Connessione di Looker (Google Cloud core) al tuo database

Una volta eseguito il provisioning dell'istanza di Looker (Google Cloud core), questa viene elencata nella pagina Istanze del tuo progetto Google Cloud . Fai clic sull'URL dell'istanza per accedere e autenticarti.

Una volta eseguito l'accesso all'istanza di Looker (Google Cloud core), puoi configurare una connessione al database alla tua istanza di Looker (Google Cloud core).

Configurare una connessione al database

Per abilitare l'esplorazione dei dati, Looker (Google Cloud core) deve essere connesso a un database. Consulta l'elenco dei dialetti supportati per scoprire quali sono supportati da Looker (Google Cloud core).

Puoi creare una connessione al database all'interno di un'istanza di Looker (Google Cloud core) se disponi di una delle seguenti autorizzazioni:

• il ruolo Amministratore di Looker
• l'autorizzazione Looker manage_project_connections

Per connettere il database, puoi seguire la guida Configura Looker, che viene visualizzata dinamicamente all'interno dell'istanza di Looker (Google Cloud core), oppure seguire i passaggi elencati nelle pagine di documentazione specifiche per il dialetto. La maggior parte delle impostazioni è comune alla maggioranza dei dialetti di database. Consulta la pagina della documentazione Connessione di Looker al tuo database per informazioni sui campi comuni nella finestra di configurazione della connessione di Looker.

Sono previsti passaggi aggiuntivi se vuoi configurare la connessione a Looker (Google Cloud core) con una delle seguenti opzioni:

• Connessioni private: se l'istanza di Looker (Google Cloud core) utilizza connessioni private, devi configurare Private Service Connect o l'accesso ai servizi privati (a seconda del tipo di connessione utilizzato dall'istanza) per connetterla a uno dei seguenti tipi di database:

  • Un database in una rete diversa all'interno di Google Cloud
  • Un database ospitato da un altro provider di servizi cloud
  • Un database on-premise

  Per configurare una connessione privata ai database ospitati da altri fornitori di servizi cloud, il tuo progetto Google Cloud deve essere configurato per instradare il traffico a questi fornitori di servizi cloud per consentire lo scambio di dati. Scopri di più sulla connessione degli ambienti cloud nella pagina di documentazione Modelli per la connessione di altri fornitori di servizi cloud con Google Cloud.

• Autenticarsi con le Credenziali predefinite dell'applicazione per i database BigQuery e Cloud SQL: le istanze di Looker (Google Cloud core) possono utilizzare le credenziali predefinite dell'applicazione (ADC) per autenticarsi nel database, come descritto nelle sezioni seguenti:

  • Utilizzare le credenziali predefinite dell'applicazione per connettersi a un database BigQuery
  • Utilizzo delle credenziali predefinite dell'applicazione con un database BigQuery in un progetto Google Cloud diverso
  • Utilizzo delle credenziali predefinite dell'applicazione per connettersi a un database Cloud SQL

• Autenticarsi in un database BigQuery utilizzando OAuth: per le connessioni BigQuery, Looker (Google Cloud core) può utilizzare le credenziali dell'applicazione OAuth utilizzate dall'amministratore di Looker durante la creazione dell'istanza di Looker (Google Cloud core). Per ulteriori informazioni, consulta la sezione Configurazione dell'autenticazione OAuth con BigQuery di questa pagina.

Utilizzo delle credenziali predefinite dell'applicazione per connettersi a un database BigQuery

Le istanze di Looker (Google Cloud core) possono utilizzare le credenziali predefinite dell'applicazione (ADC) per l'autenticazione durante la configurazione di una connessione a un database BigQuery Standard SQL. Quando utilizzi le ADC, la connessione si autentica al database utilizzando le credenziali del service account del progetto Looker (Google Cloud core).

Per utilizzare le credenziali predefinite dell'applicazione con un database BigQuery, seleziona Credenziali predefinite dell'applicazione nel campo Autenticazione della pagina Impostazioni di connessione dell'istanza di Looker. Per la procedura completa, consulta la documentazione relativa alla connessione di Looker a un database BigQuery.

Se la tua istanza di Looker (Google Cloud core) utilizza le tabelle derivate permanenti con un set di dati BigQuery, devi concedere all'account di servizio Looker anche il ruolo IAM Editor dati BigQuery.

Se ti connetti a un database BigQuery che si trova in un progetto diverso dalla tua istanza di Looker (Google Cloud core), è necessaria una configurazione aggiuntiva. Consulta la sezione Utilizzo delle credenziali predefinite dell'applicazione con un database BigQuery in un progetto Google Cloud diverso.

Simulazione dell'identità dei service account

Se vuoi eseguire l'autenticazione al database BigQuery utilizzando un account di servizio diverso da quello del progetto Looker (Google Cloud core), puoi creare un flusso di richieste delegate inserendo un altro account di servizio o una catena di service account separati da virgole nel campo Service account rappresentato. L'account di servizio Looker (Google Cloud core) viene utilizzato automaticamente come primo account di servizio nella catena e non deve essere aggiunto al campo. L'ultimo account di servizio della catena (noto anche come account di servizio rappresentato) è quello che esegue l'autenticazione con il database.

Quando utilizzi l'impersonificazione del account di servizio:

• Abilita l'API Service Consumer Management.

  Abilita l'API

• Assicurati che tutti i service account nella catena, incluso il account di servizio del progetto Looker (Google Cloud core), dispongano delle autorizzazioni IAM appropriate.
• Assicurati che il account di servizio rappresentato abbia il ruolo Consumer servizio di utilizzo, il ruolo Utente job BigQuery e il ruolo Visualizzatore dati BigQuery.

Utilizzo delle credenziali predefinite dell'applicazione con un database BigQuery in un progetto Google Cloud diverso

I passaggi per utilizzare ADC per un database BigQuery Standard SQL che si trova al di fuori del progetto che ospita l'istanza di Looker (Google Cloud core) sono gli stessi per configurare una connessione all'interno dello stesso progetto. Tuttavia, prima di configurare la connessione nell'istanza di Looker (Google Cloud core), l'account di servizio del progetto Looker (Google Cloud core) deve disporre dei seguenti ruoli IAM:

• Ruolo Visualizzatore dati BigQuery per il progetto che contiene il set di dati BigQuery.
• Ruolo Utente job BigQuery e Ruolo Consumatore utilizzo servizi nel progetto di fatturazione elencato nella pagina Impostazioni connessione.
• Se la tua istanza di Looker (Google Cloud core) utilizza tabelle derivate permanenti con un set di dati BigQuery, il account di servizio deve disporre anche del ruolo Editor dati BigQuery per il progetto che contiene il set di dati BigQuery.

Se il account di servizio Looker (Google Cloud core) non dispone già di ruoli IAM nel progetto che contiene il set di dati BigQuery, utilizza l'indirizzo email del account di servizio quando concedi i ruoli nel progetto. Per trovare l'indirizzo email del account di servizio account, vai alla pagina IAM nella console Google Cloud e seleziona la casella di controllo Includi concessioni di ruoli fornite da Google. L'email avrà il formato service-<project number>@gcp-sa-looker.iam.gserviceaccount.com. Utilizza questo indirizzo email per concedere i ruoli appropriati al service account.

Una volta concessi i ruoli appropriati, segui i passaggi per utilizzare ADC.

Ora puoi utilizzare ADC con questo database BigQuery Standard SQL. Il progetto collegato all'account di servizio specificato nella pagina Impostazioni di connessione verrà utilizzato per la fatturazione e fungerà anche da progetto predefinito.

Utilizzo delle credenziali predefinite dell'applicazione per connettersi a un database Cloud SQL

Le istanze di Looker (Google Cloud core) possono utilizzare ADC per autenticare una connessione a un database Cloud SQL (Cloud SQL per PostgreSQL o Cloud SQL per MySQL). Quando utilizzi ADC per l'autenticazione nel database Cloud SQL, il progetto Google Cloud in cui è in esecuzione il database Cloud SQL è il progetto a cui vengono fatturate le query Looker.

Per le connessioni Looker a Cloud SQL che utilizzano ADC, ADC rappresenta un account di servizio o una catena di service account per accedere al tuo database. Quando crei la connessione Looker al tuo database, utilizzi il campo Nome utente database IAM per specificare il account di servizio o la catena di service account che ADC rappresenterà. Il service account Looker creato automaticamente quando hai creato l'istanza di Looker (Google Cloud core) viene utilizzato automaticamente come primo account di servizio nella catena e non deve essere aggiunto al campo.

Se vuoi eseguire l'autenticazione al tuo database Cloud SQL utilizzando un account di servizio diverso da account di servizio Looker, puoi creare un flusso di richieste delegate inserendo un altro service account o una catena di service account separati da virgole nel campo Nome/i utente database IAM.

L'ultimo account di servizio della catena (noto anche come service account rappresentato) è quello che si autentica con il database e deve essere aggiunto come utente nel database Cloud SQL. Se utilizzi il account di servizio Looker come ultimo account di servizio della catena (lasciando vuoto il campo Nome/i utente database IAM), devi aggiungere il account di servizio Looker come utente nel database Cloud SQL.

Di seguito sono riportati i passaggi generali per connettere un database Cloud SQL per PostgreSQL o Cloud SQL per MySQL a Looker utilizzando ADC:

1. Aggiungi il account di servizio rappresentato al database Cloud SQL.
2. Configura l'impersonificazione del account di servizio nel database Cloud SQL.
3. Connettiti al database per eseguire comandi di configurazione aggiuntivi per Cloud SQL per PostgreSQL o Cloud SQL per MySQL.
4. Crea la connessione Looker al tuo database.

Aggiungere il account di servizio rappresentato al database Cloud SQL

Quando crei la connessione Looker al tuo database, utilizzi il campo Nome utente database IAM per specificare il account di servizio o la catena di service account che ADC rappresenterà per eseguire azioni sul tuo database. L'ultimo account di servizio nella catena di rappresentazione è considerato il service account rappresentato.

Per utilizzare ADC con Cloud SQL, devi aggiungere il account di servizio rappresentato al database Cloud SQL:

• Nel caso predefinito, se lasci vuoto il campo Nome/i utente database IAM, ADC simulerà il account di servizio Looker. In questo caso, il account di servizio Looker è il account di servizio rappresentato, quindi devi aggiungerlo al database Cloud SQL. Consulta la pagina della documentazione Creare un'istanza di Looker (Google Cloud core) per informazioni sull'account di servizio Looker e sulla procedura per visualizzare l'indirizzo email dell'account di servizio Looker.
• Se specifichi un account di servizio diverso da account di servizio di Looker o una catena di service account nel campo Nome/i utente database IAM, devi aggiungere l'ultimo account di servizio della catena di rappresentazione al database Cloud SQL.

Per aggiungere un account di servizio al tuo database Cloud SQL, devi disporre del ruolo IAM Amministratore Cloud SQL.

Segui la procedura "Aggiungere un utente IAM o un account di servizio all'istanza del database" per il dialetto del database per aggiungere il account di servizio rappresentato al database Cloud SQL:

• Cloud SQL per PostgreSQL
• Cloud SQL per MySQL

Configura l'impersonificazione del account di servizio nel database Cloud SQL

Dopo aver creato l'utente Cloud SQL nel database, devi configurare il database Cloud SQL per la rappresentazione del servizio eseguendo i seguenti passaggi:

1. Segui la procedura per abilitare l'API Cloud SQL Admin.
2. Assicurati che tutti i service account nella catena, incluso il account di servizio Looker, dispongano delle autorizzazioni IAM appropriate.

3. Segui la procedura per concedere un singolo ruolo nella console Google Cloud . Concedi i seguenti ruoli Cloud SQL al account di servizio rappresentato che hai aggiunto al tuo database Cloud SQL:

   • Cloud SQL Instance User
   • Client Cloud SQL
   • Consumer di Service Usage

   Se specifichi un account di servizio diverso da account di servizio di Looker o una catena di service account nel campo Nome/i utente database IAM, concedi a ogni account di servizio della catena la seguente autorizzazione:

   • Creatore token service account

Comandi di configurazione aggiuntivi per Cloud SQL per MySQL

Per Cloud SQL per MySQL, devi connetterti all'istanza di database ed eseguire il seguente comando sul database Cloud SQL per MySQL:

GRANT ALL on DATABASE_NAME.* to 'DATABASE_USER'@'%'

Sostituisci quanto segue:

• DATABASE_NAME: il nome del database.
• DATABASE_USER: il nome utente dell'account di servizio troncato per l'account di servizio rappresentato che hai aggiunto al tuo database Cloud SQL. Il account di servizio avrà il formato service-<project number>@gcp-sa-looker.iam.gserviceaccount.com. Tronca il nome utente rimuovendo @ e tutto ciò che segue. Dopo il troncamento, il nome utente avrà l'aspetto service-<project number>.

Ad esempio, se il nome utente del account di servizio è service-12345678901@gcp-sa-looker.iam.gserviceaccount.com e il nome del database è looker-test, il comando sarà il seguente:

GRANT ALL on looker-test.* to 'service-12345678901'@'%'

Comandi di configurazione aggiuntivi per Cloud SQL per PostgreSQL

Per Cloud SQL per PostgreSQL, devi connetterti all'istanza di database ed eseguire alcuni comandi di configurazione sul database Cloud SQL per PostgreSQL:

• Concedi all'utente le autorizzazioni sul tuo database come descritto nella sezione Utenti e sicurezza della pagina di documentazione di PostgreSQL.
• Imposta il percorso di ricerca che Looker SQL Runner deve utilizzare per recuperare i metadati dal database, come descritto nella sezione Impostazione di search_path della pagina della documentazione di Looker su PostgreSQL.

Crea la connessione da Looker (Google Cloud core) al tuo database Cloud SQL

Per creare la connessione da Looker al tuo database:

1. Nella sezione Amministrazione di Looker, seleziona Connessioni e poi fai clic su Aggiungi connessione.
2. Nel menu a discesa Dialetto, seleziona Google Cloud PostgreSQL o, per Cloud SQL per MySQL, seleziona Google Cloud SQL.
3. Nella sezione Autenticazione, fai clic sull'opzione Credenziali predefinite dell'applicazione.

4. Nel campo Nome/i utente database IAM, specifica l'account di servizio o la catena di account di servizio che vuoi che ADC rappresenti per eseguire azioni sul tuo database:

   • Se vuoi che Looker si autentichi nel database Cloud SQL utilizzando il service account del progetto Looker (Google Cloud core), lascia vuoto questo campo.
   • Se vuoi che Looker si autentichi nel database Cloud SQL utilizzando un account di servizio diverso da quello del progetto Looker (Google Cloud core), puoi creare un flusso di richieste delegate inserendo un altro service account o una catena di service account separati da virgole.

5. Compila il resto dei dettagli della connessione. La maggior parte delle impostazioni è comune alla maggioranza dei dialetti di database. Per informazioni, consulta la pagina della documentazione Connessione di Looker al tuo database.

6. Per verificare che la connessione sia riuscita, fai clic su Testa. Per informazioni sulla risoluzione dei problemi, consulta la pagina della documentazione Testare la connettività del database.

7. Per salvare queste impostazioni, fai clic su Connetti.

Una volta configurata una connessione al database, puoi configurare un progetto LookML.

Configurazione dell'autenticazione OAuth con BigQuery

Per configurare l'autenticazione OAuth per le connessioni a un database BigQuery su un'istanza di Looker (Google Cloud core), segui questi passaggi:

1. In Autenticazione, seleziona OAuth. Per impostazione predefinita, Looker (Google Cloud core) utilizza le credenziali dell'applicazione OAuth che l'amministratore di Looker ha utilizzato per creare l'istanza di Looker (Google Cloud core). Non è necessario creare o inserire manualmente un ID client e un client secret.
2. Aggiungi un URI di reindirizzamento aggiuntivo al campo URI di reindirizzamento autorizzati nel client OAuth dell'istanza (o crea un nuovo client OAuth con le credenziali e aggiungi un URI di reindirizzamento). L'URI di reindirizzamento deve utilizzare l'URL dell'istanza Looker seguito da /external_oauth/redirect. Per informazioni di base, consulta la documentazione sulla generazione delle credenziali OAuth per BigQuery.

Se vuoi inserire manualmente credenziali OAuth diverse per questa connessione, attiva l'opzione Configura manualmente le credenziali OAuth e poi compila i campi ID client OAuth e Segreto client OAuth. Se inserisci manualmente le credenziali OAuth, queste non verranno modificate o aggiornate rispetto a quelle utilizzate durante la creazione dell'istanza di Looker (Google Cloud core). Segui i passaggi descritti nella documentazione Configurazione di un progetto di database BigQuery per OAuth per creare e utilizzare credenziali diverse.

Dialetti supportati per Looker (Google Cloud core)

La tabella seguente mostra il supporto di Looker (Google Cloud core) per i dialetti di database:

Istruzioni per la configurazione del database

Le istruzioni sono disponibili per i seguenti dialetti SQL:

Passaggi successivi

• Configura un'istanza di Looker (Google Cloud core)
• Gestisci gli utenti in Looker (Google Cloud core)
• Amministra un'istanza di Looker (Google Cloud core) dalla console Google Cloud
• Impostazioni di amministrazione di Looker (Google Cloud core)
• Utilizza il progetto LookML di esempio su un'istanza di Looker (Google Cloud core)