Configurer les connecteurs

Créer un compte de service

Pour créer un compte de service Google Cloud, suivez les instructions de la page Créer des comptes de service.

Configurer les autorisations pour la création de clés

Pour créer des clés pour votre compte de service, vous devez disposer des permissions appropriées. Pour plus d'informations sur les autorisations requises, consultez Autorisations requises.

Créer une clé JSON

Pour générer une clé JSON pour votre compte de service, suivez les étapes décrites dans Créer une clé de compte de service.

Convertir la clé JSON en base64

Pour utiliser la clé JSON dans Lens, convertissez l'intégralité du contenu du fichier JSON en base64 et enregistrez-le dans un fichier texte.

Partagez vos feuilles de calcul avec le compte de service

Pour permettre à Lens d'accéder à vos données, accordez des droits de lecture à l'adresse e-mail du compte de service pour chaque Google Sheet que vous souhaitez connecter.

Créer une fiche de métadonnées

Pour gérer les feuilles disponibles pour Lens, créez une nouvelle Google Sheet avec les quatre colonnes suivantes :

• Nom de la feuille: Le nom de chaque feuille à laquelle vous souhaitez accéder avec Lens. Toutes les feuilles répertoriées doivent être accessibles par le compte de service.
• Sheetid: L'identifiant unique de chaque feuille. Vous pouvez trouver ceci dans l'URL de la feuille : https://docs.google.com/spreadsheets/d/SHEET_ID/edit.
• Propriétaire: Le propriétaire de la feuille. Utilisez Trino comme valeur par défaut.
• Notes: Toute note ou description supplémentaire pour la feuille.

Partager la fiche de métadonnées

Pour permettre à Lens de lire les métadonnées, accordez l'autorisation de lecture à votre compte de service pour la feuille de métadonnées.

Copier l'ID de la feuille de métadonnées

Pour configurer le connector, copiez l'ID de la feuille depuis l'URL de la feuille de métadonnées. L'ID de la feuille apparaît dans l'URL sous la forme : https://docs.google.com/spreadsheets/d/SHEET_ID/edit.

Créer une stratégie IAM

Créez une stratégie IAM avec les autorisations suivantes pour permettre à Lens de lire les métadonnées Glue et les fichiers de données dans S3. Remplacez {REGION}, {ACCOUNT_ID}, {DATABASE_NAME} et {S3_BUCKET_NAME} par vos valeurs. Notez le nom de la stratégie que vous saisissez, car vous en aurez besoin pour attacher cette stratégie au rôle IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "glue:GetDatabase",
        "glue:GetTable",
        "glue:GetTables",
        "glue:SearchTables",
        "glue:GetPartition",
        "glue:GetPartitions",
        "glue:BatchGetPartition"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:glue:{REGION}:{ACCOUNT_ID}:catalog",
        "arn:aws:glue:{REGION}:{ACCOUNT_ID}:database/{DATABASE_NAME}",
        "arn:aws:glue:{REGION}:{ACCOUNT_ID}:table/*"
      ]
    },
    {
      "Action": ["s3:GetObject", "s3:ListBucket", "s3:GetBucketLocation"],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::{S3_BUCKET_NAME}",
        "arn:aws:s3:::{S3_BUCKET_NAME}/*"
      ]
    }
  ]
}

Créer un rôle IAM avec une relation de confiance

Créez un rôle IAM et configurez la relation de confiance pour autoriser le compte de service Lens à l’assumer. Lors de la configuration du rôle, utilisez ces valeurs :

• Type d'entité de confiance: Compte AWS

• ID de compte: 017663287629 (compte AWS de New Relic)

• Exiger un ID externe: activé. AWS exige une valeur pour terminer la création du rôle, saisissez donc un espace réservé temporaire (par exemple, temp-id). Vous le remplacerez par l'ID externe que Lens génère à l'étape suivante.

• Stratégie d'autorisations: recherchez le nom de la stratégie que vous avez créée à l'étape précédente et sélectionnez-la.

  La stratégie de confiance doit respecter le format suivant. Remplacez <AUTO_GENERATED_EXTERNAL_ID_FROM_LENS_UI> par le même espace réservé temporaire que vous avez saisi ci-dessus — vous mettrez à nouveau à jour cette valeur avec le véritable ID externe généré par Lenslors d’une étape ultérieure.

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::017663287629:user/service_fdp_customer_account_data_access"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "sts:ExternalId": "<AUTO_GENERATED_EXTERNAL_ID_FROM_LENS_UI>"
          }
        }
      }
    ]
  }

  Copier

  Après avoir créé le rôle, ouvrez la page récapitulative du rôle et copiez le Role ARN. Vous aurez besoin de cet ARN pour créer le connector à l’étape suivante.

Créer le connector

Accédez à one.newrelic.com > Administration > Connectors, cliquez sur Create a connector, sélectionnez Iceberg, et saisissez les informations suivantes :

Cliquez sur Create. Lens génère automatiquement un ID externe pour le connector.

Mettez à jour la stratégie de confiance avec l’ID externe généré

1. Ouvrez la vue détaillée de connector's et copiez l'ID externe généré automatiquement.
2. Dans AWS, modifiez la politique d’approbation du rôle IAM et remplacez la valeur temporaire de l’espace réservé dans sts:ExternalId par l’ID externe que vous avez copié à partir de Lens.

Créer un compte de service

Si vous n'avez pas encore de compte de service, reportez-vous à Créer des comptes de service pour en créer un.

Accorder des rôles BigQuery

Consultez Accorder un rôle IAM pour accorder au compte de service ces deux rôles, car la lecture de données et l’exécution de requêtes sont des permissions BigQuery distinctes :

• BigQuery Data Viewer (roles/bigquery.dataViewer) : permet au connector de lire les données de table et les métadonnées. Vous pouvez limiter cela à des ensembles de données spécifiques au lieu de l’ensemble du projet pour un accès plus restreint.
• BigQuery Job User (roles/bigquery.jobUser) : permet au connector d’exécuter des requêtes. Accordez ceci au niveau du projet, car l’exécution de tâches n’est pas une permission au niveau de l’ensemble de données dans BigQuery.

Créer une clé JSON

Pour générer une clé JSON pour votre compte de service, consultez Créer une clé de compte de service pour obtenir des instructions.

Convertir la clé JSON en base64

Pour utiliser la clé JSON dans Lens, convertissez l’intégralité du contenu du fichier JSON en encodage base64 :

$
base64 -i your-key-file.json | tr -d '\n'

Lorsque vous créez le connector, copiez la sortie dans le champ credential_key.

Créer une stratégie IAM

Créez une stratégie IAM avec les autorisations suivantes pour permettre à Lens de lire les métriques CloudWatch depuis votre compte AWS. Notez le nom de la stratégie que vous saisissez, car vous en aurez besoin pour attacher cette stratégie au rôle IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricData",
        "cloudwatch:GetMetricStatistics",
        "tag:GetResources"
      ],
      "Resource": "*"
    }
  ]
}

Créer un rôle IAM avec une relation de confiance

Créez un rôle IAM et configurez la relation de confiance pour autoriser le compte de service Lens à l’assumer. Lors de la configuration du rôle, utilisez ces valeurs :

• Type d'entité de confiance: Compte AWS

• ID de compte: 017663287629 (compte AWS de New Relic)

• Exiger un ID externe: activé. AWS exige une valeur pour terminer la création du rôle, saisissez donc un espace réservé temporaire (par exemple, temp-id). Vous le remplacerez par l'ID externe que Lens génère à l'étape suivante.

• Stratégie d'autorisations: recherchez le nom de la stratégie que vous avez créée à l'étape précédente et sélectionnez-la.

  La stratégie de confiance doit respecter le format suivant. Remplacez <AUTO_GENERATED_EXTERNAL_ID_FROM_LENS_UI> par le même espace réservé temporaire que vous avez saisi ci-dessus — vous mettrez à nouveau à jour cette valeur avec le véritable ID externe généré par Lenslors d’une étape ultérieure.

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::017663287629:user/service_fdp_customer_account_data_access"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "sts:ExternalId": "<AUTO_GENERATED_EXTERNAL_ID_FROM_LENS_UI>"
          }
        }
      }
    ]
  }

  Copier

  Après avoir créé le rôle, ouvrez la page récapitulative du rôle et copiez le Role ARN. Vous aurez besoin de cet ARN pour créer le connector à l’étape suivante.

Créer le connector

Accédez à one.newrelic.com > Administration > Connectors, cliquez sur Create a connector, sélectionnez AWS CloudWatch, et saisissez les informations suivantes, en utilisant le Role ARN de l’étape précédente :

Cliquez sur Create. Lens génère automatiquement un ID externe pour le connector.

Mettez à jour la stratégie de confiance avec l’ID externe généré

1. Ouvrez la vue détaillée de connector's et copiez l'ID externe généré automatiquement.
2. Dans AWS, modifiez la politique d’approbation du rôle IAM et remplacez la valeur temporaire de l’espace réservé dans sts:ExternalId par l’ID externe que vous avez copié à partir de Lens.