Looker API 身份验证

如需使用 Looker API 执行任何操作，您首先需要向其进行身份验证。您需要采取的步骤取决于您是否使用了 SDK。

使用 SDK 进行身份验证

建议使用以下方法进行 API 身份验证：

  1. 在 Looker 实例的“管理”部分的“用户”页面上创建 API 凭据。如果您不是 Looker 管理员，请让 Looker 管理员为您创建 API 凭据。

    API 凭据始终与 Looker 用户账号绑定。API 请求以与 API 凭据关联的用户身份执行。调用此 API 将仅返回允许用户查看的数据，并且只能修改允许用户修改的内容。

  2. 您生成的 API 凭据包括客户端 ID 和客户端密钥。您需要向 SDK 提供这些信息。您可以在 SDK 文档中找到相关说明。

然后，SDK 会获取必要的访问令牌并将其插入所有后续 API 请求中。

在不使用 SDK 的情况下进行身份验证

建议使用 SDK 进行 API 身份验证。如需在不使用 SDK 的情况下进行身份验证，请执行以下操作：

  1. 在 Looker 实例的“管理”部分的“用户”页面上创建 API 凭据。如果您不是 Looker 管理员，请让 Looker 管理员为您创建 API 凭据。

    API 凭据始终与 Looker 用户账号绑定。API 请求以与 API 凭据关联的用户身份执行。调用此 API 将仅返回允许用户查看的数据，并且只能修改允许用户修改的内容。

  2. 通过调用 API 的 login 端点，获取短期的 OAuth 2.0 访问令牌。您需要提供在第 1 步中生成的 API 凭据，包括客户端 ID 和客户端密钥。

  3. 将该访问令牌放入 Looker API 请求的 HTTP 授权标头中。带有授权标头的 Looker API 请求示例可能如下所示：

    GET /api/3.0/user HTTP/1.1
Host: test.looker.com
Date: Wed, 19 Oct 2016 12:34:56 -0700
Authorization: token mt6Xc8jJC9GfJzKBQ5SqFZTZRVX8KY6k49TMPS8F

OAuth 2.0 访问令牌可用于多个 API 请求，直到访问令牌过期或通过调用 logout 端点失效。使用过期访问令牌的 API 请求将失败，并返回 401 Authorization Required HTTP 响应。

与用户登录设置的 API 交互

Looker API 身份验证完全独立于 Looker 用户登录。一次性密码（动态密码、2FA）和目录身份验证（LDAP、SAML 等）等用户身份验证协议不适用于 Looker API 身份验证。

因此，从用户身份验证协议中删除用户信息并不会删除其 API 凭据。按照删除个人用户信息文档页面上的步骤，从 Looker 中移除用户的所有个人数据，完全阻止用户登录，包括通过 API 登录。

管理 API 凭据

  • 可以将多组 API 凭据绑定到单个 Looker 用户帐号。
  • 创建和删除 API 凭据不会影响用户帐号的状态。
  • 删除 Looker 用户帐号会导致绑定到该帐号的所有 API 凭据失效。
  • API 客户端密钥必须保持私密状态。请避免将 API 客户端密钥存储在源代码中或其他人可以看到的其他地方。
  • 在生产环境中，请避免使用绑定到 Looker 管理员帐号的 API 凭据。专门针对 API 活动创建具有最低权限的用户帐号（通常称为“服务帐号”），并为这些帐号创建 API 凭据。仅授予预期 API 活动所需的权限。

HTTPS 身份验证

即使您使用客户端 SDK 来处理身份验证详细信息，您可能仍然对 Looker API 身份验证的工作原理感到好奇。如需详细了解身份验证，请参阅 GitHub 上的如何向 Looker API 进行身份验证。

使用 OAuth 进行身份验证

Looker 可以使用跨域资源共享 (CORS) 协议让 Web 应用从 Looker 实例的网域外部调用 Looker API。如需了解如何配置 CORS 身份验证，请参阅使用 OAuth 进行 Looker API 身份验证文档页面。