Crea una conexión de IP privada para Looker (Google Cloud Core)

Las conexiones IP privadas permiten que los servicios sean accesibles sin pasar por Internet o usar direcciones IP externas. Debido a que no se desvían a Internet, las conexiones mediante IP privadas suelen proporcionar una latencia más baja y vectores de ataque limitados. Las conexiones IP privadas permiten que tu instancia de Looker (Google Cloud Core) se comunique con otros recursos de la nube privada virtual (VPC), pero no permiten la comunicación entrante desde la Internet pública.

La conectividad de IP privada no es compatible con algunas funciones de Looker (Google Cloud Core). Para obtener más información, consulta la tabla de compatibilidad de funciones.

Looker (Google Cloud Core) admite IP privadas para instancias que cumplen con los siguientes criterios:

Para configurar una instancia de IP privada, debes tener los siguientes permisos de IAM:

Antes de comenzar

  1. Si quieres obtener los permisos que necesitas para crear rangos de direcciones IP asignados y administrar conexiones privadas, pídele a tu administrador que te otorgue el rol de IAM de Administrador de red de Compute (roles/compute.networkAdmin) en el proyecto. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso.

    Este rol predefinido contiene los permisos necesarios para crear rangos de direcciones IP asignados y administrar conexiones privadas. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

    Permisos necesarios

    Se requieren los siguientes permisos para crear rangos de direcciones IP asignados y administrar conexiones privadas:

    • Consulta las redes disponibles en el menú desplegable Red:
      • compute.addresses.list
      • compute.globalAddresses.list
      • compute.networks.list
      • compute.globalAddresses.list
    • Crea una nueva red de VPC:
      • compute.addresses.create
      • compute.globalAddresses.create
      • serviceusage.services.enable
    • Asigna un rango de IP privada y configura una conexión de acceso privado a servicios: compute.networks.addPeering

    También puedes obtener estos permisos con roles personalizados o, también, otros roles predefinidos.

    Si estás creando una instancia de IP privada con Terraform o Google Cloud CLI, y usas una red privada que ya se configuró, no necesitas estos permisos.

  2. Habilita la API de Compute Engine para tu proyecto en la consola de Google Cloud. Cuando habilites la API, es posible que debas actualizar la página de la consola para confirmar que se habilitó.

    Habilitación de la API

Crea y configura una red de VPC

Antes de crear una conexión IP privada, primero debes crear y configurar una red de nube privada virtual (VPC). Looker (Google Cloud Core) admite varias instancias de IP privadas en la misma VPC, ya sea en la misma región o en diferentes regiones.

  1. Crea una red de VPC en tu proyecto. Como alternativa, si estás usando una VPC compartida en lugar de crear una nueva red de VPC, completa los pasos de la siguiente sección, Cómo crear una instancia en una VPC compartida, además de completar los pasos restantes de esta sección para la VPC compartida.
  2. Asigna un rango de IP IPv4 (bloque CIDR) en tu VPC para obtener una conexión privada a Looker (Google Cloud Core).
    • Antes de asignar tu rango, ten en cuenta las restricciones.
    • Cuando configures el tamaño del rango de direcciones IP, ten en cuenta que el tamaño mínimo es un bloque /22.
    • Looker (Google Cloud Core) admite todos los rangos IPv4 de la RFC 1918, que especifica las direcciones IP que se asignarán para usarse de forma interna (es decir, dentro de una organización) y que no se enrutarán en Internet. En concreto, las siguientes:
      • 10.0.0.0/8
      • 172.16.0.0/12
      • 192.168.0.0/16
    • Los rangos IPv4 de clase E (240.0.0.0/4) están reservados para uso futuro, como se indica en RFC 5735 y RFC 1112, y no son compatibles con Looker (Google Cloud Core).
    Cuando se crea una instancia de Looker (Google Cloud Core) por primera vez en una región dentro de una VPC, Looker crea una subred de solo proxy en la VPC del proyecto de usuario de Service Networking. La subred de solo proxy usa una subred de rango /26 de la subred /22 que reservas cuando creas la instancia de Looker (Google Cloud Core). Cualquier instancia posterior de Looker con IP privada (Google Cloud Core) en la misma VPC y en la misma región usará la misma subred de solo proxy.
  3. Agrega la conexión de acceso privado a servicios a tu red de VPC con el rango de IP asignado en el paso anterior para la Asignación designada.
  4. Una vez creada la red de VPC, regresa a la página Crear instancia de Looker en tu proyecto de Google Cloud. Es posible que debas actualizar la página para que se reconozca tu red de VPC.

Cuando completes estos pasos, podrás comenzar a crear tu instancia siguiendo los pasos de la página de documentación Crea una instancia de Looker (Google Cloud Core) , comenzando por la sección Antes de comenzar.

Crea una instancia en una VPC compartida

Si creas una instancia de Looker (Google Cloud Core) en una VPC compartida, completa los siguientes pasos en el proyecto host de la VPC compartida:

  1. Habilita la API de Looker en el proyecto host de la VPC compartida en la consola de Google Cloud. Cuando habilites la API, es posible que debas actualizar la página de la consola para confirmar que se habilitó.

    Habilitar la API

  2. Crea una cuenta de servicio en el proyecto host de la VPC compartida con el comando services identity create de gcloud:

    gcloud beta services identity create --service=looker.googleapis.com --project=SHARED_HOST_PROJECT_ID

    Reemplaza SHARED_HOST_PROJECT_ID por el proyecto host de la VPC compartida.

  3. Otorga el permiso de IAM compute.globalAddresses.get a la cuenta de servicio en el proyecto host.

Después de crear la cuenta de servicio y otorgarle el permiso de IAM, espera unos minutos para que la cuenta de servicio y el permiso se propaguen.

Además, asigna un rango de IP IPv4 en la VPC compartida y agrega la conexión de acceso privado a servicios a la VPC compartida, como se describe en la sección anterior Crea y configura una red de VPC.

Configuración de red durante la creación de instancias

Para configurar la IP privada durante la creación de la instancia, selecciona una de las siguientes opciones:

Console

Si seleccionas solo IP privada o IP privada o IP pública durante la creación de la instancia, usa lo siguiente para finalizar la configuración:

  1. Si aparece una ventana emergente con el mensaje Enable Required APIs, debes habilitar APIs adicionales para tu proyecto de Google Cloud. Para habilitar las APIs necesarias para una conexión de red privada, haz clic en HABILITAR TODAS.
  2. En el menú desplegable Red, selecciona tu red de VPC. Las redes de IP privadas requieren una conexión de acceso a servicios privados, lo que permite que tus servicios se comuniquen exclusivamente mediante el uso de direcciones IP internas. Consulta la página de documentación Configura el acceso privado a los servicios para obtener más información sobre cómo configurar una conexión IP privada. Si no configuraste una conexión a servicios privados cuando creaste tu red de VPC, puedes hacer clic en CONFIGURAR CONEXIÓN debajo del mensaje Se requiere una conexión de acceso privado a servicios. Se abrirá un panel lateral en el que podrás asignar un rango de IP y crear una conexión.
  3. En Asignar un rango de IP, puedes seleccionar un rango de direcciones IP dentro de la VPC en la que Google aprovisionará una subred para tu instancia de Looker (Google Cloud Core). Las subredes reservan un rango de IP que otros recursos de la red de VPC no pueden usar. No podrás modificar este rango de IP después de crear la instancia de Looker (Google Cloud Core). La asignación del rango de IP incluye las siguientes opciones:
    • Selecciona Usar el rango de IP asignado automáticamente para que Google asigne automáticamente un rango de IP y aprovisione una subred para la VPC.
    • Selecciona un rango de IP que se definió durante la configuración del acceso privado a servicios.
  4. Completa la creación de la instancia y haz clic en Crear para generarla.

gcloud 

  gcloud looker instances create INSTANCE_NAME \
  --project=PROJECT_ID \
  --oauth-client-id=OAUTH_CLIENT_ID \
  --oauth-client-secret=OAUTH_CLIENT_SECRET \
  --region=REGION \
  --edition=EDITION \
  --consumer-network=CONSUMER_NETWORK --private-ip-enabled --reserved-range=RESERVED_RANGE
  [--no-public-ip-enabled]
  [--public-ip-enabled]

Reemplaza lo siguiente:

  • INSTANCE_NAME: Es un nombre para tu instancia de Looker (Google Cloud Core); no está asociado con la URL de la instancia.
  • PROJECT_ID: Es el nombre del proyecto de Google Cloud en el que estás creando la instancia de Looker (Google Cloud Core).
  • OAUTH_CLIENT_ID y OAUTH_CLIENT_SECRET: Son el ID de cliente de OAuth y el secreto de OAuth que creaste cuando configuraste tu cliente de OAuth. Después de crear la instancia, ingresa su URL en la sección URI de redireccionamiento autorizado del cliente de OAuth.
  • REGION: Es la región en la que se aloja tu instancia de Looker (Google Cloud Core). Selecciona la región que coincida con la del contrato de suscripción. Las regiones disponibles se enumeran en la página de documentación de las ubicaciones de Looker (Google Cloud Core).
  • EDITION: Es la edición de la instancia. Sus valores posibles son core-standard-annual, core-enterprise-annual o core-embed-annual. Las ediciones no se pueden cambiar después de crear la instancia. Si quieres cambiar una edición, puedes usar la función de importación y exportación para trasladar los datos de tu instancia de Looker (Google Cloud Core) a una instancia nueva que esté configurada con una edición diferente.
  • CONSUMER_NETWORK: tu red de VPC o VPC compartida. Se debe configurar si creas una instancia de IP privada.
  • RESERVED_RANGE: Es el rango de direcciones IP dentro de la VPC en la que Google aprovisionará una subred para tu instancia de Looker (Google Cloud Core). No definas un rango si habilitas una conexión de red de IP privada para tu instancia.

Puedes incluir las siguientes marcas:

  • --private-ip-enabled habilita la IP privada.
  • --public-ip-enabled habilita la IP pública.
  • --no-public-ip-enabled inhabilita la IP pública.

Configuración de la instancia después de la creación de la instancia

Si creas una instancia habilitada solo para IP privadas, no recibirás una URL para la instancia. Para acceder a la instancia, debes hacer lo siguiente:

También puedes configurar aún más tu instancia de IP privada mediante los siguientes pasos:

¿Qué sigue?