Migrazione delle connessioni Private Service Connect al nuovo URI del collegamento al servizio

Di recente, Looker (Google Cloud core) ha rilasciato un nuovo tipo di URI del collegamento al servizio che facilita l'accesso globale e i certificati gestiti da Google con domini personalizzati.

Questa pagina fornisce una guida passo passo per la migrazione degli endpoint o dei backend Private Service Connect esistenti al nuovo URI del collegamento al servizio per Looker (Google Cloud core).

Se l'istanza di Looker (Google Cloud core) è stata creata prima dell'introduzione dei collegamenti al servizio avanzati, è probabile che debba essere sottoposta a questa migrazione per utilizzare l'accesso globale e i certificati gestiti da Google. Controlla il backend di Looker (Google Cloud core) per determinare se devi eseguire la migrazione dell'istanza.

Prima di iniziare

Questa guida presuppone che tu abbia un'istanza di Looker (Google Cloud core) esistente con una configurazione IP privata che utilizza Private Service Connect.

Per identificare il tipo di collegamento al servizio utilizzato dall'istanza, devi disporre del ruolo IAM (Identity and Access Management) Looker Viewer (roles/looker.viewer).

Consulta la documentazione di Private Service Connect per gli endpoint o i backend per determinare quali ruoli IAM devi creare o visualizzare gli endpoint Private Service Connect o configurare Cloud DNS per gli endpoint.

Identificare l'URI del collegamento al servizio

Innanzitutto, devi identificare il tipo di collegamento al servizio utilizzato dall'istanza.

  1. Nella console Google Cloud, vai alla pagina Istanze di Looker (Google Cloud core). Google Cloud
  2. Fai clic sul nome dell'istanza per aprire la pagina Dettagli.

  3. Nella sezione Dettagli istanza, cerca l'URI del collegamento al servizio Looker.

    • Se l'URI contiene ...looker-psc-gateway-HASHSTRING ed è nel formato projects/TENANT_PROJECT/regions/REGION/serviceAttachments/looker-psc-gateway-HASHSTRING, stai già utilizzando il nuovo collegamento al servizio avanzato e non è necessaria alcuna ulteriore azione.
    • Se l'URI contiene ...looker-psc-HASHSTRING ed è nel formato projects/TENANT_PROJECT/regions/REGION/serviceAttachments/looker-psc-HASHSTRING, stai utilizzando il backend legacy e devi eseguire la migrazione.

Passi per la migrazione

Per eseguire la migrazione degli endpoint PSC, devi creare un nuovo endpoint Private Service Connect che rimandi al nuovo URI del collegamento al servizio e poi aggiornare la configurazione di rete per utilizzare il nuovo endpoint.

Recuperare il nuovo URI del collegamento al servizio

Se l'istanza di Looker (Google Cloud core) non utilizza il backend del gateway, il nuovo URI del collegamento al servizio non viene visualizzato nella Google Cloud console Google Cloud. Tuttavia, puoi costruirlo sostituendo looker-psc con looker-psc-gateway nell'URI esistente.

Il vecchio URI potrebbe essere simile al seguente esempio:

projects/t4dd1c6219b22b382p-tp/regions/us-central1/serviceAttachments/looker-psc-2a94bb22-9b8a-4b62-9262-2337a47d15ed

In questo caso, il nuovo URI sarà simile al seguente:

projects/t4dd1c6219b22b382p-tp/regions/us-central1/serviceAttachments/looker-psc-gateway-2a94bb22-9b8a-4b62-9262-2337a47d15ed

Endpoint Private Service Connect

Per eseguire la migrazione di un endpoint Private Service Connect esistente:

  1. Crea un nuovo endpoint Private Service Connect:identifica le connessioni in ingresso esistenti esaminando il campo VPC consentiti nella Google Cloud console Google Cloud. Per ogni Virtual Private Cloud (VPC) consentito, crea un nuovo endpoint Private Service Connect che abbia come target l'URI del collegamento al servizio creato nella sezione precedente.

  2. Crea una zona Cloud DNS Cloud per il dominio *.private.looker.app.

  3. Testa il nuovo endpoint:dopo aver creato l'endpoint, verifica la connettività all'istanza di Looker (Google Cloud core). Esegui un comando curl da una VM che si trova nella stessa rete VPC, indirizzando il dominio *.private.looker.app specifico (ad esempio, my-instance.private.looker.app).

    1. Da una VM nella rete VPC, esegui il seguente comando curl:

      curl -v https://your_looker_custom_domain.private.looker.app \
    --resolve your_looker_custom_domain.private.looker.app:443:psc_endpoint_ip_address

      Sostituisci quanto segue:

      • <your_looker_custom_domain.private.looker.app>: il dominio personalizzato effettivo per l'istanza di Looker.
      • <psc_endpoint_ip_address>: l'indirizzo IP interno dell'endpoint PSC nel VPC.

    2. Se il comando curl restituisce un codice di stato 200, il nuovo endpoint funziona correttamente.

Backend Private Service Connect

La configurazione consigliata per Looker (Google Cloud core) utilizza un bilanciatore del carico delle applicazioni interno con un backend del gruppo di endpoint di rete (NEG) Private Service Connect. Questa architettura supporta i domini personalizzati e fornisce la terminazione TLS per le connessioni private.

Per eseguire la migrazione di un NEG Private Service Connect esistente a uno creato con un collegamento al servizio avanzato, devi prima creare un nuovo NEG Private Service Connect che abbia come target il collegamento al servizio avanzato. Una volta creato il NEG, aggiorna la configurazione del bilanciatore del carico come segue:

  1. Nella Google Cloud console Google Cloud, vai alla pagina Bilanciamento del carico.
  2. Fai clic sul nome del bilanciatore del carico e poi su Modifica.
  3. Vai a Configurazione backend e seleziona il servizio di backend associato all'istanza di Looker (Google Cloud core).
  4. Fai clic su Modifica servizio di backend.
  5. Nella sezione Backend, seleziona il nuovo NEG Private Service Connect avanzato dal menu a discesa per sostituire il NEG Private Service Connect esistente.
  6. Fai clic su Fine.
  7. Fai clic su Aggiorna.

Testare il nuovo endpoint

L'aggiornamento del bilanciatore del carico delle applicazioni interno che hai eseguito ha come target il servizio di backend per il collegamento al servizio avanzato. Di conseguenza, la configurazione frontend, inclusi l'indirizzo IP, Cloud DNS e i certificati, rimane invariata. Gli utenti possono ora convalidare la configurazione accedendo all'istanza di Looker (Google Cloud core) utilizzando un browser.

Passaggi successivi

Dopo aver eseguito la migrazione degli endpoint Private Service Connect dell'istanza, puoi usufruire delle seguenti nuove funzionalità:

  • Accesso globale: crea endpoint PSC in qualsiasi regione, indipendentemente dalla posizione dell'istanza di Looker (Google Cloud core).
  • Certificati gestiti da Google: utilizza il dominio *.private.looker.app per il tuo dominio personalizzato e lascia che Google gestisca il certificato SSL.