Private Service Connect-Verbindungen zum neuen Dienstanhang-URI migrieren

Vor Kurzem wurde in Looker (Google Cloud Core) ein neuer Typ von Dienstanhang-URI eingeführt, der globalen Zugriff und von Google verwaltete Zertifikate mit benutzerdefinierten Domains ermöglicht.

Auf dieser Seite finden Sie eine Schritt-für-Schritt-Anleitung zum Migrieren Ihrer vorhandenen Private Service Connect-Endpunkte oder -Back-Ends zum neuen Dienstanhang-URI für Looker (Google Cloud Core).

Wenn Ihre Looker (Google Cloud Core)-Instanz vor der Einführung der erweiterten Dienstanhänge erstellt wurde, muss sie wahrscheinlich migriert werden, um globalen Zugriff und von Google verwaltete Zertifikate verwenden zu können. Prüfen Sie das Looker (Google Cloud Core)-Back-End, um festzustellen, ob Sie die Instanz migrieren müssen.

Hinweis

In dieser Anleitung wird davon ausgegangen, dass Sie eine vorhandene Looker (Google Cloud Core)-Instanz mit einer privaten IP-Konfiguration haben, die Private Service Connect verwendet.

Um zu ermitteln, welchen Typ von Dienstanhang Ihre Instanz verwendet, benötigen Sie die IAM-Rolle „Looker-Betrachter“ (roles/looker.viewer).

In der Private Service Connect-Dokumentation für Endpunkte oder Back-Ends finden Sie Informationen dazu, welche IAM-Rolle(n) Sie benötigen, um Private Service Connect-Endpunkte zu erstellen oder anzusehen oder Cloud DNS für Endpunkte zu konfigurieren.

Dienstanhang-URI ermitteln

Zuerst müssen Sie ermitteln, welchen Typ von Dienstanhang Ihre Instanz verwendet.

  1. Rufen Sie in der Google Google Cloud Cloud Console die Seite Instanzen für Looker (Google Cloud Core) auf.
  2. Klicken Sie auf den Namen Ihrer Instanz, um die Seite Details zu öffnen.

  3. Suchen Sie im Abschnitt Instanzdetails nach dem Looker-Dienstanhang-URI.

    • Wenn der URI ...looker-psc-gateway-HASHSTRING enthält und das Format projects/TENANT_PROJECT/regions/REGION/serviceAttachments/looker-psc-gateway-HASHSTRING hat, verwenden Sie bereits den neuen erweiterten Dienstanhang und müssen nichts weiter tun.
    • Wenn der URI ...looker-psc-HASHSTRING enthält und das Format projects/TENANT_PROJECT/regions/REGION/serviceAttachments/looker-psc-HASHSTRING hat, verwenden Sie das Legacy-Back-End und sollten migrieren.

Migrationsschritte

Um Ihre PSC-Endpunkte zu migrieren, erstellen Sie einen neuen Private Service Connect-Endpunkt, der auf den neuen Dienstanhang-URI verweist, und aktualisieren dann Ihre Netzwerkkonfiguration, um den neuen Endpunkt zu verwenden.

Neuen Dienstanhang-URI abrufen

Wenn die Looker (Google Cloud Core)-Instanz nicht das Gateway-Back-End verwendet, wird der neue Dienstanhang-URI nicht in der Google Cloud Google Cloud Console angezeigt. Sie können ihn jedoch erstellen, indem Sie in Ihrem vorhandenen URI looker-psc durch looker-psc-gateway ersetzen.

Ihr alter URI könnte so aussehen:

projects/t4dd1c6219b22b382p-tp/regions/us-central1/serviceAttachments/looker-psc-2a94bb22-9b8a-4b62-9262-2337a47d15ed

In diesem Fall würde Ihr neuer URI so aussehen:

projects/t4dd1c6219b22b382p-tp/regions/us-central1/serviceAttachments/looker-psc-gateway-2a94bb22-9b8a-4b62-9262-2337a47d15ed

Private Service Connect-Endpunkt

So migrieren Sie einen vorhandenen Private Service Connect-Endpunkt:

  1. Neuen Private Service Connect-Endpunkt erstellen:Ermitteln Sie Ihre vorhandenen Northbound-Verbindungen, indem Sie in der Google Cloud Google Cloud Console das Feld Zulässige VPCs prüfen. Erstellen Sie für jede zulässige Virtual Private Cloud (VPC) einen neuen Private Service Connect-Endpunkt, der auf den im vorherigen Abschnitt erstellten Dienstanhang-URI verweist.

  2. Erstellen Sie eine private Cloud DNS-Zone für die *.private.looker.app Domain.

  3. Neuen Endpunkt testen:Nachdem Sie den Endpunkt erstellt haben, prüfen Sie die Verbindung zu Ihrer Looker (Google Cloud Core)-Instanz. Führen Sie einen curl-Befehl von einer VM im selben VPC-Netzwerk aus, der auf Ihre spezifische *.private.looker.app-Domain ausgerichtet ist (z. B. my-instance.private.looker.app).

    1. Führen Sie auf einer VM in Ihrem VPC-Netzwerk den folgenden curl-Befehl aus:

      curl -v https://your_looker_custom_domain.private.looker.app \
    --resolve your_looker_custom_domain.private.looker.app:443:psc_endpoint_ip_address

      Ersetzen Sie Folgendes:

      • <your_looker_custom_domain.private.looker.app>: die tatsächliche benutzerdefinierte Domain für Ihre Looker-Instanz.
      • <psc_endpoint_ip_address>: die interne IP-Adresse des PSC-Endpunkts in Ihrer VPC.

    2. Wenn der curl-Befehl den Statuscode 200 zurückgibt, funktioniert der neue Endpunkt ordnungsgemäß.

Private Service Connect-Backend

Die empfohlene Konfiguration für Looker (Google Cloud Core) verwendet einen internen Application Load Balancer mit einem Private Service Connect-NEG-Backend (Netzwerk-Endpunktgruppe). Diese Architektur unterstützt benutzerdefinierte Domains und bietet TLS-Terminierung für private Verbindungen.

Wenn Sie eine vorhandene Private Service Connect-NEG zu einer migrieren möchten, die mit einem erweiterten Dienstanhang erstellt wurde, müssen Sie zuerst eine neue Private Service Connect-NEG erstellen, die auf den erweiterten Dienstanhang verweist. Nachdem die NEG erstellt wurde, aktualisieren Sie die Konfiguration des Load-Balancers so:

  1. Rufen Sie in der Google Cloud Console die Seite Load Balancing auf. Google Cloud
  2. Klicken Sie auf den Namen des Load-Balancers und dann auf Bearbeiten.
  3. Rufen Sie die Backend-Konfiguration auf und wählen Sie den Backend-Dienst aus, der Ihrer Looker (Google Cloud Core)-Instanz zugeordnet ist.
  4. Klicken Sie auf Backend-Dienst bearbeiten.
  5. Wählen Sie im Abschnitt Back-Ends im Drop-down-Menü die neue erweiterte Private Service Connect-NEG aus, um die vorhandene Private Service Connect-NEG zu ersetzen.
  6. Klicken Sie auf Fertig.
  7. Klicken Sie auf Aktualisieren.

Neuen Endpunkt testen

Die Aktualisierung des internen Application Load Balancers, die Sie vorgenommen haben, war auf den Backend-Dienst für den erweiterten Dienstanhang ausgerichtet. Daher bleibt die Frontend-Konfiguration, einschließlich der IP-Adresse, Cloud DNS und Zertifikate, unverändert. Nutzer können die Einrichtung jetzt validieren, indem sie über einen Browser auf die Looker (Google Cloud Core)-Instanz zugreifen.

Nächste Schritte

Nachdem Sie die Private Service Connect-Endpunkte Ihrer Instanz migriert haben, können Sie die folgenden neuen Funktionen nutzen:

  • Globaler Zugriff: Erstellen Sie PSC-Endpunkte in einer beliebigen Region, unabhängig davon, wo sich Ihre Looker (Google Cloud Core)-Instanz befindet.
  • Von Google verwaltete Zertifikate: Verwenden Sie die *.private.looker.app Domain für Ihre benutzerdefinierte Domain und lassen Sie Google das SSL-Zertifikat verwalten.