Administratoreinstellungen – Rollen

Rollen, Berechtigungssätze und Modellsätze werden zusammen verwendet, um zu verwalten, was Nutzer tun und was sie sehen können. Auf der Seite Rollen im Bereich Nutzer des Admin-Bereichs können Sie Rollen, Berechtigungsgruppen und Modellgruppen aufrufen, konfigurieren und zuweisen.

Sie können nach bestimmten Rollen, Berechtigungsgruppen und Modellgruppen suchen, indem Sie oben rechts einen Suchbegriff in das Suchfeld eingeben und die Eingabetaste drücken.

Definitionen

• Eine Rolle definiert die Berechtigungen, die ein Nutzer oder eine Gruppe für eine bestimmte Gruppe von Modellen in Looker hat. Sie erstellen eine Rolle, indem Sie einen Berechtigungssatz mit einem Modellsatz kombinieren.
• Ein Berechtigungssatz definiert, was ein Nutzer oder eine Gruppe tun kann. Sie wählen eine Kombination von Berechtigungen aus, die Sie einem Nutzer oder einer Gruppe zuweisen möchten. Sie muss als Teil einer Rolle verwendet werden, damit sie wirksam wird.
• In einem Modellsatz wird definiert, welche Daten und LookML-Felder ein Nutzer oder eine Gruppe sehen kann. Sie wählen eine Kombination aus LookML-Modellen aus, auf die ein Nutzer oder eine Gruppe Zugriff haben soll. Sie muss als Teil einer Rolle verwendet werden, damit sie wirksam wird.

Rollen verwalten

Eine Rolle ist eine Kombination aus einem Berechtigungssatz und einem Modellsatz. Es ist üblich, Rollen nach Arten von Personen oder Personengruppen in Ihrer Organisation zu benennen, z. B. „Administrator“, „Looker-Entwickler“ oder „Finanzteam“. Sie können aber auch Ihre eigenen Namenskonventionen verwenden.

Ein Nutzer kann in Looker mehrere Rollen haben. Das kann nützlich sein, wenn Sie Nutzer haben, die mehrere Rollen in Ihrem Unternehmen spielen, oder wenn Sie komplexe Zugriffssysteme für Ihre Modelle erstellen möchten.

Rollen erstellen, bearbeiten und löschen

So erstellen Sie eine Rolle:

1. Klicken Sie oben auf der Seite Rollen auf die Schaltfläche Neue Rolle.

2. Looker zeigt die Seite Neue Rolle an, auf der Sie die folgenden Einstellungen konfigurieren können:

   • Name: Geben Sie einen Namen für die Rolle ein.
   • Berechtigungssatz: Wählen Sie einen Berechtigungssatz aus, der mit der Rolle verknüpft werden soll.
   • Modellsatz: Wählen Sie einen Modellsatz aus, der der Rolle zugewiesen werden soll.
   • Gruppen: Optional können Sie eine oder mehrere Gruppen auswählen, denen die Rolle zugewiesen werden soll.
   • Nutzer: Optional können Sie einen oder mehrere Nutzer auswählen, denen die Rolle zugewiesen werden soll.

3. Wenn Sie die Rolle wie gewünscht konfiguriert haben, klicken Sie unten auf der Seite auf die Schaltfläche Neue Rolle.

Nachdem eine Rolle erstellt wurde, können Sie sie bearbeiten, indem Sie auf der Seite Rollen rechts neben der Rolle auf die Schaltfläche Bearbeiten klicken. Wenn Sie auf Bearbeiten klicken, gelangen Sie zur Seite Rolle bearbeiten für diese Rolle. Dort können Sie den Namen, die Berechtigungsgruppe, die Modellgruppe und die Gruppen oder Nutzer bearbeiten, die der Rolle zugewiesen sind.

Wenn Sie eine Rolle löschen möchten, klicken Sie auf der Seite Rollen rechts neben der Rolle auf die Schaltfläche Löschen.

Standardrollen

Für neue Instanzen erstellt Looker die folgenden Standardrollen, die jeweils ein Standardberechtigungssatz mit demselben Namen enthalten:

• Admin
• Admin über IAM
• Entwickler
• Gemini
• Support Advanced Editor
• Support Basic Editor
• Nutzer
• Betrachter

Für die Standardrollen in den folgenden Abschnitten gelten Nutzungsbedingungen.

Admin über IAM

Die Rolle „Admin via IAM“ ist nur in Looker (Google Cloud Core) verfügbar und kann nur über die Google Cloud Console verwaltet werden. Weitere Informationen finden Sie in der Dokumentation unter Authentifizierung und Autorisierung mit OAuth und IAM und Looker-Administratorrolle im Vergleich zur Looker-Administratorrolle über IAM.

Für die Rolle Administrator über IAM wird die Berechtigungsgruppe Administrator verwendet.

Gemini

Die Rolle Gemini kann nicht umbenannt oder gelöscht werden und enthält in ihrem Berechtigungssatz nur die Berechtigung gemini_in_looker. Standardmäßig gilt die Berechtigungsgruppe dieser Rolle für alle Modelle in der Looker-Instanz. Wenn Sie den Zugriff von Nutzern auf Gemini in Looker-Funktionen mit bestimmten Modellen einschränken möchten, entfernen Sie diese Nutzer aus der Rolle Gemini und erstellen Sie eine neue Rolle, in der die Berechtigung gemini_in_looker für ausgewählte Modelle angewendet wird. Entfernen Sie diese Nutzer aus der Gruppe Gemini-Standardnutzer.

Mit der Berechtigung gemini_in_looker, die in dieser Rolle verfügbar ist, können Nutzer die folgenden Aufgaben in der Looker-Instanz mit Gemini-Unterstützung ausführen:

• LookML schreiben – wenn sie auch eine Looker-Rolle haben, die die Berechtigung develop für mindestens ein Modell in einem LookML-Projekt enthält.
• Benutzerdefinierte Looker-Visualisierungen erstellen – wenn sie auch eine Looker-Rolle mit der Berechtigung can_override_vis_config haben.
• Looker-Explore-Daten können mit Conversational Analytics abgefragt werden, auch wenn dem Nutzer keine explore-Berechtigungen zugewiesen wurden, sofern er eine Looker-Rolle hat, die die Berechtigung access_data für das Modell enthält, das er abfragt.

Weitere Informationen zu den Funktionen von Gemini in Looker finden Sie in der Übersicht zu Gemini in Looker.

Unterstützung des erweiterten und des Standardeditors

Diese Rollen werden in einer Looker-Instanz (Original) nicht angezeigt, wenn ein Looker-Administrator die Labs-Funktion Tiered Support Access deaktiviert hat. Diese Rollen werden in einer Looker (Google Cloud Core)-Instanz nicht angezeigt, wenn für die Instanz Netzwerke mit privater IP-Adresse (Zugriff auf private Dienste oder Private Service Connect) oder Netzwerke mit öffentlicher und privater IP-Adresse verwendet werden.

Die Rollen Support Advanced Editor und Support Basic Editor können nicht bearbeitet, gelöscht oder anderen Nutzern als Nutzern mit Supportzugriff zugewiesen werden.

Berechtigungssätze

Ein Berechtigungssatz definiert, was ein Nutzer oder eine Gruppe tun kann. Administratoren können die Standardberechtigungssätze von Looker verwenden oder eigene Berechtigungssätze erstellen. Dabei müssen sie die Abhängigkeiten von Berechtigungen berücksichtigen.

Alle verfügbaren Berechtigungen und ihre Typen werden in der Berechtigungsliste ausführlicher beschrieben.

Standardberechtigungssätze

Für Neuinstallationen enthält Looker mehrere Standardberechtigungsgruppen, mit denen Sie beginnen können:

Diese Berechtigungsgruppen werden als Optionen angezeigt, wenn Sie eine neue Rolle erstellen. Wenn Sie eines dieser Berechtigungssätze auswählen, wird in Looker die Liste der darin enthaltenen Berechtigungen angezeigt.

Der Berechtigungssatz „Administrator“ kann nicht bearbeitet oder gelöscht werden und kann keiner Rolle zugewiesen werden. Sie wird nur der Administratorrolle zugewiesen, die ebenfalls nicht bearbeitet oder gelöscht werden kann. Die einzige Möglichkeit, einem Nutzer oder einer Gruppe die Berechtigungsgruppe „Administrator“ zuzuweisen, besteht darin, dem Nutzer oder der Gruppe die Rolle „Administrator“ zuzuweisen.

Berechtigungssätze erstellen

Klicken Sie zum Erstellen eines Berechtigungssatzes oben auf der Seite Rollen auf die Schaltfläche Neuer Berechtigungssatz. Looker zeigt eine Seite an, auf der Sie einen Namen für das Berechtigungssatz eingeben und die Berechtigungen auswählen können, die es enthalten soll. Wenn Sie das Set wie gewünscht konfiguriert haben, klicken Sie unten auf der Seite auf die Schaltfläche Neuer Berechtigungssatz.

Nachdem Sie ein Berechtigungspaket erstellt haben, können Sie es bearbeiten oder löschen. Klicken Sie dazu auf der Seite Rollen rechts neben dem Berechtigungspaket auf die Schaltfläche Bearbeiten oder Löschen.

Berechtigungen und Abhängigkeiten

Einige Berechtigungen sind von anderen abhängig, damit sie richtig funktionieren. So ist es beispielsweise sinnvoll, dass jemand, der in LookML entwickeln möchte, LookML zuerst sehen können muss.

Wenn Sie eine Berechtigungsgruppe erstellen, werden die verfügbaren Berechtigungen in einer eingerückten Liste angezeigt. Wenn eine Berechtigung unter einer anderen (übergeordneten) Berechtigung eingerückt ist, müssen Sie zuerst die übergeordnete Berechtigung auswählen. Die Berechtigungsliste könnte so aussehen:

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

In diesem Beispiel wird die Einrückung in Looker verwendet, um Folgendes anzugeben:

• Das access_data-Privileg kann jederzeit ausgewählt werden.
• Für die Berechtigungen see_lookml_dashboards und see_looks muss zuerst die Berechtigung access_data ausgewählt werden.
• Die Berechtigung see_user_dashboards hängt von der Berechtigung see_looks ab, die wiederum von der Berechtigung access_data abhängt.

Sie können keine untergeordnete Berechtigung auswählen, ohne zuerst die übergeordnete Berechtigung auszuwählen.

Berechtigungen und Looker-Lizenzen

Looker-Lizenzen klassifizieren Nutzer in drei Typen:

• Entwickler (Administrator)
• Standard (Creator)
• Betrachter

Die einem Nutzer gewährten Berechtigungen bestimmen, wie dieser Nutzer im Rahmen der Looker-Lizenz klassifiziert wird:

• Ein Nutzer wird als Entwickler (Administrator) eingestuft, wenn er die Standardrolle „Administrator“ oder mindestens eine der folgenden Berechtigungen hat:

  • develop
  • manage_models
  • see_datagroups
  • see_logs
  • see_pdts
  • sudo

• Ein Nutzer wird als Standardnutzer (Creator) eingestuft, wenn er keine der Entwicklerberechtigungen (Administrator) hat, aber mindestens eine der folgenden Berechtigungen:

  • create_prefetches
  • explore
  • manage_homepage
  • manage_spaces
  • save_content
  • see_queries
  • see_schedules
  • see_system_activity
  • see_users
  • use_sql_runner

• Ein Nutzer wird als Betrachter eingestuft, wenn er die Berechtigung access_data, aber keine der Entwicklerberechtigungen (Administrator) und keine der Standardberechtigungen (Creator) hat.

Berechtigungsliste

Berechtigungen lassen sich in drei Typen einteilen:

• Modellspezifisch:Diese Art von Berechtigung wird nur auf die Modellsätze angewendet, die Teil derselben Rolle sind. Diese Berechtigung wird auf einzelne Modelle oder Modellsets angewendet und nicht auf die gesamte Looker-Instanz.
• Verbindungsspezifisch:Diese Art von Berechtigung wird auf Verbindungsebene angewendet. Nutzer mit dieser Berechtigung sehen Inhalte auf Seiten im Bereich Verwaltung, für die eine Verbindung verwendet wird, die mit einem Modell verknüpft ist, auf das sie Datenzugriff haben. Das gilt auch dann, wenn diese Verbindung mit einem anderen Modell verwendet wird, auf das sie keinen Datenzugriff haben.
• Instanzweit:Diese Art von Berechtigung gilt für die gesamte Looker-Instanz und hat drei Typen:
  • NN = Kein Zugriff auf Inhalte, kein Zugriff auf Menüs: Mit diesen Berechtigungen können Nutzer bestimmte Funktionen in der gesamten Looker-Instanz ausführen, aber nicht auf Inhalte zugreifen, die auf Modellen basieren, die nicht im Modellset ihrer Rolle enthalten sind.
  • CN = Content access, No menu access (Inhaltszugriff, kein Menüzugriff): Mit diesen Berechtigungen können Nutzer auf Inhalte zugreifen und Informationen in der gesamten Looker-Instanz abfragen – auch für Inhalte und Abfragen, die auf Modellen basieren, die nicht im Modellset ihrer Rolle enthalten sind.
  • CM = Content access, Menu access (Inhaltszugriff, Menüzugriff): Mit diesen Berechtigungen können Nicht-Administratoren Teile des Administratormenüs aufrufen und Informationen zu Inhalten und Anfragen auf Grundlage von Modellen sehen, die nicht im Modellset ihrer Rolle enthalten sind.

In der folgenden Liste werden alle in Looker verfügbaren Berechtigungen in der Reihenfolge beschrieben, in der sie auf der Seite New Permission Set (Neues Berechtigungssatz) im Bereich Admin (Administrator) angezeigt werden:

Wissenswertes zu Berechtigungssätzen

Die folgenden Berechtigungen interagieren auf potenziell unerwartete Weise mit Modellgruppen:

• develop; see_lookml: In der IDE von Looker kann ein einzelnes Projekt mehrere Modelldateien enthalten. Wenn Sie einem Nutzer die Berechtigungen develop oder see_lookml zuweisen und ihm erlauben, alle Modelle zu sehen, die Teil eines Projekts sind, kann er die LookML für alle Modelle in diesem Projekt entwickeln oder ansehen. Sie können jedoch weiterhin keine Modelle abfragen, die Sie nicht zugelassen haben.
• manage_models: Wenn Sie einem Nutzer die Berechtigung manage_models zuweisen, kann er auf alle Modelle in allen Projekten in der Instanz zugreifen.
• manage_modelsets_restricted: Wenn Sie einem Nutzer die Berechtigung manage_modelsets_restricted zuweisen, kann er jedes Modell in einem Projekt zuweisen, auf das er Zugriff hat.
• manage_project_connections: Wenn Sie einem Nutzer die Berechtigungen manage_project_connections_restricted oder manage_project_connections zuweisen, kann er projektbezogene Verbindungen für alle Projekte sehen, bearbeiten und erstellen, die im Modellset enthalten sind.

Modellsätze

In einem Modellset wird festgelegt, welche Daten und LookML-Felder ein Nutzer oder eine Gruppe sehen kann. Jede Gruppe ist eine Liste von LookML-Modellen, auf die ein Nutzer oder eine Gruppe Zugriff haben soll. Ein Modellset hat zwei Funktionen:

1. Mit einem Modellset wird festgelegt, auf welche Modelle in Ihrem LookML sich die Berechtigungen beziehen (sofern diese Berechtigungen modellspezifisch sind).
2. Ein Modell schränkt ein, welche Daten und LookML-Felder ein Nutzer sehen kann, da jedes Modell mit einer bestimmten Datenbankverbindung verknüpft ist und bestimmte LookML-Felder enthält.

Modellgruppe erstellen

So erstellen Sie eine Modellgruppe:

1. Klicken Sie oben auf der Seite Rollen auf die Schaltfläche Neue Modellgruppe.

   

2. In Looker wird die Seite New Model Set (Neues Modellset) angezeigt. Geben Sie einen Namen für die neue Modellgruppe ein.

3. Wählen Sie das oder die Modelle aus, die in das neue Modellset aufgenommen werden sollen.

4. Klicken Sie unten auf der Seite auf die Schaltfläche Neue Modellgruppe. Der neue Modellsatz wird auf der Seite Rollen im Bereich Modellsätze angezeigt.

Modelle, die in ausstehenden Projekten enthalten sind, werden auf den Seiten Neues Modellset und Modellset bearbeiten in der Liste Modelle angezeigt.

Wenn Sie ein Modell löschen oder umbenennen, werden keine Modellgruppen geändert, die dieses Modell enthalten. Wenn ein Modell entfernt oder umbenannt wird, empfehlen wir Looker-Administratoren, den Namen des Modells auch aus allen zugehörigen Modellgruppen zu entfernen. Verwenden Sie dazu die Seite Modellgruppe bearbeiten. Wenn Sie den Namen eines gelöschten Modells aus einem Modellset entfernen, wird verhindert, dass ein neues Modell mit demselben Namen versehentlich in dieses Modellset aufgenommen wird.

Weitere Informationen zu Modellen finden Sie auf der Dokumentationsseite Modellparameter.

Mehrere Modelle und Modellgruppen erstellen

Das folgende Beispiel veranschaulicht, wie Sie den Zugriff auf Daten mit mehreren Modellgruppen einschränken können. Stellen Sie sich ein Szenario vor, in dem Sie zwei Teams haben: Marketing und Support. In diesem Beispiel sollten diese beiden Teams keinen Zugriff auf das gesamte Modell haben. Daher erstellen Sie für jedes Team ein separates Modell. So trennen Sie den Datenzugriff:

1. Kopieren Sie das Modell in zwei neue Modelle.
2. Das erste der neuen Modelle sollte nur die Ansichten, Felder und Explores enthalten, auf die das Marketingteam Zugriff haben soll.
3. Erstellen Sie ein Modellset für das Marketingteam, das nur dieses neue Modell enthält.
4. Erstellen Sie eine neue Rolle für das Marketingteam, die dieses neue Modellset und die entsprechenden Berechtigungen für das Marketingteam enthält.
5. Weisen Sie diese neue Rolle der Gruppe „Marketingteam“ zu.
6. Wiederholen Sie die Schritte 2 bis 5, um das zweite Modell für das Supportteam zu konfigurieren.

Modellgruppe bearbeiten

Nachdem Sie eine Modellgruppe erstellt haben, gehen Sie so vor, um sie zu bearbeiten:

1. Klicken Sie auf der Seite Rollen rechts neben dem Modellset, das Sie bearbeiten möchten, auf die Schaltfläche Bearbeiten.

2. Looker zeigt die Seite Modellsatz bearbeiten an. Geben Sie bei Bedarf im Feld Name einen neuen Namen für den Modellsatz ein.

3. Im Bereich Modelle können Sie Modelle hinzufügen oder entfernen.

4. Klicken Sie unten auf der Seite auf die Schaltfläche Modellsatz aktualisieren.

Modelle, die in ausstehenden Projekten enthalten sind, werden auf den Seiten Neues Modellset und Modellset bearbeiten in der Liste Modelle angezeigt.

Wenn Sie ein Modell löschen oder umbenennen, werden keine Modellgruppen geändert, die dieses Modell enthalten. Wenn ein Modell entfernt oder umbenannt wird, empfehlen wir Looker-Administratoren, den Namen des Modells auch aus allen zugehörigen Modellgruppen zu entfernen. Verwenden Sie dazu die Seite Modellgruppe bearbeiten. Wenn Sie den Namen eines gelöschten Modells aus einem Modellset entfernen, wird verhindert, dass ein neues Modell mit demselben Namen versehentlich in dieses Modellset aufgenommen wird.

Modellgruppe löschen

Wenn Sie ein Modellset löschen möchten, klicken Sie auf der Seite Rollen rechts neben dem Modellset, das Sie löschen möchten, auf Löschen.