Looker (Google Cloud core) untuk pengguna
• Mengelola pengguna dalam Looker (Google Cloud core)