גישה ציבורית נכנסת למופע של Looker (ליבת Google Cloud) באמצעות Private Service Connect

כדי לספק גישה ציבורית נכנסת למופע Looker (Google Cloud core), אפשר להגדיר Private Service Connect עם אימות דומיין בהתאמה אישית. ‫Private Service Connect מספק ללקוחות שתי דרכים להתחבר: באופן פרטי מרשת ה-VPC שלכם, או באופן ציבורי דרך מאזן עומסים חיצוני.

פריסה נפוצה של Looker (Google Cloud core) משתמשת בדומיין מותאם אישית ובקצה עורפי מסוג Private Service Connect עם מאזן עומסים של אפליקציות. ההגדרה הזו משתמשת באימות של אישור דומיין בהתאמה אישית, שעוזר להוסיף שכבת אבטחה ושליטה לגישת המשתמשים. כדי להשתמש בפונקציונליות הזו, צריך להפעיל את Private Service Connect עבור מופע Looker (Google Cloud core) במהלך היצירה שלו.

כשמשתמשים ב-Private Service Connect כדי לגשת ל-Looker (Google Cloud core), אתם צרכני השירות ו-Looker (Google Cloud core) הוא בעלים של שירות מנוהל. כדי לקבל גישה נכנסת ל-Looker (Google Cloud core), צריך להוסיף את ה-VPC של הצרכן כVPC מותר למופע Private Service Connect של Looker (Google Cloud core).

יצירת דומיין מותאם אישית

השלב הראשון אחרי יצירת מופע Looker (Google Cloud core) הוא להגדיר דומיין מותאם אישית ולעדכן את פרטי הכניסה ל-OAuth של המופע. בקטעים הבאים מפורט תהליך ההגדרה.

כשיוצרים דומיין מותאם אישית למופעים של חיבורים פרטיים (Private Service Connect), הדומיין המותאם אישית צריך לעמוד בדרישות הבאות:

  • הדומיין המותאם אישית חייב לכלול לפחות שלושה חלקים, כולל לפחות תת-דומיין אחד. לדוגמה, subdomain.domain.com.
  • אסור שהדומיין המותאם אישית יכיל את התוכן הבא:
    • looker.com
    • google.com
    • googleapis.com
    • gcr.io
    • pkg.dev

הגדרת דומיין מותאם אישית

אחרי שיוצרים את המכונה של Looker (Google Cloud core), אפשר להגדיר דומיין בהתאמה אישית.

לפני שמתחילים

לפני שמתאימים אישית את הדומיין של מופע Looker (Google Cloud core), צריך לזהות איפה מאוחסנות רשומות ה-DNS של הדומיין, כדי שתוכלו לעדכן אותן.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת דומיין בהתאמה אישית למופע של Looker (Google Cloud core), צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Looker Admin (roles/looker.admin) בפרויקט שבו נמצא המופע. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

יצירת דומיין מותאם אישית

כדי להתאים אישית את הדומיין של מופע Looker (Google Cloud core), פועלים לפי השלבים הבאים במסוף Google Cloud :

  1. בדף Instances (מכונות), לוחצים על השם של המכונה שרוצים להגדיר לה דומיין מותאם אישית.
  2. לוחצים על הכרטיסייה דומיין מותאם אישית.

  3. לוחצים על הוספת דומיין מותאם אישית.

    ייפתח החלון הוספת דומיין מותאם אישית חדש.

  4. מזינים את שם המארח (עד 64 תווים) של דומיין האינטרנט שבו רוצים להשתמש, תוך שימוש רק באותיות, במספרים ובמקפים – לדוגמה: looker.examplepetstore.com.

  5. לוחצים על הלחצן המשך.

  6. הקטע עדכון רשומות ה-DNS ייפתח. כתובת ה-IP הציבורית של התנועה הנכנסת מופיעה בשדה Data.

  7. לוחצים על סיום בחלונית הוספת דומיין חדש מותאם אישית כדי לחזור לכרטיסייה דומיין מותאם אישית.

העדכון של הדומיין המותאם אישית נמשך 10 עד 15 דקות.

אחרי שמגדירים את הדומיין המותאם אישית, הוא מוצג בעמודה Domain בכרטיסייה CUSTOM DOMAIN בדף פרטי האירוע של Looker (Google Cloud core) ב Google Cloud מסוף.

אחרי שיוצרים דומיין בהתאמה אישית, אפשר לראות מידע עליו או למחוק אותו.

עדכון פרטי הכניסה של OAuth

  1. כדי לגשת ללקוח OAuth, עוברים במסוף Google Cloud אל APIs & Services > Credentials ובוחרים את מזהה לקוח OAuth של לקוח OAuth שבו נעשה שימוש במופע Looker (Google Cloud core).

  2. לוחצים על הלחצן Add URI (הוספת URI) כדי לעדכן את השדה Authorized JavaScript origins (מקורות מורשים של JavaScript) בלקוח OAuth, כך שיכלול את אותו שם DNS שהארגון ישתמש בו כדי לגשת ל-Looker (Google Cloud core). לדוגמה, אם הדומיין המותאם אישית הוא looker.examplepetstore.com, מזינים looker.examplepetstore.com כ-URI.

  3. מעדכנים או מוסיפים את הדומיין המותאם אישית לרשימת כתובות ה-URI המורשות להפניה אוטומטית עבור פרטי הכניסה של OAuth שבהם השתמשתם כשיצרתם את מופע Looker (Google Cloud core). מוסיפים /oauth2callback בסוף ה-URI. לדוגמה, אם הדומיין המותאם אישית הוא looker.examplepetstore.com, מזינים looker.examplepetstore.com/oauth2callback.

גישה ציבורית ל-Looker (Google Cloud Core)‎

אחרי שמגדירים את הדומיין המותאם אישית, השלב הבא הוא ליצור אישור בחתימה עצמית או אישור בניהול Google עם הרשאת DNS. אחרי שיוצרים את האישור, אפשר לפרוס מאזן עומסים של אפליקציות אזוריות חיצוני עם קצה עורפי מסוג Private Service Connect כשירות לקצה העורפי. אחרי פריסת מאזן העומסים, אפשר לעדכן את ה-DNS הציבורי עם דומיין הלקוח וכתובת ה-IP של מאזן העומסים כרשומת A.

התפקידים הנדרשים

תפקיד

תיאור

אדמין של רשת מחשוב (roles/compute.networkAdmin)

התפקיד הזה נותן שליטה מלאה ברשת ה-VPC שיוזמת חיבור למופע Looker (Google Cloud core), כולל יצירה וניהול של שרת proxy ליעד HTTPS.

התפקיד 'אדמין של מאזן עומסים של Compute' (roles/compute.loadBalancerAdmin)

יוצרים בק-אנדים של Private Service Connect.

אדמין ב-Looker (roles/looker.admin)

התפקיד הזה נותן שליטה מלאה במשאבי Looker (הליבה של Google Cloud), כולל יצירת מופע שמופעל בו Private Service Connect ויצירת דומיין בהתאמה אישית.

אדמין DNS (roles/dns.admin) (אופציונלי)

התפקיד הזה נותן שליטה מלאה במשאבי Cloud DNS, כולל אזורי DNS ורשומות DNS.

בעלים של Certificate Manager (roles/certificatemanager.owner) (אופציונלי)

נדרשת כדי ליצור ולנהל משאבים של Certificate Manager.

הגדרת רשת

נדרשים רכיבי הרשת הבאים:

‫Looker (Google Cloud core) שנפרס באמצעות Private Service Connect תומך בקבוצות של נקודות קצה ברשת (NEGs) מסוג Private Service Connect, שנקראות קצה עורפי, שמשולבות עם Google Cloud מאזני עומסים. ב-Codelab בנושא Looker PSC Northbound Regional External L7 ALB מוסבר איך לגשת באופן ציבורי למופע Looker (Google Cloud core) שמופעל בו Private Service Connect באמצעות בק-אנד.

בתרשים הבא מוצגת דוגמה להגדרת רשת עורפית של Private Service Connect לגישה ציבורית:

ארכיטקטורת הרשת לגישה למכונת Looker (Google Cloud core) ממיקום מקומי באמצעות קצה עורפי.

כפי שמוצג בתרשים, לקוחות ציבוריים ניגשים ל-Looker (Google Cloud core) על ידי ביצוע חיפוש DNS, שבו מציינים את הדומיין של הלקוח ב-Looker (Google Cloud core). החיפוש מחזיר את כתובת ה-IP של מאזן העומסים האזורי החיצוני של האפליקציה כרשומת A. אחרי שמאזן העומסים מקבל תנועה, שירות הקצה העורפי (שכולל את הקצה העורפי של Private Service Connect) מתחבר לקובץ מצורף של שירות ב-VPC של מפיק שמנוהל על ידי Google ומארח את Looker (הליבה של Google Cloud). חשוב לוודא שרשת ה-VPC של הלקוח מאפשרת כניסה למופע Looker (Google Cloud core).

פתרון בעיות

כשמגדירים גישה נכנסת למופע Looker (Google Cloud core) באמצעות קצה עורפי מסוג Private Service Connect, יכול להיות שתיתקלו בבעיות שבהן הקצאת המשאבים של המופע נכשלת או שמאזן העומסים לא מצליח להגיע לשירות העורפי.

אם ביומני מאזן העומסים מופיעות שגיאות failed_to_pick_backend ו-no healthy upstream (HTTP 503), וקבוצת נקודות הקצה ברשת (NEG) נשארת תקועה בסטטוס pending, סימן שחסרים שלבים חיוניים להגדרת הרשת בפרויקט הצרכן. באופן ספציפי, לפרויקט הצרכן אין הרשאה להתחבר לשירות היצרן Looker (ליבת Google Cloud), או שלא נוצר משאב Network Attachment ב-VPC של הצרכן.

כדי לפתור את הבעיות האלה, צריך לוודא שביצעתם את השלבים הבאים של הגדרת הרשת:

  1. הוספה לרשימת ההיתרים של VPC: מוסיפים את רשת הצרכן לרשימת ה-VPC המותרים לחיבורים נכנסים בהגדרות של Looker (Google Cloud core). הוספת הרשת הזו מאשרת לרשת ה-VPC של הצרכן ליצור חיבור לשירות היצרן Looker (ליבת Google Cloud).
  2. הגדרת מחבר רשת: יוצרים משאב של מחבר רשת ב-VPC של הלקוח ומקשרים אותו למופע של Looker (Google Cloud core).

המאמרים הבאים