Damit die stärkste Verschlüsselung zwischen Looker und Ihrer Datenbank besteht, können Sie einen SSH-Tunnel zu einem Tunnel-Server oder zum Datenbankserver selbst erstellen.
SSH-Tunnel sind für Datenbanken, die keine einzelne Hostadresse enthalten, nicht verfügbar, z. B. Google BigQuery- und Amazon Athena-Datenbanken. BigQuery- und Athena-Nutzer sollten direkt mit der Datenbankkonfiguration fortfahren.
Schritt 1: Host auswählen, auf dem der Tunnel beendet werden soll
Der erste Schritt zum Einrichten des Zugriffs über den SSH-Tunnel für Ihre Datenbank besteht in der Auswahl des Hosts, auf dem der Tunnel beendet wird. Der Tunnel kann entweder auf dem Datenbankhost selbst oder auf einem separaten Host (dem Tunnelserver) beendet werden.
Datenbankserver verwenden
Wenn Sie keinen Tunnelserver verwenden, stellt Looker über einen SSH-Tunnel über das öffentliche Internet eine direkte Verbindung zu Ihrem Datenbankserver her. Der Abschluss der Datenbank ist einfach. Es ist ein weniger Host beteiligt, sodass keine zusätzlichen Maschinen anfallen und die entsprechenden Kosten anfallen. Diese Option ist möglicherweise nicht möglich, wenn sich Ihr Datenbankserver in einem geschützten Netzwerk ohne direkten Zugriff aus dem Internet befindet.
Tunnelserver verwenden
Wenn Sie einen Tunnelserver verwenden, stellt Looker über einen separaten Tunnelserver in einem eingeschränkten Netzwerk eine Verbindung zu Ihrem Datenbankserver her. Das Beenden des Tunnels auf einem separaten Server hat den Vorteil, dass der Datenbankserver nicht über das Internet zugänglich ist. Wenn er gehackt wurde, wird dieser Schritt nur vom Datenbankserver entfernt. Wir empfehlen Ihnen, alle nicht unbedingt notwendige Software und Nutzer vom Tunnelserver zu entfernen und sie mit Tools wie einem IDS genau zu überwachen.
Der Tunnelserver kann ein beliebiger Unix/Linux-Host mit folgenden Funktionen sein:
- Zugriff über das Internet per SSH
- Kann auf die Datenbank zugreifen
Schritt 2: IP-Zulassungsliste erstellen
Der zweite Schritt besteht darin, zu erlauben, dass der Netzwerk-Traffic den Tunnelserver oder Datenbankhost über SSH erreicht, der sich normalerweise auf TCP-Port 22 befindet.
Lassen Sie den Netzwerk-Traffic von jeder der hier aufgeführten IP-Adressen für die Region zu, in der Ihre Looker-Instanz gehostet wird. Standardmäßig sind dies die Vereinigten Staaten.
In Google Cloud gehostete Instanzen
Von Looker gehostete Instanzen werden standardmäßig in Google Cloud gehostet. Fügen Sie für Instanzen, die in Google Cloud gehostet werden, die IP-Adressen aus Ihrer Region auf die Zulassungsliste.
Klicken Sie hier, um eine vollständige Liste der IP-Adressen für Instanzen aufzurufen, die in Google Cloud gehostet werden
Moncks Corner, South Carolina, USA (us-east1)
34.75.58.12335.196.30.11035.243.254.16634.111.239.10235.237.174.1734.73.200.23535.237.168.216
Ashburn, Northern Virginia, USA (us-east4)
35.221.30.17735.245.82.7335.194.74.18535.245.177.11234.86.118.23934.86.52.18835.221.3.16335.245.211.10934.86.136.19034.86.214.22635.221.62.21834.86.34.13535.236.240.16834.150.212.934.150.174.5434.85.200.21734.145.147.14635.245.20.1634.145.139.2234.150.217.2035.199.35.17635.245.72.3535.236.220.22534.150.180.9434.85.187.175
Council Bluffs, Iowa, USA (us-central1)
34.69.207.17634.70.128.7435.239.118.197104.154.21.23135.192.130.12635.184.100.5134.172.2.22734.71.191.21034.173.109.50
The Dalles, Oregon, USA (us-west1)
34.82.120.2535.247.5.9935.197.64.5735.233.172.2335.233.249.16035.247.55.3335.247.117.035.247.61.15134.82.193.21535.233.222.22634.83.94.15135.203.184.4834.83.138.10535.197.35.18834.127.116.8534.145.90.8334.127.41.19934.82.57.22535.197.66.24434.105.127.12235.233.191.8434.145.93.130
Los Angeles, Kalifornien, USA (us-west2)
35.236.22.7735.235.83.17735.236.51.71
Montréal, Québec, Kanada (northamerica-northeast1)
35.234.253.10335.203.46.25534.152.60.21035.234.252.15035.203.0.635.203.96.235
London, England, Vereinigtes Königreich (europe-west2)
35.189.94.10535.246.36.6735.234.140.7734.142.77.1834.105.131.13334.89.54.8434.89.124.13934.89.25.534.105.209.4434.105.181.13335.242.138.13334.105.219.15434.89.127.5135.246.10.20635.189.111.17335.197.222.22034.105.198.15135.246.117.5834.142.123.9634.105.176.20935.189.95.16734.89.55.235.197.199.2035.242.174.15834.89.3.120
Frankfurt, Deutschland (europe-west3)
34.159.224.18734.159.10.5934.159.72.7735.242.243.25534.159.247.21135.198.128.12634.89.159.13834.159.253.10334.159.244.43
Mumbai, Indien (asia-south1)
34.93.221.13735.244.24.19835.244.52.179
Eemshaven (Niederlande) (europe-west4)
35.204.118.2835.204.216.734.90.52.19135.204.176.2934.90.199.9534.90.145.226
Landkreis Changhua, Taiwan (asia-east1)
104.199.206.20934.80.173.21235.185.137.114
Tokio, Japan (asia-northeast1)
34.85.3.19834.146.68.20334.84.4.21835.200.82.7234.84.163.2734.85.31.212
Jurong West, Singapur (asia-southeast1)
34.143.210.11634.143.132.20634.87.134.20235.197.143.535.247.186.6834.142.215.2635.198.246.81
Jakarta, Indonesien (asia-southeast2)
34.101.158.8834.101.157.23834.101.184.52
Sydney, Australien (australia-southeast1)
34.87.195.3634.116.85.14034.151.78.4835.189.13.2935.189.9.8135.244.68.217
Osasco (São Paulo), Brasilien (southamerica-east1)
34.151.199.20135.199.122.1934.95.180.12234.95.168.3834.151.235.24134.95.181.19
Auf Amazon Elastic Kubernetes Service (Amazon EKS) gehostete Instanzen
Bei auf Amazon EKS gehosteten Instanzen müssen Sie die IP-Adressen für Ihre Region auf die Allowlist setzen.Klicken Sie hier, um eine vollständige Liste der IP-Adressen für Instanzen aufzurufen, die auf Amazon EKS gehostet werden.
US East (N. Virginia (us-east-1)
18.210.137.13054.204.171.25350.17.192.8754.92.246.22375.101.147.9718.235.225.16352.55.239.16652.86.109.6854.159.176.1993.230.52.22054.211.95.15052.55.10.236184.73.10.8552.203.92.11452.3.47.18952.7.255.5454.196.92.552.204.125.24434.200.64.24318.206.32.25454.157.231.7654.162.175.24454.80.5.1735.168.173.23852.44.187.2218.213.96.4023.22.133.20634.239.90.16934.236.92.873.220.81.24154.197.142.23834.200.121.563.83.72.4154.159.42.1443.229.81.10134.225.255.22054.162.193.16534.235.77.1173.233.169.6354.87.86.11318.208.86.2952.44.90.201
US-Ost (Ohio) (us-east-2)
3.135.171.2918.188.208.2313.143.85.223
US-West (Oregon) (us-west-2)
44.237.129.3254.184.191.25035.81.99.30
Kanada (Mitte) (ca-central-1)
52.60.157.6135.182.169.2552.60.59.12835.182.207.12815.222.172.643.97.27.5135.183.191.13315.222.86.12352.60.52.14
Europa (Irland) (eu-west-1)
54.74.243.24654.195.216.9554.170.208.6752.49.220.10352.31.69.11734.243.112.7652.210.85.11052.30.198.16334.249.159.11252.19.248.17654.220.245.17154.247.22.227176.34.116.19754.155.205.15952.16.81.13954.75.200.18834.248.52.454.228.110.3234.248.104.9854.216.117.22552.50.172.40
Europa (Frankfurt) (eu-central-1)
18.157.231.10818.157.207.3318.157.64.19818.198.116.1333.121.148.1783.126.54.154
Asien/Pazifik (Tokio) (ap-northeast-1)
54.250.91.5713.112.30.11054.92.76.241
Asien/Pazifik (Sydney) (ap-southeast-2)
13.238.132.1743.105.238.713.105.113.36
Südamerika (São Paulo) (sa-east-1)
54.232.58.18154.232.58.98177.71.134.208
Auf Microsoft Azure gehostete Instanzen
Bei auf Azure gehosteten Instanzen müssen Sie die IP-Adressen für Ihre Region auf die Allowlist setzen.Klicken Sie hier, um eine vollständige Liste der IP-Adressen für Instanzen aufzurufen, die auf Microsoft Azure gehostet werden.
Virginia, USA (us-east2)
52.147.190.201
Älteres Hosting
Verwenden Sie diese IP-Adressen für alle auf AWS gehosteten Instanzen, die vor dem 07.07.2020 erstellt wurden.Klicken Sie hier, um eine vollständige Liste der IP-Adressen für das Legacy-Hosting aufzurufen.
USA (AWS-Standard)
54.208.10.16754.209.116.19152.1.5.22852.1.157.15654.83.113.5
Kanada
99.79.117.12735.182.216.56
Asien
52.68.85.4052.68.108.109
Irland
52.16.163.15152.16.174.170
Deutschland
18.196.243.9418.184.246.171
Australien
52.65.128.17052.65.124.87
Südamerika
52.67.8.10354.233.74.59
Schritt 3: SSH-Tunneling
Wenn der Tab SSH-Server aktiviert ist, folgen Sie der Anleitung auf dieser Seite, um die SSH-Serverkonfigurationsinformationen in Looker hinzuzufügen.
Die Option SSH-Server ist verfügbar, wenn die Instanz in der Kubernetes-Infrastruktur bereitgestellt wird und nur die Möglichkeit, SSH-Serverkonfigurationsinformationen zu Ihrer Looker-Instanz hinzuzufügen, aktiviert hat. Wenn diese Option für Ihre Looker-Instanz nicht aktiviert ist und Sie sie aktivieren möchten, wenden Sie sich an einen Google Cloud-Vertriebsexperten oder öffnen Sie eine Supportanfrage.
Wählen Sie in Looker auf der Seite Verbindungen im Abschnitt Admin den Tab SSH Server aus.
Wählen Sie dann Server hinzufügen aus. Looker zeigt die Seite SSH-Server hinzufügen an:
- Geben Sie einen Namen für die SSH-Serverkonfiguration ein.
- Wählen Sie Schlüssel herunterladen aus, um den öffentlichen Schlüssel als Textdatei herunterzuladen. Speichern Sie die Datei. Sie müssen den öffentlichen Schlüssel später der autorisierten Schlüsseldatei Ihres SSH-Servers hinzufügen.
- Geben Sie den Nutzernamen ein, den Looker für die Verbindung mit dem SSH-Server verwenden soll.
- Geben Sie die IP-Adresse oder den Hostnamen des SSH-Servers ein.
- Geben Sie die Portnummer ein, die zum Herstellen einer Verbindung zum SSH-Server verwendet wird.
Schritt 4: Tunnel-Host vorbereiten
Fügen Sie der Datei authorized_keys den öffentlichen Schlüssel hinzu
Für die Authentifizierung des SSH-Tunnels ist in Looker ein eindeutiger öffentlicher Schlüssel erforderlich. Looker unterstützt die Anmeldung mit einem Passwort nicht. Wenn der Tab SSH-Server auf Ihrer Instanz aktiviert ist, können Sie den öffentlichen Schlüssel als Textdatei herunterladen. Wählen Sie dazu bei der Eingabe der SSH-Konfigurationsinformationen die Schaltfläche Schlüssel herunterladen aus. Wenn Sie Ihren SSH-Tunnel mithilfe eines Looker-Analysten konfigurieren, erhalten Sie von Ihrem Looker-Analyst einen eindeutigen öffentlichen Schlüssel.
Sie müssen Ihren Host (entweder den Datenbankserver oder den Tunnelserver) vorbereiten, indem Sie einen looker-Nutzer erstellen und den öffentlichen Looker-Schlüssel zur Looker-Datei .ssh/authorized_keys hinzufügen. So gehts:
Erstellen Sie in der Befehlszeile eine Gruppe mit dem Namen
looker:sudo groupadd lookerErstellen Sie den Nutzer
lookerund sein Basisverzeichnis:sudo useradd -m -g looker lookerWechseln Sie zum Nutzer
looker:sudo su - lookerErstellen Sie das Verzeichnis
.ssh:mkdir ~/.sshBerechtigungen festlegen:
chmod 700 ~/.sshWechseln Sie in das Verzeichnis
.ssh:cd ~/.sshErstellen Sie die Datei
authorized_keys.touch authorized_keysBerechtigungen festlegen:
chmod 600 authorized_keys
Fügen Sie in der Datei authorized_keys mit Ihrem bevorzugten Texteditor den SSH-Schlüssel hinzu, den Sie von Ihrem Looker-Analysten erhalten haben. Der Schlüssel muss alle in einer Zeile stehen. Wenn Sie den Schlüssel aus Ihrer E-Mail abrufen, werden in einigen Fällen Zeilenumbrüche vom E-Mail-Client eingefügt. Wenn Sie sie nicht entfernen, kann der SSH-Tunnel nicht erstellt werden.
ssh-rsa zu Ihrer sshd_config-Datei hinzufügen
OpenSSH hat „ssh-rsa“ standardmäßig deaktiviert, was zu Fehlern beim Einrichten eines SSH-Tunnels führen kann. Fügen Sie ssh-rsa zur Liste der akzeptierten Algorithmen Ihres Servers hinzu, um dieses Problem zu beheben. So gehts:
- Bearbeiten Sie die Datei
sshd_config. Diese findest du normalerweise unter~/etc/ssh/sshd_config. Fügen Sie der Datei
sshd_configFolgendes hinzu:HostKeyAlgorithms +ssh-rsa PubKeyAcceptedAlgorithms +ssh-rsa
Tunnel-Sicherheitshinweise
Wenn ein SSH-Tunnel auf dem Datenbankserver beendet wird, scheint die Verbindung von Looker eine lokale Verbindung auf dem Datenbankserver zu sein. Daher werden verbindungsbasierte Sicherheitsmechanismen abgewehrt, die in Datenbankplattformen wie MySQL integriert sind. So wird beispielsweise dem root-Nutzer sehr häufig lokaler Zugriff ohne Passwort gewährt.
Wenn Sie den SSH-Zugriff öffnen, werden standardmäßig auch beliebige Ports weitergeleitet, wodurch alle Firewalls zwischen Looker und dem Datenbankhost umgangen werden, die den SSH-Tunnel beenden. Dieses Sicherheitsrisiko kann als inakzeptabel betrachtet werden. Diese Portweiterleitung und die Möglichkeit, sich bei Ihrem Tunnelserver anzumelden, können über den richtigen .ssh/authorized_keys-Eintrag für den öffentlichen Looker-Schlüssel gesteuert werden.
Beispielsweise kann dem Looker-SSH-Schlüssel in der Datei authorized_keys der folgende Text vorangestellt werden. HINWEIS: Dieser Text MUSS an Ihre Umgebung angepasst werden.
no-pty,no-X11-forwarding,permitopen="localhost:3306",permitopen="localhost:3307",
command="/bin/echo Login Not Permitted"
Beispiele und vollständige Details finden Sie in der Linux-Dokumentation für man ssh und man authorized_keys.
Nächste Schritte
Wenn der Tab SSH-Server auf Ihrer Instanz aktiviert ist, kehren Sie zur Seite SSH-Server hinzufügen zurück. Wählen Sie dort Test & Fingerabdruck anfordern aus, um die Verbindung zum SSH-Server zu verifizieren. Looker zeigt einen Bildschirm mit der neuen SSH-Konfiguration und Optionen zum Herunterladen oder Aufrufen des öffentlichen Schlüssels sowie den eindeutigen Fingerabdruck der SSH-Serverkonfiguration an.
Gehen Sie dann auf der Seite Verbindungseinstellungen Ihrer Datenbank so vor:
- Aktivieren Sie die Ein-/Aus-Schaltfläche SSH-Server und wählen Sie in der Drop-down-Liste die SSH-Serverkonfiguration aus.
- Geben Sie in die Felder Remote Host (Remote-Host) und Port die IP-Adresse oder den Hostnamen und die Portnummer Ihrer Datenbank ein.
Bei Datenbankverbindungen mit einem SSH-Tunnel kann kein Nutzerattribut auf die Felder Remote-Host und Port angewendet werden.
Wenn Sie Ihren SSH-Tunnel mithilfe eines Looker-Analysten konfigurieren, informieren Sie Ihren Looker-Analyst darüber, dass Sie den SSH-Tunnel testen können. Sobald sie bestätigt haben, dass der Tunnel eingerichtet ist, erhalten Sie die Portnummer für die Looker-Seite des SSH-Tunnels.
Gehen Sie dann auf der Seite Verbindungseinstellungen Ihrer Datenbank so vor:
- Geben Sie in das Feld Remote Host
localhostein. - Geben Sie in das Feld Port die Portnummer für die Looker-Seite des SSH-Tunnels ein, die Sie von Ihrem Looker-Analyst erhalten haben.
Deaktivieren Sie auf der Seite Verbindungen Ihrer Datenbank die Option SSL-Zertifikat prüfen.
SSL-Zertifikate werden beim Einrichten eines SSH-Tunnels zu Ihrer Datenbank über Looker nicht unterstützt. Stattdessen bietet der SSH-Schlüssel, den Sie in Schritt 4 hinzugefügt haben, die Handshake-Sicherheit zwischen Looker und Ihrer Datenbank.