Criar uma instância do Looker (Google Cloud Core) com IP particular

Esta página explica como criar uma instância de produção ou não de produção do Looker (Google Cloud Core) de IP particular que usa o acesso a serviços privados.

Conexões IP particulares tornam os serviços acessíveis sem passar pela Internet ou usar endereços IP externos. Como não atravessam a Internet, as conexões por IP particular geralmente fornecem menor latência e vetores de ataque limitados. As conexões de IP privadas permitem que a instância do Looker (Google Cloud Core) se comunique com outros recursos na sua nuvem privada virtual (VPC), mas não permitem a comunicação de entrada da Internet pública.

A conectividade de IP particular permite o uso de alguns recursos, como o VPC Service Controls. No entanto, as conexões IP particulares não são compatíveis com alguns recursos do Looker (Google Cloud Core). Consulte a tabela de compatibilidade de recursos para mais informações.

O Looker (Google Cloud Core) oferece suporte a IPs particulares para edições de instâncias Enterprise ou Embed.

Papéis e permissões necessárias

Para configurar uma instância de IP particular, você precisa ter as seguintes permissões do IAM:

  1. Para criar uma instância do Looker (Google Cloud Core), é preciso ter a função Administrador do Looker (roles/looker.Admin).

  2. Para receber as permissões necessárias para criar intervalos de endereços IP alocados e gerenciar conexões privadas, peça ao administrador para conceder a você o papel do IAM de Administrador de rede do Compute (roles/compute.networkAdmin) no projeto. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

    Esse papel predefinido contém as permissões necessárias para criar intervalos de endereços IP alocados e gerenciar conexões privadas. Para conferir as permissões exatas necessárias, expanda a seção Permissões necessárias:

    Permissões necessárias

    As seguintes permissões são necessárias para criar intervalos de endereços IP alocados e gerenciar conexões particulares:

    • Confira as redes disponíveis no menu suspenso Rede:
      • compute.addresses.list
      • compute.globalAddresses.list
      • compute.networks.list
      • compute.globalAddresses.list
    • Crie uma nova rede VPC:
      • compute.addresses.create
      • compute.globalAddresses.create
      • serviceusage.services.enable
    • Alocar um intervalo de IP particular e configurar uma conexão de acesso a serviços particulares: compute.networks.addPeering

    Essas permissões também podem ser concedidas com funções personalizadas ou outros papéis predefinidos.

    Se você estiver criando uma instância de IP privada com o Terraform ou a CLI do Google Cloud e estiver usando uma rede privada que já foi configurada, não vai precisar dessas permissões.

Talvez você também precise de outros papéis do IAM para configurar o VPC Service Controls ou as chaves de criptografia gerenciadas pelo cliente (CMEK). Para saber mais, acesse as páginas de documentação Suporte do VPC Service Controls para o Looker (Google Cloud Core) ou Ativar o CMEK para o Looker (Google Cloud Core) para esses recursos.

Antes de começar

  1. No console do Google Cloud, na página do seletor de projetos, crie um Google Cloud projeto ou navegue até um projeto em que você quer criar a instância do Looker (núcleo do Google Cloud).

    Acessar o seletor de projetos

  2. Ative a API Looker para seu projeto no console do Google Cloud. Ao ativar a API, talvez seja necessário atualizar a página do console para confirmar que ela foi ativada.

    Ativar a API

  3. Ative a API Service Networking no projeto no console do Google Cloud. Ao ativar a API, talvez seja necessário atualizar a página do console para confirmar que ela foi ativada.

    Ativar a API

  4. Ative a API Compute Engine no projeto no console do Google Cloud. Ao ativar a API, talvez seja necessário atualizar a página do console para confirmar que ela foi ativada.

    Ativar a API

  5. Configure um cliente OAuth e crie credenciais de autorização. O cliente OAuth permite autenticar e acessar a instância. É necessário configurar o OAuth para criar uma instância do Looker (Google Cloud Core), mesmo que você esteja usando um método de autenticação diferente para autenticar os usuários na sua instância.

Criar e configurar uma rede VPC

Antes de criar uma conexão de IP particular, você precisa criar e configurar uma rede de nuvem privada virtual (VPC). O Looker (Google Cloud Core) oferece suporte a várias instâncias de IP particular na mesma VPC, na mesma região ou em regiões diferentes.

  1. Crie uma rede VPC no seu projeto. Se você estiver usando uma VPC compartilhada em vez de criar uma nova rede VPC, siga as etapas na seção a seguir, Criar uma instância em uma VPC compartilhada, além de concluir as etapas restantes nesta seção para a VPC compartilhada.
  2. Aloque um intervalo de IP IPv4 (bloco CIDR) na VPC para uma conexão de acesso a serviços privados ao Looker (Google Cloud Core).
    • Antes de alocar seu intervalo, considere as restrições.
    • Ao definir o tamanho do intervalo de endereços IP, lembre-se de que o tamanho mínimo é um bloco /22.
    • O Looker (núcleo do Google Cloud) é compatível com todos os intervalos de IPv4 no RFC 1918, que especifica os endereços IP atribuídos para uso interno (ou seja, em uma organização) e que não são roteados na Internet. Especificamente:
      • 10.0.0.0/8
      • 172.16.0.0/12
      • 192.168.0.0/16
    • Os intervalos IPv4 de classe E (240.0.0.0/4) são reservados para uso futuro, conforme observado em RFC 5735 e RFC 1112, e não têm suporte para o Looker (núcleo do Google Cloud).
    Quando uma instância do Looker (núcleo do Google Cloud) é criada pela primeira vez em uma região dentro de uma VPC, o Looker cria uma sub-rede somente proxy. A sub-rede somente proxy usa um intervalo /26 da sub-rede /22 que você reserva ao criar a instância do Looker (Google Cloud Core). Todas as instâncias subsequentes do Looker de IP particular (Google Cloud Core) na mesma VPC e na mesma região usam a mesma sub-rede somente proxy.
  3. Adicione a conexão de acesso a serviços particulares à sua rede VPC usando o intervalo de IP alocado na etapa anterior para a alocação atribuída.
  4. Depois que a rede VPC for criada, volte para a página Criar instância do Looker no projeto Google Cloud . Talvez seja necessário atualizar a página para que a rede VPC seja reconhecida.

Depois de concluir essas etapas, você pode começar a criar sua instância seguindo as etapas na página de documentação Criar uma instância do Looker (Google Cloud Core) , começando pela seção Antes de começar.

Várias instâncias de IP particular na mesma VPC

Se duas ou mais instâncias do Looker (Google Cloud Core) de IP particular estiverem localizadas na mesma região e na mesma VPC, e você excluir a primeira instância do Looker (Google Cloud Core) criada na região, a sub-rede somente proxy não será liberada porque ainda está em uso pelas instâncias restantes. Se você tentar criar uma nova instância do Looker (Google Cloud Core) de IP particular que use o mesmo intervalo de endereços usado na instância excluída (que contém o intervalo de endereços IP da sub-rede apenas de proxy), a criação da instância vai falhar e você vai receber uma mensagem de erro "Intervalos de IP esgotados". Para verificar se um intervalo de IP está em uso, verifique o peering de VPC para a Service Networking e as rotas de importação para saber se elas estão usando o intervalo de IP de seu interesse.

Criar uma instância em uma VPC compartilhada

Se você estiver criando uma instância do Looker (núcleo do Google Cloud) em uma VPC compartilhada, siga estas etapas no projeto host da VPC compartilhada:

  1. Ative a API Looker no projeto host da VPC compartilhada no console do Google Cloud. Ao ativar a API, talvez seja necessário atualizar a página do console para confirmar que ela foi ativada.

    Ativar a API

  2. Crie uma conta de serviço no projeto host da VPC compartilhada usando o comando services identity create do gcloud:

    gcloud beta services identity create --service=looker.googleapis.com --project=SHARED_HOST_PROJECT_ID

    Substitua SHARED_HOST_PROJECT_ID pelo projeto host da VPC compartilhada.

  3. Conceda a permissão IAM compute.globalAddresses.get à conta de serviço no projeto host.

Depois de criar a conta de serviço e conceder a permissão do IAM, aguarde alguns minutos para que a conta de serviço e a permissão sejam propagadas.

Além disso, aloque um intervalo de IP IPv4 na VPC compartilhada e adicione a conexão de acesso a serviços particulares à VPC compartilhada, conforme descrito na seção anterior, Criar e configurar uma rede VPC.

Criar a instância de IP particular

O Looker (Google Cloud Core) leva aproximadamente 60 minutos para gerar uma nova instância.

O IP particular precisa ser atribuído no momento da criação da instância. Não é possível adicionar ou remover um IP particular de uma instância depois que ela é criada.

Para configurar o IP particular durante a criação de instâncias, selecione uma das seguintes opções:

Console

  1. Acesse a página do produto Looker (Google Cloud Core) no seu projeto no console do Google Cloud. Se você já tiver criado uma instância do Looker (Google Cloud Core) neste projeto, a página Instâncias será aberta.

    Acessar o Looker (Google Cloud Core)

  2. Clique em CRIAR INSTÂNCIA.
  3. Na seção Nome da instância, informe um nome para sua instância do Looker (Google Cloud Core). O nome da instância não é associado ao URL da instância do Looker (Google Cloud Core) após a criação. O nome da instância não pode ser alterado após a criação.
  4. Na seção Credenciais do aplicativo OAuth, insira o ID do cliente OAuth e a chave secreta OAuth que você criou ao configurar seu cliente OAuth.

  5. Na seção Região, selecione a opção adequada no menu suspenso para hospedar sua instância do Looker (Google Cloud Core). Selecione a região que corresponde ao contrato de assinatura, que é onde a cota do seu projeto é alocada. As regiões disponíveis estão listadas na página de documentação Locais do Looker (Google Cloud Core).

    Não é possível mudar a região depois que a instância é criada.

  6. Na seção Edição, escolha uma opção de edição Enterprise ou Inserir para um tipo de instância de produção ou não produção. O tipo de edição afeta alguns dos recursos disponíveis para a instância. Escolha o mesmo tipo de edição listado no seu contrato anual e verifique se você tem cota alocada para esse tipo de edição.

    • Empresa: plataforma Looker (Google Cloud Core) com recursos de segurança aprimorados para atender a uma ampla variedade de casos de uso internos de BI e análise.
    • Integração: plataforma Looker (Google Cloud Core) para implantar e manter análises externas confiáveis e aplicativos personalizados em larga escala

    As edições não podem ser alteradas após a criação da instância. Se você quiser mudar de edição, use a importação e exportação para mover os dados da instância do Looker (Google Cloud Core) para uma nova instância configurada com uma edição diferente.

  7. Na seção Personalizar a instância, clique em MOSTRAR OPÇÕES DE CONFIGURAÇÃO para mostrar um grupo de configurações adicionais que podem ser personalizadas para a instância.

  8. Na seção Conexões, em Atribuição de IP da instância, escolha apenas IP particular ou IP particular e IP público. O tipo de conexão de rede selecionado afeta os recursos do Looker disponíveis para a instância. As seguintes opções de conexão de rede estão disponíveis:

    • IP público: atribui um endereço IP externo acessível pela Internet.
    • IP privado: atribui um endereço IP interno hospedado pelo Google que pode ser acessado em uma nuvem privada virtual (VPC). É possível usar esse endereço para se conectar a partir de outros recursos com acesso à VPC. Somente as edições Enterprise e Embed são compatíveis com IP particular. Se você quiser usar o VPC Service Controls, selecione apenas IP particular.
    • Se as opções IP particular e IP público estiverem selecionadas, o tráfego de entrada será roteado pelo IP público e o tráfego de saída pelo IP particular. A instância do Looker (Google Cloud Core) não vai usar o IP público para originar o tráfego de saída da Internet.

  9. Em Tipo de IP particular, selecione Acesso a serviços particulares (PSA).

  10. Se um pop-up Ativar APIs obrigatórias for exibido, ative outras APIs para o projeto Google Cloud . Para ativar as APIs necessárias para uma conexão de rede particular, clique em ATIVAR TUDO.

  11. No menu suspenso Rede, selecione a rede VPC. As redes IP particulares exigem uma conexão de acesso a serviços particulares, que permite que seus serviços se comuniquem exclusivamente usando endereços IP internos. Consulte a página de documentação Configurar o acesso particular a serviços para mais informações sobre como configurar uma conexão IP particular. Se você não tiver configurado uma conexão de serviços particulares ao criar a rede VPC, clique em CONFIGURAR CONEXÃO na mensagem Conexão de acesso a serviços particulares necessária. Isso abre um painel lateral em que você pode alocar um intervalo de IP e criar uma conexão.

  12. Em Intervalo de IP alocado, selecione o intervalo de IP na VPC em que o Google provisionará uma sub-rede para sua instância do Looker (Google Cloud Core). As sub-redes reservam um intervalo de IP que não pode ser usado por outros recursos na rede VPC. Não será possível modificar esse intervalo de IPs depois de criar a instância do Looker (núcleo do Google Cloud). A alocação de intervalos de IP inclui estas opções:

    • Selecione Usar intervalo de IP atribuído automaticamente para que o Google aloque um intervalo de IP automaticamente para provisionar uma sub-rede para a VPC.
    • Selecione um intervalo de IP definido durante a configuração do acesso a serviços particulares.

  13. Na seção Criptografia, é possível selecionar o tipo de criptografia a ser usado na instância. As seguintes opções de criptografia estão disponíveis:

  14. Na seção Janela de manutenção, você pode especificar o dia da semana e a hora em que o Looker (Google Cloud Core) programa a manutenção. As janelas de manutenção duram uma hora. Por padrão, a opção Janela preferencial em Janela de manutenção é definida como Qualquer janela.

  15. Na seção Período de negação de manutenção, é possível especificar um bloco de dias em que o Looker (núcleo do Google Cloud) não programa manutenções. Os períodos de bloqueio de manutenção podem ser de até 60 dias. É preciso oferecer pelo menos 14 dias de disponibilidade de manutenção entre dois períodos de bloqueio de manutenção.

  16. Na seção Gemini no Looker, você pode disponibilizar os recursos do Gemini no Looker para a instância do Looker (Google Cloud Core). Para ativar o Gemini no Looker, selecione Gemini e Recursos do Trusted Tester. Quando os recursos do Trusted Tester estão ativados, os usuários podem acessar os recursos do Trusted Tester do Gemini no Looker. Você pode solicitar o acesso a recursos não públicos do Trusted Tester pelo formulário de pré-lançamento do Gemini no Looker para cada usuário. É necessário ativar essa configuração para usar o Gemini durante a prévia pré-GA. Opcionalmente, selecione Uso de dados do Trusted Tester. Quando essa configuração está ativada, você concorda que seus dados sejam usados pelo Google, conforme descrito nos termos do Programa Trusted Tester do Google Cloud Gemini. Para desativar o Gemini em uma instância do Looker (Google Cloud Core), desmarque a configuração Gemini.

  17. Clique em Criar.

gcloud

  1. Se você estiver usando o CMEK, siga as instruções para criar uma conta de serviço, um keyring e uma chave antes de criar a instância do Looker (núcleo do Google Cloud).

  2. Use o comando gcloud looker instances create para criar a instância:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
--private-ip-enabled \
--consumer-network=CONSUMER_NETWORK --reserved-range=RESERVED_RANGE
[--no-public-ip-enabled]
[--public-ip-enabled]

    Substitua:

    • INSTANCE_NAME: um nome para sua instância do Looker (Google Cloud Core), que não está associado ao URL da instância.
    • PROJECT_ID: o nome do projeto Google Cloud em que você está criando a instância do Looker (Google Cloud Core).
    • OAUTH_CLIENT_ID e OAUTH_CLIENT_SECRET: o ID do cliente e a chave secreta OAuth que você criou ao configurar seu cliente OAuth. Depois que a instância for criada, insira o URL dela na seção URIs de redirecionamento autorizados do cliente OAuth.
    • REGION: a região em que sua instância do Looker (Google Cloud Core) está hospedada. Selecione a região que corresponde à região no contrato de assinatura. As regiões disponíveis estão listadas na página de documentação Locais do Looker (Google Cloud Core).
    • EDITION: a edição e o tipo de ambiente (produção ou não produção) da instância. Para uma instância de IP particular, esse valor deve ser core-enterprise-annual, core-embed-annual, nonprod-core-enterprise-annual ou nonprod-core-embed-annual. Escolha o mesmo tipo de edição listado no seu contrato anual e verifique se você tem cota alocada. As edições não podem ser alteradas após a criação da instância. Se você quiser mudar de edição, use a importação e exportação para mover os dados da instância do Looker (Google Cloud Core) para uma nova instância configurada com uma edição diferente.
    • CONSUMER_NETWORK: sua rede VPC ou VPC compartilhada. Precisa ser definido se você estiver criando uma instância de IP particular.
    • RESERVED_RANGE: o intervalo de endereços IP na VPC em que o Google provisionará uma sub-rede para sua instância do Looker (Google Cloud Core).

    É possível incluir as seguintes flags:

    • --private-ip-enabled ativa o IP particular. Ele precisa ser incluído para criar uma instância de IP particular.
    • --public-ip-enabled ativa o IP público.
    • --no-public-ip-enabled desativa o IP público.
    • O --async é recomendado ao criar uma instância do Looker (Google Cloud Core).

  3. É possível adicionar mais parâmetros para aplicar outras configurações de instância: 

    [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
[--kms-key=KMS_KEY_ID]
[--fips-enabled]
    Substitua:

    • MAINTENANCE_WINDOW_DAY: precisa ser um dos seguintes: friday, monday, saturday, sunday, thursday, tuesday, wednesday. Consulte a página de documentação Gerenciar políticas de manutenção do Looker (Google Cloud Core) para mais informações sobre as configurações da janela de manutenção.
    • MAINTENANCE_WINDOW_TIME e DENY_MAINTENANCE_PERIOD_TIME: precisam estar no formato UTC de 24 horas (por exemplo, 13:00, 17:45).
    • DENY_MAINTENANCE_PERIOD_START_DATE e DENY_MAINTENANCE_PERIOD_END_DATE: precisam estar no formato YYYY-MM-DD.
    • KMS_KEY_ID: precisa ser a chave criada ao configurar chaves de criptografia gerenciadas pelo cliente (CMEK).

    Inclua a flag --fips-enabled para ativar a conformidade com o FIPS 140-2 nível 1.

Enquanto a instância está sendo criada, é possível conferir o status dela na página Instâncias do console. Também é possível conferir a atividade de criação de instâncias clicando no ícone de notificações no menu do console do Google Cloud.

Se você criar uma instância somente de IP particular, um URL não vai aparecer na página Instâncias. Consulte a seção Como acessar uma instância de IP particular após a criação para mais informações sobre como configurar o acesso à sua instância de IP particular.

Acessar uma instância de IP particular após a criação

Se você criar uma instância ativada apenas para IP particular, não vai receber um URL para ela. Para acessar a instância, você precisa configurar um domínio personalizado para ela e adicionar esse domínio às credenciais do OAuth da instância. Para entender as diferentes opções de rede de IP particular para configurar e acessar um domínio personalizado, acesse a página de documentação Opções de rede de domínio personalizado para instâncias de IP particular do Looker (Google Cloud Core).

A seguir