Créer une instance Looker (Google Cloud Core)

Cette page explique comment provisionner une instance Looker (Google Cloud Core).

Avant de commencer

  1. Dans la console Google Cloud, sur la page de sélection du projet, créez un projet Google Cloud ou accédez à un projet existant.

    Accéder au sélecteur de projet

  2. Activez l'API Looker pour votre projet dans la console Google Cloud. Lors de l'activation de l'API, vous devrez peut-être actualiser la page de la console pour vérifier que l'API a bien été activée.

    Activer l'API

  3. Activez l'API Service Networking pour votre projet dans la console Google Cloud. Lors de l'activation de l'API, vous devrez peut-être actualiser la page de la console pour vérifier que l'API a bien été activée.

    Activer l'API

  4. Configurer un client OAuth et créer des identifiants d'autorisation Le client OAuth vous permet de vous authentifier et d'accéder à l'instance. Vous devez configurer OAuth pour créer une instance Looker (Google Cloud Core), même si vous utilisez une autre méthode d'authentification pour authentifier les utilisateurs sur votre instance.
  5. Si vous souhaitez utiliser une adresse IP privée, VPC Service Controls ou des clés de chiffrement gérées par le client (CMEK) avec l'instance Looker (Google Cloud Core) que vous créez, une configuration supplémentaire est requise avant la création de l'instance. Une édition et une configuration réseau supplémentaires peuvent également être requises lors de la création de l'instance.

Rôles requis

Pour obtenir les autorisations nécessaires pour créer une instance Looker (Google Cloud Core), demandez à votre administrateur de vous attribuer le rôle IAM Administrateur Looker (roles/looker.admin) pour le projet dans lequel résidera l'instance. Pour en savoir plus sur l'attribution de rôles, consultez la section Gérer les accès.

Vous pouvez également obtenir les autorisations requises via des rôles personnalisés ou d'autres rôles prédéfinis.

Vous aurez peut-être aussi besoin de rôles IAM supplémentaires pour configurer une adresse IP privée, VPC Service Controls ou des clés de chiffrement gérées par le client (CMEK). Pour en savoir plus, consultez les pages de documentation de ces fonctionnalités.

Créer une instance Looker (Google Cloud Core)

Looker (Google Cloud Core) nécessite environ 60 minutes pour générer une nouvelle instance.

Pour créer votre instance Looker (Google Cloud Core), sélectionnez l'une des options suivantes:

Console

  1. Accédez à la page du produit Looker (Google Cloud Core) depuis votre projet dans la console Google Cloud. Si vous avez déjà créé une instance Looker (Google Cloud Core) dans ce projet, la page Instances s'ouvre.

    Accéder à Looker (Google Cloud Core)

  2. Cliquez sur CRÉER UNE INSTANCE.
  3. Dans la section Nom de l'instance, indiquez le nom de votre instance Looker (Google Cloud Core). Une fois créée, le nom de l'instance n'est pas associé à l'URL de l'instance Looker (Google Cloud Core). Une fois l'instance créée, son nom ne peut plus être modifié.
  4. Dans la section Identifiants d'application OAuth, saisissez l'ID client OAuth et le code secret OAuth que vous avez créés lors de la configuration de votre client OAuth.
  5. Dans la section Région, sélectionnez l'option appropriée dans le menu déroulant. La région appropriée est celle dans laquelle votre instance Looker (Google Cloud Core) est hébergée. Sélectionnez la région correspondant à celle du contrat d'abonnement, à laquelle le quota pour votre projet est alloué. Les régions disponibles sont listées sur la page de documentation des emplacements Looker (Google Cloud Core).

  6. Dans la section Édition, définissez l'édition de l'instance en fonction des besoins de votre organisation. Le type d'édition affecte certaines des fonctionnalités disponibles pour l'instance. Voici les différentes éditions disponibles:

    • Standard: plate-forme Looker destinée aux petites organisations ou aux équipes de moins de 50 utilisateurs. Ce produit peut être souscrit dans le cadre d'un contrat annuel.
    • Enterprise: plate-forme Looker dotée de fonctionnalités de sécurité améliorées pour répondre à une grande variété de cas d'utilisation internes d'informatique décisionnelle et d'analyse. Disponible avec un contrat annuel.
    • Intégration: plate-forme Looker permettant de déployer et de gérer des applications personnalisées et des analyses externes fiables à grande échelle. Disponible avec un contrat annuel.

    Une fois l'instance créée, l'édition ne peut plus être modifiée. Si vous souhaitez changer d'édition, vous pouvez utiliser l'importation et l'exportation pour déplacer vos données d'instance Looker (Google Cloud Core) vers une nouvelle instance configurée avec une autre édition.

  7. Dans la section Personnaliser votre instance, cliquez sur AFFICHER LES OPTIONS DE CONFIGURATION pour afficher un groupe de paramètres supplémentaires que vous pouvez personnaliser pour l'instance.

  8. Les options de connexion réseau s'affichent dans la section Connexions. Le type de connexion réseau sélectionné a une incidence sur les fonctionnalités Looker disponibles pour l'instance. Les options de connexion réseau suivantes sont disponibles:

    • Adresse IP publique: attribue une adresse IP externe accessible par Internet.
    • Adresse IP privée: attribue une adresse IP interne hébergée par Google qui est accessible sur un cloud privé virtuel (VPC). Vous pouvez utiliser cette adresse pour vous connecter à partir d'autres ressources ayant accès au VPC. Si vous sélectionnez cette option, suivez les instructions de la page de documentation Créer une connexion IP privée pour Looker (Google Cloud Core) pour terminer la configuration de votre réseau. Seules les éditions Enterprise et Embed sont compatibles avec la connectivité IP privée.
    • Vous pouvez également sélectionner les deux options. Si les deux options sont sélectionnées, le trafic entrant est acheminé via une adresse IP publique et le trafic sortant via une adresse IP privée. L'instance Looker (Google Cloud Core) n'utilise pas l'adresse IP publique pour émettre du trafic sortant Internet.

    Si vous sélectionnez uniquement Adresse IP privée, ou à la fois Adresse IP publique et Adresse IP privée, suivez les étapes de la documentation Utiliser une adresse IP privée avec Looker (Google Cloud Core) pour terminer la configuration du réseau lors de la création de l'instance.

  9. Dans la section Chiffrement, vous pouvez choisir d'utiliser le chiffrement géré par Google par défaut ou une clé de chiffrement gérée par le client (CMEK). Consultez la page de documentation Utiliser des clés de chiffrement gérées par le client avec Looker (Google Cloud Core) pour en savoir plus sur les CMEK et sur leur configuration lors de la création d'une instance. Une fois l'instance créée, le type de chiffrement ne peut plus être modifié.

  10. Dans la section Intervalle de maintenance, vous pouvez éventuellement spécifier le jour de la semaine et l'heure auxquels Looker (Google Cloud Core) planifie la maintenance. Les intervalles de maintenance durent une heure. Par défaut, l'option Intervalle souhaité dans l'Intervalle de maintenance est définie sur N'importe quel intervalle.

  11. Dans la section Période de refus de maintenance, vous pouvez éventuellement spécifier un bloc de jours pendant lequel Looker (Google Cloud Core) ne planifie pas la maintenance. Les périodes de refus de maintenance peuvent durer jusqu'à 60 jours. Vous devez prévoir une disponibilité pour maintenance d'au moins 14 jours entre deux périodes de refus de maintenance.

  12. Cliquez sur Créer.

Lors de la création de l'instance, vous serez redirigé vers la page Instances de la console. Vous devrez peut-être actualiser la page pour afficher l'état de votre nouvelle instance. Vous pouvez également consulter l'activité de création de vos instances en cliquant sur l'icône Notifications dans le menu de la console Google Cloud. Pendant la création de l'instance, l'icône de notification dans le menu de la console Google Cloud est entourée d'une icône de chargement.

gcloud

  1. Si vous utilisez une CMEK, créez le compte de service Looker et suivez d'abord les instructions de configuration.

  2. Utilisez la commande gcloud looker instances create pour créer l'instance:

    gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--consumer-network=CONSUMER_NETWORK --private-ip-enabled --reserved-range=RESERVED_RANGE]
[--no-public-ip-enabled]
[--public-ip-enabled]
[--async]

    Remplacez les éléments suivants :

    • INSTANCE_NAME: nom de votre instance Looker (Google Cloud Core). Il n'est pas associé à l'URL de l'instance.
    • PROJECT_ID: nom du projet Google Cloud dans lequel vous créez l'instance Looker (Google Cloud Core).
    • OAUTH_CLIENT_ID et OAUTH_CLIENT_SECRET: ID client OAuth et code secret OAuth que vous avez créés lors de la configuration de votre client OAuth. Une fois l'instance créée, saisissez son URL dans la section URI de redirection autorisés du client OAuth.
    • REGION: région dans laquelle votre instance Looker (Google Cloud Core) est hébergée. Sélectionnez la région qui correspond à celle du contrat d'abonnement. Les régions disponibles sont listées sur la page de documentation des emplacements Looker (Google Cloud Core).
    • EDITION: édition de l'instance. Ses valeurs possibles sont core-standard-annual, core-enterprise-annual ou core-embed-annual. Une fois l'instance créée, l'édition ne peut plus être modifiée. Si vous souhaitez changer d'édition, vous pouvez utiliser l'importation et l'exportation pour déplacer vos données d'instance Looker (Google Cloud Core) vers une nouvelle instance configurée avec une autre édition.
    • CONSUMER_NETWORK: votre réseau VPC ou VPC partagé. Doit être défini si vous créez une instance IP privée.
    • RESERVED_RANGE: plage d'adresses IP au sein du VPC dans laquelle Google provisionnera un sous-réseau pour votre instance Looker (Google Cloud Core). Ne définissez pas de plage si vous activez une connexion réseau IP privée pour votre instance.

    Vous pouvez également inclure les indicateurs suivants:

    • --private-ip-enabled active les adresses IP privées.
    • --public-ip-enabled ou --no-public-ip-enabled permettent d'activer ou de désactiver l'adresse IP publique.
    • --async est recommandé lorsque vous créez une instance Looker (Google Cloud Core).

  3. Vous pouvez ajouter d'autres paramètres pour appliquer d'autres paramètres d'instance : 

    [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
--kms-key=KMS_KEY_ID
    Remplacez les éléments suivants:

    • MAINTENANCE_WINDOW_DAY: doit correspondre à l'un des éléments suivants: friday, monday, saturday, sunday, thursday, tuesday, wednesday. Consultez la page de documentation Gérer les règles de maintenance pour Looker (Google Cloud Core) pour en savoir plus sur les paramètres des intervalles de maintenance.
    • MAINTENANCE_WINDOW_TIME et DENY_MAINTENANCE_PERIOD_TIME: doivent être exprimées en heure UTC au format 24 heures (par exemple, 13:00 ou 17:45).
    • DENY_MAINTENANCE_PERIOD_START_DATE et DENY_MAINTENANCE_PERIOD_END_DATE: doivent être au format YYYY-MM-DD.
    • KMS_KEY_ID: doit être la clé créée lors de la configuration des clés de chiffrement gérées par le client (CMEK).

Terraform

Utilisez la ressource Terraform suivante pour provisionner une instance Looker standard (Google Cloud Core) avec les fonctionnalités de base:

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Utilisez la ressource Terraform suivante pour provisionner une instance Looker standard (Google Cloud Core) avec des paramètres supplémentaires appliqués:

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

Utilisez la ressource Terraform suivante pour provisionner une instance Looker (Google Cloud Core) avec une connexion réseau privée:

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez la page Commandes Terraform de base.

Une fois lancée, la création d'une instance ne peut pas être suspendue ni interrompue. Une fois votre ressource Terraform provisionnée, votre terminal affiche le message suivant:

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]


Apply complete! Resources: X added, X changed, X destroyed.

Pour afficher l'état de votre nouvelle instance, à laquelle un nom généré de manière aléatoire sera attribué, consultez la page Instances de la console.

Le provisionnement de l'instance peut prendre jusqu'à 60 minutes.

Une fois l'instance créée, saisissez son URL dans la section URI de redirection autorisés du client OAuth.

Une fois l'instance créée et la configuration OAuth terminée, vous pouvez l'afficher en accédant à son URL, qui sera affichée sur la page Instances. Vous pouvez ensuite sélectionner votre méthode d'authentification des utilisateurs, ajouter des utilisateurs, vous connecter à votre base de données et poursuivre la configuration de l'instance.

Compte de service Looker

Looker (Google Cloud Core) utilise un agent de service, appelé compte de service Looker, pour effectuer certaines activités. Un compte de service Looker unique fonctionne au nom de toutes les instances Looker (Google Cloud Core) d'un projet Google Cloud donné. Le compte de service Looker est automatiquement créé la première fois qu'une instance Looker (Google Cloud Core) est créée dans un projet.

Parfois, par exemple lorsque vous utilisez les identifiants par défaut de l'application (ADC) avec une connexion à BigQuery dans un autre projet, vous devez afficher des informations sur le compte de service Looker, telles que son adresse e-mail.

Si vous prévoyez d'utiliser CMEK et que vous comptez utiliser Google Cloud CLI, Terraform ou l'API pour configurer CMEK avant de créer l'instance Looker (Google Cloud Core), vous devez créer le compte de service Looker manuellement avant de créer l'instance.

Pour afficher ou créer le compte de service Looker, sélectionnez l'une des options suivantes:

Console

Pour afficher le compte de service Looker:

  1. Dans la console Google Cloud, accédez à la page IAM.

    Accéder à IAM
  2. Sélectionnez le projet dans lequel se trouve l'instance Looker (Google Cloud Core).
  3. Cochez la case Inclure les attributions de rôles fournies par Google.

gcloud

Pour créer ou afficher le compte de service Looker:


gcloud beta services identity create --service=looker.googleapis.com --project=PROJECT_ID

Remplacez PROJECT_ID par le projet dans lequel se trouve l'instance Looker (Google Cloud Core).

Le nom du compte de service sera Looker Service Account. L'adresse e-mail est au format service-<project number>@gcp-sa-looker.iam.gserviceaccount.com.

Étapes suivantes