Impostazioni amministratore - Ruoli

Ruoli, set di autorizzazioni e set di modelli vengono usati insieme per gestire ciò che gli utenti possono fare e vedere. La pagina Ruoli nella sezione Utenti del riquadro Amministrazione ti consente di visualizzare, configurare e assegnare ruoli, set di autorizzazioni e set di modelli.

Puoi cercare ruoli, set di autorizzazioni e set di modelli specifici digitando un termine di ricerca nella casella di ricerca in alto a destra e premendo Invio.

Definizioni

• Un ruolo definisce i privilegi di cui disporrà un utente o un gruppo per uno specifico set di modelli in Looker. Puoi creare un ruolo combinando un set di autorizzazioni con un set di modelli.
• Un set di autorizzazioni definisce cosa possono fare un utente o un gruppo. Puoi selezionare una combinazione di autorizzazioni che vuoi assegnare a un utente o a un gruppo. Per avere effetto, deve essere usata come parte di un ruolo.
• Un set di modelli definisce quali dati e campi LookML possono essere visualizzati da un utente o da un gruppo. Seleziona una combinazione di modelli LookML a cui un utente o un gruppo dovrebbero avere accesso. Per avere effetto, deve essere usata come parte di un ruolo.

Gestione dei ruoli

Un ruolo è una combinazione di un set di autorizzazioni e di un set di modelli. Una convenzione comune è quella di assegnare i ruoli i nomi in base ai tipi di persone o gruppi di persone nella tua organizzazione, ad esempio amministratore, sviluppatore di Looker, Team finanziario, ma puoi adottare la convenzione che preferisci per l'assegnazione dei nomi.

Un utente può avere più di un ruolo in Looker. Questa opzione può essere utile quando gli utenti hanno più ruoli nella tua società o quando vuoi creare sistemi complessi di accesso ai tuoi modelli.

Creare, modificare ed eliminare ruoli

Per creare un ruolo:

1. Fai clic sul pulsante Nuovo ruolo nella parte superiore della pagina Ruoli.

2. Looker visualizza la pagina Nuovo ruolo, in cui puoi configurare le seguenti impostazioni:

   • Nome: inserisci un nome per il ruolo.
   • Set di autorizzazioni: scegli un set di autorizzazioni da associare al ruolo.
   • Set di modelli: scegli un set di modelli da associare al ruolo.
   • Gruppi: se vuoi, scegli uno o più gruppi a cui assegnare il ruolo.
   • Utenti: (facoltativo) scegli uno o più utenti a cui assegnare il ruolo.

3. Dopo aver configurato il ruolo come previsto, fai clic sul pulsante Nuovo ruolo in fondo alla pagina.

Dopo che è stato creato un ruolo, puoi modificarlo facendo clic sul pulsante Modifica a destra del ruolo nella pagina Ruoli. Se fai clic su Modifica, si apre la pagina Modifica ruolo per quel ruolo, dove puoi modificare il nome, il set di autorizzazioni, il set di modelli e i gruppi o gli utenti assegnati al ruolo.

Per eliminare un ruolo, fai clic sul pulsante Elimina a destra del ruolo nella pagina Ruoli.

Ruoli predefiniti

Per le nuove istanze, Looker crea i seguenti ruoli predefiniti, ciascuno dei quali include un set di autorizzazioni predefinito con lo stesso nome:

• Amministratore
• Amministrazione tramite IAM
• Sviluppatore
• Gemini
• Supporto dell'editor avanzato
• Support Basic Editor
• Utente
• Visualizzatore

I ruoli predefiniti nelle sezioni seguenti prevedono condizioni di utilizzo.

Amministrazione tramite IAM

Il ruolo Amministratore tramite IAM è disponibile solo in Looker (Google Cloud core) e può essere gestito solo tramite la console Google Cloud . Per ulteriori informazioni, consulta la documentazione Autenticazione e autorizzazione con OAuth e IAM e Ruolo Amministratore di Looker e ruolo Amministratore tramite IAM di Looker.

Il ruolo Amministratore tramite IAM utilizza il set di autorizzazioni Amministratore.

Gemini

Il ruolo Gemini non può essere rinominato o eliminato e contiene solo l'autorizzazione gemini_in_looker nel relativo insieme di autorizzazioni. Per impostazione predefinita, il set di autorizzazioni di questo ruolo si applica a tutti i modelli nell'istanza di Looker. Per limitare l'accesso degli utenti alle funzionalità di Gemini in Looker con modelli specifici, rimuovi questi utenti dal ruolo Gemini e crea un nuovo ruolo che applichi l'autorizzazione gemini_in_looker sui modelli selezionati. Assicurati di rimuovere questi utenti dal gruppo Utenti predefiniti di Gemini.

L'autorizzazione gemini_in_looker disponibile in questo ruolo consente agli utenti di eseguire le seguenti attività nell'istanza di Looker con l'assistenza di Gemini:

• Scrivere in LookML: quando hanno anche un ruolo Looker che contiene l'autorizzazione develop per almeno un modello in un progetto LookML.
• Creare visualizzazioni Looker personalizzate, se dispongono anche di un ruolo Looker che contiene l'autorizzazione can_override_vis_config.
• Esegui query sui dati di Esplora di Looker con Analytics conversazionale, anche se all'utente non sono state assegnate autorizzazioni explore, quando dispone anche di un ruolo Looker che contiene l'autorizzazione access_data sul modello su cui sta eseguendo la query.

Per ulteriori informazioni sulle funzionalità di Gemini in Looker, consulta la panoramica di Gemini in Looker.

Supporto dell'editor avanzato e dell'editor di base

Questi ruoli non vengono visualizzati in un'istanza di Looker (originale) se un amministratore di Looker ha disattivato la funzionalità sperimentale Accesso all'assistenza a più livelli. Questi ruoli non vengono visualizzati in un'istanza di Looker (Google Cloud core) se l'istanza utilizza il networking con IP privato (accesso privato ai servizi o Private Service Connect) o il networking con IP pubblico e privato.

I ruoli Editor avanzato dell'assistenza ed Editor di base dell'assistenza non possono essere modificati, eliminati o assegnati a utenti diversi dagli utenti con accesso all'assistenza.

Set di autorizzazioni

Un set di autorizzazioni definisce cosa possono fare un utente o un gruppo. Gli amministratori possono utilizzare i set di autorizzazioni predefiniti di Looker o crearne di originali, tenendo a mente le dipendenze delle autorizzazioni.

Tutte le autorizzazioni disponibili, e i relativi tipi, vengono illustrate con maggiore dettaglio nell'elenco delle autorizzazioni.

Insiemi di autorizzazioni predefiniti

Per le nuove installazioni, Looker include diversi set di autorizzazioni predefiniti con cui puoi iniziare:

Questi insiemi di autorizzazioni vengono visualizzati come opzioni quando crei un nuovo ruolo. Se selezioni uno di questi insiemi di autorizzazioni, Looker visualizzerà l'elenco delle autorizzazioni incluse.

Il set di autorizzazioni Amministratore non può essere modificato o eliminato e non può essere assegnato a un ruolo. Viene assegnato solo al ruolo Amministratore, che non può essere modificato o eliminato. L'unico modo per concedere il set di autorizzazioni Amministratore a un utente o a un gruppo è aggiungere il ruolo Amministratore a quell'utente o gruppo.

Creazione di set di autorizzazioni

Per creare un insieme di autorizzazioni, fai clic sul pulsante Nuovo insieme di autorizzazioni nella parte superiore della pagina Ruoli. Looker mostrerà una pagina in cui puoi inserire un nome per il set di autorizzazioni e selezionare le autorizzazioni che deve includere. Dopo aver configurato il set in base alle tue esigenze, fai clic sul pulsante Nuovo set di autorizzazioni in fondo alla pagina.

Dopo aver creato un insieme di autorizzazioni, puoi modificarlo o eliminarlo facendo clic sui pulsanti Modifica o Elimina a destra dell'insieme di autorizzazioni nella pagina Ruoli.

Autorizzazioni e dipendenze

Alcune autorizzazioni dipendono da altre per funzionare correttamente. Ad esempio, è logico che chi vuole sviluppare in LookML debba prima essere in grado di visualizzare LookML.

Quando crei un insieme di autorizzazioni, visualizzi le autorizzazioni disponibili in un elenco rientrato. Se un privilegio è rientrato sotto un altro privilegio (principale), devi selezionare prima il privilegio principale. L'elenco delle autorizzazioni potrebbe avere il seguente aspetto:

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

In questo esempio, Looker utilizza il rientro per indicare quanto segue:

• Il privilegio access_data può essere selezionato in qualsiasi momento.
• I privilegi see_lookml_dashboards e see_looks richiedono la selezione preliminare del privilegio access_data.
• Il privilegio see_user_dashboards dipende dal privilegio see_looks, che a sua volta dipende dal privilegio access_data.

Non puoi selezionare un privilegio figlio senza prima selezionare il relativo genitore.

Autorizzazioni e licenze Looker

Le licenze Looker classificano gli utenti in tre tipi:

• Sviluppatore (amministratore)
• Standard (creator)
• Visualizzatore

Le autorizzazioni concesse a un utente determinano la classificazione dell'utente in base alla licenza Looker:

• Un utente viene classificato come utente Sviluppatore (amministratore) se ha il ruolo predefinito Amministratore o almeno una delle seguenti autorizzazioni:

  • develop
  • manage_models
  • see_datagroups
  • see_logs
  • see_pdts
  • sudo

• Un utente viene classificato come utente standard (creatore) se non dispone di nessuna delle autorizzazioni di sviluppatore (amministratore), ma dispone di almeno una delle seguenti autorizzazioni:

  • create_prefetches
  • explore
  • manage_homepage
  • manage_spaces
  • save_content
  • see_queries
  • see_schedules
  • see_system_activity
  • see_users
  • use_sql_runner

• Un utente viene classificato come Visualizzatore se dispone dell'autorizzazione access_data, ma di nessuna delle autorizzazioni Sviluppatore (Amministratore) e di nessuna delle autorizzazioni Standard (Creatore).

Elenco delle autorizzazioni

Le autorizzazioni possono essere classificate in tre tipi:

• Specifico per il modello:questo tipo di autorizzazione viene applicato solo ai set di modelli che fanno parte dello stesso ruolo. Questa autorizzazione viene applicata a singoli modelli o set di modelli, anziché all'intera istanza di Looker.
• Specifico per la connessione:questo tipo di autorizzazione viene applicato a livello di connessione. Un utente con questo tipo di autorizzazione visualizzerà i contenuti delle pagine nel pannello Amministrazione che utilizzano una connessione associata a un modello a cui ha accesso ai dati, anche se la connessione viene utilizzata con un altro modello a cui non ha accesso ai dati.
• A livello di istanza:questo tipo di autorizzazione si applica all'istanza di Looker nel suo complesso e ha tre tipi:
  • NN = Nessun accesso ai contenuti, Nessun accesso al menu: queste autorizzazioni consentono agli utenti di eseguire determinate funzioni nell'intera istanza di Looker, ma non consentono loro di accedere ai contenuti in base a modelli non inclusi nel set di modelli del loro ruolo.
  • CN = Accesso ai contenuti, Nessun accesso al menu: queste autorizzazioni consentono agli utenti di accedere ai contenuti e alle informazioni sulle query nell'intera istanza di Looker, anche per contenuti e query basati su modelli non inclusi nel set di modelli del loro ruolo.
  • CM = Accesso ai contenuti, Accesso al menu: queste autorizzazioni potrebbero esporre parti del menu Amministrazione a utenti non amministratori e consentire agli utenti di visualizzare informazioni su contenuti e query in base a modelli non inclusi nel set di modelli del loro ruolo.

Il seguente elenco descrive tutte le autorizzazioni disponibili in Looker, nell'ordine in cui vengono visualizzate nella pagina Nuovo insieme di autorizzazioni della sezione Amministrazione:

Informazioni importanti sui set di autorizzazioni

Le seguenti autorizzazioni interagiscono con i set di modelli in modo potenzialmente inatteso:

• develop; see_lookml: nell'IDE di Looker, un singolo progetto può contenere più file modello. Se assegni le autorizzazioni develop o see_lookml a un utente e gli hai consentito di visualizzare qualsiasi modello che fa parte di un progetto, potrà sviluppare o visualizzare il codice LookML per tutti i modelli del progetto. Tuttavia, non potranno comunque interrogare i modelli che non hai autorizzato.
• manage_models: se assegni l'autorizzazione manage_models a un utente, quest'ultimo potrà accedere a tutti i modelli di tutti i progetti dell'istanza.
• manage_modelsets_restricted: se assegni l'autorizzazione manage_modelsets_restricted a un utente, quest'ultimo può assegnare qualsiasi modello in un progetto a cui ha accesso.
• manage_project_connections: se assegni le autorizzazioni manage_project_connections_restricted o manage_project_connections a un utente, quest'ultimo potrà visualizzare, modificare e creare connessioni con ambito di progetto per tutti i progetti inclusi nel set di modelli.

Set di modelli

Un set di modelli definisce quali dati e campi LookML possono essere visualizzati da un utente o da un gruppo. Ogni insieme è un elenco di modelli LookML a cui un utente o un gruppo dovrebbe avere accesso. Puoi considerare un insieme di modelli come se svolgesse due funzioni:

1. Un insieme di modelli controlla a quali modelli in LookML si applicano le autorizzazioni (se queste sono specifiche del modello).
2. Un set di modelli limita i dati e i campi LookML che un utente può visualizzare, perché ogni modello è connesso a una connessione al database specifica e contiene determinati campi LookML.

Creazione di un set di modelli

Per creare un insieme di modelli:

1. Fai clic sul pulsante New Model Set (Nuovo set di modelli) nella parte superiore della pagina Ruoli.

   

2. Looker visualizza la pagina Nuovo set di modelli. Inserisci un nome per il nuovo insieme di modelli.

3. Seleziona il modello o i modelli da includere nel nuovo set di modelli.

4. Fai clic sul pulsante Nuovo set di modelli nella parte inferiore della pagina. Il nuovo insieme di modelli verrà visualizzato nella sezione Insiemi di modelli della pagina Ruoli.

I modelli inclusi nei progetti in attesa vengono visualizzati nell'elenco Modelli nelle pagine Nuovo insieme di modelli e Modifica insieme di modelli.

L'eliminazione o la ridenominazione di un modello non comporta modifiche agli insiemi di modelli che lo includono. Quando un modello viene rimosso o rinominato, consigliamo agli amministratori di Looker di rimuovere il nome del modello anche da tutti i set di modelli associati, utilizzando la pagina Modifica set di modelli. La rimozione del nome di un modello eliminato da un insieme di modelli impedisce che un nuovo modello con lo stesso nome venga incluso involontariamente in quell'insieme.

Per saperne di più sui modelli, consulta la pagina della documentazione Parametri del modello.

Creazione di più modelli e set di modelli

L'esempio seguente illustra come utilizzare più set di modelli per limitare l'accesso ai dati. Considera uno scenario in cui hai due team: marketing e assistenza. In questo esempio, questi due team non devono avere accesso all'intero modello, quindi devi creare un modello separato per ciascun team. Per separare l'accesso ai dati, segui questi passaggi:

1. Copia il modello in due nuovi modelli.
2. Nel primo dei nuovi modelli, includi solo le visualizzazioni, i campi e le esplorazioni a cui deve avere accesso il team di marketing.
3. Crea un set di modelli per il team di marketing che includa solo questo nuovo modello.
4. Crea un nuovo ruolo per il team di marketing che includa questo nuovo set di modelli e le autorizzazioni appropriate per il team di marketing.
5. Assegna questo nuovo ruolo al gruppo del team di marketing.
6. Ripeti i passaggi da 2 a 5 per configurare il secondo modello per il team di assistenza.

Modifica di un insieme di modelli

Dopo aver creato un insieme di modelli, segui questi passaggi per modificarlo:

1. Nella pagina Ruoli, fai clic sul pulsante Modifica a destra del set di modelli che vuoi modificare.

2. Looker visualizza la pagina Modifica set di modelli. Se vuoi, inserisci un nuovo nome per il set di modelli nel campo Nome.

3. Aggiungi o rimuovi modelli dal set di modelli nella sezione Modelli.

4. Fai clic sul pulsante Aggiorna set di modelli in fondo alla pagina.

I modelli inclusi nei progetti in attesa vengono visualizzati nell'elenco Modelli nelle pagine Nuovo insieme di modelli e Modifica insieme di modelli.

L'eliminazione o la ridenominazione di un modello non comporta modifiche agli insiemi di modelli che lo includono. Quando un modello viene rimosso o rinominato, consigliamo agli amministratori di Looker di rimuovere il nome del modello anche da tutti i set di modelli associati, utilizzando la pagina Modifica set di modelli. La rimozione del nome di un modello eliminato da un insieme di modelli impedisce che un nuovo modello con lo stesso nome venga incluso involontariamente in quell'insieme.

Eliminazione di un insieme di modelli

Per eliminare un insieme di modelli, nella pagina Ruoli, fai clic su Elimina a destra dell'insieme di modelli che vuoi eliminare.