Membuat koneksi IP pribadi untuk Looker (Google Cloud core)

Koneksi IP pribadi membuat layanan dapat dijangkau tanpa melalui internet atau menggunakan alamat IP eksternal. Karena mereka tidak melintasi internet, koneksi melalui IP pribadi biasanya memberikan latensi yang lebih rendah dan vektor serangan yang terbatas. Koneksi IP Pribadi memungkinkan instance Looker (Google Cloud core) Anda berkomunikasi dengan resource lain di Virtual Private Cloud (VPC) Anda, tetapi tidak mengizinkan komunikasi masuk dari internet publik.

Konektivitas IP pribadi tidak kompatibel dengan beberapa fitur Looker (Google Cloud core). Lihat tabel kompatibilitas fitur untuk mengetahui informasi selengkapnya.

Looker (Google Cloud core) mendukung IP pribadi untuk instance yang memenuhi kriteria berikut:

• Edisi instance harus Enterprise atau Embed.

Untuk menyiapkan instance IP pribadi, Anda harus memiliki izin IAM berikut:

• Admin Looker
• Compute Network Admin (atau menjadi pemilik project Google Cloud Anda)

Sebelum memulai

1. Untuk mendapatkan izin yang diperlukan guna membuat rentang alamat IP yang dialokasikan dan mengelola koneksi pribadi, minta administrator untuk memberi Anda peran IAM Admin Jaringan Compute (roles/compute.networkAdmin) pada project. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses.

   Peran bawaan ini berisi izin yang diperlukan untuk membuat rentang alamat IP yang dialokasikan dan mengelola koneksi pribadi. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

   Izin yang diperlukan

   Izin berikut diperlukan untuk membuat rentang alamat IP yang dialokasikan dan mengelola koneksi pribadi:

   • Lihat jaringan yang tersedia di drop-down Jaringan:
     • compute.addresses.list
     • compute.globalAddresses.list
   • Buat jaringan VPC baru:
     • compute.addresses.create
     • compute.globalAddresses.create
     • serviceusage.services.enable
   • Alokasikan rentang IP pribadi dan siapkan koneksi akses layanan pribadi: compute.networks.addPeering

   Anda mung juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaanlainnya.

   Catatan: Peran dasar IAM mungkin juga berisi izin untuk membuat rentang alamat IP yang dialokasikan dan mengelola koneksi pribadi. Anda tidak boleh memberikan peran dasar dalam lingkungan produksi, tetapi Anda dapat memberikannya dalam lingkungan pengembangan atau pengujian.

   Jika Anda membuat instance IP pribadi dengan Terraform atau Google Cloud CLI dan menggunakan jaringan pribadi yang telah disiapkan, Anda tidak memerlukan izin ini.

2. Aktifkan Compute Engine API untuk project Anda di Konsol Google Cloud. Saat mengaktifkan API, Anda mungkin perlu memuat ulang halaman konsol untuk memastikan bahwa API telah diaktifkan.

   Mengaktifkan API

Membuat dan mengonfigurasi jaringan VPC

Catatan: Jika Anda membuat instance Looker (Google Cloud core) di VPC Bersama, ikuti langkah-langkah di bagian Membuat instance di VPC Bersama.

Agar dapat membuat koneksi IP pribadi, Anda harus terlebih dahulu membuat dan mengonfigurasi jaringan Virtual Private Cloud (VPC).

1. Buat jaringan VPC di project Anda. Atau, jika Anda menggunakan VPC Bersama dan bukan membuat jaringan VPC baru, selesaikan langkah-langkah di bagian berikut, Membuat instance di VPC Bersama, selain menyelesaikan langkah-langkah yang tersisa di bagian ini untuk VPC Bersama.
2. Alokasikan rentang IP IPv4 (blok CIDR) di VPC Anda untuk koneksi pribadi ke Looker (Google Cloud core).
• Sebelum mengalokasikan rentang, pertimbangkan batasan.
• Saat menetapkan ukuran rentang alamat IP, perhatikan bahwa ukuran minimum adalah blok /22.
• Looker (Google Cloud core) mendukung semua rentang IPv4 dalam RFC 1918, yang menentukan alamat IP yang ditetapkan untuk digunakan secara internal (dalam suatu organisasi) dan tidak akan dirutekan di Internet. Secara khusus, yaitu:
• 10.0.0.0/8
• 172.16.0.0/12
• 192.168.0.0/16
• Rentang IPv4 Kelas E (240.0.0.0/4) dicadangkan untuk penggunaan pada masa mendatang seperti yang tercantum dalam RFC 5735 dan RFC 1112 serta tidak didukung untuk Looker (Google Cloud core).
Perhatian: Selain rentang IPv4 Kelas E, beberapa rentang IPv4 lain di luar RFC 1918 mungkin tidak didukung oleh Looker (Google Cloud core) atau dependensinya. Jika ingin menggunakan rentang di luar RFC 1918, Anda mungkin perlu mengujinya terlebih dahulu.
Saat instance Looker (Google Cloud core) dibuat untuk pertama kalinya di VPC, Looker akan membuat subnet khusus proxy. Setiap instance Looker IP pribadi (inti Google Cloud) berikutnya di VPC yang sama akan menggunakan subnet yang sama.
Perhatian: Jika ada instance IP pribadi Looker (Google Cloud core) yang dihapus dan instance IP pribadi Looker (inti Google Cloud) lainnya tetap berada di VPC, subnet tidak akan dirilis. Jika Anda mencoba membuat instance Looker IP pribadi (Google Cloud core) baru menggunakan rentang alamat yang berisi alamat subnet khusus proxy, pembuatan instance akan gagal jika rentang IP tidak cukup dan Anda akan melihat error "Rentang IP habis".
3. Tambahkan koneksi akses layanan pribadi ke jaringan VPC Anda menggunakan rentang IP yang dialokasikan di langkah sebelumnya untuk Alokasi yang ditetapkan.
4. Setelah jaringan VPC dibuat, kembali ke halaman Buat instance Looker di project Google Cloud Anda. Anda mungkin perlu me-refresh halaman agar jaringan VPC Anda dikenali.

Setelah menyelesaikan langkah-langkah ini, Anda dapat mulai membuat instance dengan mengikuti langkah-langkah di halaman dokumentasi Membuat instance Looker (Google Cloud core) , dimulai dengan bagian Sebelum memulai.

Membuat instance di VPC Bersama

Jika Anda membuat instance Looker (Google Cloud core) di VPC Bersama, selesaikan langkah-langkah berikut di project host VPC Bersama:

1. Aktifkan Looker API di project host VPC Bersama di Konsol Google Cloud. Saat mengaktifkan API, Anda mungkin perlu memuat ulang halaman konsol untuk memastikan bahwa API telah diaktifkan.

   Mengaktifkan API

2. Buat akun layanan di project host VPC Bersama menggunakan perintah services identity create gcloud:

   gcloud beta services identity create --service=looker.googleapis.com --project=SHARED_HOST_PROJECT_ID
   

   Ganti SHARED_HOST_PROJECT_ID dengan project host VPC Bersama.

3. Berikan izin IAM compute.globalAddresses.get ke akun layanan di project host.

Setelah membuat akun layanan dan memberikan izin IAM, tunggu beberapa menit sampai akun layanan dan izin menyebar.

Selain itu, alokasikan rentang IP IPv4 di VPC Bersama dan tambahkan koneksi akses layanan pribadi ke VPC Bersama seperti yang dijelaskan di bagian sebelumnya, Membuat dan mengonfigurasi jaringan VPC.

Konfigurasi jaringan selama pembuatan instance

Catatan: IP pribadi harus ditetapkan pada saat pembuatan instance. IP pribadi tidak dapat ditambahkan ke atau dihapus dari instance setelah instance dibuat.

Untuk mengonfigurasi IP pribadi selama pembuatan instance, pilih salah satu opsi berikut:

console

Jika Anda hanya memilih Private IP atau Private IP dan Public IP selama pembuatan instance, gunakan perintah berikut untuk menyelesaikan konfigurasi:

1. Jika pop-up EnableRequired APIs ditampilkan, Anda harus mengaktifkan API tambahan untuk project Google Cloud. Untuk mengaktifkan API yang diperlukan untuk koneksi jaringan pribadi, klik AKTIFKAN SEMUA.
2. Di drop-down Network, pilih jaringan VPC Anda. Jaringan IP pribadi memerlukan koneksi akses layanan pribadi, yang memungkinkan layanan Anda berkomunikasi secara eksklusif menggunakan alamat IP internal. Lihat halaman dokumentasi Mengonfigurasi akses layanan pribadi untuk mengetahui informasi selengkapnya tentang cara menyiapkan koneksi IP pribadi. Jika Anda tidak menyiapkan koneksi layanan pribadi saat membuat jaringan VPC, Anda dapat mengklik SIAPKAN KONEKSI pada pesan Private services access connection required. Tindakan ini akan membuka panel samping tempat Anda dapat mengalokasikan rentang IP dan membuat koneksi.
3. Di bagian Mengalokasikan rentang IP, Anda dapat memilih rentang alamat IP dalam VPC tempat Google akan menyediakan subnetwork untuk instance Looker (Google Cloud core) Anda. Subnetwork mencadangkan rentang IP yang tidak dapat digunakan oleh resource lain di jaringan VPC. Anda tidak akan dapat mengubah rentang IP ini setelah membuat instance Looker (Google Cloud core). Alokasi rentang IP mencakup opsi berikut:
   • Pilih Use automatically assigned IP range agar Google mengalokasikan rentang IP secara otomatis untuk menyediakan subnetwork untuk VPC.
   • Pilih rentang IP yang ditentukan selama penyiapan akses layanan pribadi.
4. Selesaikan pembuatan instance, lalu klik Buat untuk membuat instance.

gcloud

  gcloud looker instances create INSTANCE_NAME \
  --project=PROJECT_ID \
  --oauth-client-id=OAUTH_CLIENT_ID \
  --oauth-client-secret=OAUTH_CLIENT_SECRET \
  --region=REGION \
  --edition=EDITION \
  --consumer-network=CONSUMER_NETWORK --private-ip-enabled --reserved-range=RESERVED_RANGE
  [--no-public-ip-enabled]
  [--public-ip-enabled]

Ganti kode berikut:

• INSTANCE_NAME: nama untuk instance Looker (Google Cloud core) Anda; nama ini tidak terkait dengan URL instance.
• PROJECT_ID: nama project Google Cloud tempat Anda membuat instance Looker (Google Cloud core).
• OAUTH_CLIENT_ID dan OAUTH_CLIENT_SECRET: client ID OAuth dan rahasia OAuth yang Anda buat saat menyiapkan klien OAuth. Setelah instance dibuat, masukkan URL instance di bagian Authorized redirect URI pada klien OAuth.
• REGION: region tempat instance Looker (Google Cloud core) Anda dihosting. Pilih region yang cocok dengan region dalam kontrak langganan. Region yang tersedia tercantum di halaman dokumentasi Lokasi Looker (Google Cloud core).
• EDITION: edisi untuk instance. Nilai yang mungkin adalah core-standard-annual, core-enterprise-annual, atau core-embed-annual. Edisi tidak dapat diubah setelah instance dibuat. Jika ingin mengubah edisi, Anda dapat menggunakan fitur impor dan ekspor untuk memindahkan data instance Looker (Google Cloud core) ke instance baru yang dikonfigurasi dengan edisi yang berbeda.
• CONSUMER_NETWORK: jaringan VPC Anda atau VPC Bersama. Harus ditetapkan jika Anda membuat instance IP pribadi.
• RESERVED_RANGE: rentang alamat IP dalam VPC tempat Google akan menyediakan subnetwork untuk instance Looker (Google Cloud core) Anda. Harus ditetapkan jika Anda membuat instance IP pribadi.

Anda dapat menyertakan flag berikut:

• --private-ip-enabled mengaktifkan IP pribadi.
• --public-ip-enabled memungkinkan IP publik.
• --no-public-ip-enabled menonaktifkan IP publik.

Catatan: Saat Anda membuat instance IP pribadi menggunakan Terraform, nama jaringan harus mengikuti format: projects/<project>/global/networks/<network>.

Konfigurasi instance setelah pembuatan instance

Jika membuat instance yang hanya diaktifkan untuk IP pribadi, Anda tidak akan menerima URL untuk instance tersebut. Untuk mengakses instance, Anda harus melakukan kedua hal berikut:

• Siapkan server proxy untuk mengizinkan akses ke instance yang menggunakan IP pribadi.

  Catatan: Jika Anda menyiapkan server proxy dan menyiapkan koneksi ke server proxy tersebut, Anda juga harus menggunakan domain kustom.

• Konfigurasikan domain kustom lalu tambahkan domain tersebut ke klien OAuth untuk instance tersebut.

Anda juga dapat mengonfigurasi instance IP pribadi lebih lanjut dengan melakukan hal berikut:

• Hapus rute default jika Anda menggunakan kontrol Layanan VPC.
• Buat daftar domain email yang diizinkan untuk membatasi pengiriman email ke domain eksternal.
• Konfigurasikan instance IP pribadi Anda untuk mengizinkan atau membatasi komunikasi dengan internet atau resource eksternal.

Langkah selanjutnya

• Membuat instance Looker (Google Cloud core)
• Menyiapkan domain kustom untuk instance Looker (Google Cloud core)
• Networking IP pribadi dengan Looker (Google Cloud core)
• Menghubungkan Looker (Google Cloud core) ke database Anda
• Mengonfigurasi instance Looker (Google Cloud core)