Paramètres Admin – Rôles

Les rôles, les ensembles d'autorisations et les ensembles de modèles sont utilisés ensemble pour gérer ce que les utilisateurs peuvent faire et voir. La page Rôles de la section Utilisateurs du panneau Admin vous permet d'afficher, de configurer et d'attribuer des rôles, des ensembles d'autorisations et des ensembles de modèles.

Vous pouvez rechercher des rôles, des ensembles d'autorisations et des ensembles de modèles spécifiques en saisissant un terme de recherche dans le champ de recherche en haut à droite, puis en appuyant sur Entrée.

Définitions

• Un rôle définit les droits d'accès dont disposera un utilisateur ou un groupe pour un ensemble spécifique de modèles dans Looker. Pour créer un rôle, vous devez combiner un ensemble d'autorisations avec un ensemble de modèles.
• Un ensemble d'autorisations définit ce qu'un utilisateur ou un groupe peut faire. Vous sélectionnez une combinaison d'autorisations que vous souhaitez attribuer à un utilisateur ou à un groupe. Il doit être utilisé dans un rôle pour avoir un effet.
• Un ensemble de modèles définit les données et les champs LookML qu'un utilisateur ou un groupe peuvent voir. Vous sélectionnez une combinaison de modèles LookML auxquels un utilisateur ou un groupe doit avoir accès. Il doit être utilisé dans un rôle pour avoir un effet.

Gérer les rôles

Un rôle est une combinaison d'un ensemble d'autorisations et d'un ensemble de modèles. Il est courant de nommer les rôles d'après des types de personnes ou des groupes de personnes dans votre organisation (administrateur, développeur Looker, équipe Finance, etc.), mais vous pouvez bien sûr suivre vos propres conventions de dénomination.

Un utilisateur peut avoir plusieurs rôles dans Looker. Cela peut être utile lorsque vous avez des utilisateurs qui jouent plusieurs rôles dans votre entreprise ou lorsque vous souhaitez créer des systèmes d'accès complexes à vos modèles.

Créer, modifier et supprimer des rôles

Pour créer un rôle, procédez comme suit :

1. Cliquez sur le bouton Nouveau rôle en haut de la page Rôles.

2. Looker affiche la page Nouveau rôle, sur laquelle vous pouvez configurer les paramètres suivants :

   • Nom : saisissez un nom pour le rôle.
   • Ensemble d'autorisations : choisissez un ensemble d'autorisations à associer au rôle.
   • Ensemble de modèles : choisissez un ensemble de modèles à associer au rôle.
   • Groupes : si vous le souhaitez, choisissez un ou plusieurs groupes auxquels attribuer le rôle.
   • Utilisateurs : si vous le souhaitez, sélectionnez un ou plusieurs utilisateurs auxquels attribuer le rôle.

3. Une fois le rôle configuré comme vous le souhaitez, cliquez sur le bouton Nouveau rôle en bas de la page.

Une fois un rôle créé, vous pouvez le modifier en cliquant sur le bouton Modifier à droite du rôle sur la page Rôles. En cliquant sur Modifier, vous êtes redirigé vers la page Modifier le rôle pour ce rôle. Vous pouvez y modifier le nom, l'ensemble d'autorisations, l'ensemble de modèles, ainsi que les groupes ou utilisateurs qui sont attribués au rôle.

Pour supprimer un rôle, cliquez sur le bouton Supprimer à droite du rôle sur la page Rôles.

Rôles par défaut

Pour les nouvelles instances, Looker crée les rôles par défaut suivants, chacun incluant un ensemble d'autorisations par défaut du même nom :

• Administrateur
• Administration depuis IAM
• Développeur
• Gemini
• Éditeur avancé de l'assistance
• Éditeur de l'assistance Basic
• Utilisateur
• Lecteur

Les rôles par défaut des sections suivantes sont soumis à des conditions d'utilisation.

Administration depuis IAM

Le rôle "Administrateur via IAM" n'est disponible que dans Looker (Google Cloud Core) et ne peut être géré que depuis la console Google Cloud . Pour en savoir plus, consultez la documentation Authentification et autorisation avec OAuth et IAM et Rôle Looker "Administrateur" par rapport au rôle Looker "Administrateur" via IAM.

Le rôle Administrateur via IAM utilise l'ensemble d'autorisations Administrateur.

Gemini

Le rôle Gemini ne peut pas être renommé ni supprimé. Son ensemble d'autorisations ne contient que l'autorisation gemini_in_looker. Par défaut, l'ensemble d'autorisations de ce rôle s'applique à tous les modèles de l'instance Looker. Pour limiter l'accès des utilisateurs aux fonctionnalités Gemini dans Looker avec des modèles spécifiques, supprimez ces utilisateurs du rôle Gemini et créez un rôle qui applique l'autorisation gemini_in_looker sur les modèles sélectionnés. Veillez à supprimer ces utilisateurs du groupe Utilisateurs Gemini par défaut.

L'autorisation gemini_in_looker disponible dans ce rôle permet aux utilisateurs d'effectuer les tâches suivantes dans l'instance Looker avec l'assistance Gemini :

• Écrire du code LookML : lorsqu'ils disposent également d'un rôle Looker contenant l'autorisation develop pour au moins un modèle dans un projet LookML.
• Créer des visualisations Looker personnalisées : lorsqu'ils disposent également d'un rôle Looker contenant l'autorisation can_override_vis_config.
• Interrogez les données Looker Explore avec l'analyse conversationnelle, même si l'utilisateur ne s'est pas vu attribuer les autorisations explore, lorsqu'il dispose également d'un rôle Looker contenant l'autorisation access_data sur le modèle qu'il interroge.

Pour en savoir plus sur les fonctionnalités de Gemini dans Looker, consultez la présentation de Gemini dans Looker.

Éditeur avancé de l'assistance et Éditeur de base de l'assistance

Ces rôles n'apparaîtront pas dans une instance Looker (Original) si un administrateur Looker a désactivé la fonctionnalité Labs Accès à l'assistance par niveau. Ces rôles n'apparaissent pas sur une instance Looker (Google Cloud Core) si l'instance utilise la mise en réseau avec adresse IP privée (accès aux services privés ou Private Service Connect) ou la mise en réseau avec adresse IP publique et adresse IP privée.

Les rôles Éditeur avancé de l'assistance et Éditeur de base de l'assistance ne peuvent pas être modifiés, supprimés ni attribués à des utilisateurs autres que les utilisateurs ayant accès à l'assistance.

Ensembles d'autorisations

Un ensemble d'autorisations définit ce qu'un utilisateur ou un groupe peut faire. Les administrateurs peuvent utiliser les ensembles d'autorisations par défaut de Looker ou créer des ensembles d'autorisations originaux, en gardant à l'esprit les dépendances des autorisations.

Toutes les autorisations disponibles et leurs types sont décrits plus en détail dans la liste des autorisations.

Ensembles d'autorisations par défaut

Pour les nouvelles installations, Looker inclut plusieurs ensembles d'autorisations par défaut que vous pouvez utiliser pour commencer :

Ces ensembles d'autorisations s'affichent en tant qu'options lorsque vous créez un rôle. Si vous sélectionnez l'un de ces ensembles d'autorisations, Looker affichera la liste des autorisations qu'il inclut.

Vous ne pouvez pas modifier ni supprimer l'ensemble d'autorisations "Administrateur", et vous ne pouvez pas l'attribuer à un rôle. Il est attribué uniquement au rôle d'administrateur, qui ne peut pas non plus être modifié ni supprimé. La seule façon d'accorder l'ensemble d'autorisations d'administrateur à un utilisateur ou à un groupe consiste à ajouter le rôle d'administrateur à cet utilisateur ou à ce groupe.

Créer des ensembles d'autorisations

Pour créer un ensemble d'autorisations, cliquez sur le bouton Nouvel ensemble d'autorisations en haut de la page Rôles. Looker affiche une page sur laquelle vous pouvez saisir un nom pour l'ensemble d'autorisations et sélectionner les autorisations qu'il doit inclure. Une fois l'ensemble configuré selon vos besoins, cliquez sur le bouton Nouvel ensemble d'autorisations en bas de la page.

Une fois qu'un ensemble d'autorisations a été créé, vous pouvez le modifier ou le supprimer en cliquant sur les boutons Modifier ou Supprimer à droite de l'ensemble d'autorisations sur la page Rôles.

Autorisations et dépendances

Certaines autorisations dépendent d'autres pour fonctionner correctement. Par exemple, il est logique qu'une personne souhaitant développer dans LookML puisse d'abord voir LookML.

Lorsque vous créez un ensemble d'autorisations, les autorisations disponibles s'affichent dans une liste indentée. Si un droit d'accès est mis en retrait sous un autre droit d'accès (parent), vous devez d'abord sélectionner le droit d'accès parent. La liste des autorisations peut se présenter comme suit :

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

Dans cet exemple, Looker utilise l'indentation pour indiquer les éléments suivants :

• Le privilège access_data peut être sélectionné à tout moment.
• Les droits see_lookml_dashboards et see_looks nécessitent d'abord de sélectionner le droit access_data.
• Le droit d'accès see_user_dashboards dépend du droit d'accès see_looks, qui dépend lui-même du droit d'accès access_data.

Vous ne pouvez pas sélectionner un droit enfant sans avoir d'abord sélectionné son parent.

Autorisations et licences Looker

Les licences Looker classent les utilisateurs en trois types :

• Développeur (administrateur)
• Standard (créateur)
• Lecteur

Les autorisations accordées à un utilisateur déterminent la façon dont il est classé dans la licence Looker :

• Un utilisateur est classé comme développeur (administrateur) s'il dispose du rôle par défaut d'administrateur ou d'au moins l'une des autorisations suivantes :

  • develop
  • manage_models
  • see_datagroups
  • see_logs
  • see_pdts
  • sudo

• Un utilisateur est classé comme utilisateur standard (créateur) s'il ne dispose d'aucune autorisation de développeur (administrateur), mais qu'il dispose d'au moins l'une des autorisations suivantes :

  • create_prefetches
  • explore
  • manage_homepage
  • manage_spaces
  • save_content
  • see_queries
  • see_schedules
  • see_system_activity
  • see_users
  • use_sql_runner

• Un utilisateur est classé comme lecteur s'il dispose de l'autorisation access_data, mais d'aucune autorisation de développeur (administrateur) ni d'aucune autorisation standard (créateur).

Liste des autorisations

Les autorisations peuvent être classées en trois types :

• Spécifique au modèle : ce type d'autorisation ne s'applique qu'aux ensembles de modèles qui font partie du même rôle. Cette autorisation s'applique à des modèles ou ensembles de modèles individuels, et non à l'ensemble de l'instance Looker.
• Spécifique à la connexion : ce type d'autorisation est appliqué au niveau de la connexion. Un utilisateur disposant de ce type d'autorisation verra le contenu des pages du panneau Admin qui utilise une connexion associée à un modèle auquel il a accès aux données, même si cette connexion est utilisée avec un autre modèle auquel il n'a pas accès aux données.
• À l'échelle de l'instance : ce type d'autorisation s'applique à l'ensemble de l'instance Looker et se décline en trois types :
  • NN = Aucun accès au contenu, aucun accès au menu : ces autorisations permettent aux utilisateurs d'effectuer certaines fonctions dans l'ensemble de l'instance Looker, mais ne leur permettent pas d'accéder au contenu basé sur des modèles qui ne sont pas inclus dans l'ensemble de modèles de leur rôle.
  • CN = Accès au contenu, aucun accès au menu : ces autorisations permettent aux utilisateurs d'accéder au contenu et aux informations sur les requêtes dans l'ensemble de l'instance Looker, même pour le contenu et les requêtes basés sur des modèles qui ne sont pas inclus dans l'ensemble de modèles de leur rôle.
  • CM = Accès au contenu, accès au menu : ces autorisations peuvent exposer des parties du menu "Admin" à des utilisateurs non administrateurs et leur permettre de voir des informations sur le contenu et les requêtes basées sur des modèles qui ne sont pas inclus dans l'ensemble de modèles de leur rôle.

La liste suivante décrit toutes les autorisations disponibles dans Looker, dans l'ordre dans lequel elles apparaissent sur la page Nouvel ensemble d'autorisations de la section Admin :

À savoir sur les ensembles d'autorisations

Les autorisations suivantes interagissent avec les ensembles de modèles d'une manière potentiellement inattendue :

• develop ; see_lookml : dans l'IDE de Looker, un même projet peut contenir plusieurs fichiers de modèle. Si vous attribuez les autorisations develop ou see_lookml à un utilisateur et que vous l'autorisez à voir n'importe quel modèle faisant partie d'un projet, il pourra développer ou voir le LookML de tous les modèles de ce projet. Toutefois, ils ne pourront toujours pas interroger les modèles que vous n'avez pas autorisés.
• manage_models : si vous attribuez l'autorisation manage_models à un utilisateur, il pourra accéder à tous les modèles de tous les projets de l'instance.
• manage_modelsets_restricted : si vous attribuez l'autorisation manage_modelsets_restricted à un utilisateur, il peut attribuer n'importe quel modèle d'un projet auquel il a accès.
• manage_project_connections : si vous attribuez les autorisations manage_project_connections_restricted ou manage_project_connections à un utilisateur, il pourra voir, modifier et créer des connexions au niveau du projet pour tous les projets inclus dans l'ensemble de modèles.

Ensembles de modèles

Un ensemble de modèles définit les données et les champs LookML qu'un utilisateur ou un groupe peut voir. Chaque ensemble est une liste de modèles LookML auxquels un utilisateur ou un groupe doit avoir accès. Vous pouvez considérer qu'un ensemble de modèles remplit deux fonctions :

1. Un ensemble de modèles contrôle les modèles LookML auxquels s'appliquent les autorisations (si ces autorisations sont spécifiques à un modèle).
2. Un ensemble de modèles limite les données et les champs LookML qu'un utilisateur peut voir, car chaque modèle est associé à une connexion de base de données spécifique et contient certains champs LookML.

Créer un ensemble de modèles

Pour créer un ensemble de modèles :

1. Cliquez sur le bouton Nouvel ensemble de modèles en haut de la page Rôles.

   

2. Looker affiche la page Nouvel ensemble de modèles. Saisissez un nom pour le nouvel ensemble de modèles.

3. Sélectionnez le ou les modèles à inclure dans le nouvel ensemble de modèles.

4. Cliquez sur le bouton Nouvel ensemble de modèles en bas de la page. Le nouvel ensemble de modèles s'affiche dans la section Ensembles de modèles de la page Rôles.

Les modèles inclus dans des projets en attente apparaissent dans la liste Modèles des pages Nouvel ensemble de modèles et Modifier l'ensemble de modèles.

La suppression ou le renommage d'un modèle n'affecte pas les ensembles de modèles qui l'incluent. Lorsqu'un modèle est supprimé ou renommé, nous recommandons aux administrateurs Looker de supprimer également le nom de ce modèle de tous les ensembles de modèles associés, à l'aide de la page Modifier l'ensemble de modèles. Si vous supprimez le nom d'un modèle supprimé d'un ensemble de modèles, vous éviterez qu'un nouveau modèle portant le même nom soit inclus involontairement dans cet ensemble.

Pour en savoir plus sur les modèles, consultez la page de documentation Paramètres du modèle.

Créer plusieurs modèles et ensembles de modèles

L'exemple suivant montre comment utiliser plusieurs ensembles de modèles pour limiter l'accès aux données. Prenons l'exemple d'un scénario dans lequel vous avez deux équipes : Marketing et Assistance. Dans cet exemple, ces deux équipes ne devraient pas avoir accès à l'ensemble du modèle. Vous devez donc créer un modèle distinct pour chacune d'elles. Pour séparer leur accès aux données, procédez comme suit :

1. Copiez le modèle dans deux nouveaux modèles.
2. Dans le premier des nouveaux modèles, n'incluez que les vues, les champs et les explorations auxquels l'équipe marketing doit avoir accès.
3. Créez un ensemble de modèles pour l'équipe marketing qui n'inclut que ce nouveau modèle.
4. Créez un rôle pour l'équipe marketing qui inclut ce nouvel ensemble de modèles et les autorisations appropriées pour l'équipe marketing.
5. Attribuez ce nouveau rôle au groupe de l'équipe marketing.
6. Répétez les étapes 2 à 5 pour configurer le deuxième modèle pour l'équipe d'assistance.

Modifier un ensemble de modèles

Une fois un ensemble de modèles créé, procédez comme suit pour le modifier :

1. Sur la page Rôles, cliquez sur le bouton Modifier à droite de l'ensemble de modèles que vous souhaitez modifier.

2. Looker affiche la page Modifier l'ensemble de modèles. Si vous le souhaitez, saisissez un nouveau nom pour l'ensemble de modèles dans le champ Nom.

3. Ajoutez ou supprimez des modèles de l'ensemble de modèles dans la section Modèles.

4. Cliquez sur le bouton Mettre à jour l'ensemble de modèles en bas de la page.

Les modèles inclus dans des projets en attente apparaissent dans la liste Modèles des pages Nouvel ensemble de modèles et Modifier l'ensemble de modèles.

La suppression ou le renommage d'un modèle n'affecte pas les ensembles de modèles qui l'incluent. Lorsqu'un modèle est supprimé ou renommé, nous recommandons aux administrateurs Looker de supprimer également le nom de ce modèle de tous les ensembles de modèles associés, à l'aide de la page Modifier l'ensemble de modèles. Si vous supprimez le nom d'un modèle supprimé d'un ensemble de modèles, vous éviterez qu'un nouveau modèle portant le même nom soit inclus involontairement dans cet ensemble.

Supprimer un ensemble de modèles

Pour supprimer un ensemble de modèles, accédez à la page Rôles, puis cliquez sur Supprimer à droite de l'ensemble de modèles à supprimer.