本頁面由 Cloud Translation API 翻譯而成。

安裝 Looker 應用程式

本頁面說明如何為客戶代管的部署作業安裝 Looker 應用程式。

託管 Looker 應用程式與資料存放位置無關；資料一律會保留在資料庫中，不會複製到 Looker 執行個體。

部署規格

如果您要在未連上網際網路的網路上執行 Looker，可能需要設定 Proxy 伺服器，以便與 Looker 授權伺服器進行通訊，或是使用只進行網頁呼叫的無伺服器網頁服務，例如 BigQuery。

請在符合下列最低需求的專用機器上安裝 Looker 應用程式：

1.2 GHz CPU；Looker 建議使用兩個以上的核心。
8 GB 可用 RAM。
10 GB 可用磁碟空間。
2 GB 交換檔案空間。
Linux。我們使用 Ubuntu Linux (LTS 版本) 進行內部 Looker 代管作業，並建議不偏好 Linux 的客戶使用。不過，我們支援所有主要企業版 Linux 發行版的 Looker 發布版本，包括 RedHat、CentOS 和 Amazon Linux。Looker 僅支援 x64 指令集的 Linux 版本。
Java OpenJDK 11.0.12 以上版本或 HotSpot 1.8 更新 161 以上版本。Looker 會使用 OpenJDK (11 版) 改善效能和記憶體用量。Looker 建議您使用 JDK 而非 JRE，以便充分利用額外的疑難排解工具。此外，Looker 建議您在新的 Java 更新推出時立即改用。目前不支援其他版本的 Java、Oracle JDK 和 OpenJDK。

注意： 建議您在 JDK11 下執行 Looker 時，使用 JVM 標記 -Dnashorn.args=--optimistic-types=false 啟動 Looker。
系統中必須有 libssl 和 libcrypt.so。
您必須允許 Looker 執行個體透過 TCP 通訊埠 9999 接收流量。
如果使用者需要 API 存取權，您必須允許 Looker 執行個體透過 TCP 通訊埠 19999 接收流量。
如果 Looker 是透過 AWS VPC 私人網路連線至 AWS Redshift，則必須將 MTU 設為 1500。如要進一步瞭解這項設定，請參閱這篇 Amazon Web Services 文章的「設定執行個體的 MTU」一節。如果 Looker 在資料庫連線測試期間偵測到 MTU 設定大於 1500，就會顯示以下錯誤：
```
MTU of network interface eth0 is too large (> 1500).
If Looker instance and Redshift cluster are within the same VPC,
this warning can be ignored.
```
下列 TCP keepalive 設定。如要讓這些設定在重新啟動後繼續有效，請在 /etc/sysctl.conf 或 /etc/sysctl.d 目錄中的檔案中設定：
```
net.ipv4.tcp_keepalive_time=200
net.ipv4.tcp_keepalive_intvl=200
net.ipv4.tcp_keepalive_probes=5
```
在名為 looker 的群組中，有一位名為 looker 的使用者，用來執行 Looker 應用程式。
looker 使用者 (4096 以上版本) 的 ulimit。如要執行上述動作，請在 /etc/security/limits.conf 中加入下列程式行：
```
looker     soft     nofile     4096
looker     hard     nofile     4096
```
透過 NTP 或同等方式進行時間同步處理。
/tmp 資料夾不得使用 noexec 選項掛載。
looker 主目錄不應掛接在 NFS 磁碟區上。
建議將伺服器的時區設為世界標準時間 (UTC)，但這不是必要步驟。
Looker 23.6 以上版本需要使用 Git 2.39.1 以上版本。
雖然不是必要工具，但 Netcat 有助於排解網路連線問題。如要在 Ubuntu 伺服器上安裝 Netcat，常見的指令如下：
```
sudo apt-get install netcat
```
如有需要，您可以設定 Proxy 伺服器，以便處理 Looker 需要向本機主機上的「core」傳送的 HTTP(S) 要求。如要與 Looker 本機 Proxy 伺服器通訊，您必須在 lookerstart.cfg 中加入一些特殊引數：加入 http.nonProxyHosts=localhost，即可在不經過 Proxy 的情況下存取 Looker 本機。

為避免維護和資源衝突，請勿使用 Looker 伺服器代管其他應用程式。

啟用 ntpd 或 chronyd

NTP 代表網路時間通訊協定。這可讓主機的系統時鐘始終維持正確時間，Looker 需要正確的時間才能正常運作。只要時間保持同步，Looker 就不需要使用任何特定的時間同步處理軟體。您不必執行 NTP 伺服器，只需要 NTP 用戶端即可。您可以將 chronyd 替換為 NTP。

如要瞭解如何啟用 ntpd 或 chronyd，請參閱作業系統供應商的說明文件。

建立加密金鑰

Looker 會使用 AES-256 Galois/計數器模式 (GCM) 加密機制，加密內部儲存的機密資料，包括：

Looker 內部資料庫的備份
資料庫和服務連線資訊
使用者驗證資訊
使用者屬性值
已快取或準備好供傳送的客戶資料

如需 Looker 加密資料的詳細清單，請提出支援要求。

系統會使用專屬的資料金鑰加密資料，並包含已簽署且有版本號碼的信封式加密資料，以確保驗證。這個模式需要使用外部客戶主金鑰 (CMK)。CMK 用於擷取、加密及解密金鑰加密金鑰 (KEK)，而 KEK 則用於擷取、加密及解密資料金鑰。

加密功能僅用於 Looker 內部資料庫和快取。客戶資料庫不會受到 Looker 加密功能的任何影響。此外，只有靜態資料 (儲存在磁碟上的資料) 會以這種方式加密。

客戶代管安裝作業可以使用自己的 AWS KMS 帳戶或自訂金鑰管理系統。所有資料金鑰和 KEK 都會加密，並在客戶代管的 Looker 安裝作業中內部使用。如果您未使用 AWS KMS，請將外部 CMK 儲存在安全且永久的位置。在內部資料庫加密後遺失 CMK，可能會導致執行個體遺失。

如果您使用 AWS KMS

如果您使用 AWS KMS，請使用 AWS 管理主控台或 API 建立 CMK。

建立 CMK 後，Looker 建議您建立新的 IAM 角色，並將該角色附加至 Looker 執行個體。

以下是包含 CMK 所需最低權限的 IAM 角色範例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "kms:GenerateRandom",
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:Generate*",
            ],
            "Resource": "arn:aws:kms:*:*:key/*"
        }
    ]
}

建立 CMK 和新的 IAM 角色後，請將 AWS_REGION 環境變數設為 AWS 區域，並將 LKR_AWS_CMK 環境變數設為 CMK 別名：

export AWS_REGION=<AWS_region>
export LKR_AWS_CMK=alias/<CMK_alias>

您也可以選擇設定 LKR_AWS_CMK_EC 環境變數，以設定自訂的 AWS 加密內容。如果您未設定這個環境變數，Looker 會使用預設的加密內容，也就是字串 Looker_Encryption_Context。

export LKR_AWS_CMK_EC=<My_Encryption_Context>

如果您未使用 AWS KMS

如果您未使用 AWS KMS，請產生 32 位元組的 Base64 CMK。您可以將 CMK 儲存在環境變數或檔案中：

如要產生 CMK 並儲存在環境變數中，您可以使用下列指令產生 CMK：
```
openssl rand -base64 32
```
產生 CMK 後，請複製該 CMK，然後使用下列指令將 CMK 儲存在 LKR_MASTER_KEY_ENV 環境變數中 (<CMK_value> 是您使用上一個指令產生的 CMK)：
```
export LKR_MASTER_KEY_ENV=<CMK_value>
```
如要產生 CMK 並儲存在檔案中，您可以使用下列指令 (其中 <path_to_key_file> 是儲存 CMK 的路徑和檔案名稱)：
```
openssl rand -base64 32 > <path_to_key_file>
```
產生 CMK 檔案後，請將金鑰檔案權限設為目前使用者的唯讀權限：
```
chmod 0400 <path_to_key_file>
```

產生 CMK 後，請務必先將其儲存在安全且永久的位置，再繼續操作！在內部資料庫加密後遺失 CMK，可能會導致執行個體遺失。

產生並儲存 CMK 後，請設定 LKR_MASTER_KEY_ENV 環境變數：

如果您將 CMK 儲存在環境變數中，請將 LKR_MASTER_KEY_ENV 環境變數設為 CMK 的值：
```
export LKR_MASTER_KEY_ENV=<CMK_value>
```
如果您將 CMK 儲存在檔案中，請將 LKR_MASTER_KEY_FILE 環境變數設為 CMK 檔案的路徑：
```
export LKR_MASTER_KEY_FILE=<path_to_key_file>
```

產生 CMK 後，請務必先將其儲存在安全且永久的位置，再繼續操作！在內部資料庫加密後遺失 CMK，可能會導致執行個體遺失。