Akses masuk pribadi ke instance Looker (Google Cloud core) menggunakan Private Service Connect

Catatan: Halaman dokumentasi ini ditujukan untuk instance Looker (Google Cloud core) yang menggunakan Private Service Connect dan memiliki konfigurasi koneksi pribadi. Jika instance menggunakan Private Service Connect dan dikonfigurasi untuk menggunakan koneksi hybrid, gunakan URL web untuk mendapatkan akses masuk.

Untuk menggunakan Private Service Connect dengan Looker (Google Cloud core), instance Looker (Google Cloud core) harus diaktifkan untuk menggunakan Private Service Connect selama pembuatan instance.

Halaman dokumentasi ini menjelaskan cara menggunakan Private Service Connect untuk mengonfigurasi perutean dari klien ke Looker (Google Cloud core), yang juga disebut traffic masuk.

Private Service Connect memungkinkan konsumen mengakses layanan terkelola secara pribadi dari dalam jaringan VPC mereka, melalui jaringan hybrid, atau secara publik saat di-deploy dengan load balancer aplikasi regional eksternal. Layanan ini memungkinkan produsen layanan terkelola menghosting layanan ini di jaringan VPC masing-masing yang terpisah dan menawarkan koneksi pribadi atau publik kepada konsumen mereka.

Saat Anda menggunakan Private Service Connect untuk mengakses Looker (Google Cloud core), Anda adalah konsumen layanan, dan Looker (Google Cloud core) adalah produsen layanan. Akses masuk ke Looker (Google Cloud core) mengharuskan VPC konsumen ditambahkan sebagai VPC yang diizinkan untuk instance Private Service Connect Looker (Google Cloud core).

Dokumentasi ini menjelaskan cara menyiapkan dan mengonfigurasi domain kustom, serta memberikan panduan tentang cara mengakses Looker (Google Cloud core) menggunakan endpoint untuk konektivitas pribadi.

Deployment yang direkomendasikan untuk mengakses Looker (Google Cloud core) adalah melalui load balancer aplikasi dengan backend. Penyiapan ini juga memungkinkan autentikasi sertifikat domain kustom, yang menambahkan lapisan keamanan dan kontrol tambahan untuk akses pengguna.

Membuat domain kustom

Langkah pertama setelah instance Looker (Google Cloud core) dibuat adalah menyiapkan domain kustom dan memperbarui kredensial OAuth untuk instance tersebut. Bagian berikutnya akan memandu Anda melalui proses ini.

Saat Anda membuat domain kustom untuk instance koneksi pribadi (Private Service Connect), domain kustom harus memenuhi persyaratan berikut:

• Domain kustom harus terdiri dari setidaknya tiga bagian, termasuk setidaknya satu subdomain. Misalnya, subdomain.domain.com.
• Domain kustom tidak boleh berisi salah satu hal berikut:
  • looker.com
  • google.com
  • googleapis.com
  • gcr.io
  • pkg.dev

Menyiapkan domain kustom

Setelah instance Looker (Google Cloud core) dibuat, Anda dapat menyiapkan domain kustom.

Sebelum memulai

Catatan: Domain kustom tidak dapat dibuat menggunakan domain looker.com.

Sebelum dapat menyesuaikan domain instance Looker (Google Cloud core), identifikasi tempat data DNS domain Anda disimpan, sehingga Anda dapat memperbaruinya.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan guna membuat domain kustom untuk instance Looker (Google Cloud core), minta administrator untuk memberi Anda peran IAM Looker Admin (roles/looker.admin) di project tempat instance berada. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Membuat domain kustom

Catatan: Anda tidak dapat mengubah domain kustom setelah dibuat. Jika ingin mengubah domain kustom, Anda harus menghapus domain kustom yang ada dan membuat domain kustom baru.

Di Google Cloud Konsol, ikuti langkah-langkah berikut untuk menyesuaikan domain instance Looker (Google Cloud core):

1. Di halaman Instances, klik nama instance yang ingin Anda siapkan domain kustomnya.
2. Klik tab Custom domain.

3. Klik Add a custom domain.

   

   Tindakan ini akan membuka panel Add a new custom domain.

4. Dengan hanya menggunakan huruf, angka, dan tanda hubung, masukkan nama host hingga 64 karakter untuk domain web yang ingin Anda gunakan — misalnya: looker.examplepetstore.com.

   

5. Klik tombol Continue.

6. Bagian Update your DNS records akan terbuka. IP publik ingress tercantum di kolom Data.

7. Klik DONE di panel Add a new custom domain untuk kembali ke tab CUSTOM DOMAIN.

Memperbarui domain kustom memerlukan waktu 10 hingga 15 menit.

Catatan: Untuk instance yang hanya menggunakan jaringan pribadi, status di tab CUSTOM DOMAIN mungkin tetap Unverified karena Google tidak dapat memverifikasi data DNS pribadi atau menjangkau alamat IP internal untuk instance Anda. Meskipun statusnya Unverified, Anda tetap dapat menggunakan domain kustom.

Setelah domain kustom Anda disiapkan, domain tersebut akan ditampilkan di kolom Domain pada tab CUSTOM DOMAIN di halaman detail instance Looker (Google Cloud core) di Google Cloud Konsol.

Setelah domain kustom dibuat, Anda dapat melihat informasi tentang domain tersebut, atau menghapusnya.

Memperbarui kredensial OAuth

Catatan: Anda dapat menggunakan klien OAuth apa pun untuk membuat kredensial otorisasi untuk instance Looker (Google Cloud core). Sebagai contoh, langkah-langkah ini akan memandu Anda memperbarui kredensial menggunakan Google Cloud Konsol. Jika Anda menggunakan klien lain, sesuaikan langkah-langkahnya.

1. Akses klien OAuth Anda dengan membuka di Google Cloud Konsol ke APIs & Services > Credentials, lalu pilih client ID OAuth untuk klien OAuth yang digunakan oleh instance Looker (Google Cloud core) Anda.

2. Klik tombol Add URI untuk memperbarui kolom Authorized JavaScript origins di klien OAuth Anda agar menyertakan nama DNS yang sama yang akan digunakan organisasi Anda untuk mengakses Looker (Google Cloud core). Misalnya, jika domain kustom Anda adalah looker.examplepetstore.com, masukkan looker.examplepetstore.com sebagai URI.

   

3. Perbarui atau tambahkan domain kustom ke daftar Authorized redirect URIs untuk kredensial OAuth yang Anda gunakan saat membuat instance Looker (Google Cloud core). Tambahkan /oauth2callback ke akhir URI. Misalnya, jika domain kustom Anda adalah looker.examplepetstore.com, masukkan looker.examplepetstore.com/oauth2callback.

   

Akses pribadi ke Looker (Google Cloud core)

Setelah Anda menyiapkan domain kustom, untuk mengakses instance dari lokal atau dari lingkungan penyedia cloud lain (dengan kata lain, melalui jaringan hybrid), komponen jaringan berikut diperlukan:

• Cloud Router
• Produk jaringan hybrid, seperti HA-VPN, Cloud Interconnect, dan SD-WAN
• DNS lokal atau Cloud DNS
• Subnet khusus proxy
• Load balancer aplikasi internal
• Resource sertifikat SSL

Looker (Google Cloud core) yang di-deploy dengan Private Service Connect mendukung grup endpoint jaringan Private Service Connect, yang disebut backend, yang terintegrasi dengan Cloud Load Balancing. Lihat codelab Looker PSC Northbound Regional Internal L7 ALB untuk mengetahui petunjuk cara mengakses instance Looker (Google Cloud core) yang diaktifkan untuk Private Service Connect secara pribadi menggunakan backend.

Contoh penyiapan jaringan backend Private Service Connect ditampilkan dalam diagram berikut:

Menyiapkan DNS

Saat menyiapkan DNS, Anda dapat menggunakan salah satu dari dua opsi berikut:

• Perbarui DNS lokal agar bersifat otoritatif untuk domain kustom Looker (Google Cloud core) yang dipetakan ke alamat IP endpoint Private Service Connect.
• Buat zona pribadi Cloud DNS, buat kumpulan data menggunakan alamat IP yang dialokasikan untuk endpoint Private Service Connect, dan aktifkan penerusan DNS masuk agar VPC Anda bersifat otoritatif untuk domain kustom Looker (Google Cloud core) yang dipetakan ke alamat IP endpoint Private Service Connect.

Menyisipkan header respons keamanan kustom

Saat Anda menyematkan Looker (Google Cloud core) dengan Private Service Connect ke dalam aplikasi eksternal, pemindaian keamanan penilaian kerentanan dan pengujian penetrasi (VAPT) dapat menandai header respons keamanan wajib yang tidak ada, seperti Referrer-Policy, Permissions-Policy, atau Cross-Origin-Resource-Policy (CORP).

Untuk menerapkan kebijakan keamanan kustom dan lulus pemindaian VAPT, ikuti langkah-langkah berikut untuk menggunakan load balancer aplikasi di depan koneksi Private Service Connect Looker (Google Cloud core) guna menyisipkan header respons yang diperlukan:

1. Di Google Cloud Konsol, buka halaman Load balancing.

   Buka Load balancing

2. Klik nama load balancer yang terkait dengan instance Looker (Google Cloud core) Anda, lalu klik Edit.

3. Buka Backend configuration dan pilih layanan backend yang terikat ke NEG Private Service Connect Looker (Google Cloud core) Anda.

4. Di bagian Advanced configurations, gunakan fitur Custom response headers untuk menambahkan header yang diperlukan (misalnya, Cross-Origin-Resource-Policy: same-origin atau Referrer-Policy: no-referrer).

Pemecahan masalah

Saat mengonfigurasi akses masuk ke instance Looker (Google Cloud core) menggunakan backend Private Service Connect, Anda mungkin mengalami masalah saat instance gagal disediakan dengan berhasil atau load balancer tidak dapat menjangkau layanan backend.

Jika log load balancer Anda menampilkan error failed_to_pick_backend dan no healthy upstream (HTTP 503), dan grup endpoint jaringan (NEG) tetap stuck dalam status pending, langkah-langkah konfigurasi jaringan wajib untuk project konsumen tidak ada. Secara khusus, project konsumen tidak diizinkan untuk terhubung ke layanan produsen Looker (Google Cloud core), atau resource Network Attachment tidak dibuat di VPC konsumen.

Untuk mengatasi masalah ini, pastikan Anda menyelesaikan langkah-langkah konfigurasi jaringan wajib berikut di project konsumen:

1. Project allowlisting: Tambahkan project konsumen ke daftar Allowed VPCs dari lampiran layanan Looker (Google Cloud core). Penambahan ini mengizinkan VPC konsumen untuk membuat koneksi ke layanan produsen Looker (Google Cloud core).
2. Konfigurasi lampiran jaringan: Buat resource Lampiran Jaringan di VPC konsumen dan kaitkan dengan instance Looker (Google Cloud core).

Langkah berikutnya

• Menghubungkan Looker (Google Cloud core) ke database Anda
• Menyiapkan instance Looker (Google Cloud core) untuk pengguna
• Mengelola pengguna dalam Looker (Google Cloud core)