创建公共安全连接 Looker (Google Cloud Core) 实例

本页面介绍了如何预配配置为公共安全连接的 Looker (Google Cloud Core) 生产或非生产实例。

如果您想创建专用连接实例，则必须在创建实例时分配配置。如需了解如何创建专用连接实例，请按照创建 Looker (Google Cloud Core) Private Service Connect 实例或创建专用连接（专用服务访问通道）Looker (Google Cloud Core) 实例文档页面上的步骤操作，而不是按照以下步骤操作。

准备工作

1. 与销售团队合作，确保您的年度合同已完成，并且您的项目中已分配配额。
2. 确保您的 Google Cloud 项目已启用结算功能。
3. 在 Google Cloud 控制台的“项目选择器”页面上，创建 Google Cloud 项目或前往现有项目。

   前往“项目选择器”页面

4. 在 Google Cloud 控制台中为您的项目启用 Looker API。启用 API 时，您可能需要刷新控制台页面，以确认该 API 已启用。

   启用 API

   注意：在实例创建后停用 Looker API 会影响 Looker (Google Cloud Core) 功能。例如，停用该 API 将停用创建实例备份的功能。
5. 如果您想使用 VPC Service Controls，则必须创建专用连接（专用服务访问通道）实例，而不是公共安全连接实例。

所需的角色

如需获得创建 Looker (Google Cloud Core) 实例所需的权限，请让您的管理员为您授予实例所在项目的 Looker Admin (roles/looker.admin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

注意： IAM 基本角色也可能包含创建 Looker (Google Cloud Core) 实例所需的权限。您不应在生产环境中授予基本角色，但可以在开发或测试环境中授予这些角色。

您可能还需要其他 IAM 角色才能设置员工身份联合或客户管理的加密密钥 (CMEK)。如需了解详情，请参阅使用员工身份联合进行 Looker (Google Cloud Core) 用户身份验证或为 Looker (Google Cloud Core) 启用 CMEK 文档页面。

创建 Looker (Google Cloud Core) 实例

Looker (Google Cloud Core) 生成新实例大约需要 60 分钟。

重要提示： 如果您想将客户管理的加密密钥 (CMEK) 与您要创建的 Looker (Google Cloud Core) 实例搭配使用，请参阅为 Looker (Google Cloud Core) 启用 CMEK 文档页面，了解在创建实例之前需要执行的其他设置。

如需创建 Looker (Google Cloud Core) 实例，请选择以下选项之一：

控制台

1. 在 Google Cloud 控制台中，从您的项目前往 Looker (Google Cloud Core) 产品页面。如果您已在此项目中创建 Looker (Google Cloud Core) 实例，系统会打开实例页面。

   前往 Looker (Google Cloud Core)

2. 点击创建实例。
3. 在实例名称部分中，为 Looker (Google Cloud Core) 实例提供名称。实例名称不与 Looker (Google Cloud Core) 实例创建后的网址关联。实例名称在实例创建后便无法更改。
4. 在区域部分中，从下拉菜单中选择适当的选项来托管 Looker (Google Cloud Core) 实例。选择与订阅合同中的区域匹配的区域，这是分配项目配额的位置。Looker (Google Cloud Core) 位置文档页面中列出了可用区域。实例一经创建，便无法更改其区域。

5. 在版本部分，根据组织的需求设置实例版本。版本类型会影响实例的部分可用功能。请务必选择年度合同中列出的版本类型，并确保您已为该版本类型分配配额。以下是版本选项：

   • 标准版：Looker (Google Cloud Core) 平台，适合用户少于 50 人的小型组织或团队
   • 企业版：Looker (Google Cloud Core) 平台，具有增强型安全功能，可应对各种内部 BI 和分析应用场景
   • 嵌入版：Looker (Google Cloud Core) 平台，用于大规模部署和维护可靠的外部分析和自定义应用
   • 非生产版本：如果您需要预演和测试环境，请选择其中一个非生产版本。如需了解详情，请参阅非生产实例文档。
   • 试用版：试用版的功能支持与其对应的正式版相同，但试用版的有效期为 90 天。

   实例创建完毕后，版本便无法更改。如果您想更改版本，可以使用导入和导出功能，将 Looker (Google Cloud Core) 实例数据移至配置了其他版本的新实例。

   提示： 如果您的项目没有配额，您将无法选择版本类型。请与销售团队联系，为您的项目分配配额。如需获取更多问题排查帮助，请参阅排查 Looker (Google Cloud Core) 实例创建失败问题文档页面。

6. 在自定义实例部分中，点击显示配置选项，以显示您可以为实例自定义的一组其他设置。

7. 在连接部分中，选择使用公开安全连接。公共安全连接设置会分配一个可通过互联网访问的外部 IP 地址，适用于所有版本类型。

   注意： 如果您要创建企业版和嵌入版，还可以使用专用连接（使用 Private Service Connect [PSC] URI 和 PSC 端点进行出站连接）或混合连接（具有公开网址并使用 PSC 端点进行出站连接）。如果您想使用专用连接或混合连接，请按照创建 Looker (Google Cloud Core) Private Service Connect 文档页面上的步骤操作。
8. 在身份验证部分中，选择实例的主要身份验证方法。所有 Looker (Google Cloud Core) 实例都需要主要身份验证方法。以下主要身份验证选项可用：
   • Google OAuth：如果您的用户使用 Google 账号（Google Workspace 或 Cloud Identity）进行身份验证，请使用此方法。此选项为默认选项。
   • 员工身份联合 (SAML/OIDC)：如果您的用户使用外部身份提供方（例如 Okta、Microsoft Entra ID 或 PingIdentity）进行身份验证，并且您希望通过 IAM 访问权限控制实现单点登录 (SSO)，而无需管理单个 Google 账号，请使用此方法。
   注意：Looker (Google Cloud Core) 与员工身份联合之间的集成功能目前处于预览版阶段。

9. 在发布渠道部分中，选择最符合您需求的发布渠道：

   • 快速：最早体验新功能。建议为非生产实例选择此默认选项。
   • 常规：稳定性适中。建议为生产实例选择此选项。
   • 无渠道：无发布渠道。在预览期间，默认设置为“无渠道”。
   注意： 发布渠道功能目前处于预览版阶段。

10. 如果您要创建企业版或嵌入版实例，则会看到加密部分。在加密部分，您可以选择要在实例上使用的加密类型。您可以使用以下加密选项：

    • Google-managed encryption key：此选项为默认选项，无需任何其他配置。
    • 客户管理的加密密钥 (CMEK)：如需详细了解 CMEK 以及如何在实例创建期间配置 CMEK，请参阅将客户管理的加密密钥与 Looker (Google Cloud Core)搭配使用文档页面。实例创建后，加密类型将无法更改。
    • 启用经过 FIPS 140-3 1 级验证的加密：如需详细了解 Looker (Google Cloud Core) 对 FIPS 140-3 1 级的支持，请参阅在 Looker (Google Cloud Core) 实例上启用 FIPS 140-3 1 级合规性文档页面。

11. 在维护窗口部分，您可以选择指定 Looker (Google Cloud Core) 安排维护的星期几和小时。

12. 在拒绝维护期部分，您可以选择指定 Looker (Google Cloud Core)不安排维护的时间段。如果您还要将实例注册到快速发布渠道，或将加速安全补丁 (ASP) 配置标志与常规发布渠道搭配使用，则无法设置拒绝维护期。

13. 在 Gemini in Looker 部分中，您可以选择为 Looker (Google Cloud Core) 实例启用 Gemini in Looker 功能。如需启用 Gemini in Looker，请选择 Gemini，然后选择可信测试员功能。启用可信测试员功能后，用户可以使用 Gemini in Looker 的可信测试员功能。您可以通过 Gemini in Looker 预览版表单按用户申请使用非公开的可信测试员功能。您必须启用此设置，才能在正式发布前的预览期间使用 Gemini。（可选）选择可信测试员数据使用。启用此设置后，即表示您同意 Google 按照 Gemini for Google Cloud 可信测试员计划条款中所述的方式使用您的数据。如需为 Looker (Google Cloud Core)实例停用 Gemini，请清除 Gemini 设置。

14. 在 Knowledge Catalog 集成部分，如果您不希望 Looker (Google Cloud Core) 与 Knowledge Catalog 集成，可以选择选中选择停用 Knowledge Catalog 集成复选框。Looker (Google Cloud Core) 和 Knowledge Catalog 默认集成。

15. 点击创建。

gcloud

1. 如果您使用的是 CMEK，请创建 Looker 服务账号，并先按照说明设置 CMEK。

2. 使用 gcloud looker instances create 命令创建实例：

   gcloud looker instances create INSTANCE_NAME \
   --project=PROJECT_ID \
   --region=REGION \
   --edition=EDITION \
   [--release-channel=RELEASE_CHANNEL]\
   --public-ip-enabled \
   --async
   

   替换以下内容：

   • INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称；它不与实例网址关联。
   • PROJECT_ID：您要在其中创建 Looker (Google Cloud Core) 实例的 Google Cloud 项目的名称。
   • REGION：Looker (Google Cloud Core) 实例所在的区域。选择与订阅合同中的区域一致的区域。Looker (Google Cloud Core) 位置文档页面中列出了可用区域。实例创建后，您便无法更改区域。
   • EDITION：实例的版本、环境类型（生产或非生产）以及是否为试用版。其可用值为 core-standard-annual、core-enterprise-annual、core-embed-annual、nonprod-core-standard-annual、nonprod-core-enterprise-annual、nonprod-core-embed-annual、core-trial-standard、core-trial-enterprise 和 core-trial-embed。实例创建完毕后，版本便无法更改。如果您想更改版本，可以使用导入和导出功能，将 Looker (Google Cloud Core) 实例数据迁移到配置了其他版本的新实例中。
   • RELEASE_CHANNEL：实例的发布渠道。可用值为 rapid、regular 和 no-channel。预览期间的默认值为 no-channel。如果您未在 create 命令中添加此标志，系统将使用默认渠道创建实例。此功能处于预览阶段。

   此外，还应包含以下标志：

   • --public-ip-enabled 用于启用公共安全连接。
   • 建议您在创建 Looker (Google Cloud Core) 实例时使用 --async。

3. 您可以添加更多参数来应用其他实例设置：

   [--maintenance-window-day=MAINTENANCE_WINDOW_DAY
         --maintenance-window-time=MAINTENANCE_WINDOW_TIME]
   [--deny-maintenance-period-end-date=DENY_MAINTENANCE_PERIOD_END_DATE
         --deny-maintenance-period-start-date=DENY_MAINTENANCE_PERIOD_START_DATE
         --deny-maintenance-period-time=DENY_MAINTENANCE_PERIOD_TIME]
   [--kms-key=KMS_KEY_ID]
   [--accelerated-security-patch-enabled]
   [--no-accelerated-security-patch-enabled]
   [--fips-enabled]
   [--catalog-integration-enabled]
   [--no-catalog-integration-enabled]
   

   替换以下内容：

   • MAINTENANCE_WINDOW_DAY：必须是以下值之一：friday、monday、saturday、sunday、thursday、tuesday、wednesday。如需详细了解维护窗口设置，请参阅管理 Looker (Google Cloud Core) 的维护政策文档页面。
   • MAINTENANCE_WINDOW_TIME 和 DENY_MAINTENANCE_PERIOD_TIME：必须采用 24 小时制的世界协调时间 (UTC)（例如 13:00、17:45）。
   • DENY_MAINTENANCE_PERIOD_START_DATE 和 DENY_MAINTENANCE_PERIOD_END_DATE：必须采用 YYYY-MM-DD 格式。如果您还要将实例注册到快速发布渠道，或将加速安全补丁 (ASP) 配置标志与常规发布渠道搭配使用，则无法设置拒绝维护期。
   • KMS_KEY_ID：必须是设置客户管理的加密密钥 (CMEK) 时创建的密钥。

   以下标志可启用其他设置：

   • --accelerated-security-patch-enabled 和 --no-accelerated-security-patch-enabled：如果您的实例位于 regular 渠道，并且您希望每两周接收或停用一次安全补丁，请添加其中一个标志。此功能处于预览版阶段。
   • --fips-enabled：启用 FIPS 140-3 级别 1 合规性。
   • 将 --catalog-integration-enabled 标志替换为 --no-catalog-integration-enabled 标志，以停用 Looker (Google Cloud Core) 与 Knowledge Catalog 集成。

提示： 您必须拥有相应版本类型的配额才能创建实例。如果您没有配额，请与销售团队联系，为您的项目分配配额。如需获取更多问题排查帮助，请参阅排查 Looker (Google Cloud Core) 实例创建失败问题文档页面。

Terraform

使用以下 Terraform 资源预配具有基本功能的标准版 Looker (Google Cloud Core) 实例：

# Creates a Standard edition Looker (Google Cloud core) instance with basic functionality enabled.
resource "google_looker_instance" "main" {
  name             = "my-instance"
  platform_edition = "LOOKER_CORE_STANDARD"
  region           = "us-central1"
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

使用以下 Terraform 资源预配应用了其他设置的标准版 Looker (Google Cloud Core) 实例：

# Creates a Standard edition Looker (Google Cloud core) instance with full functionality enabled.

resource "google_looker_instance" "main" {
  name              = "my-instance"
  platform_edition  = "LOOKER_CORE_STANDARD"
  region            = "us-central1"
  public_ip_enabled = true
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  // User metadata config is only available when platform edition is LOOKER_CORE_STANDARD.
  user_metadata {
    additional_developer_user_count = 10
    additional_standard_user_count  = 10
    additional_viewer_user_count    = 10
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
}

重要提示： 如需运行以下 Terraform 资源，您必须在要创建 Looker (Google Cloud Core) 实例的项目中拥有 Cloud KMS Admin (roles/cloudkms.admin) IAM 角色。如需详细了解加密密钥，请参阅为 Looker (Google Cloud Core) 启用 CMEK 文档页面。

使用以下 Terraform 资源预配具有专用网络连接的企业版 Looker (Google Cloud Core) 实例：

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

注意： 如果您创建专用连接实例，实例页面上不会显示网址。如需访问该实例，您需要创建自定义网域。

如需了解如何应用或移除 Terraform 配置，请参阅基本 Terraform 命令。

实例创建过程一旦启动，便无法暂停或终止。Terraform 资源预配成功后，终端会输出以下消息：

Creation complete after XmXs [id=projects/PROJECT-ID/locations/REGION/instances/my-instance-randomly-generated-name]

Apply complete! Resources: X added, X changed, X destroyed.

实例创建期间，您可以在控制台中的实例页面上查看其状态。您还可以通过点击 Google Cloud 控制台菜单中的通知图标来查看实例创建活动。

注意： 如果您的 gcp.restrictTLSCipherSuites 组织政策限制条件不包含现代 SSL 政策配置文件中的任何加密套件，Looker 将返回错误，并且实例创建将失败。请更新政策以解决错误并创建实例。如需了解详情，请参阅限制 TLS 加密套件文档页面。

创建公开安全连接实例后，该实例的公开网址将显示在实例页面的实例网址列中。

实例创建完成后，您可以前往实例网址（显示在实例页面上）并使用 Google 账号登录，以查看该实例。

您可以访问实例详情页面并点击修改，来修改实例设置，包括根据需要添加手动 OAuth 凭据。

排查实例创建问题

如需问题排查方面的帮助，请参阅排查 Looker (Google Cloud Core) 实例创建失败问题文档页面。

后续步骤

• 为具有公共安全连接的 Looker (Google Cloud Core) 实例设置和访问自定义网域
• 将 Looker (Google Cloud Core) 连接到您的数据库
• 为用户准备 Looker (Google Cloud Core) 实例
• 在 Looker (Google Cloud Core) 中管理用户