パブリック IP Looker（Google Cloud コア）インスタンスを作成する

このページでは、パブリック IP の Looker（Google Cloud コア）インスタンスをプロビジョニングする方法について説明します。

始める前に

Google Cloud コンソールのプロジェクトセレクタのページで、Google Cloud プロジェクトを作成するか、既存のプロジェクトに移動します。
プロジェクトセレクタに移動
Google Cloud コンソールでプロジェクトの Looker API を有効化します。API を有効にする際は、有効になっていることを確認するためにコンソールページの更新が必要になる場合があります。
API を有効にする

注意: インスタンスの作成後に Looker API を無効にすると、Looker（Google Cloud コア）の機能に影響します。たとえば、API を無効にすると、インスタンスバックアップを作成できなくなります。
OAuth クライアントを設定し、認証情報を作成します。OAuth クライアントを使用すると、認証を行ってインスタンスにアクセスできます。インスタンスに対してユーザーを認証する別の認証方法を使用している場合でも、Looker（Google Cloud コア）インスタンスを作成するには OAuth を設定する必要があります。
VPC Service Controls を使用する場合は、パブリック IP インスタンスではなく、プライベート IP インスタンスを作成する必要があります。

必要なロール

Looker（Google Cloud コア）インスタンスの作成に必要な権限を取得するには、インスタンスを配置するプロジェクトに対する Looker 管理者（roles/looker.admin）IMA ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

顧客管理の暗号鍵（CMEK）を設定する場合は、追加の IAM ロールが必要になる場合があります。詳細については、Cloud Key Management Service のドキュメントの IAM によるアクセス制御ページをご覧ください。

Looker（Google Cloud コア）インスタンスを作成する

Looker（Google Cloud コア）が新しいインスタンスを生成するには約 60 分かかります。

Looker（Google Cloud コア）インスタンスを作成するには、次のいずれかのオプションを選択します。

コンソールgcloudTerraform

Google Cloud コンソールでプロジェクトから Looker（Google Cloud コア）プロダクトページに移動します。このプロジェクト内に Looker（Google Cloud コア）インスタンスをすでに作成している場合は、[インスタンス] ページが開きます。
Looker（Google Cloud コア）に移動
[インスタンスを作成] をクリックします。
[インスタンス名] セクションで、Looker（Google Cloud コア）インスタンスの名前を入力します。インスタンス名は、作成後に Looker（Google Cloud コア）インスタンスの URL には関連付けられません。インスタンス名は、インスタンスの作成後は変更できません。
[OAuth アプリケーション認証情報] セクションで、OAuth クライアントを設定する際に作成した OAuth クライアント ID と OAuth シークレットを入力します。
[リージョン] セクションで、Looker（Google Cloud コア）インスタンスをホストする適切なオプションをプルダウンメニューから選択します。サブスクリプション契約のリージョンと一致するリージョンを選択します。これはプロジェクトの割り当てで割り当てられているリージョンです、使用可能なリージョンは、Looker（Google Cloud コア）のロケーションドキュメントページに記載されています。
注: インスタンスの作成後にリージョンを変更することはできません。
[エディション] セクションで、組織のニーズに応じてインスタンスのエディションを設定します。エディションタイプは、インスタンスで使用可能な機能の一部に影響します。年間契約に記載されているエディションタイプと同じエディションタイプを選択し、そのエディションタイプに割り当てされていることを確認してください。エディションのオプションは次のとおりです。
- Standard: ユーザー数 50 人未満の小規模な組織またはチーム用の Looker（Google Cloud コア）プラットフォーム
- Enterprise: 高度な BI 機能を備えた Looker（Google Cloud コア）プラットフォーム。BI と分析のさまざまなユースケースに対処できます。
- Embed: 信頼性の高い外部分析やカスタムアプリケーションを大規模にデプロイして維持するための Looker（Google Cloud コア）プラットフォーム
インスタンスの作成後はエディションを変更できません。エディションを変更する場合は、インポートとエクスポートを使用して、Looker（Google Cloud コア）インスタンスデータを、別のエディションで構成される新しいインスタンスに移動します。
[インスタンスのカスタマイズ] セクションで [構成オプションを表示] をクリックし、インスタンスに合わせたカスタマイズが可能な追加設定のグループを表示します。
[接続] セクションで、[パブリック IP] のみを選択します。パブリック IP 接続設定では、インターネットにアクセスできる外部 IP アドレスが割り当てられます。この設定は、すべてのエディションタイプで使用できます。

注: Enterprise エディションと Embed エディションを作成する場合は、プライベート IP を使用することもできます。プライベート IP を使用すると、Virtual Private Cloud（VPC）でアクセス可能な Google がホストする内部 IP アドレスが割り当てられます。プライベート IP またはプライベート IP とパブリック IP の両方を使用する場合は、プライベート IP Looker（Google Cloud コア）インスタンスを作成するまたはLooker（Google Cloud コア）Private Service Connect を作成するドキュメントページの手順に沿って、インスタンスの作成を完了します。
[プライベート IP] のみ、または [パブリック IP] と [プライベート IP] の両方を選択した場合は、プライベート IP の Looker（Google Cloud コア）インスタンスを作成するドキュメントページの手順に沿って、インスタンスの作成時にネットワークの設定を完了します。
[Encryption] セクションで、インスタンスで使用する暗号化の種類を選択できます。使用できる暗号化オプションは次のとおりです。
- Google が管理する暗号鍵: デフォルトのオプションで、追加の構成は必要ありません。
- 顧客管理の暗号鍵（CMEK）: CMEK とインスタンス作成時に構成する方法の詳細については、Looker（Google Cloud コア）で顧客管理の暗号鍵を使用するドキュメントページをご覧ください。暗号化のタイプは、インスタンスの作成後は変更できません。
- FIPS 140-2 認証取得済み暗号化を有効にする: Looker（Google Cloud コア）での FIPS 140-2 のサポートの詳細については、Looker（Google Cloud コア）インスタンスで FIPS 140-2 レベル 1 コンプライアンスを有効にするドキュメントページをご覧ください。
[メンテナンスの時間枠] セクションで、必要に応じて、Looker（Google Cloud コア）がメンテナンスをスケジュールする曜日と時間を指定できます。メンテナンスの時間枠は 1 時間です。デフォルトでは、[メンテナンスの時間枠] の [優先ウィンドウ] オプションは [おまかせ] に設定されます。
[メンテナンス拒否期間] セクションでは、必要に応じて Looker（Google Cloud コア）がメンテナンスをスケジュールしない日数を指定することもできます。メンテナンス拒否期間は最長 60 日間まで設定できます。任意の 2 つのメンテナンス拒否期間の間に、メンテナンスを許可する日数を少なくとも 14 日間設定する必要があります。
[作成] をクリックします。

CMEK を使用している場合は、Looker サービスアカウントを作成し、手順に沿ってまず CMEK の設定をしてください。
gcloud looker instances create コマンドを使用して、インスタンスを作成します。
```
gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--oauth-client-id=OAUTH_CLIENT_ID \
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--region=REGION \
--edition=EDITION \
[--consumer-network=CONSUMER_NETWORK --private-ip-enabled --reserved-range=RESERVED_RANGE]
[--no-public-ip-enabled]
[--public-ip-enabled]
[--async]
```
以下のように置き換えます。
- INSTANCE_NAME: Looker（Google Cloud コア）インスタンスの名前。インスタンス URL には関連付けられていません。
- PROJECT_ID: Looker（Google Cloud コア）インスタンスを作成する Google Cloud プロジェクトの名前。
- OAUTH_CLIENT_ID と OAUTH_CLIENT_SECRET: OAuth クライアントを設定したときに作成した OAuth クライアント ID と OAuth シークレット。インスタンスが作成されたら、OAuth クライアントの [承認済みのリダイレクト URI] セクションにインスタンスの URL を入力します。
- REGION: Looker（Google Cloud コア）インスタンスがホストされるリージョン。サブスクリプション契約のリージョンと一致するリージョンを選択します。使用可能なリージョンは、Looker（Google Cloud コア）のロケーションドキュメントページに記載されています。
- EDITION: インスタンスのエディション。有効な値は core-standard-annual、core-enterprise-annual、core-embed-annual です。インスタンスの作成後はエディションを変更できません。エディションを変更する場合は、インポートとエクスポートを使用して、Looker（Google Cloud コア）インスタンスデータを、別のエディションで構成される新しいインスタンスに移動します。
- CONSUMER_NETWORK: VPC ネットワークまたは共有 VPC。プライベート IP インスタンスを作成する場合は設定する必要があります。
- RESERVED_RANGE: Google が Looker（Google Cloud コア）インスタンスのサブネットワークをプロビジョニングする VPC 内の IP アドレスの範囲。インスタンスに対してプライベート IP ネットワーク接続を有効にする場合は、範囲を定義しないでください。
次のフラグも含めます。
- --public-ip-enabled は、パブリック IP を有効にするために使用されます。
- Looker（Google Cloud コア）インスタンスを作成する場合は、--async をおすすめします。
パラメータを追加して、他のインスタンス設定を適用できます。
```
[--maintenance-window-day=MAINTENANCE_WINDOW_DAY
      --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
[--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
      --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
      --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
--kms-key=KMS_KEY_ID
[--fips-enabled]
```
次のように置き換えます。
- MAINTENANCE_WINDOW_DAY は、次のいずれかの値を設定する必要があります: friday、monday、saturday、sunday、thursday、tuesday、wednesday。メンテナンスの時間枠の設定の詳細については、Looker（Google Cloud コア）のメンテナンスポリシーを管理するドキュメントページをご覧ください。
- MAINTENANCE_WINDOW_TIME と DENY_MAINTENANCE_PERIOD_TIME: 24 時間形式の UTC 時間（例: 13:00、17:45）にする必要があります。
- DENY_MAINTENANCE_PERIOD_START_DATE と DENY_MAINTENANCE_PERIOD_END_DATE: YYYY-MM-DD の形式にする必要があります。
- KMS_KEY_ID: 顧客管理の暗号鍵（CMEK）の設定時に作成される鍵にする必要があります。
--fips-enabled フラグを指定して、FIPS 140-2 レベル 1 コンプライアンスを有効にできます。

次の Terraform リソースを使用して、基本機能を備えた Standard Looker（Google Cloud Core）インスタンスをプロビジョニングします。

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

次の Terraform リソースを使用して、Standard Looker（Google Cloud コア）インスタンスをプロビジョニングし、追加の設定を適用します。

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

以下の Terraform リソースを使用して、プライベートネットワーク接続を有する Enterprise Looker（Google Cloud コア）インスタンスをプロビジョニングします。

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

インスタンスの作成を開始すると、一時停止や中断はできません。Terraform リソースが正常にプロビジョニングされると、ターミナルに次のメッセージが出力されます。

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]

Apply complete! Resources: X added, X changed, X destroyed.

ランダムに生成された名前が割り当てられる新しいインスタンスのステータスを表示するには、コンソールの [インスタンス] ページにアクセスします。

インスタンスの作成中は、コンソール内の [インスタンス] ページでステータスを確認できます。Google Cloud コンソールメニューの通知アイコンをクリックして、インスタンス作成アクティビティを確認することもできます。

パブリック IP インスタンスが作成されると、インスタンスの公開 URL が [インスタンス] ページの [インスタンス URL] 列に表示されます。

インスタンスが作成されたら、OAuth クライアントの [承認済みのリダイレクト URI] セクションにインスタンスの URL を入力します。

インスタンスが作成され、OAuth の設定が完了したら、[インスタンス] ページに表示されるインスタンスの URL に移動すると、インスタンスが表示されます。