Google Analytics

サイトの訪問・ページ・イベントを読む（GA4）

手順

Google Cloud のプロジェクトを選ぶか作り、Google Analytics Data API と Admin API を有効にするコンソールの API ライブラリで、それぞれの名前を探して「有効にする」を押します。
kokuban という名前のサービスアカウントを作る（ロールは要りません）
そのサービスアカウントの「キー」で「鍵を追加」→「JSON」を選ぶ。ファイルが落ちてきますこのファイルが鍵そのものです。kokuban は中身を OS の金庫に入れるので、落としたファイルはあとで消してください。
Google アナリティクスの「管理」→「プロパティのアクセス管理」で、サービスアカウントのアドレスを「閲覧者」として足すサービスアカウントのアドレスは .iam.gserviceaccount.com で終わります。つなぐときに kokuban が出します。
プロパティ ID は「管理」→「プロパティの詳細」にあります（数字だけ）

kokuban connect ga --key-file <file.json> --account <property id>

kokuban が鍵を聞きます（貼っても画面には出ません）。鍵は OS の金庫に入れ、すぐに試します。鍵にできないことがあれば、何を変えればよいかを言います。

kokuban の画面の接続の一覧には、まだつないでいないサービスも並びます。開いて y を押すと、画面がターミナルをこのコマンドに渡します。

1 つの鍵ファイルで、Google アナリティクスと Search Console の両方につなげます。
「Google でログイン」ではなくサービスアカウントにした理由：kokuban はどこにも自分のアプリを登録しません。自分で作る Google アプリは「テスト中」のままになり、Google が 7 日ごとにログインを切ります。サービスアカウントは切れません。
コンソールが「鍵を作れない」と言うときは、組織がサービスアカウントの鍵を止めています（iam.disableServiceAccountKeyCreation）。管理者に頼むか、組織の外のプロジェクトを使ってください。

Google アナリティクスで、このプロパティにサービスアカウントのアドレスを足してください（「管理」→「プロパティのアクセス管理」→「閲覧者」）

kokuban connections で、すべての接続を確かめ、手当てが要るものを教えます。

kokuban disconnect ga@hq を実行し、「プロパティのアクセス管理」からサービスアカウントを外し、Google Cloud のコンソールで鍵を消します。