Data Bridges

Data Bridge名

Cloud Provider: AWS

Network Transport: The selected cloud provider determines the private connectivity service. When you select AWS, Alteryx uses AWS PrivateLink. This value is populated automatically and can’t be edited.

リージョン: リージョンはVPCリージョンと一致している必要があります。既定では、現在のリージョンに設定されています。

アベイラビリティゾーンID: アベイラビリティゾーンIDは、このエンドポイントが使用可能なAWSのアベイラビリティゾーンを識別します。

ポート: ポートは、Data BridgeをAlteryxに接続するために使用されます。既定は9001です。

ライセンスポータルからブリッジクライアントバイナリファイルをダウンロードする。

AWSシークレットアクセスを使用してブリッジクライアントをEC2にインポートする:

プライベートデータソースに接続でき、AWS Secrets Managerでシークレットの読み取りまたは書き込みの権限を持つAmazon Linux AMIを使用して、EC2インスタンスをAWSで作成します。EC2インスタンスの作成方法の詳細については、AWSドキュメントのAmazon EC2の使用を開始するを参照してください。

次に、ブリッジクライアントを/の/home/ec2-userディレクトリにインポートします。

Make the binary executable. The Bridge Client binary must have executable permissions before it can be run.

chmod +x bridge-client

設定スニペットをファイルに保存する:

スニペットをコピーして、ブリッジクライアントによって参照される、/home/ec2-userディレクトリ内のbridge-client-config.jsonという名前の設定ファイルに貼り付けます。

例:

{
  "logging": {
    "logLevel": "info",
    "logFormat": "json"
  },
  "bootstrap" : {
    "storageType": "secretsManager",
    "secretName": "<Name of the AWS Secrets Manager secret where the Bridge Client will store its private key. The Bridge Client will create and populate this secret automatically.>"
  },
  "libp2pPort": 9001,
  "libp2pBindIP": "<Private IPv4 address of the EC2 Instance>",
  "resourceFile": "/home/ec2-user/resources.json"
}

{
  ...
  "bootstrap": {
    "storageType": "aws",
    "secretName": "<Name of the AWS Secrets Manager secret where the Bridge Client will store its private key. The Bridge Client will create and populate this secret automatically.>",
    "aws": {
      "kmsKeyID": "arn:aws:kms:<region>:<account-id>:key/<key-id>"
    }
  }
  ...
}

{
  "Effect": "Allow",
  "Action": [
    "kms:Decrypt",
    "kms:Encrypt",
    "kms:GenerateDataKey",
    "kms:DescribeKey"
  ],
  "Resource": "arn:aws:kms:<region>:<account-id>:key/<key-id>",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "secretsmanager.<region>.amazonaws.com"
    }
  }

resources.jsonファイルを作成する:

resources.jsonという名前のファイルを /home/ec2-userディレクトリに作成します。このファイルは、ブリッジクライアントが実行時にリソースを起動および管理するために必要になります。

ファイルには空のJSONオブジェクト({})が含まれている必要があり、空白にすることはできません。

{}

ブリッジクライアントをプロセスとして実行する:

PrivateLinkエンドポイントサービスをセットアップする:

インストールが完了したら、VPCでPrivateLinkエンドポイントサービスを設定します。

エンドポイントサービス名

ステップ2で記録したブリッジクライアントのピアID。

ドロップダウンからワークスペースを選択します。Workspace Executionが有効になっているワークスペースのみが表示されます。[次へ]を選択します。

IAMロールが表示されます。プライベートVPCの[許可するプリンシパル]のリストにコピーして貼り付けます。AWS IAM Identity Centerの設定に関する詳細については、IAMアイデンティティセンターを使用した開始方法またはAWS CLIを使用したIAMアイデンティティセンター認証の設定を参照してください。

完了したら、[次へ]を選択します。

Go to the PrivateLink service in your AWS Console, then accept the private endpoint connection from the Alteryx account. Make sure the status is green before you continue.

Go to the 3-dot menu next to the workspace entry, then select Test Connection for that workspace. A toast message appears in the lower-left corner and shows the test status and result.

Data Bridge Name

Cloud Provider: Google Cloud, if shown.

Network Transport: The selected cloud provider determines the private connectivity service. When you select GCP, Alteryx uses Private Service Connect. This value is populated automatically and can’t be edited.

Region: The region must match the region where you will deploy the Bridge Client and Private Service Connect service attachment.

Availability Zone ID: The Availability Zone ID identifies the AWS availability zones where this endpoint is available.

Port: The port used to connect the Data Bridge to Alteryx. The default is 9001.

Download the Bridge Client binary file from the Licensing Portal.

Create a Compute Engine VM that can connect to your private data source. The VM should be deployed without a public IP address unless your organization explicitly requires one.

Attach a service account that can access the configured Google Cloud Secret Manager secret.

Make sure the VM has Cloud API access scopes that allow Secret Manager calls.

Import Bridge Client to the VM:

Import the Bridge Client binary to the VM, for example under /etc/ayx/bridge-client directory.

Make the binary executable. The Bridge Client binary must have executable permissions before it can be run.

sudo chmod +x /etc/ayx/bridge-client/bridge-client

Save configuration snippet to a file:

Copy and paste the snippet into a configuration file named bridge-client-config.json inside of the /etc/ayx/bridge-client directory.

Example:

{
  "logging": {
    "logLevel": "info",
    "logFormat": "json"
  },
  "bootstrap": {
    "storageType": "gcp",
    "secretName": "<Name of the GCP Secret Manager secret where the Bridge Client will store its private key>",
    "gcp": {
      "projectID": "<GCP project ID that owns the Secret Manager secret>"
    }
  },
  "libp2pPort": 9001,
  "peerLibp2pPort": 9001,
  "libp2pBindIP": "<Internal TCP load balancer forwarding rule IP>",
  "resourceFile": "/etc/ayx/bridge-client/resources.json",
  "stateStorage": {
    "type": "file",
    "path": "/etc/ayx/bridge-client/resources.json"
  },
  "rest": {
    "port": "8081"
  }
}

{
  ...
  "bootstrap": {
    "storageType": "gcp",
    "secretName": "<Name of the GCP Secret Manager secret where the Bridge Client will store its private key.>",
    "gcp": {
      "projectID": "<GCP project ID that owns the Secret Manager secret>",
      "kmsKeyID": "projects/<kms-project-id>/locations/<location>/keyRings/<key-ring>/cryptoKeys/<key-name>"
    }
  }
  ...
}

gcloud kms keys add-iam-policy-binding "<key-name>" \
  --project "<kms-project-id>" \
  --location "<location>" \
  --keyring "<key-ring>" \
  --member "serviceAccount:service-<secret-manager-project-number>@gcp-sa-secretmanager.iam.gserviceaccount.com" \
  --role "roles/cloudkms.cryptoKeyEncrypterDecrypter"

Create the resources.json file:

Create a file named resources.json in the /etc/ayx/bridge-client directory. This file is required for the Bridge Client to start and manage resources at runtime.

The file must contain an empty JSON object ({}) and must not be blank.

{}

Run Bridge Client as a process:

Set up the internal TCP load balancer:

In Google Cloud, create these resources in the same region as the Bridge Client deployment.

Configure firewall rules to allow:

Create a PSC NAT subnet:

Create a dedicated subnet in the producer VPC with purpose PRIVATE_SERVICE_CONNECT.

The PSC NAT subnet...

Create the Private Service Connect service attachment:

Create a PSC service attachment that points to the internal TCP load balancer forwarding rule.

Use the service attachment URI from the selected Google Cloud region. Example:

projects/PROJECT_ID/regions/REGION_ID/serviceAttachments/bridge-client-psc

For stricter access control, configure the service attachment to accept connections manually and add the Alteryx-provided consumer project, VPC network, or endpoint to the consumer accept list.

Leave PROXY protocol disabled unless Alteryx explicitly instructs you to enable it for Bridge Client.

After the service attachment is created, record the service attachment URI.

The PSC service attachment URI

The Bridge Client peer ID recorded from the Bridge Client logs.

Select a Workspace from the dropdown. Only workspaces with Workspace Execution enabled are shown. Then select Next.

Copy the Alteryx-provided GCP consumer identifier. Depending on the configuration, this might be a consumer project, VPC network, or PSC endpoint identifier.

In Google Cloud, update the PSC service attachment consumer accept list or approve the pending connection request.

If the test fails, the setup might not be complete and the remaining steps won’t work.

After the connection test succeeds, you can create a new data source network mapping.