本页面介绍了如何为客户托管的部署安装 Looker 应用。
Looker 应用的托管与数据驻留无关；数据始终位于数据库中，不会被复制到 Looker 实例。
部署规范
如果您要在未连接到互联网的网络上运行 Looker，则可能需要设置代理服务器以与 Looker 的许可服务器通信，或者使用仅发出网络调用的无服务器 Web 服务（例如 BigQuery）。
在满足以下要求的专用机器上安装 Looker 应用：
- 1.2 GHz CPU；Looker 建议使用两个或更多核心。
- 8 GB 可用 RAM。
- 10 GB 可用磁盘空间。
- 2 GB 交换文件空间。
- Linux。我们使用 Ubuntu Linux (LTS 版本) 进行内部 Looker 托管，我们建议没有 Linux 偏好设置的客户使用。不过，我们支持在所有主要企业 Linux 发行版（包括 RedHat、CentOS 和 Amazon Linux）的 Looker 版本。Looker 仅适用于带有 x64 指令集的 Linux 版本。
Java OpenJDK 11.0.12+、OpenJDK 8.0.181+ 或 HotSpot 1.8 更新 161+。Looker 使用 OpenJDK（版本 11）来提高性能和内存用量。Looker 建议 JDK 而不是 JRE，以利用额外的问题排查工具。此外，Looker 建议您在新的 Java 更新发布后过渡到这些更新。目前不支持其他版本的 Java、Oracle JDK 和 OpenJDK。
系统中必须存在
libssl和libcrypt.so。您必须允许通过 TCP 端口
9999传入 Looker 实例的入站流量。如果用户需要 API 访问权限，您必须允许通过 TCP 端口
19999传入 Looker 实例的入站流量。如果 Looker 从 AWS VCP 专用网络连接到 AWS Redshift，您必须将 MTU 设置为 1500。如需详细了解此设置，请参阅这篇 Amazon Web Services 文章的配置实例的 MTU 部分。如果 Looker 在数据库连接测试期间检测到 MTU 设置大于 1500，则会显示以下错误：
MTU of network interface eth0 is too large (> 1500). If Looker instance and Redshift cluster are within the same VPC, this warning can be ignored.以下 TCP keepalive 设置。如需通过重新启动坚持保留这些建议，应在
/etc/sysctl.conf或/etc/sysctl.d目录中的文件中设置：net.ipv4.tcp_keepalive_time=200 net.ipv4.tcp_keepalive_intvl=200 net.ipv4.tcp_keepalive_probes=5群组
looker中名为looker的用户运行 Looker 应用。4096或更高looker用户的 ulimit。为此，请将以下几行代码添加到/etc/security/limits.conf：looker soft nofile 4096 looker hard nofile 4096通过 NTP 或同等服务实现时间同步。
/tmp文件夹不得装载 noexec 选项。looker主目录不应装载到 NFS 卷上。建议将服务器的时区设置为 UTC，但这并非强制要求。
Looker 23.6 及更高版本需要安装 Git 2.39.1 或更高版本。
虽然 Netcat 并非必须要这样做，但有助于排查网络连接问题。要在基于 Ubuntu 的服务器（例如基于 Ubuntu 的服务器）上安装 Netcat，常用命令如下：
sudo apt-get install netcat如果需要，您可以设置代理服务器来处理 Looker 能够在“本地”上发出“核心”的 HTTP(S) 请求。如需与 Looker 的本地代理服务器通信，您需要在
lookerstart.cfg中添加一些特殊参数：添加http.nonProxyHosts=localhost，以允许不经过代理即可访问 Looker 的 localhost。通过网页代理社区帖子将 Looker 连接到 BigQuery 举例说明了如何创建此连接。
为避免维护和资源冲突，不应使用 Looker 服务器托管其他应用。
启用 NTPD 或 Cronyd
NTP 代表网络时间协议。它可以确保主机的系统时钟始终保持正确的时间，而 Looker 需要正常运行。只要时间同步，Looker 就不需要使用任何特定的时间同步软件。不需要运行 NTP 服务器；只需 NTP 客户端。您可以用 chronyd 代替 NTP。
如需了解如何启用 NTPD 或 Cronyd，请参阅操作系统供应商的文档。
创建加密密钥
Looker 使用 AES-256 Galois/Counter 模式 (GCM) 加密来加密内部存储的敏感数据，其中包括：
- Looker 内部数据库的备份
- 数据库和服务连接信息
- 用户身份验证信息
- 用户属性值
- 缓存或已准备好传送的客户数据
如需查看 Looker 加密的数据的详细列表，请打开支持请求。
数据是使用唯一的数据密钥加密的，并包含经过签名和版本控制的加密信封，以确保验证。此模式需要使用外部客户主密钥 (CMK)。CMK 用于派生、加密和解密密钥加密密钥 (KEK)，而密钥加密密钥 (KEK) 又可用于派生、加密和解密数据密钥。
加密功能仅适用于 Looker 的内部数据库和缓存，客户数据库不会受到 Looker 加密功能的任何影响。此外，只有静态数据（存储在磁盘中的数据）才会以这种方式加密。
客户托管的安装可以使用自己的 AWS KMS 帐号或自定义密钥管理系统。所有数据键和 KEK 都会进行加密，并在客户托管的 Looker 内部使用。如果您没有使用 AWS KMS，外部 CMK 应保存在安全且永久的位置！在加密内部数据库后丢失 CMK 可能会导致实例丢失。
如果您使用的是 AWS KMS
如果您使用的是 AWS KMS，请使用 AWS 管理控制台或 API 创建 CMK。
创建 CMK 之后，Looker 建议您创建一个专属 CMK 新 IAM 角色，并将其附加到您的 Looker 实例。
以下是包含 CMK 所需的最低权限的 IAM 角色示例：
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": "kms:GenerateRandom",
"Resource": "*"
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": [
"kms:Decrypt",
"kms:Encrypt",
"kms:Generate*",
],
"Resource": "arn:aws:kms:*:*:key/*"
}
]
}
创建 CMK 和新的 IAM 角色后，请将 AWS_REGION 环境变量设置为您的 AWS 区域，并将 LKR_AWS_CMK 环境变量设置为 CMK 的别名：
export AWS_REGION=<AWS_region>
export LKR_AWS_CMK=alias/<CMK_alias>
您还可以选择设置 LKR_AWS_CMK_EC 环境变量，以设置自定义 AWS 加密上下文。如果您未设置此环境变量，Looker 将使用默认加密上下文字符串 Looker_Encryption_Context。
export LKR_AWS_CMK_EC=<My_Encryption_Context>
如果您未使用 AWS KMS
如果您没有使用 AWS KMS，请生成 62 位 32 字节的 CMK。您可以将 CMK 存储在环境变量或文件中：
如需生成 CMK 并将其存储在环境变量中，您可以使用以下命令生成 CMK：
openssl rand -base64 32生成 CMK 后，请复制该 CMK 并使用以下命令将 CMK 存储在
LKR_MASTER_KEY_ENV环境变量中（其中<CMK_value>是您使用上一个命令生成的 CMK）：export LKR_MASTER_KEY_ENV=<CMK_value>如需生成 CMK 并将其存储在文件中，您可以使用以下命令（其中
<path_to_key_file>是用于存储 CMK 的路径和文件名）：openssl rand -base64 32 > <path_to_key_file>生成 CMK 文件后，请将密钥文件权限设置为当前用户的只读：
chmod 0400 <path_to_key_file>
生成 CMK 后，请务必将其存储在安全且永久的位置，然后再继续操作！在加密内部数据库后丢失 CMK 可能会导致实例丢失。
生成并存储 CMK 后，请设置 LKR_MASTER_KEY_ENV 环境变量：
如果您要将 CMK 存储在环境变量中，请将
LKR_MASTER_KEY_ENV环境变量设置为 CMK 的值：export LKR_MASTER_KEY_ENV=<CMK_value>如需将 CMK 存储在文件中，请将
LKR_MASTER_KEY_FILE环境变量设置为 CMK 文件的路径：export LKR_MASTER_KEY_FILE=<path_to_key_file>
生成 CMK 后，请务必将其存储在安全且永久的位置，然后再继续操作！在加密内部数据库后丢失 CMK 可能会导致实例丢失。
安装 Looker 应用
创建群组
looker。sudo groupadd looker创建用户
looker及其主目录。sudo useradd -m -g looker looker切换到
looker用户；请勿以根用户身份运行 Looker。sudo su - looker在主目录中创建
looker子目录。mkdir ~/looker切换到
looker子目录。cd ~/looker确保当前目录是正确的目录。
pwd如果您的用户目录位于
/home下，则此命令的输出应为/home/looker/looker。通过下载 Looker JAR 文件文档页面上的方法之一下载所需的 Looker JAR 文件。确保两个 JAR 文件是相同的版本；使用不同的核心 JAR 文件和依赖项 JAR 文件可能会导致 Looker 安装不稳定。
在 looker-open-source GitHub 代码库中下载最新的启动脚本。如果您希望 Looker 在系统启动时运行，可以下载 looker_init 脚本，并使用
systemd和init脚本选项。将启动脚本（名为
looker）和 Looker JAR 文件（名为looker-x.x.x.jar和looker-dependencies-x.x.x.jar，其中x.x.x是版本号）移至新的~/looker目录。已将
looker-x.x.x.jar重命名为looker.jar，并将looker-dependencies-x.x.x.jar重命名为looker-dependencies.jar。启动脚本会自动确定要分配给 Looker 的 Java 内存量。如果您想手动自定义此值，请参阅推荐的 Java 内存设置文档页面以了解详情。
将 Looker 启动脚本设为可执行文件（将权限设置为
0750）。chmod 0750 looker以
looker用户身份从 shell 启动 Looker 进程。./looker start如需获得启动标志方面的帮助，请使用以下命令：
java -jar looker.jar --help或者，如需启动命令方面的帮助，请使用以下命令：
java -jar looker.jar help打开浏览器以
https://hostname:9999，其中hostname是运行 Looker 的主机的 DNS 名称。您应该在网址中使用
https，这样会创建需要绕过的安全警告。在服务器上安装有效的 SSL 证书之前，此警告将持续存在。输入从 Looker 分析师处获取的许可密钥。
输入名称、电子邮件地址和密码，以创建您的第一个帐号。
创建 DNS 记录
为服务器添加 looker.[yourdomain].com DNS 记录。这是可选步骤，但我们建议您执行。
自动部署 Looker
可以使用 Ansible 或 Chef 等配置管理工具部署 Looker。如需查看适用于自动部署的 Ansible 角色示例，请参阅配置管理工具文档页面。
Hypervisor 调整
Looker 作为 Java 虚拟机运行。如果您的 Looker 实例位于 VMware 客户机上，您可能需要进行一些性能调整。请参阅 VMware Java 最佳实践指南。
在其他虚拟化平台上，可以提升性能以从 Hypervisor 预留 Looker 主机的内存。这在 Amazon EC2 上是不可控制的；但是，对于其他供应商，您应查阅其文档了解详情。
设置可选的 MySQL 后端数据库
默认情况下，Looker 使用 HyperSQL 内存数据库来存储其配置、用户和其他数据。但是，您可以使用外部 MySQL 数据库来存储 Looker 的内部信息。如需了解如何配置和调整 MySQL 后端数据库，请参阅迁移到 MySQL 文档页面。
后续步骤
安装 Looker 后，您就可以配置 Looker 启动选项了。