Configuración de administrador: roles

Los roles, los conjuntos de permisos y los conjuntos de modelos se usan conjuntamente para gestionar lo que pueden hacer y ver los usuarios. En la página Roles de la sección Usuarios del panel Administrar, puede ver, configurar y asignar roles, conjuntos de permisos y conjuntos de modelos.

Para buscar roles, conjuntos de permisos y conjuntos de modelos específicos, introduce un término de búsqueda en el cuadro de búsqueda de la parte superior derecha y pulsa Intro.

Definiciones

• Un rol define los privilegios que tendrá un usuario o un grupo para un conjunto específico de modelos en Looker. Para crear un rol, combina un conjunto de permisos con un conjunto de modelos.
• Un conjunto de permisos define lo que puede hacer un usuario o un grupo. Selecciona una combinación de permisos que quieras asignar a un usuario o a un grupo. Debe usarse como parte de un rol para que tenga algún efecto.
• Un conjunto de modelos define qué datos y campos de LookML puede ver un usuario o un grupo. Selecciona una combinación de modelos de LookML a los que un usuario o un grupo deben tener acceso. Debe usarse como parte de un rol para que tenga algún efecto.

Gestionar roles

Un rol es una combinación de un conjunto de permisos y un conjunto de modelos. Es habitual asignar a los roles nombres que hagan referencia a tipos de personas o grupos de personas de tu organización (por ejemplo, administrador, desarrollador de Looker o equipo de Finanzas), aunque puedes seguir tus propias convenciones de nomenclatura.

Un usuario puede tener más de un rol en Looker. Esto puede ser útil cuando tienes usuarios que desempeñan varios roles en tu empresa o cuando quieres crear sistemas complejos de acceso a tus modelos.

Crear, editar y eliminar roles

Para crear un rol, sigue estos pasos:

1. En la parte superior de la página Funciones, haga clic en el botón Nueva función.

2. Looker muestra la página Nuevo rol, donde puede configurar los siguientes ajustes:

   • Nombre: escribe un nombre para el rol.
   • Conjunto de permisos: elige un conjunto de permisos para asociarlo al rol.
   • Conjunto de modelos: elige un conjunto de modelos para asociarlo al rol.
   • Grupos: de forma opcional, elige uno o varios grupos a los que asignar el rol.
   • Usuarios: elige uno o varios usuarios a los que quieras asignar el rol (opcional).

3. Una vez que hayas configurado el rol como quieras, haz clic en el botón Nuevo rol, situado en la parte inferior de la página.

Una vez creado un rol, puedes editarlo haciendo clic en el botón Editar situado a la derecha del rol en la página Roles. Al hacer clic en Editar, se te redirige a la página Editar rol de ese rol, donde puedes modificar el nombre, el conjunto de permisos, el conjunto de modelos y los grupos o usuarios que tienen asignado el rol.

Para eliminar un rol, haz clic en el botón Eliminar situado a la derecha del rol en la página Roles.

Roles predeterminados

En las instancias nuevas, Looker crea los siguientes roles predeterminados, cada uno de los cuales incluye un conjunto de permisos predeterminado con el mismo nombre:

• Administrador
• Administración mediante gestión de identidades y accesos
• Desarrollador
• Gemini
• Admite el editor avanzado
• Admite Editor básico
• Editor avanzado de ingeniero de clientes
• Usuario
• Lector

Los roles predeterminados de las siguientes secciones tienen condiciones de uso.

Administrar mediante gestión de identidades y accesos

El rol Administrador a través de gestión de identidades y accesos solo está disponible en Looker (en la infraestructura de Google Cloud) y solo se puede gestionar a través de la Google Cloud consola. Para obtener más información, consulta la documentación sobre autenticación y autorización con OAuth y gestión de identidades y accesos y Diferencias entre el rol de administrador de Looker y el rol de administrador a través de gestión de identidades y accesos de Looker.

El rol Administrador (gestión de identidades y accesos) usa el conjunto de permisos Administrador.

Gemini

El rol Gemini no se puede cambiar de nombre ni eliminar, y solo contiene el permiso gemini_in_looker en su conjunto de permisos. De forma predeterminada, el conjunto de permisos de este rol se aplica a todos los modelos de la instancia de Looker. Para restringir el acceso de los usuarios a las funciones de Gemini en Looker con modelos específicos, quítales el rol Gemini y crea un rol que aplique el permiso gemini_in_looker en los modelos seleccionados. Asegúrate de quitar esos usuarios del grupo Usuarios predeterminados de Gemini.

El permiso gemini_in_looker disponible en este rol permite a los usuarios realizar las siguientes tareas en la instancia de Looker con la ayuda de Gemini:

• Escribir LookML: cuando también tengan un rol de Looker que incluya el permiso develop para al menos un modelo de un proyecto de LookML.
• Crear visualizaciones de Looker personalizadas: cuando también tengan un rol de Looker que contenga el permiso can_override_vis_config.
• Consultar datos de Exploraciones de Looker con Analíticas conversacionales, aunque el usuario no tenga asignados permisos de explore, si también tiene un rol de Looker que incluya el permiso access_data en el modelo que está consultando.

Para obtener más información sobre las funciones de Gemini en Looker, consulta la introducción a Gemini en Looker.

Admite el editor avanzado y el editor básico

Estos roles no aparecerán en una instancia de Looker (original) si un administrador de Looker ha inhabilitado la función de Labs Acceso de asistencia por niveles. Estos roles no aparecerán en una instancia de Looker (Google Cloud core) si la instancia usa redes de conexiones privadas (acceso a servicios privados o Private Service Connect) o redes de conexiones híbridas.

Los roles Editor avanzado de asistencia y Editor básico de asistencia no se pueden editar, eliminar ni asignar a usuarios que no sean usuarios con acceso de asistencia.

Conjuntos de permisos

Un conjunto de permisos define lo que puede hacer un usuario o un grupo. Los administradores pueden usar los conjuntos de permisos predeterminados de Looker o crear conjuntos de permisos originales, teniendo en cuenta las dependencias de los permisos.

Todos los permisos disponibles y sus tipos se explican con más detalle en la lista de permisos.

Conjuntos de permisos predeterminados

En las nuevas instalaciones, Looker incluye varios conjuntos de permisos predeterminados que puedes usar para empezar:

Estos conjuntos de permisos aparecerán como opciones cuando crees un nuevo rol. Si seleccionas uno de estos conjuntos de permisos, Looker mostrará la lista de permisos que incluye.

El conjunto de permisos de administrador no se puede editar ni eliminar, y no se puede asignar a un rol. Se asigna solo al rol Administrador, que tampoco se puede editar ni eliminar. La única forma de conceder el conjunto de permisos de administrador a un usuario o a un grupo es añadir el rol de administrador a ese usuario o grupo.

Crear conjuntos de permisos

Para crear un conjunto de permisos, haz clic en el botón Nuevo conjunto de permisos, situado en la parte superior de la página Roles. Looker mostrará una página en la que podrás introducir un nombre para el conjunto de permisos y seleccionar los permisos que debe incluir. Una vez que hayas configurado el conjunto según tus necesidades, haz clic en el botón Nuevo conjunto de permisos, situado en la parte inferior de la página.

Una vez que se ha creado un conjunto de permisos, puede editarlo o eliminarlo haciendo clic en los botones Editar o Eliminar situados a la derecha del conjunto de permisos en la página Roles.

Permisos y dependencias

Algunos permisos dependen de otros para funcionar correctamente. Por ejemplo, es lógico que un usuario que quiera desarrollar en LookML primero deba poder ver LookML.

Cuando crees un conjunto de permisos, verás los permisos disponibles en una lista indentada. Si un privilegio está indentado debajo de otro (principal), primero debes seleccionar el privilegio principal. La lista de permisos puede tener este aspecto:

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

En este ejemplo, Looker usa la sangría para indicar lo siguiente:

• El privilegio de access_data se puede seleccionar en cualquier momento.
• Los privilegios see_lookml_dashboards y see_looks requieren que se seleccione primero el privilegio access_data.
• El privilegio see_user_dashboards depende del privilegio see_looks, que a su vez depende del privilegio access_data.

No puedes seleccionar un privilegio secundario sin seleccionar primero el principal.

Permisos y licencias de Looker

Las licencias de Looker clasifican a los usuarios en tres tipos:

• Desarrollador (administrador)
• Estándar (creador)
• Lector

Los permisos concedidos a un usuario determinan cómo se clasifica ese usuario en la licencia de Looker:

• Un usuario se clasifica como usuario Desarrollador (administrador) si tiene el rol predeterminado de administrador o al menos uno de los siguientes permisos:

  • develop
  • manage_models
  • see_datagroups
  • see_logs
  • see_pdts
  • sudo

• Un usuario se clasifica como usuario estándar (creador) si no tiene ninguno de los permisos de desarrollador (administrador), pero sí tiene al menos uno de los siguientes permisos:

  • create_prefetches
  • explore
  • manage_homepage
  • manage_spaces
  • save_content
  • see_queries
  • see_schedules
  • see_system_activity
  • see_users
  • use_sql_runner

• Un usuario se clasifica como lector si tiene el permiso access_data, pero no tiene ninguno de los permisos de desarrollador (administrador) ni de los permisos estándar (creador).

Lista de permisos

Los permisos se pueden clasificar en tres tipos:

• Específico del modelo: este tipo de permiso solo se aplica a los conjuntos de modelos que forman parte del mismo rol. Este permiso se aplica a modelos o conjuntos de modelos concretos, no a toda la instancia de Looker.
• Específico de la conexión: este tipo de permiso se aplica a nivel de conexión. Un usuario con este tipo de permiso verá contenido en las páginas del panel Administrar que utilice una conexión asociada a un modelo al que tenga acceso a los datos, aunque esa conexión se utilice con otro modelo al que no tenga acceso a los datos.
• En toda la instancia: este tipo de permiso se aplica a toda la instancia de Looker y tiene tres tipos:
  • NN = Sin acceso al contenido ni al menú: estos permisos permiten a los usuarios realizar determinadas funciones en toda la instancia de Looker, pero no les permiten acceder al contenido basado en modelos que no estén incluidos en el conjunto de modelos de su rol.
  • CN = Acceso al contenido, sin acceso al menú: estos permisos permiten a los usuarios acceder al contenido y consultar información en toda la instancia de Looker, incluso en el caso de contenido y consultas basados en modelos que no se incluyan en el conjunto de modelos de su rol.
  • CM = Acceso al contenido y al menú: estos permisos pueden exponer partes del menú Administrar a usuarios que no sean administradores y permitir que los usuarios vean información sobre el contenido y las consultas basadas en modelos que no estén incluidos en el conjunto de modelos de su rol.

En la siguiente lista se describen todos los permisos disponibles en Looker, en el orden en el que aparecen en la página Nuevo conjunto de permisos de la sección Administrar:

Información sobre los conjuntos de permisos

Los siguientes permisos interactúan con los conjuntos de modelos de una forma que puede resultar inesperada:

• develop; see_lookml: en el IDE de Looker, un proyecto puede contener varios archivos de modelo. Si asignas los permisos develop o see_lookml a un usuario y le has permitido ver cualquier modelo que forme parte de un proyecto, podrá desarrollar o ver el LookML de todos los modelos de ese proyecto. Sin embargo, no podrán consultar modelos a los que no les hayas dado acceso.
• manage_models: si asignas el permiso manage_models a un usuario, este podrá acceder a todos los modelos de todos los proyectos de la instancia.
• manage_modelsets_restricted: si asignas el permiso manage_modelsets_restricted a un usuario, este podrá asignar cualquier modelo de un proyecto al que tenga acceso.
• manage_project_connections: si asignas los permisos manage_project_connections_restricted o manage_project_connections a un usuario, este podrá ver, editar y crear conexiones de ámbito de proyecto para cualquier proyecto que se incluya en el conjunto de modelos.

Conjuntos de modelos

Un conjunto de modelos define qué datos y campos de LookML puede ver un usuario o un grupo. Cada conjunto es una lista de modelos de LookML a los que debe tener acceso un usuario o un grupo. Un conjunto de modelos puede realizar dos funciones:

1. Un conjunto de modelos controla a qué modelos de tu LookML se aplican los permisos (si esos permisos son específicos de un modelo).
2. Un conjunto de modelos limita los datos y los campos LookML que puede ver un usuario, ya que cada modelo está conectado a una conexión de base de datos específica y contiene determinados campos LookML.

Crear un conjunto de modelos

Para crear un conjunto de modelos, sigue estos pasos:

1. En la parte superior de la página Roles, haz clic en el botón Nuevo conjunto de modelos.

   

2. Looker muestra la página Nuevo conjunto de modelos. Escribe un nombre para el nuevo conjunto de modelos.

3. Selecciona los modelos que quieras incluir en el nuevo conjunto de modelos.

4. Haz clic en el botón New Model Set (Nuevo conjunto de modelos) situado en la parte inferior de la página. El nuevo conjunto de modelos aparecerá en la sección Conjuntos de modelos de la página Roles.

Los modelos que se incluyen en proyectos pendientes aparecen en la lista Modelos de las páginas Nuevo conjunto de modelos y Editar conjunto de modelos.

Si eliminas o cambias el nombre de un modelo, no se modificará ningún conjunto de modelos que lo incluya. Cuando se elimina o se cambia el nombre de un modelo, recomendamos que los administradores de Looker también eliminen el nombre de ese modelo de los conjuntos de modelos asociados en la página Editar conjunto de modelos. Si quitas el nombre de un modelo eliminado de un conjunto de modelos, evitarás que se incluya por error en ese conjunto un modelo nuevo con el mismo nombre.

Para obtener más información sobre los modelos, consulta la página de documentación Parámetros de modelo.

Crear varios modelos y conjuntos de modelos

En el siguiente ejemplo se muestra cómo puedes usar varios conjuntos de modelos para limitar el acceso a los datos. Imagina que tienes dos equipos: Marketing y Asistencia. En este ejemplo, estos dos equipos no deberían tener acceso a todo el modelo, por lo que crearías un modelo independiente para cada equipo. Para separar su acceso a los datos, sigue estos pasos:

1. Copia el modelo en dos modelos nuevos.
2. En el primero de los nuevos modelos, incluya solo las vistas, los campos y las Exploraciones a los que debería tener acceso el equipo de marketing.
3. Crea un conjunto de modelos para el equipo de marketing que incluya solo este nuevo modelo.
4. Crea un rol para el equipo de marketing que incluya este nuevo conjunto de modelos y los permisos adecuados para el equipo de marketing.
5. Asigna este nuevo rol al grupo del equipo de marketing.
6. Repite los pasos del 2 al 5 para configurar el segundo modelo para el equipo de Asistencia.

Editar un conjunto de modelos

Una vez que haya creado un conjunto de modelos, siga estos pasos para editarlo:

1. En la página Roles, haz clic en el botón Editar situado a la derecha del conjunto de modelos que quieras editar.

2. Looker muestra la página Editar conjunto de modelos. Si quiere, escriba un nombre nuevo para el conjunto de modelos en el campo Nombre.

3. Añade o quita modelos del conjunto de modelos en la sección Modelos.

4. Haz clic en el botón Update Model Set (Actualizar conjunto de modelos) situado en la parte inferior de la página.

Los modelos que se incluyen en proyectos pendientes aparecen en la lista Modelos de las páginas Nuevo conjunto de modelos y Editar conjunto de modelos.

Si eliminas o cambias el nombre de un modelo, no se modificará ningún conjunto de modelos que lo incluya. Cuando se elimina o se cambia el nombre de un modelo, recomendamos que los administradores de Looker también eliminen el nombre de ese modelo de los conjuntos de modelos asociados en la página Editar conjunto de modelos. Si quitas el nombre de un modelo eliminado de un conjunto de modelos, evitarás que se incluya por error en ese conjunto un modelo nuevo con el mismo nombre.

Eliminar un conjunto de modelos

Para eliminar un conjunto de modelos, en la página Roles, haga clic en Eliminar a la derecha del conjunto de modelos que quiera eliminar.