サービス アカウントを使用する

コミュニティ コネクタでサービス アカウントを使用すると、リソースのアクセス権限を集中管理できます。一般的な使用例は、ユーザーが自分の認証情報ではアクセスできないデータへのアクセスを委任することです。

このトピックについて、サービス アカウントについてもご確認ください。

メリット

• データアクセスの請求を統合できます。
• コネクタに独自のアクセス制御レイヤを実装できます。
• ユーザーの認証情報ではアクセスできないデータまたはリソースへのアクセスを委任できます。

実装の手順

1. データを取得するプラットフォームのサービス アカウントを作成します。
2. サービス アカウントが必要なリソースにアクセスできるように、必要な権限をサービス アカウントに付与します。
3. サービス アカウントの認証情報をコネクタのスクリプト プロパティに保存します。
4. コネクタの実行中に、保存された認証情報を使用して必要なデータを取得します。
5. 省略可：データをフィルタ処理するアクセス制御ロジックを実装します。

注意: サービス アカウントの認証情報をコードに保存するのではなく、コネクタのスクリプト プロパティを使用してください。これにより、コードの表示アクセス権を持つ他のユーザーが認証情報を表示（Apps Script または外部コード リポジトリ経由で）できないようにします。

例: データポータルの Advanced Services とサービス アカウントを使用して BigQuery にアクセスする

ユーザー自身が BigQuery テーブルからダッシュボードを作成できるようにするソリューションを構築しているとします。データポータルの BigQuery コネクタを使用するユーザーには、BigQuery テーブルへの読み取りアクセスに加え、Google Cloud Platform（GCP）の請求先アカウントも必要になります。次の手順は、サービス アカウントを使用して請求を統合し、BigQuery データへのアクセスを委任する方法を示しています。

1. 目的の GCP プロジェクトでサービス アカウントを作成します。
2. サービス アカウントで BigQuery ジョブが作成され、必要なテーブルのデータを表示できるようにします。詳しくは、BigQuery アクセス制御についての記事をご覧ください。
3. サービス アカウントのキーを作成し、認証情報を コネクタのスクリプト プロパティに保存します。
4. Apps Script プロジェクトに OAuth2 Apps Script ライブラリを含めます。
5. getData 関数の場合、サービス アカウントを承認し、アクセス トークンを生成します 。OAuth2 スコープを https://www.googleapis.com/auth/bigquery.readonly に設定します。
6. getData レスポンスで他の構成アイテムとともにアクセス トークンを返します。

以下は、コネクタの完全なサンプルコードです。

main.js

var cc = DataStudioApp.createCommunityConnector();
var scriptProperties = PropertiesService.getScriptProperties();

function isAdminUser() {
  return true;
}

function getAuthType() {
  var AuthTypes = cc.AuthType;
  return cc
    .newAuthTypeResponse()
    .setAuthType(AuthTypes.NONE)
    .build();
}

function getConfig(request) {
  var config = cc.getConfig();

  config
    .newInfo()
    .setId('generalInfo')
    .setText('This is an example connector to showcase row level security.');

  return config.build();
}

function getFields() {
  var fields = cc.getFields();
  var types = cc.FieldType;
  var aggregations = cc.AggregationType;

  fields
    .newDimension()
    .setId('region')
    .setName('Region')
    .setType(types.TEXT);

  fields
    .newMetric()
    .setId('sales')
    .setName('Sales')
    .setType(types.NUMBER)
    .setAggregation(aggregations.SUM);

  fields
    .newDimension()
    .setId('date')
    .setName('Date')
    .setType(types.YEAR_MONTH_DAY);

  return fields;
}

function getSchema(request) {
  return {schema: getFields().build()};
}

var SERVICE_ACCOUNT_CREDS = 'SERVICE_ACCOUNT_CREDS';
var SERVICE_ACCOUNT_KEY = 'private_key';
var SERVICE_ACCOUNT_EMAIL = 'client_email';
var BILLING_PROJECT_ID = 'project_id';

/**
 * Copy the entire credentials JSON file from creating a service account in GCP.
 */
function getServiceAccountCreds() {
  return JSON.parse(scriptProperties.getProperty(SERVICE_ACCOUNT_CREDS));
}

function getOauthService() {
  var serviceAccountCreds = getServiceAccountCreds();
  var serviceAccountKey = serviceAccountCreds[SERVICE_ACCOUNT_KEY];
  var serviceAccountEmail = serviceAccountCreds[SERVICE_ACCOUNT_EMAIL];

  return OAuth2.createService('RowLevelSecurity')
    .setAuthorizationBaseUrl('https://accounts.google.com/o/oauth2/auth')
    .setTokenUrl('https://accounts.google.com/o/oauth2/token')
    .setPrivateKey(serviceAccountKey)
    .setIssuer(serviceAccountEmail)
    .setPropertyStore(scriptProperties)
    .setCache(CacheService.getScriptCache())
    .setScope(['https://www.googleapis.com/auth/bigquery.readonly']);
}

var BASE_SQL =
  'SELECT d.region, d.sales, d.date ' +
  'FROM `datastudio-solutions.row_level_security.data` d ' +
  'INNER JOIN `datastudio-solutions.row_level_security.access` a ' +
  'ON d.region = a.region ' +
  'where a.email=@email';

function getData(request) {
  var accessToken = getOauthService().getAccessToken();
  var serviceAccountCreds = getServiceAccountCreds();
  var billingProjectId = serviceAccountCreds[BILLING_PROJECT_ID];
  var email = Session.getEffectiveUser().getEmail();

  var bqTypes = DataStudioApp.createCommunityConnector().BigQueryParameterType;

  return cc
    .newBigQueryConfig()
    .setAccessToken(accessToken)
    .setBillingProjectId(billingProjectId)
    .setUseStandardSql(true)
    .setQuery(BASE_SQL)
    .addQueryParameter('email', bqTypes.STRING, email)
    .build();
}