Acesso na direção norte a uma instância do Looker (Google Cloud Core) usando o Private Service Connect

Observação: para usar o Private Service Connect com o Looker (Google Cloud Core), a instância do Looker (Google Cloud Core) precisa ser ativada para usar o Private Service Connect durante a criação da instância.

Neste documento, explicamos como usar o Private Service Connect para configurar o roteamento de clientes para o Looker (núcleo do Google Cloud), também chamado de tráfego no sentido norte.

Criar um domínio personalizado

A primeira etapa após a criação da instância do Looker (Google Cloud Core) é configurar um domínio personalizado e atualizar as credenciais do OAuth para a instância. As próximas seções explicam o processo.

Ao criar um domínio personalizado para instâncias de IP particular (Private Service Connect), ele precisa atender aos seguintes requisitos:

• O domínio personalizado precisa ter pelo menos três partes, incluindo pelo menos um subdomínio. Por exemplo, subdomain.domain.com
• O domínio personalizado não pode conter:
  • looker.com
  • google.com
  • googleapis.com
  • gcr.io
  • pkg.dev

Configurar um domínio personalizado

Depois que a instância do Looker (Google Cloud Core) for criada, você poderá configurar um domínio personalizado.

Antes de começar

Observação: não é possível criar domínios personalizados usando um domínio looker.com.

Antes de personalizar o domínio da instância do Looker (Google Cloud Core), identifique onde os registros DNS do domínio estão armazenados para que você possa atualizá-los.

Funções exigidas

Para receber as permissões necessárias para criar um domínio personalizado para uma instância do Looker (Google Cloud Core), peça ao administrador para conceder a você o Administrador do Looker (roles/looker.admin) papel do IAM no projeto em que a instância está. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias por meio de papéis personalizados ou de outros papéis predefinidos.

Criar um domínio personalizado

Observação: não é possível modificar um domínio personalizado depois que ele é criado. Se você quiser fazer mudanças no domínio personalizado, exclua o domínio atual e crie um novo.

No console do Google Cloud, siga estas etapas para personalizar o domínio da sua instância do Looker (núcleo do Google Cloud):

1. Na página Instâncias, clique no nome da instância em que você quer configurar um domínio personalizado.
2. Clique na guia DOMÍNIO PERSONALIZADO.

3. Clique em ADICIONAR UM DOMÍNIO PERSONALIZADO.

   

   O painel Adicionar um novo domínio personalizado será aberto.

4. Usando apenas letras, números e traços, insira o nome do host de até 64 caracteres para o domínio da Web que você quer usar. Por exemplo: looker.examplepetstore.com.

   

5. Clique em DONE no painel Add a new custom domain para retornar à guia CUSTOM DOMAIN.

Observação: a atualização do domínio personalizado leva de 10 a 15 minutos.

Depois que o domínio personalizado é configurado, ele aparece na coluna Domínio da guia DOMÍNIO PERSONALIZADO da página de detalhes da instância do Looker (núcleo do Google Cloud) no console do Google Cloud.

Depois que o domínio personalizado for criado, você poderá acessar informações ou excluí-lo.

Atualizar as credenciais do OAuth

Observação: é possível usar qualquer cliente OAuth para criar credenciais de autorização para sua instância do Looker (Google Cloud Core). Como exemplo, estas etapas mostram como atualizar as credenciais usando o console do Google Cloud. Se você estiver usando um cliente diferente, ajuste as etapas de acordo.

1. Acesse seu cliente OAuth navegando até APIs e serviços > Credenciais no console do Google Cloud e selecionando o ID do cliente OAuth usado pela sua instância do Looker (núcleo do Google Cloud).

2. Clique no botão Adicionar URI para atualizar o campo Origens JavaScript autorizadas no seu cliente OAuth e incluir o mesmo nome de DNS que sua organização vai usar para acessar o Looker (núcleo do Google Cloud). Por exemplo, se o domínio personalizado for looker.examplepetstore.com, insira looker.examplepetstore.com como o URI.

   

3. Atualize ou adicione o domínio personalizado à lista de URIs de redirecionamento autorizados para as credenciais do OAuth que você usou ao criar a instância do Looker (Google Cloud Core). Adicione /oauth2callback ao final do URI. Por exemplo, se o domínio personalizado for looker.examplepetstore.com, insira looker.examplepetstore.com/oauth2callback.

   

Acessar a instância pela rede híbrida usando um endpoint

Observação: como alternativa, consulte o codelab Looker (núcleo do Google Cloud) PSC Northbound Regional External L7 ALB. Neste codelab, você vai criar um balanceador de carga de aplicativo regional L7 e um back-end do Private Service Connect para ter acesso de norte para sul ao Looker (Google Cloud Core). O acesso de norte a sul ao Looker (Google Cloud Core) exige que a VPC do consumidor seja adicionada à lista de permissões da instância PSC do Looker (Google Cloud Core).

Depois de configurar o domínio personalizado, para acessar a instância no local ou em outro ambiente de provedor de nuvem (ou seja, por rede híbrida), siga estas etapas:

1. Exiba o Looker (Google Cloud Core) por um endpoint do Private Service Connect.
2. Anunciar o endpoint para ambientes multicloud e locais.
3. Configurar o DNS.

Visão geral da rede

Em um ambiente de rede híbrida, os seguintes componentes de rede são necessários:

• Cloud Router
• Produtos de rede híbrida, como HA-VPN, Cloud Interconnect e SD-WAN

Além disso, você precisa configurar o DNS para ter acesso.

O Private Service Connect permite que consumidores acessem serviços gerenciados de maneira particular na rede VPC ou em uma rede híbrida. Ele permite que os produtores de serviços gerenciados hospedem esses serviços em redes VPC separadas e ofereçam uma conexão particular aos consumidores. Por exemplo, quando você usa o Private Service Connect para acessar o Looker (Google Cloud Core), você é o consumidor de serviços e o Looker (Google Cloud Core) é o produtor de serviços.

O Looker (Google Cloud Core) implantado com o Private Service Connect oferece suporte a endpoints.

Um exemplo de configuração de rede de endpoint do Private Service Connect é mostrado no diagrama a seguir:

No exemplo, o ambiente local está conectado a um projeto de host Google Cloud pelo Cloud Interconnect, roteando por um Cloud Router para um endpoint do Private Service Connect, que se conecta a um anexo de serviço em uma VPC de produtor gerenciada pelo Google. Uma VPC compartilhada hospeda o Cloud DNS para resolução de API.

Funções exigidas

Papel	Descrição
Administrador de rede do Compute (roles/compute.networkAdmin)	Concede controle total sobre a rede VPC que inicia uma conexão com uma instância do Looker (Google Cloud Core).
Editor do Diretório de serviços (roles/servicedirectory.editor)	Crie endpoints do Private Service Connect.
Administrador do Looker (roles/looker.admin)	Concede controle total sobre os recursos do Looker (Google Cloud Core), incluindo a criação de uma instância ativada para o Private Service Connect e a criação de um domínio personalizado.
Administrador do DNS (roles/dns.admin) (opcional)	Concede controle total sobre os recursos do Cloud DNS, incluindo zonas e registros DNS.

Criar um endpoint do Private Service Connect para o Looker (Google Cloud Core)

Siga as instruções para criar um endpoint do Private Service Connect em uma rede VPC. Verifique se a rede tem entrada permitida na sua instância do Looker (Google Cloud Core) e siga estas diretrizes:

• Defina o campo Serviço de destino (para o console do Google Cloud) ou a variável SERVICE_ATTACHMENT (se estiver seguindo as instruções da API ou da CLI do Google Cloud) para o URI de anexo do serviço do Looker, que pode ser encontrado executando o seguinte comando:

  gcloud looker instances describe INSTANCE_NAME --region=REGION--format=json

  Substitua:

  • INSTANCE_NAME: o nome da sua instância do Looker (Google Cloud Core).
  • REGION: a região em que sua instância do Looker (Google Cloud Core) está hospedada.

• É possível usar qualquer sub-rede hospedada na mesma região que a instância do Looker (Google Cloud Core).

• Não ative o acesso global.

Para conferir os detalhes do endpoint após a criação, siga as instruções para acessar os detalhes do endpoint.

Anunciar o endpoint para ambientes locais e multicloud

Use o Cloud Router para divulgar o endereço IP do endpoint do Private Service Connect para sua rede local ou outro ambiente.

Ao implantar endpoints do Private Service Connect, uma sub-rede regular na nuvem privada virtual (VPC) do consumidor é usada. Essa sub-rede é divulgada automaticamente pelo Cloud Router. No entanto, se você estiver anunciando seletivamente sub-redes personalizadas pelo Cloud Router, modifique a configuração do Cloud Router para incluir o endereço IP ou a sub-rede do endpoint do Private Service Connect.

Verifique se o firewall local (ou de outro ambiente) permite o tráfego de saída para o endereço IP ou a sub-rede do endpoint do Private Service Connect, considerando as considerações de rede híbrida.

Configurar o DNS

Ao configurar o DNS, você pode usar uma destas duas opções:

• Atualize o DNS local para ser autoritativo para o domínio personalizado do Looker (Google Cloud Core) mapeado para o endereço IP do endpoint do Private Service Connect.
• Crie uma zona privada do Cloud DNS, crie um conjunto de registros usando o endereço IP alocado para o endpoint do Private Service Connect e ative o encaminhamento de DNS de entrada para permitir que a VPC seja autoritativa para o domínio personalizado do Looker (núcleo do Google Cloud) mapeado para o endereço IP do endpoint do Private Service Connect.

A seguir

• Conectar o Looker (Google Cloud Core) ao seu banco de dados
• Preparar uma instância do Looker (Google Cloud Core) para usuários
• Gerenciar usuários no Looker (Google Cloud Core)