Configurações de administrador: funções

Funções, conjuntos de permissões e conjuntos de modelos são usados juntos para gerenciar o que os usuários podem fazer e ver. Na página Funções da seção Usuários do painel Administrador, é possível visualizar, configurar e atribuir funções, conjuntos de permissões e conjuntos de modelos.

Para pesquisar funções, conjuntos de permissões e conjuntos de modelos específicos, digite um termo na caixa de pesquisa no canto superior direito e pressione Enter.

Definições

• Uma função define os privilégios que um usuário ou grupo terá para um conjunto específico de modelos no Looker. Você cria uma função combinando um conjunto de permissões com um conjunto de modelos.
• Um conjunto de permissões define o que um usuário ou grupo pode fazer. Você seleciona uma combinação de permissões que quer atribuir a um usuário ou grupo. Ele precisa ser usado como parte de uma função para ter efeito.
• Um conjunto de modelos define quais dados e campos da LookML um usuário ou grupo pode acessar. Você seleciona uma combinação de modelos da LookML a que um usuário ou grupo deve ter acesso. Ele precisa ser usado como parte de uma função para ter efeito.

Gerenciar papéis

Um papel é uma combinação de um conjunto de permissões e um conjunto de modelos. É comum nomear as funções de acordo com os tipos de pessoas ou grupos na sua organização (administrador, desenvolvedor do Looker, equipe financeira), mas você pode seguir suas próprias convenções de nomenclatura.

Um usuário pode ter mais de uma função no Looker. Isso pode ser útil quando você tem usuários que desempenham várias funções na empresa ou quando quer criar sistemas complexos de acesso aos seus modelos.

Criar, editar e excluir funções

Para criar uma função, siga estas etapas:

1. Clique no botão Nova função na parte de cima da página Funções.

2. O Looker mostra a página Nova função, em que é possível configurar as seguintes opções:

   • Nome: insira um nome para a função.
   • Conjunto de permissões: escolha um conjunto de permissões para associar ao papel.
   • Conjunto de modelos: escolha um conjunto de modelos para associar à função.
   • Grupos: opcionalmente, escolha um ou mais grupos para atribuir a função.
   • Usuários: se quiser, escolha um ou mais usuários para atribuir a função.

3. Depois de configurar a função como pretendido, clique no botão Nova função na parte de baixo da página.

Depois que uma função é criada, você pode editá-la clicando no botão Editar à direita da função na página Funções. Ao clicar em Editar, você acessa a página Editar função, onde é possível editar o nome, o conjunto de permissões, o conjunto de modelos e os grupos ou usuários atribuídos à função.

Para excluir uma função, clique no botão Excluir à direita da função na página Funções.

Papéis padrão

Para novas instâncias, o Looker cria os seguintes papéis padrão, cada um deles incluindo um conjunto de permissões padrão com o mesmo nome:

• Administrador
• Administrador via IAM
• Desenvolvedor
• Gemini
• Suporte ao Editor avançado
• Editor do Suporte Básico
• Usuário
• Leitor

As funções padrão nas seções a seguir têm condições de uso.

Administrador via IAM

O papel de administrador via IAM está disponível apenas no Looker (Google Cloud Core) e pode ser gerenciado apenas pelo console Google Cloud . Para mais informações, consulte a documentação Autenticação e autorização com OAuth e IAM e Papel de administrador do Looker x papel de administrador do Looker via IAM.

O papel Administrador via IAM usa o conjunto de permissões Administrador.

Gemini

O papel Gemini não pode ser renomeado nem excluído e contém apenas a permissão gemini_in_looker no conjunto de permissões. Por padrão, o conjunto de permissões dessa função se aplica a todos os modelos na instância do Looker. Para restringir o acesso dos usuários aos recursos do Gemini no Looker com modelos específicos, remova essas pessoas da função Gemini e crie uma nova função que aplique a permissão gemini_in_looker aos modelos selecionados. Remova esses usuários do grupo Usuários padrão do Gemini.

A permissão gemini_in_looker disponível nessa função permite que os usuários realizem as seguintes tarefas na instância do Looker com a assistência do Gemini:

• Escrever LookML: quando também têm uma função do Looker que contém a permissão develop para pelo menos um modelo em um projeto do LookML.
• Criar visualizações personalizadas do Looker: quando também têm uma função do Looker que contém a permissão can_override_vis_config.
• Consultar dados da Análise do Looker com a Análise de conversação, mesmo que o usuário não tenha recebido permissões explore, quando ele também tem uma função do Looker que contém a permissão access_data no modelo que está consultando.

Para mais informações sobre os recursos do Gemini no Looker, consulte a visão geral do Gemini no Looker.

Suporte ao Editor avançado e ao Editor básico

Essas funções não vão aparecer em uma instância do Looker (original) se um administrador do Looker tiver desativado o recurso dos laboratórios Acesso ao suporte por níveis. Essas funções não aparecem em uma instância do Looker (Google Cloud Core) se ela usa rede de IP particular (acesso a serviços particulares ou Private Service Connect) ou rede de IP público e particular.

As funções Editor avançado de suporte e Editor básico de suporte não podem ser editadas, excluídas ou atribuídas a usuários que não sejam usuários de acesso ao suporte.

Conjuntos de permissões

Um conjunto de permissões define o que um usuário ou grupo pode fazer. Os administradores podem usar os conjuntos de permissões padrão do Looker ou criar conjuntos de permissões originais, sem se esquecer das dependências.

Todas as permissões disponíveis e os tipos delas são discutidos com mais detalhes na lista de permissões.

Conjuntos de permissões padrão

Para novas instalações, o Looker inclui vários conjuntos de permissões padrão para você começar:

Esses conjuntos de permissões vão aparecer como opções quando você criar uma nova função. Se você selecionar um desses conjuntos, o Looker vai mostrar a lista de permissões incluídas.

O conjunto de permissões de administrador não pode ser editado nem excluído e não pode ser atribuído a uma função. Ela é atribuída apenas à função de administrador, que também não pode ser editada ou excluída. A única maneira de conceder o conjunto de permissões de administrador a um usuário ou grupo é adicionar a função de administrador a esse usuário ou grupo.

Como criar conjuntos de permissões

Para criar um conjunto de permissões, clique no botão Novo conjunto de permissões na parte de cima da página Funções. O Looker vai mostrar uma página em que você pode inserir um nome para o conjunto de permissões e selecionar as permissões que ele deve incluir. Depois de configurar o conjunto conforme necessário, clique no botão Novo conjunto de permissões na parte de baixo da página.

Depois que um conjunto de permissões é criado, é possível editar ou excluir clicando nos botões Editar ou Excluir à direita do conjunto de permissões na página Funções.

Permissões e dependências

Algumas permissões dependem de outras para funcionar corretamente. Por exemplo, é lógico que alguém que quer desenvolver em LookML precisa primeiro conseguir ver o LookML.

Ao criar um conjunto de permissões, você verá as permissões disponíveis em uma lista com recuo. Se um privilégio estiver recuado em relação a outro (pai), selecione o privilégio pai primeiro. A lista de permissões pode ter esta aparência:

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

Neste exemplo, o Looker usa o recuo para indicar o seguinte:

• O privilégio access_data pode ser selecionado a qualquer momento.
• Os privilégios see_lookml_dashboards e see_looks exigem que o privilégio access_data seja selecionado primeiro.
• O privilégio see_user_dashboards depende do privilégio see_looks, que, por sua vez, depende do privilégio access_data.

Não é possível selecionar um privilégio de criança sem primeiro selecionar o familiar responsável.

Permissões e licenças do Looker

As licenças do Looker classificam os usuários em três tipos:

• Desenvolvedor (administrador)
• Padrão (criador)
• Leitor

As permissões concedidas a um usuário determinam como ele é classificado na licença do Looker:

• Um usuário é classificado como desenvolvedor (administrador) se tiver a função padrão de administrador ou pelo menos uma das seguintes permissões:

  • develop
  • manage_models
  • see_datagroups
  • see_logs
  • see_pdts
  • sudo

• Um usuário é classificado como padrão (criador de conteúdo) se não tiver nenhuma das permissões de desenvolvedor (administrador), mas tiver pelo menos uma das seguintes permissões:

  • create_prefetches
  • explore
  • manage_homepage
  • manage_spaces
  • save_content
  • see_queries
  • see_schedules
  • see_system_activity
  • see_users
  • use_sql_runner

• Um usuário é classificado como leitor se tiver a permissão access_data, mas nenhuma das permissões de desenvolvedor (administrador) e nenhuma das permissões padrão (criador).

Lista de permissões

As permissões podem ser classificadas em um de três tipos:

• Específico do modelo:esse tipo de permissão é aplicado apenas aos conjuntos de modelos que fazem parte da mesma função. Essa permissão é aplicada a modelos ou conjuntos de modelos individuais, e não a toda a instância do Looker.
• Específico da conexão:esse tipo de permissão é aplicado no nível da conexão. Um usuário com esse tipo de permissão vai ver conteúdo nas páginas do painel Administrador que usa uma conexão associada a um modelo a que ele tem acesso aos dados, mesmo que essa conexão seja usada com outro modelo a que ele não tem acesso.
• Em toda a instância:esse tipo de permissão se aplica à instância do Looker como um todo e tem três tipos:
  • NN = Sem acesso ao conteúdo, sem acesso ao menu: essas permissões permitem que os usuários executem determinadas funções em toda a instância do Looker, mas não permitem que eles acessem conteúdo com base em modelos que não estão incluídos no conjunto de modelos da função.
  • CN = Acesso ao conteúdo, sem acesso ao menu: essas permissões permitem que os usuários acessem conteúdo e consultem informações em toda a instância do Looker, mesmo para conteúdo e consultas com base em modelos não incluídos no conjunto de modelos da função.
  • CM = Acesso ao conteúdo, acesso ao menu: essas permissões podem expor partes do menu "Administrador" a usuários que não são administradores e permitir que eles vejam informações sobre conteúdo e consultas com base em modelos não incluídos no conjunto de modelos da função.

A lista a seguir descreve todas as permissões disponíveis no Looker, na ordem em que aparecem na página Novo conjunto de permissões na seção Administrador:

Informações importantes sobre conjuntos de permissões

As seguintes permissões interagem com conjuntos de modelos de uma maneira potencialmente inesperada:

• develop; see_lookml: no ambiente de desenvolvimento integrado do Looker, um único projeto pode conter vários arquivos de modelo. Se você atribuir as permissões develop ou see_lookml a um usuário e permitir que ele veja qualquer modelo que faça parte de um projeto, ele poderá desenvolver ou ver a LookML de todos os modelos desse projeto. No entanto, eles ainda não poderão consultar modelos que você não permitiu.
• manage_models: se você atribuir a permissão manage_models a um usuário, ele poderá acessar todos os modelos em todos os projetos da instância.
• manage_modelsets_restricted: se você atribuir a permissão manage_modelsets_restricted a um usuário, ele poderá atribuir qualquer modelo em um projeto a que tenha acesso.
• manage_project_connections: se você atribuir as permissões manage_project_connections_restricted ou manage_project_connections a um usuário, ele poderá ver, editar e criar conexões no escopo do projeto para qualquer projeto incluído no conjunto de modelos.

Conjuntos de modelos

Um conjunto de modelos define quais dados e campos do LookML um usuário ou grupo pode acessar. Cada conjunto é uma lista de modelos do LookML a que um usuário ou grupo deve ter acesso. Um conjunto de modelos tem duas funções:

1. Um conjunto de modelos controla a quais modelos na sua LookML as permissões se aplicam (se forem específicas do modelo).
2. Um conjunto de modelos limita os dados e os campos da LookML que um usuário pode ver, porque cada modelo está conectado a uma conexão de banco de dados específica e contém determinados campos da LookML.

Como criar um conjunto de modelos

Para criar um conjunto de modelos:

1. Clique no botão Novo conjunto de modelos, na parte de cima da página Funções.

   

2. O Looker mostra a página Novo conjunto de modelos. Insira um nome para o novo conjunto de modelos.

3. Selecione os modelos que devem ser incluídos no novo conjunto.

4. Clique no botão Novo conjunto de modelos na parte de baixo da página. O novo conjunto de modelos vai aparecer na seção Conjuntos de modelos da página Funções.

Os modelos incluídos em projetos pendentes aparecem na lista Modelos nas páginas Novo conjunto de modelos e Editar conjunto de modelos.

Excluir ou renomear um modelo não muda nenhum conjunto que o inclua. Quando um modelo é removido ou renomeado, recomendamos que os administradores do Looker também removam o nome dele de todos os conjuntos de modelos associados usando a página Editar conjunto de modelos. Remover o nome de um modelo excluído de um conjunto de modelos evita que um novo modelo com o mesmo nome seja incluído sem querer nesse conjunto.

Para saber mais sobre modelos, consulte a página de documentação Parâmetros do modelo.

Como criar vários modelos e conjuntos de modelos

O exemplo a seguir mostra como usar vários conjuntos de modelos para limitar o acesso aos dados. Considere um cenário em que você tem duas equipes: marketing e suporte. Neste exemplo, essas duas equipes não podem ter acesso ao modelo inteiro. Portanto, você precisa criar um modelo separado para cada uma delas. Para separar o acesso aos dados, siga estas etapas:

1. Copie o modelo em dois novos modelos.
2. No primeiro dos novos modelos, inclua apenas as visualizações, os campos e as Análises que a equipe de marketing precisa acessar.
3. Crie um conjunto de modelos para a equipe de marketing que inclua apenas esse novo modelo.
4. Crie uma função para a equipe de marketing que inclua esse novo conjunto de modelos e as permissões adequadas para a equipe.
5. Atribua essa nova função ao grupo da equipe de marketing.
6. Repita as etapas de 2 a 5 para configurar o segundo modelo para a equipe de suporte.

Editar um conjunto de modelos

Depois que um conjunto de modelos for criado, siga estas etapas para editá-lo:

1. Na página Funções, clique no botão Editar à direita do conjunto de modelos que você quer editar.

2. O Looker mostra a página Editar conjunto de modelos. Se quiser, insira um novo nome para o conjunto de modelos no campo Nome.

3. Adicione ou remova modelos do conjunto na seção Modelos.

4. Clique no botão Atualizar conjunto de modelos na parte de baixo da página.

Os modelos incluídos em projetos pendentes aparecem na lista Modelos nas páginas Novo conjunto de modelos e Editar conjunto de modelos.

Excluir ou renomear um modelo não muda nenhum conjunto que o inclua. Quando um modelo é removido ou renomeado, recomendamos que os administradores do Looker também removam o nome dele de todos os conjuntos de modelos associados usando a página Editar conjunto de modelos. Remover o nome de um modelo excluído de um conjunto de modelos evita que um novo modelo com o mesmo nome seja incluído sem querer nesse conjunto.

Excluir um conjunto de modelos

Para excluir um conjunto de modelos, na página Funções, clique em Excluir à direita do conjunto de modelos que você quer excluir.