Looker (Google Cloud Core) mit Ihrer Datenbank verbinden

Wenn Sie Ihre Daten abfragen möchten, verbinden Sie Ihre Looker (Google Cloud Core)-Instanz mit einer Datenbank. In diesem Leitfaden wird beschrieben, wie Sie unterstützte Dialekte verwenden und bestimmte Verbindungsoptionen konfigurieren.

Für Instanzen, die private Verbindungen verwenden, müssen Sie möglicherweise eine zusätzliche Konfiguration vornehmen, um auf Datenbanken zuzugreifen. Die genaue Konfiguration hängt von der Netzwerkeinrichtung für die Looker (Google Cloud Core)-Instanz ab, mit der Sie arbeiten.

Datenbankverbindung einrichten

Looker (Google Cloud Core) muss mit einer Datenbank verbunden sein, damit Daten untersucht werden können. In der Liste der unterstützten Dialekte finden Sie Informationen dazu, welche Dialekte von Looker (Google Cloud Core) unterstützt werden.

Sie können eine Datenbankverbindung in einer Looker (Google Cloud Core)-Instanz erstellen, wenn Sie eine der folgenden Berechtigungen haben:

Sie können der Anleitung Looker einrichten folgen, die dynamisch in der Looker (Google Cloud Core)-Instanz angezeigt wird, um Ihre Datenbank zu verbinden. Alternativ können Sie die Schritte auf den dialektspezifischen Dokumentationsseiten ausführen. Der Großteil der Einstellungen ist für die meisten Datenbankdialekte gleich. Informationen zu gängigen Feldern im Fenster zum Einrichten der Looker-Verbindung finden Sie auf der Dokumentationsseite Looker mit Ihrer Datenbank verbinden.

Wenn Sie Ihre Looker (Google Cloud Core)-Verbindung mit einer der folgenden Optionen einrichten möchten, sind zusätzliche Schritte erforderlich:

Standardanmeldedaten für Anwendungen verwenden, um eine Verbindung zu einer BigQuery-Datenbank herzustellen

Looker-Instanzen (Google Cloud Core) können Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) zur Authentifizierung verwenden, wenn Sie eine Verbindung zu einer BigQuery-Standard-SQL-Datenbank einrichten. Wenn Sie ADC verwenden, wird die Verbindung zur Datenbank mit den Anmeldedaten des Dienstkontos des Looker-Projekts (Google Cloud Core) authentifiziert.

Wenn Sie ADC mit einer BigQuery-Datenbank verwenden möchten, wählen Sie auf der Seite Verbindungseinstellungen der Looker-Instanz im Feld Authentifizierung die Option Standardanmeldedaten für Anwendungen aus. Die vollständige Anleitung finden Sie in der Dokumentation zum Verbinden von Looker mit einer BigQuery-Datenbank.

Wenn Ihre Looker (Google Cloud Core)-Instanz persistente abgeleitete Tabellen mit einem BigQuery-Dataset verwendet, müssen Sie dem Looker-Dienstkonto auch die IAM-Rolle (Identity and Access Management) „BigQuery-Datenbearbeiter“ zuweisen.

Wenn Sie eine Verbindung zu einer BigQuery-Datenbank herstellen, die sich in einem anderen Projekt als Ihre Looker-Instanz (Google Cloud Core) befindet, ist eine zusätzliche Einrichtung erforderlich. Weitere Informationen finden Sie im Abschnitt Standardanmeldedaten für Anwendungen mit einer BigQuery-Datenbank in einem anderen Google Cloud -Projekt verwenden.

Identitätsübernahme des Dienstkontos

Wenn Sie sich bei der BigQuery-Datenbank mit einem anderen Dienstkonto als dem Dienstkonto des Looker (Google Cloud Core)-Projekts authentifizieren möchten, können Sie einen delegierten Anfrageablauf erstellen. Geben Sie dazu ein anderes Dienstkonto oder eine kommagetrennte Kette von Dienstkonten in das Feld Impersonated Service Account ein. Das Looker (Google Cloud Core)-Dienstkonto wird automatisch als erstes Dienstkonto in der Kette verwendet und muss nicht in das Feld eingefügt werden. Das letzte Dienstkonto in der Kette (auch als übernommenes Dienstkonto bezeichnet) ist dasjenige, das sich bei der Datenbank authentifiziert.

Wenn Sie die Identitätsübernahme des Dienstkontos verwenden, gehen Sie so vor:

  • Aktivieren Sie die Service Consumer Management API.

    API aktivieren

  • Achten Sie darauf, dass alle Dienstkonten in der Kette, einschließlich des Dienstkontos des Looker (Google Cloud Core)-Projekts, die entsprechenden IAM-Berechtigungen haben.
  • Achten Sie darauf, dass das imitierte Dienstkonto die Rollen BigQuery-Jobnutzer und BigQuery-Datenbetrachter hat. Wenn Sie Dienststatus und Vorgänge prüfen oder Kontingente und Abrechnungen aus einem Nutzerprojekt verwenden müssen, ist auch die Rolle Service Usage Consumer erforderlich.
  • Wenn Sie persistente abgeleitete Tabellen (PDTs) für Ihre Verbindung aktiviert haben, müssen Sie auch die E-Mail-Adresse des übernommenen Dienstkontos im Feld E-Mail-Adresse des Dienstkontos im Abschnitt PDT-Überschreibungen eingeben. So wird sichergestellt, dass die PAT-Prozesse das übernommene Dienstkonto verwenden. Weitere Informationen finden Sie im Abschnitt PDT-Überschreibungen aktivieren auf der Dokumentationsseite Looker mit Ihrer Datenbank verbinden.

BigQuery-Richtlinien-Tags und dynamische Datenmaskierung

Wenn Looker (Google Cloud Core) über ADC oder ein Dienstkonto eine Verbindung zu BigQuery herstellt, erhält BigQuery keine individuellen Looker-Nutzeranmeldedaten. Da BigQuery für alle Abfragen nur eine Identität sieht, können die integrierten BigQuery-Sicherheitsfunktionen auf Spaltenebene (Richtlinien-Tags und Datenmaskierung) nicht für jeden Looker-Nutzer unterschiedliche Zugriffs- oder Maskierungsregeln anwenden.

Wenn Sie die dynamische Datenmaskierung mit Looker (Google Cloud Core) und BigQuery implementieren möchten, sollten Sie eine der folgenden Architektur-Optionen in Betracht ziehen:

  • Maskierung auf Anwendungsebene (unterstützt für ADC und Dienstkonten): Behalten Sie eine einzelne Datenbankverbindung bei, die ADC oder ein Dienstkonto verwendet, und wenden Sie die Datenmaskierungslogik innerhalb der semantischen LookML-Ebene an. Verwenden Sie dazu LookML-CASE WHEN-Anweisungen, die von Nutzerattributen gesteuert werden, die von Ihrem Identitätsanbieter zugeordnet wurden.
  • Maskierung auf Datenbankebene (OAuth erforderlich): Konfigurieren Sie die Verbindung von Looker zu BigQuery so, dass OAuth anstelle von ADC verwendet wird. OAuth übergibt die individuellen Anmeldedaten jedes Endnutzers direkt an BigQuery. Dadurch kann BigQuery Richtlinien-Tags und Datenmaskierungsregeln pro Nutzer nativ auswerten und erzwingen.

Standardanmeldedaten für Anwendungen mit einer BigQuery-Datenbank in einem anderen Google Cloud -Projekt verwenden

Die Schritte zur Verwendung von ADC für eine BigQuery-Standard-SQL-Datenbank, die sich außerhalb des Projekts befindet, in dem Ihre Looker-Instanz (Google Cloud Core) gehostet wird, sind dieselben wie für die Einrichtung einer Verbindung innerhalb desselben Projekts. Bevor Sie die Verbindung in Ihrer Looker (Google Cloud Core)-Instanz einrichten können, muss das Dienstkonto Ihres Looker (Google Cloud Core)-Projekts jedoch die folgenden IAM-Rollen haben:

Wenn das Looker (Google Cloud Core)-Dienstkonto noch keine IAM-Rollen im Projekt mit dem BigQuery-Dataset hat, verwenden Sie die E‑Mail-Adresse des Dienstkontos, wenn Sie Rollen in diesem Projekt zuweisen. Um die E-Mail-Adresse des Dienstkontos zu finden, rufen Sie in der Google Cloud Console die Seite IAM auf und setzen Sie ein Häkchen bei Von Google bereitgestellte Rollenzuweisungen einschließen. Die E-Mail hat das Format service-<project number>@gcp-sa-looker.iam.gserviceaccount.com. Verwenden Sie diese E-Mail-Adresse, um dem Dienstkonto die entsprechenden Rollen zuzuweisen.

Nachdem die entsprechenden Rollen zugewiesen wurden, folgen Sie der Anleitung zur Verwendung von Standardanmeldedaten für Anwendungen.

Sie können jetzt Standardanmeldedaten für Anwendungen mit dieser BigQuery-Standard-SQL-Datenbank verwenden. Das Projekt, das mit dem Dienstkonto verknüpft ist, das auf der Seite Verbindungseinstellungen angegeben ist, wird für die Abrechnung verwendet und dient auch als Standardprojekt.

Standardanmeldedaten für Anwendungen verwenden, um eine Verbindung zu einer Cloud SQL-Datenbank herzustellen

Looker (Google Cloud Core)-Instanzen können ADC verwenden, um eine Verbindung zu einer Cloud SQL-Datenbank (entweder Cloud SQL for PostgreSQL oder Cloud SQL for MySQL) zu authentifizieren. Wenn Sie sich mit Standardanmeldedaten für Anwendungen in Ihrer Cloud SQL-Datenbank authentifizieren, werden Looker-Abfragen dem Google Cloud Projekt in Rechnung gestellt, in dem die Cloud SQL-Datenbank ausgeführt wird.

Bei Looker-Verbindungen zu Cloud SQL, die Standardanmeldedaten für Anwendungen verwenden, übernehmen die Standardanmeldedaten für Anwendungen die Identität eines Dienstkontos oder einer Kette von Dienstkonten, um auf Ihre Datenbank zuzugreifen. Wenn Sie die Looker-Verbindung zu Ihrer Datenbank erstellen, geben Sie im Feld IAM-Datenbanknutzername(n) das Dienstkonto oder die Kette von Dienstkonten an, die von ADC imitiert werden sollen. Das Looker-Dienstkonto, das beim Erstellen der Looker (Google Cloud Core)-Instanz automatisch erstellt wurde, wird automatisch als erstes Dienstkonto in der Kette verwendet und muss dem Feld nicht hinzugefügt werden.

Wenn Sie sich mit einem anderen Dienstkonto als dem Looker-Dienstkonto bei Ihrer Cloud SQL-Datenbank authentifizieren möchten, können Sie einen delegierten Anfrageablauf erstellen. Geben Sie dazu ein anderes Dienstkonto oder eine kommagetrennte Kette von Dienstkonten in das Feld IAM-Datenbanknutzername(n) ein.

Das letzte Dienstkonto in der Kette (auch als übernommenes Dienstkonto bezeichnet) ist das Konto, das sich bei der Datenbank authentifiziert. Dieses Konto muss als Nutzer in Ihrer Cloud SQL-Datenbank hinzugefügt werden. Wenn Sie das Looker-Dienstkonto als letztes Dienstkonto in der Kette verwenden (indem Sie das Feld IAM-Datenbanknutzername(n) leer lassen), müssen Sie das Looker-Dienstkonto als Nutzer in Ihrer Cloud SQL-Datenbank hinzufügen.

Im Folgenden finden Sie die allgemeinen Schritte zum Verbinden einer Cloud SQL for PostgreSQL- oder Cloud SQL for MySQL-Datenbank mit Looker mithilfe von ADC:

  1. Fügen Sie das imitierte Dienstkonto Ihrer Cloud SQL-Datenbank hinzu.
  2. Richten Sie die Identitätsübernahme des Dienstkontos für Ihre Cloud SQL-Datenbank ein.
  3. Stellen Sie eine Verbindung zu Ihrer Datenbank her, um zusätzliche Konfigurationsbefehle für Cloud SQL for PostgreSQL oder Cloud SQL for MySQL auszuführen.
  4. Looker-Verbindung zu Ihrer Datenbank erstellen

Identitätsübernommenes Dienstkonto zur Cloud SQL-Datenbank hinzufügen

Wenn Sie die Looker-Verbindung zu Ihrer Datenbank erstellen, geben Sie im Feld IAM-Datenbanknutzername(n) das Dienstkonto oder die Kette von Dienstkonten an, die von den Standardanmeldedaten für Anwendungen übernommen werden, um Aktionen in Ihrer Datenbank auszuführen. Das letzte Dienstkonto in der Identitätsübernahmekette wird als Dienstkonto mit übernommener Identität betrachtet.

Wenn Sie Standardanmeldedaten für Anwendungen mit Cloud SQL verwenden möchten, müssen Sie das Dienstkonto, dessen Identität übernommen wurde, Ihrer Cloud SQL-Datenbank hinzufügen:

  • Wenn Sie das Feld IAM-Datenbanknutzername(n) leer lassen, werden die Standardanmeldedaten für Anwendungen (ADC) im Namen des Looker-Dienstkontos verwendet. In diesem Fall ist das Looker-Dienstkonto das Dienstkonto, dessen Identität übernommen wird. Sie müssen das Looker-Dienstkonto also Ihrer Cloud SQL-Datenbank hinzufügen. Informationen zum Looker-Dienstkonto und zum Aufrufen der E-Mail-Adresse des Looker-Dienstkontos finden Sie auf der Dokumentationsseite Looker (Google Cloud Core)-Instanz erstellen.
  • Wenn Sie ein anderes Dienstkonto als das Looker-Dienstkonto angeben oder eine Kette von Dienstkonten im Feld IAM-Datenbanknutzername(n) angeben, müssen Sie das letzte Dienstkonto in der Identitätswechselkette Ihrer Cloud SQL-Datenbank hinzufügen.

Wenn Sie Ihrer Cloud SQL-Datenbank ein Dienstkonto hinzufügen möchten, benötigen Sie die IAM-Rolle Cloud SQL Admin.

Führen Sie das Verfahren „IAM-Nutzer oder Dienstkonto zur Datenbankinstanz hinzufügen“ für Ihren Datenbankdialekt aus, um das imitierte Dienstkonto zu Ihrer Cloud SQL-Datenbank hinzuzufügen:

Identitätsübernahme des Dienstkontos für Ihre Cloud SQL-Datenbank einrichten

Nachdem Sie den Cloud SQL-Nutzer in Ihrer Datenbank erstellt haben, müssen Sie Ihre Cloud SQL-Datenbank für die Identitätsübernahme des Dienstes einrichten. Gehen Sie dazu so vor:

  1. Folgen Sie der Anleitung zum Aktivieren der Cloud SQL Admin API.
  2. Achten Sie darauf, dass alle Dienstkonten in der Kette, einschließlich des Looker-Dienstkontos, die entsprechenden IAM-Berechtigungen haben.

  3. Folgen Sie der Anleitung unter Einzelne Rolle in der Google Cloud -Console zuweisen. Weisen Sie dem angenommenen Dienstkonto, das Sie Ihrer Cloud SQL-Datenbank hinzugefügt haben, die folgenden Cloud SQL-Rollen zu:

    Wenn Sie ein anderes Dienstkonto als das Looker-Dienstkonto angeben oder eine Kette von Dienstkonten im Feld IAM-Datenbanknutzername(n) angeben, gewähren Sie jedem Dienstkonto in der Kette die folgende Berechtigung:

Zusätzliche Konfigurationsbefehle für Cloud SQL for MySQL

Für Cloud SQL for MySQL müssen Sie eine Verbindung zu Ihrer Datenbankinstanz herstellen und den folgenden Befehl in der Cloud SQL for MySQL-Datenbank ausführen:

GRANT ALL on DATABASE_NAME.* to 'DATABASE_USER'@'%'

Ersetzen Sie Folgendes:

  • DATABASE_NAME: Der Name Ihrer Datenbank.
  • DATABASE_USER: Der gekürzte Nutzername des Dienstkontos, das Sie Ihrer Cloud SQL-Datenbank hinzugefügt haben. Das Dienstkonto hat das Format service-<project number>@gcp-sa-looker.iam.gserviceaccount.com. Kürzen Sie den Nutzernamen, indem Sie @ und alles, was darauf folgt, entfernen. Nach dem Kürzen würde der Nutzername so aussehen: service-<project number>.

Wenn der Nutzername des Dienstkontos beispielsweise service-12345678901@gcp-sa-looker.iam.gserviceaccount.com und der Datenbankname looker-test lautet, sieht der Befehl so aus:

GRANT ALL on looker-test.* to 'service-12345678901'@'%'

Zusätzliche Konfigurationsbefehle für Cloud SQL for PostgreSQL

Für Cloud SQL for PostgreSQL müssen Sie eine Verbindung zu Ihrer Datenbankinstanz herstellen und einige Konfigurationsbefehle in der Cloud SQL for PostgreSQL-Datenbank ausführen:

  • Gewähren Sie dem Nutzer Berechtigungen für Ihre Datenbank, wie im Abschnitt Nutzer und Sicherheit der PostgreSQL-Dokumentationsseite beschrieben.
  • Legen Sie den Suchpfad fest, den der Looker SQL Runner zum Abrufen von Metadaten aus Ihrer Datenbank verwenden soll, wie im Abschnitt search_path festlegen auf der PostgreSQL-Seite der Looker-Dokumentation beschrieben.

Verbindung von Looker (Google Cloud Core) zu Ihrer Cloud SQL-Datenbank herstellen

So verbinden Sie Looker mit Ihrer Datenbank:

  1. Wählen Sie in Looker im Bereich Admin die Option Verbindungen aus und klicken Sie dann auf Verbindung hinzufügen.
  2. Wählen Sie im Drop-down-Menü Dialekt die Option Google Cloud PostgreSQL oder für Cloud SQL for MySQL die Option Google Cloud SQL aus.
  3. Klicken Sie im Abschnitt Authentifizierung auf die Option Standardanmeldedaten für Anwendungen.

  4. Geben Sie im Feld IAM-Datenbanknutzername(n) das Dienstkonto oder die Kette von Dienstkonten an, die die Standardanmeldedaten für Anwendungen übernehmen sollen, um Aktionen in Ihrer Datenbank auszuführen:

    • Wenn Sie möchten, dass sich Looker mit dem Dienstkonto des Looker (Google Cloud Core)-Projekts bei der Cloud SQL-Datenbank authentifiziert, lassen Sie dieses Feld leer.
    • Wenn Sie möchten, dass sich Looker bei der Cloud SQL-Datenbank mit einem anderen Dienstkonto als dem Dienstkonto des Looker (Google Cloud Core)-Projekts authentifiziert, können Sie einen delegierten Anfrageablauf erstellen, indem Sie ein anderes Dienstkonto oder eine kommagetrennte Kette von Dienstkonten eingeben.

  5. Geben Sie die restlichen Verbindungsdetails ein. Der Großteil der Einstellungen ist für die meisten Datenbankdialekte gleich. Weitere Informationen finden Sie auf der Dokumentationsseite Looker mit Ihrer Datenbank verbinden.

  6. Klicken Sie unten auf der Seite Verbindungseinstellungen im Bereich Statusdetails auf den Button Verbindung testen, um zu prüfen, ob die Verbindung erfolgreich hergestellt wurde.

  7. Wenn in Looker Can Connect angezeigt wird, klicken Sie auf Connect, um die Verbindung zu erstellen.

Ihre Datenbankverbindung wird dann der Liste auf der Looker-Seite Verbindungen Verwaltung hinzugefügt.

Nachdem eine Datenbankverbindung eingerichtet wurde, können Sie ein LookML-Projekt einrichten.

OAuth-Authentifizierung mit BigQuery konfigurieren

So konfigurieren Sie die OAuth-Authentifizierung für Verbindungen zu einer BigQuery-Datenbank auf einer Looker-Instanz (Google Cloud Core):

  1. Wählen Sie unter Authentifizierung die Option OAuth aus. Looker (Google Cloud Core) verwendet standardmäßig die OAuth-Anwendungsanmeldedaten, die Ihr Looker-Administrator beim Erstellen der Looker (Google Cloud Core)-Instanz verwendet hat. Sie müssen keine Client-ID und keinen Clientschlüssel manuell erstellen oder eingeben.
  2. Fügen Sie dem Feld Autorisierte Weiterleitungs-URIs im OAuth-Client der Instanz einen zusätzlichen Weiterleitungs-URI hinzu (oder erstellen Sie einen neuen OAuth-Client mit den Anmeldedaten und fügen Sie einen Weiterleitungs-URI hinzu). Der Weiterleitungs-URI muss die URL der Looker-Instanz gefolgt von /external_oauth/redirect verwenden. Hintergrundinformationen finden Sie in der Dokumentation zum Generieren von OAuth-Anmeldedaten für BigQuery.

Wenn Sie für diese Verbindung andere OAuth-Anmeldedaten manuell eingeben möchten, aktivieren Sie den Ein/Aus-Button OAuth-Anmeldedaten manuell konfigurieren und füllen Sie dann die Felder OAuth-Client-ID und OAuth-Clientschlüssel aus. Wenn Sie OAuth-Anmeldedaten manuell eingeben, werden die Anmeldedaten, die beim Erstellen der Looker (Google Cloud Core)-Instanz verwendet wurden, nicht geändert oder aktualisiert. Folgen Sie der Anleitung unter BigQuery-Datenbankprojekt für OAuth konfigurieren, um andere Anmeldedaten zu erstellen und zu verwenden.

Unterstützte Dialekte für Looker (Google Cloud Core)

In der folgenden Tabelle ist die Unterstützung von Datenbankdialekten durch Looker (Google Cloud Core) aufgeführt:

Dialekt Unterstützt?
Actian Avalanche
Amazon Athena
Amazon Aurora MySQL
Amazon Redshift
Amazon Redshift 2.1+
Amazon Redshift Serverless 2.1+
Apache Druid
Apache Druid 0.13.x - 0.17.x
Apache Druid 0.18+
Apache Hive 2.3+
Apache Hive 3.1.2+
Apache Spark 3+
ClickHouse
ClickHouse 26+
Cloudera Impala 3.1+
Cloudera Impala 3.1+ with Native Driver
Cloudera Impala with Native Driver
DataVirtuality
Databricks
Denodo 7
Denodo 8 & 9
Dremio
Dremio 11+
Dremio 26+ with Arrow Flight SQL
Exasol
Google BigQuery Legacy SQL
Google BigQuery Standard SQL
Google Cloud AlloyDB for PostgreSQL
Google Cloud PostgreSQL
Google Cloud SQL
Google Spanner
Greenplum
HyperSQL
IBM Netezza
MariaDB
Microsoft Azure PostgreSQL
Microsoft Azure SQL Database
Microsoft Azure Synapse Analytics
Microsoft SQL Server 2008+
Microsoft SQL Server 2012+
Microsoft SQL Server 2016
Microsoft SQL Server 2017+
MongoBI
MongoSQL
MySQL
MySQL 8.0.12+
Oracle
Oracle ADWC
PostgreSQL 9.5+
PostgreSQL pre-9.5
PrestoDB
PrestoSQL
SAP HANA
SAP HANA 2+
SingleStore
SingleStore 7+
Snowflake
Teradata
Trino
Vector
Vertica

Anweisungen zur Datenbankkonfiguration

Anleitungen sind für die folgenden SQL-Dialekte verfügbar:

Nächste Schritte