BIツールって高いので、とりあえずBIツール導入したいなら、サーバー代だけで導入できるSupersetが良い選択肢になると思います。そこで、会社で使う場合はSSOができると便利だと思います。Google Workspaceを使っているところも多いと思うので、GoogleでのSSOログインの設定方法のご紹介です。ドメインによる制限もかけられるようにしています。

はじめに

まずドーン　完成品
SSOの設定してdocker-composeで一発起動にしています。サーバーで動かしたい場合も、そのまま使えます。ただ動かしたいだけなら、レポジトリのReadmeに添って動かして貰えばと思います。
この記事では、SSOの設定は基本は公式ドキュメントに準じていますが、そのままだといくつもハマりポイントがあり動かないので、ハマったポイントをご紹介していきます。

1. superset_config.py

AUTH_TYPE=AUTH_OAUTH

AUTH_TYPEにAUTH_OAUTHを設定します。公式だと、AUTH_OAUTHだけ書かれていてコピペするだけだとエラーになります。このエラーを無くすにはimportが必要ですが、初めて使うのにどこimportしろって感じです。
なので、ファイルの冒頭に

from flask_appbuilder.security.manager import AUTH_OAUTH
AUTH_TYPE=AUTH_OAUTH

を追加しましょう

OAUTH_PROVIDERS

こちらもサンプルコピペでは動きません。SSOで使う対象の設定に合わせる必要があります。

nameをわかりやすいものに変える
client_id,client_secretは自分のアプリの設定に変更
client_kwardgsはSSOの対象によって違うので、後述のSecretManagerで必要になるパラメーターを取得できるscope設定をしてください。
xxx_urlここもSSOの対象によって変わります。oauth系のライブラリのソースコード覗いて確認するのが早いかもです。

AUTH_USER_REGISTRATION_ROLE

こちら、SSOで作成されたユーザーのデフォルト権限になります。サンプルはPublicなので、そのままだとDashboardなどを見ることしかできないユーザーが登録され、誰もAdminへの昇格ができなくなります。
なので、初期はAdminで起動し管理者ユーザーを作成し、その後Publicにしておきましょう。全員管理者で良いならAdminのままでも良いですがｗ

authlib

地味にドキュメントにはauthlibいるよと書かれています。これがないと動かないので、

pip install Authlib

を忘れないようにしてください。私のサンプルでは、Dockerfile内でinstallしています。

2. SecurityManager

ここで、OAuth Providerからユーザー情報の取得と、ドメインのチェックをしています。
ドメインチェックは公式ドキュメントには無いので、会社で使う際の参考にしてください。
サンプル - custom_sso_security_manager.py

ユーザー情報の取得

SSOは、認証しAccessTokenの取得までは勝手にやってくれますが、ユーザー情報の取得はSSOの対象によって違っているため、独自に書く必要があります。
やっていることは、最終的にOAuthのuserinfoエンドポイントを叩いて、その情報からSupersetの登録に必要な情報を取り出しているだけになります。

ドメインのチェック

Googleの場合、ドメイン情報がuserinfoエンドポイントから取得できるようになっているので、そのチェックも入れています。会社のGoogle workspaceのドメインのみ許可するようにしておけば、会社のアカウントを持っていない人は登録できなくなります。部外者がアクセスしてきても会社のGoogleアカウント持っていないと入れなくなるので、とりあえず使う際のセキュリティとして十分だと思うので、ご活用下さい。

superset_config.pyへ設定

SecurityManagerを作ったら設定に反映が必要です。
superset_config.pyと同じディレクトリにファイルを置き

from custom_sso_security_manager import CustomSsoSecurityManager
CUSTOM_SECURITY_MANAGER = CustomSsoSecurityManager

を設定してください。

注意

AWSのGravity系のCPUのインスタンスではsupersetのDocker imageが対応しておらず、docker-composeがビルド失敗します。

おわりに

以上がざっくりとした、設定の注意点です。

一般のBIツールは最低導入コスト200万円/年ぐらいは必要になって来ます。また、人数によって使用量も線形に増えていき、安くてViewerのライセンスだけでも月額2000円/人、Exploreクラスになると5000円/人程度は必要になってきます。そのため、PoCを行い、会社の説得、契約、社内への浸透をしていかないと行けないので、大変な道のりになると思うのでとりあえずBIツール入れてみたいならSupersetを使ってみても良いと思います。

ただし、やはり商用のBIツールのほうが、機能などが充実している＋サポートの料金も込みとなるので、非エンジニアも使うことを考えると商用のものを導入する選択肢は消すべきではないと思います。