Dienstkonto verwenden

Sie können Dienstkonten in Ihren Community-Connectors verwenden, um den Ressourcenzugriff zentral zu verwalten. Ein häufiger Anwendungsfall ist das Delegieren des Zugriffs auf Daten, auf die Nutzer mit ihren eigenen Anmeldedaten nicht zugreifen können.

Lesen Sie den Artikel Informationen zu Dienstkonten, um sich mit dem Thema vertraut zu machen.

Vorteile

• Sie können die Abrechnung für den Datenzugriff konsolidieren.
• Sie können in Ihrem Connector eine eigene Zugriffssteuerungsschicht implementieren.
• Sie können den Zugriff auf Daten oder Ressourcen delegieren, auf die mit den Anmeldedaten des Nutzers nicht zugegriffen werden kann.

Implementierungsschritte

1. Erstellen Sie ein Dienstkonto für die Plattform, von der Sie Daten abrufen.
2. Gewähren Sie dem Dienstkonto die erforderlichen Berechtigungen, damit es auf die erforderlichen Ressourcen zugreifen kann.
3. Speichern Sie die Anmeldedaten des Dienstkontos in den Skripteigenschaften Ihres Connectors.
4. Verwenden Sie bei der Ausführung des Connectors die gespeicherten Anmeldedaten, um die erforderlichen Daten abzurufen.
5. Optional: Implementieren Sie eine Zugriffssteuerungslogik, um die Daten zu filtern.

Achtung: Speichern Sie die Anmeldedaten des Dienstkontos nicht in Ihrem Code. Verwenden Sie stattdessen die Skripteigenschaften des Connectors, damit andere Nutzer mit Lesezugriff auf Ihren Code (entweder über Apps Script oder über ein externes Code-Repository) die Anmeldedaten nicht sehen können.

Beispiel: Zugriff auf BigQuery mit Data Studio Advanced Services und einem Dienstkonto

Sie entwickeln eine Lösung, mit der Ihre Nutzer Dashboards aus einer BigQuery-Tabelle erstellen können. Wenn Ihre Nutzer den BigQuery-Connector von Data Studio verwenden, benötigen sie Lesezugriff auf die BigQuery-Tabelle. Außerdem benötigen sie ein Rechnungskonto für die Google Cloud Platform (GCP). In den folgenden Schritten wird veranschaulicht, wie Sie ein Dienstkonto verwenden können, um die Abrechnung zu konsolidieren und den Zugriff auf die BigQuery-Daten zu delegieren.

1. Erstellen Sie ein Dienstkonto in Ihrem gewünschten GCP-Projekt.
2. Achten Sie darauf, dass das Dienstkonto BigQuery-Jobs erstellen und die Daten für die erforderliche Tabelle ansehen kann. Weitere Informationen finden Sie unter BigQuery-Zugriffssteuerung.
3. Erstellen Sie einen Schlüssel für das Dienstkonto und speichern Sie die Anmeldedaten in den Skripteigenschaften Ihres Connectors.
4. Fügen Sie Ihrem Apps Script-Projekt die OAuth2 Apps Script-Bibliothek hinzu.
5. Authentifizieren Sie das Dienstkonto für Ihre getData-Funktion und generieren Sie ein Zugriffstoken. Legen Sie den OAuth2-Bereich auf https://www.googleapis.com/auth/bigquery.readonly fest.
6. Geben Sie das Zugriffstoken mit anderen Konfigurationselementen in der getData-Antwort zurück.

Hier sehen Sie ein vollständiges Beispiel für den Connector-Code:

main.js

var cc = DataStudioApp.createCommunityConnector();
var scriptProperties = PropertiesService.getScriptProperties();

function isAdminUser() {
  return true;
}

function getAuthType() {
  var AuthTypes = cc.AuthType;
  return cc
    .newAuthTypeResponse()
    .setAuthType(AuthTypes.NONE)
    .build();
}

function getConfig(request) {
  var config = cc.getConfig();

  config
    .newInfo()
    .setId('generalInfo')
    .setText('This is an example connector to showcase row level security.');

  return config.build();
}

function getFields() {
  var fields = cc.getFields();
  var types = cc.FieldType;
  var aggregations = cc.AggregationType;

  fields
    .newDimension()
    .setId('region')
    .setName('Region')
    .setType(types.TEXT);

  fields
    .newMetric()
    .setId('sales')
    .setName('Sales')
    .setType(types.NUMBER)
    .setAggregation(aggregations.SUM);

  fields
    .newDimension()
    .setId('date')
    .setName('Date')
    .setType(types.YEAR_MONTH_DAY);

  return fields;
}

function getSchema(request) {
  return {schema: getFields().build()};
}

var SERVICE_ACCOUNT_CREDS = 'SERVICE_ACCOUNT_CREDS';
var SERVICE_ACCOUNT_KEY = 'private_key';
var SERVICE_ACCOUNT_EMAIL = 'client_email';
var BILLING_PROJECT_ID = 'project_id';

/**
 * Copy the entire credentials JSON file from creating a service account in GCP.
 */
function getServiceAccountCreds() {
  return JSON.parse(scriptProperties.getProperty(SERVICE_ACCOUNT_CREDS));
}

function getOauthService() {
  var serviceAccountCreds = getServiceAccountCreds();
  var serviceAccountKey = serviceAccountCreds[SERVICE_ACCOUNT_KEY];
  var serviceAccountEmail = serviceAccountCreds[SERVICE_ACCOUNT_EMAIL];

  return OAuth2.createService('RowLevelSecurity')
    .setAuthorizationBaseUrl('https://accounts.google.com/o/oauth2/auth')
    .setTokenUrl('https://accounts.google.com/o/oauth2/token')
    .setPrivateKey(serviceAccountKey)
    .setIssuer(serviceAccountEmail)
    .setPropertyStore(scriptProperties)
    .setCache(CacheService.getScriptCache())
    .setScope(['https://www.googleapis.com/auth/bigquery.readonly']);
}

var BASE_SQL =
  'SELECT d.region, d.sales, d.date ' +
  'FROM `datastudio-solutions.row_level_security.data` d ' +
  'INNER JOIN `datastudio-solutions.row_level_security.access` a ' +
  'ON d.region = a.region ' +
  'where a.email=@email';

function getData(request) {
  var accessToken = getOauthService().getAccessToken();
  var serviceAccountCreds = getServiceAccountCreds();
  var billingProjectId = serviceAccountCreds[BILLING_PROJECT_ID];
  var email = Session.getEffectiveUser().getEmail();

  var bqTypes = DataStudioApp.createCommunityConnector().BigQueryParameterType;

  return cc
    .newBigQueryConfig()
    .setAccessToken(accessToken)
    .setBillingProjectId(billingProjectId)
    .setUseStandardSql(true)
    .setQuery(BASE_SQL)
    .addQueryParameter('email', bqTypes.STRING, email)
    .build();
}