创建 Looker (Google Cloud Core) Private Service Connect 实例

控制台

1. 在 Google Cloud 控制台中，从您的项目前往 Looker (Google Cloud Core) 产品页面。如果您已在此项目中创建 Looker (Google Cloud Core) 实例，系统会打开实例页面。

   前往 Looker (Google Cloud Core)

2. 点击创建实例。
3. 在实例名称部分中，为 Looker (Google Cloud Core) 实例提供名称。创建 Looker (Google Cloud Core) 实例后，实例名称不会与该实例的网址相关联。实例名称一旦创建便无法更改。
4. 在 OAuth 应用凭据部分，输入您在设置 OAuth 客户端时创建的 OAuth 客户端 ID 和 OAuth secret。

5. 在区域部分中，从下拉菜单中选择适当的选项来托管 Looker (Google Cloud Core) 实例。选择与订阅合同中的区域匹配的区域，因为这是分配项目配额的位置。如需查看可用区域，请参阅 Looker (Google Cloud Core) 位置文档页面。

   实例创建后，便无法更改区域。

6. 在版本部分，选择企业版或嵌入式（生产或非生产）版本选项。版本类型会影响实例可用的部分功能。请确保您选择的版本类型与年度合同中列出的版本类型相同，并且您已为该版本类型分配配额。

   • 企业版：Looker (Google Cloud Core) 平台，具有增强型安全功能，可满足各种内部 BI 和分析应用场景的需求
   • 嵌入式：Looker (Google Cloud Core) 平台，适合用于大规模部署和维护可靠的外部分析和自定义应用
   • 非生产版本：如果您需要一个用于预演和测试的环境，请选择其中一个非生产版本。如需了解详情，请参阅非生产实例文档。

   实例创建完毕后，版本便无法更改。如果您想更改版本，可以使用导入和导出功能将 Looker (Google Cloud Core) 实例数据迁移到配置了其他版本的新实例。

7. 在自定义实例部分，点击显示配置选项，以显示一组可为实例自定义的其他设置。

8. 在连接部分的实例 IP 分配下，选择仅专用 IP 或同时选择专用 IP 和公共 IP。您选择的网络连接类型会影响实例可用的 Looker 功能。以下网络连接选项可供选择：

   • 公共 IP：分配可通过互联网访问的外部 IP 地址。
   • 专用 IP：分配一个内部的客户定义 IP 地址，该地址可在 Virtual Private Cloud (VPC) 中访问，用于入站流量。如需与 VPC 和本地或多云工作负载通信，您必须为出站流量部署服务连接。如果您想使用 VPC Service Controls，则必须仅选择专用 IP。

   • 专用 IP 和公共 IP：入站流量使用公共 IP，响应也是公开的。由 Looker (Google Cloud Core) 发起的流量使用专用 IP 进行出站路由。Looker (Google Cloud Core) 实例不会使用公共 IP 来发起出站互联网流量。

9. 在专用 IP 类型下，选择 Private Service Connect (PSC)。

10. 如果您要创建仅使用专用 IP 的实例，请设置至少一个允许的 VPC，该 VPC 将被授予对实例的北向访问权限。在允许的 VPC 下，点击添加一项以添加每个 VPC。在项目字段中，选择创建网络的项目。在网络下拉菜单中，选择相应网络。

    如果您在连接部分中同时选择专用 IP 和公共 IP，则不会显示允许的 VPC 部分。您可以通过实例的网址设置对实例的访问权限。

11. 在加密部分中，您可以选择要在实例上使用的加密类型。您可以使用以下加密选项：

    • Google-managed encryption key：此选项为默认选项，无需进行任何其他配置。
    • 客户管理的加密密钥 (CMEK)：如需详细了解 CMEK 以及如何在创建实例期间配置 CMEK，请参阅将客户管理的加密密钥与 Looker (Google Cloud Core) 搭配使用文档页面。实例创建完成后，加密类型便无法更改。
    • 启用通过 FIPS 140-2 验证的加密：如需详细了解 Looker (Google Cloud Core) 对 FIPS 140-2 的支持，请参阅在 Looker (Google Cloud Core) 实例上启用 FIPS 140-2 1 级合规性文档页面。

12. 在维护期部分，您可以选择指定 Looker (Google Cloud Core) 安排维护的星期几和时段。维护窗口持续一小时。默认情况下，维护窗口中的首选窗口选项设置为任何窗口。

13. 在拒绝维护期部分，您可以选择指定一个时间段，在此期间 Looker (Google Cloud Core)不安排维护。拒绝维护期最长可达 60 天。您必须在任意两个拒绝维护期之间至少留出 14 天允许维护时间。

14. 在 Gemini in Looker 部分，您可以选择为 Looker (Google Cloud Core) 实例启用 Gemini in Looker 功能。如需启用 Gemini in Looker，请选择 Gemini，然后选择可信测试员功能。启用可信测试员功能后，用户可以使用 Gemini in Looker 的可信测试员功能。您可以按用户通过 Gemini in Looker 预览版表单申请使用非公开的可信测试员功能。您必须启用此设置，才能在预发布预览期间使用 Gemini。（可选）选择可信测试员数据使用。启用此设置后，即表示您同意 Google 按照 Gemini for Google Cloud 可信测试员计划条款中所述的方式使用您的数据。如需为 Looker (Google Cloud Core) 实例停用 Gemini，请清除 Gemini 设置。

15. 点击创建。

gcloud

如需创建 Private Service Connect 实例，请运行 gcloud looker instances create 命令并添加以下所有标志：

gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]
[--no-public-ip-enabled]
[--public-ip-enabled]
--async

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称；与实例网址无关。
• OAUTH_CLIENT_ID 和 OAUTH_CLIENT_SECRET：您在设置 OAuth 客户端时创建的 OAuth 客户端 ID 和 OAuth secret。创建实例后，在 OAuth 客户端的已获授权的重定向 URI 部分中输入实例的网址。
• REGION：Looker (Google Cloud Core) 实例的托管区域。选择与订阅合同中的区域一致的区域。如需查看可用区域，请参阅 Looker (Google Cloud Core) 位置文档页面。
• EDITION：实例的版本和环境类型（生产或非生产）。其可能的值为 core-enterprise-annual、core-embed-annual、nonprod-core-enterprise-annual 或 nonprod-core-embed-annual。实例创建完毕后，版本便无法更改。如果您想更改版本，可以使用导入和导出功能将 Looker (Google Cloud Core) 实例数据迁移到配置了其他版本的新实例。

• ALLOWED_VPC：如果您要创建仅使用专用 IP 的实例，请列出将允许北向（入站）访问 Looker (Google Cloud Core) 的 VPC。如需从实例所在的 VPC 外部访问该实例，您必须列出至少一个 VPC。使用以下某种格式指定 VPC：

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  如果您要创建同时使用专用 IP 和公共 IP 的实例，则无需设置允许的 VPC。

• ADDITIONAL_ALLOWED_VPCS：任何要允许北向访问 Looker (Google Cloud Core) 的其他 VPC 都可以添加到 --psc-allowed-vpcs 标志中，以英文逗号分隔的列表形式添加。

您还必须添加以下标志之一，以启用或停用公共 IP：

• --public-ip-enabled 用于启用公共 IP。如果您为实例启用公共 IP，则传入的流量将通过公共 IP 路由，传出流量将通过 Private Service Connect 路由。
• --no-public-ip-enabled 停用公共 IP。

如果您愿意，可以添加更多参数来应用其他实例设置：

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  --kms-key=KMS_KEY_ID
  [--fips-enabled]
  

• MAINTENANCE_WINDOW_DAY：必须是以下值之一：friday、monday、saturday、sunday、thursday、tuesday、wednesday。如需详细了解维护窗口设置，请参阅管理 Looker (Google Cloud Core) 的维护政策文档页面。
• MAINTENANCE_WINDOW_TIME 和 DENY_MAINTENANCE_PERIOD_TIME：必须采用 24 小时制 UTC 时间格式（例如 13:00、17:45）。
• DENY_MAINTENANCE_PERIOD_START_DATE 和 DENY_MAINTENANCE_PERIOD_END_DATE：必须采用 YYYY-MM-DD 格式。
• KMS_KEY_ID：必须是在设置客户管理的加密密钥 (CMEK) 时创建的密钥。

您可以添加 --fips-enabled 标志来启用 FIPS 140-2 1 级合规性。

创建 Private Service Connect 实例的流程与创建 Looker (Google Cloud Core)（专用服务访问通道）实例的流程在以下方面有所不同：

• 设置 Private Service Connect 后，无需使用 --consumer-network 和 --reserved-range 标志。
• Private Service Connect 实例需要一个额外的标志：--psc-enabled。

• --psc-allowed-vpcs 标志是以英文逗号分隔的 VPC 列表。您可以在列表中指定任意数量的 VPC。

控制台

在创建实例的过程中，您可以在控制台的实例页面中查看其状态。您还可以点击 Google Cloud 控制台菜单中的通知图标，查看实例创建活动。在实例的详情页面上，实例创建完毕后，其状态将显示为有效。

gcloud

如需检查状态，请使用 gcloud looker instances describe 命令：

gcloud looker instances describe INSTANCE_NAME --region=REGION

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
• REGION：Looker (Google Cloud Core) 实例托管的区域。

实例达到 ACTIVE 状态后，即表示已准备就绪。

控制台

1. 在实例页面上，点击您要启用出站（出站）连接的实例的名称。
2. 点击修改。
3. 展开连接部分。
4. 如需修改现有服务连接，请更新本地 FQDN 字段中的服务完全限定域名和目标服务连接 URI 字段中的服务连接 URI。
5. 如需添加新的服务附件，请点击 Add Item。然后，在本地 FQDN 字段中输入服务的完全限定域名，并在目标服务连接 URI 字段中输入服务连接 URI。
6. 点击保存。

gcloud

使用 --psc-service-attachment 标志可为已设置 Private Service Connect 的外部服务启用出站（出站）连接：

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。

• DOMAIN_1 和 DOMAIN_2：如果您要连接到公共服务，请使用该服务的域名。如果您要连接到专用服务，请使用您选择的完全限定域名。网域名称需遵守以下限制：

• 每个南向连接支持单个网域。

• 域名必须至少包含三个部分。例如，mydomain.github.com 是可接受的，但 github.com 是不可接受的。

• 名称的最后一部分不能是以下任何内容：

  • googleapis.com
  • google.com
  • gcr.io
  • pkg.dev

  在 Looker (Google Cloud Core) 实例中设置与服务的连接时，请使用此网域作为服务的别名。

• SERVICE_ATTACHMENT_1 和 SERVICE_ATTACHMENT_2：您要连接的已发布服务的完整服务连接 URI。每个服务连接 URI 只能由一个网域访问。

• REGION：Looker (Google Cloud Core) 实例托管的区域。

如果您要连接到 Looker (Google Cloud Core) 实例所在区域以外的区域中的非 Google 代管式服务，请在生产者负载均衡器上启用全球访问权限。

控制台

在控制台的实例配置页面上，查看详情标签页中的连接状态。连接状态字段显示每个目标服务连接的状态。

gcloud

运行 gcloud looker instances describe --format=json 命令以检查南向连接状态。每个服务连接都应填充 connection_status 字段。

控制台

1. 在实例页面上，点击您要更新允许北向访问实例的 VPC 的实例的名称。
2. 点击修改。
3. 展开连接部分。
4. 如需添加新的 VPC，请点击 Add Item。然后，在项目字段中选择 VPC 所在的相应项目，并从网络下拉菜单中选择相应网络。
5. 如需删除 VPC，请点击将指针悬停在相应网络上时显示的删除项回收站图标。
6. 点击保存。

gcloud

使用 --psc-allowed-vpcs 标志可更新已授权对实例进行北向访问的 VPC 列表。

更新允许的 VPC 时，您必须指定更新后要生效的完整列表。例如，假设 VPC ALLOWED_VPC_1 已获准，而您想添加 VPC ALLOWED_VPC_2。如需添加 VPC ALLOWED_VPC_1，同时确保继续允许 VPC ALLOWED_VPC_2，请按如下方式添加 --psc-allowed-vpcs 标志：

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

替换以下内容：

• INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
• ALLOWED_VPC_1 和 ALLOWED_VPC_2：将允许入站流量进入 Looker (Google Cloud Core) 的 VPC。使用以下任一格式指定每个允许的 VPC：
  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
• REGION：Looker (Google Cloud Core) 实例托管的区域。