Looker（Google Cloud コア）で Private Service Connect を使用する

Private Service Connect を使用して、プライベート接続の Looker（Google Cloud コア）インスタンスにアクセスしたり、プライベート接続の Looker（Google Cloud コア）インスタンスを他の内部サービスまたは外部サービスに接続したりできます。Private Service Connect を使用するには、Looker（Google Cloud コア）インスタンスが次の条件を満たしている必要があります。

Private Service Connect を使用すると、インバウンド アクセスを使用して Looker（Google Cloud コア）へのエンドポイントまたはバックエンドが可能になります。ネットワーク エンドポイント グループ（NEG）は、Private Service Connect サービス プロデューサーとして公開されると、Looker（Google Cloud コア）がアウトバウンドのオンプレミス リソース、マルチクラウド環境、VPC ワークロード、またはインターネット サービスにアクセスできるようにします。

Private Service Connect の詳細については、動画「Private Service Connect とは」と「Private Service Connect と Service Directory: クラウドでアプリケーションを接続する革新的な方法」をご覧ください。

サービスの接続

Private Service Connect を使用するように有効になっている Looker（Google Cloud コア）インスタンスを作成すると、Looker（Google Cloud コア）はインスタンスのサービス アタッチメントを自動的に作成します。サービス アタッチメントは、VPC ネットワークがインスタンスへのアクセスに使用するアタッチメント ポイントです。サービス アタッチメントには、接続に使用される URI があります。この URI は、 Google Cloud コンソールのインスタンス構成ページの[**詳細**]タブで確認できます。

次に、別の VPC ネットワークがサービス アタッチメントに接続するために使用する Private Service Connect バックエンドを作成します。これにより、ネットワークが Looker（Google Cloud コア）インスタンスにアクセスできるようになります。

サービス アタッチメントの更新

グローバル アクセスや Google マネージド証明書などの新機能を有効にするには、インスタンスのインバウンド Private Service Connect エンドポイントまたはバックエンドが、更新されたサービス アタッチメントを指している必要があります。詳細と手順については、Private Service Connect 接続を新しいサービス アタッチメント URI に移行するのドキュメント ページをご覧ください。

グローバル アクセスの使用

更新された Private Service Connect サービス アタッチメント URI を使用する Looker（Google Cloud コア）インスタンスは、グローバル アクセスをサポートしています。グローバル アクセスを使用すると、Looker（Google Cloud コア）インスタンスとは異なるリージョンに Private Service Connect エンドポイントを作成できます。たとえば、インスタンスが us-central1 にある場合は、us-west1 に Private Service Connect ネットワーク エンドポイント グループ（NEG）を使用してロードバランサを作成し、インスタンスにアクセスできます。

この機能を有効にするには、Private Service Connect バックエンドまたはエンドポイントの転送ルールで [グローバル アクセスを有効にする] を選択します。

インバウンド アクセス

インバウンド アクセスは、クライアントから Looker（Google Cloud コア）へのルーティングの構成に関するものです。Private Service Connect でデプロイされた Looker（Google Cloud コア）は、インバウンド アクセスのバックエンド接続をサポートしています。

Private Service Connect を使用すると、トラフィックをエンドポイントとバックエンドに送信して、Looker（Google Cloud コア）に転送できます。

Looker（Google Cloud コア）の Private Service Connect インスタンスには、サービス ユーザーが外部リージョン アプリケーション ロードバランサを介してアクセスできます。また、Private Service Connect バックエンド経由で非公開でアクセスすることもできます。ただし、Looker（Google Cloud コア）は 1 つのカスタムドメインをサポートしているため、Looker（Google Cloud コア）インスタンスへのインバウンド アクセスは、パブリックまたはプライベートのいずれかである必要があります。パブリックとプライベートの両方にはできません。

バックエンド

バックエンドは、ネットワーク エンドポイント グループ（NEG）を使用してデプロイされます。これにより、ユーザーはトラフィックが Private Service Connect サービスに到達する前に、パブリック トラフィックとプライベート トラフィックをロードバランサに転送できます。また、証明書の終了も提供されます。ロードバランサを使用すると、バックエンドで次のオプションを使用できます。

  • 可観測性（すべての接続がログに記録される）
  • Cloud Armor の統合
  • URL のプライベート ラベル付けとクライアントサイドの証明書
  • リクエストのデコレーション（カスタム リクエスト ヘッダーの追加）

カスタム ドメインで Google マネージド証明書を使用する

*.private.looker.app 形式を使用するカスタム ドメインに Google マネージド証明書を使用できるようになりました。これを行うには、カスタム ドメイン（my-instance.private.looker.app など）が PSC エンドポイントの IP アドレスを指すようにプライベート DNS を構成します。

*.private.looker.app ドメインの証明書は Google によって管理されるため、独自の証明書を作成または管理する必要はありません。

他のカスタム ドメインを引き続き使用できますが、独自の証明書を管理して提供する必要があります。詳細については、Google マネージド証明書でカスタム ドメインを使用するのドキュメント ページをご覧ください。

アウトバウンド サービスにアクセスする

Looker（Google Cloud コア）は、VPC、マルチクラウド ネットワーク、またはインターネット内の他のサービスとの通信を確立するときに、サービス ユーザーとして機能します。Looker（Google Cloud コア）からこれらのサービスに接続することは、アウトバウンド トラフィックと見なされます。

使用可能なポート 443 または 8443 で標準ウェブ プロトコル HTTPS を使用する外部サービスに接続する場合は、Looker（Google Cloud コア）の 制御されたネイティブ下り（外向き）と [**グローバル FQDN**] 設定を使用して接続を設定できます。ただし、外部サービスが異なるプロトコルを使用している場合は、Private Service Connect を使用してその外部サービスを公開して、ローカル FQDN を使用して Looker（Google Cloud コア）インスタンスに接続できるようにする必要があります。

公開サービスに接続する手順は次のとおりです。

  1. サービスが公開されていることを確認します。一部のサービスでは、この処理が自動的に行われます。たとえば、Cloud SQL では、Private Service Connect を有効にしてインスタンスを作成できます。 Google Cloud それ以外の場合は、Private Service Connect を使用してサービスを公開する手順に沿って操作し、Looker（Google Cloud コア）の手順の追加ガイダンスを参照してください。
  2. Looker（Google Cloud コア）からサービスへのアウトバウンド（下り）接続を指定します。

Private Service Connect でサービスにアクセスする場合は、ハイブリッド接続 NEG またはインターネット NEG を使用できます。

Private Service Connect は、ロードバランサとハイブリッド NEG またはインターネット NEG を介して Looker（Google Cloud コア）をサービスに接続します。

  • ハイブリッド接続性 NEG は、オンプレミス エンドポイントやマルチクラウド エンドポイントなどのプライベート エンドポイントへのアクセスを提供します。ハイブリッド接続性 NEG は、ロードバランサのバックエンドとして構成された IP アドレスとポートの組み合わせです。Cloud Router と同じ VPC 内にデプロイされます。このデプロイにより、VPC 内のサービスは、Cloud VPN や Cloud Interconnect などのハイブリッド接続を介してルーティング可能なエンドポイントに到達できます。

  • インターネット NEG は、パブリック エンドポイント（GitHub エンドポイントなど）へのアクセスを提供します。インターネット NEG は、ロードバランサの外部バックエンドを指定します。インターネット NEG で参照されるこの外部バックエンドには、インターネット経由でアクセスできます。

Looker（Google Cloud コア）から任意のリージョンのサービス プロデューサーへのアウトバウンド接続を確立できます。たとえば、us-west1 と us-east4 リージョンに Cloud SQL Private Service Connect インスタンスがある場合は、us-central1 にデプロイされた Looker（Google Cloud コア）Private Service Connect インスタンスからアウトバウンド接続を作成できます。

一意のドメイン名を持つ 2 つのリージョン サービス アタッチメントは、次のように指定されます。--region フラグは Looker（Google Cloud コア）Private Service Connect インスタンスのリージョンを参照しますが、Cloud SQL インスタンスのリージョンはサービス アタッチメント URI に含まれています。

gcloud looker instances update looker-psc-instance \
--psc-service-attachment domain=sql.database1.com,attachment=projects/123/regions/us-west1/serviceAttachments/sql-database1-svc-attachment --region=us-central1 \
--psc-service-attachment domain=sql.database2.com,attachment=projects/123/regions/us-east4/serviceAttachment/sql-database2-svc-attachment --region=us-central1

Google マネージド サービス以外のアウトバウンド アクセスでは、リージョン間通信を許可するために、プロデューサー ロードバランサで グローバル アクセス を有効にする必要があります。

次のステップ