Crea un client OAuth e le credenziali per un'istanza di Looker (Google Cloud core)

Questa pagina della documentazione spiega come configurare il client OAuth e associare manualmente le credenziali OAuth all'istanza durante la creazione dell'istanza.

Quando creare le credenziali OAuth

Nella maggior parte dei casi, Looker (Google Cloud core) crea e assegna automaticamente le credenziali OAuth gestite da Looker per impostazione predefinita. Devi creare un client OAuth e associare manualmente le credenziali OAuth personalizzate solo in scenari specifici, a seconda del tipo di connessione di rete e della configurazione di autenticazione dell'istanza:

  • Connessioni private o ibride con Google OAuth: la configurazione manuale di OAuth è obbligatoria ogni volta che viene utilizzato Google OAuth (come autenticazione principale o secondaria) con connessioni private o ibride.
  • Connessioni pubbliche con Google OAuth: la configurazione manuale di OAuth non è obbligatoria; Looker (Google Cloud core) assegna automaticamente le credenziali gestite da Looker per impostazione predefinita, ma puoi facoltativamente configurare le credenziali personalizzate.
  • Solo federazione delle identità della forza lavoro: la configurazione manuale di OAuth non è obbligatoria per nessun tipo di connessione di rete quando si utilizza la federazione delle identità della forza lavoro senza Google OAuth secondario.
  • Domini personalizzati: se configuri un dominio personalizzato per un'istanza che utilizza connessioni sicure pubbliche e Google OAuth, sono necessarie credenziali OAuth personalizzate, che vengono configurate nell'ambito della procedura di creazione del dominio personalizzato.

La tabella seguente riassume quando è necessaria la configurazione manuale delle credenziali OAuth:

Autenticazione principale Autenticazione secondaria Tipo di connessione di rete Configurazione manuale di OAuth
Google OAuth Nessuna Connessioni sicure pubbliche Non obbligatorio. Looker (Google Cloud core) assegna automaticamente le credenziali gestite da Looker.
Connessioni private o connessioni ibride Obbligatorio. Segui le istruzioni riportate in questa pagina.
Federazione delle identità della forza lavoro Nessuna Connessioni pubbliche Non obbligatorio.
Federazione delle identità della forza lavoro Google OAuth Connessioni sicure pubbliche Facoltativo. Looker (Google Cloud core) utilizza le credenziali gestite da Looker per impostazione predefinita, ma puoi fornire credenziali personalizzate.

Ruoli obbligatori

Per utilizzare la Google Cloud console per creare e modificare le credenziali OAuth, devi disporre delle seguenti autorizzazioni. (Per nascondere l'elenco delle autorizzazioni, comprimi la sezione Autorizzazioni obbligatorie.)

Autorizzazioni obbligatorie

  • clientauthconfig.*
    • clientauthconfig.brands.create
    • clientauthconfig.brands.delete
    • clientauthconfig.brands.get
    • clientauthconfig.brands.list
    • clientauthconfig.brands.update
    • clientauthconfig.clients.create
    • clientauthconfig.clients.createSecret
    • clientauthconfig.clients.delete
    • clientauthconfig.clients.get
    • clientauthconfig.clients.getWithSecret
    • clientauthconfig.clients.list
    • clientauthconfig.clients.listWithSecrets
    • clientauthconfig.clients.undelete
    • clientauthconfig.clients.update
  • oauthconfig.*
    • oauthconfig.clientpolicy.get
    • oauthconfig.testusers.get
    • oauthconfig.testusers.update
    • oauthconfig.verification.get
    • oauthconfig.verification.submit
    • oauthconfig.verification.update

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti. Per saperne di più sulla concessione dei ruoli, consulta la pagina Gestire l'accesso a progetti, cartelle e organizzazioni nella documentazione di Identity and Access Management (IAM).

Prima di creare un'istanza di Looker (Google Cloud core)

Prima di creare un'istanza di Looker (Google Cloud core), completa i passaggi descritti in queste sezioni:

Generare l'ID client OAuth e il client secret

Innanzitutto, crea un client OAuth e genera l'ID client e il client secret per questo client. Questi valori sono obbligatori durante la creazione dell'istanza di Looker (Google Cloud core).

Puoi configurare il client OAuth in qualsiasi Google Cloud progetto. Non deve necessariamente essere lo stesso progetto dell'istanza di Looker (Google Cloud core). Tuttavia, l'API Looker (Google Cloud core) deve essere abilitata in questo progetto.

Per creare il client e le relative credenziali:

  1. Vai al progetto in cui vuoi creare il client OAuth.
  2. Vai ad API e servizi > Credenziali.
  3. Nella pagina Credenziali, fai clic su Crea credenziali.
  4. Dal menu a discesa, seleziona ID client OAuth.
  5. Nel menu a discesa Tipo di applicazione, seleziona Applicazione web.
  6. Nel campo Nome, inserisci un nome per il client OAuth.
  7. A questo punto, non devi aggiungere URI nelle sezioni Origini JavaScript autorizzate o URI di reindirizzamento autorizzati.
  8. Fai clic su Crea.

Dopo aver fatto clic su Crea, viene visualizzata la finestra Client OAuth creato. Questa finestra mostra l'ID client e il client secret creati per il client OAuth. Questi valori saranno necessari quando crei l'istanza di Looker (Google Cloud core).

Facoltativamente, fai clic su Scarica JSON per scaricare le informazioni sulle credenziali in un file JSON. Per chiudere la finestra, fai clic su Ok.

Poi, potresti voler configurare la schermata per il consenso. La schermata per il consenso viene mostrata a un utente dell'istanza di Looker (Google Cloud core) al primo accesso e in qualsiasi momento in cui l'autorizzazione scade o viene revocata dall'utente.

Segui le istruzioni riportate nella pagina della documentazione Configurare la schermata per il consenso OAuth e scegliere gli ambiti. Durante la configurazione della schermata, completa le seguenti impostazioni come descritto:

  • Nella sezione Branding, in Domini autorizzati, il dominio deve corrispondere al dominio dell'istanza di Looker (Google Cloud core) che utilizza le credenziali OAuth. Se hai intenzione di creare un dominio personalizzato per l'istanza di Looker (Google Cloud core) e conosci il dominio che gli assegnerai, puoi inserirlo ora. In caso contrario, puoi lasciare vuoto questo campo; verrà compilato automaticamente quando aggiungi l'URI di reindirizzamento autorizzato dopo la creazione dell'istanza di Looker (Google Cloud core).

  • Nella sezione Pubblico, in Tipo di utente, seleziona una delle seguenti opzioni:

Durante la creazione dell'istanza di Looker (Google Cloud core)

Quando crei l'istanza di Looker (Google Cloud core), aggiungi l'ID client OAuth e il client secret nella sezione Credenziali applicazione OAuth. Non puoi creare un'istanza senza credenziali OAuth. Trova l'ID client OAuth e il client secret andando al client OAuth nella Google Cloud console.

Dopo aver creato un'istanza di Looker (Google Cloud core)

Completa le seguenti istruzioni per terminare la configurazione. Quando aggiungi un URI di reindirizzamento autorizzato, questo verrà aggiunto alla schermata per il consenso OAuth come dominio autorizzato.

Aggiungere l'URI di reindirizzamento autorizzato al client OAuth

Se non l'hai ancora fatto, segui questi passaggi per inserire l'URL dell'istanza di Looker (Google Cloud core) appena creata nel client OAuth.

  1. Dopo aver creato un'istanza di Looker (Google Cloud core), trova e copia l'URL dell'istanza. Puoi trovare l'URL nella pagina Istanze.

  2. Nella Google Cloud console, vai ad API e servizi > Credenziali.

  3. Sotto l'intestazione ID client OAuth 2.0, fai clic sul nome del client che hai creato.

  4. Nella sezione URI di reindirizzamento autorizzati, fai clic su Aggiungi URI.

  5. Incolla l'URL dell'istanza di Looker (Google Cloud core) nel campo URI. Aggiungi /oauth2callback alla fine dell'URL. Ad esempio: https://uuid.looker.app/oauth2callback.

    Se hai intenzione di configurare l'autorizzazione OAuth per BigQuery, puoi anche aggiungere un secondo URI di reindirizzamento che rimanda all'URL dell'istanza di Looker (Google Cloud core) seguito da /external_oauth/redirect aggiunto alla fine dell'URL. Ad esempio: https://uuid.looker.app/external_oauth/redirect.

  6. Fai clic su Salva.

L'applicazione dell'aggiornamento può richiedere da cinque minuti a qualche ora.

Gestisci utenti

Una volta configurato il client OAuth e creata l'istanza di Looker (Google Cloud core), puoi accedere all'istanza utilizzando OAuth. Poi, puoi scegliere il metodo di autenticazione per l'istanza.

Se utilizzi OAuth come metodo di autenticazione principale, completa i passaggi descritti nella pagina della documentazione Utilizzare Google OAuth per l'autenticazione utente di Looker (Google Cloud core) per completare la configurazione di OAuth per l'autenticazione utente.

Una volta configurato il metodo di autenticazione, puoi aggiungere o rimuovere utenti tramite il provider di identità e gestirli in Looker.

Visualizzare il tipo di credenziali OAuth per l'istanza

Le credenziali OAuth non sono elencate direttamente nella pagina di configurazione dell'istanza della Google Cloud console. Fai clic su Modifica nella pagina di configurazione dell'istanza per visualizzare la sezione Credenziali applicazione OAuth.

Se le credenziali OAuth sono impostate su Gestite da Looker, Looker (Google Cloud core) assegna credenziali OAuth gestite da Looker per l'istanza durante la creazione dell'istanza e l'ID client e il client secret non vengono visualizzati.

Se le credenziali OAuth sono impostate su Manuale, le credenziali OAuth manuali sono state aggiunte all'istanza durante o dopo la creazione dell'istanza. L'ID client e il client secret non vengono visualizzati; al loro posto, la sezione mostra i segnaposto ****.

Modificare il client OAuth per un'istanza di Looker (Google Cloud core)

Se vuoi, puoi aggiungere, modificare o cambiare le credenziali OAuth per l'istanza di Looker (Google Cloud core) seguendo questi passaggi:

  1. Configura il nuovo client o le nuove credenziali.
  2. Nella Google Cloud console, nella pagina Istanze, fai clic sul nome di un'istanza per aprire la pagina DETTAGLI.
  3. Nella pagina DETTAGLI, fai clic su Modifica.
  4. Nella pagina Modifica istanza di Looker (Google Cloud core), vai alla sezione Credenziali applicazione OAuth e seleziona Manuale, se non è già selezionata.
  5. Inserisci i nuovi valori nei campi ID client OAuth e Client secret OAuth.
  6. Fai clic su Salva.

Se le credenziali dell'applicazione OAuth sono impostate su Gestite da Looker, non puoi aggiungere o modificare le credenziali. Passa all'impostazione Manuale per le credenziali per modificarle o aggiungerle.

Passaggi successivi