Criar uma instância do Looker (Google Cloud Core) do Private Service Connect

Console

1. Navegue até a página do produto Looker (Google Cloud Core) no seu projeto no console do Google Cloud. Se você já tiver criado uma instância do Looker (Google Cloud Core) neste projeto, a página Instâncias será aberta.

   Acessar o Looker (Google Cloud Core)

2. Clique em CRIAR INSTÂNCIA.
3. Na seção Nome da instância, dê um nome para sua instância do Looker (Google Cloud Core). O nome da instância não está associado ao URL da instância do Looker (Google Cloud Core) depois que ela é criada. O nome da instância não pode ser alterado depois da criação.
4. Na seção Credenciais do aplicativo OAuth, digite o ID do cliente e a chave secreta OAuth que você criou ao configurar seu cliente OAuth.

5. Na seção Região, selecione a opção adequada no menu suspenso para hospedar sua instância do Looker (Google Cloud Core). Selecione a região que corresponde à região no contrato de assinatura, que é onde a cota do seu projeto está alocada. As regiões disponíveis estão listadas na página de documentação Locais do Looker (Google Cloud Core).

   Não é possível mudar a região depois que a instância é criada.

6. Na seção Edição, escolha uma opção de edição Enterprise ou Embed (produção ou não produção). O tipo de edição afeta alguns dos recursos disponíveis para a instância. Escolha o mesmo tipo de edição listado no seu contrato anual e verifique se você tem cota alocada para esse tipo de edição.

   • Enterprise: plataforma Looker (Google Cloud Core) com recursos de segurança reforçada para lidar com uma ampla variedade de casos de uso internos de BI e análise.
   • Incorporação: plataforma do Looker (Google Cloud Core) para implantar e manter análises externas confiáveis e aplicativos personalizados em larga escala.
   • Edições de não produção: se você quiser um ambiente de simulação e teste, selecione uma das edições de não produção. Para mais informações, consulte a documentação sobre instâncias de não produção.

   Não é possível mudar as edições depois que uma instância é criada. Se quiser mudar de edição, use a importação e exportação para mover os dados da instância do Looker (Google Cloud Core) para uma nova instância configurada com uma edição diferente.

7. Na seção Personalizar sua instância, clique em MOSTRAR OPÇÕES DE CONFIGURAÇÃO para exibir um grupo de configurações adicionais que podem ser personalizadas para a instância.

8. Na seção Conexões, em Atribuição de IP da instância, escolha apenas IP particular ou IP particular e IP público. O tipo de conexão de rede selecionado afeta os recursos do Looker disponíveis para a instância. As seguintes opções de conexão de rede estão disponíveis:

   • IP público: atribui um endereço IP externo acessível pela Internet.
   • IP particular: atribui um endereço IP interno definido pelo cliente que pode ser acessado em uma nuvem privada virtual (VPC) para entrada. Para se comunicar com cargas de trabalho da VPC e locais ou de várias nuvens, é preciso implantar anexos de serviço para o tráfego de saída. Se você quiser usar o VPC Service Controls, selecione apenas IP particular.

   • IP particular e IP público: o tráfego de entrada usa o IP público, e as respostas também são públicas. O tráfego iniciado pelo Looker (Google Cloud Core) usa o IP particular para roteamento de saída. A instância do Looker (Google Cloud Core) não vai usar o IP público para iniciar o tráfego de saída vinculado à Internet.

9. Em Tipo de IP particular, selecione Private Service Connect (PSC).

10. Se você estiver criando uma instância que usa apenas IP particular, defina pelo menos uma VPC permitida que terá acesso de saída à instância. Em VPCs permitidas, clique em Adicionar item para adicionar cada VPC. No campo Projeto, selecione o projeto em que a rede foi criada. No menu suspenso Rede, selecione a rede.

    Se você selecionar IP privado e IP público na seção Conexões, a seção VPCs permitidas não vai aparecer. É possível configurar o acesso à instância pelo URL da Web dela.

11. Na seção Criptografia, selecione o tipo de criptografia que será usado na instância. As seguintes opções de criptografia estão disponíveis:

    • Google-managed encryption key: essa é a opção padrão e não requer nenhuma configuração adicional.
    • Chave de criptografia gerenciada pelo cliente (CMEK): consulte a página de documentação Como usar chaves de criptografia gerenciadas pelo cliente com o Looker (Google Cloud Core) para mais informações sobre a CMEK e como configurá-la durante a criação da instância. O tipo de criptografia não pode ser alterado após a criação da instância.
    • Ative a criptografia validada por FIPS 140-2: consulte a página de documentação Ativar a conformidade com o nível 1 do FIPS 140-2 em uma instância do Looker (Google Cloud Core) para mais informações sobre o suporte do FIPS 140-2 no Looker (Google Cloud Core).

12. Na seção Janela de manutenção, é possível especificar o dia da semana e a hora em que o Looker (Google Cloud Core) programa a manutenção. As janelas de manutenção duram uma hora. Por padrão, a opção Janela preferencial em Janela de manutenção é definida como Qualquer janela.

13. Na seção Período de negação de manutenção, é possível especificar um intervalo de dias em que o Looker (Google Cloud Core) não programa manutenções. Os períodos de bloqueio de manutenção podem ser de até 60 dias. É preciso oferecer pelo menos 14 dias de disponibilidade de manutenção entre dois períodos de bloqueio de manutenção.

14. Na seção Gemini no Looker, você pode disponibilizar os recursos do Gemini no Looker para a instância do Looker (Google Cloud Core). Para ativar o Gemini no Looker, selecione Gemini e, em seguida, Recursos do Trusted Tester. Quando a opção Recursos do Trusted Tester está ativada, os usuários podem acessar os recursos do Gemini no Looker disponíveis para o Programa Trusted Tester. Você pode solicitar o acesso aos recursos não públicos do Trusted Tester enviando o formulário de pré-lançamento do Gemini no Looker para cada usuário. Você precisa ativar essa configuração para usar o Gemini durante o pré-lançamento. Se quiser, selecione Uso de dados do Trusted Tester. Quando essa configuração está ativada, você concorda que seus dados sejam usados pelo Google, conforme descrito nos termos do Programa Trusted Tester do Gemini para Google Cloud . Para desativar o Gemini em uma instância do Looker (Google Cloud Core), desmarque a configuração Gemini.

15. Clique em Criar.

gcloud

Para criar uma instância do Private Service Connect, execute o comando gcloud looker instances create com todas as flags a seguir:

gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]
[--no-public-ip-enabled]
[--public-ip-enabled]
--async

Substitua:

• INSTANCE_NAME: um nome para sua instância do Looker (Google Cloud Core). Ele não está associado ao URL da instância.
• OAUTH_CLIENT_ID e OAUTH_CLIENT_SECRET: o ID e a chave secreta do cliente OAuth que você criou ao configurar seu cliente OAuth. Depois que a instância for criada, insira o URL dela na seção URIs de redirecionamento autorizados do cliente OAuth.
• REGION: a região em que sua instância do Looker (Google Cloud Core) está hospedada. Selecione a região que corresponde à região no contrato de assinatura. As regiões disponíveis estão listadas na página de documentação Locais do Looker (Google Cloud Core).
• EDITION: a edição e o tipo de ambiente (produção ou não produção) da instância. Os valores possíveis são core-enterprise-annual, core-embed-annual, nonprod-core-enterprise-annual ou nonprod-core-embed-annual. Não é possível mudar as edições depois que uma instância é criada. Se quiser mudar de edição, use a importação e exportação para mover os dados da instância do Looker (Google Cloud Core) para uma nova instância configurada com uma edição diferente.

• ALLOWED_VPC: se você estiver criando uma instância que usa apenas IP particular, liste uma VPC que terá acesso norte (entrada) permitido ao Looker (Google Cloud Core). Para acessar a instância de fora da VPC em que ela está localizada, liste pelo menos uma VPC. Especifique uma VPC usando um dos seguintes formatos:

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  Se você estiver criando uma instância que usa IP particular e público, não será necessário definir uma VPC permitida.

• ADDITIONAL_ALLOWED_VPCS: outras VPCs que precisam de acesso de saída ao Looker (Google Cloud Core) podem ser adicionadas à flag --psc-allowed-vpcs em uma lista separada por vírgulas.

Você também precisa incluir uma das seguintes flags para ativar ou desativar o IP público:

• --public-ip-enabled ativa o IP público. Se você ativar o IP público para a instância, o tráfego de entrada será roteado pelo IP público, e o tráfego de saída pelo Private Service Connect.
• --no-public-ip-enabled desativa o IP público.

Se quiser, adicione mais parâmetros para aplicar outras configurações da instância:

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  --kms-key=KMS_KEY_ID
  [--fips-enabled]
  

• MAINTENANCE_WINDOW_DAY: precisa ser um dos seguintes valores: friday, monday, saturday, sunday, thursday, tuesday, wednesday. Consulte a página de documentação Gerenciar políticas de manutenção para o Looker (Google Cloud Core) para mais informações sobre as configurações da janela de manutenção.
• MAINTENANCE_WINDOW_TIME e DENY_MAINTENANCE_PERIOD_TIME: precisam estar no formato de 24 horas em UTC (por exemplo, 13:00, 17:45).
• DENY_MAINTENANCE_PERIOD_START_DATE e DENY_MAINTENANCE_PERIOD_END_DATE: precisam estar no formato YYYY-MM-DD.
• KMS_KEY_ID: precisa ser a chave criada ao configurar as chaves de criptografia gerenciadas pelo cliente (CMEK).

Você pode incluir a flag --fips-enabled para ativar a conformidade com o nível 1 do FIPS 140-2.

O processo para criar uma instância do Private Service Connect é diferente do processo para criar uma instância do Looker (Google Cloud Core) (acesso a serviços particulares) das seguintes maneiras:

• Com a configuração do Private Service Connect, as flags --consumer-network e --reserved-range não são necessárias.
• As instâncias do Private Service Connect exigem uma flag adicional: --psc-enabled.

• A flag --psc-allowed-vpcs é uma lista de VPCs separadas por vírgulas. É possível especificar quantas VPCs quiser na lista.

Console

Enquanto a instância é criada, você pode conferir o status dela na página Instâncias no console. Para conferir sua atividade de criação de instâncias, clique no ícone de notificações no menu do console Google Cloud . Na página Detalhes da instância, o status vai mostrar Ativo assim que ela for criada.

gcloud

Para verificar o status, use o comando gcloud looker instances describe:

gcloud looker instances describe INSTANCE_NAME --region=REGION

Substitua:

• INSTANCE_NAME: o nome da sua instância do Looker (Google Cloud Core).
• REGION: a região em que sua instância do Looker (Google Cloud Core) está hospedada.

A instância fica pronta quando atinge o estado ACTIVE.

Console

1. Na página Instâncias, clique no nome da instância em que você quer ativar as conexões de saída.
2. Clique em Editar.
3. Expanda a seção Conexões.
4. Para editar um anexo de serviço, atualize o nome de domínio totalmente qualificado do serviço no campo FQDN local e o URI do anexo de serviço no campo URI do anexo de serviço de destino.
5. Para adicionar um novo anexo de serviço, clique em Adicionar item. Em seguida, insira o nome de domínio totalmente qualificado do serviço no campo FQDN local e o URI do anexo de serviço no campo URI do anexo de serviço de destino.
6. Clique em Salvar.

gcloud

Use flags --psc-service-attachment para ativar conexões de saída (saída) a serviços externos para os quais você já configurou o Private Service Connect:

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

Substitua:

• INSTANCE_NAME: o nome da sua instância do Looker (Google Cloud Core).

• DOMAIN_1 e DOMAIN_2: se você estiver se conectando a um serviço público, use o nome de domínio dele. Se você estiver se conectando a um serviço particular, use um nome de domínio totalmente qualificado de sua escolha. As seguintes restrições se aplicam ao nome de domínio:

• Cada conexão de saída é compatível com um único domínio.

• O nome de domínio precisa ter pelo menos três partes. Por exemplo, mydomain.github.com é aceitável, mas github.com não é.

• A última parte do nome não pode ser nenhuma das seguintes opções:

  • googleapis.com
  • google.com
  • gcr.io
  • pkg.dev

  Ao configurar uma conexão com seu serviço na instância do Looker (Google Cloud Core), use esse domínio como o alias do serviço.

• SERVICE_ATTACHMENT_1 e SERVICE_ATTACHMENT_2: o URI de anexo de serviço completo do serviço publicado a que você está se conectando. Cada URI de anexo de serviço pode ser acessado por um único domínio.

• REGION: a região em que sua instância do Looker (Google Cloud Core) está hospedada.

Se você estiver se conectando a um serviço gerenciado que não é do Google em uma região diferente daquela em que sua instância do Looker (Google Cloud Core) está localizada, ative o acesso global no balanceador de carga do produtor.

Console

Confira o status da conexão na guia Detalhes da página de configuração da instância no console. O campo Status da conexão mostra o status de cada anexo de serviço de destino.

gcloud

Execute o comando gcloud looker instances describe --format=json para verificar o status da conexão de saída. Cada anexo de serviço precisa ser preenchido com um campo connection_status.

Console

1. Na página Instâncias, clique no nome da instância para a qual você quer atualizar as VPCs que têm acesso de saída permitido.
2. Clique em Editar.
3. Expanda a seção Conexões.
4. Para adicionar uma nova VPC, clique em Adicionar item. Em seguida, selecione o projeto em que a VPC está no campo Projeto e selecione a rede no menu suspenso Rede.
5. Para excluir uma VPC, clique no ícone da lixeira Excluir item que aparece quando você mantém o ponteiro sobre a rede.
6. Clique em Salvar.

gcloud

Use a flag --psc-allowed-vpcs para atualizar a lista de VPCs que têm acesso autorizado de saída à instância.

Ao atualizar as VPCs permitidas, especifique toda a lista que você quer que entre em vigor após a atualização. Por exemplo, suponha que a VPC ALLOWED_VPC_1 já esteja permitida e você queira adicionar a VPC ALLOWED_VPC_2. Para adicionar a VPC ALLOWED_VPC_1 e garantir que a VPC ALLOWED_VPC_2 continue sendo permitida, adicione a flag --psc-allowed-vpcs da seguinte maneira:

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

Substitua:

• INSTANCE_NAME: o nome da sua instância do Looker (Google Cloud Core).
• ALLOWED_VPC_1 e ALLOWED_VPC_2: as VPCs que terão entrada permitida no Looker (Google Cloud Core). Especifique cada VPC permitida usando um dos seguintes formatos:
  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
• REGION: a região em que sua instância do Looker (Google Cloud Core) está hospedada.