Migrer les connexions Private Service Connect vers le nouvel URI de rattachement de service

Looker (Google Cloud Core) a récemment lancé un nouveau type d'URI de rattachement de service qui facilite l'accès mondial et les certificats gérés par Google avec des domaines personnalisés.

Cette page fournit un guide pas à pas pour migrer vos points de terminaison ou backends Private Service Connect existants vers le nouvel URI de rattachement de service pour Looker (Google Cloud Core).

Si votre instance Looker (Google Cloud Core) a été créée avant l'introduction des rattachements de service améliorés, elle devra probablement être migrée pour utiliser l'accès mondial et les certificats gérés par Google. Vérifiez le backend Looker (Google Cloud Core) pour déterminer si vous devez migrer l'instance.

Avant de commencer

Ce guide suppose que vous disposez d'une instance Looker (Google Cloud Core) existante avec une configuration d'adresse IP privée qui utilise Private Service Connect.

Pour identifier le type de rattachement de service utilisé par votre instance, vous devez disposer du rôle IAM (Identity and Access Management) Lecteur Looker (roles/looker.viewer).

Consultez la documentation Private Service Connect pour les points de terminaison ou les backends afin de déterminer le ou les rôles IAM dont vous avez besoin pour créer ou afficher des points de terminaison Private Service Connect ou configurer Cloud DNS pour les points de terminaison.

Identifier votre URI de rattachement de service

Vous devez d'abord identifier le type de rattachement de service utilisé par votre instance.

  1. Dans la console Google Google Cloud , accédez à la page Instances de Looker (Google Cloud Core).
  2. Cliquez sur le nom de votre instance pour ouvrir sa page Détails.

  3. Dans la section Détails de l'instance, recherchez l'URI de rattachement de service Looker.

    • Si l'URI contient ...looker-psc-gateway-HASHSTRING et est au format projects/TENANT_PROJECT/regions/REGION/serviceAttachments/looker-psc-gateway-HASHSTRING, vous utilisez déjà le nouveau rattachement de service amélioré et aucune autre action n'est requise.
    • Si l'URI contient ...looker-psc-HASHSTRING et est au format projects/TENANT_PROJECT/regions/REGION/serviceAttachments/looker-psc-HASHSTRING, vous utilisez l'ancien backend et devez effectuer la migration.

Procédure de migration

Pour migrer vos points de terminaison PSC, vous allez créer un point de terminaison Private Service Connect qui pointe vers le nouvel URI de rattachement de service, puis mettre à jour la configuration de votre réseau pour utiliser le nouveau point de terminaison.

Obtenir le nouvel URI de rattachement de service

Si l'instance Looker (Google Cloud Core) n'utilise pas le backend Gateway, le nouvel URI de rattachement de service ne s'affiche pas dans la Google Cloud console Google. Toutefois, vous pouvez le créer en remplaçant looker-psc par looker-psc-gateway dans votre URI existant.

Votre ancien URI peut ressembler à l'exemple suivant :

projects/t4dd1c6219b22b382p-tp/regions/us-central1/serviceAttachments/looker-psc-2a94bb22-9b8a-4b62-9262-2337a47d15ed

Dans ce cas, votre nouvel URI se présentera comme suit :

projects/t4dd1c6219b22b382p-tp/regions/us-central1/serviceAttachments/looker-psc-gateway-2a94bb22-9b8a-4b62-9262-2337a47d15ed

Point de terminaison Private Service Connect

Pour migrer un point de terminaison Private Service Connect existant, procédez comme suit :

  1. Créez un point de terminaison Private Service Connect : identifiez vos connexions sortantes existantes en examinant le champ VPC autorisés dans la Google Cloud console Google. Pour chaque cloud privé virtuel (VPC) autorisé, créez un nouveau point de terminaison Private Service Connect qui cible l'URI de rattachement de service créé dans la section précédente.

  2. Créez une zone Cloud DNS privée pour le domaine *.private.looker.app.

  3. Testez le nouveau point de terminaison : une fois le point de terminaison créé, vérifiez la connectivité à votre instance Looker (Google Cloud Core). Exécutez une commande curl à partir d'une VM située dans le même réseau VPC, en ciblant votre domaine *.private.looker.app spécifique (par exemple, my-instance.private.looker.app).

    1. À partir d'une VM de votre réseau VPC, exécutez la commande curl suivante :

      curl -v https://your_looker_custom_domain.private.looker.app \
    --resolve your_looker_custom_domain.private.looker.app:443:psc_endpoint_ip_address

      Remplacez les éléments suivants :

      • <your_looker_custom_domain.private.looker.app> : domaine personnalisé réel de votre instance Looker.
      • <psc_endpoint_ip_address> : adresse IP interne du point de terminaison PSC dans votre VPC.

    2. Si la commande curl renvoie un code d'état 200, le nouveau point de terminaison fonctionne correctement.

Backend Private Service Connect

La configuration recommandée pour Looker (Google Cloud Core) utilise un équilibreur de charge d'application interne avec un backend de groupe de points de terminaison du réseau (NEG) Private Service Connect. Cette architecture est compatible avec les domaines personnalisés et fournit une terminaison TLS pour les connexions privées.

Pour migrer un NEG Private Service Connect existant vers un NEG créé avec un rattachement de service amélioré, vous devez d'abord créer un NEG Private Service Connect qui cible le rattachement de service amélioré. Une fois le NEG créé, mettez à jour la configuration de votre équilibreur de charge comme suit :

  1. Dans la Google Cloud console Google, accédez à la page Équilibrage de charge.
  2. Cliquez sur le nom de votre équilibreur de charge, puis sur Modifier.
  3. Accédez à Configuration du backend et sélectionnez le service de backend associé à votre instance Looker (Google Cloud Core).
  4. Cliquez sur Modifier le service de backend.
  5. Dans la section Backends, sélectionnez le nouveau NEG Private Service Connect amélioré dans le menu déroulant pour remplacer le NEG Private Service Connect existant.
  6. Cliquez sur Terminé.
  7. Cliquez sur Mettre à jour.

Tester le nouveau point de terminaison

La mise à jour de l'équilibreur de charge d'application interne que vous avez effectuée ciblait le service de backend pour le rattachement de service amélioré. Par conséquent, la configuration du frontend, y compris l'adresse IP, Cloud DNS et les certificats, reste inchangée. Les utilisateurs peuvent désormais valider la configuration en accédant à l'instance Looker (Google Cloud Core) à l'aide d'un navigateur.

Étape suivante

Après avoir migré les points de terminaison Private Service Connect de votre instance, vous pouvez profiter des nouvelles fonctionnalités suivantes :

  • Accès mondial : créez des points de terminaison PSC dans n'importe quelle région, quel que soit l'emplacement de votre instance Looker (Google Cloud Core).
  • Certificats gérés par Google : utilisez le domaine *.private.looker.app pour votre domaine personnalisé et laissez Google gérer le certificat SSL.