다음은 Google Cloud 관리자를 위한 도움말입니다. Looker Studio 데이터 소스에서 기존 서비스 계정을 사용하는 방법은 데이터 사용자 인증 정보를 참고하세요.
Looker Studio에서는 소유자의 사용자 인증 정보를 사용하여 액세스 권한을 위임하거나 개별 보고서 보기 권한 사용자가 본인의 인증 정보를 사용해 데이터에 액세스하도록 요청하는 대신 서비스 계정을 사용해 데이터에 액세스하도록 할 수 있습니다. 서비스 계정은 Google API와 제품의 데이터에 액세스하기 위해 인증과 승인을 거칠 수 있으며 사람이 아닌 사용자를 나타내기 위한 특별한 유형의 Google 계정입니다. 서비스 계정에 대해 자세히 알아보세요.
현재 서비스 계정 사용자 인증 정보는 BigQuery 데이터 소스에서만 사용할 수 있습니다.
Looker Studio에서 서비스 계정을 사용할 때의 이점
Looker Studio에서 서비스 계정을 사용하려면 조직의 Looker Studio 서비스 에이전트를 계정의 사용자(주 구성원)로 추가합니다. 이를 통해 Looker Studio에 사용할 수 있는 서비스 계정을 제어하면서 조직의 사용자가 필요한 데이터에 쉽게 액세스할 수 있게 됩니다.
개별 사용자의 사용자 인증 정보 대신 서비스 계정을 사용하면 다음과 같은 이점이 있습니다.
- 제작자가 퇴사하는 경우에도 서비스 계정 사용자 인증 정보를 사용하는 데이터 소스는 손상되지 않습니다.
- 서비스 계정 사용자 인증 정보는 기기 정책을 사용하는 VPC 서비스 제어 경계 내 데이터에 대한 액세스를 지원합니다.
- VPC 서비스 제어 경계로 보호되는 데이터 소스는 예약된 이메일 및 예약된 데이터 추출과 같은 자동화 기능을 지원합니다.
시작하기 전에
- 서비스 계정을 설정하려면 Google Cloud 프로젝트에 대한 서비스 계정 관리자(
roles/iam.serviceAccountAdmin) 또는 서비스 계정 만들기(roles/iam.serviceAccountCreator) 역할이 있어야 합니다. 서비스 계정 역할에 대해 자세히 알아보세요. - Looker Studio 서비스 에이전트를 가져오려면 Workspace 또는 Cloud ID 사용자여야 합니다.
설정 안내
다른 팀 또는 사용자 그룹에 서로 다른 서비스 계정을 만들려는 경우가 아니면 이 도움말의 안내를 한 번만 따르면 됩니다. 서비스 계정을 여러 개 만들려면 각 추가 서비스 계정에 대해 안내의 내용을 반복해서 진행하세요.
Looker Studio 서비스 에이전트 가져오기
서비스 계정이 데이터에 액세스하도록 허용하려면 조직에 Looker Studio 서비스 에이전트를 제공해야 합니다. Looker Studio의 도움말 페이지에서 서비스 에이전트를 가져올 수 있습니다.
- Looker Studio 서비스 에이전트 도움말 페이지로 이동합니다.
- 이 페이지에 표시된 서비스 에이전트 이메일 주소를 복사합니다.
Looker Studio용 서비스 계정 만들기
서비스 계정 만들기에 대한 안내는 Google Cloud IAM 문서에서 확인할 수 있습니다. Cloud 콘솔 또는 Cloud Shell 명령줄을 사용하여 서비스 계정을 만들 수 있습니다.
1단계: 새 서비스 계정 만들기
-
Cloud 콘솔에서 서비스 계정 만들기 페이지로 이동합니다.
서비스 계정 만들기로 이동 - 프로젝트를 선택합니다.
-
Cloud 콘솔에 표시할 서비스 계정 이름을 입력합니다.
Cloud 콘솔에서 이 이름을 기반으로 서비스 계정 ID가 생성됩니다. 필요한 경우 ID를 수정하세요. ID는 나중에 변경할 수 없습니다.
- 선택사항: 서비스 계정에 대한 설명을 입력합니다.
-
만들고 계속하기를 클릭합니다.
- 두 번째 단계인 이 서비스 계정에 프로젝트에 대한 액세스 권한 부여에서는 Looker Studio에서 연결할 데이터가 포함된 프로젝트에서 서비스 계정에 BigQuery 작업 사용자 IAM 역할을 부여합니다. 서비스 계정을 만든 프로젝트와 다를 수 있습니다.
- 계속을 클릭합니다.
- 서비스 계정 사용자 역할 입력란에 이 서비스 계정을 사용하여 데이터 소스에 대한 사용자 인증 정보를 제공할 수 있는 사용자를 추가합니다. 아직 사용자를 추가할 준비가 되지 않았다면 나중에 아래 3단계: 사용자 역할 부여의 안내에 따라 사용자를 추가할 수 있습니다.
- 완료를 클릭하여 서비스 계정을 저장하고 프로젝트의 서비스 계정 목록 페이지로 돌아갑니다.
2단계: Looker Studio 서비스 에이전트에서 서비스 계정에 액세스하도록 허용하기
- Cloud Console 서비스 계정 목록으로 돌아갑니다.
- 목록에서 방금 만든 Looker Studio 서비스 계정을 클릭하여 선택합니다.
- 상단에서 권한을 클릭합니다.
액세스 권한 부여를 클릭합니다.
- 오른쪽 <프로젝트>에 주 구성원 추가에서 위의 1단계에서 복사한 Looker Studio 서비스 에이전트 이메일을 새 주 구성원 상자에 붙여넣습니다.
- 서비스 에이전트에
iam.serviceAccount.getAccessToken권한을 부여하는 역할을 선택합니다. 예를 들어 서비스 계정 토큰 생성자 역할을 사용할 수 있지만 이 권한을 부여하는 어떤 맞춤 역할도 사용할 수 있습니다. - 저장을 클릭합니다.
액세스 권한 부여를 클릭합니다.service-account@<project_id>.iam.gserviceaccount.com 형식을 사용합니다. 프로젝트 ID를 알고 있으면 주소를 직접 구성할 수 있습니다.
3단계: 사용자 역할 부여하기
데이터 소스를 만들거나 수정하는 Looker Studio 사용자는 서비스 계정 사용자 역할(roles/iam.serviceAccountUser)과 같은 iam.serviceAccounts.actAs 권한이 포함된 역할이 있어야 합니다. 이 역할은 프로젝트 또는 개별 서비스 계정에 대해 부여할 수 있지만, 서비스 계정에 대한 역할만 부여하는 것이 좋습니다. 자세한 안내는 서비스 계정 명의 도용 관리에서 확인하세요.
- Cloud Console 서비스 계정 목록으로 이동합니다.
- 목록에서 Looker Studio 서비스 계정을 클릭하여 선택합니다.
- 페이지 상단에서 권한을 클릭합니다.
- 오른쪽 <서비스 계정>의 주 구성원 및 역할 추가에서 새 주 구성원 상자에 사용자의 이메일 주소를 입력합니다.
- 서비스 계정 사용자 역할을 선택합니다.
- 저장을 클릭합니다.
4단계: BigQuery 데이터에 액세스할 수 있도록 서비스 계정 사용 설정하기
Looker Studio에서 데이터에 액세스할 수 있도록 하려면 테이블 또는 데이터 세트 수준에서 서비스 계정에 BigQuery 데이터 뷰어 역할을 부여합니다.
테이블에 대한 액세스 권한을 부여하려면 다음 안내를 따르세요.
- Cloud Console 서비스 계정 목록으로 이동합니다.
- Looker Studio 서비스 계정 이메일 주소를 복사합니다.
- BigQuery로 이동하여 프로젝트를 엽니다.
아이콘을 클릭하여 데이터 세트를 확장합니다.
- 테이블을 선택합니다.
- 툴바에서
- 오른쪽에 열리는 패널에서
- 새 주 구성원 상자에 Looker Studio 서비스 계정 이메일 주소를 붙여넣습니다.
- BigQuery 데이터 뷰어 역할을 선택합니다.
- 저장을 클릭합니다.
아이콘을 클릭하여 데이터 세트를 확장합니다.데이터 세트에 대한 액세스 권한을 부여하려면 다음 안내를 따르세요.
- Cloud Console 서비스 계정 목록으로 이동합니다.
- Looker Studio 서비스 계정 이메일 주소를 복사합니다.
- BigQuery로 이동하여 프로젝트를 연 다음 데이터 세트를 찾습니다.
- 데이터 세트 이름 오른쪽에서 작업 보기
를 클릭합니다.
- 열기를 클릭합니다.
- 툴바에서
- 오른쪽에 열리는 패널에서
- 새 주 구성원 상자에 Looker Studio 서비스 계정 이메일 주소를 붙여넣습니다.
- BigQuery 데이터 뷰어 역할을 선택합니다.
- 저장을 클릭합니다.
1단계: 새 서비스 계정 만들기
서비스 계정 만들기 및 관리의 gcloud 아래에 나열된 일반적인 단계를 따릅니다.
- Cloud Shell을 엽니다.
- 필요한 경우 프로젝트를 선택합니다.
- 서비스 계정을 만들려면 gcloud iam service-accounts create 명령어를 실행합니다. 계정 이름, 설명, 표시 이름은 원하는 대로 사용할 수 있습니다.
예:gcloud iam service-accounts create datastudio_service_account \
--description="Use for Looker Studio access to BigQuery" \
--display-name="DS_BQ"
- Looker Studio에서 사용할 Google Cloud 프로젝트의 BigQuery 데이터에 액세스하려면 서비스 계정에
bigquery.jobs.create권한을 부여합니다. BigQuery 작업 사용자에게 IAM 역할을 부여하여 이 권한을 줄 수 있습니다.
또한 Looker Studio에서 사용하려는 프로젝트 또는 데이터 세트에서 서비스 계정에bigquery.tables.getData및bigquery.tables.get권한을 부여하세요. BigQuery 데이터 뷰어 역할(roles/bigquery.dataViewer)을 부여하여 이러한 권한을 줄 수 있습니다.
이러한 역할을 부여하려면 gcloud projects add-iam-policy-binding 명령어를 실행합니다. 다음 예시에서 PROJECT_ID를 프로젝트 ID로 바꿉니다.
예:gcloud projects add-iam-policy-binding PROJECT_ID \
--member = "serviceAccount:datastudio_sa@PROJECT_ID.iam.gserviceaccount.com" \
--role="roles/bigquery.jobUser"gcloud projects add-iam-policy-binding PROJECT_ID \--member = "serviceAccount:datastudio_sa@PROJECT_ID.iam.gserviceaccount.com" \
--role="roles/bigquery.dataViewer"
2단계: Looker Studio 서비스 에이전트에서 서비스 계정에 액세스하도록 허용하기
Looker Studio 서비스 에이전트가 서비스 계정을 통해 데이터에 액세스하도록 허용하려면 서비스 에이전트에 서비스 계정 토큰 생성자 역할(roles/iam.serviceAccountTokenCreator)을 부여합니다. 이렇게 하려면 gcloud iam service-accounts add-iam-policy-binding 명령어를 실행합니다. 다음 예에서 ORG_ID를 조직 ID로 바꿉니다.
예:
3단계: 사용자 역할 부여하기
데이터 소스를 만들거나 수정하는 Looker Studio 사용자는 서비스 계정 사용자 역할(roles/iam.serviceAccountUser)과 같은 iam.serviceAccounts.actAs 권한이 포함된 역할이 있어야 합니다. 이 역할은 프로젝트 또는 개별 서비스 계정에 대해 부여할 수 있지만, 서비스 계정에 대한 역할만 부여하는 것이 좋습니다. 자세한 안내는 서비스 계정 명의 도용 관리에서 확인하세요.
서비스 계정 사용자 역할을 부여하려면 gcloud projects add-iam-policy-binding 명령어를 실행합니다. 다음 예에서 PROJECT_ID를 프로젝트 ID로 바꾸고 'user@example.com'을 하나 이상의 유효한 이메일 주소로 바꿉니다(여러 항목을 쉼표로 구분).
예:
--member="user:user@example.com" \
--role="roles/iam.serviceAccountUser"
4단계: BigQuery 데이터에 액세스할 수 있도록 서비스 계정 사용 설정하기
Looker Studio에서 데이터에 액세스할 수 있도록 하려면 테이블 또는 데이터 세트 수준에서 서비스 계정에 BigQuery 데이터 뷰어 역할을 부여합니다.
Looker Studio 사용자에게 Looker Studio 서비스 계정 제공하기
Looker Studio 사용자는 데이터 소스를 만들 때 사용할 서비스 계정을 알아야 합니다. Looker Studio에서는 사용 가능한 서비스 계정 목록을 볼 수 없으므로 조직의 문서, 내부 웹사이트, 이메일을 통해 이 정보를 제공해야 합니다.
참고: 서비스 계정 키를 직접 관리하거나, 사용자가 Cloud Console에서 서비스 계정 키를 다운로드하여 Looker Studio에 업로드하지 않아도 됩니다. Looker Studio에서는 서비스 계정당 서비스 계정 키 10개 한도가 적용되지 않습니다.
서비스 계정 사용자 인증 정보를 사용하는 데이터 소스 만들기
Looker Studio 사용자는 다른 데이터 사용자 인증 정보 유형과 동일한 기본 단계에 따라 서비스 계정 사용자 인증 정보를 사용하는 데이터 소스를 만들 수 있습니다.
- BigQuery 데이터 소스를 만들거나 수정합니다.
- 툴바에서 데이터 사용자 인증 정보를 클릭합니다.
- 서비스 계정 사용자 인증 정보를 선택합니다.
- 상자에 서비스 계정 이메일 주소를 입력합니다.
- 업데이트를 클릭합니다.
서비스 계정 사용자 인증 정보를 사용하는 데이터 소스 수정하기
누군가 서비스 계정 사용자 인증 정보를 사용하는 데이터 소스를 수정하면 Looker Studio에서 서비스 계정을 사용할 권한이 사용자에게 있는지 확인합니다. 권한이 없으면 데이터 소스가 대신 해당 사용자의 사용자 인증 정보를 사용하도록 전환됩니다.
서비스 계정을 사용하여 데이터에 액세스하는 사용자 확인하기
Cloud Console에서 서비스 계정의 감사 로그를 확인할 수 있습니다. 서비스 계정에 대한 감사 로그를 수신하려면 데이터 액세스 활동에 대해 IAM 감사 로그를 사용 설정해야 합니다.
서비스 계정 예시 시나리오
회사 내 Looker Studio 사용자에게 해당 국가의 자회사 데이터에 대한 권한만 부여하려는 상황을 가정해 보겠습니다. 이 경우에는 국가별로 서비스 계정을 만들고 해당 국가의 Looker Studio 사용자에게만 서비스 계정 역할을 할 수 있는 권한을 부여하면 됩니다.
설정 예시
이 예에서는 서비스 계정을 영국, 프랑스, 독일 각각에 대해 하나씩 총 3개를 만듭니다. 그런 다음 서비스 에이전트와 서비스 계정을 주 구성원으로 사용하는 데이터 소스를 만들 수 있는 사용자에게 적절한 역할을 할당합니다.
영국 서비스 계정
service-account-1@example-org-uk-example-project.iam.gserviceaccount.com
영국 주 구성원
| 주 구성원 | 역할 |
|
서비스 에이전트입니다. |
서비스 계정 토큰 생성자 |
| 사용자 1 | 서비스 계정 사용자 |
| 사용자 2 | 서비스 계정 사용자 |
프랑스 서비스 계정
service-account-1@example-org-fr-example-project.iam.gserviceaccount.com
프랑스 주 구성원
| 주 구성원 | 역할 |
|
서비스 에이전트입니다. |
서비스 계정 토큰 생성자 |
| 사용자 3 | 서비스 계정 사용자 |
| 사용자 4 | 서비스 계정 사용자 |
독일 서비스 계정
service-account-1@example-org-de-example-project.iam.gserviceaccount.com
독일 주 구성원
| 주 구성원 | 역할 |
|
서비스 에이전트입니다. |
서비스 계정 토큰 생성자 |
| 사용자 5 | 서비스 계정 사용자 |
| 사용자 6 | 서비스 계정 사용자 |
service-account-1@example-org-fr-example-project.iam.gserviceaccount.com이 존재한다는 것을 알더라도 해당 권한이 없으므로 사용할 수 없습니다. 서비스 에이전트가 작동하려면 서비스 계정에 추가해야 합니다. (서비스 에이전트는 Looker Studio에서 서비스 계정을 사용하는 방식입니다.)오류
이 섹션에서는 Looker Studio 데이터 소스 생성자와 보고서 보기 권한 사용자가 서비스 계정을 사용하려고 할 때 발생할 수 있는 오류를 설명합니다. 대부분의 경우 이러한 오류는 모두 근본적으로 해당 서비스 계정의 부정확하거나 불완전한 설정에서 기인합니다.
메시지
|
원인서비스 에이전트에 서비스 계정 토큰 생성자 역할(또는 |
솔루션서비스 에이전트에 서비스 계정 토큰 생성자 역할을 부여합니다. |
메시지이 서비스 계정으로는 기본 데이터 세트에 액세스할 수 없습니다. |
원인서비스 계정에 프로젝트 데이터에 대한 액세스 권한이 부여되지 않았습니다. |
솔루션최소한 기본 테이블, 데이터 세트 또는 프로젝트의 서비스 계정에 BigQuery 데이터 뷰어 역할을 부여합니다. |
메시지이 서비스 계정을 사용할 권한이 없습니다. |
원인사용자가 서비스 계정 사용자 역할이 있는 서비스 계정의 주 구성원으로 추가되지 않았습니다. |
솔루션서비스 계정의 사용자에게 서비스 계정 사용자 역할을 부여합니다. |
메시지
|
원인사용자가 일반(일반 사용자) Google 계정에서 서비스 계정으로 제어되는 데이터에 액세스하려고 합니다. |
솔루션Google Workspace 또는 Cloud ID 계정을 사용하여 데이터에 액세스하세요. |
메시지Looker Studio 서비스 에이전트는 데이터에 직접 연결하는 데 사용할 수 없습니다. 대신 서비스 계정을 사용하세요. |
솔루션서비스 에이전트와 서비스 계정은 서로 다릅니다. 사용자 인증 정보 대화상자에 서비스 계정을 입력합니다. Cloud Console을 사용하여 사용 가능한 서비스 계정 목록을 찾을 수 있습니다. Cloud 콘솔 사용하기
Cloud Shell 사용하기
예:
|
제한사항
- 서비스 계정 사용자 인증 정보는 현재 BigQuery 데이터 소스에만 사용할 수 있습니다. IAM 한도는 서비스 계정에 적용됩니다.
- 서비스 계정 권한의 변경사항이 Looker Studio에 반영되는 데 몇 분 정도 걸릴 수 있습니다.