建立 Looker (Google Cloud Core) Private Service Connect 執行個體

主控台

1. 在 Google Cloud 控制台中，從專案前往 Looker (Google Cloud Core) 產品頁面。如果已在這個專案中建立 Looker (Google Cloud Core) 執行個體，系統會開啟「Instances」(執行個體) 頁面。

   前往 Looker (Google Cloud Core)

2. 點選「建立執行個體」。
3. 在「Instance name」(執行個體名稱) 區段中，提供 Looker (Google Cloud Core) 執行個體的名稱。執行個體名稱不會與 Looker (Google Cloud Core) 執行個體的網址建立關聯。執行個體建立完成後，即無法變更執行個體名稱。
4. 在「OAuth Application Credentials」(OAuth 應用程式憑證) 專區，輸入您設定 OAuth 用戶端時建立的 OAuth 用戶端 ID 和 OAuth 密鑰。

5. 在「Region」(區域) 部分，從下拉式選單中選取適當選項，以代管 Looker (Google Cloud Core) 執行個體。選取與訂閱合約中區域相符的區域，因為會在這裡分配專案配額。如需可用區域清單，請參閱「Looker (Google Cloud Core) 位置」說明文件頁面。

   執行個體建立後即無法變更區域。

6. 在「版本」部分中，選擇「Enterprise」或「Embed」 (正式版或非正式版) 版本選項。版本類型會影響執行個體可用的功能。請務必選擇與年約中列出的版本類型相同，並確認您已為該版本類型分配配額。

   • 企業版：具備強化版安全防護功能的 Looker (Google Cloud Core) 平台，適用於多種內部商業智慧 (BI) 和數據分析用途
   • 嵌入：Looker (Google Cloud Core) 平台，適合大規模部署及維護可靠的外部數據分析和自訂應用程式
   • 非正式版：如要建立暫存和測試環境，請選取其中一個非正式版。詳情請參閱非正式環境執行個體說明文件。

   執行個體建立後即無法變更版本。如要變更版本，可以透過匯入及匯出功能，將 Looker (Google Cloud Core) 執行個體資料移至以不同版本設定的新執行個體。

7. 在「自訂執行個體」部分中，按一下「顯示設定選項」，即可顯示一組可供自訂的執行個體其他設定。

8. 在「連線」部分的「執行個體 IP 指派」下方，選擇僅使用「私人 IP」，或是同時使用「私人 IP」和「公開 IP」。選取的網路連線類型會影響執行個體可用的 Looker 功能。可用的網路連線選項如下：

   • 公開 IP：指派可透過網際網路存取的外部 IP 位址。
   • 私人 IP：指派可供虛擬私有雲 (VPC) 存取的內部 IP 位址，由客戶定義，用於傳入流量。如要與虛擬私有雲和地端部署或多雲端工作負載通訊，您必須部署輸出流量的服務附件。如要使用 VPC Service Controls，請務必只選取「私人 IP」。

   • 私人 IP和公開 IP：傳入流量會使用公開 IP，回應也會公開。由 Looker (Google Cloud Core) 啟動的流量會使用私人 IP 進行輸出路徑設定。Looker (Google Cloud Core) 執行個體不會使用公開 IP 啟動網際網路連出的流量。

9. 在「私人 IP 類型」下方，選取「Private Service Connect (PSC)」。

10. 如果您要建立僅使用私人 IP 的執行個體，請至少設定一個允許的虛擬私有雲，該虛擬私有雲將獲得執行個體的北向存取權。在「允許的虛擬私有雲」下方，按一下「新增項目」，逐一新增虛擬私有雲。在「Project」(專案) 欄位中，選取建立網路的專案。在「網路」下拉式選單中選取網路。

    如果您在「連線」部分同時選取「私人 IP」和「公開 IP」，「允許的虛擬私有雲」部分就不會顯示。您可以透過執行個體的網頁網址設定執行個體存取權。

11. 在「Encryption」(加密) 區段中，您可以選取要在執行個體上使用的加密類型。可用的加密選項如下：

    • Google-managed encryption key：這是預設選項，不需要進行額外設定。
    • 客戶自行管理的加密金鑰 (CMEK)：如要進一步瞭解 CMEK，以及如何在建立執行個體時設定 CMEK，請參閱「在 Looker (Google Cloud Core) 中使用客戶自行管理的加密金鑰」說明文件頁面。執行個體建立完成後，即無法變更加密類型。
    • 啟用通過 FIPS 140-2 驗證的加密機制：如要進一步瞭解 Looker (Google Cloud Core) 的 FIPS 140-2 支援，請參閱「在 Looker (Google Cloud Core) 執行個體上啟用 FIPS 140-2 第 1 級法規遵循」說明文件頁面。

12. 在「維護期間」部分，您可以選擇指定 Looker (Google Cloud Core) 排定維護作業的星期幾和時間。維護期間為一小時。「維護期間」的「偏好期間」選項預設為「任何期間」。

13. 在「拒絕維護期」部分，您可以選擇指定一段時間，讓 Looker (Google Cloud Core) 不會安排維護作業。拒絕維護期的上限為 60 天。在任兩個拒絕維護期之間，至少須有 14 天的空檔，讓系統能執行維護作業。

14. 在「Gemini in Looker」部分，您可以選擇為 Looker (Google Cloud Core) 執行個體啟用 Gemini in Looker 功能。如要啟用 Gemini in Looker，請依序選取「Gemini」和「信任的測試人員」功能。啟用「信任的測試人員」功能後，使用者就能存取 Gemini in Looker 的「信任的測試人員」功能。如要存取非公開的「信任的測試人員」功能，請透過 Gemini in Looker 預先發布版表單，分別為每位使用者提出申請。您必須啟用這項設定，才能在正式發布前預覽期間使用 Gemini。(選用) 選取「信任的測試人員」資料使用。啟用這項設定後，即表示您同意 Google 依據 Gemini for Google Cloud 「信任的測試人員」計畫條款使用您的資料。如要為 Looker (Google Cloud Core) 執行個體停用 Gemini，請清除「Gemini」Gemini設定。

15. 點選「建立」。

gcloud

如要建立 Private Service Connect 執行個體，請執行 gcloud looker instances create 指令，並搭配下列所有旗標：

gcloud looker instances create INSTANCE_NAME \
--psc-enabled \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--psc-allowed-vpcs=ALLOWED_VPC,ADDITIONAL_ALLOWED_VPCS]
[--no-public-ip-enabled]
[--public-ip-enabled]
--async

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱，與執行個體網址無關。
• OAUTH_CLIENT_ID 和 OAUTH_CLIENT_SECRET：您設定 OAuth 用戶端時建立的 OAuth 用戶端 ID 和 OAuth 密鑰。建立執行個體後，請在 OAuth 用戶端的「已授權的重新導向 URI」部分中輸入執行個體的網址。
• REGION：Looker (Google Cloud Core) 執行個體的代管區域。選取與訂閱合約中區域相符的區域。如需可用區域清單，請參閱「Looker (Google Cloud Core) 位置」說明文件頁面。
• EDITION：執行個體的版本和環境類型 (實際工作環境或非實際工作環境)。可能的值為 core-enterprise-annual、core-embed-annual、nonprod-core-enterprise-annual 或 nonprod-core-embed-annual。執行個體建立後即無法變更版本。如要變更版本，可以透過匯入及匯出功能，將 Looker (Google Cloud Core) 執行個體資料移至以不同版本設定的新執行個體。

• ALLOWED_VPC：如果您要建立僅使用私人 IP 的執行個體，請列出允許「北向」(輸入) 存取 Looker (Google Cloud Core) 的虛擬私有雲。如要從執行個體所在的虛擬私有雲外部存取執行個體，您必須列出至少一個虛擬私有雲。請使用下列其中一種格式指定 VPC：

  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}

  如果您要建立同時使用私人 IP 和公開 IP 的執行個體，則不需要設定允許的虛擬私有雲。

• ADDITIONAL_ALLOWED_VPCS：如要允許其他 VPC 北向存取 Looker (Google Cloud Core)，可以將這些 VPC 新增至 --psc-allowed-vpcs 旗標，並以半形逗號分隔。

您也必須加入下列其中一個旗標，才能啟用或停用公開 IP：

• --public-ip-enabled 會啟用公開 IP。如果為執行個體啟用公開 IP，傳入流量會透過公開 IP 轉送，傳出流量則會以 Private Service Connect 轉送。
• --no-public-ip-enabled 停用公開 IP。

如要套用其他執行個體設定，可以視需要新增更多參數：

  [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
          --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
  [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
          --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
          --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
  --kms-key=KMS_KEY_ID
  [--fips-enabled]
  

• MAINTENANCE_WINDOW_DAY：必須是下列其中一個值：friday、monday、saturday、sunday、thursday、tuesday、wednesday。如要進一步瞭解維護時段設定，請參閱「管理 Looker (Google Cloud Core) 的維護政策」說明文件頁面。
• MAINTENANCE_WINDOW_TIME 和 DENY_MAINTENANCE_PERIOD_TIME：必須採用世界標準時間的 24 小時制格式 (例如 13:00、17:45)。
• DENY_MAINTENANCE_PERIOD_START_DATE 和 DENY_MAINTENANCE_PERIOD_END_DATE：格式必須為 YYYY-MM-DD。
• KMS_KEY_ID：必須是在設定客戶管理的加密金鑰 (CMEK) 時建立的金鑰。

您可以加入 --fips-enabled 旗標，啟用 FIPS 140-2 第 1 級規範。

建立 Private Service Connect 執行個體的程序與建立 Looker (Google Cloud Core) (私人服務存取權) 執行個體的程序不同，差異如下：

• 設定 Private Service Connect 後，就不需要 --consumer-network 和 --reserved-range 標記。
• Private Service Connect 執行個體需要額外旗標：--psc-enabled。

• --psc-allowed-vpcs 旗標是以半形逗號分隔的 VPC 清單。您可以在清單中指定任意數量的 VPC。

主控台

建立執行個體時，您可以在控制台的「執行個體」頁面中查看狀態。您也可以點選 Google Cloud 控制台選單中的通知圖示，查看執行個體建立活動。在執行個體的「詳細資料」頁面中，執行個體建立完成後，狀態會顯示為「有效」。

gcloud

如要查看狀態，請使用 gcloud looker instances describe 指令：

gcloud looker instances describe INSTANCE_NAME --region=REGION

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
• REGION：Looker (Google Cloud Core) 執行個體的代管區域。

執行個體達到 ACTIVE 狀態後，即可使用。

主控台

1. 在「Instances」(執行個體) 頁面中，按一下要啟用南向 (輸出) 連線的執行個體名稱。
2. 按一下 [編輯]。
3. 展開「連線」專區。
4. 如要編輯現有服務連結，請更新「本機 FQDN」欄位中的服務完整網域名稱，以及「目標服務連結 URI」欄位中的服務連結 URI。
5. 如要新增服務附件，請按一下「新增項目」。然後在「Local FQDN」(本機 FQDN) 欄位中輸入服務的完整網域名稱，並在「Target Service Attachment URI」(目標服務連結 URI) 欄位中輸入服務連結 URI。
6. 按一下 [儲存]。

gcloud

使用 --psc-service-attachment 旗標，為已設定 Private Service Connect 的外部服務啟用南向 (輸出) 連線：

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--psc-service-attachment domain=DOMAIN_2,attachment=SERVICE_ATTACHMENT_URI_2 \
--region=REGION

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。

• DOMAIN_1 和 DOMAIN_2：如要連線至公開服務，請使用該服務的網域名稱。如要連線至私人服務，請使用您選擇的完整網域名稱。網域名稱有下列限制：

• 每個南向連線都支援單一網域。

• 網域名稱至少須包含三個部分。舉例來說，mydomain.github.com 可以接受，但 github.com 不可接受。

• 名稱的最後一部分不得為下列任一項：

  • googleapis.com
  • google.com
  • gcr.io
  • pkg.dev

  從 Looker (Google Cloud Core) 執行個體連線至服務時，請使用這個網域做為服務的別名。

• SERVICE_ATTACHMENT_1 和 SERVICE_ATTACHMENT_2：您要連線的已發布服務的完整服務連結 URI。每個服務附件 URI 只能由單一網域存取。

• REGION：Looker (Google Cloud Core) 執行個體的代管區域。

如果您要連線至 Looker (Google Cloud Core) 執行個體所在區域以外的非 Google 代管服務，請在生產者負載平衡器上啟用全域存取權。

主控台

在管理控制台的執行個體設定頁面中，前往「詳細資料」分頁，即可查看連線狀態。「連線狀態」欄位會顯示每個目標服務附件的狀態。

gcloud

執行 gcloud looker instances describe --format=json 指令，檢查南向連線狀態。每個服務附件都應填入 connection_status 欄位。

主控台

1. 在「Instances」(執行個體) 頁面中，按一下要更新允許北向存取執行個體的 VPC 的執行個體名稱。
2. 按一下 [編輯]。
3. 展開「連線」專區。
4. 如要新增虛擬私有雲，請按一下「新增項目」。接著，在「Project」(專案) 欄位中選取專案，然後從「Network」(網路) 下拉式選單中選取網路。
5. 如要刪除 VPC，請將指標懸停在網路上，然後按一下隨即顯示的「刪除項目」垃圾桶圖示。
6. 按一下 [儲存]。

gcloud

使用 --psc-allowed-vpcs 旗標更新已授權可從北向存取執行個體的虛擬私有雲清單。

更新允許的虛擬私有雲時，必須指定更新後要生效的完整清單。舉例來說，假設您已允許虛擬私有雲 ALLOWED_VPC_1，現在想新增虛擬私有雲 ALLOWED_VPC_2。如要新增 VPC ALLOWED_VPC_1，同時確保 VPC ALLOWED_VPC_2 仍可使用，請按照下列方式新增 --psc-allowed-vpcs 旗標：

gcloud looker instances update INSTANCE_NAME \
--psc-allowed-vpcs=ALLOWED_VPC_1,ALLOWED_VPC_2 --region=REGION

更改下列內容：

• INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
• ALLOWED_VPC_1 和 ALLOWED_VPC_2：允許進入 Looker (Google Cloud Core) 的 VPC。請使用下列其中一種格式指定每個允許的 VPC：
  • projects/{project}/global/networks/{network}
  • https://www.googleapis.com/compute/v1/projects/{project}/global/networks/{network}
• REGION：Looker (Google Cloud Core) 執行個體的代管區域。