Crear una instancia de Private Service Connect de Looker (Google Cloud core)

consola

1. Ve a la página del producto Looker (en la infraestructura de Google Cloud) desde tu proyecto en la consola de Google Cloud. Si ya has creado una instancia de Looker (Google Cloud Core) en este proyecto, se abrirá la página Instancias.

   Ir a Looker (servicio principal de Google Cloud)

2. Haz clic en CREAR INSTANCIA.
3. En la sección Nombre de la instancia, indica un nombre para tu instancia de Looker (Google Cloud Core). El nombre de la instancia no está asociado a la URL de la instancia de Looker (Google Cloud core) una vez que se ha creado. El nombre de la instancia no se puede cambiar después de crearla.
4. En la sección Credenciales de la aplicación OAuth, introduce el ID de cliente de OAuth y el secreto de OAuth que creaste al configurar tu cliente de OAuth.

5. En la sección Región, selecciona la opción adecuada en el menú desplegable para alojar tu instancia de Looker (Google Cloud core). Selecciona la región que coincida con la región del contrato de suscripción, que es donde se asigna la cuota de tu proyecto. Las regiones disponibles se indican en la página de documentación sobre las ubicaciones de Looker (Google Cloud Core).

   No puedes cambiar la región una vez que se haya creado la instancia.

6. En la sección Edición, elige una opción de edición Enterprise o Embed (de producción o no de producción). El tipo de edición afecta a algunas de las funciones disponibles para la instancia. Asegúrate de elegir el mismo tipo de edición que se indica en tu contrato anual y de que tienes cuota asignada para ese tipo de edición.

   • Empresa: plataforma Looker (principal de Google Cloud) con funciones de seguridad mejoradas para abordar una amplia variedad de casos prácticos de BI y analíticas internos.
   • Insertar: plataforma de Looker (Google Cloud core) para implementar y mantener analíticas externas fiables y aplicaciones personalizadas a gran escala
   • Ediciones que no son de producción: si quieres un entorno de preproducción y de pruebas, selecciona una de las ediciones que no son de producción. Para obtener más información, consulta la documentación sobre instancias de no producción.
   • Ediciones de prueba: una edición de prueba tiene las mismas funciones que la edición de producción correspondiente, con la excepción de que las ediciones de prueba son válidas durante 90 días.

   Las ediciones no se pueden cambiar después de crear la instancia. Si quieres cambiar de edición, puedes usar la función de importación y exportación para mover los datos de tu instancia de Looker (Google Cloud core) a una nueva instancia configurada con otra edición.

7. En la sección Personalizar la instancia, haz clic en Mostrar opciones de configuración para ver un grupo de ajustes adicionales que puedes personalizar en la instancia.

8. En la sección Conexiones, en Asignación de IP de instancia, elige Usar conexiones híbridas o Usar conexiones privadas. El tipo de conexión de red que selecciones afectará a las funciones de Looker disponibles en la instancia. Están disponibles las siguientes opciones de conexión de red:

   • Usar conexiones públicas seguras: Looker tendrá una URL pública y usará una red pública para las conexiones salientes.

   • Usar conexiones híbridas: Looker tendrá una URL pública y usará endpoints de PSC para las conexiones salientes.

   • Usar conexiones privadas: asigna una dirección IP interna definida por el cliente a la que se puede acceder en una nube privada virtual (VPC) para el tráfico de entrada. Para comunicarte con las cargas de trabajo de VPC y on-premise o multinube, debes implementar adjuntos de servicio para el tráfico de salida. Si quieres usar Controles de Servicio de VPC, debes seleccionar Usar conexiones privadas.

9. Si vas a crear una instancia que solo use conexiones privadas, define al menos una VPC permitida que tenga conexiones entrantes a la instancia. En Configurar conexiones entrantes, en el campo Proyecto 1, selecciona el proyecto en el que se creó esta red.

   Para añadir más conexiones entrantes, haz clic en Añadir elemento para añadir cada VPC. En el campo Proyecto X, selecciona el proyecto en el que se creó la red. En el menú desplegable Red, selecciona la red.

   Si seleccionas Usar conexiones híbridas en la sección Conexiones, no aparecerá la sección Configurar conexiones entrantes. Puedes configurar el acceso a la instancia a través de la URL web de la instancia.

10. En la sección FQDN local, especifica uno o varios adjuntos de servicio que expongan un endpoint para las conexiones salientes a las que pueda conectarse Looker. En el campo FQDN local 1, introduce el nombre de dominio completo del servicio y, en el campo URI de vinculación de servicio de destino 1, introduce el URI de vinculación de servicio completo del servicio externo.

    Para añadir más archivos adjuntos de servicio, haz clic en Añadir elemento para añadir cada archivo adjunto de servicio. En el campo FQDN local, introduce el nombre de dominio completo del servicio. En el campo URI de vinculación de servicio de destino, introduce el URI de vinculación de servicio completo del servicio externo.

11. En la sección Cifrado, puedes seleccionar el tipo de cifrado que quieras usar en tu instancia. Están disponibles las siguientes opciones de cifrado:

    • Google-managed encryption key: esta opción está activada de forma predeterminada y no requiere ninguna configuración adicional.
    • Clave de cifrado gestionada por el cliente (CMEK): consulta la página de documentación Usar claves de cifrado gestionadas por el cliente con Looker (Google Cloud core) para obtener más información sobre las CMEK y cómo configurarlas durante la creación de la instancia. El tipo de cifrado no se puede cambiar después de crear la instancia.
    • Habilita el cifrado validado por FIPS 140-2: consulta la página de documentación Habilitar el cumplimiento del nivel 1 de FIPS 140-2 en una instancia de Looker (Google Cloud core) para obtener más información sobre la compatibilidad con FIPS 140-2 en Looker (Google Cloud core).

12. En la sección Ventana de mantenimiento, puedes especificar el día de la semana y la hora en los que Looker (Google Cloud core) programa el mantenimiento. Las ventanas de mantenimiento duran una hora. De forma predeterminada, la opción Ventana preferida de Ventana de mantenimiento está definida como Cualquier ventana.

13. En la sección Deny Maintenance Period (Denegar periodo de mantenimiento), puedes especificar un bloque de días en los que Looker (Google Cloud core) no programe el mantenimiento. Los periodos de denegación de mantenimiento pueden durar hasta 60 días. Debes permitir al menos 14 días de disponibilidad de mantenimiento entre dos periodos de mantenimiento denegados.

14. En la sección Gemini en Looker, puedes hacer que las funciones de Gemini en Looker estén disponibles para la instancia de Looker (Google Cloud Core). Para habilitar Gemini en Looker, selecciona Gemini y, a continuación, Funciones para testers de confianza. Cuando la opción Funciones para testers de confianza está habilitada, los usuarios pueden acceder a las funciones para testers de confianza de Gemini en Looker. Cada usuario puede solicitar acceso a las funciones no públicas para testers de confianza usando el formulario de versión preliminar de Gemini en Looker. Debes habilitar este ajuste para usar Gemini durante la vista previa de acceso previo a la disponibilidad general. También puedes seleccionar Uso de datos de testers de confianza. Si habilitas este ajuste, aceptas que Google utilice tus datos tal como se describe en los términos del Programa de Testers de Confianza de Gemini Google Cloud . Para inhabilitar Gemini en una instancia de Looker (Google Cloud Core), desmarca el ajuste Gemini.

15. Haz clic en Crear.

gcloud

Para crear una instancia de Private Service Connect, ejecuta el comando gcloud looker instances create con todas las siguientes marcas:

gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]
[--no-public-ip-enabled]
[--public-ip-enabled]
--async

Haz los cambios siguientes:

• INSTANCE_NAME: nombre de tu instancia de Looker (servicio principal de Google Cloud). No está asociado a la URL de la instancia.
• OAUTH_CLIENT_ID y OAUTH_CLIENT_SECRET: el ID de cliente de OAuth y el secreto de OAuth que creaste al configurar tu cliente de OAuth. Una vez creada la instancia, introduce su URL en la sección URIs de redirección autorizadas del cliente de OAuth.
• REGION: la región en la que se aloja tu instancia de Looker (Google Cloud Core). Selecciona la región que coincida con la del contrato de suscripción. Las regiones disponibles se indican en la página de documentación sobre las ubicaciones de Looker (Google Cloud Core).
• EDITION: la edición, el tipo de entorno (producción o no producción) y si se trata de una edición de prueba de la instancia. Los valores posibles son core-enterprise-annual, core-embed-annual, nonprod-core-enterprise-annual, nonprod-core-embed-annual, core-trial-enterprise o core-trial-embed. Las ediciones no se pueden cambiar después de crear la instancia. Si quieres cambiar de edición, puedes usar la función de importación y exportación para mover los datos de tu instancia de Looker (Google Cloud core) a una nueva instancia configurada con otra edición.

• ALLOWED_VPC: Si vas a crear una instancia que solo use conexiones privadas, indica una VPC que tenga permitido el acceso entrante a Looker (núcleo de Google Cloud). Para acceder a la instancia desde fuera de la VPC en la que se encuentra, debe enumerar al menos una VPC. Especifica una VPC con uno de los siguientes formatos:

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  Si vas a crear una instancia que use conexiones híbridas, no tienes que definir una VPC permitida.

• ADDITIONAL_ALLOWED_VPCS: cualquier VPC adicional que deba tener acceso entrante a Looker (Google Cloud core) se puede añadir a la marca --psc-allowed-vpcs en una lista separada por comas.

También debes incluir una de las siguientes marcas para habilitar o inhabilitar las conexiones públicas:

• --public-ip-enabled habilita las conexiones públicas. Si habilitas las conexiones públicas en la instancia, el tráfico entrante se dirigirá a través de conexiones públicas y el tráfico saliente se dirigirá a través de Private Service Connect.
• --no-public-ip-enabled inhabilita las conexiones públicas.

Si quieres, puedes añadir más parámetros para aplicar otros ajustes de la instancia:

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  --kms-key=KMS_KEY_ID
  [--fips-enabled]
  

• MAINTENANCE_WINDOW_DAY: debe ser uno de los siguientes: friday, monday, saturday, sunday, thursday, tuesday o wednesday. Consulta la página de documentación Gestionar políticas de mantenimiento de Looker (Google Cloud core) para obtener más información sobre los ajustes de la ventana de mantenimiento.
• MAINTENANCE_WINDOW_TIME y DENY_MAINTENANCE_PERIOD_TIME: deben estar en formato UTC de 24 horas (por ejemplo, 13:00 o 17:45).
• DENY_MAINTENANCE_PERIOD_START_DATE y DENY_MAINTENANCE_PERIOD_END_DATE: deben tener el formato YYYY-MM-DD.
• KMS_KEY_ID: debe ser la clave que se crea al configurar las claves de cifrado gestionadas por el cliente (CMEK).

Puedes incluir la marca --fips-enabled para habilitar el cumplimiento del estándar FIPS 140-2 de nivel 1.

El proceso para crear una instancia de Private Service Connect difiere del proceso para crear una instancia de Looker (Google Cloud core) (acceso a servicios privados) de las siguientes formas:

• Con la configuración de Private Service Connect, no son necesarias las marcas --consumer-network y --reserved-range.
• Las instancias de Private Service Connect requieren un indicador adicional: --psc-enabled.

• La marca --psc-allowed-vpcs es una lista de VPCs separadas por comas. Puedes especificar tantas VPCs como quieras en la lista.

consola

Mientras se crea la instancia, puedes ver su estado en la página Instancias de la consola. También puedes ver tu actividad de creación de instancias haciendo clic en el icono de notificaciones del menú de la consola de Google Cloud . En la página Detalles de la instancia, su estado será Activo una vez creada.

gcloud

Para comprobar el estado, usa el comando gcloud looker instances describe:

gcloud looker instances describe INSTANCE_NAME --region=REGION

Haz los cambios siguientes:

• INSTANCE_NAME: el nombre de tu instancia de Looker (servicio principal de Google Cloud).
• REGION: la región en la que se aloja tu instancia de Looker (Google Cloud Core).

La instancia estará lista cuando alcance el estado ACTIVE.

consola

1. En la página Instancias, haz clic en el nombre de la instancia en la que quieras habilitar las conexiones de salida.
2. Haz clic en Editar.
3. Despliega la sección Conexiones.
4. Para editar una vinculación de servicio, actualiza el nombre de dominio completo del servicio en el campo Nombre de dominio completo local y el URI de la vinculación de servicio en el campo URI de la vinculación de servicio de destino.
5. Para añadir un nuevo archivo adjunto de servicio, haz clic en Añadir elemento. A continuación, introduce el nombre de dominio completo del servicio en el campo Nombre de dominio completo local y el URI de la vinculación de servicio en el campo URI de la vinculación de servicio de destino.
6. Haz clic en Guardar.

gcloud

Usa las marcas --psc-service-attachment para habilitar las conexiones de salida a servicios externos para los que ya hayas configurado Private Service Connect:

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

Haz los cambios siguientes:

• INSTANCE_NAME: el nombre de tu instancia de Looker (servicio principal de Google Cloud).

• DOMAIN_1 y DOMAIN_2: si te conectas a un servicio público, usa el nombre de dominio del servicio. Si te conectas a un servicio privado, usa el nombre de dominio completo que quieras. Se aplican las siguientes restricciones al nombre de dominio:

• Cada conexión saliente admite un solo dominio.

• El nombre de dominio debe constar de al menos tres partes. Por ejemplo, mydomain.github.com es aceptable, pero github.com no lo es.

• La última parte del nombre no puede ser ninguna de las siguientes:

  • googleapis.com
  • google.com
  • gcr.io
  • pkg.dev

  Cuando configures una conexión a tu servicio desde tu instancia de Looker (Google Cloud core), usa este dominio como alias de tu servicio.

• SERVICE_ATTACHMENT_1 y SERVICE_ATTACHMENT_2: el URI completo del archivo adjunto de servicio del servicio publicado al que te vas a conectar. Solo se puede acceder a cada URI de adjunto de servicio desde un único dominio.

• REGION: la región en la que se aloja tu instancia de Looker (Google Cloud Core).

Si te conectas a un servicio no gestionado por Google en una región distinta a la de tu instancia de Looker (Google Cloud core), habilita el acceso global en el balanceador de carga del productor.

consola

Consulta el estado de la conexión en la página de configuración de la instancia, en la pestaña Detalles de la consola. En el campo Estado de la conexión se muestra el estado de cada adjunto de servicio de destino.

gcloud

Ejecuta el comando gcloud looker instances describe --format=json para comprobar el estado de la conexión saliente. Cada elemento ServiceAttachment debe rellenarse con un campo connection_status.

consola

1. En la página Instancias, haga clic en el nombre de la instancia para la que quiera actualizar las VPCs que tienen acceso entrante permitido a la instancia.
2. Haz clic en Editar.
3. Despliega la sección Conexiones.
4. Para añadir una VPC, haz clic en Add Item (Añadir elemento). A continuación, selecciona el proyecto en el que se encuentra la VPC en el campo Proyecto y selecciona la red en el menú desplegable Red.
5. Para eliminar una VPC, haga clic en el icono de la papelera Eliminar elemento que aparece cuando coloca el puntero sobre la red.
6. Haz clic en Guardar.

gcloud

Usa la marca --psc-allowed-vpcs para actualizar la lista de VPCs que tienen acceso entrante autorizado a la instancia.

Cuando actualice las VPCs permitidas, deberá especificar la lista completa que quiera que esté en vigor después de la actualización. Por ejemplo, supongamos que la VPC ALLOWED_VPC_1 ya está permitida y quieres añadir la VPC ALLOWED_VPC_2. Para añadir la VPC ALLOWED_VPC_1 y asegurarte de que la VPC ALLOWED_VPC_2 siga estando permitida, añade la marca --psc-allowed-vpcs de la siguiente manera:

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

Haz los cambios siguientes:

• INSTANCE_NAME: el nombre de tu instancia de Looker (servicio principal de Google Cloud).
• ALLOWED_VPC_1 y ALLOWED_VPC_2: las VPCs que podrán acceder a Looker (Google Cloud Core). Especifica cada VPC permitida con uno de los siguientes formatos:
  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
• REGION: la región en la que se aloja tu instancia de Looker (Google Cloud Core).