Utiliser un compte de service

Vous pouvez utiliser les comptes de service de vos connecteurs de communauté pour une gestion centralisée de l'accès aux ressources. Un cas d'utilisation courant consiste à déléguer l'accès à des données auxquelles les utilisateurs ne pourraient pas accéder avec leurs propres identifiants.

Consultez la page Comprendre les comptes de service pour vous familiariser avec le sujet.

Avantages

• Vous pouvez regrouper la facturation de l'accès aux données.
• Vous pouvez implémenter votre propre couche de contrôle des accès dans votre connecteur.
• Vous pouvez déléguer l'accès à des données ou ressources auxquelles les identifiants de l'utilisateur n'ont pas accès.

Procédure d'implémentation

1. Créez un compte de service pour la plate-forme à partir de laquelle vous récupérez les données.
2. Accordez les autorisations nécessaires au compte de service pour qu'il puisse accéder aux ressources requises.
3. Stockez les identifiants du compte de service dans les propriétés de script du connecteur.
4. Lors de l'exécution du connecteur, utilisez les identifiants stockés pour récupérer les données requises.
5. Facultatif: implémentez une logique de contrôle des accès pour filtrer les données.

Attention :Ne stockez pas les identifiants du compte de service dans votre code. Utilisez plutôt les propriétés de script du connecteur pour vous assurer que les autres utilisateurs disposant d'un accès en lecture à votre code (via Apps Script ou via un dépôt de code externe) ne peuvent pas voir les identifiants.

Exemple: Accéder à BigQuery à l'aide des services avancés Looker Studio et d'un compte de service

Vous allez créer une solution qui permettra à vos utilisateurs de créer des tableaux de bord à partir d'une table BigQuery. Si vos utilisateurs se servent du connecteur BigQuery de Looker Studio, ils auront besoin d'un accès en lecture à la table BigQuery. Ils auront également besoin d'un compte de facturation pour Google Cloud Platform (GCP). Les étapes suivantes montrent comment utiliser un compte de service pour consolider la facturation et déléguer l'accès aux données BigQuery.

1. Créez un compte de service dans le projet GCP de votre choix.
2. Assurez-vous que le compte de service peut créer des tâches BigQuery et afficher les données de la table requise. Pour en savoir plus, consultez la page Contrôle des accès BigQuery.
3. Créez une clé pour le compte de service et stockez les identifiants dans les propriétés de script du connecteur.
4. Incluez la bibliothèque OAuth2 Apps Script dans votre projet Apps Script.
5. Pour votre fonction getData, authentifiez le compte de service et générez un jeton d'accès. Définissez le champ d'application d'OAuth2 sur https://www.googleapis.com/auth/bigquery.readonly.
6. Renvoie un jeton d'accès avec d'autres éléments de configuration dans la réponse getData.

Voici un exemple complet du code de connecteur:

main.js

var cc = DataStudioApp.createCommunityConnector();
var scriptProperties = PropertiesService.getScriptProperties();

function isAdminUser() {
  return true;
}

function getAuthType() {
  var AuthTypes = cc.AuthType;
  return cc
    .newAuthTypeResponse()
    .setAuthType(AuthTypes.NONE)
    .build();
}

function getConfig(request) {
  var config = cc.getConfig();

  config
    .newInfo()
    .setId('generalInfo')
    .setText('This is an example connector to showcase row level security.');

  return config.build();
}

function getFields() {
  var fields = cc.getFields();
  var types = cc.FieldType;
  var aggregations = cc.AggregationType;

  fields
    .newDimension()
    .setId('region')
    .setName('Region')
    .setType(types.TEXT);

  fields
    .newMetric()
    .setId('sales')
    .setName('Sales')
    .setType(types.NUMBER)
    .setAggregation(aggregations.SUM);

  fields
    .newDimension()
    .setId('date')
    .setName('Date')
    .setType(types.YEAR_MONTH_DAY);

  return fields;
}

function getSchema(request) {
  return {schema: getFields().build()};
}

var SERVICE_ACCOUNT_CREDS = 'SERVICE_ACCOUNT_CREDS';
var SERVICE_ACCOUNT_KEY = 'private_key';
var SERVICE_ACCOUNT_EMAIL = 'client_email';
var BILLING_PROJECT_ID = 'project_id';

/**
 * Copy the entire credentials JSON file from creating a service account in GCP.
 */
function getServiceAccountCreds() {
  return JSON.parse(scriptProperties.getProperty(SERVICE_ACCOUNT_CREDS));
}

function getOauthService() {
  var serviceAccountCreds = getServiceAccountCreds();
  var serviceAccountKey = serviceAccountCreds[SERVICE_ACCOUNT_KEY];
  var serviceAccountEmail = serviceAccountCreds[SERVICE_ACCOUNT_EMAIL];

  return OAuth2.createService('RowLevelSecurity')
    .setAuthorizationBaseUrl('https://accounts.google.com/o/oauth2/auth')
    .setTokenUrl('https://accounts.google.com/o/oauth2/token')
    .setPrivateKey(serviceAccountKey)
    .setIssuer(serviceAccountEmail)
    .setPropertyStore(scriptProperties)
    .setCache(CacheService.getScriptCache())
    .setScope(['https://www.googleapis.com/auth/bigquery.readonly']);
}

var BASE_SQL =
  'SELECT d.region, d.sales, d.date ' +
  'FROM `datastudio-solutions.row_level_security.data` d ' +
  'INNER JOIN `datastudio-solutions.row_level_security.access` a ' +
  'ON d.region = a.region ' +
  'where a.email=@email';

function getData(request) {
  var accessToken = getOauthService().getAccessToken();
  var serviceAccountCreds = getServiceAccountCreds();
  var billingProjectId = serviceAccountCreds[BILLING_PROJECT_ID];
  var email = Session.getEffectiveUser().getEmail();

  var bqTypes = DataStudioApp.createCommunityConnector().BigQueryParameterType;

  return cc
    .newBigQueryConfig()
    .setAccessToken(accessToken)
    .setBillingProjectId(billingProjectId)
    .setUseStandardSql(true)
    .setQuery(BASE_SQL)
    .addQueryParameter('email', bqTypes.STRING, email)
    .build();
}