Google Cloud-Dienstkonto für Looker Studio einrichten

Zielgruppe:

Dieser Artikel richtet sich an Google Cloud-Administratoren. Informationen zur Nutzung eines bestehenden Dienstkontos in Ihrer Looker Studio-Datenquelle finden Sie unter Anmeldedaten für den Datenabruf.

Statt den Zugriff über die credentials des Inhabers zu delegieren oder für einzelne Nutzer über Anmeldedaten des Betrachters zu gewähren, kann in Looker Studio ein Dienstkonto für den Datenabruf verwendet werden. Ein Dienstkonto ist eine spezielle Art von Google-Konto, das einen nicht menschlichen Nutzer repräsentiert. Es muss authentifiziert und autorisiert werden, um Zugriff auf Daten in Google APIs und Google-Produkten zu erhalten. Weitere Informationen zu Dienstkonten

Hinweis :Anmeldedaten für Dienstkonten sind derzeit nur für BigQuery-Datenquellen verfügbar.

Vorteile eines Dienstkontos für Looker Studio

Wenn Sie ein Dienstkonto mit Looker Studio verwenden möchten, fügen Sie dem Konto den Looker Studio-Dienst-Agent Ihrer Organisation als Nutzer (Hauptkonto) hinzu. So können Sie steuern, welche Dienstkonten mit Looker Studio verwendet werden dürfen. Gleichzeitig sorgen Sie dafür, dass die Nutzer in Ihrer Organisation problemlos Zugriff auf die benötigten Daten haben.

Ein Dienstkonto anstelle der Anmeldedaten einzelner Nutzer zu verwenden, bietet mehrere Vorteile:

• Datenquellen, für die Anmeldedaten eines Dienstkontos verwendet werden, funktionieren auch dann weiter, wenn ein Nutzer das Unternehmen verlässt.
• Mit Dienstkonto-Anmeldedaten können Sie auf Daten hinter VPC Service Controls-Perimetern, für die Geräterichtlinien verwendet werden, zugreifen.
• Automatisierte Funktionen wie geplante E-Mails und geplante Datenextraktionen funktionieren mit Datenquellen, die sich hinter einem VPC Service Controls Perimeter befinden.

Wir empfehlen, neue Dienstkonten zu erstellen, die ausschließlich für Looker Studio verwendet werden. Das können beispielsweise separate Dienstkonten für Marketing-, Vertriebs- und Entwicklerteams sein.

Hinweise

• Zum Einrichten eines Dienstkontos benötigen Sie die Rolle Dienstkontoadministrator ( roles/iam.serviceAccountAdmin) oder Dienstkonten erstellen ( roles/iam.serviceAccountCreator) für Ihr Google Cloud-Projekt. Weitere Informationen zu Dienstkontenrollen
• Nur Workspace- oder Cloud Identity-Nutzer können den Looker Studio-Dienst-Agent abrufen.

Anleitung zur Einrichtung

Sie müssen die Schritte in diesem Artikel nur einmal ausführen, es sei denn, Sie möchten separate Dienstkonten für verschiedene Teams oder Nutzergruppen erstellen. Wenn Sie mehrere Dienstkonten erstellen möchten, wiederholen Sie diese Schritte für jedes zusätzliche Dienstkonto.

Looker Studio-Dienst-Agent abrufen

Damit das Dienstkonto auf Ihre Daten zugreifen kann, müssen Sie den Looker Studio-Dienst-Agent für Ihre Organisation bereitstellen. Sie können ihn in Looker Studio über eine Hilfeseite abrufen:

1. Rufen Sie die Hilfeseite für den Looker Studio-Dienst-Agent auf.
2. Kopieren Sie die E-Mail-Adresse des Dienst-Agents, die auf dieser Seite angezeigt wird.

Dienstkonto für Looker Studio erstellen

Eine Anleitung zum Erstellen eines Dienstkontos finden Sie in der Google Cloud IAM-Dokumentation. Sie können das Dienstkonto entweder über die Cloud Console oder die Cloud Shell-Befehlszeile erstellen.

Cloud Console verwenden

Schritt 1: Neues Dienstkonto erstellen

1. Rufen Sie in der Cloud Console die Seite Dienstkonto erstellen auf.

   Zur Seite „Dienstkonto erstellen“

2. Wählen Sie ein Projekt aus.

3. Geben Sie einen Dienstkontonamen ein, der in der Cloud Console angezeigt werden soll.

   Die Cloud Console generiert anhand dieses Namens eine Dienstkonto-ID. Bearbeiten Sie bei Bedarf die ID jetzt. Sie kann die ID später nicht mehr ändern.

4. Optional: Geben Sie eine Beschreibung für das Dienstkonto ein.

5. Klicke auf ERSTELLEN UND FORTFAHREN.
   
   

6. Weisen Sie dem Dienstkonto in Schritt 2 ( Diesem Dienstkonto Zugriff auf das Projekt erteilen ) die IAM-Rolle BigQuery Job User in dem Projekt zu, das die Daten enthält, mit denen Sie in Looker Studio eine Verbindung herstellen möchten. Dieses Projekt kann sich von dem Projekt unterscheiden, in dem Sie das Dienstkonto erstellt haben.
   
   
7. Klicken Sie auf Weiter .
8. Fügen Sie im Feld Rolle „Dienstkontonutzer“ die Nutzer hinzu, die dieses Dienstkonto verwenden dürfen, um Anmeldedaten für ihre Datenquellen einzugeben. Sie können die Nutzer auch später hinzufügen. Folgen Sie dazu der Anleitung unter Schritt 3: Nutzerrollen zuweisen .
9. Klicken Sie auf FERTIG , um das Dienstkonto zu speichern und zur Liste der Dienstkonten für Ihr Projekt zurückzukehren.

Schritt 2: Dem Looker Studio-Dienst-Agent Zugriff auf Ihr Dienstkonto gewähren

1. Kehren Sie zur Dienstkontoliste der Cloud Console zurück.
2. Wählen Sie das soeben erstellte Looker Studio-Dienstkonto aus, indem Sie in der Liste darauf klicken.
3. Klicken Sie oben auf BERECHTIGUNGEN .
4. Klicken Sie auf ZUGRIFF GEWÄHREN .
5. Fügen Sie rechts im Feld Hauptkonten zu PROJECT_ID hinzufügen die E-Mail-Adresse des Looker Studio-Kundenservicemitarbeiters, die Sie in Schritt 1 kopiert haben, in das Feld Neue Hauptkonten ein.
6. Wählen Sie eine Rolle aus, die dem Kundenservicemitarbeiter die Berechtigung iam.serviceAccount.getAccessToken gewährt. Das kann z. B. die Rolle Ersteller von Dienstkonto-Tokens oder eine beliebige andere benutzerdefinierte Rolle mit dieser Berechtigung sein.
7. Klicke auf SPEICHERN .

Tipp : Die Adresse des Dienst-Agents hat das Format service-account@PROJECT_ID.iam.gserviceaccount.com . Wenn Sie Ihre Projekt-ID kennen, können Sie die Adresse auch manuell eingeben.

Schritt 3: Nutzerrollen zuweisen

Hinweis : Dieser Schritt ist optional, wenn Sie beim Erstellen des Dienstkontos bereits wie in Schritt 1 beschrieben Looker Studio-Nutzer hinzugefügt haben.

Looker Studio-Nutzern, die Datenquellen erstellen oder bearbeiten sollen, muss eine Rolle mit der Berechtigung iam.serviceAccounts.actAs zugewiesen werden, z. B. die Rolle Dienstkontonutzer ( roles/iam.serviceAccountUser ). Sie können diese Rolle für das Projekt oder für ein einzelnes Dienstkonto zuweisen. Wir empfehlen jedoch, sie nur für das Dienstkonto zu erteilen. Eine Anleitung finden Sie unter Identitätswechsel für Dienstkonten verwalten .

Tipp : Wenn Sie diesen Schritt noch nicht ausführen können, ist das auch später möglich.

Tipp : Wir empfehlen, Nutzern, für die kein Dienst-Agent verwendet wird, NICHT die Rolle Ersteller von Dienstkonto-Tokens zuzuweisen. Sie ist für Looker Studio nicht erforderlich.

Hinweis : Nutzer, die nur Looker Studio-Berichte aufrufen, benötigen keine Berechtigungen für das Dienstkonto.

1. Rufen Sie die Dienstkontoliste der Cloud Console auf.
2. Wählen Sie das Looker Studio-Dienstkonto aus, indem Sie in der Liste darauf klicken.
3. Klicken Sie oben auf der Seite auf BERECHTIGUNGEN .
4. Klicken Sie auf ZUGRIFF GEWÄHREN .
5. Geben Sie rechts unter Hauptkonten und Rollen zu Service Account hinzufügen die E-Mail-Adressen Ihrer Nutzer in das Feld Neue Hauptkonten ein.
6. Wählen Sie die Rolle Dienstkontonutzer aus.
7. Klicke auf SPEICHERN .

Schritt 4: Dienstkonto Zugriff auf BigQuery-Daten gewähren

Damit Looker Studio auf Ihre Daten zugreifen kann, weisen Sie dem Dienstkonto auf Tabellen- oder Dataset-Ebene die Rolle BigQuery-Datenbetrachter zu.

Hinweis : Wir raten davon ab, dem Dienstkonto Zugriff auf Projektebene zu gewähren.

So gewähren Sie Zugriff auf eine Tabelle :

1. Rufen Sie die Dienstkontoliste der Cloud Console auf.
2. Kopieren Sie die E-Mail-Adresse des Looker Studio-Dienstkontos.
3. Rufen Sie BigQuery auf und öffnen Sie ein Projekt.
4. Maximieren Sie ein Dataset, indem Sie auf  klicken .
5. Wählen Sie eine Tabelle aus.
6. Klicken Sie in der Symbolleiste auf  TEILEN .
7. Klicken Sie im Bereich, der rechts geöffnet wird, auf  HAUPTKONTO HINZUFÜGEN .
8. Fügen Sie im Feld Neue Hauptkonten die E-Mail-Adresse des Looker Studio-Dienstkontos ein.
9. Wählen Sie die Rolle BigQuery-Datenbetrachter aus.
10. Klicke auf SPEICHERN .

So gewähren Sie Zugriff auf ein Dataset:

1. Rufen Sie die Dienstkontoliste der Cloud Console auf.
2. Kopieren Sie die E-Mail-Adresse Ihres Looker Studio-Dienstkontos.
3. Rufen Sie BigQuery auf, öffnen Sie ein Projekt und suchen Sie das Dataset.
4. Klicken Sie rechts neben dem Namen des Datasets auf „Aktionen ansehen“  .
5. Klicken Sie auf Öffnen .
6. Klicken Sie in der Symbolleiste auf FREIGABE Berechtigungen.
7. Klicken Sie im Bereich, der rechts geöffnet wird, auf  HAUPTKONTO HINZUFÜGEN .
8. Fügen Sie im Feld Neue Hauptkonten die E-Mail-Adresse des Looker Studio-Dienstkontos ein.
9. Wählen Sie die Rolle BigQuery-Datenbetrachter aus.
10. Klicke auf SPEICHERN .

Cloud Shell verwenden

Schritt 1: Neues Dienstkonto erstellen

Folgen Sie den allgemeinen Schritten auf dem Tab gcloud der Seite Dienstkonten erstellen und verwalten .

1. Öffnen Sie die Cloud Shell.
2. Wählen Sie bei Bedarf ein Projekt aus.
3. Führen Sie den Befehl gcloud iam service-accounts create aus, um das Dienstkonto zu erstellen. Sie können einen Kontonamen, eine Beschreibung und einen Anzeigenamen Ihrer Wahl verwenden.

   Beispiel:

    gcloud iam service-accounts create datastudio_service_account --description="Use for Looker Studio access to BigQuery"  --display-name="DS_BQ" 

4. Damit das Dienstkonto in dem Google Cloud-Projekt, das Sie mit Looker Studio verwenden möchten, auf BigQuery-Daten zugreifen kann, müssen Sie ihm in diesem Projekt die Berechtigung bigquery.jobs.create erteilen. Dazu können Sie die IAM-Rolle BigQuery Job User verwenden.
   Gewähren Sie dem Dienstkonto außerdem die Berechtigungen bigquery.tables.getData und bigquery.tables.get für das Projekt oder Dataset, das Sie mit Looker Studio verwenden möchten. Sie können dazu die Rolle BigQuery-Datenbetrachter ( roles/bigquery.dataViewer ) verwenden.
   Führen Sie den Befehl gcloud projects add-iam-policy-binding aus, um diese Rollen zuzuweisen. Ersetzen Sie in den folgenden Beispielen PROJECT_ID durch Ihre Projekt-ID.
   Beispiel:

    gcloud projects add-iam-policy-binding PROJECT_ID  --member = "serviceAccount:datastudio_sa@PROJECT_ID.iam.gserviceaccount.com" --role="roles/bigquery.jobUser" gcloud projects add-iam-policy-binding PROJECT_ID --member = "serviceAccount:datastudio_sa@PROJECT_ID.iam.gserviceaccount.com" --role="roles/bigquery.dataViewer" 

Schritt 2: Dem Looker Studio-Dienst-Agent Zugriff auf Ihr Dienstkonto gewähren

Damit der Looker Studio-Dienst-Agent über das Dienstkonto auf Daten zugreifen kann, weisen Sie ihm die Rolle Ersteller von Dienstkonto-Tokens ( roles/iam.serviceAccountTokenCreator ) zu. Führen Sie dazu den Befehl gcloud iam service-accounts add-iam-policy-binding aus. Ersetzen Sie im folgenden Beispiel ORG_ID durch die ID Ihrer Organisation.

Beispiel:

 gcloud iam service-accounts add-iam-policy-binding datastudio_service_account@PROJECT_ID.iam.gserviceaccount.com --member="[e-mail]" --role="roles/iam.serviceAccountTokenCreator" 

Schritt 3: Nutzerrollen zuweisen

Looker Studio-Nutzern, die Datenquellen erstellen oder bearbeiten sollen, muss eine Rolle mit der Berechtigung iam.serviceAccounts.actAs zugewiesen werden, z. B. die Rolle Dienstkontonutzer ( roles/iam.serviceAccountUser ). Sie können diese Rolle für das Projekt oder für ein einzelnes Dienstkonto zuweisen. Wir empfehlen jedoch, sie nur für das Dienstkonto zu erteilen. Eine Anleitung finden Sie unter Identitätswechsel für Dienstkonten verwalten .

Wenn Sie diesen Schritt noch nicht ausführen können, ist das auch später möglich.

Tipp: Wir empfehlen, Nutzern, für die kein Dienst-Agent verwendet wird, NICHT die Rolle Ersteller von Dienstkonto-Tokens zuzuweisen. Sie ist für Looker Studio nicht erforderlich.

Hinweis : Nutzer, die nur Looker Studio-Berichte aufrufen, benötigen keine Berechtigungen für das Dienstkonto.

Führen Sie den Befehl gcloud projects add-iam-policy-binding aus, um die Rolle Dienstkontonutzer zuzuweisen. Ersetzen Sie in den folgenden Beispielen PROJECT_ID durch Ihre Projekt-ID und [e-mail] durch eine oder mehrere gültige E-Mail-Adressen (mehrere Adressen durch Kommas trennen).

Beispiel:

 gcloud iam service-accounts add-iam-policy-binding  datastudio_service_account@PROJECT_ID.iam.gserviceaccount.com  --member="user:[e-mail]" --role="roles/iam.serviceAccountUser" 

Schritt 4: Dienstkonto Zugriff auf BigQuery-Daten gewähren

Damit Looker Studio auf Ihre Daten zugreifen kann, weisen Sie dem Dienstkonto auf Tabellen- oder Dataset-Ebene die Rolle BigQuery-Datenbetrachter zu.

Am einfachsten geht das über die Cloud Console (siehe Anleitung in Schritt 4 oben). Informationen zum Gewähren des Zugriffs auf Daten mit dem bq-Befehlszeilentool finden Sie unter Zugriff auf ein Dataset gewähren .

Looker Studio-Dienstkonten für Looker Studio-Nutzer bereitstellen

Looker Studio-Nutzer müssen wissen, welches Dienstkonto sie beim Erstellen von Datenquellen verwenden sollen. In Looker Studio kann keine Liste der verfügbaren Dienstkonten abgerufen werden. Daher sollten Sie diese Informationen in der Dokumentation Ihrer Organisation, auf der internen Website oder per E-Mail zur Verfügung stellen.

Hinweis :Sie müssen Dienstkontoschlüssel nicht manuell verwalten und Nutzer müssen sie auch nicht aus der Cloud Console herunterladen und in Looker Studio hochladen. Die Begrenzung von 10 Dienstkontoschlüsseln pro Dienstkonto gilt nicht für Looker Studio.

Tipp :Nutzer, die nur den Namen des Dienst-Agents kennen, können nicht auf Daten zugreifen. Der Dienst-Agent muss einem Dienstkonto hinzugefügt werden und Endnutzer müssen die Berechtigung haben, als dieses Dienstkonto zu agieren.

Datenquelle erstellen, für die Dienstkonto-Anmeldedaten verwendet werden

Wenn Sie Datenquellen erstellen möchten, für die Dienstkonto-Anmeldedaten verwendet werden, können Looker Studio-Nutzer dieselben grundlegenden Schritte wie für andere Arten von Anmeldedaten für den Datenabruf ausführen :

1. Erstellen oder bearbeiten Sie eine BigQuery-Datenquelle.
2. Klicken Sie in der Symbolleiste auf Anmeldedaten für den Datenabruf.
3. Wählen Sie Dienstkonto- Anmeldedaten aus.
4. Geben Sie in das Feld die E-Mail-Adresse Ihres Dienstkontos ein.
5. Klicken Sie auf Aktualisieren.

Datenquelle bearbeiten, für die Dienstkonto-Anmeldedaten verwendet werden

Wenn jemand eine Datenquelle bearbeitet, für die Dienstkonto-Anmeldedaten verwendet werden, wird in Looker Studio geprüft, ob er berechtigt ist, das Dienstkonto zu nutzen. Falls nicht, werden für die Datenquelle stattdessen die Anmeldedaten des entsprechenden Nutzers verwendet.

Sehen, wer über das Dienstkonto auf Daten zugreift

Sie können in der Cloud Console die Audit-Logs für Dienstkonten prüfen. Damit Sie diese erhalten, müssen Sie IAM-Audit-Logs für Datenzugriffsaktivitäten aktivieren.

Beispielszenario für ein Dienstkonto

Angenommen, Looker Studio-Nutzer in Ihrem Unternehmen sollen nur auf die Daten der Niederlassung ihres Landes zugreifen dürfen. Eine Lösung besteht darin, ein Dienstkonto für jedes Land zu erstellen und nur Looker Studio-Nutzern in diesem Land die Berechtigung zu erteilen, als Dienstkonto zu agieren.

Beispiel für eine Einrichtung

In diesem Beispiel erstellen Sie drei Dienstkonten: eines für das Vereinigte Königreich, eines für Frankreich und eines für Deutschland. Anschließend weisen Sie ihnen den Dienst-Agent und alle Nutzer zu, die Datenquellen erstellen dürfen, für die das Dienstkonto als Hauptkonto verwendet wird. Legen Sie außerdem die erforderlichen Rollen fest.

Dienstkonto für das Vereinigte Königreich

[e-mail]

Hauptkonten für das Vereinigte Königreich

Hauptkonten	Rollen
[e-mail] Das ist der Dienst-Agent.	Service Account Token Creator
Nutzer 1	Service Account User
Nutzer 2	Service Account User

Dienstkonto für Frankreich

[e-mail]

Hauptkonten für Frankreich

Hauptkonten	Rollen
[e-mail] Das ist der Dienst-Agent.	Service Account Token Creator
Nutzer 3	Service Account User
Nutzer 4	Service Account User

Dienstkonto für Deutschland

[e-mail]

Hauptkonten für Deutschland

Hauptkonten	Rollen
[e-mail] Das ist der Dienst-Agent.	Service Account Token Creator
Nutzer 5	Service Account User
Nutzer 6	Service Account User

Tipp :Der Name des Dienstkontos ist keine vertrauliche Information: Auch wenn Nutzer 5 weiß, dass [e-mail] existiert, kann er es nicht verwenden, weil er nicht die entsprechenden Berechtigungen hat. Der Dienst-Agent muss einem Dienstkonto hinzugefügt werden, damit er funktioniert. Der Dienst-Agent regelt, wie in Looker Studio das Dienstkonto verwendet wird.

Fehler

In diesem Abschnitt werden die Fehler erläutert, die Ersteller und Betrachter von Looker Studio-Datenquellen eventuell sehen, wenn sie versuchen, ein Dienstkonto zu verwenden. In den meisten Fällen haben diese Fehler dieselbe Ursache: falsche oder unvollständige Einrichtung des Dienstkontos.

Dienst-Agent-Rolle fehlt

Nachrichten Dem Dienst-Agent von Looker Studio fehlt die Berechtigung iam.serviceAccount.getAccessToken für diesen Dienst. Dem Dienst-Agent, der vom Dienstkonto dieser Datenquelle verwendet wird, fehlt die Rolle „Ersteller von Dienstkonto-Tokens“.

Ursache Dem Kundenservicemitarbeiter wurde weder die Rolle Ersteller von Dienstkonto-Tokens noch eine andere Rolle mit der Berechtigung iam.serviceAccount.getAccessToken zugewiesen.

Lösung Weisen Sie dem Kundenservicemitarbeiter die Rolle Ersteller von Dienstkonto-Tokens zu.

Kein Zugriff auf die Daten

Meldung Dieses Dienstkonto hat keinen Zugriff auf das zugrunde liegende Dataset.

Ursache Dem Dienstkonto wurde kein Zugriff auf die Projektdaten gewährt.

Lösung Weisen Sie dem Dienstkonto mindestens die Rolle BigQuery-Datenbetrachter für die zugrunde liegende Tabelle, das Dataset oder das Projekt zu.

Nutzerrolle fehlt

Meldung Sie sind nicht zur Nutzung dieses Dienstkontos berechtigt.

Ursache Der Nutzer wurde dem Dienstkonto nicht als Hauptkonto mit der Rolle Dienstkontonutzer hinzugefügt.

Lösung Weisen Sie dem Nutzer des Dienstkontos die Rolle Dienstkontonutzer zu.

Kundenservicemitarbeiter für Konto nicht verfügbar

Nachrichten Für dieses Konto können keine Dienst-Agents erstellt werden. Versuchen Sie es noch einmal mit einem Google Workspace- oder einem verwalteten Cloud Identity-Konto. Anmeldedaten für Dienst-Agents sind nur für Google Workspace- oder verwaltete Cloud Identity-Organisationen verfügbar. Verwenden Sie ein anderes Konto, wenn Sie diese Funktion nutzen möchten.

Ursache Der Nutzer versucht, über ein reguläres (privates) Google-Konto auf Daten zuzugreifen, die von einem Dienstkonto verwaltet werden.

Lösung Verwenden Sie ein Google Workspace- oder Cloud Identity-Konto, um auf die Daten zuzugreifen.

Dienst-Agent kann im Dialogfeld für Anmeldedaten nicht verwendet werden

Meldung Über Dienst-Agents in Looker Studio kann nicht direkt auf Daten zugegriffen werden. Verwenden Sie stattdessen ein Dienstkonto .

Lösung Dienst-Agents und Dienstkonten sind unterschiedlich. Geben Sie im Dialogfeld für Anmeldedaten ein Dienstkonto ein. Eine Liste der verfügbaren Dienstkonten finden Sie über die Cloud Console: Cloud Console verwenden Rufen Sie die Seite Google Cloud Platform > IAM und Verwaltung > Dienstkonten auf. Wählen Sie bei Bedarf ein Projekt aus. Suchen Sie auf der Seite Dienstkonten für Projekt das Dienstkonto, das in Looker Studio für den Zugriff auf Ihre BigQuery-Daten verwendet werden soll. Kopieren Sie die E-Mail-Adresse für dieses Konto. Cloud Shell verwenden Öffnen Sie Cloud Shell. Wählen Sie bei Bedarf ein Projekt aus. Wenn Sie die Dienstkonten auflisten möchten, auf die Sie Zugriff haben, führen Sie den Befehl gcloud iam service-accounts list aus. Beispiel: gcloud iam service-accounts list

Limits

• Anmeldedaten für Dienstkonten sind derzeit nur für BigQuery-Datenquellen verfügbar. Für Dienstkonten gelten IAM-Limits.
• Es kann einige Minuten dauern, bis Änderungen an Dienstkontoberechtigungen in Looker Studio übernommen werden.

Weitere Informationen

• Details zu Dienstkonten
• Mit BigQuery verbinden: Unterstützung von VPC Service Controls
• Cloud Shell starten