為 Looker (Google Cloud Core) 執行個體建立 OAuth 用戶端和憑證

注意： 如要瞭解如何設定 OAuth 進行驗證，請參閱「使用 Google OAuth 驗證 Looker (Google Cloud Core) 使用者」說明文件頁面。

本說明文件頁面將說明如何設定 OAuth 用戶端，以及在建立執行個體時，手動將 OAuth 憑證與執行個體建立關聯。

何時建立 OAuth 憑證

在大多數情況下，Looker (Google Cloud Core) 會預設自動建立及指派 Looker 管理的 OAuth 憑證。只有在特定情況下，您才需要建立 OAuth 用戶端，並手動建立自訂 OAuth 憑證關聯，具體取決於執行個體的網路連線類型和驗證設定：

• 透過 Google OAuth 建立私人或混合連線：如果透過私人或混合連線使用 Google OAuth (做為主要或次要驗證)，則必須手動設定 OAuth。
• 使用 Google OAuth 的公開連線：不需要手動設定 OAuth；Looker (Google Cloud Core) 預設會自動指派 Looker 管理的憑證，但您也可以選擇設定自訂憑證。
• 僅限員工身分聯盟：如果使用員工身分聯盟，且未啟用次要 Google OAuth，則不需手動設定 OAuth，無論網路連線類型為何。
• 自訂網域：如果為使用公開安全連線和 Google OAuth 的執行個體設定自訂網域，則必須使用自訂 OAuth 憑證，並在建立自訂網域的過程中設定憑證。

下表摘要說明何時需要手動設定 OAuth 憑證：

主要驗證	次要驗證	網路連線類型	手動設定 OAuth
Google OAuth	無	公開安全連線	非必要。Looker (Google Cloud Core) 會自動指派 Looker 代管的憑證。
		私人連線或混合式連線	必要。按照這個頁面的指示操作。
員工身分聯盟	無	公開連線	。
員工身分聯盟	Google OAuth	公開安全連線	選用。Looker (Google Cloud Core) 預設會使用 Looker 代管的憑證，您也可以提供自訂憑證。

必要的角色

如要使用 Google Cloud 控制台建立及編輯 OAuth 憑證，您必須具備下列權限。(如要隱藏權限清單，請收合「必要權限」部分。)

所需權限

• clientauthconfig.*
• clientauthconfig.brands.create
• clientauthconfig.brands.delete
• clientauthconfig.brands.get
• clientauthconfig.brands.list
• clientauthconfig.brands.update
• clientauthconfig.clients.create
• clientauthconfig.clients.createSecret
• clientauthconfig.clients.delete
• clientauthconfig.clients.get
• clientauthconfig.clients.getWithSecret
• clientauthconfig.clients.list
• clientauthconfig.clients.listWithSecrets
• clientauthconfig.clients.undelete
• clientauthconfig.clients.update
• oauthconfig.*
• oauthconfig.clientpolicy.get
• oauthconfig.testusers.get
• oauthconfig.testusers.update
• oauthconfig.verification.get
• oauthconfig.verification.submit
• oauthconfig.verification.update

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。如要進一步瞭解如何授予角色，請參閱 Identity and Access Management (IAM) 說明文件中的「管理專案、資料夾和機構的存取權」頁面。

建立 Looker (Google Cloud Core) 執行個體前

建立 Looker (Google Cloud Core) 執行個體前，請先完成下列各節所述的步驟：

• 產生 OAuth 用戶端 ID 和用戶端密鑰
• 設定使用者同意畫面、範圍和測試使用者

產生 OAuth 用戶端 ID 和用戶端密鑰

首先，請建立 OAuth 用戶端，並為該用戶端產生用戶端 ID 和用戶端密鑰。建立 Looker (Google Cloud Core) 執行個體時，必須提供這些值。

您可以在任何 Google Cloud 專案中設定 OAuth 用戶端。不一定要與 Looker (Google Cloud Core) 執行個體位於同一個專案。不過，您必須在這項專案中啟用 Looker (Google Cloud Core) API。

如要建立用戶端和憑證，請按照下列步驟操作：

1. 前往要建立 OAuth 用戶端的專案。
2. 依序前往「API 和服務」>「憑證」。
3. 在「憑證」頁面中，點選「建立憑證」。
4. 從下拉式選單中選取「OAuth client ID」(OAuth 用戶端 ID)。
5. 在「應用程式類型」下拉式選單中，選取「網頁應用程式」。
6. 在「Name」(名稱) 欄位中，輸入 OAuth 用戶端的名稱。
7. 此時不需要在「已授權的 JavaScript 來源」或「已授權的重新導向 URI」部分新增 URI。
8. 點選「建立」。

點選「建立」後，系統會顯示「已建立 OAuth 用戶端」視窗。這個視窗會顯示為 OAuth 用戶端建立的用戶端 ID 和用戶端密鑰。建立 Looker (Google Cloud Core) 執行個體時，必須提供這些值。

(選用) 按一下「Download JSON」(下載 JSON)，以 JSON 檔案格式下載憑證資訊。如要關閉視窗，請按一下「確定」。

設定使用者同意畫面、範圍和測試使用者

接下來，您可能需要設定同意畫面。Looker (Google Cloud Core) 執行個體的使用者首次登入時，以及授權到期或遭使用者撤銷時，都會看到同意畫面。

請按照「設定 OAuth 同意畫面並選擇範圍」說明文件頁面的指示操作。設定螢幕時，請按照說明完成下列設定：

• 在「品牌」部分的「授權網域」下方，網域必須與使用 OAuth 憑證的 Looker (Google Cloud Core) 執行個體網域相符。如果您要為 Looker (Google Cloud Core) 執行個體建立自訂網域，且知道要指派給執行個體的網域，現在即可輸入。否則，您可以將這個欄位留空，系統會在 Looker (Google Cloud Core) 執行個體建立後，在您新增授權重新導向 URI 時自動填入。

• 在「目標對象」部分的「使用者類型」下方，選取下列其中一個選項：

  • 內部：這是預設設定。只有組織內的使用者，在透過 IAM 新增後，才能存取執行個體。
  • 設為外部：使用者只要透過 IAM 新增，就能使用任何類型的 Google 帳戶存取執行個體。
  注意： 如要讓 Google 支援等使用者透過 OAuth 和 IAM 存取執行個體，請將「使用者類型」設為「外部」，並透過 IAM 新增支援使用者。 您隨時可以編輯「使用者類型」設定。

建立 Looker (Google Cloud Core) 執行個體時

建立 Looker (Google Cloud Core) 執行個體時，請在「OAuth Application Credentials」(OAuth 應用程式憑證) 專區新增 OAuth 用戶端 ID 和用戶端密鑰。您必須具備 OAuth 憑證，才能建立執行個體。前往 Google Cloud 控制台中的 OAuth 用戶端，即可找到 OAuth 用戶端 ID 和密鑰。

建立 Looker (Google Cloud Core) 執行個體後

請按照下列操作說明完成設定。新增已授權的重新導向 URI 後，該 URI 會新增至 OAuth 同意畫面，做為已授權網域。

將授權重新導向 URI 新增至 OAuth 用戶端

如果尚未完成，請按照下列步驟，在 OAuth 用戶端中輸入新建立的 Looker (Google Cloud Core) 執行個體網址。

1. 建立 Looker (Google Cloud Core) 執行個體後，請找出並複製執行個體的網址。您可以在「Instances」(執行個體) 頁面中找到網址。

   注意： 如果您要為執行個體設定自訂網域，請務必先完成設定，再複製網址。將自訂網域新增至 OAuth 用戶端後，使用者就無法再登入建立執行個體時授予的自動產生執行個體網址，即使該網域也位於 OAuth 用戶端中也一樣。

2. 在 Google Cloud 控制台中，依序前往「API 和服務」>「憑證」。

3. 在「OAuth 2.0 用戶端 ID」標題下方，點選您建立的用戶端名稱。

4. 在「已授權的重新導向 URI」部分，按一下「新增 URI」。

5. 將 Looker (Google Cloud Core) 執行個體的網址貼到「URI」欄位。在網址結尾加上 /oauth2callback。例如：https://uuid.looker.app/oauth2callback。

   如要設定 BigQuery 的 OAuth 授權，您也可以新增第二個重新導向 URI，指向 Looker (Google Cloud Core) 執行個體的網址，並在網址結尾加上 /external_oauth/redirect。例如：https://uuid.looker.app/external_oauth/redirect。

6. 按一下 [儲存]。

更新可能需要 5 分鐘至數小時才會生效。

管理使用者

設定 OAuth 用戶端並建立 Looker (Google Cloud Core) 執行個體後，您可以使用 OAuth 登入執行個體。接著，您可以選擇執行個體的驗證方式。

如果使用 OAuth 做為主要驗證方式，請按照「使用 Google OAuth 驗證 Looker (Google Cloud Core) 使用者」說明文件頁面的步驟，完成使用者驗證的 OAuth 設定。

設定驗證方式後，您就能透過身分識別提供者新增或移除使用者，並在 Looker 中管理使用者。

查看執行個體的 OAuth 憑證類型

OAuth 憑證不會直接列在 Google Cloud 控制台的執行個體設定頁面中。在執行個體設定頁面中，按一下「編輯」，即可查看「OAuth 應用程式憑證」部分。

如果 OAuth 憑證設為「Looker managed」(由 Looker 管理)，Looker (Google Cloud Core) 會在建立執行個體時，為執行個體指派由 Looker 管理的 OAuth 憑證，且不會顯示用戶端 ID 和用戶端密鑰。

如果 OAuth 憑證設為「手動」，代表在建立執行個體期間或之後，手動新增了 OAuth 憑證。系統不會顯示用戶端 ID 和用戶端密鑰，而是顯示 **** 預留位置。

編輯 Looker (Google Cloud Core) 執行個體的 OAuth 用戶端

如要新增、編輯或變更 Looker (Google Cloud Core) 執行個體的 OAuth 憑證，請按照下列步驟操作：

1. 設定新的用戶端或憑證。
2. 在 Google Cloud 控制台的「Instances」(執行個體) 頁面中，按一下執行個體名稱，開啟「DETAILS」(詳細資料) 頁面。
3. 在「詳細資料」頁面中，按一下「編輯」。
4. 在「Edit Looker (Google Cloud core) instance」(編輯 Looker (Google Cloud Core) 執行個體) 頁面，前往「OAuth application credentials」(OAuth 應用程式憑證) 區段，然後選取「Manual」(手動) (如果尚未選取)。
5. 在「OAuth Client ID」和「OAuth Client Secret」欄位中輸入新值。
6. 按一下 [儲存]。

如果 OAuth 應用程式憑證設為「Looker 管理」，您就無法新增或編輯憑證。將憑證設定切換為「手動」，即可編輯或新增憑證。

後續步驟

• 建立公開 IP Looker (Google Cloud Core) 執行個體
• 建立私人連線 (私人服務連線) Looker (Google Cloud Core) 執行個體