OAuth-Client und ‑Anmeldedaten für eine Looker (Google Cloud Core)-Instanz erstellen

Auf dieser Dokumentationsseite wird erläutert, wie Sie Ihren OAuth-Client einrichten und während der Instanzerstellung manuell OAuth-Anmeldedaten mit Ihrer Instanz verknüpfen.

Wann müssen OAuth-Anmeldedaten erstellt werden?

In den meisten Fällen erstellt und weist Looker (Google Cloud Core) standardmäßig von Looker verwaltete OAuth-Anmeldedaten zu. Sie müssen nur in bestimmten Szenarien einen OAuth-Client erstellen und benutzerdefinierte OAuth-Anmeldedaten manuell verknüpfen. Das hängt vom Typ der Netzwerkverbindung und der Authentifizierungskonfiguration Ihrer Instanz ab:

  • Private oder Hybridverbindungen mit Google OAuth:Eine manuelle OAuth-Einrichtung ist erforderlich , wenn Google OAuth (entweder als primäre oder sekundäre Authentifizierung) mit privaten oder Hybridverbindungen verwendet wird.
  • Öffentliche Verbindungen mit Google OAuth: Eine manuelle OAuth-Einrichtung ist nicht erforderlich. Looker (Google Cloud Core) weist standardmäßig von Looker verwaltete Anmeldedaten zu. Sie können aber optional benutzerdefinierte Anmeldedaten konfigurieren.
  • Nur Mitarbeiteridentitätsföderation:Eine manuelle OAuth-Einrichtung ist bei Verwendung der Mitarbeiteridentitätsföderation ohne sekundäres Google OAuth für keinen Netzwerkverbindungstyp erforderlich.
  • Benutzerdefinierte Domains: Wenn Sie eine benutzerdefinierte Domain für eine Instanz konfigurieren, die öffentliche verschlüsselte Verbindungen und Google OAuth verwendet, sind benutzerdefinierte OAuth-Anmeldedaten erforderlich. Diese werden im Rahmen der Erstellung der benutzerdefinierten Domain konfiguriert.

In der folgenden Tabelle ist zusammengefasst, wann eine manuelle Einrichtung von OAuth-Anmeldedaten erforderlich ist:

Primäre Authentifizierung Sekundäre Authentifizierung Art der Netzwerkverbindung Manuelle OAuth-Einrichtung
Google OAuth Keine Öffentliche verschlüsselte Verbindungen Nicht erforderlich. Looker (Google Cloud Core) weist automatisch von Looker verwaltete Anmeldedaten zu.
Private Verbindungen oder Hybridverbindungen Erforderlich. Folgen Sie dazu der Anleitung auf dieser Seite.
Mitarbeiteridentitätsföderation Keine Öffentliche Verbindungen Nicht erforderlich.
Mitarbeiteridentitätsföderation Google OAuth Öffentliche verschlüsselte Verbindungen Optional. Looker (Google Cloud Core) verwendet standardmäßig von Looker verwaltete Anmeldedaten. Sie können aber auch benutzerdefinierte Anmeldedaten angeben.

Erforderliche Rollen

Wenn Sie die Google Cloud console verwenden möchten, um OAuth-Anmeldedaten zu erstellen und zu bearbeiten, benötigen Sie die folgenden Berechtigungen. Wenn Sie die Liste der Berechtigungen ausblenden möchten, maximieren Sie den Abschnitt Erforderliche Berechtigungen.

Erforderliche Berechtigungen

  • clientauthconfig.*
    • clientauthconfig.brands.create
    • clientauthconfig.brands.delete
    • clientauthconfig.brands.get
    • clientauthconfig.brands.list
    • clientauthconfig.brands.update
    • clientauthconfig.clients.create
    • clientauthconfig.clients.createSecret
    • clientauthconfig.clients.delete
    • clientauthconfig.clients.get
    • clientauthconfig.clients.getWithSecret
    • clientauthconfig.clients.list
    • clientauthconfig.clients.listWithSecrets
    • clientauthconfig.clients.undelete
    • clientauthconfig.clients.update
  • oauthconfig.*
    • oauthconfig.clientpolicy.get
    • oauthconfig.testusers.get
    • oauthconfig.testusers.update
    • oauthconfig.verification.get
    • oauthconfig.verification.submit
    • oauthconfig.verification.update

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten. Weitere Informationen zum Zuweisen von Rollen finden Sie in der IAM-Dokumentation (Identity and Access Management) auf der Seite Zugriff auf Projekte, Ordner und Organisationen verwalten.

Bevor Sie eine Looker (Google Cloud Core)-Instanz erstellen

Bevor Sie eine Looker (Google Cloud Core)-Instanz erstellen, führen Sie die Schritte in diesen Abschnitten aus:

OAuth-Client-ID und ‑Clientschlüssel generieren

Erstellen Sie zuerst einen OAuth-Client und generieren Sie die Client-ID und den Clientschlüssel für diesen Client. Diese Werte sind bei der Erstellung der Looker (Google Cloud Core)-Instanz erforderlich.

Sie können den OAuth-Client in einem beliebigen Google Cloud Projekt einrichten. Es muss nicht dasselbe Projekt wie die Looker (Google Cloud Core)-Instanz sein. Die Looker (Google Cloud Core) API muss jedoch in diesem Projekt aktiviert sein.

So erstellen Sie den Client und seine Anmeldedaten:

  1. Rufen Sie das Projekt auf, in dem Sie den OAuth-Client erstellen möchten.
  2. Rufen Sie API & Dienste > Anmeldedaten auf.
  3. Klicken Sie auf der Seite Anmeldedaten auf Anmeldedaten erstellen.
  4. Wählen Sie im Drop-down-Menü OAuth-Client-ID aus.
  5. Wählen Sie im Drop-down-Menü Anwendungstyp die Option Webanwendung aus.
  6. Geben Sie im Feld Name einen Namen für Ihren OAuth-Client ein.
  7. An dieser Stelle müssen Sie keine URIs in den Abschnitten Autorisierte JavaScript-Quellen oder Autorisierte Weiterleitungs-URIs hinzufügen.
  8. Klicken Sie auf Erstellen.

Nachdem Sie auf Erstellen geklickt haben, wird das Fenster OAuth-Client erstellt angezeigt. In diesem Fenster werden die Client-ID und der Clientschlüssel angezeigt, die für Ihren OAuth-Client erstellt wurden. Diese Werte sind erforderlich, wenn Sie die Looker (Google Cloud Core)-Instanz erstellen.

Optional können Sie auf JSON herunterladen klicken, um die Anmeldedaten in einer JSON-Datei herunterzuladen. Klicken Sie auf OK, um das Fenster zu schließen.

Als Nächstes können Sie den Zustimmungsbildschirm konfigurieren. Der Zustimmungsbildschirm wird einem Nutzer der Looker (Google Cloud Core)-Instanz bei der ersten Anmeldung und immer dann angezeigt, wenn die Autorisierung abläuft oder vom Nutzer widerrufen wird.

Folgen Sie der Anleitung auf der Dokumentationsseite OAuth-Zustimmungsbildschirm konfigurieren und Bereiche auswählen. Konfigurieren Sie beim Einrichten des Bildschirms die folgenden Einstellungen wie beschrieben:

  • Im Abschnitt Branding muss die Domain unter Autorisierte Domains mit der Domain der Looker (Google Cloud Core)-Instanz übereinstimmen, die die OAuth-Anmeldedaten verwendet. Wenn Sie eine benutzerdefinierte Domain für Ihre Looker (Google Cloud Core)-Instanz erstellen und die Domain kennen, die Sie ihr zuweisen möchten, können Sie sie jetzt eingeben. Andernfalls können Sie dieses Feld leer lassen. Es wird automatisch ausgefüllt, wenn Sie den autorisierten Weiterleitungs-URI hinzufügen, nachdem die Looker (Google Cloud Core)-Instanz erstellt wurde.

  • Wählen Sie im Abschnitt Zielgruppe unter Nutzertyp eine der folgenden Optionen aus:

Während der Erstellung der Looker (Google Cloud Core)-Instanz

Wenn Sie die Looker (Google Cloud Core)-Instanz erstellen, fügen Sie die OAuth-Client-ID und den Clientschlüssel im Abschnitt Anmeldedaten für OAuth-Anwendung hinzu. Sie können keine Instanz ohne OAuth-Anmeldedaten erstellen. Die OAuth-Client-ID und den Clientschlüssel finden Sie, indem Sie in der Google Cloud console zum OAuth-Client navigieren.

Nachdem Sie eine Looker (Google Cloud Core)-Instanz erstellt haben

Folgen Sie der Anleitung, um die Konfiguration abzuschließen. Wenn Sie einen autorisierten Weiterleitungs-URI hinzufügen, wird er in Ihrem OAuth-Zustimmungsbildschirm als autorisierte Domain hinzugefügt.

Autorisierten Weiterleitungs-URI zum OAuth-Client hinzufügen

Falls noch nicht geschehen, führen Sie die folgenden Schritte aus, um die URL der neu erstellten Looker-Instanz (Google Cloud Core) in den OAuth-Client einzugeben.

  1. Nachdem Sie eine Looker (Google Cloud Core)-Instanz erstellt haben, suchen Sie nach der URL der Instanz und kopieren Sie sie. Sie finden die URL auf der Seite Instanzen.

  2. Rufen Sie in der Google Cloud console API & Dienste > Anmeldedaten auf.

  3. Klicken Sie unter der Überschrift OAuth 2.0-Client-IDs auf den Namen des von Ihnen erstellten Clients.

  4. Klicken Sie im Abschnitt Autorisierte Weiterleitungs-URIs auf URI hinzufügen.

  5. Fügen Sie die URL der Looker-Instanz (Google Cloud Core) in das Feld URIs ein. Fügen Sie am Ende der URL /oauth2callback hinzu. Beispiel: https://uuid.looker.app/oauth2callback.

    Wenn Sie die OAuth-Autorisierung für BigQuery einrichten möchten, können Sie auch einen zweiten Weiterleitungs-URI hinzufügen, der auf die URL der Looker (Google Cloud Core)-Instanz verweist, gefolgt von /external_oauth/redirect am Ende der URL. Beispiel: https://uuid.looker.app/external_oauth/redirect.

  6. Klicken Sie auf Speichern.

Es kann fünf Minuten bis einige Stunden dauern, bis die Aktualisierung wirksam wird.

Nutzer verwalten

Sobald der OAuth-Client konfiguriert und die Looker (Google Cloud Core)-Instanz erstellt wurde, können Sie sich über OAuth in der Instanz anmelden. Anschließend können Sie die Authentifizierungsmethode für Ihre Instanz auswählen.

Wenn Sie OAuth als primäre Authentifizierungsmethode verwenden, führen Sie die Schritte auf der Dokumentationsseite Google OAuth für die Nutzerauthentifizierung in Looker (Google Cloud Core) verwenden aus, um die OAuth-Einrichtung für die Nutzerauthentifizierung abzuschließen.

Nachdem Sie Ihre Authentifizierungsmethode eingerichtet haben, können Sie über Ihren Identitätsanbieter Nutzer hinzufügen oder entfernen und sie in Looker verwalten.

Typ der OAuth-Anmeldedaten für Ihre Instanz ansehen

OAuth-Anmeldedaten werden nicht direkt auf der Seite mit der Instanzkonfiguration der Google Cloud console aufgeführt. Klicken Sie auf der Seite mit der Instanzkonfiguration auf Bearbeiten , um den Abschnitt Anmeldedaten für OAuth-Anwendung aufzurufen.

Wenn die OAuth-Anmeldedaten auf Von Looker verwaltet festgelegt sind, weist Looker (Google Cloud Core) während der Instanzerstellung von Looker verwaltete OAuth-Anmeldedaten für Ihre Instanz zu. Die Client-ID und der Clientschlüssel werden nicht angezeigt.

Wenn die OAuth-Anmeldedaten auf Manuell festgelegt sind, wurden Ihrer Instanz während oder nach der Instanzerstellung manuelle OAuth-Anmeldedaten hinzugefügt. Die Client-ID und der Clientschlüssel werden nicht angezeigt. Stattdessen werden im Abschnitt Platzhalter **** angezeigt.

OAuth-Client für eine Looker (Google Cloud Core)-Instanz bearbeiten

Sie können OAuth-Anmeldedaten für Ihre Looker (Google Cloud Core)-Instanz hinzufügen, bearbeiten oder ändern. Folgen Sie dazu dieser Anleitung:

  1. Richten Sie den neuen Client oder die neuen Anmeldedaten ein.
  2. Klicken Sie in der Google Cloud console auf der Seite Instanzen auf den Namen einer Instanz, um die Seite DETAILS zu öffnen.
  3. Klicken Sie auf der Seite DETAILS auf Bearbeiten.
  4. Gehen Sie auf der Seite Looker (Google Cloud Core)-Instanz bearbeiten zum Abschnitt Anmeldedaten für OAuth-Anwendung und wählen Sie Manuell aus, falls diese Option noch nicht ausgewählt ist.
  5. Geben Sie die neuen Werte in die Felder OAuth-Client-ID und OAuth-Clientschlüssel ein.
  6. Klicken Sie auf Speichern.

Wenn Ihre OAuth-Anmeldedaten auf Von Looker verwaltet festgelegt sind, können Sie keine Anmeldedaten hinzufügen oder bearbeiten. Wechseln Sie zur Einstellung Manuell für Anmeldedaten, um sie zu bearbeiten oder hinzuzufügen.

Nächste Schritte