יצירת לקוח OAuth ופרטי כניסה למופע Looker (Google Cloud core)

הערה: כדי ללמוד איך להגדיר את OAuth לאימות, אפשר לעיין בדף התיעוד שימוש ב-Google OAuth לאימות משתמשים ב-Looker (Google Cloud core).

בדף הזה מוסבר איך להגדיר את לקוח ה-OAuth ולשייך ידנית את פרטי הכניסה של OAuth למכונה בזמן היצירה שלה.

מתי צריך ליצור פרטי כניסה של OAuth

ברוב המקרים, Looker (Google Cloud core) יוצר ומקצה באופן אוטומטי פרטי כניסה ל-OAuth שמנוהלים על ידי Looker כברירת מחדל. צריך ליצור לקוח OAuth ולשייך באופן ידני פרטי כניסה מותאמים אישית ל-OAuth רק בתרחישים ספציפיים, בהתאם לסוג החיבור לרשת ולהגדרות האימות של המכונה:

• חיבורים פרטיים או היברידיים עם Google OAuth: צריך להגדיר את OAuth באופן ידני בכל פעם שמשתמשים ב-Google OAuth (כאימות ראשי או משני) עם חיבורים פרטיים או היברידיים.
• חיבורים ציבוריים עם Google OAuth: לא נדרשת הגדרה ידנית של OAuth. כברירת מחדל, Looker (Google Cloud core) מקצה באופן אוטומטי פרטי כניסה שמנוהלים על ידי Looker, אבל אפשר גם להגדיר פרטי כניסה בהתאמה אישית.
• רק באיחוד שירותי אימות הזהות של כוח העבודה: כשמשתמשים באיחוד שירותי אימות הזהות של כוח העבודה בלי OAuth משני של Google, לא צריך להגדיר OAuth באופן ידני בכל סוג של חיבור לרשת.
• דומיינים בהתאמה אישית: אם מגדירים דומיין בהתאמה אישית למכונה שמשתמשת בחיבורים מאובטחים ציבוריים וב-Google OAuth, צריך פרטי כניסה מותאמים אישית ל-OAuth והם מוגדרים כחלק מתהליך היצירה של הדומיין בהתאמה אישית.

בטבלה הבאה מפורט מתי נדרשת הגדרה ידנית של פרטי כניסה של OAuth:

אימות ראשי	אימות משני	סוג החיבור לרשת	הגדרה ידנית של OAuth
Google OAuth	ללא	חיבורים מאובטחים שגלויים לכולם	לא נדרשת. ‫Looker (Google Cloud core) מקצה באופן אוטומטי פרטי כניסה שמנוהלים על ידי Looker.
		חיבורים פרטיים או חיבורים היברידיים	חובה. פועלים לפי ההוראות שבדף הזה.
איחוד שירותי אימות הזהות של כוח עבודה	ללא	חיבורים ציבוריים	לא נדרשת.
איחוד שירותי אימות הזהות של כוח עבודה	Google OAuth	חיבורים מאובטחים שגלויים לכולם	זה שינוי אופציונלי. ב-Looker (Google Cloud core) נעשה שימוש בפרטי כניסה שמנוהלים על ידי Looker כברירת מחדל, אבל אפשר גם לספק פרטי כניסה בהתאמה אישית.

התפקידים הנדרשים

כדי להשתמש במסוף Google Cloud ליצירה ולעריכה של פרטי כניסה ל-OAuth, אתם צריכים את ההרשאות הבאות. (כדי להסתיר את רשימת ההרשאות, מכווצים את הקטע ההרשאות הנדרשות).

ההרשאות הנדרשות

• clientauthconfig.*
• clientauthconfig.brands.create
• clientauthconfig.brands.delete
• clientauthconfig.brands.get
• clientauthconfig.brands.list
• clientauthconfig.brands.update
• clientauthconfig.clients.create
• clientauthconfig.clients.createSecret
• clientauthconfig.clients.delete
• clientauthconfig.clients.get
• clientauthconfig.clients.getWithSecret
• clientauthconfig.clients.list
• clientauthconfig.clients.listWithSecrets
• clientauthconfig.clients.undelete
• clientauthconfig.clients.update
• oauthconfig.*
• oauthconfig.clientpolicy.get
• oauthconfig.testusers.get
• oauthconfig.testusers.update
• oauthconfig.verification.get
• oauthconfig.verification.submit
• oauthconfig.verification.update

יכול להיות שתוכלו לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש. מידע נוסף על הקצאת תפקידים מופיע במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים במסמכי העזרה של IAM.

לפני שיוצרים מופע של Looker (Google Cloud Core)‎

לפני שיוצרים מכונה של Looker (Google Cloud core), צריך לבצע את השלבים שמתוארים בקטעים הבאים:

• יצירת מזהה לקוח וסוד לקוח ב-OAuth
• הגדרת מסך הסכמה, היקפי ההרשאות ומשתמשי בדיקה

יצירת מזהה לקוח וסוד לקוח ב-OAuth

קודם כול יוצרים לקוח OAuth ומפיקים את מזהה הלקוח ואת סוד הלקוח בשביל הלקוח הזה. צריך להזין את הערכים האלה כשיוצרים את המכונה של Looker (Google Cloud core).

אפשר להגדיר את לקוח ה-OAuth בכל פרויקט ב- Google Cloud . הוא לא חייב להיות באותו פרויקט כמו המכונה של Looker (ליבת Google Cloud). עם זאת, צריך להפעיל את Looker (Google Cloud core) API בפרויקט הזה.

כדי ליצור את הלקוח ואת פרטי הכניסה שלו, פועלים לפי השלבים הבאים:

1. עוברים לפרויקט שבו רוצים ליצור את לקוח ה-OAuth.
2. עוברים אל APIs & Services > Credentials (ממשקי API ושירותים > אמצעי אימות).
3. בדף Credentials, לוחצים על Create Credentials.
4. בתפריט הנפתח, בוחרים באפשרות OAuth client ID.
5. בתפריט הנפתח Application type בוחרים באפשרות אפליקציית אינטרנט.
6. בשדה Name, מזינים שם ללקוח OAuth.
7. בשלב הזה, אין צורך להוסיף כתובות URI בקטעים מקורות JavaScript מורשים או כתובות URI מורשות להפניה אוטומטית.
8. לוחצים על יצירה.

אחרי שלוחצים על Create, מופיע החלון לקוח OAuth נוצר. בחלון הזה מוצגים מזהה הלקוח וסוד הלקוח שנוצרו בשביל לקוח ה-OAuth. תצטרכו את הערכים האלה כשתרצו ליצור את המכונה של Looker (Google Cloud core)‎.

אם רוצים, לוחצים על Download JSON כדי להוריד את פרטי הכניסה בקובץ JSON. כדי לסגור את החלון, לוחצים על אישור.

הגדרת מסך ההסכמה של המשתמש, ההיקפים ומשתמשי הבדיקה

בשלב הבא, יכול להיות שתרצו להגדיר את מסך ההסכמה. מסך ההסכמה מוצג למשתמש במופע של Looker (Google Cloud core) בכניסה הראשונה שלו, ובכל שלב שבו ההרשאה שלו פגה או מבוטלת על ידי המשתמש.

פועלים לפי ההוראות שבדף התיעוד הגדרת מסך ההסכמה של OAuth ובחירת היקפי ההרשאות. במהלך הגדרת המסך, משלימים את ההגדרות הבאות כמו שמתואר:

• בקטע Branding, מתחת לAuthorized domains, הדומיין צריך להיות זהה לדומיין של מופע Looker (Google Cloud core) שמשתמש בהרשאות OAuth. אם אתם מתכוונים ליצור דומיין בהתאמה אישית למכונה של Looker (Google Cloud core) ואתם יודעים איזה דומיין תקצו לה, אתם יכולים להזין אותו עכשיו. אפשר גם להשאיר את השדה הזה ריק. הוא יאוכלס אוטומטית כשמוסיפים את כתובת ה-URI המורשית להפניה אוטומטית אחרי שיוצרים את מופע Looker (ליבת Google Cloud).

• בקטע קהל, בקטע סוג משתמש, בוחרים באחת מהאפשרויות הבאות:

  • פנימי: זו הגדרת ברירת המחדל. רק משתמשים בארגון יכולים לגשת למכונה אחרי שמוסיפים אותם דרך IAM.
  • הפיכה לחיצונית: משתמשים עם כל סוג של חשבון Google יכולים לגשת למופע אחרי הוספה דרך IAM.
  הערה: אם רוצים שמשתמש כמו התמיכה של Google יוכל לגשת למכונה באמצעות OAuth ו-IAM, צריך להגדיר את סוג המשתמש כחיצוני, ולהוסיף את משתמש התמיכה באמצעות IAM. אפשר לערוך את ההגדרה סוג המשתמש בכל שלב.

במהלך יצירת המכונה של Looker (Google Cloud core)

כשיוצרים את מופע Looker (Google Cloud core), מוסיפים את מזהה לקוח OAuth ואת סוד הלקוח בקטע OAuth Application Credentials. אי אפשר ליצור מופע בלי פרטי כניסה ל-OAuth. כדי למצוא את מזהה הלקוח ואת סוד הלקוח ב-OAuth, עוברים אל לקוח ה-OAuth ב Google Cloud מסוף.

אחרי שיוצרים מכונה של Looker (Google Cloud core)‎

כדי לסיים את ההגדרה, פועלים לפי ההוראות הבאות. כשמוסיפים URI מורשה להפניה אוטומטית, הוא מתווסף למסך ההסכמה של OAuth כדומיין מורשה.

הוספת כתובת ה-URI המורשית להפניה אוטומטית ללקוח OAuth

אם עדיין לא עשיתם את זה, בצעו את השלבים הבאים כדי להזין את כתובת ה-URL של המכונה החדשה של Looker (Google Cloud core) בלקוח OAuth.

1. אחרי שיוצרים מכונה של Looker (Google Cloud core), מאתרים את כתובת ה-URL של המכונה ומעתיקים אותה. אפשר למצוא את כתובת ה-URL בדף Instances.

   הערה: אם אתם מגדירים דומיין מותאם אישית למופע שלכם, הקפידו להשלים את ההגדרה הזו לפני שמעתיקים את כתובת ה-URL. אחרי שמוסיפים את הדומיין המותאם אישית ללקוח OAuth, המשתמשים לא יכולים יותר להתחבר לכתובת ה-URL של המופע שנוצרה באופן אוטומטי ושהוקצתה כשנוצר המופע, גם אם הדומיין הזה נמצא גם בלקוח OAuth.

2. במסוף Google Cloud , נכנסים לדף APIs & Services > Credentials.

3. בקטע OAuth 2.0 Client IDs (מזהים של לקוחות OAuth 2.0), לוחצים על השם של הלקוח שיצרתם.

4. בקטע Authorized redirect URIs, לוחצים על Add URI.

5. מדביקים את כתובת ה-URL של המכונה של Looker (Google Cloud core) בשדה URIs. מוסיפים /oauth2callback לסוף כתובת ה-URL. לדוגמה: https://uuid.looker.app/oauth2callback.

   אם אתם מתכוונים להגדיר הרשאת OAuth ל-BigQuery, אתם יכולים גם להוסיף כתובת URI שנייה להפניה אוטומטית שמפנה לכתובת ה-URL של מופע Looker (Google Cloud core) ואחריה /external_oauth/redirect שנוספה לסוף כתובת ה-URL. לדוגמה: https://uuid.looker.app/external_oauth/redirect.

6. לוחצים על Save.

יכול להיות שיחלפו חמש דקות עד כמה שעות עד שהעדכון ייכנס לתוקף.

ניהול משתמשים

אחרי שמגדירים את לקוח ה-OAuth ויוצרים את המכונה של Looker (Google Cloud core), אפשר להיכנס למכונה באמצעות OAuth. לאחר מכן, תוכלו לבחור את שיטת האימות של המכונה.

אם אתם משתמשים ב-OAuth כשיטת האימות העיקרית, צריך להשלים את השלבים שמתוארים בדף התיעוד שימוש ב-Google OAuth לאימות משתמשים ב-Looker (Google Cloud core) כדי להשלים את הגדרת OAuth לאימות משתמשים.

אחרי שמגדירים את שיטת האימות, אפשר להוסיף או להסיר משתמשים דרך ספק הזהויות ולנהל אותם ב-Looker.

איך בודקים את סוג פרטי הכניסה של OAuth במכונה שלכם

פרטי הכניסה ל-OAuth לא מופיעים ישירות בדף ההגדרות של המכונה במסוף Google Cloud . לוחצים על Edit (עריכה) בדף הגדרת המופע כדי לראות את הקטע OAuth application credentials (פרטי הכניסה של אפליקציית OAuth).

אם פרטי הכניסה ל-OAuth מוגדרים כמנוהלים על ידי Looker, המערכת של Looker (Google Cloud core) מקצה למכונה פרטי כניסה ל-OAuth שמנוהלים על ידי Looker במהלך יצירת המכונה, ומזהה הלקוח וסוד הלקוח לא מוצגים.

אם פרטי הכניסה של OAuth מוגדרים לידני, פרטי כניסה ידניים של OAuth נוספו למופע במהלך יצירת המופע או אחריו. מזהה הלקוח וסוד הלקוח לא מוצגים. במקום זאת, בקטע מוצגים פלייסהולדרים של ****.

עריכת לקוח OAuth של מכונה של Looker (Google Cloud core)

אם רוצים, אפשר להוסיף, לערוך או לשנות את פרטי הכניסה של OAuth למופע Looker (Google Cloud core) באמצעות השלבים הבאים:

1. מגדירים את הלקוח או את פרטי הכניסה החדשים.
2. במסוף Google Cloud , בדף Instances, לוחצים על שם המכונה כדי לפתוח את הדף DETAILS.
3. בדף DETAILS, לוחצים על Edit.
4. בדף Edit Looker (Google Cloud core) instance, עוברים לקטע OAuth application credentials ובוחרים באפשרות Manual, אם היא עדיין לא נבחרה.
5. מזינים את הערכים החדשים בשדות מזהה לקוח ב-OAuth וסוד לקוח ב-OAuth.
6. לוחצים על Save.

אם פרטי הכניסה של אפליקציית OAuth מוגדרים כמנוהלים על ידי Looker, אי אפשר להוסיף או לערוך את פרטי הכניסה. כדי לערוך או להוסיף פרטי כניסה, עוברים להגדרה ידנית של פרטי הכניסה.

המאמרים הבאים

• יצירת מכונה של Looker (Google Cloud Core) עם כתובת IP ציבורית
• יצירת מכונה של Looker (Google Cloud core) עם חיבורים פרטיים (גישה לשירותים פרטיים)