本页面介绍如何为客户托管的部署安装 Looker 应用。
Looker 应用的托管与数据所在位置无关；数据始终保留在数据库中，不会复制到 Looker 实例。
部署规范
如果您要在未连接到互联网的网络上运行 Looker，则可能需要设置代理服务器以与 Looker 的许可服务器通信，或者使用仅进行网络调用的无服务器 Web 服务，例如 BigQuery。
在符合以下最低要求的专用机器上安装 Looker 应用：
- 1.2 GHz CPU；Looker 建议使用两个或更多核心。
- 8 GB 可用 RAM。
- 10 GB 可用磁盘空间。
- 2 GB 的交换文件空间。
- Linux。我们使用 Ubuntu Linux（LTS 版本）进行内部 Looker 托管，并且建议没有偏好 Linux 的客户使用 Ubuntu Linux。但是，我们支持在所有主要企业 Linux 发行版（包括 RedHat、CentOS 和 Amazon Linux）的发布版本上使用 Looker。Looker 仅支持采用 x64 指令集的 Linux 版本。
Java OpenJDK 11.0.12+、OpenJDK 8.0.181+ 或 HotSpot 1.8 161 及更高版本。Looker 使用 OpenJDK（版本 11）提升性能和内存使用。Looker 建议使用 JDK（而不是 JRE）来利用额外的问题排查工具。此外，Looker 建议您在新的 Java 更新发布时进行过渡。目前不支持其他版本的 Java、Oracle JDK 和 OpenJDK。
系统上必须存在
libssl和libcrypt.so。您必须允许通过 TCP 端口
9999流向 Looker 实例的入站流量。如果用户需要 API 访问权限，您必须允许通过 TCP 端口
19999流向 Looker 实例的入站流量。如果 Looker 从 AWS VCP 专用网络连接到 AWS Redshift，则必须将 MTU 设置为 1500。如需详细了解此设置，请参阅有关 Amazon Web Services 的文章的配置实例的 MTU 部分。如果 Looker 在数据库连接测试期间检测到 MTU 设置大于 1500，则会显示以下错误：
MTU of network interface eth0 is too large (> 1500). If Looker instance and Redshift cluster are within the same VPC, this warning can be ignored.以下是 TCP keepalive 设置。如需在重新启动后保留下来，应在
/etc/sysctl.conf或/etc/sysctl.d目录下的文件中进行设置：net.ipv4.tcp_keepalive_time=200 net.ipv4.tcp_keepalive_intvl=200 net.ipv4.tcp_keepalive_probes=5名为
looker的群组中名为looker的用户，用于运行 Looker 应用。looker用户的 ulimit 为4096或更高。为此，请将以下几行代码添加到/etc/security/limits.conf中：looker soft nofile 4096 looker hard nofile 4096通过 NTP 或等效方法同步时间。
/tmp文件夹不得使用 noexec 选项装载。looker主目录不应装载在 NFS 卷上。建议将服务器的时区设置为 UTC，但不强制要求。
Looker 23.6 及更高版本需要 Git 2.39.1 或更高版本。
Netcat 虽非必需，但可用于排查网络连接问题。例如，要在基于 Ubuntu 的服务器上安装 Netcat，可使用以下常用命令：
sudo apt-get install netcat如果需要，您可以设置一个代理服务器来处理 Looker 需要能够针对 localhost 上的“core”发出的 HTTP(S) 请求。如需与 Looker 的本地代理服务器进行通信，您需要在
lookerstart.cfg中添加一些特殊参数：添加http.nonProxyHosts=localhost以允许在不通过代理的情况下访问 Looker 的 localhost。
为避免维护和资源冲突，您不应使用 Looker 服务器来托管其他应用。
启用 ntpd 或 chronyd
NTP 表示网络时间协议。它可以让主机的系统时钟始终保持正确的时间，而 Looker 需要正常运行。只要时间保持同步，Looker 就不需要使用任何特定的时间同步软件。无需运行 NTP 服务器，而只需运行 NTP 客户端。您可以将 NTP 替换为 chronyd。
请参阅操作系统供应商的文档，了解如何启用 ntpd 或 chronyd。
创建加密密钥
Looker 使用 AES-256 伽罗瓦/计数器模式 (GCM) 加密来加密内部存储的敏感数据，包括：
- Looker 内部数据库的备份
- 数据库和服务连接信息
- 用户身份验证信息
- 用户属性值
- 已缓存或准备传送的客户数据
如需查看 Looker 加密的数据的详细列表，请提交支持请求。
数据使用唯一的数据密钥加密，并包含一个已签名且版本化的加密信封以保证验证。此模式需要使用外部客户主密钥 (CMK)。CMK 用于派生、加密和解密密钥加密密钥 (KEK)，而密钥加密密钥 (KEK) 又用于派生、加密和解密数据密钥。
加密仅适用于 Looker 的内部数据库和缓存。客户数据库不会受到 Looker 加密的影响。此外，只有静态数据（存储在磁盘上的数据）会以这种方式加密。
客户托管的安装可以使用自己的 AWS KMS 帐号或自定义密钥管理系统。所有数据密钥和 KEK 均会加密，并在客户托管的 Looker 安装内部使用。如果您未使用 AWS KMS，则外部 CMK 应保存在安全且永久的位置！在加密内部数据库后丢失 CMK 可能会导致您的实例丢失。
如果您使用的是 AWS KMS
如果您使用的是 AWS KMS，请使用 AWS 管理控制台或 API 创建 CMK。
创建 CMK 后，Looker 建议您创建一个新的 IAM 角色，该角色是您的 CMK 独有的，并将其与您的 Looker 实例关联。
以下是包含 CMK 所需最低权限的 IAM 角色示例：
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": "kms:GenerateRandom",
"Resource": "*"
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": [
"kms:Decrypt",
"kms:Encrypt",
"kms:Generate*",
],
"Resource": "arn:aws:kms:*:*:key/*"
}
]
}
创建 CMK 和新的 IAM 角色后，请将 AWS_REGION 环境变量设置为您的 AWS 区域，并将 LKR_AWS_CMK 环境变量设置为您的 CMK 的别名：
export AWS_REGION=<AWS_region>
export LKR_AWS_CMK=alias/<CMK_alias>
（可选）您还可以设置 LKR_AWS_CMK_EC 环境变量以设置自定义 AWS 加密上下文。如果您未设置此环境变量，Looker 将使用默认加密上下文，即字符串 Looker_Encryption_Context。
export LKR_AWS_CMK_EC=<My_Encryption_Context>
如果您未使用 AWS KMS
如果您未使用 AWS KMS，请生成 Base64、32 字节的 CMK。您可以将 CMK 存储在环境变量或文件中：
如需生成 CMK 并将其存储在环境变量中，您可以使用以下命令生成 CMK：
openssl rand -base64 32生成 CMK 后，请复制它并使用以下命令将该 CMK 存储在
LKR_MASTER_KEY_ENV环境变量中（其中<CMK_value>是您使用上一个命令生成的 CMK）：export LKR_MASTER_KEY_ENV=<CMK_value>如需生成 CMK 并将其存储在文件中，您可以使用以下命令（其中
<path_to_key_file>是存储 CMK 的路径和文件名）：openssl rand -base64 32 > <path_to_key_file>生成 CMK 文件后，将密钥文件权限设置为当前用户只读：
chmod 0400 <path_to_key_file>
生成 CMK 后，请务必将其存储在安全且永久的位置，然后再继续操作！在加密内部数据库后丢失 CMK 可能会导致您的实例丢失。
生成并存储 CMK 后，设置 LKR_MASTER_KEY_ENV 环境变量：
如果您将 CMK 存储在环境变量中，请将
LKR_MASTER_KEY_ENV环境变量设置为 CMK 的值：export LKR_MASTER_KEY_ENV=<CMK_value>如果要将 CMK 存储在文件中，请将
LKR_MASTER_KEY_FILE环境变量设置为 CMK 文件的路径：export LKR_MASTER_KEY_FILE=<path_to_key_file>
生成 CMK 后，请务必将其存储在安全且永久的位置，然后再继续操作！在加密内部数据库后丢失 CMK 可能会导致您的实例丢失。
安装 Looker 应用
创建群组“
looker”。sudo groupadd looker创建用户
looker及其主目录。sudo useradd -m -g looker looker切换到
looker用户；不要以 root 身份运行 Looker。sudo su - looker在主目录中创建
looker子目录。mkdir ~/looker切换到
looker子目录。cd ~/looker确保您位于正确的目录中。
pwd如果您的用户目录位于
/home下，则此命令的输出应为/home/looker/looker。通过下载 Looker JAR 文件文档页面上的任一方法下载所需的 Looker JAR 文件。确保这两个 JAR 文件的版本相同；使用不同版本的核心和依赖项 JAR 文件可能会导致 Looker 安装不稳定。
在 looker-open-source GitHub 代码库下载最新的启动脚本。如果您希望 Looker 在系统启动时运行，则可以下载 looker_init 脚本，并同时使用
systemd和init脚本选项。将启动脚本（名为
looker）和 Looker JAR 文件（名为looker-x.x.x.jar和looker-dependencies-x.x.x.jar，其中x.x.x是版本号）移至新的~/looker目录。已将
looker-x.x.x.jar重命名为looker.jar，并将looker-dependencies-x.x.x.jar重命名为looker-dependencies.jar。启动脚本会自动确定要分配给 Looker 的 Java 内存量。如果您想要手动自定义此值，请参阅推荐的 Java 内存设置文档页面，了解详情。
使 Looker 启动脚本可执行（将权限设置为
0750）。chmod 0750 looker以
looker用户身份从 shell 启动 Looker 进程。./looker start如需获取启动标志帮助，请使用以下命令：
java -jar looker.jar --help或者，如需获取启动命令帮助，请使用以下命令：
java -jar looker.jar help打开浏览器并前往
https://hostname:9999，其中hostname是运行 Looker 的主机的 DNS 名称。您应在网址中使用
https，这会造成您需要绕过的安全警告。在服务器上安装有效的 SSL 证书之前，此警告将持续存在。输入从 Looker 分析师处获取的许可密钥。
输入姓名、电子邮件地址和密码以创建您的第一个帐号。
创建 DNS 记录
为服务器添加 looker.[yourdomain].com DNS 记录。这是可选步骤，但建议您执行。
自动部署 Looker
您可以使用 Ansible 或 Chef 等配置管理工具部署 Looker。配置管理工具文档页面提供了用于自动部署的 Ansible 角色示例。
Hypervisor 调整
Looker 以 Java 虚拟机的形式运行。如果您的 Looker 实例位于 VMware 客户机上，您可能需要对性能进行一些调整。请参阅 VMware Java 最佳实践指南。
在其他虚拟化平台上，从 Hypervisor 预留 Looker 主机内存可以提升性能。这在 Amazon EC2 上无法控制；但是，对于其他供应商，您应查阅其文档以了解详情。
设置可选的 MySQL 后端数据库
默认情况下，Looker 使用 HyperSQL 内存数据库来存储其配置、用户和其他数据。但是，您可以使用外部 MySQL 数据库来存储 Looker 的内部信息。如需了解如何配置和优化 MySQL 后端数据库，请参阅迁移到 MySQL 文档页面。
后续步骤
安装 Looker 后，您就可以配置 Looker 启动选项了。