Créer une instance Private Service Connect Looker (Google Cloud Core)

Console

1. Accédez à la page du produit Looker (Google Cloud Core) depuis votre projet dans la console Google Cloud. Si vous avez déjà créé une instance Looker (Google Cloud Core) dans ce projet, la page Instances s'ouvre.

   Accéder à Looker (Google Cloud Core)

2. Cliquez sur CRÉER UNE INSTANCE.
3.  Dans la section Nom de l'instance, indiquez un nom pour votre instance Looker (Google Cloud Core). Le nom de l'instance n'est pas associé à l'URL de l'instance Looker (Google Cloud Core) une fois celle-ci créée. Le nom de l'instance ne peut pas être modifié après sa création.
4. Dans la section Identifiants d'application OAuth, saisissez l'ID client OAuth et le secret OAuth que vous avez créé lorsque vous avez configuré votre client OAuth.

5. Dans la section Région, sélectionnez l'option appropriée dans le menu déroulant pour héberger votre instance Looker (Google Cloud Core). Sélectionnez la région correspondant à celle indiquée dans le contrat d'abonnement, car c'est là que le quota de votre projet est alloué. Les régions disponibles sont listées sur la page de documentation Emplacements Looker (Google Cloud Core).

   Une fois l'instance créée, vous ne pouvez plus modifier la région.

6.  Dans la section Édition, sélectionnez une option d'édition Enterprise ou Embed (production ou non-production). Le type d'édition a une incidence sur certaines fonctionnalités disponibles pour l'instance. Assurez-vous de choisir le même type d'édition que celui indiqué dans votre contrat annuel et que vous disposez d'un quota alloué à ce type d'édition.

   • Enterprise : plate-forme Looker (Google Cloud Core) dotée de fonctionnalités de sécurité renforcée pour répondre à une grande variété de cas d'utilisation internes d'informatique décisionnelle et d'analyse
   • Embed : plate-forme Looker (Google Cloud Core) permettant de déployer et de gérer des applications personnalisées et des analyses externes fiables à grande échelle
   • Éditions hors production : si vous souhaitez un environnement de préproduction et de test, sélectionnez l'une des éditions hors production. Pour en savoir plus, consultez la documentation sur les instances non destinées à la production.

   Une fois qu'une instance est créée, son édition ne peut plus être modifiée. Si vous souhaitez changer d'édition, vous pouvez utiliser l'importation et l'exportation pour transférer les données de votre instance Looker (Google Cloud Core) vers une nouvelle instance configurée avec une autre édition.

7. Dans la section Personnaliser votre instance, cliquez sur AFFICHER LES OPTIONS DE CONFIGURATION pour afficher un groupe de paramètres supplémentaires que vous pouvez personnaliser pour l'instance.

8. Dans la section Connexions, sous Attribution d'adresse IP à l'instance, choisissez Adresse IP privée uniquement, ou Adresse IP privée et Adresse IP publique. Le type de connexion réseau que vous sélectionnez a un impact sur les fonctionnalités Looker disponibles pour l'instance. Les options de connexion réseau suivantes sont disponibles :

   • Adresse IP publique : attribue une adresse IP externe accessible par Internet.
   • Adresse IP privée : attribue une adresse IP interne définie par le client et accessible dans un cloud privé virtuel (VPC) pour l'entrée. Pour communiquer avec les charges de travail VPC et sur site ou multicloud, vous devez déployer des rattachements de service pour le trafic sortant. Si vous souhaitez utiliser VPC Service Controls, vous devez sélectionner Adresse IP privée uniquement.

   • Adresse IP privée et adresse IP publique : le trafic entrant utilise l'adresse IP publique, et les réponses sont également publiques. Le trafic initié par Looker (Google Cloud Core) utilise l'adresse IP privée pour le routage sortant. L'instance Looker (Google Cloud Core) n'utilisera pas l'adresse IP publique pour lancer le trafic sortant lié à Internet.

9. Sous Type d'adresse IP privée, sélectionnez Private Service Connect (PSC).

10. Si vous créez une instance qui n'utilise que des adresses IP privées, définissez au moins un VPC autorisé qui bénéficiera d'un accès sortant à l'instance. Sous VPC autorisés, cliquez sur Ajouter un élément pour ajouter chaque VPC. Dans le champ Projet, sélectionnez le projet dans lequel le réseau a été créé. Dans le menu déroulant Réseau, sélectionnez le réseau.

    Si vous sélectionnez à la fois Adresse IP privée et Adresse IP publique dans la section Connexions, la section VPC autorisés ne s'affiche pas. Vous pouvez configurer l'accès à l'instance via son URL Web.

11. Dans la section Chiffrement, vous pouvez sélectionner le type de chiffrement à utiliser sur votre instance. Les options de chiffrement suivantes sont disponibles :

    • Google-managed encryption key : cette option est sélectionnée par défaut et ne nécessite aucune configuration supplémentaire.
    • Clé de chiffrement gérée par le client (CMEK) : consultez la page de documentation Utiliser des clés de chiffrement gérées par le client avec Looker (Google Cloud Core) pour en savoir plus sur les CMEK et sur la façon de les configurer lors de la création d'une instance. Le type de chiffrement ne peut pas être modifié après la création de l'instance.
    • Activer le chiffrement certifié FIPS 140-2 : consultez la page de documentation Activer la conformité FIPS 140-2 de niveau 1 sur une instance Looker (Google Cloud Core) pour en savoir plus sur la compatibilité FIPS 140-2 sur Looker (Google Cloud Core).

12. Dans la section Intervalle de maintenance, vous pouvez éventuellement spécifier le jour de la semaine et l'heure auxquels Looker (Google Cloud Core) planifie la maintenance. Les intervalles de maintenance durent une heure. Par défaut, l'option Intervalle préféré de la section Intervalle de maintenance est définie sur N'importe quel intervalle.

13. Dans la section Période de refus de la maintenance, vous pouvez éventuellement spécifier un bloc de jours pendant lesquels Looker (Google Cloud Core) ne planifie pas de maintenance. Les périodes de refus de maintenance peuvent durer jusqu'à 60 jours. Vous devez prévoir une disponibilité pour maintenance d'au moins 14 jours entre deux périodes de refus de maintenance.

14. Dans la section Gemini dans Looker, vous pouvez éventuellement rendre les fonctionnalités Gemini dans Looker disponibles pour l'instance Looker (Google Cloud Core). Pour activer Gemini dans Looker, sélectionnez Gemini, puis Fonctionnalités pour les testeurs de confiance. Lorsque l'option Fonctionnalités pour les testeurs de confiance est activée, les utilisateurs peuvent accéder aux fonctionnalités pour les testeurs de confiance de Gemini dans Looker. Vous pouvez demander l'accès aux fonctionnalités pour les testeurs de confiance non publiées en remplissant le formulaire de prévisualisation Gemini dans Looker pour chaque utilisateur. Vous devez activer ce paramètre pour utiliser Gemini pendant la version preview pré-DG. Si vous le souhaitez, sélectionnez Utilisation des données des testeurs de confiance. Lorsque ce paramètre est activé, vous autorisez Google à utiliser vos données conformément aux Conditions d'utilisation du programme Testeur de confiance de Gemini pour Google Cloud . Pour désactiver Gemini pour une instance Looker (Google Cloud Core), décochez le paramètre Gemini.

15. Cliquez sur Créer.

gcloud

Pour créer une instance Private Service Connect, exécutez la commande gcloud looker instances create avec tous les indicateurs suivants :

gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]
[--no-public-ip-enabled]
[--public-ip-enabled]
--async

Remplacez les éléments suivants :

• INSTANCE_NAME : nom de votre instance Looker (Google Cloud Core). Il n'est pas associé à l'URL de l'instance.
• OAUTH_CLIENT_ID et OAUTH_CLIENT_SECRET : ID client OAuth et secret OAuth que vous avez créés lorsque vous avez configuré votre client OAuth. Une fois l'instance créée, saisissez son URL dans la section URI de redirection autorisées du client OAuth.
• REGION : région dans laquelle votre instance Looker (Google Cloud Core) est hébergée. Sélectionnez la région correspondant à celle du contrat d'abonnement. Les régions disponibles sont listées sur la page de documentation Emplacements Looker (Google Cloud Core).
• EDITION : édition et type d'environnement (production ou hors production) de l'instance. Les valeurs possibles sont core-enterprise-annual, core-embed-annual, nonprod-core-enterprise-annual ou nonprod-core-embed-annual. Une fois qu'une instance est créée, son édition ne peut plus être modifiée. Si vous souhaitez changer d'édition, vous pouvez utiliser l'importation et l'exportation pour transférer les données de votre instance Looker (Google Cloud Core) vers une nouvelle instance configurée avec une autre édition.

• ALLOWED_VPC : Si vous créez une instance qui n'utilise que des adresses IP privées, listez un VPC qui sera autorisé à accéder à Looker (Google Cloud Core) vers le nord (entrée). Pour accéder à l'instance depuis l'extérieur du VPC dans lequel elle se trouve, vous devez lister au moins un VPC. Spécifiez un VPC en utilisant l'un des formats suivants :

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  Si vous créez une instance qui utilise à la fois une adresse IP privée et une adresse IP publique, vous n'avez pas besoin de définir un VPC autorisé.

• ADDITIONAL_ALLOWED_VPCS : tous les VPC supplémentaires auxquels l'accès nord-sud à Looker (Google Cloud Core) doit être autorisé peuvent être ajoutés à l'indicateur --psc-allowed-vpcs dans une liste séparée par des virgules.

Vous devez également inclure l'une des options suivantes pour activer ou désactiver l'adresse IP publique :

• --public-ip-enabled active l'adresse IP publique. Si vous activez une adresse IP publique pour l'instance, le trafic entrant est acheminé via une adresse IP publique, et le trafic sortant via Private Service Connect.
• --no-public-ip-enabled désactive l'adresse IP publique.

Si vous le souhaitez, vous pouvez ajouter d'autres paramètres pour appliquer d'autres paramètres d'instance :

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  --kms-key=KMS_KEY_ID
  [--fips-enabled]
  

• MAINTENANCE_WINDOW_DAY : doit être l'une des valeurs suivantes : friday, monday, saturday, sunday, thursday, tuesday, wednesday. Pour en savoir plus sur les paramètres des intervalles de maintenance, consultez la page de documentation Gérer les règles de maintenance pour Looker (Google Cloud Core).
• MAINTENANCE_WINDOW_TIME et DENY_MAINTENANCE_PERIOD_TIME : doivent être au format UTC sur 24 heures (par exemple, 13:00, 17:45).
• DENY_MAINTENANCE_PERIOD_START_DATE et DENY_MAINTENANCE_PERIOD_END_DATE : doivent être au format YYYY-MM-DD.
• KMS_KEY_ID : doit être la clé créée lors de la configuration des clés de chiffrement gérées par le client (CMEK).

Vous pouvez inclure l'option --fips-enabled pour activer la conformité au niveau 1 de la norme FIPS 140-2.

La procédure de création d'une instance Private Service Connect diffère de celle de création d'une instance Looker (Google Cloud Core) (accès aux services privés) de plusieurs façons :

• Avec la configuration Private Service Connect, les options --consumer-network et --reserved-range ne sont pas nécessaires.
• Les instances Private Service Connect nécessitent un indicateur supplémentaire : --psc-enabled.

• L'indicateur --psc-allowed-vpcs est une liste de VPC séparés par une virgule. Vous pouvez spécifier autant de VPC que vous le souhaitez dans la liste.

Console

Pendant la création de l'instance, vous pouvez consulter son état sur la page Instances de la console. Vous pouvez également consulter votre activité de création d'instances en cliquant sur l'icône de notifications dans le menu de la console Google Cloud . Sur la page Détails de l'instance, son état indique Active une fois qu'elle est créée.

gcloud

Pour vérifier l'état, utilisez la commande gcloud looker instances describe :

gcloud looker instances describe INSTANCE_NAME --region=REGION

Remplacez les éléments suivants :

• INSTANCE_NAME : nom de votre instance Looker (Google Cloud Core).
• REGION : région dans laquelle votre instance Looker (Google Cloud Core) est hébergée.

L'instance est prête lorsqu'elle atteint l'état ACTIVE.

Console

1. Sur la page Instances, cliquez sur le nom de l'instance pour laquelle vous souhaitez activer les connexions sortantes.
2. Cliquez sur Modifier.
3. Développez la section Connexions.
4. Pour modifier un rattachement de service existant, mettez à jour le nom de domaine complet du service dans le champ Nom de domaine complet local et l'URI du rattachement de service dans le champ URI du rattachement de service cible.
5. Pour ajouter une pièce jointe de service, cliquez sur Ajouter un élément. Saisissez ensuite le nom de domaine complet du service dans le champ Nom de domaine complet local et l'URI du rattachement de service dans le champ URI du rattachement de service cible.
6. Cliquez sur Enregistrer.

gcloud

Utilisez les indicateurs --psc-service-attachment pour activer les connexions sortantes (sortie) aux services externes pour lesquels vous avez déjà configuré Private Service Connect :

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

Remplacez les éléments suivants :

• INSTANCE_NAME : nom de votre instance Looker (Google Cloud Core).

• DOMAIN_1 et DOMAIN_2 : si vous vous connectez à un service public, utilisez le nom de domaine du service. Si vous vous connectez à un service privé, utilisez le nom de domaine complet de votre choix. Les restrictions suivantes s'appliquent au nom de domaine :

• Chaque connexion sortante est compatible avec un seul domaine.

• Le nom de domaine doit comporter au moins trois parties. Par exemple, mydomain.github.com est acceptable, mais github.com ne l'est pas.

• La dernière partie du nom ne peut pas être l'une des suivantes :

  • googleapis.com
  • google.com
  • gcr.io
  • pkg.dev

  Lorsque vous configurez une connexion à votre service depuis votre instance Looker (Google Cloud Core), utilisez ce domaine comme alias pour votre service.

• SERVICE_ATTACHMENT_1 et SERVICE_ATTACHMENT_2 : URI complet du rattachement de service pour le service publié auquel vous vous connectez. Chaque URI de rattachement de service est accessible par un seul domaine.

• REGION : région dans laquelle votre instance Looker (Google Cloud Core) est hébergée.

Si vous vous connectez à un service géré non Google dans une région autre que celle où se trouve votre instance Looker (Google Cloud Core), activez l'accès mondial sur l'équilibreur de charge du producteur.

Console

Consultez l'état de la connexion dans l'onglet Détails de la page de configuration de l'instance dans la console. Le champ État de la connexion indique l'état de chaque rattachement de service cible.

gcloud

Exécutez la commande gcloud looker instances describe --format=json pour vérifier l'état de la connexion vers le sud. Chaque attachement de service doit être renseigné avec un champ connection_status.

Console

1. Sur la page Instances, cliquez sur le nom de l'instance pour laquelle vous souhaitez mettre à jour les VPC autorisés à accéder à l'instance en entrée.
2. Cliquez sur Modifier.
3. Développez la section Connexions.
4. Pour ajouter un VPC, cliquez sur Ajouter un élément. Sélectionnez ensuite le projet dans lequel se trouve le VPC dans le champ Projet, puis sélectionnez le réseau dans le menu déroulant Réseau.
5. Pour supprimer un VPC, cliquez sur l'icône de la corbeille Supprimer l'élément qui s'affiche lorsque vous pointez sur le réseau.
6. Cliquez sur Enregistrer.

gcloud

Utilisez l'option --psc-allowed-vpcs pour mettre à jour la liste des VPC autorisés à accéder à l'instance en entrée.

Lorsque vous mettez à jour les VPC autorisés, vous devez spécifier la liste complète que vous souhaitez appliquer après votre mise à jour. Par exemple, supposons que le VPC ALLOWED_VPC_1 soit déjà autorisé et que vous souhaitiez ajouter le VPC ALLOWED_VPC_2. Pour ajouter le VPC ALLOWED_VPC_1 tout en vous assurant que le VPC ALLOWED_VPC_2 reste autorisé, ajoutez l'indicateur --psc-allowed-vpcs comme suit :

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

Remplacez les éléments suivants :

• INSTANCE_NAME : nom de votre instance Looker (Google Cloud Core).
• ALLOWED_VPC_1 et ALLOWED_VPC_2 : les VPC qui seront autorisés à entrer dans Looker (Google Cloud Core). Spécifiez chaque VPC autorisé en utilisant l'un des formats suivants :
  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
• REGION : région dans laquelle votre instance Looker (Google Cloud Core) est hébergée.