管理员设置 - 角色

使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

角色、权限集和模型集可共同管理用户可以执行的操作以及可以查看的内容。在管理面板的用户部分的角色页面中，您可以查看、配置和分配角色、权限集和模型集。

您可以搜索特定角色、权限集和模型集，方法是在右上方的搜索框中输入搜索字词，然后按 Enter 键。

定义

• 角色定义了用户或群组对 Looker 中的一组特定模型拥有的权限。您可以通过将一个权限集与一个模型集相结合来创建角色。
• 权限集定义了用户或群组可以执行的操作。您可以选择要分配给用户或群组的权限组合。它必须用作角色的一部分才能产生任何效果。
• 模型集定义了用户或群组可以查看哪些数据和 LookML 字段。您可以选择用户或群组应有权访问的一系列 LookML 模型。它必须用作角色的一部分才能产生任何效果。

管理角色

一个角色由一个权限集和一个模型集构成。根据组织中的人员或人员类型（管理员、Looker 开发者、财务团队）命名角色是一种常见的惯例，不过您当然可以遵循自己的命名惯例。

一个用户可以在 Looker 中有多个角色。如果您的用户在公司中担任多种角色，或者您想要创建对模型的访问权限的复杂系统，此功能将非常有用。

创建、修改和删除角色

如需创建角色，请按以下步骤操作：

1. 点击角色页面顶部的新建角色按钮。

2. Looker 会显示新建角色页面，您可以在其中配置以下设置：

   • 名称：输入角色的名称。
   • 权限集：选择要与角色关联的权限集。
   • 模型集：选择要与该角色关联的模型集。
   • 群组：（可选）选择要向其分配角色的一个或多个群组。
   • 用户：（可选）选择一个或多个要向其分配角色的用户。

3. 按预期配置角色后，点击页面底部的新建角色按钮。

创建角色后，您可以在角色页面上点击角色右侧的修改按钮来修改角色。点击修改会进入该角色的修改角色页面，您可以在其中修改名称、权限集、模型集以及分配给该角色的群组或用户。

要删除角色，请在角色页面上点击角色右侧的删除按钮。

默认角色

对于新实例，Looker 会创建以下默认角色，每个角色都包含采用相同名称的默认权限集：

• 管理员
• 通过 IAM 进行管理
• 开发者
• Gemini
• 支持高级编辑器
• 支持基本编辑器
• 用户
• 查看者

以下部分中的默认角色具有使用条件。

Gemini

您无法修改或删除 Gemini 角色。此角色的权限集适用于 Looker 实例上的所有模型。

通过此角色提供的 gemini_in_looker 权限，用户可以在 Gemini 的协助下在 Looker 实例中执行以下任务：

• 编写 LookML - 如果这些项目还拥有 Looker 角色，该角色包含 LookML 项目中至少一个模型的 develop 权限。
• 创建自定义 Looker 可视化图表 - 前提是这些项目还拥有包含 can_override_vis_config 权限的 Looker 角色。
• 使用 Conversational Analytics 查询 Looker 探索数据，即使用户未被分配 explore 权限，只要用户的 Looker 角色拥有针对所查询模型的 access_data 权限，也是如此。

如需详细了解 Looker 中的 Gemini 功能，请参阅 Looker 中的 Gemini 概览。

通过 IAM 分配的 Admin 角色

“通过 IAM 进行管理员”角色仅在 Looker (Google Cloud Core) 中提供，并且只能通过 Google Cloud 控制台进行管理。如需了解详情，请参阅使用 OAuth 和 IAM 进行身份验证和授权以及 Looker 管理员角色与管理员通过 IAM Looker 角色进行授权文档。

Admin via IAM 角色使用 Admin 权限集。

支持高级编辑器和支持基本编辑器

如果 Looker 管理员已停用分层支持访问权限实验室功能，则 Looker（原始）实例上不会显示这些角色。如果 Looker (Google Cloud Core) 实例使用专用 IP（专用服务访问通道或 Private Service Connect）网络或公共 IP 和专用 IP 网络，这些角色将不会显示在 Looker (Google Cloud Core) 实例上。

您无法修改、删除支持高级编辑者和支持基本编辑者角色，也无法将其分配给支持访问权限用户以外的用户。

权限集

权限集定义了用户或群组可以执行的操作。管理员可以使用 Looker 的默认权限集，也可以创建原始权限集，并谨记权限依赖项。

权限列表更详细地讨论了所有可用权限及其类型。

默认权限集

对于新安装的应用，Looker 提供多个默认权限集，您可以先从它们入手：

创建新角色时，您会看到这些权限集显示为选项。如果您选择其中一个权限集，Looker 会显示其所含权限的列表。

无法修改或删除管理员权限集，也无法将其分配给角色。此角色仅分配给 Admin 角色，此角色也无法修改或删除。将 Admin 权限集授予某个用户或群组的唯一方法是将 Admin 角色添加到该用户或群组。

创建权限集

要创建权限集，请点击角色页面顶部的新建权限集按钮。Looker 将显示一个页面，您可以在其中输入权限集的名称，并选择权限集应包含的权限。根据需要配置权限集后，点击页面底部的新权限集按钮。

创建权限集后，您可以点击角色页面上权限集右侧的修改或删除按钮，修改或删除该权限。

权限和依赖项

有些权限有赖于其他权限，才能正常工作。例如，想要使用 LookML 进行开发的人必须先能够看到 LookML。

创建权限集时，您会在缩进列表中看到可用权限。如果某个权限在另一项（父级）权限下缩进，则您必须先选择该父级权限。权限列表可能如下所示：

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

在此示例中，Looker 使用缩进来表示以下内容：

• 您可以随时选择 access_data 权限。
• 若要使用 see_lookml_dashboards 和 see_looks 权限，必须先选择 access_data 权限。
• see_user_dashboards 权限依赖于 see_looks 权限，而后者依赖于 access_data 权限。

您必须先选择父级权限，然后才能选择子级权限。

权限和 Looker 许可

Looker 许可将用户分为三种类型：

• 开发者（管理员）
• 标准（创作者）
• 查看者

向用户授予的权限决定了如何根据 Looker 许可对该用户进行分类：

• 如果用户拥有管理员默认角色或至少以下任一权限，就会被归类为开发者（管理员）用户：

  • develop
  • manage_models
  • see_datagroups
  • see_logs
  • see_pdts
  • sudo

• 如果用户不具备任何开发者（管理员）权限，但至少拥有以下权限之一，则会被归类为标准（创建者）用户：

  • create_prefetches
  • explore
  • manage_homepage
  • manage_spaces
  • save_content
  • see_queries
  • see_schedules
  • see_system_activity
  • see_users
  • use_sql_runner

• 如果用户拥有 access_data 权限，但没有开发者 (Admin) 权限和标准（创建者）权限，则会被归类为查看者。

权限列表

权限可分为以下三类：

• 特定于模型：这种类型的权限仅适用于同一角色中的模型集。此权限适用于单个模型或模型集，而非整个 Looker 实例。
• 连接专用权限：此类权限在连接级别应用。拥有此类权限的用户会在管理面板中看到使用与用户具有数据访问权限的模型相关联的连接的页面内容，即使该连接已用于他们无权访问的数据的其他模型也是如此。
• 实例级：这种类型的权限适用于整个 Looker 实例，有三种类型：
  • NN = 没有内容访问权限，没有菜单访问权限：这些权限允许用户在整个 Looker 实例中执行某些功能，但不允许用户基于其角色模型集中未包含的模型访问内容。
  • CN = 内容访问权限，无菜单访问权限：这些权限允许用户访问整个 Looker 实例中的内容和查询信息，即使基于未包含在其角色模型集中的模型的内容和查询也是如此。
  • CM = 内容访问权限、菜单访问权限：这些权限可能会向非管理员用户公开“管理”菜单的部分内容，并允许用户根据未包含在其角色模型集中的模型来查看有关内容和查询的信息。

以下列表介绍了 Looker 中提供的所有权限，这些权限按照这些权限在管理部分的新权限集页面上显示的顺序进行了说明：

关于权限集的注意事项

以下权限会以可能意想不到的方式与模型集交互：

• develop；see_lookml - 在 Looker 的 IDE 中，一个项目可以包含多个模型文件。如果您向用户分配 develop 或 see_lookml 权限，并且已允许该用户查看项目中的任何模型，则该用户将能够为该项目中的所有模型开发或查看 LookML。但是，他们仍然无法查询您不允许的模型。
• manage_models - 如果您为用户分配 manage_models 权限，则该用户将能够访问该实例中所有项目中的所有模型。
• manage_modelsets_restricted - 如果您为用户分配 manage_modelsets_restricted 权限，则他们可以分配项目中自己有权访问的任何模型。
• manage_project_connections - 如果您为用户分配 manage_project_connections_restricted 或 manage_project_connections 权限，则该用户将能够查看、修改和创建模型集中包含的任何项目的项目级连接。

模型集

模型集定义用户或群组可以查看的数据和 LookML 字段。每个集合都是一个用户或群组应有权访问的 LookML 模型的列表。您可以将模型集视为执行两个函数：

1. 模型集用于控制 LookML 中的哪些模型具有相应权限（如果这些权限特定于模型）。
2. 模型集会限制用户可以看到的数据和 LookML 字段，因为每个模型都连接到特定的数据库连接并包含某些 LookML 字段。

创建模型集

如需创建模型集，请执行以下操作：

1. 点击角色页面顶部的新建模型集按钮。

   

2. Looker 会显示新建模型集页面。输入新模型集的名称。

3. 选择应包含在新模型集中的一个或多个模型。

4. 点击页面底部的新建模型集按钮。新模型集将显示在角色页面的模型集部分中。

待处理项目中包含的模型会显示在新模型集和修改模型集页面的模型列表中。

删除或重命名模型不会影响任何包含该模型的模型集。移除或重命名模型后，我们建议 Looker 管理员使用修改模型集页面从所有关联的模型集中移除该模型的名称。从模型集中移除已删除模型的名称，可防止使用相同名称的新模型意外添加到该模型集中。

如需详细了解模型，请参阅模型参数文档页面。

创建多个模型和模型集

以下示例说明了如何使用多个模型集来限制对数据的访问。假设您有两个团队，营销和支持。在本示例中，这两个团队不应有权访问整个模型，因此您需要为每个团队创建一个单独的模型。要分离其数据访问权限，您需要执行以下步骤：

1. 将该模型复制到两个新模型中。
2. 在第一个新模型中，仅添加营销团队应有权访问的视图、字段和探索。
3. 为营销团队创建一个仅包含此新模型的模型集。
4. 为营销团队创建一个新角色，其中包含这个新模型集以及营销团队的相应权限。
5. 将这个新角色分配给营销团队群组。
6. 重复第 2 步到第 5 步，为支持团队配置第二个模型。

修改模型集

创建模型集后，请执行以下步骤进行修改：

1. 在角色页面上，点击要修改的模型集右侧的修改按钮。

2. Looker 会显示修改模型集页面。如果需要，在名称字段中为模型集输入一个新名称。

3. 在模型部分的模型集中添加或移除任何模型。

4. 点击页面底部的更新模型集按钮。

待处理项目中包含的模型会显示在新模型集和修改模型集页面的模型列表中。

删除或重命名模型不会影响任何包含该模型的模型集。移除或重命名模型后，我们建议 Looker 管理员使用修改模型集页面从所有关联的模型集中移除该模型的名称。从模型集中移除已删除模型的名称，可防止使用相同名称的新模型意外添加到该模型集中。

删除模型集

要删除模型集，请在角色页面上点击要删除的模型集右侧的删除。