Créer un client et des identifiants OAuth pour une instance Looker (Google Cloud Core)

Cette page de documentation explique comment configurer votre client OAuth et associer manuellement des identifiants OAuth à votre instance lors de sa création.

Quand créer des identifiants OAuth

Dans la plupart des cas, Looker (Google Cloud Core) crée et attribue automatiquement des identifiants OAuth gérés par Looker par défaut. Vous ne devez créer un client OAuth et associer manuellement des identifiants OAuth personnalisés que dans des cas spécifiques, en fonction du type de connexion réseau et de la configuration d'authentification de votre instance :

  • Connexions privées ou hybrides avec Google OAuth : la configuration manuelle d'OAuth est obligatoire chaque fois que Google OAuth est utilisé (comme authentification principale ou secondaire) avec des connexions privées ou hybrides.
  • Connexions publiques avec Google OAuth : la configuration manuelle d'OAuth n'est pas obligatoire. Looker (Google Cloud Core) attribue automatiquement des identifiants gérés par Looker par défaut, mais vous pouvez éventuellement configurer des identifiants personnalisés.
  • Fédération des identités des employés uniquement : la configuration manuelle d'OAuth n'est pas obligatoire pour aucun type de connexion réseau lorsque vous utilisez la fédération des identités des employés sans Google OAuth secondaire.
  • Domaines personnalisés : si vous configurez un domaine personnalisé pour une instance qui utilise des connexions sécurisées publiques et Google OAuth, des identifiants OAuth personnalisés sont requis et configurés dans le cadre du processus de création du domaine personnalisé.

Le tableau suivant récapitule les cas où la configuration manuelle des identifiants OAuth est requise :

Authentification principale Authentification secondaire Type de connexion réseau Configuration manuelle d'OAuth
Google OAuth Aucun Connexions sécurisées publiques Facultatif. Looker (Google Cloud Core) attribue automatiquement des identifiants gérés par Looker.
Connexions privées ou hybrides Obligatoire. Suivez les instructions figurant sur cette page.
Fédération des identités des employés Aucun Connexions publiques Facultatif.
Fédération des identités des employés Google OAuth Connexions sécurisées publiques Facultatif. Looker (Google Cloud Core) utilise des identifiants gérés par Looker par défaut, mais vous pouvez fournir des identifiants personnalisés.

Rôles requis

Pour utiliser la Google Cloud console afin de créer et de modifier des identifiants OAuth, vous avez besoin des autorisations suivantes. (Pour masquer la liste des autorisations, réduisez la section Autorisations requises.)

Autorisations requises

  • clientauthconfig.*
    • clientauthconfig.brands.create
    • clientauthconfig.brands.delete
    • clientauthconfig.brands.get
    • clientauthconfig.brands.list
    • clientauthconfig.brands.update
    • clientauthconfig.clients.create
    • clientauthconfig.clients.createSecret
    • clientauthconfig.clients.delete
    • clientauthconfig.clients.get
    • clientauthconfig.clients.getWithSecret
    • clientauthconfig.clients.list
    • clientauthconfig.clients.listWithSecrets
    • clientauthconfig.clients.undelete
    • clientauthconfig.clients.update
  • oauthconfig.*
    • oauthconfig.clientpolicy.get
    • oauthconfig.testusers.get
    • oauthconfig.testusers.update
    • oauthconfig.verification.get
    • oauthconfig.verification.submit
    • oauthconfig.verification.update

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis. Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations dans la documentation sur Identity and Access Management (IAM).

Avant de créer une instance Looker (Google Cloud Core)

Avant de créer une instance Looker (Google Cloud Core), suivez les étapes décrites dans ces sections :

Générer l'ID client et le code secret du client OAuth

Commencez par créer un client OAuth, puis générez l'ID client et le code secret du client pour ce client. Ces valeurs sont requises lors de la création de l'instance Looker (Google Cloud Core).

Vous pouvez configurer le client OAuth dans n'importe quel Google Cloud projet. Il n'a pas besoin d'être le même que celui de l'instance Looker (Google Cloud Core). Toutefois, l'API Looker (Google Cloud Core) doit être activée dans ce projet.

Pour créer le client et ses identifiants, procédez comme suit :

  1. Accédez au projet dans lequel vous souhaitez créer le client OAuth.
  2. Accédez à API et services > Identifiants.
  3. Sur la page Identifiants, cliquez sur Créer des identifiants.
  4. Dans le menu déroulant, sélectionnez ID client OAuth.
  5. Dans le menu déroulant Type d'application, sélectionnez Application Web.
  6. Dans le champ Nom, saisissez un nom pour votre client OAuth.
  7. À ce stade, vous n'avez pas besoin d'ajouter d'URI dans les sections Origines JavaScript autorisées ou URI de redirection autorisés.
  8. Cliquez sur Créer.

Après avoir cliqué sur Créer, une fenêtre Client OAuth créé s'affiche. Cette fenêtre affiche l'ID client et le code secret du client créés pour votre client OAuth. Ces valeurs seront requises lorsque vous créerez l'instance Looker (Google Cloud Core).

Vous pouvez également cliquer sur Télécharger au format JSON pour télécharger les informations d'identification dans un fichier JSON. Pour fermer la fenêtre, cliquez sur OK.

Ensuite, vous pouvez configurer l'écran de consentement. L'écran de consentement s'affiche pour un utilisateur de l'instance Looker (Google Cloud Core) lors de sa première connexion et à tout moment où son autorisation expire ou est révoquée par l'utilisateur.

Suivez les instructions de la page de documentation Configurer l'écran de consentement OAuth et choisir des habilitations. Lors de la configuration de votre écran, définissez les paramètres suivants comme décrit :

  • Dans la section Branding, sous Domaines autorisés, le domaine doit correspondre à celui de l'instance Looker (Google Cloud Core) qui utilise les identifiants OAuth. Si vous prévoyez de créer un domaine personnalisé pour votre instance Looker (Google Cloud Core) et que vous connaissez le domaine que vous allez lui attribuer, vous pouvez le saisir maintenant. Sinon, vous pouvez laisser ce champ vide. Il sera automatiquement renseigné lorsque vous ajouterez l'URI de redirection autorisé après la création de l'instance Looker (Google Cloud Core).

  • Dans la section Audience, sous Type d'utilisateur, sélectionnez l'une des options suivantes :

    • Interne : il s'agit du paramètre par défaut. Seuls les utilisateurs de votre organisation peuvent accéder à l'instance une fois qu'ils ont été ajoutés via IAM.
    • Rendre externe : les utilisateurs disposant de n'importe quel type de compte Google peuvent accéder à l'instance une fois qu'ils ont été ajoutés via IAM.

Lors de la création de l'instance Looker (Google Cloud Core)

Lorsque vous créez l'instance Looker (Google Cloud Core), ajoutez l'ID client et le code secret du client OAuth dans la section Identifiants d'application OAuth. Vous ne pouvez pas créer d'instance sans identifiants OAuth. Pour trouver l'ID client et le code secret du client OAuth, accédez au client OAuth dans la Google Cloud console.

Après avoir créé une instance Looker (Google Cloud Core)

Suivez les instructions ci-dessous pour terminer la configuration. Lorsque vous ajoutez un URI de redirection autorisé, il est ajouté à votre écran de consentement OAuth en tant que domaine autorisé.

Ajouter l'URI de redirection autorisé au client OAuth

Si ce n'est pas déjà fait, procédez comme suit pour saisir l'URL de l'instance Looker (Google Cloud Core) nouvellement créée dans le client OAuth.

  1. Une fois que vous avez créé une instance Looker (Google Cloud Core), recherchez et copiez son URL. Vous trouverez l'URL sur la page Instances.

  2. Dans la Google Cloud console, accédez à API et services > Identifiants.

  3. Sous le titre ID client OAuth 2.0, cliquez sur le nom du client que vous avez créé.

  4. Dans la section URI de redirection autorisés, cliquez sur Ajouter un URI.

  5. Collez l'URL de l'instance Looker (Google Cloud Core) dans le champ URI. Ajoutez /oauth2callback à la fin de l'URL. Par exemple : https://uuid.looker.app/oauth2callback.

    Si vous prévoyez de configurer l'autorisation OAuth pour BigQuery, vous pouvez également ajouter un deuxième URI de redirection qui pointe vers l'URL de l'instance Looker (Google Cloud Core), suivie de /external_oauth/redirect à la fin de l'URL. Par exemple : https://uuid.looker.app/external_oauth/redirect.

  6. Cliquez sur Enregistrer.

L'application de la mise à jour peut prendre de cinq minutes à quelques heures.

Gérer les utilisateurs

Une fois le client OAuth configuré et l'instance Looker (Google Cloud Core) est créée, vous pouvez vous connecter à l'instance à l'aide d'OAuth. Vous pouvez ensuite choisir la méthode d'authentification pour votre instance.

Si vous utilisez OAuth comme méthode d'authentification principale, suivez les étapes décrites sur la page de documentation Utiliser Google OAuth pour l'authentification des utilisateurs Looker (Google Cloud Core) afin de terminer la configuration d'OAuth pour l'authentification des utilisateurs.

Une fois votre méthode d'authentification configurée, vous pouvez ajouter ou supprimer des utilisateurs via votre fournisseur d'identité et les gérer dans Looker.

Afficher le type d'identifiants OAuth pour votre instance

Les identifiants OAuth ne sont pas listés directement sur la page de configuration de l'instance de la Google Cloud console. Cliquez sur Modifier sur la page de configuration de l'instance pour afficher la section Identifiants d'application OAuth.

Si les identifiants OAuth sont définis sur Gérés par Looker, Looker (Google Cloud Core) attribue des identifiants OAuth gérés par Looker pour votre instance lors de sa création, et l'ID client et le code secret du client ne sont pas affichés.

Si les identifiants OAuth sont définis sur Manuel, des identifiants OAuth manuels ont été ajoutés à votre instance pendant ou après sa création. L'ID client et le code secret du client ne sont pas affichés. À la place, la section affiche des espaces réservés ****.

Modifier le client OAuth pour une instance Looker (Google Cloud Core)

Si vous le souhaitez, vous pouvez ajouter, modifier ou modifier des identifiants OAuth pour votre instance Looker (Google Cloud Core) en procédant comme suit :

  1. Configurez le nouveau client ou les nouveaux identifiants.
  2. Dans la Google Cloud console, sur la page Instances, cliquez sur le nom d'une instance pour ouvrir la page DÉTAILS.
  3. Sur la page DÉTAILS, cliquez sur Modifier.
  4. Sur la page Modifier l'instance Looker (Google Cloud Core), accédez à la section Identifiants d'application OAuth et sélectionnez Manuel, si ce n'est pas déjà fait.
  5. Saisissez les nouvelles valeurs dans les champs ID client OAuth et Code secret du client OAuth.
  6. Cliquez sur Enregistrer.

Si vos identifiants d'application OAuth sont définis sur Gérés par Looker, vous ne pouvez pas ajouter ni modifier d'identifiants. Passez au paramètre Manuel pour les identifiants afin de les modifier ou de les ajouter.

Étape suivante