Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Looker PSC サウスバウンド HTTPS インターネット NEG

1. はじめに

この Codelab では、内部 TCP プロキシロードバランサと、サービスコンシューマーとして Looker PSC から呼び出される内部インターネットネットワークエンドポイントグループ（NEG）を使用して、GitHub へのサウスバウンド HTTPS 接続を行います。

Private Service Connect は Google Cloud ネットワーキング機能の一つで、コンシューマーが VPC ネットワーク内からマネージドサービスにプライベート接続でアクセスできるようにします。同様に、マネージドサービスプロデューサーがこれらのサービスを個別の VPC ネットワークにホストし、コンシューマーとのプライベート接続を提供できるようにします。たとえば、Private Service Connect を使用して Looker にアクセスする場合、図 1 に示すように、ユーザーがサービスコンシューマーで、Google がサービスプロデューサーです。

図 1.

サウスバウンドアクセス（リバース PSC とも呼ばれます）を使用すると、コンシューマーは公開サービスをプロデューサーとして作成し、Looker がオンプレミス、VPC、マネージドサービス、インターネットのエンドポイントにアクセスできるようにします。図 2 に示すように、サウスバウンド接続は、Looker PSC がデプロイされている場所に関係なく、任意のリージョンにデプロイできます。

図 2.

学習内容

ネットワークの要件
Private Service Connect プロデューサーサービスを作成する
Looker で Private Service Connect エンドポイントを作成する
接続のテストを使用して Looker から GitHub への接続を確立する

必要なもの

オーナー権限を持つ Google Cloud プロジェクト
GitHub アカウントとリポジトリ
GitHub 個人アクセストークン（クラシック）
既存の Looker PSC インスタンス

2. 構築するもの

プロデューサーネットワーク looker-psc-demo を確立して、内部 TCP プロキシロードバランサとインターネット NEG を Private Service Connect（PSC）を介してサービスとしてデプロイします。公開したら、次の操作を行ってプロデューサーサービスへのアクセスを検証します。

プロデューサーサービスアタッチメントに関連付けられた PSC エンドポイントを Looker に作成する
Looker コンソールを使用して新しいプロジェクトを作成し、GitHub.com への HTTPS 接続をテストする

3. ネットワークの要件

プロデューサーネットワークのネットワーク要件の内訳は次のとおりです。この Codelab のコンシューマーは Looker PSC インスタンスです。

コンポーネント	説明
VPC（looker-psc-demo）	カスタムモード VPC
PSC NAT サブネット	コンシューマー VPC ネットワークからのパケットは送信元 NAT（SNAT）を使用して変換され、元の送信元 IP アドレスが、プロデューサーの VPC ネットワーク内にある NAT サブネットからの送信元 IP アドレスに変換されます。
PSC 転送ルールサブネット	リージョン内部 TCP プロキシロードバランサの IP アドレスを割り当てるために使用されます。
PSC NEG サブネット	ネットワークエンドポイントグループの IP アドレスを割り当てるために使用されます。
プロキシ専用サブネット	各ロードバランサのプロキシには内部 IP アドレスが割り当てられます。プロキシからバックエンド VM またはエンドポイントに送信されるパケットには、プロキシ専用サブネットからの送信元 IP アドレスが含まれています。
インターネット NEG	ロードバランサの外部バックエンドを定義するために使用されるリソース。エンドポイントには、Cloud VPN または Cloud Interconnect 経由以外でも接続できる必要があります。
バックエンドサービス	バックエンドサービスは、ロードバランサとバックエンドリソースの間のブリッジとして機能します。このチュートリアルでは、バックエンドサービスはインターネット NEG に関連付けられています。
Cloud Router	Cloud NAT は、コントロールプレーン機能に Cloud Router を使用しますが、BGP セッションの管理には使用しません。
Cloud NAT	リージョンインターネット NEG は、インターネットの下り（外向き）に Cloud NAT を利用します。

4. Codelab のトポロジ

5. 設定と要件

セルフペース型の環境設定

Google Cloud Console にログインして、プロジェクトを新規作成するか、既存のプロジェクトを再利用します。Gmail アカウントも Google Workspace アカウントもまだお持ちでない場合は、アカウントを作成してください。

プロジェクト名は、このプロジェクトの参加者に表示される名称です。Google API では使用されない文字列です。いつでも更新できます。
プロジェクト ID は、すべての Google Cloud プロジェクトにおいて一意でなければならず、不変です（設定後は変更できません）。Cloud コンソールでは一意の文字列が自動生成されます。通常は、この内容を意識する必要はありません。ほとんどの Codelab では、プロジェクト ID（通常は PROJECT_ID と識別されます）を参照する必要があります。生成された ID が好みではない場合は、ランダムに別の ID を生成できます。または、ご自身で試して、利用可能かどうかを確認することもできます。このステップ以降は変更できず、プロジェクトを通して同じ ID になります。
なお、3 つ目の値として、一部の API が使用するプロジェクト番号があります。これら 3 つの値について詳しくは、こちらのドキュメントをご覧ください。

次に、Cloud のリソースや API を使用するために、Cloud コンソールで課金を有効にする必要があります。この Codelab の操作をすべて行って、費用が生じたとしても、少額です。このチュートリアルの終了後に請求が発生しないようにリソースをシャットダウンするには、作成したリソースを削除するか、プロジェクトを削除します。Google Cloud の新規ユーザーは、300 米ドル分の無料トライアルプログラムをご利用いただけます。

Cloud Shell を起動する

Google Cloud はノートパソコンからリモートで操作できますが、この Codelab では、Google Cloud Shell（Cloud 上で動作するコマンドライン環境）を使用します。

Google Cloud Console で、右上のツールバーにある Cloud Shell アイコンをクリックします。

プロビジョニングと環境への接続にはそれほど時間はかかりません。完了すると、次のように表示されます。

この仮想マシンには、必要な開発ツールがすべて用意されています。永続的なホームディレクトリが 5 GB 用意されており、Google Cloud で稼働します。そのため、ネットワークのパフォーマンスと認証機能が大幅に向上しています。この Codelab での作業はすべて、ブラウザ内から実行できます。インストールは不要です。

6. 始める前に

API を有効にする

Cloud Shell で、プロジェクト ID が設定されていることを確認します。

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=[YOUR-REGION]
echo $project
echo $region

必要なサービスをすべて有効にします。

gcloud services enable compute.googleapis.com

7. プロデューサー VPC ネットワークを作成する

VPC ネットワーク

Cloud Shell で、次の操作を行います。

gcloud compute networks create looker-psc-demo --subnet-mode custom

サブネットを作成する

PSC サブネットは、ネットワークアドレス変換を目的として PSC サービスアタッチメントに関連付けられます。

Cloud Shell で、PSC NAT サブネットを作成します。

gcloud compute networks subnets create producer-psc-nat-subnet --network looker-psc-demo --range 172.16.10.0/28 --region $region --purpose=PRIVATE_SERVICE_CONNECT

Cloud Shell で、プロデューサー転送ルールサブネットを作成します。

gcloud compute networks subnets create producer-psc-fr-subnet --network looker-psc-demo --range 172.16.20.0/28 --region $region --enable-private-ip-google-access

Cloud Shell で、プロデューサーリージョンプロキシ専用サブネットを作成します。

gcloud compute networks subnets create $region-proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=$region \
  --network=looker-psc-demo \
  --range=10.10.10.0/24

Public NAT ゲートウェイを作成する

NAT ゲートウェイは、リージョン内部 TCP プロキシロードバランサによって、構成オプション –endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB を使用してインターネットの下り（外向き）に使用されます。そのため、同じ NATGW は GCE/GKE インターネットの下り（外向き）をサポートしません。GCE/GKE インターネットの下り（外向き）用に、–endpoint-types=ENDPOINT_TYPE_VM を使用して追加の NAT GW をデプロイします。

Cloud Shell で、Cloud Router を作成します。

gcloud compute routers create looker-psc-demo-cloud-router --network looker-psc-demo --region $region

Cloud Shell で、TCP プロキシロードバランサのインターネットの下り（外向き）を有効にする Cloud NAT ゲートウェイを作成します。

gcloud compute routers nats create looker-psc-demo-natgw \
  --router=looker-psc-demo-cloud-router \
  --endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB \
  --nat-custom-subnet-ip-ranges=$region-proxy-only-subnet \
  --auto-allocate-nat-external-ips \
  --region=$region

ロードバランサの IP アドレスを予約する

Cloud Shell で、ロードバランサの内部 IP アドレスを予約します。

gcloud compute addresses create internet-neg-lb-ip \
  --region=$region \
  --subnet=producer-psc-fr-subnet

Cloud Shell で、予約済みの IP アドレスを表示します。

gcloud compute addresses describe internet-neg-lb-ip \
  --region=$region | grep -i address:

出力例:

user@cloudshell$ gcloud compute addresses describe internet-neg-lb-ip   --region=$region | grep -i address:
address: 172.16.20.2

インターネット NEG を設定する

インターネット NEG を作成し、–network-endpoint-type を internet-fqdn-port（外部バックエンドに到達可能なホスト名とポート）に設定します。

Cloud Shell で、github.com に使用するインターネット NEG を作成します。

gcloud compute network-endpoint-groups create github-internet-neg \
    --network-endpoint-type=INTERNET_FQDN_PORT \
    --network=looker-psc-demo \
    --region=$region

Cloud Shell で、インターネット NEG github-internet-neg を FQDN github.com とポート 443 で更新します。

gcloud compute network-endpoint-groups update github-internet-neg \
    --add-endpoint="fqdn=github.com,port=443" \
    --region=$region

ネットワークファイアウォールポリシーとファイアウォールルールを作成する

Cloud Shell で、次の操作を行います。

gcloud compute network-firewall-policies create looker-psc-demo-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy looker-psc-demo-policy --network looker-psc-demo --name looker-psc-demo --global-firewall-policy

次のファイアウォールルールでは、PSC NAT サブネット範囲からネットワーク内のすべてのインスタンスへのトラフィックが許可されます。

Cloud Shell で、次の操作を行います。

gcloud compute network-firewall-policies rules create 2001 --action ALLOW --firewall-policy looker-psc-demo-policy --description "allow traffic from PSC NAT subnet" --direction INGRESS --src-ip-ranges 172.16.10.0/28 --global-firewall-policy --layer4-configs=tcp

8. プロデューサーサービスを作成する

ロードバランサコンポーネントを作成する

Cloud Shell で、次の操作を行います。

gcloud compute backend-services create producer-backend-svc  --protocol=tcp --region=$region --load-balancing-scheme=INTERNAL_MANAGED

gcloud compute backend-services add-backend producer-backend-svc --network-endpoint-group=github-internet-neg --network-endpoint-group-region=$region --region=$region

Cloud Shell で、リクエストをバックエンドサービスに転送するターゲット TCP プロキシを作成します。

gcloud compute target-tcp-proxies create producer-lb-tcp-proxy \
      --backend-service=producer-backend-svc  \
      --region=$region

次の構文で、転送ルール（内部 TCP プロキシロードバランサ）を作成します。

Cloud Shell で、次の操作を行います。

gcloud compute forwarding-rules create producer-github-fr \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network-tier=PREMIUM \
     --network=looker-psc-demo \
     --subnet=producer-psc-fr-subnet \
     --address=internet-neg-lb-ip \
     --target-tcp-proxy=producer-lb-tcp-proxy \
     --target-tcp-proxy-region=$region \
     --region=$region \
     --ports=443

サービスアタッチメントを作成する

Cloud Shell で、サービスアタッチメント github-svc-attachment-https を作成します。

gcloud compute service-attachments create github-svc-attachment-https --region=$region --producer-forwarding-rule=producer-github-fr --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=producer-psc-nat-subnet

次に、projects で始まる selfLink URI にリストされているサービスアタッチメントを取得してメモし、Looker で PSC エンドポイントを構成します。

selfLink: projects/<your-project-id>/regions/<your-region>/serviceAttachments/github-svc-attachment-https

Cloud Shell で、次の操作を行います。

gcloud compute service-attachments describe github-svc-attachment-https --region=$region

例:

connectionPreference: ACCEPT_AUTOMATIC
creationTimestamp: '2024-08-30T09:44:03.883-07:00'
description: ''
enableProxyProtocol: false
fingerprint: RfKh3blWZE0=
id: '2897904404386302012'
kind: compute#serviceAttachment
name: github-svc-attachment-https
natSubnets:
- https://www.googleapis.com/compute/v1/projects/$project/regions/$region/subnetworks/producer-psc-nat-subnet
pscServiceAttachmentId:
  high: '19348441121424360'
  low: '2897904404386302012'
reconcileConnections: false
region: https://www.googleapis.com/compute/v1/projects/$project/regions/$region
selfLink: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/serviceAttachments/github-svc-attachment-https
targetService: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/forwardingRules/producer-github-fr

Cloud Console で、次の場所に移動します。

ネットワークサービス → Private Service Connect → 公開サービス

9. Looker で PSC エンドポイント接続を確立する

次のセクションでは、Cloud Shell で –psc-service-attachment フラグを使用して、プロデューサーサービスアタッチメントを Looker Core PSC に関連付けます。

Cloud Shell で、次のパラメータを環境に合わせて更新して、PSC 関連付けを作成します。

INSTANCE_NAME: Looker（Google Cloud コア）インスタンスの名前。
DOMAIN_1: github.com
SERVICE_ATTACHMENT_1: サービスアタッチメント github-svc-attachment-https の記述時にキャプチャされた URI。
REGION: Looker（Google Cloud コア）インスタンスがホストされるリージョン。

Cloud Shell で、次の操作を行います。

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--region=REGION

例:

gcloud looker instances update looker-psc-instance \
--psc-service-attachment  domain=github.com,attachment=projects/$project/regions/$region/serviceAttachments/github-svc-attachment-https \
--region=$region

Cloud Shell で、serviceAttachments connectionStatus が「ACCEPTED」であることを確認し、Looker PSC INSTANCE_NAME で更新します。

gcloud looker instances describe [INSTANCE_NAME] --region=$region --format=json

例:

gcloud looker instances describe looker-psc-instance --region=$region --format=json

例:

{
  "adminSettings": {},
  "createTime": "2024-08-23T00:00:45.339063195Z",
  "customDomain": {
    "domain": "cosmopup.com",
    "state": "AVAILABLE"
  },
  "encryptionConfig": {},
  "lookerVersion": "24.12.28",
  "name": "projects/$project/locations/$region/instances/looker-psc-instance",
  "platformEdition": "LOOKER_CORE_ENTERPRISE_ANNUAL",
  "pscConfig": {
    "allowedVpcs": [

    "projects/$project/global/networks/looker-psc-demo",
      "projects/$project/global/networks/looker-shared-vpc"
    ],
    "lookerServiceAttachmentUri": "projects/t7ec792caf2a609d1-tp/regions/$region/serviceAttachments/looker-psc-f51982e2-ac0d-48b1-91bb-88656971c183",
    "serviceAttachments": [
      {
        "connectionStatus": "ACCEPTED",
        "localFqdn": "github.com",
        "targetServiceAttachmentUri": "projects/$project/regions/$region/serviceAttachments/github-svc-attachment-https"
      }
    ]
  },
  "pscEnabled": true,
  "state": "ACTIVE",
  "updateTime": "2024-08-30T17:47:33.440271635Z"
}

Cloud Console で PSC エンドポイントを検証する

Cloud Console から PSC 接続を検証できます。

Cloud Console で、次の場所に移動します。

Looker → Looker インスタンス → 詳細

10. GitHub への接続をテストする

次の手順では、Looker コンソールを使用してプロジェクトを作成し、github.com への HTTPS 接続を検証します。

11. 新しいプロジェクトの作成

Development Mode を有効にする

Looker コンソールで、次の場所に移動します。

Development Mode を有効にします（左下のページ）。選択すると、バナーに「You are in Development Mode」と表示されます。

新しいプロジェクトを作成する

Cloud Console で、次の場所に移動します。

Develop → Projects

[New LookML Project] を選択します。

プロジェクト名を入力し、[Blank Project] を選択して [Create Project] を選択します。

[Configure Git] を選択します。

Git を構成する

HTTPS GitHub の詳細で [Repository URL] を更新し、URL に .git を追加して [Continue] を選択します。

例:

選択内容を GitHub ユーザー名と Personal Access Token（クラシック）で更新し、[Test and Finalize Setup] を選択します。

[Git Actions] を選択します。

[Test Git Connection] を選択します。

Git 接続テストを検証します。

クリーンアップ

単一の Cloud Shell ターミナルからラボのコンポーネントを削除します。

gcloud compute service-attachments delete github-svc-attachment-https --region=$region -q

gcloud compute forwarding-rules delete producer-github-fr --region=$region -q

gcloud compute target-tcp-proxies delete producer-lb-tcp-proxy --region=$region -q

gcloud compute backend-services delete producer-backend-svc --region=$region -q

gcloud compute network-firewall-policies rules delete 2001 --firewall-policy looker-psc-demo-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=looker-psc-demo-policy  --name=looker-psc-demo --global-firewall-policy -q

gcloud compute network-firewall-policies delete looker-psc-demo-policy --global -q

gcloud compute routers nats delete looker-psc-demo-natgw --router=looker-psc-demo-cloud-router --router-region=$region -q

gcloud compute routers delete looker-psc-demo-cloud-router --region=$region -q

gcloud compute network-endpoint-groups delete github-internet-neg --region=$region -q

gcloud compute addresses delete internet-neg-lb-ip --region=$region -q

gcloud compute networks subnets delete producer-psc-fr-subnet producer-psc-nat-subnet $region-proxy-only-subnet --region=$region -q

gcloud compute networks delete looker-psc-demo -q

12. 完了

お疲れさまでした。Private Service Connect を利用した Looker コンソールを使用して、GitHub への接続を正常に構成して検証できました。

プロデューサーインフラストラクチャを作成し、プロデューサーサービスへの接続を可能にするインターネット NEG、プロデューサーサービス、Looker PSC エンドポイントを作成する方法を学習しました。

Cosmopup は Codelab が大好きです。

次のステップ

以下の Codelab をご覧ください。

Looker PSC サウスバウンド HTTPS インターネット NEG

1. はじめに

学習内容

必要なもの

2. 構築するもの

3. ネットワークの要件

4. Codelab のトポロジ

5. 設定と要件

セルフペース型の環境設定

Cloud Shell を起動する

6. 始める前に

API を有効にする

7. プロデューサー VPC ネットワークを作成する

VPC ネットワーク

サブネットを作成する

Public NAT ゲートウェイを作成する

ロードバランサの IP アドレスを予約する

インターネット NEG を設定する

ネットワークファイアウォールポリシーとファイアウォールルールを作成する

8. プロデューサーサービスを作成する

ロードバランサコンポーネントを作成する

サービスアタッチメントを作成する

9. Looker で PSC エンドポイント接続を確立する

Cloud Console で PSC エンドポイントを検証する

10. GitHub への接続をテストする

11. 新しいプロジェクトの作成

Development Mode を有効にする

新しいプロジェクトを作成する

Git を構成する

12. 完了

次のステップ

関連資料と動画

リファレンスドキュメント

Looker PSC サウスバウンド HTTPS インターネット NEG

1. はじめに

学習内容

必要なもの

2. 構築するもの

3. ネットワークの要件

4. Codelab のトポロジ

5. 設定と要件

セルフペース型の環境設定

Cloud Shell を起動する

6. 始める前に

API を有効にする

7. プロデューサー VPC ネットワークを作成する

VPC ネットワーク

サブネットを作成する

Public NAT ゲートウェイを作成する

ロードバランサの IP アドレスを予約する

インターネット NEG を設定する

ネットワーク ファイアウォール ポリシーとファイアウォール ルールを作成する

8. プロデューサー サービスを作成する

ロードバランサ コンポーネントを作成する

サービス アタッチメントを作成する

9. Looker で PSC エンドポイント接続を確立する

Cloud Console で PSC エンドポイントを検証する

10. GitHub への接続をテストする

11. 新しいプロジェクトの作成

Development Mode を有効にする

新しいプロジェクトを作成する

Git を構成する

12. 完了

次のステップ

関連資料と動画

リファレンス ドキュメント

ネットワークファイアウォールポリシーとファイアウォールルールを作成する

8. プロデューサーサービスを作成する

ロードバランサコンポーネントを作成する

サービスアタッチメントを作成する

リファレンスドキュメント