Crea un'istanza Private Service Connect di Looker (Google Cloud core)

console

1. Vai alla pagina del prodotto Looker (Google Cloud core) dal tuo progetto nella console Google Cloud. Se hai già creato un'istanza di Looker (Google Cloud core) in questo progetto, si aprirà la pagina Istanze.

   Vai a Looker (Google Cloud core)

2. Fai clic su CREA ISTANZA.
3. Nella sezione Nome istanza, fornisci un nome per l'istanza di Looker (Google Cloud core). Il nome dell'istanza non è associato all'URL dell'istanza di Looker (Google Cloud core) una volta creata. Il nome dell'istanza non può essere modificato dopo la creazione.
4. Nella sezione Credenziali applicazione OAuth, inserisci l'ID client OAuth e il segreto OAuth che hai creato durante la configurazione del client OAuth.

5. Nella sezione Regione, seleziona l'opzione appropriata dal menu a discesa per ospitare l'istanza di Looker (Google Cloud core). Seleziona la regione corrispondente a quella del contratto di abbonamento, poiché è qui che viene allocata la quota per il tuo progetto. Le regioni disponibili sono elencate nella pagina di documentazione Località di Looker (Google Cloud core).

   Non puoi modificare la regione dopo aver creato l'istanza.

6. Nella sezione Versione, scegli un'opzione per la versione Enterprise o Incorporata (di produzione o non di produzione). Il tipo di edizione influisce su alcune delle funzionalità disponibili per l'istanza. Assicurati di scegliere lo stesso tipo di edizione indicato nel tuo contratto annuale e di aver allocato la quota per quel tipo di edizione.

   • Enterprise: piattaforma Looker (Google Cloud core) con funzionalità di sicurezza avanzate per affrontare un'ampia gamma di casi d'uso interni per BI e analisi
   • Incorpora: piattaforma Looker (Google Cloud core) per il deployment e la gestione di analisi esterne affidabili e applicazioni personalizzate su larga scala
   • Versioni non di produzione: se vuoi un ambiente di gestione temporanea e test, seleziona una delle versioni non di produzione. Per saperne di più, consulta la documentazione relativa alle istanze non di produzione.

   Le versioni non possono essere modificate dopo la creazione dell'istanza. Se vuoi cambiare edizione, puoi utilizzare importazione ed esportazione per spostare i dati dell'istanza di Looker (Google Cloud core) in una nuova istanza configurata con un'edizione diversa.

7. Nella sezione Personalizza l'istanza, fai clic su MOSTRA OPZIONI DI CONFIGURAZIONE per visualizzare un gruppo di impostazioni aggiuntive che puoi personalizzare per l'istanza.

8. Nella sezione Connessioni, in Assegnazione IP istanza, scegli solo IP privato o sia IP privato che IP pubblico. Il tipo di connessione di rete che selezioni influisce sulle funzionalità di Looker disponibili per l'istanza. Sono disponibili le seguenti opzioni di connessione di rete:

   • IP pubblico: assegna un indirizzo IP esterno accessibile da internet.
   • IP privato: assegna un indirizzo IP interno definito dal cliente accessibile in un Virtual Private Cloud (VPC) per l'ingresso. Per comunicare con i carichi di lavoro VPC e on-premise o multi-cloud, devi eseguire il deployment dei service attachment per il traffico in uscita. Se vuoi utilizzare i Controlli di servizio VPC, devi selezionare solo IP privato.

   • IP privato e IP pubblico: il traffico in entrata utilizza l'IP pubblico e anche le risposte sono pubbliche. Il traffico avviato da Looker (Google Cloud core) utilizza l'IP privato per il routing in uscita. L'istanza di Looker (Google Cloud core) non utilizzerà l'IP pubblico per avviare il traffico in uscita diretto a internet.

9. In Tipo di IP privato, seleziona Private Service Connect (PSC).

10. Se stai creando un'istanza che utilizza solo IP privato, imposta almeno un VPC consentito a cui verrà concesso l'accesso in ingresso all'istanza. Nella sezione VPC consentiti, fai clic su Aggiungi elemento per aggiungere ogni VPC. Nel campo Progetto, seleziona il progetto in cui è stata creata la rete. Nel menu a discesa Rete, seleziona la rete.

    Se selezioni sia IP privato che IP pubblico nella sezione Connessioni, la sezione VPC consentiti non viene visualizzata. Puoi configurare l'accesso all'istanza tramite l'URL web dell'istanza.

11. Nella sezione Crittografia, puoi selezionare il tipo di crittografia da utilizzare nell'istanza. Sono disponibili le seguenti opzioni di crittografia:

    • Google-managed encryption key: questa opzione è quella predefinita e non richiede alcuna configurazione aggiuntiva.
    • Chiave di crittografia gestita dal cliente (CMEK): consulta la pagina della documentazione Utilizzo delle chiavi di crittografia gestite dal cliente con Looker (Google Cloud core) per saperne di più su CMEK e su come configurarla durante la creazione dell'istanza. Il tipo di crittografia non può essere modificato dopo la creazione dell'istanza.
    • Abilita crittografia convalidata FIPS 140-2: per ulteriori informazioni sul supporto di FIPS 140-2 su Looker (Google Cloud core), consulta la pagina di documentazione Abilitare la conformità allo standard FIPS 140-2 di livello 1 in un'istanza di Looker (Google Cloud core).

12. Nella sezione Finestra di manutenzione, puoi facoltativamente specificare il giorno della settimana e l'ora in cui Looker (Google Cloud core) pianifica la manutenzione. I periodi di manutenzione durano un'ora. Per impostazione predefinita, l'opzione Finestra preferita in Finestra di manutenzione è impostata su Qualsiasi finestra.

13. Nella sezione Periodo in cui evitare la manutenzione, puoi specificare un blocco di giorni in cui Looker (Google Cloud core) non pianifica la manutenzione. I periodi in cui evitare la manutenzione possono durare fino a 60 giorni. Devi consentire almeno 14 giorni di disponibilità per la manutenzione tra un periodo in cui evitare la manutenzione e l'altro.

14. Nella sezione Gemini in Looker, puoi facoltativamente rendere disponibili le funzionalità di Gemini in Looker per l'istanza di Looker (Google Cloud core). Per attivare Gemini in Looker, seleziona Gemini, quindi Funzionalità Trusted tester. Quando l'opzione Funzionalità Trusted Tester è attiva, gli utenti possono accedere alle funzionalità Trusted Tester di Gemini in Looker. Puoi richiedere l'accesso alle funzionalità Trusted tester non pubbliche tramite il modulo di anteprima di Gemini in Looker per singoli utenti. Devi attivare questa impostazione per utilizzare Gemini durante l'anteprima pre-GA. (Facoltativo) Seleziona Utilizzo dei dati di Trusted Tester. Se questa impostazione è attivata, acconsenti all'utilizzo dei tuoi dati da parte di Google come descritto nei termini del programma Trusted Tester di Gemini per Google Cloud . Per disattivare Gemini per un'istanza di Looker (Google Cloud core), deseleziona l'impostazione Gemini.

15. Fai clic su Crea.

gcloud

Per creare un'istanza Private Service Connect, esegui il comando gcloud looker instances create con tutti i seguenti flag:

gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]
[--no-public-ip-enabled]
[--public-ip-enabled]
--async

Sostituisci quanto segue:

• INSTANCE_NAME: un nome per l'istanza di Looker (Google Cloud core), che non è associato all'URL dell'istanza.
• OAUTH_CLIENT_ID e OAUTH_CLIENT_SECRET: l'ID client OAuth e il segreto OAuth che hai creato quando hai configurato il client OAuth. Una volta creata l'istanza, inserisci il relativo URL nella sezione URI di reindirizzamento autorizzati del client OAuth.
• REGION: la regione in cui è ospitata l'istanza di Looker (Google Cloud core). Seleziona la regione corrispondente a quella del contratto di abbonamento. Le regioni disponibili sono elencate nella pagina di documentazione Località di Looker (Google Cloud core).
• EDITION: l'edizione e il tipo di ambiente (di produzione o non di produzione) per l'istanza. I valori possibili sono core-enterprise-annual, core-embed-annual, nonprod-core-enterprise-annual o nonprod-core-embed-annual. Le versioni non possono essere modificate dopo la creazione dell'istanza. Se vuoi cambiare edizione, puoi utilizzare importazione ed esportazione per spostare i dati dell'istanza di Looker (Google Cloud core) in una nuova istanza configurata con un'edizione diversa.

• ALLOWED_VPC: se stai creando un'istanza che utilizza solo IP privato, elenca un VPC a cui sarà consentito l'accesso in ingresso a Looker (Google Cloud core). Per accedere all'istanza dall'esterno del VPC in cui si trova, devi elencare almeno un VPC. Specifica un VPC utilizzando uno dei seguenti formati:

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  Se crei un'istanza che utilizza sia l'IP privato che l'IP pubblico, non devi impostare un VPC consentito.

• ADDITIONAL_ALLOWED_VPCS: qualsiasi VPC aggiuntivo a cui deve essere consentito l'accesso in uscita a Looker (Google Cloud core) può essere aggiunto al flag --psc-allowed-vpcs in un elenco separato da virgole.

Devi anche includere uno dei seguenti flag per attivare o disattivare l'IP pubblico:

• --public-ip-enabled abilita l'IP pubblico. Se abiliti l'IP pubblico per l'istanza, il traffico in entrata verrà instradato tramite l'IP pubblico e quello in uscita tramite Private Service Connect.
• --no-public-ip-enabled disabilita l'IP pubblico.

Se vuoi, puoi aggiungere altri parametri per applicare altre impostazioni dell'istanza:

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  --kms-key=KMS_KEY_ID
  [--fips-enabled]
  

• MAINTENANCE_WINDOW_DAY: deve essere uno dei seguenti valori: friday, monday, saturday, sunday, thursday, tuesday, wednesday. Per ulteriori informazioni sulle impostazioni periodo di manutenzione, consulta la pagina della documentazione Gestisci i criteri di manutenzione per Looker (Google Cloud core).
• MAINTENANCE_WINDOW_TIME e DENY_MAINTENANCE_PERIOD_TIME: devono essere in formato UTC a 24 ore (ad esempio, 13:00, 17:45).
• DENY_MAINTENANCE_PERIOD_START_DATE e DENY_MAINTENANCE_PERIOD_END_DATE: devono essere nel formato YYYY-MM-DD.
• KMS_KEY_ID: deve essere la chiave creata durante la configurazione delle chiavi di crittografia gestite dal cliente (CMEK).

Puoi includere il flag --fips-enabled per attivare la conformità allo standard FIPS 140-2 livello 1.

La procedura per creare un'istanza Private Service Connect differisce dalla procedura per creare un'istanza di Looker (Google Cloud core) (accesso privato ai servizi) nei seguenti modi:

• Con la configurazione di Private Service Connect, i flag --consumer-network e --reserved-range non sono necessari.
• Le istanze Private Service Connect richiedono un flag aggiuntivo: --psc-enabled.

• Il flag --psc-allowed-vpcs è un elenco di VPC separati da virgole. Puoi specificare tutte le VPC che vuoi nell'elenco.

console

Durante la creazione dell'istanza, puoi visualizzarne lo stato nella pagina Istanze della console. Puoi anche visualizzare l'attività di creazione dell'istanza facendo clic sull'icona delle notifiche nel menu della console Google Cloud . Nella pagina Dettagli dell'istanza, lo stato Attivo viene visualizzato una volta creata.

gcloud

Per controllare lo stato, utilizza il comando gcloud looker instances describe:

gcloud looker instances describe INSTANCE_NAME --region=REGION

Sostituisci quanto segue:

• INSTANCE_NAME: il nome dell'istanza di Looker (Google Cloud core).
• REGION: la regione in cui è ospitata l'istanza di Looker (Google Cloud core).

L'istanza è pronta quando raggiunge lo stato ACTIVE.

console

1. Nella pagina Istanze, fai clic sul nome dell'istanza per cui vuoi attivare le connessioni in uscita.
2. Fai clic su Modifica.
3. Espandi la sezione Connessioni.
4. Per modificare un collegamento al servizio esistente, aggiorna il nome di dominio completo del servizio nel campo FQDN locale e l'URI del collegamento al servizio nel campo URI del collegamento al servizio di destinazione.
5. Per aggiungere un nuovo allegato di servizio, fai clic su Aggiungi elemento. Poi, inserisci il nome di dominio completo del servizio nel campo FQDN locale e l'URI dell'allegato di servizio nel campo URI dell'allegato di servizio di destinazione.
6. Fai clic su Salva.

gcloud

Utilizza i flag --psc-service-attachment per attivare le connessioni in uscita ai servizi esterni per i quali hai già configurato Private Service Connect:

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

Sostituisci quanto segue:

• INSTANCE_NAME: il nome dell'istanza di Looker (Google Cloud core).

• DOMAIN_1 e DOMAIN_2: se ti connetti a un servizio pubblico, utilizza il nome di dominio del servizio. Se ti connetti a un servizio privato, utilizza un nome di dominio completo a tua scelta. Al nome di dominio si applicano le seguenti limitazioni:

• Ogni connessione in uscita supporta un singolo dominio.

• Il nome di dominio deve essere composto da almeno tre parti. Ad esempio, mydomain.github.com è accettabile, ma github.com non lo è.

• L'ultima parte del nome non può essere una delle seguenti:

  • googleapis.com
  • google.com
  • gcr.io
  • pkg.dev

  Quando configuri una connessione al tuo servizio dall'interno dell'istanza di Looker (Google Cloud core), utilizza questo dominio come alias per il tuo servizio.

• SERVICE_ATTACHMENT_1 e SERVICE_ATTACHMENT_2: l'URI del collegamento al servizio completo per il servizio pubblicato a cui ti stai connettendo. È possibile accedere a ogni URI di collegamento del servizio da un singolo dominio.

• REGION: la regione in cui è ospitata l'istanza di Looker (Google Cloud core).

Se ti connetti a un servizio gestito non Google in una regione diversa da quella in cui si trova la tua istanza di Looker (Google Cloud core), abilita l'accesso globale sul bilanciatore del carico del producer.

console

Visualizza lo stato della connessione nella scheda Dettagli della pagina di configurazione dell'istanza nella console. Il campo Stato connessione mostra lo stato di ogni collegamento del servizio di destinazione.

gcloud

Esegui il comando gcloud looker instances describe --format=json per controllare lo stato della connessione southbound. Ogni allegato di servizio deve essere compilato con un campo connection_status.

console

1. Nella pagina Istanze, fai clic sul nome dell'istanza per cui vuoi aggiornare i VPC a cui è consentito l'accesso in uscita all'istanza.
2. Fai clic su Modifica.
3. Espandi la sezione Connessioni.
4. Per aggiungere un nuovo VPC, fai clic su Aggiungi elemento. Poi seleziona il progetto in cui si trova il VPC nel campo Progetto e seleziona la rete dal menu a discesa Rete.
5. Per eliminare un VPC, fai clic sull'icona del cestino Elimina elemento visualizzata quando passi il puntatore sopra la rete.
6. Fai clic su Salva.

gcloud

Utilizza il flag --psc-allowed-vpcs per aggiornare l'elenco dei VPC che hanno autorizzato l'accesso in uscita all'istanza.

Quando aggiorni i VPC consentiti, devi specificare l'intero elenco che vuoi che sia attivo dopo l'aggiornamento. Ad esempio, supponiamo che il VPC ALLOWED_VPC_1 sia già consentito e che tu voglia aggiungere il VPC ALLOWED_VPC_2. Per aggiungere il VPC ALLOWED_VPC_1 assicurandoti che il VPC ALLOWED_VPC_2 continui a essere consentito, aggiungi il flag --psc-allowed-vpcs nel seguente modo:

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

Sostituisci quanto segue:

• INSTANCE_NAME: il nome dell'istanza di Looker (Google Cloud core).
• ALLOWED_VPC_1 e ALLOWED_VPC_2: i VPC a cui sarà consentito l'ingresso in Looker (Google Cloud core). Specifica ogni VPC consentito utilizzando uno dei seguenti formati:
  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
• REGION: la regione in cui è ospitata l'istanza di Looker (Google Cloud core).