Looker PSC Northbound Regional External L7 ALB

1. Pengantar

CATATAN:

• Looker mendukung Produsen Southbound di region mana pun
• Akses northbound ke Looker memerlukan VPC konsumen yang diizinkan ke instance PSC Looker pada saat pembuatan atau pada interval berikutnya
• Akses northbound memerlukan NEG PSC Konsumen & subnet khusus proxy yang di-deploy di region yang sama dengan instance PSC Looker.

Dalam codelab ini, Anda akan membuat Load Balancer Aplikasi Regional L7 & Backend Private Service Connect untuk mendapatkan akses northbound ke Looker. Akses northbound ke Looker memerlukan VPC Konsumen yang diizinkan ke instance PSC Looker.

Private Service Connect adalah kemampuan jaringan Google Cloud yang memungkinkan konsumen mengakses layanan terkelola secara pribadi dari dalam jaringan VPC mereka. Demikian pula, hal ini memungkinkan produsen layanan terkelola menghosting layanan ini di jaringan VPC masing-masing yang terpisah dan menawarkan koneksi pribadi kepada konsumen mereka. Misalnya, saat menggunakan Private Service Connect untuk mengakses Looker, Anda adalah konsumen layanan, dan Google adalah produsen layanan, seperti yang ditandai pada Gambar 1.

Gambar 1.

Akses southbound, yang juga dikenal sebagai PSC terbalik, memungkinkan Konsumen membuat Layanan yang Dipublikasikan sebagai Produsen untuk mengizinkan Looker mengakses endpoint di lokal, di VPC, ke layanan terkelola, dan Internet. Koneksi southbound dapat di-deploy di region mana pun, terlepas dari tempat Looker PSC di-deploy, seperti yang ditandai pada Gambar 2.

Gambar 2.

Yang akan Anda pelajari

• Persyaratan jaringan
• Memperbarui daftar yang diizinkan Looker untuk akses northbound
• Membuat backend Private Service Connect di VPC Konsumen
• Sertifikat Google vs. Sertifikat yang Ditandatangani Sendiri

Yang Anda butuhkan

• Project Google Cloud dengan izin Pemilik
• Domain Terdaftar
• Instance PSC Looker yang Ada

2. Yang akan Anda build

Anda akan membuat jaringan Konsumen yang diizinkan, looker-psc-demo, untuk men-deploy load balancer aplikasi L7 eksternal regional dan NEG backend PSC yang memerlukan sertifikat Google atau sertifikat yang ditandatangani sendiri. Dalam kedua metode tersebut, domain terdaftar yang cocok dengan domain kustom yang ditentukan di Looker diperlukan.

3. Persyaratan jaringan

Berikut adalah perincian persyaratan jaringan:

Komponen	Deskripsi
VPC (looker-psc-demo)	VPC mode kustom
Subnet NEG PSC	Digunakan untuk mengalokasikan alamat IP untuk Grup Endpoint Jaringan
Subnet Khusus Proxy	Setiap proxy load balancer diberi alamat IP internal. Paket yang dikirim dari proxy ke VM atau endpoint backend memiliki alamat IP sumber dari subnet khusus proxy.
Layanan Backend	Layanan backend bertindak sebagai jembatan antara load balancer dan resource backend Anda. Dalam tutorial ini, layanan backend dikaitkan dengan NEG PSC.

4. Topologi codelab

5. Penyiapan dan Persyaratan

Penyiapan lingkungan mandiri

1. Login ke Google Cloud Console dan buat project baru atau gunakan kembali project yang sudah ada. Jika belum memiliki akun Gmail atau Google Workspace, Anda harus membuatnya.

• Project name adalah nama tampilan untuk peserta project ini. String ini adalah string karakter yang tidak digunakan oleh Google API. Anda dapat memperbaruinya kapan saja.
• Project ID bersifat unik di semua project Google Cloud dan tidak dapat diubah (tidak dapat diubah setelah ditetapkan). Cloud Console otomatis membuat string unik; biasanya Anda tidak mementingkan kata-katanya. Di sebagian besar codelab, Anda harus merujuk Project ID-nya (umumnya diidentifikasi sebagai PROJECT_ID). Jika tidak suka dengan ID yang dibuat, Anda dapat membuat ID acak lainnya. Atau, Anda dapat mencobanya sendiri, dan lihat apakah ID tersebut tersedia. ID tidak dapat diubah setelah langkah ini dan tersedia selama durasi project.
• Sebagai informasi, ada nilai ketiga, Project Number, yang digunakan oleh beberapa API. Pelajari lebih lanjut ketiga nilai ini di dokumentasi.

Perhatian: Project ID bersifat unik secara global dan tidak dapat digunakan orang lain setelah Anda memilihnya. Anda adalah satu-satunya pengguna ID tersebut. Meskipun project sudah dihapus, ID tersebut tidak dapat digunakan lagi

Catatan: Jika menggunakan akun Gmail, Anda dapat menyetel lokasi default ke No organization. Jika Anda menggunakan akun Google Workspace, pilih lokasi yang sesuai untuk organisasi Anda.

2. Selanjutnya, Anda harus mengaktifkan penagihan di Konsol Cloud untuk menggunakan resource/API Cloud. Menjalankan operasi dalam codelab ini tidak akan memakan banyak biaya, bahkan mungkin tidak sama sekali. Guna mematikan resource agar tidak menimbulkan penagihan di luar tutorial ini, Anda dapat menghapus resource yang dibuat atau menghapus project-nya. Pengguna baru Google Cloud memenuhi syarat untuk mengikuti program Uji Coba Gratis senilai $300 USD.

Mulai Cloud Shell

Meskipun Google Cloud dapat dioperasikan dari jarak jauh menggunakan laptop Anda, dalam codelab ini, Anda akan menggunakan Google Cloud Shell, lingkungan command line yang berjalan di Cloud.

Dari Google Cloud Console, klik ikon Cloud Shell di toolbar kanan atas:

Hanya perlu waktu beberapa saat untuk penyediaan dan terhubung ke lingkungan. Jika sudah selesai, Anda akan melihat tampilan seperti ini:

Mesin virtual ini berisi semua alat pengembangan yang Anda perlukan. Layanan ini menawarkan direktori beranda tetap sebesar 5 GB dan beroperasi di Google Cloud, sehingga sangat meningkatkan performa dan autentikasi jaringan. Semua pekerjaan Anda dalam codelab ini dapat dilakukan di browser. Anda tidak perlu menginstal apa pun.

6. Sebelum memulai

Mengaktifkan API

Di dalam Cloud Shell, pastikan project ID Anda sudah disiapkan:

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=[YOUR-REGION]
echo $project
echo $region

Aktifkan semua layanan yang diperlukan:

gcloud services enable compute.googleapis.com

7. Jaringan konsumen

Di bagian berikut, Anda akan membuat jaringan konsumen yang akan diperbarui di daftar yang diizinkan VPC PSC Looker.

Jaringan VPC

Di dalam Cloud Shell, lakukan hal berikut:

gcloud compute networks create looker-psc-demo --subnet-mode custom

CATATAN: Akses northbound memerlukan NEG PSC konsumen & subnet khusus proxy yang di-deploy di region yang sama dengan instance PSC Looker.

Membuat Subnet

Di dalam Cloud Shell, buat subnet grup endpoint jaringan konsumen:

gcloud compute networks subnets create consumer-psc-neg-subnet --network looker-psc-demo --range 172.16.30.0/28 --region $region --enable-private-ip-google-access

Di dalam Cloud Shell, buat subnet khusus proxy regional produsen:

gcloud compute networks subnets create $region-proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=$region \
  --network=looker-psc-demo \
  --range=10.10.10.0/24

Mencadangkan alamat IP load balancer

• Alamat IP eksternal yang dicadangkan akan digunakan saat membuat load balancer aplikasi eksternal regional.
• Anda dapat memperbarui subdomain DNS publik dengan alamat IP statis yang dihasilkan sebagai data A. Subdomain yang sama akan digunakan nanti saat membuat domain kustom Looker.

Di dalam Cloud Shell, cadangkan alamat IP eksternal untuk load balancer:

gcloud compute addresses create regional-alb-static-ip  \
   --region=$region \
   --network-tier=STANDARD

Di dalam Cloud Shell, lihat Alamat IP yang dicadangkan:

gcloud compute addresses describe regional-alb-static-ip --region=us-central1 | grep -i address:

Contoh output:

user@cloudshell$ gcloud compute addresses describe regional-alb-static-ip --region=us-central1 | grep -i address: 
address: 35.208.202.244

8. Membuat Domain Kustom

CATATAN: Instance PSC Looker Anda harus diaktifkan sebelum melanjutkan.

Domain kustom Looker harus cocok dengan subdomain DNS publik Anda, misalnya looker.cosmopup.com adalah data DNS publik dan domain kustom Looker Anda.

Langkah-langkah berikut diperlukan untuk membuat domain kustom:

• Membuat domain kustom
• Memperbarui kredensial OAuth

Contoh domain kustom

Domain kustom looker.cosmopup.com ada sebagai subdomain DNS publik yang terkait dengan data A dari alamat IP statis (regional-alb-static-ip) yang ditentukan sebelumnya. Lihat screenshot yang diambil dari terminal yang memvalidasi pencarian DNS.

Selanjutnya, buat domain pelanggan menggunakan subdomain looker.cosmopup.com

Contoh OAuth

Berikut adalah contoh kredensial OAuth untuk asal Otorisasi dan callback untuk subdomain looker.cosmopup.com.

9. Sertifikat

Anda dapat membuat sertifikat Compute Engine atau Certificate Manager. Gunakan salah satu metode berikut untuk membuat sertifikat menggunakan Pengelola Sertifikat:

• Sertifikat yang dikelola sendiri secara regional. Untuk informasi tentang cara membuat dan menggunakan sertifikat yang dikelola sendiri secara regional, lihat men-deploy sertifikat yang dikelola sendiri secara regional. Peta sertifikat tidak didukung.
• Sertifikat regional yang dikelola Google. Peta sertifikat tidak didukung. Jenis sertifikat regional yang dikelola Google berikut didukung oleh Pengelola Sertifikat:
• Sertifikat regional yang dikelola Google dengan otorisasi DNS per project. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google secara regional.
• Sertifikat (pribadi) regional yang dikelola Google dengan Certificate Authority Service. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google regional dengan Layanan CA.

10. Daftar yang diizinkan VPC Looker

Melihat VPC yang Diizinkan

Di bagian berikut, Anda akan menggunakan UI Cloud Console untuk melihat daftar VPC yang Diizinkan Looker.

Di Cloud Console, buka:

Looker → Instance Looker → Detail

Contoh di bawah, tidak ada entri dalam daftar VPC yang Diizinkan:

Memperbarui VPC yang Diizinkan

Perbarui instance Looker untuk mendukung akses northbound dengan menambahkan looker-psc-demo sebagai VPC yang Diizinkan.

Di Cloud Console, buka:

Looker → Instance Looker → Edit

Koneksi → VPC yang Diizinkan

Pastikan untuk memilih project tempat looker-psc-demo di-deploy, diikuti dengan VPC looker-psc-demo, lalu Lanjutkan.

Memvalidasi VPC yang Diizinkan

Melihat daftar VPC yang Diizinkan yang diperbarui

Di Cloud Console, buka:

Looker → Instance Looker → Detail

11. Membuat Backend PSC

PSC Looker sebagai Produsen Layanan menghasilkan URI Lampiran Layanan yang digunakan oleh Konsumen Layanan untuk men-deploy endpoint dan backend guna mendapatkan akses northbound ke Looker. Pada langkah berikut, Anda akan mengidentifikasi URI Lampiran Layanan PSC Looker, diikuti dengan membuat backend Grup Endpoint Jaringan (NEG) Private Service Connect di VPC Konsumen.

Mengidentifikasi Lampiran Layanan PSC Looker

Di Cloud Console, buka dan salin URI Lampiran Layanan:

Looker → Instance Looker → Detail

Membuat grup endpoint jaringan PSC

Di dalam Cloud Shell, lakukan tindakan berikut untuk memastikan psc-target-service diupdate:

gcloud compute network-endpoint-groups create looker-northbound-neg \
    --network-endpoint-type=private-service-connect \
    --psc-target-service=[UPDATE WITH YOU LOOKER SERVICE ATTACHMENT URI] \
    --region=$region \
    --network=looker-psc-demo \
    --subnet=consumer-psc-neg-subnet

Contoh:

gcloud compute network-endpoint-groups create looker-northbound-neg \
    --network-endpoint-type=private-service-connect \
 --psc-target-service=projects/t7ec792caf2a609d1-tp/regions/us-central1/serviceAttachments/looker-psc-f51982e2-ac0d-48b1-91bb-88656971c183 \
    --region=$region \
    --network=looker-psc-demo \
    --subnet=consumer-psc-neg-subnet

Memvalidasi pembuatan grup akhir jaringan PSC

Di dalam Cloud Shell, lakukan hal berikut, sehingga pscConnectionStatus diterima:

gcloud compute network-endpoint-groups describe looker-northbound-neg --region=$region | grep -i pscConnectionStatus:

Contoh:

user@cloudshell$ gcloud compute network-endpoint-groups describe looker-northbound-neg --region=$region | grep -i pscConnectionStatus: 
  pscConnectionStatus: ACCEPTED

Membuat load balancer aplikasi regional

Pada langkah-langkah berikut, Anda akan menggunakan Cloud Console untuk membuat load balancer aplikasi eksternal regional sekaligus mengaitkan sertifikat yang dihasilkan ke konfigurasi frontend.

Di Cloud Console, buka:

Layanan Jaringan → Load Balancing → Buat Load Balancer

Pilih opsi berikut:

Membuat konfigurasi frontend

Pilih opsi berikut dan sesuaikan lingkungan berdasarkan deployment Anda:

• Region yang digunakan dalam men-deploy infrastruktur jaringan
• Subnet Khusus Proxy diisi secara otomatis berdasarkan region Anda
• IP statis yang ditentukan sebelumnya tersedia berdasarkan pilihan wilayah Anda

Memilih Sertifikat akan menampilkan opsi untuk menggunakan sertifikat yang ada atau baru:

Upload Sertifikat dan Kunci Pribadi Anda, lalu pilih BUAT:

Pilih SELESAI untuk menyelesaikan Konfigurasi Frontend:

Membuat konfigurasi backend

Pilih opsi berikut:

Membuat aturan perutean

Pilih opsi berikut (opsi default):

Tinjau dan selesaikan

Verifikasi konfigurasi, lalu pilih CREATE:

Load balancer kini diaktifkan:

Mengakses UI Looker

Setelah load balancer beroperasi, Anda dapat mengakses domain Looker kustom melalui browser web. Penting untuk diperhatikan bahwa Anda mungkin mengalami peringatan bergantung pada jenis sertifikat yang Anda gunakan, misalnya sertifikat tidak tepercaya vs. tepercaya.

Berikut adalah contoh (sertifikat tidak tepercaya) untuk mengakses domain kustom Looker looker.cosmopup.com yang mendapatkan akses northbound ke UI Looker:

12. Pembersihan

Menghapus komponen lab dari satu terminal Cloud Shell

gcloud compute forwarding-rules delete regional-external-alb-fr --region=$region -q

gcloud compute target-https-proxies delete regional-external-alb-target-proxy --region=$region -q

gcloud compute url-maps delete regional-external-alb --region=$region -q

gcloud compute backend-services delete looker-psc-neg-backend-svc --region=$region -q

gcloud compute addresses delete regional-alb-static-ip --region=$region -q

gcloud compute network-endpoint-groups delete looker-northbound-neg --region=$region -q

gcloud compute networks delete looker-psc-demo -q

13. Selamat

Selamat, Anda telah berhasil mengonfigurasi dan memvalidasi konektivitas northbound ke Looker menggunakan domain pelanggan dan load balancer aplikasi eksternal regional.

Anda telah membuat infrastruktur konsumen, mempelajari cara membuat NEG PSC, domain kustom, dan mengetahui berbagai opsi sertifikat. Ada begitu banyak hal menarik untuk membantu Anda memulai Looker.

Cosmopup menganggap codelab itu luar biasa.

Apa selanjutnya?

Lihat beberapa codelab ini...

• Menggunakan Private Service Connect untuk memublikasikan dan menggunakan layanan
• Terhubung ke layanan lokal melalui Jaringan Hybrid menggunakan Private Service Connect dan load balancer Proxy TCP internal
• Akses ke semua codelab Private Service Connect yang dipublikasikan

Bacaan lebih lanjut & Video

• Ringkasan Private Service Connect

Dokumen referensi

• Menggunakan sertifikat SSL yang dikelola sendiri | Load Balancing | Google Cloud
• Men-deploy sertifikat regional yang dikelola Google
• Membuat backend Private Service Connect | VPC | Google Cloud
• Membuat backend Private Service Connect | VPC | Google Cloud
• Membuat instance Private Service Connect Looker (Google Cloud core)
• Cara memublikasikan layanan menggunakan Private Service Connect