建立 Looker (Google Cloud Core) Private Service Connect 執行個體

建立啟用 Private Service Connect 的 Looker (Google Cloud Core) 執行個體，確保正式環境或非正式環境的連線安全無虞。您可以使用 Google Cloud 控制台、gcloud CLI 或 Terraform 設定執行個體。如需其他連線選項，請參閱公開安全連線或私人服務存取的說明文件。

Looker (Google Cloud Core) 執行個體必須符合下列條件，才能啟用 Private Service Connect：

• Looker (Google Cloud Core) 執行個體必須是新的。Private Service Connect 只能在建立執行個體時啟用。
• 執行個體版本必須是 Enterprise (core-enterprise-annual) 或 Embed (core-embed-annual)。

事前準備

1. 與業務團隊合作，確保年約已完成，且專案中已分配配額。
2. 請確認您已為 Google Cloud 專案啟用計費功能。
3. 在 Google Cloud 控制台的專案選取器頁面，選取要建立 Private Service Connect 執行個體的專案。

   前往專案選取器

4. 在 Google Cloud 控制台中為專案啟用 Looker API。啟用 API 時，您可能需要重新整理控制台頁面，確認 API 已啟用。

   啟用 API

   注意：執行個體建立後，停用 Looker API 會影響 Looker (Google Cloud Core) 功能。舉例來說，停用 API 後，就無法建立執行個體備份。
5. 設定 OAuth 用戶端並建立授權憑證。OAuth 用戶端可讓您驗證及存取執行個體。您必須設定 OAuth，才能建立 Looker (Google Cloud Core) 執行個體，即使您使用其他驗證方式驗證執行個體使用者，也必須完成這項設定。
6. 如要在建立 Looker (Google Cloud Core) 執行個體時使用 VPC Service Controls 或客戶自行管理的加密金鑰 (CMEK)，請先完成額外設定，再建立執行個體。建立執行個體時，可能也需要額外設定版本和網路。

重要事項： 在 Looker (Google Cloud Core) 執行個體上啟用 Private Service Connect 後，該執行個體就無法改用公開安全連線或私人連線 (PSA) 連線能力。

必要的角色

如要取得建立 Looker (Google Cloud Core) 執行個體所需的權限，請要求管理員針對執行個體所在的專案，授予您 Looker 管理員 (roles/looker.admin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

注意： IAM 基本角色可能也包含建立 Looker (Google Cloud Core) 執行個體的權限。請勿在正式環境中授予基本角色，但可以在開發或測試環境中授予。

您可能也需要其他 IAM 角色，才能設定 VPC Service Controls 或客戶自行管理的加密金鑰 (CMEK)。如要瞭解詳情，請參閱這些功能的說明文件頁面。

建立 Private Service Connect 執行個體

主控台

1. 在 Google Cloud 控制台的專案中，前往 Looker (Google Cloud Core) 產品頁面。如果已在這個專案中建立 Looker (Google Cloud Core) 執行個體，系統會開啟「Instances」(執行個體) 頁面。

   前往「Looker (Google Cloud Core)」

2. 點選「建立執行個體」。
3. 在「Instance name」(執行個體名稱) 區段中，提供 Looker (Google Cloud Core) 執行個體的名稱。執行個體名稱不會與 Looker (Google Cloud Core) 執行個體建立後的網址建立關聯。執行個體建立後即無法變更名稱。

4. 在「Region」(區域) 部分，從下拉式選單中選取適當選項，以代管 Looker (Google Cloud Core) 執行個體。選取與訂閱合約相符的區域，因為會在這裡分配專案配額。如要查看可用區域，請參閱 Looker (Google Cloud Core) 位置說明文件頁面。

   執行個體建立後，即無法變更區域。

5. 在「Edition」(版本) 區段中，選擇「Enterprise」或「Embed」(正式版或非正式版) 版本選項。版本類型會影響執行個體可用的部分功能。請務必選擇年約中列出的版本類型，並確認您已為該版本類型分配配額。

   • 企業版：具備強化版安全防護功能的 Looker (Google Cloud Core) 平台，適用於多種內部商業智慧 (BI) 和數據分析用途
   • Embed：Looker (Google Cloud Core) 平台，適合大規模部署及維護可靠的外部數據分析和自訂應用程式
   • 非正式環境版本：如需測試環境，請選取其中一個非正式環境版本。詳情請參閱「非正式版執行個體」說明文件。
   • 試用版：試用版的功能支援與對應的正式版相同，但試用版的有效期限為 90 天。

   執行個體建立後即無法變更版本。如要變更版本，可以透過匯入及匯出功能，將 Looker (Google Cloud Core) 執行個體資料移至以不同版本設定的新執行個體。

   提示： 如果專案沒有配額，就無法選取版本類型。如要為專案分配配額，請洽詢業務團隊。如需更多疑難排解資訊，請參閱「排解 Looker (Google Cloud Core) 執行個體建立失敗問題」說明文件頁面。

6. 在「自訂執行個體」部分，按一下「顯示設定選項」，即可顯示一組可為執行個體自訂的其他設定。

7. 在「連線」部分的「執行個體 IP 指派」下方，選擇「使用混合連線」或「使用私人連線」。您選取的網路連線類型會影響執行個體可用的 Looker 功能。可用的網路連線選項如下：

   • 使用公開安全連線：Looker 會具備公開網址，並使用公開網路執行傳出連線。

   • 使用混合式連線：Looker 會具備公開網址，並使用 PSC 端點執行傳出連線。

     注意： 如果在建立執行個體時指派混合式連線，之後可以改用私人連線。

   • 使用私人連線：指派客戶定義的內部 IP 位址，可透過虛擬私有雲 (VPC) 存取，用於輸入。如要與虛擬私有雲和地端部署或多雲端工作負載通訊，您必須為 egress 流量部署服務連結。如要使用 VPC Service Controls，請務必選取「使用私人連線」。

   • 如果您要建立僅使用私人連線的執行個體，請至少設定一個允許的虛擬私有雲，該虛擬私有雲將獲得執行個體的連入連線。在「設定傳入連線」下方的「專案 1」欄位中，選取建立這個網路的專案。

     如要新增其他傳入連線，請按一下「Add Item」(新增項目)，新增各個虛擬私有雲。在「Project X」(專案 X) 欄位中，選取建立網路的專案。在「網路」下拉式選單中選取網路。

     如果您在「連線」部分選取「使用混合式連線」，系統就不會顯示「設定傳入連線」部分。您可以透過執行個體的網址設定存取權。

   • 在「Local FQDN」(本機 FQDN) 區段中，指定一或多個服務連結，公開 Looker 可連線的傳出連線端點。在「Local FQDN 1」(本機完整網域名稱 1) 欄位中，輸入服務的完整網域名稱；在「Target Service Attachment URI 1」(目標服務連結 URI 1) 欄位中，輸入外部服務的完整服務連結 URI。

     如要新增其他服務連結，請按一下「Add Item」(新增項目)，逐一新增服務連結。在「Local FQDN」(本機 FQDN) 欄位中，輸入服務的完整網域名稱。在「目標服務連結 URI」欄位中，輸入外部服務的完整服務連結 URI。

   • 在「Encryption」(加密) 部分，您可以選取要在執行個體上使用的加密類型。可用的加密選項如下：

     • Google-managed encryption key：這是預設選項，不需要額外設定。
     • 客戶自行管理的加密金鑰 (CMEK)：如要進一步瞭解 CMEK，以及如何在建立執行個體時設定 CMEK，請參閱「在 Looker (Google Cloud Core) 中使用客戶自行管理的加密金鑰」說明文件頁面。執行個體建立後即無法變更加密類型。
     • 啟用通過 FIPS 140-3 第 1 級驗證的加密機制：請參閱「在 Looker (Google Cloud Core) 執行個體上啟用 FIPS 140-3 第 1 級法規遵循」說明文件頁面，進一步瞭解 Looker (Google Cloud Core) 對 FIPS 140-3 第 1 級的支援。

   • 在「發布管道」部分，選取最符合需求的發布管道：

     • 快速：最早可使用功能。建議用於非正式環境執行個體。
     • 一般：穩定性適中。建議您對正式環境的執行個體採用這項做法，
     • 不使用發布管道：不使用任何發布管道。預覽期間的預設值為「無頻道」。
     注意： 發布管道功能目前為預先發布版。

   • 在「維護期間」部分，您可以指定 Looker (Google Cloud Core) 排定維護作業的星期幾和時間。維護期間為一小時。根據預設，「Maintenance Window」(維護期間) 中的「Preferred Window」(偏好的時間範圍) 選項會設為「Any window」(任何時間範圍)。

   • 在「拒絕維護期」部分，您可以視需要指定 Looker (Google Cloud Core) 不安排維護作業的日期區間。拒絕維護期的上限為 60 天。在任兩個拒絕維護期之間，至少須有 14 天的空檔，讓系統能執行維護作業。如果執行個體也註冊了 Rapid 發布管道，或是使用 Regular 發布管道搭配加速安全性修補程式 (ASP) 設定旗標，就無法設定拒絕維護期。

   • 在「Gemini in Looker」部分，您可以選擇為 Looker (Google Cloud Core) 執行個體啟用 Gemini in Looker 功能。如要啟用 Gemini in Looker，請依序選取「Gemini」和「早鳥測試者功能」。啟用「早鳥測試者」專屬功能後，使用者就能存取 Gemini in Looker 的「早鳥測試者」功能。如需非公開的「早鳥測試者」專屬功能，請用 Gemini in Looker 預先發布版表單，為需要這些功能的使用者分別提出存取權要求。如要在正式發布前預先體驗期間使用 Gemini，必須啟用這項設定。(選用) 選取「早鳥測試者」資料使用。啟用這項設定，即代表您同意 Google 依據《Gemini for Google Cloud 早鳥測試者計畫條款》使用您的資料。如要停用 Looker (Google Cloud Core) 執行個體的 Gemini，請清除「Gemini」Gemini設定。

   • 在「Knowledge Catalog 整合」部分，您可以視需要選取「停用 Knowledge Catalog 整合功能」核取方塊，讓 Looker (Google Cloud Core) 停用與 Knowledge Catalog 的整合。Looker (Google Cloud Core) 與 Knowledge Catalog 之間的整合功能預設為啟用。

     注意： Looker (Google Cloud Core) 與 Knowledge Catalog 的整合功能目前為預先發布版。正式發布前的產品和功能是按照「原樣」提供，支援範圍可能有限。

   • 點選「建立」。

gcloud

如要建立 Private Service Connect 執行個體，請執行 gcloud looker instances create 指令，並加上下列所有旗標：

gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]\
[--no-public-ip-enabled]\
[--public-ip-enabled]\
[--release-channel=RELEASE_CHANNEL]\
--async

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱，與執行個體網址無關。
• OAUTH_CLIENT_ID 和 OAUTH_CLIENT_SECRET：設定 OAuth 用戶端時建立的 OAuth 用戶端 ID 和 OAuth 密鑰。建立執行個體後，在 OAuth 用戶端的「已授權的重新導向 URI」部分輸入執行個體的網址。
• REGION：託管 Looker (Google Cloud Core) 執行個體的區域。選取與訂閱合約相符的區域。如要查看可用區域，請參閱 Looker (Google Cloud Core) 位置說明文件頁面。
• EDITION：執行個體的版本、環境類型 (正式版或非正式版)，以及是否為試用版。可用的值為 core-enterprise-annual、core-embed-annual、nonprod-core-enterprise-annual、nonprod-core-embed-annual、core-trial-enterprise 和 core-trial-embed。執行個體建立後即無法變更版本。如要變更版本，可以透過匯入及匯出功能，將 Looker (Google Cloud Core) 執行個體資料移至以不同版本設定的新執行個體。

• ALLOWED_VPC：如果您建立的執行個體只使用私人連線，請列出允許傳入 (輸入) 存取 Looker (Google Cloud Core) 的虛擬私有雲。如要從執行個體所在的虛擬私有雲外部存取執行個體，您必須列出至少一個虛擬私有雲。請使用下列其中一種格式指定虛擬私有雲：

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  如果您要建立使用混合式連線的執行個體，則不需要設定允許的 VPC。

• ADDITIONAL_ALLOWED_VPCS：如要允許其他虛擬私有雲對 Looker (Google Cloud Core) 進行連入存取，請在 --psc-allowed-vpcs 旗標中新增這些虛擬私有雲，並以逗號分隔的清單呈現。

• RELEASE_CHANNEL：執行個體的發布管道。可用值為 rapid、regular 和 no-channel。預覽期間的預設值為 no-channel。如果未在 create 指令中加入這個標記，系統會使用預設管道建立執行個體。這項功能為預先發布版。

您也必須加入下列其中一個旗標，啟用或停用公開連線：

• --public-ip-enabled 會啟用公開連線。如果為執行個體啟用公開連線，傳入流量會透過公開連線轉送，傳出流量則會透過 Private Service Connect 轉送。
• --no-public-ip-enabled 會停用公開連線。

重要事項： 使用 Google Cloud CLI 建立執行個體時，請勿在 create 指令中指定輸出 (輸出) 連線，例如服務附件。此時指定輸出連線會導致 create 作業失敗。建立執行個體後，必須指定傳出連線。

您可以視需要新增更多參數，套用其他執行個體設定：

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  [--kms-key=KMS_KEY_ID]
  [--accelerated-security-patch-enabled]
  [--no-accelerated-security-patch-enabled]
  [--fips-enabled]
  [--catalog-integration-enabled]
  [--no-catalog-integration-enabled]

更改下列內容：

• MAINTENANCE_WINDOW_DAY：必須是下列其中一項：friday、monday、saturday、sunday、thursday、tuesday、wednesday。如要進一步瞭解維護期間設定，請參閱「管理 Looker (Google Cloud Core) 的維護政策」說明文件頁面。
• MAINTENANCE_WINDOW_TIME 和 DENY_MAINTENANCE_PERIOD_TIME：必須採用世界標準時間，並以 24 小時制格式表示 (例如 13:00、17:45)。如果您也將執行個體註冊至快速發布管道，或搭配一般發布管道使用加速安全性修補程式 (ASP) 設定旗標，就無法設定拒絕維護期。
• DENY_MAINTENANCE_PERIOD_START_DATE 和 DENY_MAINTENANCE_PERIOD_END_DATE：必須採用 YYYY-MM-DD 格式。
• KMS_KEY_ID：必須是設定客戶自行管理的加密金鑰 (CMEK) 時建立的金鑰。

下列標記可啟用其他設定：

• --accelerated-security-patch-enabled 和 --no-accelerated-security-patch-enabled：如果執行個體位於 regular 頻道，且您想每兩週接收或停用安全性修補程式，請加入其中一個旗標。這項功能為預先發布版。
• --fips-enabled：啟用 FIPS 140-3 第 1 級法規遵循。
• 將 --catalog-integration-enabled 旗標替換為 --no-catalog-integration-enabled 旗標，以 停用 Looker (Google Cloud Core) 和 Knowledge Catalog 整合。這項功能為預先發布版。

建立 Private Service Connect 執行個體和 Looker (Google Cloud Core) (私人服務存取) 執行個體的程序，有以下差異：

• 設定 Private Service Connect 後，就不需要 --consumer-network 和 --reserved-range 標記。
• Private Service Connect 執行個體需要額外的旗標：--psc-enabled。
• --psc-allowed-vpcs 旗標是以半形逗號分隔的虛擬私有雲清單。您可以在清單中指定任意數量的 VPC。

提示： 您必須擁有適當版本類型的配額，才能建立執行個體。如果沒有配額，請洽詢銷售團隊，為專案分配配額。如需更多疑難排解資訊，請參閱「排解 Looker (Google Cloud Core) 執行個體建立失敗問題」說明文件頁面。

Terraform

使用下列 Terraform 資源，佈建採用 PSC 的 Enterprise Looker (Google Cloud Core) 執行個體：

# Create an ENTERPRISE edition Looker (Google Cloud core) instance that has PSC enabled.
resource "google_looker_instance" "default" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = false
  public_ip_enabled  = false
  psc_enabled        = true
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  psc_config {
    # allowed_vpcs = ["projects/{project}/global/networks/{network}"]
    # (Optional) List of VPCs that are allowed ingress into the Looker instance. Set an allowed VPC if you are creating an instance that uses only private IP.
  }
}

輸入下列項目的值：

• name：Looker (Google Cloud Core) 執行個體的名稱，與執行個體網址無關。
• platform_edition：版本、環境類型 (正式版或非正式版)，以及這是否為執行個體的試用版。可能的值為 LOOKER_CORE_ENTERPRISE_ANNUAL、LOOKER_CORE_EMBED_ANNUAL、LOOKER_NONPROD_CORE_ENTERPRISE_ANNUAL、LOOKER_NONPROD_CORE_EMBED_ANNUAL、LOOKER_CORE_TRIAL_ENTERPRISE 或 LOOKER_CORE_TRIAL_EMBED。本範例使用的是 LOOKER_CORE_ENTERPRISE_ANNUAL。執行個體建立後即無法變更版本。如要變更版本，可以使用匯入和匯出功能，將 Looker (Google Cloud Core) 執行個體資料移至設定為其他版本的新執行個體。
• region：託管 Looker (Google Cloud Core) 執行個體的區域。選取與訂閱合約中區域相符的區域。本範例使用的是 us-central1。如要查看可用區域，請參閱 Looker (Google Cloud Core) 服務位置說明文件頁面。
• client_id 和 client_secret：設定 OAuth 用戶端時建立的 OAuth 用戶端 ID 和 OAuth 密鑰。建立執行個體後，在 OAuth 用戶端的「已授權的重新導向 URI」部分輸入執行個體的網址。

• allowed_vpcs：如果您建立的執行個體只使用私人連線，請列出允許傳入 (輸入) 存取 Looker (Google Cloud Core) 執行個體的虛擬私有雲。如要從執行個體所在的虛擬私有雲外部存取執行個體，您必須列出至少一個虛擬私有雲。請使用下列其中一種格式指定虛擬私有雲：

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  如果您要建立使用混合連線的執行個體，則不必設定允許的虛擬私有雲。您之後可以更新及新增其他虛擬私有雲 IP。

  您也需要更新執行個體，建立輸出連線。

  重要事項： 使用 Terraform 建立執行個體時，請勿在建立資源區塊中定義輸出 (輸出) 連線，例如服務附件。此時指定傳出連線會導致執行個體建立失敗。您必須在建立執行個體後指定傳出連線。

查看執行個體狀態

執行個體大約需要 40 到 60 分鐘才能建立完成。

主控台

建立執行個體時，您可以在控制台的「Instances」(執行個體) 頁面查看狀態。您也可以按一下 Google Cloud 控制台選單中的通知圖示，查看執行個體建立活動。執行個體建立完成後，其「詳細資料」頁面會顯示「有效」狀態。

gcloud

如要查看狀態，請使用 gcloud looker instances describe 指令：

gcloud looker instances describe INSTANCE_NAME --region=REGION

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
• REGION：Looker (Google Cloud Core) 執行個體的代管區域。

執行個體達到 ACTIVE 狀態後，即可開始使用。

重要事項： 建立停用公開連線的 Private Service Connect 執行個體時，不會收到執行個體的網址。您必須設定自訂網域，並設定該網域的存取權。如要進一步瞭解如何設定 Looker (Google Cloud Core) (Private Service Connect) 執行個體的存取權，請參閱「使用 Private Service Connect 北向存取 Looker (Google Cloud Core) 執行個體」說明文件頁面。

此外，您可以在建立執行個體後，編輯執行個體設定來進行其他變更。

設定傳入連線

建立 Looker (Google Cloud Core) Private Service Connect 執行個體後，即可設定傳入連線。

如果您在 Looker (Google Cloud Core) 執行個體中使用混合式連線，則可透過公開安全連線存取執行個體。如果您選擇在 Looker (Google Cloud Core) 執行個體中僅使用私人連線，則必須允許至少一個 VPC 存取執行個體。請完成下列步驟，更新可存取執行個體的虛擬私有雲。多個虛擬私有雲可存取執行個體。

主控台

1. 在「Instances」(執行個體) 頁面中，按一下要更新允許傳入存取的虛擬私有雲的執行個體名稱。
2. 按一下 [編輯]。
3. 展開「連線」專區。
4. 前往「設定傳入連線」部分。
5. 按一下「新增項目」。接著，在「Project」(專案) 欄位中選取虛擬私有雲所在的專案，然後從「Network」(網路) 下拉式選單中選取網路。
6. 如要刪除虛擬私有雲，請將指標懸停在網路上，然後按一下隨即顯示的「刪除項目」垃圾桶圖示。
7. 按一下 [儲存]。

gcloud

使用 --psc-allowed-vpcs 旗標更新有權從外部存取執行個體的虛擬私有雲清單。

更新允許的虛擬私有雲時，您必須指定更新後要生效的完整清單。舉例來說，假設您已允許 VPC ALLOWED_VPC_1，現在想新增 VPC ALLOWED_VPC_2。如要新增虛擬私有雲 ALLOWED_VPC_1，同時確保虛擬私有雲 ALLOWED_VPC_2 仍可存取，請新增 --psc-allowed-vpcs 旗標，如下所示：

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
• ALLOWED_VPC_1 和 ALLOWED_VPC_2：允許進入 Looker (Google Cloud Core) 的虛擬私有雲。請使用下列其中一種格式，指定各個允許的虛擬私有雲：
  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
• REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

虛擬私有雲具備執行個體的傳入存取權後，您就可以透過該虛擬私有雲設定北向連線。

刪除所有允許的虛擬私有雲

如要刪除所有允許的虛擬私有雲，請執行下列指令：

gcloud looker instances update MY_INSTANCE --clear-psc-allowed-vpcs \
--region=REGION

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
• REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

設定傳出連線

建立 Looker (Google Cloud Core) Private Service Connect 執行個體後，即可設定外部服務的傳出 (輸出) 連線。

如要連線至使用標準網路通訊協定 HTTPS 的外部服務，且可用通訊埠為 443 或 8443，您可以使用 Looker (Google Cloud Core) 的受控原生輸出和全域 FQDN 設定來設定連線。不過，如果外部服務使用其他通訊協定，則必須透過 Private Service Connect 發布，才能使用本機 FQDN 連線至 Looker (Google Cloud Core) 執行個體。

以下各節說明如何使用全域 FQDN 連線至 Looker Marketplace (外部網域)，或使用本機 FQDN 連線至已發布的服務。

連線至 Looker Marketplace

Looker (Google Cloud Core) 可以使用 HTTPS 和Secure Web Proxy 直接連線至 Looker Marketplace。連線至 Marketplace 也會允許將流量輸出至 github.com。

如要連線至 Marketplace，請完成下列步驟：

主控台

1. 在「Instances」(執行個體) 頁面中，按一下要啟用傳出 (輸出) 連線的執行個體名稱。
2. 按一下 [編輯]。
3. 展開「連線」專區。
4. 前往「設定傳出連線」部分。
5. 勾選「啟用 Looker 連線至外部服務」核取方塊。
6. 勾選「啟用 Looker Marketplace 連線」核取方塊。
7. 對話方塊會說明連至 Marketplace 後，即可將流量輸出至 github.com，請點選「確認」。
8. 按一下 [儲存]。

使用全域 FQDN 連線至外部網域

Looker (Google Cloud Core) 可使用 HTTPS 和安全網路 Proxy，透過全域 FQDN 設定連線至外部公用網域。連線是透過 HTTPS 建立。外部服務必須開放通訊埠 443，且不需要服務附件 URI。

這項設定也可用來允許流量傳送至受限制 VIP 不支援的 Google API。舉例來說，如要允許 Looker (Google Cloud Core) 執行個體連線至 Google 地圖 API，請新增 maps.googleapis.com 做為全域 FQDN。

如要找出 Looker (Google Cloud Core) 執行個體使用的公開輸出 IP 位址，請前往 Google Cloud 控制台，在「執行個體」頁面中，前往 Looker (Google Cloud Core) 執行個體的「詳細資料」分頁。用於網際網路輸出流量的 IP 位址會顯示在「受控輸出設定」部分的「輸出 IP」欄位中。IP 位址是 Looker (Google Cloud Core) 執行個體專屬。這些 IP 位址是透過 Secure Web Proxy 分配，屬於動態位址，可能會在無預警的情況下變更。

注意： 建議您僅在遠端端點允許所有傳入網路流量，且沒有 IP 限制時，才使用受控原生輸出。

如要使用全域 FQDN 連線至外部服務，請完成下列步驟：

主控台

1. 在「執行個體」頁面，按一下要啟用傳出 (輸出) 連線的執行個體名稱。
2. 按一下 [編輯]。
3. 展開「連線」專區。
4. 前往「設定傳出連線」部分。
5. 勾選「啟用 Looker 連線至外部服務」核取方塊。
6. 在「全域 FQDN」部分，輸入要連線的完整網域名稱。
7. 如要新增其他網域，請按一下「新增項目」。
8. 按一下 [儲存]。

使用本機 FQDN 連線至已發布的服務

Looker (Google Cloud Core) 可透過 Private Service Connect，使用本機 FQDN 設定連線至已發布的服務。

首先，您需要使用 Private Service Connect 發布外部服務，並取得該服務的服務連結 URI。接著，您需要在 Google Cloud 控制台中更新「本機 FQDN」設定。

使用 Private Service Connect 發布外部服務

如要發布服務，請按照使用 Private Service Connect 發布服務的操作說明。

服務可以自動核准或明確核准的方式發布。如果選擇透過明確核准發布，則必須按照下列方式設定服務連結：

• 將服務連結許可清單設為使用專案 (而非網路)。
• 將 Looker 租戶專案 ID 新增至許可清單。

建立執行個體後，您可以執行下列指令，找出 Looker 租戶專案 ID：

gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
• REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

在指令輸出內容中，「looker_service_attachment_uri」欄位會包含 Looker 租戶專案 ID。格式如下：projects/{Looker tenant project ID}/regions/…

服務連結 URI

在 Google Cloud 控制台更新 Looker (Google Cloud Core) 執行個體，以便連線至服務時，您需要外部服務的完整服務連結 URI。URI 的指定方式如下，使用您建立服務連結時所用的專案、區域和名稱：

projects/{project}/regions/{region}/serviceAttachments/{name}

在 Google Cloud 控制台中更新「本機 FQDN」設定

主控台

1. 在「Instances」(執行個體) 頁面中，按一下要啟用傳出 (輸出) 連線的執行個體名稱。
2. 按一下 [編輯]。
3. 展開「連線」專區。
4. 前往「本機 FQDN」部分。
5. 如要編輯現有的服務連結，請在「Local FQDN」(本機 FQDN) 欄位中更新服務的完整網域名稱，並在「Target Service Attachment URI」(目標服務連結 URI) 欄位中更新服務連結 URI。
6. 如要新增服務附件，請按一下「新增項目」。接著，在「Local FQDN」(本機 FQDN) 欄位中輸入服務的完整網域名稱，並在「Target Service Attachment URI」(目標服務連結 URI) 欄位中輸入服務連結 URI。
7. 按一下 [儲存]。

注意： 將 Looker (Google Cloud Core) 連線至資料庫時，請確保「Local FQDN」(本機 FQDN) 欄位中提供的名稱，與 Looker (Google Cloud Core) 內「Connect your database to Looker」(將資料庫連線至 Looker) 頁面「Host」(主機) 欄位中提供的名稱完全相符。

gcloud

使用 --psc-service-attachment 旗標，為已設定 Private Service Connect 的外部服務啟用傳出 (輸出) 連線：

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。

• DOMAIN_1 和 DOMAIN_2：如要連線至公開服務，請使用服務的網域名稱。如要連線至私人服務，請使用您選擇的完整網域名稱。網域名稱須遵守下列限制：

• 每個外連都支援單一網域。

• 網域名稱至少須包含三部分。舉例來說，mydomain.github.com 可以接受，但 github.com 不行。

• 名稱的最後一部分不得為下列任一項：

  • googleapis.com
  • google.com
  • gcr.io
  • pkg.dev

  從 Looker (Google Cloud Core) 執行個體內設定服務連線時，請使用這個網域做為服務的別名。

• SERVICE_ATTACHMENT_1 和 SERVICE_ATTACHMENT_2：要連線的已發布服務完整服務連結 URI。每個服務連結 URI 只能由一個網域存取。

• REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

納入所有應啟用的連結

每次使用 --psc-service-attachment 旗標執行更新指令時，都必須納入要啟用的所有連線，包括先前已啟用的連線。舉例來說，假設您先前已將名為 my-instance 的執行個體連結至 www.cloud.com 網域，如下所示：

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud

執行下列指令來新增 www.me.com 連線，會刪除 www.cloud.com 連線：

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

為避免在新增 www.me.com 連線時刪除 www.cloud.com 連線，請在更新指令中為現有連線和新連線分別加入 psc-service-attachment 旗標，如下所示：

gcloud looker instances update my-instance --psc-service-attachment \
domain=www.cloud.com,attachment=projects/123/regions/us-central1/serviceAttachment/cloud \
--psc-service-attachment domain=www.me.com,attachment=projects/123/regions/us-central1/serviceAttachment/my-sa

Terraform

使用下列 Terraform 資源更新 Looker (Google Cloud Core) 執行個體，啟用傳出 (輸出) 連線，連至已透過 Private Service Connect 發布的外部服務：

service_attachments = [{local_fqdn: "www.local-fqdn.com" target_service_attachment_uri: "projects/{project}/regions/{region}/serviceAttachments/{name}}]

輸入下列值：

• local_fqdn：已發布服務的完整網域名稱。
• target_service_attachment_uri：要連線的已發布服務完整服務連結 URI。每個服務連結 URI 只能由一個網域存取。

如果連線至非 Google 代管服務，且該服務位於 Looker (Google Cloud Core) 執行個體所在區域以外，請在供應商負載平衡器上啟用全域存取權。

檢查外向連線狀態

您可以透過 Google Cloud CLI 或控制台，查看傳出 (輸出) 連線的狀態。

主控台

在控制台的執行個體設定頁面，查看「詳細資料」分頁中的連線狀態。「PSC Configuration」(PSC 設定) 欄位會顯示各類連線的狀態。

gcloud

執行 gcloud looker instances describe --format=json 指令，檢查外送連線狀態。每個服務連結都應填入 connection_status 欄位。

注意： 連線狀態每五分鐘更新一次。如果您最近更新了服務連結，這個欄位可能已過時。

注意： 如果您未透過控制台中的「Allowed VPCs」(允許的虛擬私有雲) 欄位或 gcloud 指令中的 --psc-allowed-vpcs 旗標設定允許的虛擬私有雲，可能會收到錯誤訊息，或連線狀態停留在「Pending」(待處理)。

排解傳出連線問題

為傳出連線設定服務連結時 (例如連線至 Git 存放區或資料庫)，如果連線狀態顯示「已拒絕」，請檢查託管服務連結的專案或組織，確認供應商組織政策。compute.restrictPrivateServiceConnectConsumer 清單限制可能妨礙連線。請確認與 Looker (Google Cloud Core) 執行個體網路連線相關聯的組織、資料夾或專案，已納入生產端這項政策的允許值。詳情請參閱生產者組織政策說明文件。

刪除所有傳出連線

如要刪除所有傳出 (輸出) 連線，請執行下列指令：

gcloud looker instances update MY_INSTANCE --clear-psc-service-attachments \
--region=REGION

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
• REGION：託管 Looker (Google Cloud Core) 執行個體的區域。

執行個體的北向存取權

建立 Looker (Google Cloud Core) (Private Service Connect) 執行個體後，您可以設定連入存取權，允許使用者存取執行個體。

如果您在設定執行個體時選擇混合式連線，可以透過執行個體的網址設定傳入存取權。如果您已設定自訂網域，可以在 Google Cloud 控制台的「執行個體」頁面，或執行個體詳細資料頁面的「自訂網域」分頁中找到該網址。您可以設定 IP 許可清單，將傳入連線限制為來自特定 IP 位址的流量。

如果您在設定執行個體時選取私人連線，可以按照建立 Private Service Connect 端點的操作說明，設定從其他虛擬私有雲網路連入執行個體的權限。建立端點時，請遵循下列規範：

• 請務必將網路新增至允許的虛擬私有雲清單，允許網路傳入 Looker (Google Cloud Core) 執行個體。

• 將「Target service」(目標服務) 欄位 (如果使用 Google Cloud 控制台) 或 SERVICE_ATTACHMENT 變數 (如果使用 Google Cloud CLI 或 Looker API) 設為 Looker 服務連結 URI。如要查看這個 URI，請前往控制台的執行個體設定頁面，然後查看「Details」(詳細資料) 分頁，或執行下列指令：

  gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

  更改下列內容：

  • INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
  • REGION：託管 Looker (Google Cloud Core) 執行個體的區域。
  注意： 請按照「將 Private Service Connect 連線遷移至新的服務連結 URI」說明文件頁面的指示，確認您使用的是更新後的服務連結 URI。

• 您可以使用與 Looker (Google Cloud Core) 執行個體託管於相同區域的任何子網路。

• 全域存取權可讓您從任何區域存取 Looker (Google Cloud Core) 執行個體。以下幾點說明是否可以啟用全域存取權，以及啟用方式：

  • 如果使用舊版服務連結 URI，則不支援全域存取權。
  • 如果您使用新的強化服務連結 URI，可以透過下列兩種方式之一啟用全域存取權：
    • 如果您使用 Private Service Connect 網路端點群組 (NEG)，可以在負載平衡器前端啟用全域存取權。
    • 否則，您可以在 Private Service Connect 端點上啟用全域存取權。

為 Private Service Connect 執行個體建立自訂網域

如果您在設定執行個體時選擇混合式連線，請按照「為使用公開連線的 Looker (Google Cloud Core) 執行個體設定自訂網域」說明文件頁面的指示，設定自訂網域。

疑難排解執行個體建立問題

如需疑難排解說明，請參閱「排解 Looker (Google Cloud Core) 執行個體建立失敗問題」說明文件頁面。

後續步驟

• 如果設定執行個體時只選擇私人連線，請按照「使用 Private Service Connect 私人連入 Looker (Google Cloud Core) 執行個體」說明文件頁面的指示，設定自訂網域。
• 如果您使用混合連線，請設定 IP 許可清單，將傳入流量限制在特定 IP 位址。
• 您可以使用 Private Service Connect 設定透過網際網路公開存取。
• 或者，您也可以使用 Private Service Connect 設定私人傳入存取權。