Halaman ini diterjemahkan oleh Cloud Translation API.

Keamanan tingkat baris BigQuery dengan Advanced Services

Misalnya, asumsikan Anda mencoba membuat solusi untuk organisasi penjualan. Organisasi penjualan dibagi menjadi beberapa region, dan setiap region memiliki Manajer Regional sendiri. {i>Dataset<i} penjualan di BigQuery memiliki jumlah penjualan berdasarkan wilayah dan tanggal.

Solusi yang diusulkan akan memiliki satu dasbor yang memungkinkan Manajer Regional hanya dapat melihat data penjualan untuk wilayahnya sendiri.

Persyaratan

Pelihat dasbor akan login dengan Akun Google.
Pemetaan tersedia antara email pengguna dan data/baris yang dapat mereka akses.
Akun layanan akan digunakan untuk mengakses data BigQuery. Dengan demikian, penagihan akan dipusatkan dan dikelola oleh penyedia dasbor.

Batasan

Dasbor memerlukan otorisasi satu kali dari setiap pelihat pada tampilan pertama.
Pelihat tidak dapat mengedit dasbor atau berbagi dengan orang lain.
Jika Anda adalah pelanggan Workspace dan administrator telah menonaktifkan berbagi file Drive ke “Siapa saja yang memiliki Link”, hapus pembatasan berbagi atau kembangkan solusi di akun Gmail.com.

Solusi

Selesaikan semua langkah berikut untuk menerapkan solusi.

Membuat Konektor Komunitas baru

Tinjau Cara Kerja Konektor Komunitas dan selesaikan Codelab Konektor Komunitas untuk memulai. Gunakan Alat developer untuk membuat konektor guna proses pengembangan yang lebih cepat dan mudah.

Tulis kode konektor

getAuthType() akan menampilkan NONE.
getConfig() harus menampilkan konfigurasi kosong.
- Opsional: Jika memerlukan input khusus untuk mengonfigurasi dasbor, Anda dapat meminta input pengguna di sini.
getSchema() harus menampilkan skema untuk kueri Anda.
- Opsional: Anda dapat menambahkan kalkulasi dan kolom kustom di kueri SQL atau menggunakan kolom kalkulasi sebagai bagian dari skema.
getData() akan diselesaikan di langkah berikutnya.

Mengupdate manifes

Lihat Referensi manifes dan lengkapi manifes dengan semua informasi yang diperlukan, termasuk hal berikut:

setel dataStudio.forceViewersCredentials ke true.
setel dataStudio.advancedServices.data ke true.
Untuk oauthScopes, tambahkan https://www.googleapis.com/auth/userinfo.email dan https://www.googleapis.com/auth/script.external_request. Lihat Cakupan Otorisasi untuk Apps Script untuk mengetahui info selengkapnya.
- Kondisional: Menambahkan semua cakupan yang relevan untuk layanan yang digunakan di konektor.

Manifes akan terlihat seperti ini:

{
  ...
  "dataStudio": {
    "forceViewersCredentials": true,
    "advancedServices": {
       "data": true
    },
    ...
  }
  "oauthScopes": [
    "https://www.googleapis.com/auth/script.external_request",
    "https://www.googleapis.com/auth/userinfo.email"
    ],
  ...
}

Mengimplementasikan akun layanan

Buat akun layanan di project Google Cloud Anda. Project ini akan menjadi project penagihan Anda.
Pastikan akun layanan ini memiliki akses BigQuery di project cloud.
- Peran Identity and Access Management (IAM) yang Diperlukan: BigQuery Data Viewer, BigQuery Job User
Download file JSON untuk mendapatkan kunci akun layanan. Simpan kunci di properti skrip project konektor Anda.
Sertakan library OAuth2 untuk Apps Script di project Apps Script Anda.

Terapkan kode OAuth2 yang diperlukan untuk akun layanan:

var SERVICE_ACCOUNT_CREDS = 'SERVICE_ACCOUNT_CREDS';
var SERVICE_ACCOUNT_KEY = 'private_key';
var SERVICE_ACCOUNT_EMAIL = 'client_email';
var BILLING_PROJECT_ID = 'project_id';

/**
 * Copy the entire credentials JSON file from creating a service account in GCP.
 */
function getServiceAccountCreds() {
  return JSON.parse(scriptProperties.getProperty(SERVICE_ACCOUNT_CREDS));
}

function getOauthService() {
  var serviceAccountCreds = getServiceAccountCreds();
  var serviceAccountKey = serviceAccountCreds[SERVICE_ACCOUNT_KEY];
  var serviceAccountEmail = serviceAccountCreds[SERVICE_ACCOUNT_EMAIL];

  return OAuth2.createService('RowLevelSecurity')
    .setAuthorizationBaseUrl('https://accounts.google.com/o/oauth2/auth')
    .setTokenUrl('https://accounts.google.com/o/oauth2/token')
    .setPrivateKey(serviceAccountKey)
    .setIssuer(serviceAccountEmail)
    .setPropertyStore(scriptProperties)
    .setCache(CacheService.getScriptCache())
    .setScope(['https://www.googleapis.com/auth/bigquery.readonly']);
}

Mengimplementasikan `getData()`

Buat kueri BigQuery Anda.
- Dengan menggunakan email, cari pemetaan antara email dan data.
- Gunakan klausa JOIN dan/atau WHERE untuk memfilter data.
Dapatkan email pengguna yang efektif (referensi identitas pengguna).
Gunakan Looker Studio Advanced Services untuk menampilkan konfigurasi kueri dari getData.
- Teruskan kueri yang telah dibuat, project penagihan, dan token OAuth Akun Layanan.
- Kondisional: Jika Anda mengambil input pengguna melalui konektor getConfig, Anda harus menyertakan input tersebut sebagai parameter BigQuery.

Membuat dasbor

Pahami cara kerja deployment dan versi untuk konektor.
Buat deployment produksi untuk konektor.
Gunakan deployment Produksi untuk membuat sumber data dan laporan baru di Looker Studio.
Tambahkan semua tabel dan diagram dalam laporan.
Dasbor kini siap untuk dibagikan kepada pengguna Anda.

Menyediakan dasbor bagi pengguna

Bagikan skrip konektor kepada pengguna yang dipilih atau dengan “Anyone with link”.
Bagikan dasbor kepada pengguna yang dipilih atau dengan “Siapa saja yang memiliki link”.
Opsional: Gunakan layanan penyingkat URL untuk membuat link pendek untuk URL dasbor. Bagikan URL singkat kepada pengguna. Hal ini akan membantu mengganti URL dasbor nanti jika diperlukan.
Opsional: Ukur penggunaan dasbor dengan menyiapkan Google Analytics untuk laporan Anda.

Kode Contoh

Berikut adalah contoh lengkap kode konektor:

main.js

var cc = DataStudioApp.createCommunityConnector();
var scriptProperties = PropertiesService.getScriptProperties();

function isAdminUser() {
  return true;
}

function getAuthType() {
  var AuthTypes = cc.AuthType;
  return cc
    .newAuthTypeResponse()
    .setAuthType(AuthTypes.NONE)
    .build();
}

function getConfig(request) {
  var config = cc.getConfig();

  config
    .newInfo()
    .setId('generalInfo')
    .setText('This is an example connector to showcase row level security.');

  return config.build();
}

function getFields() {
  var fields = cc.getFields();
  var types = cc.FieldType;
  var aggregations = cc.AggregationType;

  fields
    .newDimension()
    .setId('region')
    .setName('Region')
    .setType(types.TEXT);

  fields
    .newMetric()
    .setId('sales')
    .setName('Sales')
    .setType(types.NUMBER)
    .setAggregation(aggregations.SUM);

  fields
    .newDimension()
    .setId('date')
    .setName('Date')
    .setType(types.YEAR_MONTH_DAY);

  return fields;
}

function getSchema(request) {
  return {schema: getFields().build()};
}

var SERVICE_ACCOUNT_CREDS = 'SERVICE_ACCOUNT_CREDS';
var SERVICE_ACCOUNT_KEY = 'private_key';
var SERVICE_ACCOUNT_EMAIL = 'client_email';
var BILLING_PROJECT_ID = 'project_id';

/**
 * Copy the entire credentials JSON file from creating a service account in GCP.
 */
function getServiceAccountCreds() {
  return JSON.parse(scriptProperties.getProperty(SERVICE_ACCOUNT_CREDS));
}

function getOauthService() {
  var serviceAccountCreds = getServiceAccountCreds();
  var serviceAccountKey = serviceAccountCreds[SERVICE_ACCOUNT_KEY];
  var serviceAccountEmail = serviceAccountCreds[SERVICE_ACCOUNT_EMAIL];

  return OAuth2.createService('RowLevelSecurity')
    .setAuthorizationBaseUrl('https://accounts.google.com/o/oauth2/auth')
    .setTokenUrl('https://accounts.google.com/o/oauth2/token')
    .setPrivateKey(serviceAccountKey)
    .setIssuer(serviceAccountEmail)
    .setPropertyStore(scriptProperties)
    .setCache(CacheService.getScriptCache())
    .setScope(['https://www.googleapis.com/auth/bigquery.readonly']);
}

var BASE_SQL =
  'SELECT d.region, d.sales, d.date ' +
  'FROM `datastudio-solutions.row_level_security.data` d ' +
  'INNER JOIN `datastudio-solutions.row_level_security.access` a ' +
  'ON d.region = a.region ' +
  'where a.email=@email';

function getData(request) {
  var accessToken = getOauthService().getAccessToken();
  var serviceAccountCreds = getServiceAccountCreds();
  var billingProjectId = serviceAccountCreds[BILLING_PROJECT_ID];
  var email = Session.getEffectiveUser().getEmail();

  var bqTypes = DataStudioApp.createCommunityConnector().BigQueryParameterType;

  return cc
    .newBigQueryConfig()
    .setAccessToken(accessToken)
    .setBillingProjectId(billingProjectId)
    .setUseStandardSql(true)
    .setQuery(BASE_SQL)
    .addQueryParameter('email', bqTypes.STRING, email)
    .build();
}