搭配 Looker (Google Cloud Core) 使用 Private Service Connect

您可以使用 Private Service Connect 存取私人 IP Looker (Google Cloud Core) 執行個體，或將私人 IP Looker (Google Cloud Core) 執行個體連線至其他內部或外部服務。如要使用 Private Service Connect，Looker (Google Cloud Core) 執行個體必須符合下列條件：

Private Service Connect 可透過端點或後端，提供 Looker (Google Cloud Core) 的北向存取權。網路端點群組 (NEG) 一旦公開為 Private Service Connect 服務供應端，Looker (Google Cloud Core) 就能存取南向內部部署資源、多雲環境、虛擬私有雲工作負載或網際網路服務。

如要進一步瞭解 Private Service Connect，請觀看「什麼是 Private Service Connect？」和「Private Service Connect 和服務目錄：改變雲端應用程式連線方式的革命」影片。

服務連結

當您建立可使用 Private Service Connect 的 Looker (Google Cloud Core) 執行個體時，Looker (Google Cloud Core) 會自動為執行個體建立服務附件。服務附件是 VPC 網路用來存取執行個體的附件點。服務附件含有 URI，用於建立連線。您可以在 Google Cloud 控制台的「Instance configuration」(執行個體設定) 頁面中，找到「Details」 分頁中的 URI。

接下來，您將建立 Private Service Connect 後端，供其他虛擬私有雲網路使用，以連線至服務連結。這樣網路就能存取 Looker (Google Cloud Core) 執行個體。

往北行駛的車輛

北向存取權涉及從用戶端到 Looker (Google Cloud Core) 的路由設定。透過 Private Service Connect 部署的 Looker (Google Cloud Core) 支援後端連線，可用於北向存取。

Private Service Connect 可讓您將流量傳送至端點和後端，再由後端將流量轉送至 Looker (Google Cloud Core)。

Looker (Google Cloud Core) Private Service Connect 執行個體可透過外部區域應用程式負載平衡器，或透過 Private Service Connect 後端私下存取。不過，Looker (Google Cloud Core) 只支援單一自訂網域，因此 Looker (Google Cloud Core) 執行個體的北向存取權必須是公開或私密，不能同時是公開和私密。

後端

後端會透過網路端點群組 (NEG) 部署，讓消費者在流量抵達 Private Service Connect 服務前，將公開和私人流量導向負載平衡器，並提供憑證終止功能。透過負載平衡器，後端會提供下列選項：

  • 可觀察性 (每個連線都會記錄)
  • Cloud Armor 整合
  • 網址私人標籤和用戶端憑證
  • 要求修飾 (新增自訂要求標頭)

存取南向服務

Looker (Google Cloud Core) 在與 VPC、多雲網路或網際網路中的其他服務建立通訊時，會扮演服務消費者的角色。從 Looker (Google Cloud Core) 連線至這些服務，會被視為南向流量。

如要連線至這些服務，請按照下列步驟操作：

  1. 確認服務已發布。有些 Google Cloud 服務可能會為您處理這項作業，例如 Cloud SQL 提供一種建立已啟用 Private Service Connect 的執行個體的方式。否則，請按照使用 Private Service Connect 發布服務的操作說明操作，並參閱 Looker (Google Cloud 核心) 操作說明中的其他指引。
  2. 指定從 Looker (Google Cloud Core) 到服務的南向 (出口) 連線。

使用 Private Service Connect 存取服務時，您可以使用混合連線 NEG 或網際網路 NEG：

Private Service Connect 會透過負載平衡器和混合或網際網路 NEG，將 Looker (Google Cloud Core) 連線至服務。

  • 混合式連線 NEG 可提供私人端點存取權，例如內部部署或多雲端端點。混合式連線 NEG 是 IP 位址和通訊埠的組合，可做為負載平衡器的後端。並部署在與 Cloud Router 相同的 VPC 中。這項部署作業可讓虛擬私有雲網路中的服務透過混合式連線 (例如 Cloud VPN 或 Cloud Interconnect) 連線至可轉送的端點。

  • 網際網路 NEG 可提供公開端點的存取權，例如 GitHub 端點。網際網路 NEG 會為負載平衡器指定外部後端。網際網路 NEG 參照的這個外部後端可透過網際網路存取。

您可以建立從 Looker (Google Cloud Core) 到任何區域服務供應者的南向連線。舉例來說，如果您在 us-west1 和 us-east4 區域中擁有 Cloud SQL Private Service Connect 執行個體，就可以從在 us-central1 部署的 Looker (Google Cloud Core) Private Service Connect 執行個體建立南向連線。

兩個具有專屬網域名稱的區域服務附件會指定如下：--region 標記代表 Looker (Google Cloud Core) Private Service Connect 執行個體的區域，而 Cloud SQL 執行個體的區域則包含在服務連結 URI 中：

gcloud looker instances update looker-psc-instance \
--psc-service-attachment domain=sql.database1.com,attachment=projects/123/regions/us-west1/serviceAttachments/sql-database1-svc-attachment --region=us-central1 \
--psc-service-attachment domain=sql.database2.com,attachment=projects/123/regions/us-east4/serviceAttachment/sql-database2-svc-attachment --region=us-central1

如要向非 Google 管理的服務提供南向存取權，您必須在供應者負載平衡器上啟用全域存取權，才能允許區域間通訊。

後續步驟