פרטי הכניסה ל-API תמיד משויכים לחשבון משתמש ב-Looker. בקשות API מבוצעות "כמו" המשתמש שמשויך לפרטי הכניסה ל-API. קריאות ל-API יחזירו רק נתונים שהמשתמש מורשה לראות, ויאפשרו לשנות רק את מה שהמשתמש מורשה לשנות.
כדי לבצע פעולות באמצעות Looker API, קודם צריך לאמת את הזהות. השלבים שצריך לבצע תלויים בשאלה אם אתם משתמשים ב-SDK.
אימות באמצעות SDK
זו השיטה המומלצת לאימות API:
אם אתם משתמשים במופע Looker (מקורי), אתם יכולים ליצור את פרטי הכניסה ל-API בדף המשתמשים בקטע 'ניהול' במופע Looker. אם אין לכם הרשאות אדמין ב-Looker, בקשו מהאדמין ב-Looker ליצור עבורכם את פרטי הכניסה ל-API.
אם אתם משתמשים במופע של Looker (Google Cloud core), אתם יכולים להפעיל את ניהול פרטי הכניסה ל-API בדף המשתמשים בקטע 'אדמין' במופע Looker. אם אתם לא אדמינים ב-Looker, אתם צריכים לבקש מהאדמין ב-Looker להפעיל בשבילכם את ניהול ה-API. אחרי שמפעילים את ניהול ה-API למשתמש, אפשר להשתמש בדף החשבון כדי לנהל את מפתחות ה-API.
פרטי הכניסה ל-API שיצרתם כוללים מזהה לקוח וסוד לקוח. תצטרכו לספק אותם ל-SDK. ההוראות נמצאות במסמכי התיעוד של ה-SDK.
ה-SDK ידאג להשגת אסימוני הגישה הנדרשים ולהוספתם לכל בקשות ה-API הבאות.
אימות ללא SDK
השיטה המומלצת היא אימות API באמצעות SDK. כדי לבצע אימות בלי SDK:
אם אתם משתמשים במופע Looker (מקורי), אתם יכולים ליצור את פרטי הכניסה ל-API בדף המשתמשים בקטע 'ניהול' במופע Looker. אם אין לכם הרשאות אדמין ב-Looker, בקשו מהאדמין ב-Looker ליצור עבורכם את פרטי הכניסה ל-API.
אם אתם משתמשים במופע של Looker (Google Cloud core), אתם יכולים להפעיל את ניהול פרטי הכניסה ל-API בדף המשתמשים בקטע 'אדמין' במופע Looker. אם אתם לא אדמינים ב-Looker, אתם צריכים לבקש מהאדמין ב-Looker להפעיל בשבילכם את ניהול ה-API. אחרי שמפעילים את ניהול ה-API למשתמש, אפשר להשתמש בדף החשבון כדי לנהל את מפתחות ה-API.
כדי לקבל אסימון גישה לטווח קצר מסוג OAuth 2.0, צריך להתקשר לנקודת הקצה
loginשל ה-API. תצטרכו לספק את פרטי הכניסה ל-API שיצרתם בשלב 1, שכוללים מזהה לקוח וסוד לקוח.מציבים את אסימון הגישה בכותרת ההרשאה של HTTP בבקשות ל-Looker API. דוגמה לבקשת Looker API עם כותרת הרשאה:
GET /api/4.0/user HTTP/1.1 Host: test.looker.com Date: Wed, 19 Oct 2023 12:34:56 -0700 Authorization: token mt6Xc8jJC9GfJzKBQ5SqFZTZRVX8KY6k49TMPS8F
אפשר להשתמש באסימון הגישה מסוג OAuth 2.0 בכמה בקשות ל-API, עד שתוקף אסימון הגישה יפוג או עד שהוא יבוטל באמצעות קריאה לנקודת הקצה logout. בקשות ל-API שמשתמשות בטוקן גישה שתוקפו פג ייכשלו ויוחזר קוד תגובה 401 Authorization Required של HTTP.
אינטראקציה של API עם הגדרות התחברות של משתמשים
האימות של Looker API נפרד לחלוטין מהכניסה של משתמשים ל-Looker. פרוטוקולים לאימות משתמשים, כמו קודי אימות חד-פעמיים (OTP, 2FA) ואימות בספרייה (LDAP, SAML וכו'), לא חלים על אימות Looker API.
לכן, מחיקת המידע של משתמש מפרוטוקול אימות משתמשים לא מוחקת את פרטי הכניסה שלו ל-API. השימוש בהליכים שמתוארים בדף התיעוד מחיקת מידע אישי של משתמשים מסיר את כל הנתונים האישיים של משתמש מ-Looker, ומונע ממנו להתחבר בכלל, כולל דרך ה-API.
ניהול פרטי כניסה ל-API
- אפשר לקשר כמה סטים של פרטי כניסה ל-API לחשבון משתמש אחד ב-Looker.
- אפשר ליצור ולמחוק פרטי כניסה ל-API בלי להשפיע על מצב חשבון המשתמש.
- מחיקה של חשבון משתמש ב-Looker מבטלת את כל פרטי הכניסה ל-API שמקושרים לחשבון המשתמש.
- הסוד של לקוח ה-API חייב להישמר פרטי. מומלץ להימנע מאחסון סודות של לקוחות API בקוד מקור או במקומות אחרים שגלויים להרבה אנשים.
- בסביבת ייצור, מומלץ להימנע משימוש בפרטי כניסה ל-API שמקושרים לחשבונות אדמין ב-Looker. יוצרים חשבונות משתמש עם הרשאות מינימליות במיוחד לפעילויות ב-API (לרוב נקראים חשבונות שירות) ויוצרים פרטי כניסה ל-API בחשבונות האלה. צריך לתת רק את ההרשאות שנדרשות לפעילויות ה-API המיועדות.
אימות באמצעות OAuth
Looker יכול להשתמש בפרוטוקול שיתוף משאבים בין מקורות (CORS) כדי לאפשר ליישומי אינטרנט לבצע קריאות ל-Looker API מחוץ לדומיין של מופע Looker. מידע על הגדרת אימות CORS מופיע בדף התיעוד בנושא אימות Looker API באמצעות OAuth.