Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

建立 Looker (Google Cloud Core) Private Service Connect 執行個體

建立 Looker (Google Cloud Core) 執行個體時，請啟用 Private Service Connect，確保正式或非正式環境的連線安全且不公開。您可以使用 Google Cloud 控制台、gcloud CLI 或 Terraform 設定執行個體。如需其他連線選項，請參閱公開安全連線或私人服務存取權的說明文件。

Looker (Google Cloud Core) 執行個體必須符合下列條件，才能啟用 Private Service Connect：

Looker (Google Cloud Core) 執行個體必須是新的。Private Service Connect 只能在建立執行個體時啟用。
執行個體版本必須是 Enterprise (core-enterprise-annual) 或 Embed (core-embed-annual)。

事前準備

與銷售人員合作，確保年約已完成，且專案已分配配額。
請確認您已為 Google Cloud 專案啟用計費功能。
在 Google Cloud 控制台的專案選取器頁面，選取要建立 Private Service Connect 執行個體的專案。
前往專案選取器
在 Google Cloud 控制台中，為專案啟用 Looker API。啟用 API 時，您可能需要重新整理控制台頁面，確認 API 已啟用。
啟用 API

注意：如果在建立執行個體後停用 Looker API，會影響 Looker (Google Cloud Core) 功能。舉例來說，停用 API 後，就無法建立執行個體備份。
設定 OAuth 用戶端並建立授權憑證。OAuth 用戶端可讓您驗證及存取執行個體。您必須設定 OAuth，才能建立 Looker (Google Cloud Core) 執行個體，即使您使用其他驗證方式驗證使用者身分，也必須完成這項設定。
如要搭配使用 VPC Service Controls 或客戶自行管理的加密金鑰 (CMEK) 與您建立的 Looker (Google Cloud Core) 執行個體，則須在建立執行個體前完成額外設定。建立執行個體時，可能也需要進行其他版本和網路設定。

必要的角色

如要取得建立 Looker (Google Cloud Core) 執行個體所需的權限，請要求管理員針對執行個體所在的專案，授予您 Looker 管理員 (roles/looker.admin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

您可能也需要其他 IAM 角色，才能設定 VPC Service Controls 或客戶自行管理的加密金鑰 (CMEK)。如要瞭解詳情，請參閱這些功能的說明文件頁面。

建立 Private Service Connect 執行個體

主控台

在 Google Cloud 控制台的專案中，前往 Looker (Google Cloud Core) 產品頁面。如果已在這項專案建立 Looker (Google Cloud Core) 執行個體，「執行個體」頁面就會開啟。
前往「Looker (Google Cloud Core)」
點選「建立執行個體」。
在「執行個體名稱」部分，提供 Looker (Google Cloud Core) 執行個體的名稱。執行個體名稱不會與 Looker (Google Cloud Core) 執行個體建立後的網址建立關聯。執行個體建立後，即無法變更名稱。
在「區域」部分，從下拉式選單選取適當選項，託管 Looker (Google Cloud Core) 執行個體。選取與訂閱合約相符的區域，因為會在這裡分配專案配額。如要查看可用區域，請參閱 Looker (Google Cloud Core) 位置說明文件頁面。

執行個體建立後，即無法變更區域。
在「Edition」(版本) 區段中，選擇「Enterprise」或「Embed」(正式版或非正式版) 版本選項。版本類型會影響執行個體可用的部分功能。請務必選擇年約中列出的版本類型，並確認您已為該版本類型分配配額。
- Enterprise：Looker (Google Cloud Core) 平台，具備強化版安全防護功能，適用於多種內部商業智慧 (BI) 和數據分析用途
- Embed：Looker (Google Cloud Core) 平台，適合大規模部署及維護可靠的外部數據分析和自訂應用程式
- 非正式環境版本：如需測試和預備環境，請選取其中一個非正式環境版本。詳情請參閱「非正式環境執行個體」說明文件。
- 試用版：試用版的功能支援與對應的正式版相同，但試用版的有效期限為 90 天。
執行個體建立後即無法變更版本。如要變更版本，可以使用匯入和匯出功能，將 Looker (Google Cloud Core) 執行個體資料，移至設定為其他版本的新執行個體。

提示： 如果專案沒有配額，就無法選取版本類型。如要為專案分配配額，請洽詢業務團隊。如需更多疑難排解資訊，請參閱「排解 Looker (Google Cloud Core) 執行個體建立失敗問題」說明文件頁面。
在「自訂執行個體」部分，按一下「顯示設定選項」，即可查看可為執行個體自訂的其他設定。
在「連線」部分的「執行個體 IP 指派」下方，選擇「使用混合連線」或「使用私人連線」。您選取的網路連線類型會影響執行個體可用的 Looker 功能。可用的網路連線選項如下：
- 使用公開安全連線：Looker 會具備公開網址，並使用公開網路執行傳出連線。
- 使用混合式連線：Looker 會具備公開網址，並使用 PSC 端點執行傳出連線。
  
  注意： 如果在建立執行個體時指派混合式連線，之後可以改為使用私人連線。
- 使用私人連線：指派客戶定義的內部 IP 位址，可透過虛擬私有雲 (VPC) 存取，用於輸入。如要與虛擬私有雲和地端部署或多雲端工作負載通訊，您必須為 egress 流量部署服務連結。如要使用 VPC Service Controls，請務必選取「Use private connections」(使用私人連線)。
- 如果您建立的執行個體僅使用私人連線，請至少設定一個允許的虛擬私有雲，該虛擬私有雲將獲得傳入連線，可連至執行個體。在「Configure inbound connections」(設定傳入連線) 下方的「Project 1」(專案 1) 欄位中，選取建立這個網路的專案。
  
  如要新增其他傳入連線，請按一下「Add Item」(新增項目)，新增各個虛擬私有雲。在「Project X」(專案 X) 欄位中，選取建立網路的專案。在「網路」下拉式選單中選取網路。
  
  如果您在「連線」部分選取「使用混合式連線」，系統就不會顯示「設定傳入連線」部分。您可以透過執行個體的網址設定存取權。
- 在「Local FQDN」(本機 FQDN) 區段中，指定一或多個服務連結，公開 Looker 可連線的傳出連線端點。在「Local FQDN 1」(本機 FQDN 1) 欄位中，輸入服務的完整網域名稱，然後在「Target Service Attachment URI 1」(目標服務連結 URI 1) 欄位中，輸入外部服務的完整服務連結 URI。
  
  如要新增其他服務連結，請按一下「Add Item」(新增項目)，逐一新增服務連結。在「Local FQDN」欄位中，輸入服務的完整網域名稱。在「Target Service Attachment URI」(目標服務連結 URI) 欄位中，輸入外部服務的完整服務連結 URI。
- 在「Encryption」(加密) 部分，您可以選取要用於執行個體的加密類型。可用的加密選項如下：
  - Google-managed encryption key：這是預設選項，不需額外設定。
  - 客戶自行管理的加密金鑰 (CMEK)：如要進一步瞭解 CMEK，以及如何在建立執行個體時設定 CMEK，請參閱「搭配使用客戶自行管理的加密金鑰與 Looker (Google Cloud Core)」說明文件頁面。執行個體建立後，即無法變更加密類型。
  - 啟用通過 FIPS 140-3 1 級驗證的加密機制：如要進一步瞭解 Looker (Google Cloud Core) 的 FIPS 140-3 1 級支援，請參閱「在 Looker (Google Cloud Core) 執行個體啟用 FIPS 140-3 1 級法規遵循」說明文件頁面。
- 在「發布管道」部分，選取最符合需求的發布管道：
  - 快速：最早可使用功能。建議用於非正式環境執行個體。
  - 一般：穩定性適中。建議您對正式環境的執行個體採用這項做法，
  - 不使用發布管道：不使用發布管道。預覽期間，預設值為「無管道」。
  注意： 發布管道功能目前為預先發布版。
- 在「維護期間」部分，您可以指定 Looker (Google Cloud Core) 排定維護作業的星期幾和小時。維護期間為一小時。根據預設，「維護期間」中的「偏好期間」選項會設為「任何期間」。
- 在「拒絕維護期」部分，您可以視需要指定 Looker (Google Cloud Core) 不安排維護作業的日期區間。拒絕維護期的上限為 60 天。在任兩個拒絕維護期之間，至少須有 14 天的空檔，讓系統能執行維護作業。如果執行個體也加入快速發布管道，或搭配一般發布管道使用加速安全性修補程式 (ASP) 設定旗標，則無法設定拒絕維護期。
- 在「Gemini in Looker」部分，您可以選擇為 Looker (Google Cloud Core) 執行個體啟用 Gemini in Looker 功能。如要啟用 Gemini in Looker，請依序選取「Gemini」和「早鳥測試者功能」。啟用早鳥測試者功能後，使用者就能存取 Gemini in Looker 的早鳥測試者功能。如需非公開的「早鳥測試者」專屬功能，請用 Gemini in Looker 預先發布版表單，為需要這些功能的使用者分別提出存取權要求。您必須啟用這項設定，才能在正式發布前預先發布版期間使用 Gemini。(選用) 選取「早鳥測試者」資料使用。啟用這項設定，即代表您同意 Google 依據《Gemini for Google Cloud 早鳥測試者計畫條款》使用您的資料。如要停用 Looker (Google Cloud Core) 執行個體的 Gemini，請清除「Gemini」Gemini設定。
- 在「Knowledge Catalog 整合」部分，您可以視需要勾選「停用 Knowledge Catalog 整合功能」核取方塊，讓 Looker (Google Cloud Core) 停用與 Knowledge Catalog 的整合功能。Looker (Google Cloud Core) 與 Knowledge Catalog 之間的整合功能預設為啟用。
- 點選「建立」。

gcloud

如要建立 Private Service Connect 執行個體，請執行 gcloud looker instances create 指令，並加入下列所有旗標：


gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]\
[--no-public-ip-enabled]\
[--public-ip-enabled]\
[--release-channel=RELEASE_CHANNEL]\
--async

更改下列內容：

INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱，與執行個體網址無關。
OAUTH_CLIENT_ID 和 OAUTH_CLIENT_SECRET：設定 OAuth 用戶端時建立的 OAuth 用戶端 ID 和 OAuth 密鑰。建立執行個體後，在 OAuth 用戶端的「已授權的重新導向 URI」部分輸入執行個體的網址。
REGION：託管 Looker (Google Cloud Core) 執行個體的區域。選取與訂閱合約相符的區域。如要查看可用區域，請參閱 Looker (Google Cloud Core) 位置說明文件頁面。
EDITION：執行個體的版本、環境類型 (正式版或非正式版)，以及是否為試用版。可用值為 core-enterprise-annual、core-embed-annual、nonprod-core-enterprise-annual、nonprod-core-embed-annual、core-trial-enterprise 和 core-trial-embed。執行個體建立後即無法變更版本。如要變更版本，可以使用匯入和匯出功能，將 Looker (Google Cloud Core) 執行個體資料，移至設定為其他版本的新執行個體。
ALLOWED_VPC：如果您建立的執行個體只使用私人連線，請列出允許傳入 (輸入) 存取 Looker (Google Cloud Core) 的虛擬私有雲。如要從執行個體所在的虛擬私有雲外部存取執行個體，您必須列出至少一個虛擬私有雲。請使用下列其中一種格式指定虛擬私有雲：
- projects/{project}/global/networks/{network}
- https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
如果您建立的執行個體使用混合式連線，則不必設定允許的虛擬私有雲。
ADDITIONAL_ALLOWED_VPCS：如要允許其他虛擬私有雲對 Looker (Google Cloud Core) 進行傳入存取，可以將這些虛擬私有雲新增至 --psc-allowed-vpcs 旗標，並以逗號分隔的清單呈現。
RELEASE_CHANNEL：執行個體的發布管道。可用值為 rapid、regular 和 no-channel。預先發布版期間的預設值為 no-channel。如果未在 create 指令中加入這個旗標，系統會使用預設管道建立執行個體。這項功能為預先發布版。

您也必須加入下列其中一個旗標，啟用或停用公開連線：

--public-ip-enabled 會啟用公開連線。如果為執行個體啟用公開連線，傳入流量會透過公開連線轉送，傳出流量則會透過 Private Service Connect 轉送。
--no-public-ip-enabled 會停用公開連線。

您可以視需要新增更多參數，套用其他執行個體設定：

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  [--kms-key=KMS_KEY_ID]
  [--accelerated-security-patch-enabled]
  [--no-accelerated-security-patch-enabled]
  [--fips-enabled]
  [--catalog-integration-enabled]
  [--no-catalog-integration-enabled]

更改下列內容：

MAINTENANCE_WINDOW_DAY：必須是下列其中一項：friday、monday、saturday、sunday、thursday、tuesday、wednesday。如要進一步瞭解維護期間設定，請參閱「管理 Looker (Google Cloud Core) 的維護政策」說明文件頁面。
MAINTENANCE_WINDOW_TIME 和 DENY_MAINTENANCE_PERIOD_TIME：必須採用世界標準時間 (UTC) 的 24 小時制格式 (例如 13:00、17:45)。如果您也將執行個體註冊至快速發布管道，或搭配一般發布管道使用加速安全性修補 (ASP) 設定旗標，則無法設定拒絕維護期。
DENY_MAINTENANCE_PERIOD_START_DATE 和 DENY_MAINTENANCE_PERIOD_END_DATE：必須採用 YYYY-MM-DD 格式。
KMS_KEY_ID：必須是設定客戶自行管理的加密金鑰 (CMEK) 時建立的金鑰。

下列標記可啟用其他設定：

--accelerated-security-patch-enabled 和 --no-accelerated-security-patch-enabled：如果執行個體位於 regular 頻道，且您想每兩週接收或停用安全性修補程式，請加入其中一個旗標。這項功能為預先發布版。
--fips-enabled：啟用 FIPS 140-3 第 1 級法規遵循。
將 --catalog-integration-enabled 旗標替換為 --no-catalog-integration-enabled 旗標，即可停用 Looker (Google Cloud Core) 和 Knowledge Catalog 整合。

建立 Private Service Connect 執行個體和 Looker (Google Cloud Core) (私人服務存取) 執行個體的程序，有以下差異：

設定 Private Service Connect 時，不需要 --consumer-network 和 --reserved-range 旗標。
Private Service Connect 執行個體需要額外的旗標：--psc-enabled。
--psc-allowed-vpcs 旗標是以半形逗號分隔的虛擬私有雲清單。您可以在清單中指定任意數量的虛擬私有雲。

Terraform

使用下列 Terraform 資源，佈建採用 PSC 的 Enterprise Looker (Google Cloud Core) 執行個體：

# Create an ENTERPRISE edition Looker (Google Cloud core) instance that has PSC enabled.
resource "google_looker_instance" "default" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = false
  public_ip_enabled  = false
  psc_enabled        = true
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  psc_config {
    # allowed_vpcs = ["projects/{project}/global/networks/{network}"]
    # (Optional) List of VPCs that are allowed ingress into the Looker instance. Set an allowed VPC if you are creating an instance that uses only private IP.
  }
}

輸入下列項目的值：

name：Looker (Google Cloud Core) 執行個體的名稱，與執行個體網址無關。
platform_edition：執行個體的版本、環境類型 (正式版或非正式版)，以及是否為試用版。可能的值為 LOOKER_CORE_ENTERPRISE_ANNUAL、LOOKER_CORE_EMBED_ANNUAL、LOOKER_NONPROD_CORE_ENTERPRISE_ANNUAL、LOOKER_NONPROD_CORE_EMBED_ANNUAL、LOOKER_CORE_TRIAL_ENTERPRISE 或 LOOKER_CORE_TRIAL_EMBED。本範例使用的是 LOOKER_CORE_ENTERPRISE_ANNUAL。執行個體建立後即無法變更版本。如要變更版本，可以使用匯入和匯出功能，將 Looker (Google Cloud Core) 執行個體資料，移至設定為其他版本的新執行個體。
region：託管 Looker (Google Cloud Core) 執行個體的區域。選取與訂閱合約相符的區域。本範例使用的是 us-central1。如要查看可用區域，請參閱「Looker (Google Cloud Core) 位置」說明文件頁面。
client_id 和 client_secret：設定 OAuth 用戶端時建立的 OAuth 用戶端 ID 和 OAuth 密鑰。建立執行個體後，在 OAuth 用戶端的「已授權的重新導向 URI」部分輸入執行個體的網址。
allowed_vpcs：如果您建立的執行個體只使用私人連線，請列出允許傳入 (輸入) 存取 Looker (Google Cloud Core) 執行個體的虛擬私有雲。如要從執行個體所在的虛擬私有雲外部存取執行個體，您必須列出至少一個虛擬私有雲。請使用下列其中一種格式指定虛擬私有雲：
- projects/{project}/global/networks/{network}
- https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
如果您要建立使用混合連線的執行個體，則不必設定允許的虛擬私有雲。您之後可以更新及新增其他虛擬私有雲 IP。

您也需要更新執行個體，才能建立傳出連線。

重要事項： 使用 Terraform 建立執行個體時，請勿在建立資源區塊中定義傳出 (輸出) 連線，例如服務連結。如果此時指定傳出連線，執行個體建立作業會失敗。建立執行個體後，必須指定傳出連線。

查看執行個體狀態

執行個體大約需要 40 到 60 分鐘才能建立完成。

主控台

執行個體建立期間，您可以在控制台的「執行個體」頁面查看狀態。您也可以按一下 Google Cloud 控制台選單中的通知圖示，查看執行個體建立活動。建立完成後，執行個體的「詳細資料」頁面會顯示「有效」狀態。

gcloud

如要查看狀態，請使用 gcloud looker instances describe 指令：

gcloud looker instances describe INSTANCE_NAME --region=REGION

更改下列內容：

INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

執行個體進入 ACTIVE 狀態後，即表示已準備就緒。

此外，您也可以在建立執行個體後，編輯執行個體設定來進行其他變更。

設定傳入連線

建立 Looker (Google Cloud Core) Private Service Connect 執行個體後，即可設定傳入連線。

如果您在 Looker (Google Cloud Core) 執行個體中使用混合連線，則可透過公開安全連線存取執行個體。如果您選擇在 Looker (Google Cloud Core) 執行個體中僅使用私人連線，則必須允許至少一個虛擬私有雲存取該執行個體。請完成下列步驟，更新可存取執行個體的虛擬私有雲。多個虛擬私有雲可以存取執行個體。

主控台

在「執行個體」頁面，找出要更新允許傳入存取的虛擬私有雲，然後按一下該執行個體的名稱。
按一下 [編輯]。
展開「連線」專區。
前往「Configure inbound connections」(設定傳入連線) 部分。
按一下「新增項目」。接著，在「專案」欄位中選取虛擬私有雲所在的專案，並從「網路」下拉式選單中選取網路。
如要刪除虛擬私有雲，請將指標懸停在網路上，然後按一下顯示的「刪除項目」垃圾桶圖示。
按一下 [儲存]。

gcloud

使用 --psc-allowed-vpcs 旗標，更新有權將流量傳入執行個體的虛擬私有雲清單。

更新允許的虛擬私有雲時，您必須指定更新後要生效的完整清單。舉例來說，假設您已允許虛擬私有雲 ALLOWED_VPC_1，並想新增虛擬私有雲 ALLOWED_VPC_2。如要新增虛擬私有雲 ALLOWED_VPC_1，同時確保虛擬私有雲 ALLOWED_VPC_2 仍可使用，請按照下列方式新增 --psc-allowed-vpcs 旗標：

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

更改下列內容：

INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
ALLOWED_VPC_1 和 ALLOWED_VPC_2：允許輸入 Looker (Google Cloud Core) 的虛擬私有雲。請使用下列其中一種格式，指定各個允許的虛擬私有雲：
- projects/{project}/global/networks/{network}
- https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

虛擬私有雲具備執行個體的傳入存取權後，您就可以透過該虛擬私有雲設定北向連線。

刪除所有允許的虛擬私有雲

如要刪除所有允許的虛擬私有雲，請執行下列指令：

gcloud looker instances update MY_INSTANCE --clear-psc-allowed-vpcs \
--region=REGION

更改下列內容：

INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

設定傳出連線

Looker (Google Cloud Core) Private Service Connect 執行個體建立完成後，即可設定連至外部服務的傳出 (egress) 連線。

如要連線至使用標準網路通訊協定 HTTPS 的外部服務，且可用通訊埠為 443 或 8443，您可以使用 Looker (Google Cloud Core) 的受控原生輸出和全域 FQDN 設定來設定連線。不過，如果外部服務使用其他通訊協定，則必須透過 Private Service Connect 發布，才能使用本機 FQDN 連線至 Looker (Google Cloud Core) 執行個體。

下列各節說明如何連線至 Looker Marketplace、使用全域 FQDN 的外部網域，或使用本機 FQDN 的已發布服務。

連結至 Looker Marketplace

Looker (Google Cloud Core) 可使用 HTTPS 和Secure Web Proxy，直接連線至 Looker Marketplace。連線至 Marketplace 後，也能將流量輸出至 github.com。

如要連結至 Marketplace，請完成下列步驟：

主控台

在「Instances」(執行個體) 頁面中，按一下要啟用傳出 (輸出) 連線的執行個體名稱。
按一下 [編輯]。
展開「連線」專區。
前往「Configure outbound connections」(設定傳出連線) 部分。
勾選「啟用 Looker 連線至外部服務」核取方塊。
勾選「啟用 Looker Marketplace 連線」核取方塊。
對話方塊會說明連至 Marketplace 後，即可將流量輸出至 github.com，請點選「確認」。
按一下 [儲存]。

使用全域 FQDN 連線至外部網域

Looker (Google Cloud Core) 可使用 HTTPS 和安全網路 Proxy，透過全域 FQDN 設定連線至外部公用網域。連線會使用 HTTPS 建立。外部服務必須開放通訊埠 443，不需提供服務連結 URI。

這項設定也可用於允許流量傳送至受限制 VIP 不支援的 Google API。舉例來說，如要允許 Looker (Google Cloud Core) 執行個體連線至 Google Maps API，請將 maps.googleapis.com 新增為全域 FQDN。

如要找出 Looker (Google Cloud Core) 執行個體使用的公開輸出 IP 位址，請前往 Google Cloud 控制台，在「執行個體」頁面中，前往 Looker (Google Cloud Core) 執行個體的「詳細資料」分頁。用於網際網路輸出流量的 IP 位址會顯示在「Controlled Egress Configuration」(受控輸出設定) 專區的「Egress IPs」(輸出 IP) 欄位中。IP 位址是 Looker (Google Cloud Core) 執行個體專屬。這些 IP 位址是透過 Secure Web Proxy 分配，屬於動態位址，可能會在無預警的情況下變更。

如要使用全域 FQDN 連線至外部服務，請完成下列步驟：

主控台

在「Instances」(執行個體) 頁面中，按一下要啟用傳出 (輸出) 連線的執行個體名稱。
按一下 [編輯]。
展開「連線」專區。
前往「Configure outbound connections」(設定傳出連線) 部分。
勾選「啟用 Looker 連線至外部服務」核取方塊。
在「Global FQDN」(全域 FQDN) 區段中，輸入要連線的完整網域名稱。
如要新增其他網域，請按一下「新增項目」。
按一下 [儲存]。

使用本機 FQDN 連線至已發布的服務

Looker (Google Cloud Core) 可透過 Private Service Connect，使用本機 FQDN 設定連線至已發布的服務。

首先，您必須使用 Private Service Connect 發布外部服務，並取得該服務的服務連結 URI。接著，您需要在 Google Cloud 控制台中更新「Local FQDN」設定。

使用 Private Service Connect 發布外部服務

如要發布服務，請按照使用 Private Service Connect 發布服務的操作說明。

發布服務時，可選擇自動核准或明確核准。如果您選擇透過明確核准發布，則必須按照下列方式設定服務連結：

將服務連結許可清單設為使用專案 (而非網路)。
將 Looker 租戶專案 ID 加入許可清單。

建立執行個體後，您可以執行下列指令，找出 Looker 租戶專案 ID：

gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

更改下列內容：

INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

在指令輸出內容中，looker_service_attachment_uri 欄位會包含 Looker 租戶專案 ID。格式如下：projects/{Looker tenant project ID}/regions/…

服務連結 URI

在 Google Cloud 控制台更新 Looker (Google Cloud Core) 執行個體，以便連線至服務時，您需要外部服務的完整服務連結 URI。URI 的指定方式如下，使用您建立服務連結時所用的專案、區域和名稱：

projects/{project}/regions/{region}/serviceAttachments/{name}

在 Google Cloud 控制台中更新「本機 FQDN」設定

主控台

在「Instances」(執行個體) 頁面中，按一下要啟用傳出 (輸出) 連線的執行個體名稱。
按一下 [編輯]。
展開「連線」專區。
前往「本機 FQDN」部分。
如要編輯現有的服務連結，請在「Local FQDN」(本機 FQDN) 欄位中更新服務的完整網域名稱，並在「Target Service Attachment URI」(目標服務連結 URI) 欄位中更新服務連結 URI。
如要新增服務連結，請按一下「Add Item」(新增項目)。接著，在「Local FQDN」(本機 FQDN) 欄位輸入服務的完整網域名稱，並在「Target Service Attachment URI」(目標服務連結 URI) 欄位輸入服務連結 URI。
按一下 [儲存]。

gcloud

使用 --psc-service-attachment 旗標，為已設定 Private Service Connect 的外部服務啟用傳出 (輸出) 連線：

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

更改下列內容：

INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
DOMAIN_1 和 DOMAIN_2：如果您要連線至公開服務，請使用該服務的網域名稱。如果您要連線至私人服務，請選擇完整網域名稱。網域名稱須遵守下列限制：
每個外送連線都支援單一網域。
網域名稱必須至少包含三個部分。舉例來說，mydomain.github.com 是可接受的，但 github.com 則不可接受。
名稱的最後一部分不得為下列任一項：
- googleapis.com
- google.com
- gcr.io
- pkg.dev
從 Looker (Google Cloud Core) 執行個體設定服務連線時，請使用這個網域做為服務的別名。
SERVICE_ATTACHMENT_1 和 SERVICE_ATTACHMENT_2：要連線的已發布服務完整服務連結 URI。每個服務連結 URI 只能由一個網域存取。
REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

納入所有應啟用的連結

每次使用 --psc-service-attachment 旗標執行更新指令時，都必須加入要啟用的所有連線，包括先前已啟用的連線。舉例來說，假設您先前已將名為 my-instance 的執行個體連結至 www.cloud.com 網域，如下所示：

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud

執行下列指令來新增 www.me.com 連線，會刪除 www.cloud.com 連線：

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

如要避免在新增 www.me.com 連線時刪除 www.cloud.com 連線，請在更新指令中為現有連線和新連線分別加入 psc-service-attachment 旗標，如下所示：

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud \
--psc-service-attachment domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

Terraform

使用下列 Terraform 資源更新 Looker (Google Cloud Core) 執行個體，啟用傳出 (輸出) 連線，連至已透過 Private Service Connect 發布的外部服務：

service_attachments = [{local_fqdn: "www.local-fqdn.com" target_service_attachment_uri: "projects/{project}/regions/{region}/serviceAttachments/{name}}]

輸入下列項目的值：

local_fqdn：已發布服務的完整網域名稱。
target_service_attachment_uri：要連線的已發布服務完整服務連結 URI。每個服務連結 URI 只能由一個網域存取。

如果連線至非 Google 代管服務，且該服務位於 Looker (Google Cloud Core) 執行個體所在區域以外，請在供應商負載平衡器上啟用全域存取權。

檢查傳出連線狀態

您可以透過 Google Cloud CLI 或控制台，查看傳出 (輸出) 連線的狀態。

主控台

在控制台的執行個體設定頁面中，前往「Details」(詳細資料) 分頁查看連線狀態。「PSC Configuration」(PSC 設定) 欄位會顯示各類連線的狀態。

gcloud

執行 gcloud looker instances describe --format=json 指令，檢查外送連線狀態。每個服務連結都應填入 connection_status 欄位。

排解傳出連線問題

為傳出連線設定服務連結時 (例如連線至 Git 存放區或資料庫)，如果連線狀態顯示「已拒絕」，請檢查託管服務連結的專案或組織，查看其供應商組織政策。compute.restrictPrivateServiceConnectConsumer 清單限制可能導致無法連線。請確認與 Looker (Google Cloud Core) 執行個體網路連線相關聯的組織、資料夾或專案，已納入生產端這項政策的允許值。詳情請參閱生產者組織政策說明文件。

刪除所有傳出連線

如要刪除所有傳出 (egress) 連線，請執行下列指令：

gcloud looker instances update MY_INSTANCE --clear-psc-service-attachments \
--region=REGION

更改下列內容：

INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

執行個體的北向存取權

建立 Looker (Google Cloud Core) (Private Service Connect) 執行個體後，您可以設定傳入存取權，允許使用者存取執行個體。

如果您在設定執行個體時選擇混合式連線，可以透過執行個體的網址設定傳入存取權。您可以在 Google Cloud 控制台的「Instances」(執行個體) 頁面找到該網址。如果您設定了自訂網域，則可在執行個體詳細資料頁面的「Custom domain」(自訂網域) 分頁找到該網址。您可以設定 IP 許可清單，限制傳入連線只能來自特定 IP 位址。

如果您在設定執行個體時選取私人連線，可以按照建立 Private Service Connect 端點的操作說明，設定從其他虛擬私有雲網路連入執行個體的權限。建立端點時，請遵循下列規範：

請將網路新增至允許的虛擬私有雲清單，確保網路可傳入 Looker (Google Cloud Core) 執行個體。
將「目標服務」欄位 (如果使用 Google Cloud 控制台) 或 SERVICE_ATTACHMENT 變數 (如果使用 Google Cloud CLI 或 Looker API) 設為 Looker 服務連結 URI。如要查看這個 URI，請前往控制台的執行個體設定頁面，然後查看「詳細資料」分頁，或執行下列指令：
```
gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json
```
更改下列內容：
- INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
- REGION：託管 Looker (Google Cloud Core) 執行個體的區域。
注意： 請按照「將 Private Service Connect 連線遷移至新的服務連結 URI」說明文件頁面的指示，確認您使用的是更新後的服務連結 URI。
您可以使用與 Looker (Google Cloud Core) 執行個體託管於相同區域的任何子網路。
全域存取權可讓您從任何區域存取 Looker (Google Cloud Core) 執行個體。以下說明是否可以啟用全域存取權，以及啟用方式：
- 如果使用舊版服務連結 URI，則不支援全域存取權。
- 如果您使用新的強化服務連結 URI，可以透過下列兩種方式之一啟用全域存取權：
  - 如果您使用 Private Service Connect 網路端點群組 (NEG)，可以在負載平衡器前端啟用全域存取權。
  - 否則，您可以在 Private Service Connect 端點啟用全域存取權。

為 Private Service Connect 執行個體建立自訂網域

如果您在設定執行個體時選擇混合式連線，請按照「為使用公開連線的 Looker (Google Cloud Core) 執行個體設定自訂網域」說明文件頁面的指示，設定自訂網域。

疑難排解執行個體建立問題

如需疑難排解說明，請參閱「排解 Looker (Google Cloud Core) 執行個體建立失敗問題」說明文件頁面。

後續步驟

如果您在設定執行個體時只選擇私人連線，請按照「使用 Private Service Connect 私人連入 Looker (Google Cloud Core) 執行個體」說明文件頁面的指示，設定自訂網域。
如果您使用混合連線，請設定 IP 許可清單，將傳入流量限制在特定 IP 位址。
您可以使用 Private Service Connect 設定透過網際網路公開存取。
或者，您也可以使用 Private Service Connect 設定私人傳入存取權。

建立 Looker (Google Cloud Core) Private Service Connect 執行個體 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

事前準備

必要的角色

建立 Private Service Connect 執行個體

主控台

gcloud

Terraform

查看執行個體狀態

主控台

gcloud

設定傳入連線

主控台

gcloud

刪除所有允許的虛擬私有雲

設定傳出連線

連結至 Looker Marketplace

主控台

使用全域 FQDN 連線至外部網域

主控台

使用本機 FQDN 連線至已發布的服務

使用 Private Service Connect 發布外部服務

服務連結 URI

在 Google Cloud 控制台中更新「本機 FQDN」設定

主控台

gcloud

納入所有應啟用的連結

Terraform

檢查傳出連線狀態

主控台

gcloud

排解傳出連線問題

刪除所有傳出連線

執行個體的北向存取權

為 Private Service Connect 執行個體建立自訂網域

疑難排解執行個體建立問題

後續步驟

建立 Looker (Google Cloud Core) Private Service Connect 執行個體