Das Looker-Dienstkonto

In Looker (Google Cloud Core) wird ein Dienst-Agent, ein Looker-Dienstkonto, verwendet, um bestimmte Aktivitäten auszuführen. Ein einzelnes Looker-Dienstkonto wird für alle Looker (Google Cloud Core)-Instanzen in einem bestimmten Google Cloud -Projekt verwendet. Das Looker-Dienstkonto wird automatisch erstellt, wenn in einem Projekt zum ersten Mal eine Looker (Google Cloud Core)‑Instanz erstellt wird.

Mit dem Dienstkonto kann Looker (Google Cloud Core) eine Verbindung zu anderen Diensten wie BigQuery herstellen.

Hinweis :Zur Verbesserung der Datensicherheit wird die alte Looker-Dienst-Agent-Rolle (roles/looker.serviceAgent) zugunsten einer eingeschränkten Rolle (roles/looker.restrictedServiceAgent) eingestellt. Wenn Ihre Instanz eine Verbindung zu BigQuery herstellt, müssen Sie explizite BigQuery-Berechtigungen erteilen, bevor die alte Rolle eingestellt wird. Weitere Informationen finden Sie auf der Seite mit Best Practices für Sicherheitsupdates für Berechtigungen des Looker (Google Cloud Core)-Dienst-Agents.

Manchmal, z. B. wenn Sie Standardanmeldedaten für Anwendungen (ADC) mit einer Verbindung zu BigQuery in einem anderen Projekt verwenden, müssen Sie Informationen zum Looker-Dienstkonto aufrufen, z. B. die E‑Mail-Adresse.

Wenn Sie CMEK verwenden möchten und die Google Cloud CLI, Terraform oder die API zum Konfigurieren von CMEK verwenden, bevor Sie die Looker (Google Cloud Core)-Instanz erstellen, müssen Sie das Looker-Dienstkonto manuell vor dem Erstellen der Instanz erstellen.

Hinweis: Sie müssen ein Looker-Dienstkonto nur dann manuell erstellen, wenn Sie die Google Cloud CLI, Terraform oder die API zum Konfigurieren von CMEK verwenden und noch kein Looker-Dienstkonto für Ihr Projekt erstellt wurde.

Wählen Sie eine der folgenden Optionen aus, um das Looker-Dienstkonto aufzurufen oder zu erstellen:

Console

So rufen Sie das Looker-Dienstkonto auf:

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.
   IAM aufrufen
2. Wählen Sie das Projekt aus, in dem sich die Looker (Google Cloud Core)-Instanz befindet.
3. Klicken Sie auf das Kästchen Von Google bereitgestellte Rollenzuweisungen einschließen.

gcloud

So erstellen oder sehen Sie das Looker-Dienstkonto:

gcloud beta services identity create --service=looker.googleapis.com --project=PROJECT_ID

Ersetzen Sie PROJECT_ID durch das Projekt, in dem sich die Looker (Google Cloud Core)-Instanz befindet.

Der Name des Dienstkontos lautet Looker Service Account. Die E-Mail hat das Format service-<project number>@gcp-sa-looker.iam.gserviceaccount.com.