G-gen の藤岡です。Looker Studio で IMAGE 関数を利用して Cloud Storage 上の画像を表示させようとしたとき、画像が表示されない場合の原因と対処法を紹介します。

前提知識

Cloud Storage のアクセス制御

Cloud Storage のバケットには、インターネット上の任意の場所からアクセス可能な状態（パブリック公開）と、適切な権限を持つユーザーのみがアクセスできる状態（パブリック公開の禁止）のアクセス制御をかけられます。パブリック公開の禁止を設定すると、認証無しのアクセスは拒否されます。

Cloud Storage の基本については、以下の記事を参照してください。 blog.g-gen.co.jp

パブリック公開を禁止したバケットでは、オブジェクトごとに認証付き URL を発行できます。バケットに対して適切な読み取り権限を持った Google アカウントにログインした状態でこの URL にアクセスすると、オブジェクトをダウンロードすることができます。

IMAGE 関数

Looker Studio レポートでは IMAGE 関数を使うことで、表の中に画像を表示することができます。

参考 : IMAGE

事象

Cloud Storage でパブリック公開の禁止を設定したバケットに置かれた画像ファイルを Looker Studio で IMAGE 関数を使って表示させようとしました。画像ファイルの認証付き URL を指定して IMAGE 関数を設定しましたが、何も表示されませんでした。

Looker Studio の計算フィールドとディメンションは以下のように設定しました。image_url 列にはオブジェクトの認証済み URL が格納されています。

Looker Studio の認証情報には「オーナーの認証情報」を使っており、対象のユーザーには実行に必要な権限が付与されています。

参考 : データの認証情報

原因

Cloud Storage の認証済み URL は、データアクセス監査ログが有効化されていると使用できないという制約があります。データアクセス監査ログは、Google Cloud リソースへの読み取り系 API のアクセスログを残す機能であり、デフォルトでは BigQuery を除いてオフになっています。環境によっては、監査目的で、このログを有効化している場合があります。

この制約については、公式ドキュメントの Cloud Storage での Cloud Audit Logs の制限事項およびトラブルシューティングのページに記載されています。

今回検証を行った環境では、Cloud Storage が所属するプロジェクトでデータアクセス監査ログが有効になっていたため、IMAGE 関数で適切な権限を持ったユーザーでも画像が表示されませんでした。

このプロジェクトでは、Looker Studio 経由だけでなく、認証付き URL に対してブラウザで直接アクセスしても、403: Forbidden としてアクセスが拒否されます。