Configure a autenticação para o Google Analítica

info

Beta

Esse recurso está na versão Beta. Para usá-lo, um administrador do workspace deve ativar o Lakeflow Connect para Google analítica Aggregated na página Pré-visualizações . Consulte Gerenciar prévias do Databricks.

Para que o conector agregado do Google Analítica do Lakeflow Connect autentique, habilite a API de dados do Google Analítica em um projeto do Google Cloud e crie uma key de account de serviço ou um cliente OAuth. Use as credenciais recuperadas dos passos desta página para criar uma conexão do Unity Catalog no Databricks.

Pré-requisitos

Para usar o conector do Google Analítica Aggregated, você deve ter:

• Uma ou mais propriedades do Google Analítica 4 (GA4). Observe o ID numérico da propriedade de cada propriedade a ser ingerida. Para encontrá-lo, consulte ID da propriedade na documentação do Google.
• A função Administrador em cada propriedade, para conceder acesso à identidade do conector. Consulte Adicionar, editar e excluir usuários e grupos de usuários na documentação do Google.
• Acesso ao Console do Google Cloud para criar um projeto, habilitar a Google analítica Data API e criar credenciais.

Configurar o Google analítica

O conector agregado do Google Analítica suporta dois métodos de autenticação: uma account de serviço (OAuth 2.0 machine-to-machine) e OAuth 2.0 user-to-machine (U2M). Escolha um e siga os passos para esse método.

Ativar a API de dados do Google Analítica

Ative a API de dados do Google analítica em seu projeto do Google Cloud antes de criar credenciais.

1. Acesse o console do Google Cloud e faça login.
2. Selecione ou crie um projeto do Google Cloud.
3. Clique em APIs e serviços > Biblioteca .
4. Pesquise API de dados do Google analítica e clique nela.
5. Clique em Ativar .

Opção 1: account de serviço (Recomendado)

Use esta opção para autenticação de servidor para servidor sem login interativo do usuário. Uma account de serviço acessa o Google analítica de duas maneiras:

• Sua própria identidade : A account de serviço se autentica como si mesma. Conceda acesso à account de serviço a cada propriedade.
• Delegação em todo o domínio : A account de serviço personifica um usuário do Google Workspace e o Google Analytics autoriza as solicitações em relação ao acesso à propriedade desse usuário.

Escolha uma. Não conclua Conceder acesso à account de serviço às suas propriedades e Configurar delegação em todo o domínio.

Crie uma account de serviço e uma key

Para o procedimento completo, consulte Criar contas de serviço e Criar e excluir chaves de conta de serviço na documentação do Google Cloud.

1. No console do Google Cloud, clique em IAM & Administrador > account de serviço .
2. Clique em Criar account de serviço .
3. Insira um nome para a account de serviço e, opcionalmente, uma descrição.
4. Clique em Concluído . A serviço account não precisa de nenhuma IAM role no projeto.
5. Na página account de serviço , clique no endereço de email da account de serviço.
6. Clique na tab keys .
7. Clique em "Adicionar key > Criar nova key" .
8. Selecione JSON e clique em Criar . O navegador download o arquivo de key. Não é possível download novamente.
9. Salve o arquivo de key JSON com segurança. Você insere o seu conteúdo ao criar a conexão no Databricks.

Se a criação da key estiver bloqueada, a restrição de política da organização iam.disableServiceAccountKeyCreation será imposta ao projeto. Um administrador de políticas da organização deve isentar o projeto. Consulte Criar e excluir keys de account de serviço.

Conceda acesso à account de serviço às suas propriedades

Conclua o passo apenas se a serviço account fizer a autenticação como sua própria identidade. Ou seja, você deixa Email do usuário para representar em branco ao criar a conexão. Se você usar a delegação em todo o domínio, pule para Configurar a delegação em todo o domínio. Nesse caso, o Google Analytics autoriza as solicitações em relação ao acesso do usuário representado, portanto, o passo não terá efeito.

1. Vá para Google Analítica e faça login.
2. Clique em Admin .
3. Em Propriedade , clique em Gerenciamento de acesso .
4. Clique em + e depois clique em Adicionar usuários .
5. Insira o endereço de e-mail da account de serviço, no formato name@project-id.iam.gserviceaccount.com.
6. Selecione a função Visualizador .
7. Clique em Adicionar .
8. Repita para cada propriedade que o pipeline ingere.

Para obter detalhes, consulte Adicionar, editar e excluir usuários e grupos de usuários na documentação do Google.

Configurar delegação em todo o domínio

Conclua o passo em vez de conceder acesso à conta de serviço para que a conta de serviço impersonifique um usuário do Google Workspace que já tem acesso às propriedades. Esta etapa exige acesso de superadministrador do Google Workspace. Para ver o procedimento completo, consulte Configurar delegação em todo o domínio para uma account de serviço na documentação do Google.

1. No console do Google Cloud, clique em IAM & Admin > Service Accounts e depois clique na account de serviço.
2. Clique em Mostrar configurações avançadas .
3. Em Delegação de domínio , copie o ID do cliente .
4. No Console do Google Admin, clique em Segurança > Controle de acesso e de dados > Controles de API .
5. Clique em Gerenciar delegação em todo o domínio e clique em Adicionar novo .
6. No campo ID do cliente , cole o ID do cliente.
7. No campo Escopos OAuth , insira https://www.googleapis.com/auth/analytics.readonly. Para as tabelas que este escopo cobre, consulte Permissões OAuth necessárias.
8. Clique em Autorizar .
9. Anote o endereço de email do usuário do Google Workspace para representar. Confirme que o usuário tenha pelo menos a função de Visualizador em cada propriedade que o pipeline ingere. Você insere esse email no campo Email do usuário para representar ao criar a conexão.

Opção 2: OAuth U2M

Use essa opção para autenticar como um usuário do Google por meio de um fluxo de login interativo. A conexão usa a identidade desse usuário, portanto, o usuário deve ter pelo menos a função Visualizador em cada propriedade que o pipeline ingere.

Configurar a tela de consentimento OAuth

Para obter o procedimento completo, consulte Configurar a tela de consentimento OAuth na documentação do Google.

1. No console do Google Cloud, clique em Plataforma de autenticação do Google > Marca .
2. Se a plataforma de autenticação do Google não estiver configurada, clique em Começar .
3. Insira um nome de aplicativo e um email de suporte ao usuário.
4. Selecione um público: Interno ou Externo .
5. Insira as informações de contato, concorde com a Política de Dados do Usuário dos Serviços do Google API e termine a configuração.
6. Se você selecionou Externo , adicione os usuários que fazem login na conexão como usuários de teste na seção Audiência .

Se o aplicativo usa o tipo de usuário Externo e o status de publicação é Teste , o Google emitirá tokens de refresh que expiram em 7 dias. A conexão para de funcionar até que um usuário faça login novamente. Consulte Expiração de token de refresh na documentação do Google.

Criar um cliente OAuth

Para o procedimento completo, consulte Criar credenciais de acesso na documentação do Google.

1. No console do Google Cloud, clique em Plataforma de autenticação do Google > Clientes .
2. Clique em Criar cliente .
3. Para Tipo de aplicativo , selecione Aplicativo da web .
4. Digite um nome para o cliente.
5. Em URIs de redirecionamento autorizados , clique em Adicionar URI e insira https://<databricks-workspace-url>/login/oauth/http.html. <databricks-workspace-url> Substitua pelo URL do seu workspace do Databricks.
6. Clique em Criar .
7. Observe o ID do cliente e o Segredo do cliente . Você os insere ao criar a conexão no Databricks.

Os passos seguintes

Crie uma conexão do Google Analítica Aggregated no Databricks. Consulte Criar uma conexão do Google Analítica Aggregated.