Usar uma conta de serviço

Você pode utilizar contas de serviço nos seus conectores da comunidade para gerenciar o acesso aos recursos em um só lugar. Um abordagem comum é delegar acesso a dados que os usuários não conseguiriam visualizar usando as próprias credenciais.

Leia Como entender as contas de serviço para entender melhor o assunto.

Vantagens

  • Você pode consolidar o faturamento para acessar os dados.
  • É possível implementar sua própria camada de controle de acesso no conector.
  • É possível delegar acesso a dados ou recursos aos quais as credenciais do usuário não tem acesso.

Etapas de implementação

  1. Crie uma conta de serviço na plataforma em que você está buscando dados.
  2. Conceda as permissões necessárias à conta de serviço para que ela consiga acessar os recursos.
  3. Armazene as credenciais da conta de serviço nas propriedades do script do seu conector.
  4. Durante a execução do conector, use as credenciais armazenadas para buscar as informações necessárias dados.
  5. Opcional: implemente a lógica de controle de acesso para filtrar as informações.
.

Exemplo: como acessar o BigQuery com o Advanced Services do Looker Studio e uma conta de serviço

Você está desenvolvendo uma solução em que seus usuários criarão painéis diretamente de uma tabela do BigQuery. Se os usuários utilizarem o conector do BigQuery do Looker Studio, precisam de acesso de leitura à tabela do BigQuery. e uma conta de faturamento do Google Cloud Platform (GCP). As etapas a seguir ilustram como usar um para consolidar o faturamento e delegar acesso aos dados do BigQuery.

  1. Crie uma conta de serviço no seu projeto desejado do GCP.
  2. Verifique se a conta de serviço pode criar jobs do BigQuery e visualizar os dados do na tabela necessária. Para mais detalhes, consulte Controle de acesso do BigQuery.
  3. Crie uma chave para a conta de serviço e armazene as credenciais na sua propriedades do script do conector.
  4. Inclua a biblioteca do OAuth2 para Apps Script no seu projeto do Apps Script.
  5. Para sua função getData, autentique a conta de serviço e gere um token de acesso. Defina o escopo do OAuth2 como https://www.googleapis.com/auth/bigquery.readonly:
  6. Retorne o token de acesso com outros itens de configuração na resposta getData.

main.js

var cc = DataStudioApp.createCommunityConnector();
var scriptProperties = PropertiesService.getScriptProperties();

function isAdminUser() {
  return true;
}

function getAuthType() {
  var AuthTypes = cc.AuthType;
  return cc
    .newAuthTypeResponse()
    .setAuthType(AuthTypes.NONE)
    .build();
}

function getConfig(request) {
  var config = cc.getConfig();

  config
    .newInfo()
    .setId('generalInfo')
    .setText('This is an example connector to showcase row level security.');

  return config.build();
}

function getFields() {
  var fields = cc.getFields();
  var types = cc.FieldType;
  var aggregations = cc.AggregationType;

  fields
    .newDimension()
    .setId('region')
    .setName('Region')
    .setType(types.TEXT);

  fields
    .newMetric()
    .setId('sales')
    .setName('Sales')
    .setType(types.NUMBER)
    .setAggregation(aggregations.SUM);

  fields
    .newDimension()
    .setId('date')
    .setName('Date')
    .setType(types.YEAR_MONTH_DAY);

  return fields;
}

function getSchema(request) {
  return {schema: getFields().build()};
}

var SERVICE_ACCOUNT_CREDS = 'SERVICE_ACCOUNT_CREDS';
var SERVICE_ACCOUNT_KEY = 'private_key';
var SERVICE_ACCOUNT_EMAIL = 'client_email';
var BILLING_PROJECT_ID = 'project_id';

/**
 * Copy the entire credentials JSON file from creating a service account in GCP.
 */
function getServiceAccountCreds() {
  return JSON.parse(scriptProperties.getProperty(SERVICE_ACCOUNT_CREDS));
}

function getOauthService() {
  var serviceAccountCreds = getServiceAccountCreds();
  var serviceAccountKey = serviceAccountCreds[SERVICE_ACCOUNT_KEY];
  var serviceAccountEmail = serviceAccountCreds[SERVICE_ACCOUNT_EMAIL];

  return OAuth2.createService('RowLevelSecurity')
    .setAuthorizationBaseUrl('https://accounts.google.com/o/oauth2/auth')
    .setTokenUrl('https://accounts.google.com/o/oauth2/token')
    .setPrivateKey(serviceAccountKey)
    .setIssuer(serviceAccountEmail)
    .setPropertyStore(scriptProperties)
    .setCache(CacheService.getScriptCache())
    .setScope(['https://www.googleapis.com/auth/bigquery.readonly']);
}

var BASE_SQL =
  'SELECT d.region, d.sales, d.date ' +
  'FROM `datastudio-solutions.row_level_security.data` d ' +
  'INNER JOIN `datastudio-solutions.row_level_security.access` a ' +
  'ON d.region = a.region ' +
  'where a.email=@email';

function getData(request) {
  var accessToken = getOauthService().getAccessToken();
  var serviceAccountCreds = getServiceAccountCreds();
  var billingProjectId = serviceAccountCreds[BILLING_PROJECT_ID];
  var email = Session.getEffectiveUser().getEmail();

  var bqTypes = DataStudioApp.createCommunityConnector().BigQueryParameterType;

  return cc
    .newBigQueryConfig()
    .setAccessToken(accessToken)
    .setBillingProjectId(billingProjectId)
    .setUseStandardSql(true)
    .setQuery(BASE_SQL)
    .addQueryParameter('email', bqTypes.STRING, email)
    .build();
}