Looker（Google Cloud コア）用のプライベート IP 接続を作成する

プライベート IP 接続を使用すると、インターネットまたは外部 IP アドレスを使用せずにサービスに到達できます。プライベート IP 経由の接続では、インターネットを経由しないため、通常はレイテンシが小さく、攻撃ベクトルが制限されます。プライベート IP 接続では、Looker（Google Cloud コア）インスタンスが Virtual Private Cloud（VPC）内の他のリソースと通信できるが、公共のインターネットからの受信通信は許可されません。

プライベート IP 接続は、一部の Looker（Google Cloud コア）機能と互換性がありません。詳細については、機能の互換性の表をご覧ください。

Looker（Google Cloud コア）は、次の条件を満たすインスタンスに対してプライベート IP をサポートします。

プライベート IP インスタンスを設定するには、次の IAM 権限が必要です。

始める前に

  1. 割り当て IP アドレス範囲の作成とプライベート接続の管理に必要な権限を取得するには、プロジェクトに対する Compute ネットワーク管理者（roles/compute.networkAdmin）の IAM ロールを付与するよう管理者に依頼してください。ロールの付与の詳細については、アクセス権の管理をご覧ください。

    この事前定義ロールには、割り振られた IP アドレス範囲の作成とプライベート接続の管理に必要な権限が含まれています。必要な権限を正確に確認するには、[必要な権限] セクションを開いてください。

    必要な権限

    割り振られた IP アドレス範囲を作成し、プライベート接続を管理するには、次の権限が必要です。

    • [ネットワーク] プルダウンに、利用可能なネットワークが表示されます。
      • compute.addresses.list
      • compute.globalAddresses.list
    • 新しい VPC ネットワークを作成します。
      • compute.addresses.create
      • compute.globalAddresses.create
      • serviceusage.services.enable
    • プライベート IP 範囲を割り振り、プライベート サービス アクセス接続を設定します。 compute.networks.addPeering

    カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

    Terraform または Google Cloud CLI でプライベート IP インスタンスを作成し、すでに設定されているプライベート ネットワークを使用している場合、これらの権限は必要ありません。

  2. Google Cloud コンソールでプロジェクトの Compute Engine API を有効にします。API を有効にする際は、有効になっていることを確認するためにコンソール ページの更新が必要になる場合があります。

    API を有効にする

VPC ネットワークの作成と構成

プライベート IP 接続を作成するには、まず Virtual Private Cloud（VPC）ネットワークを作成して構成する必要があります。

  1. プロジェクトで VPC ネットワークを作成します。新しい VPC ネットワークを作成する代わりに共有 VPC を使用する場合は、セクション共有 VPC でのインスタンスの作成の手順に加えて、共有 VPC のこのセクションの残りの手順を完了します。
  2. Looker（Google Cloud コア）へのプライベート接続用に VPC に IPv4 IP 範囲（CIDR ブロック）を割り当てます。
    • 範囲を割り当てる前に、制約を検討してください。
    • IP アドレス範囲のサイズを設定する場合は、最小サイズが /22 ブロックであることに注意してください。
    • Looker（Google Cloud コア）は、RFC 1918 内のすべての IPv4 範囲をサポートしています。RFC 1918 は、内部で（つまり、組織内で）使用するために割り当てられる IP アドレスを指定し、インターネット上ではルーティングされません。具体的には次のようなものがあります。
      • 10.0.0.0/8
      • 172.16.0.0/12
      • 192.168.0.0/16
    • クラス E IPv4 範囲（240.0.0.0/4）は、RFC 5735 と RFC 1112 に記載されているとおり将来の使用のために予約されており、Looker（Google Cloud コア）ではサポートされていません。
    VPC で Looker（Google Cloud コア）インスタンスが初めて作成される場合、Looker はプロキシ専用サブネットを作成します。同じ VPC 内の後続のプライベート IP Looker（Google Cloud コア）インスタンスは、同じサブネットを使用します。
  3. [割り当て] 用に前の手順で割り当てた IP 範囲を使用して、プライベート サービス アクセス接続を VPC ネットワークに追加します。
  4. VPC ネットワークが作成されたら、Google Cloud プロジェクトの [Looker インスタンスを作成する] ページに戻ります。VPC ネットワークが認識されるように、ページの更新が必要になる場合があります。

これらの手順を完了したら、Looker（Google Cloud コア）インスタンスを作成するドキュメント ページの始める前にセクションから始まる手順に沿って、インスタンスの作成を開始できます。

共有 VPC でインスタンスの作成

共有 VPC に Looker（Google Cloud コア）インスタンスを作成する場合は、共有 VPC のホスト プロジェクトで次の手順を行います。

  1. Google Cloud コンソールで、共有 VPC のホスト プロジェクトでの Looker API を有効にします。API を有効にする際は、有効になっていることを確認するためにコンソール ページの更新が必要になる場合があります。

    API を有効にする

  2. gcloud services identity create コマンドを使用して、共有 VPC のホスト プロジェクトにサービス アカウントを作成します。

    gcloud beta services identity create --service=looker.googleapis.com --project=SHARED_HOST_PROJECT_ID

    SHARED_HOST_PROJECT_ID は、共有 VPC のホスト プロジェクトに置き換えます。

  3. ホスト プロジェクトのサービス アカウントに compute.globalAddresses.get IAM 権限を付与します。

サービス アカウントを作成して IAM 権限を付与した後、サービス アカウントと権限が反映されるまで数分待ちます。

さらに、前のセクションの VPC ネットワークを作成して設定するの説明に従って、共有 VPC に IPv4 IP 範囲を割り当て、共有 VPC へのプライベート サービス アクセス接続を追加します。

インスタンス作成時のネットワーク構成

インスタンスの作成時にプライベート IP を構成するには、次のいずれかのオプションを選択します。

Console

インスタンスの作成時に [プライベート IP] のみ、または [プライベート IP] と [パブリック IP] の両方を選択した場合は、次のように構成を完了します。

  1. [必要な API を有効にする] ポップアップが表示されたら、Google Cloud プロジェクトで追加の API を有効にする必要があります。プライベート ネットワーク接続に必要な API を有効にするには、[すべて有効にする] をクリックします。
  2. [ネットワーク] プルダウンで、VPC ネットワークを選択します。プライベート IP ネットワークにはプライベート サービス アクセス接続が必要です。これにより、サービスが内部 IP アドレスを使用して排他的に通信できるようになります。プライベート IP 接続の設定の詳細については、プライベート サービス アクセスを構成するドキュメント ページをご覧ください。VPC ネットワークの作成時にプライベート サービス接続を設定していない場合は、[プライベート サービス アクセス接続は必須です] というメッセージの下にある [接続を設定] をクリックします。サイドパネルが開き、IP 範囲を割り当てて接続を作成できます。
  3. [割り振られている IP 範囲] で、Google が Looker（Google Cloud コア）インスタンスのサブネットワークをプロビジョニングする VPC 内の IP アドレスの範囲を選択できます。サブネットワークは、VPC ネットワーク内の他のリソースでは使用できない IP 範囲を予約します。Looker（Google Cloud コア）インスタンスを作成すると、この IP 範囲を変更できなくなります。IP 範囲の割り当てには次のオプションがあります。
    • VPC のサブネットワークをプロビジョニングするために IP 範囲を自動的に割り当てるには、[自動的に割り当てられた IP 範囲を使用する] を選択します。
    • プライベート サービス アクセスの設定時に定義された IP 範囲を選択します。
  4. インスタンスの作成を完了し、[作成] をクリックしてインスタンスを作成します。

gcloud 

  gcloud looker instances create INSTANCE_NAME \
  --project=PROJECT_ID \
  --oauth-client-id=OAUTH_CLIENT_ID \
  --oauth-client-secret=OAUTH_CLIENT_SECRET \
  --region=REGION \
  --edition=EDITION \
  --consumer-network=CONSUMER_NETWORK --private-ip-enabled --reserved-range=RESERVED_RANGE
  [--no-public-ip-enabled]
  [--public-ip-enabled]

次のように置き換えます。

  • INSTANCE_NAME: Looker（Google Cloud コア）インスタンスの名前。インスタンス URL には関連付けられていません。
  • PROJECT_ID: Looker（Google Cloud コア）インスタンスを作成する Google Cloud プロジェクトの名前。
  • OAUTH_CLIENT_ID と OAUTH_CLIENT_SECRET: OAuth クライアントを設定したときに作成した OAuth クライアント ID と OAuth シークレット。インスタンスが作成されたら、OAuth クライアントの [承認済みのリダイレクト URI] セクションにインスタンスの URL を入力します。
  • REGION: Looker（Google Cloud コア）インスタンスがホストされるリージョン。サブスクリプション契約のリージョンと一致するリージョンを選択します。使用可能なリージョンは、Looker（Google Cloud コア）のロケーション ドキュメント ページに記載されています。
  • EDITION: インスタンスのエディション。有効な値は core-standard-annual、core-enterprise-annual、core-embed-annual です。インスタンスの作成後はエディションを変更できません。エディションを変更する場合は、インポートとエクスポートを使用して、Looker（Google Cloud コア）インスタンス データを、別のエディションで構成される新しいインスタンスに移動します。
  • CONSUMER_NETWORK: VPC ネットワークまたは共有 VPC。プライベート IP インスタンスを作成する場合は設定する必要があります。
  • RESERVED_RANGE: Google が Looker（Google Cloud コア）インスタンスのサブネットワークをプロビジョニングする VPC 内の IP アドレスの範囲。プライベート IP インスタンスを作成する場合は設定する必要があります。

次のフラグを含めることができます。

  • --private-ip-enabled は、プライベート IP を有効にします。
  • --public-ip-enabled は、パブリック IP を有効にします。
  • --no-public-ip-enabled は、パブリック IP を無効にします。

インスタンス作成後のインスタンス構成

プライベート IP でのみ有効なインスタンスを作成しても、そのインスタンスの URL は受信されません。インスタンスにアクセスするには、次の両方を行う必要があります。

次の操作を行うことで、プライベート IP インスタンスをさらに構成することもできます。

  • VPC Service Controls を使用している場合は、デフォルト ルートを削除します。
  • メールドメイン許可リストを作成して、外部ドメインへのメールの配信を制限します。
  • プライベート IP インスタンスを構成して、インターネットや外部リソースとの通信を許可または制限します。

次のステップ