Les administrateurs Looker peuvent gérer ce qu'un utilisateur ou un groupe d'utilisateurs peut voir et faire dans Looker en spécifiant les accès suivants:
- Accès au contenu, qui permet de contrôler si un utilisateur ou un groupe d'utilisateurs peut consulter un dossier ou le gérer. Un utilisateur autorisé à afficher un dossier peut y accéder et consulter les listes des tableaux de bord et des apparences qu'il contient. Un utilisateur qui peut gérer un dossier peut manipuler le contenu d'un dossier (copier, déplacer, supprimer et renommer des tableaux de bord et des Looks), organiser le dossier lui-même (le renommer, le déplacer ou le supprimer) et accorder l'accès à d'autres utilisateurs et groupes. L'accès aux contenus est géré par les administrateurs Looker dans le panneau Administration ou, si autorisé, par des utilisateurs individuels depuis le dossier.
- Accès aux données, qui contrôle les données qu'un utilisateur est autorisé à consulter. L'accès aux données est principalement géré à l'aide des ensembles de modèles, qui représentent la moitié d'un rôle Looker. Ces rôles sont ensuite appliqués aux utilisateurs et aux groupes. L'accès aux données peut être encore plus limité dans un modèle à l'aide de filtres d'accès pour limiter les lignes de données qu'ils peuvent voir, comme s'il y avait un filtre automatique sur leurs requêtes. Vous pouvez également restreindre l'accès à des explorations, des jointures, des vues ou des champs spécifiques à l'aide d'autorisations d'accès.
- Accès aux fonctionnalités, qui contrôle les types d'actions qu'un utilisateur est autorisé à effectuer dans Looker, y compris afficher les données et le contenu enregistré, modifier les modèles LookML, administrer Looker, etc. L'accès aux fonctionnalités est géré par les ensembles d'autorisations, qui constituent l'autre moitié d'un rôle Looker. Certaines de ces autorisations s'appliquent à l'ensemble de l'instance Looker, par exemple pour afficher tous les plannings d'envoi de données. La plupart des autorisations sont appliquées à des ensembles de modèles spécifiques, par exemple pour afficher des tableaux de bord définis par l'utilisateur en fonction de ces modèles.
L'accès aux données, aux fonctionnalités et au contenu pour les utilisateurs et les groupes permet de spécifier ce qu'ils peuvent faire et voir dans Looker.
Utilisateurs et groupes
Dans Looker, il existe à la fois des utilisateurs individuels et des groupes d'utilisateurs. Les utilisateurs sont gérés sur la page Utilisateurs du panneau Administration de Looker, tandis que les groupes sont gérés sur la page Groupes du panneau Administration de Looker.
Il est recommandé d'utiliser des groupes pour éviter d'avoir à attribuer, ajuster et supprimer des commandes individuellement pour les utilisateurs. En règle générale, la combinaison d'activités autorisées pour un utilisateur peut être organisée en faisant en sorte qu'il appartienne à un ou plusieurs groupes. Si aucune combinaison de groupes ne vous suffit, envisagez de créer un groupe avec un seul utilisateur. Vous pourrez ainsi l'étendre à d'autres utilisateurs plus tard. Pour les filtres d'accès, envisagez d'utiliser des attributs utilisateur, car vous pouvez les attribuer à des groupes.
Contrôler l'accès des utilisateurs aux contenus
Les dossiers Looker vous permettent d'organiser des ensembles de tableaux de bord et d'apparences. Ils peuvent également contenir d'autres dossiers, ce qui facilite une hiérarchie d'organisation imbriquée.
Les dossiers vous permettent de définir des niveaux d'accès qui déterminent les utilisateurs autorisés à modifier le contenu des dossiers (comme les présentations et les tableaux de bord), à afficher le contenu d'un dossier et à modifier les paramètres:
Un utilisateur doit disposer au moins du niveau d'accès Afficher pour voir l'existence d'un dossier, afficher les présentations et les tableaux de bord qu'il contient, et copier les présentations et les tableaux de bord dans le dossier.
Un utilisateur doit disposer du niveau d'accès Gérer l'accès, Modifier pour un dossier afin de gérer l'accès à ce dossier, et de le modifier ainsi que son contenu (y compris renommer des dossiers, déplacer du contenu et supprimer des présentations et des tableaux de bord).
Les dossiers ne contrôlent pas les actions que les utilisateurs peuvent effectuer sur la plate-forme Looker ni les données qu'ils peuvent utiliser pour créer leur propre contenu. Pour gérer ce niveau d'accès, consultez la section Contrôler l'accès aux fonctionnalités et aux données sur cette page.
Pour obtenir des instructions détaillées sur l'ajustement des niveaux d'accès aux dossiers pour les utilisateurs qui parcourent du contenu dans Looker, consultez la page de documentation Organiser et gérer l'accès aux contenus. Les administrateurs Looker peuvent également ajuster les niveaux d'accès aux dossiers pour tous les groupes et tous les utilisateurs sur la page Accès aux contenus de Looker. Vous pouvez également consulter la page de documentation Concevoir et configurer un système de niveaux d'accès pour en savoir plus sur la conception de niveaux d'accès à l'échelle de l'instance.
Bien que l'accès aux contenus soit géré séparément de l'accès aux fonctionnalités, le rôle attribué à un utilisateur peut déterminer s'il peut voir les présentations et les tableaux de bord listés dans un dossier, consulter une présentation ou un tableau de bord, ou gérer un dossier. La section Interaction entre l'accès aux contenus et les autorisations de cette page explique plus en détail comment l'accès aux fonctionnalités affecte l'accès aux contenus.
Contrôler l'accès aux fonctionnalités et aux données
Pour contrôler l'accès aux fonctionnalités et aux données dans Looker, vous devez généralement créer un groupe d'utilisateurs (facultatif, mais recommandé) et attribuer ce groupe à un rôle. Un rôle lie un ensemble d'autorisations à un ensemble de modèles LookML. Les modèles eux-mêmes définissent les champs et les données disponibles.
Vous pouvez appliquer des limites de données spécifiques à des utilisateurs spécifiques à l'aide de filtres d'accès. Vous pouvez également limiter les développeurs Looker à travailler avec des modèles basés sur des bases de données spécifiques à l'aide de projets.
Vous pouvez également contrôler l'accès à des explorations, des jointures, des vues ou des champs spécifiques en créant des autorisations d'accès. Les droits d'accès ne sont accordés qu'aux utilisateurs auxquels des valeurs d'attribut utilisateur spécifiques ont été attribuées.
| Pour y parvenir, | Voici les étapes de base à suivre : |
|---|---|
| Contrôler les actions qu'un utilisateur peut effectuer | Créez un ensemble d'autorisations avec les autorisations appropriées, puis attribuez un groupe ou un utilisateur à un rôle avec cet ensemble d'autorisations. |
| Contrôler les champs auxquels un utilisateur peut accéder | Créez un modèle avec les champs appropriés, puis attribuez un rôle à un groupe ou à un utilisateur avec ce modèle. |
| Contrôler les données auxquelles un utilisateur peut accéder | Créez un modèle avec les limites de données appropriées, puis attribuez un rôle à un groupe ou à un utilisateur avec ce modèle.- ou -Utilisez des filtres d'accès pour limiter un utilisateur aux données appropriées.- ou -Utiliser des attributs utilisateur pour fournir des identifiants de base de données différents à un groupe ou à un utilisateur- ou -Utiliser des attributs utilisateur avec des droits d'accès pour limiter l'accès à des explorations, des jointures, des vues ou des champs spécifiques |
| Contrôler les connexions de base de données auxquelles un développeur Looker peut accéder | Créez un projet avec les connexions appropriées, associez-le à un ensemble de modèles, puis attribuez un rôle à un groupe ou à un utilisateur avec ces modèles. |
L'accès aux fonctionnalités peut également avoir une incidence sur l'accès aux contenus. Pour en savoir plus sur l'interaction entre l'accès aux contenus et les autorisations, consultez la section Interaction entre l'accès aux contenus et les autorisations de cette page.
Éléments de base que vous devez comprendre
Rôles
Un rôle est une combinaison d'un ensemble d'autorisations et d'un ensemble de modèles. Un ensemble d'autorisations est composé d'une ou de plusieurs autorisations et définit les actions que le rôle peut effectuer. Un ensemble de modèles est composé d'un ou de plusieurs modèles et définit les modèles LookML auxquels le rôle s'applique.
Après avoir créé un rôle, vous pouvez attribuer ce rôle à un utilisateur individuel ou à un groupe d'utilisateurs. Si vous ajoutez des rôles à un utilisateur individuel et d'autres à un groupe auquel cet utilisateur appartient, il héritera de l'ensemble de ces rôles.
Certaines autorisations s'appliquent à l'ensemble de votre instance Looker, tandis que d'autres ne s'appliquent qu'aux modèles du même rôle. Pour en savoir plus, consultez la page de documentation sur les rôles.
Projets
Les projets vous permettent de limiter les connexions de base de données pouvant être utilisées par les modèles. Cela peut vous aider à contrôler les ensembles de données avec lesquels vos développeurs Looker peuvent interagir lorsqu'ils créent des modèles. Un projet peut contenir un ou plusieurs modèles, et être configuré pour utiliser une ou plusieurs connexions.
Cette restriction définie via des projets est également transmise à SQL Runner de Looker, ce qui garantit que vos développeurs ne peuvent pas accéder aux connexions de base de données interdites à l'aide de SQL Runner.
Attributs utilisateur
Les attributs utilisateur vous permettent d'attribuer des valeurs arbitraires à des groupes d'utilisateurs ou à des utilisateurs individuels. Ces valeurs sont ensuite utilisées comme entrées dans diverses parties de Looker, ce qui permet de personnaliser l'expérience de chaque utilisateur.
L'un des moyens de contrôler l'accès à l'aide des attributs utilisateur consiste à paramétrer les identifiants de base de données de manière à ce qu'ils soient spécifiques à chaque utilisateur. Cette option n'a d'intérêt que si votre base de données comporte plusieurs utilisateurs disposant d'un accès aux données différent. Pour en savoir plus, consultez la page de documentation Attributs utilisateur.
Les attributs utilisateur peuvent également contrôler l'accès en tant que filtres d'accès. Les filtres d'accès vous permettent d'utiliser un ou plusieurs attributs utilisateur comme filtre de données. Par exemple, vous pouvez attribuer un nom d'entreprise à chaque utilisateur, puis vous assurer que tous les contenus qu'il voit sont filtrés par ce nom. Pour savoir comment appliquer des filtres d'accès, consultez la page de documentation Attributs utilisateur et la page de documentation du paramètre access_filter.
Les attributs utilisateur contrôlent également les autorisations d'accès. Un droit d'accès spécifie un attribut utilisateur et définit les valeurs autorisées dans cet attribut pour accorder l'accès à une exploration, une jointure, une vue ou un champ. Vous utilisez ensuite le paramètre required_access_grants au niveau de l'exploration, de la jointure, de la vue ou du champ pour limiter l'accès à ces structures LookML aux seuls utilisateurs disposant des valeurs d'attribut utilisateur autorisées. Par exemple, vous pouvez utiliser un droit d'accès pour limiter l'accès à la dimension salary aux seuls utilisateurs dont l'attribut utilisateur department contient la valeur payroll. Pour savoir comment définir des autorisations d'accès, consultez la page de documentation du paramètre access_grant.
Utiliser les composants de base
Contrôler l'accès aux fonctionnalités
Les autorisations contrôlent les types d'activités qu'un utilisateur ou un groupe peut effectuer. Voici comment un utilisateur peut obtenir des autorisations:
- Il est recommandé d'identifier un ou plusieurs groupes d'utilisateurs auxquels un ensemble d'autorisations doit être attribué, et de créer un groupe si nécessaire. Si vous le souhaitez, vous pouvez accorder des autorisations à des utilisateurs individuels.
- Créez un ensemble d'autorisations contenant les autorisations appropriées.
- Si certaines des autorisations à attribuer sont spécifiques au modèle, créez ou identifiez un ensemble de modèles existant.
- Créez un rôle qui combine l'ensemble d'autorisations et, si nécessaire, l'ensemble de modèles.
- Attribuez le rôle depuis la page Rôles. Une fois le rôle créé, vous pouvez également l'attribuer à un utilisateur sur la page Utilisateurs.
Vous pouvez attribuer plusieurs rôles à un utilisateur ou à un groupe. Dans ce cas, les utilisateurs disposeront de toutes les autorisations de tous les rôles qu'ils détiennent. Exemple :
- Le rôle 1 permet d'afficher les tableaux de bord sur Model1.
- Role2 permet d'afficher les tableaux de bord et d'explorer Model2.
Si vous attribuez les deux rôles au même groupe d'utilisateurs, ils peuvent afficher les tableaux de bord dans Model1 et Model2, mais ils ne peuvent explorer que Model2.
Contrôler l'accès des utilisateurs aux champs Looker
Les champs avec lesquels un utilisateur peut travailler sont contrôlés par les modèles auxquels il a accès. Voici comment un utilisateur peut obtenir l'accès à un champ:
- Créez un modèle LookML (ou une combinaison de modèles LookML) ne contenant que les champs auxquels un utilisateur doit avoir accès.
- Accédez à Admin > Utilisateurs > Rôles.
- Sur la page Rôles, créez un ensemble de modèles contenant ces modèles, puis attribuez-le à un rôle.
- Pour travailler avec des groupes d'utilisateurs, ce qui est généralement considéré comme une bonne pratique, créez un groupe sur la page Groupes de Looker. Attribuez ensuite ce groupe aux rôles appropriés sur la page Roles (Rôles).
- Pour travailler avec des utilisateurs individuels, attribuez-leur des rôles sur la page Utilisateurs ou Rôles.
Vous pouvez attribuer plusieurs rôles à un utilisateur ou à un groupe. Les utilisateurs peuvent ensuite travailler avec tous les modèles de tous les rôles qu'ils détiennent.
Il est important de noter que le paramètre hidden pour les champs est conçu pour créer des expériences plus claires pour les utilisateurs, et non pour contrôler l'accès aux champs. Le paramètre hidden masque les champs du sélecteur de champ, mais n'empêche pas un utilisateur d'utiliser ce champ. Si quelqu'un lui envoie un lien qui utilise ce champ, il pourra le voir, et le champ s'affichera toujours dans d'autres endroits de Looker.
Contrôler l'accès des utilisateurs aux données
Il existe plusieurs façons de contrôler l'accès d'un utilisateur aux données, en fonction du cas d'utilisation:
- Pour empêcher les utilisateurs de voir certaines colonnes de données, contrôlez les champs auxquels ils peuvent accéder, comme décrit dans la section Contrôler l'accès des utilisateurs aux champs Looker. Tant qu'un utilisateur ne peut pas développer et utiliser SQL Runner, il est limité par les champs auxquels il a accès.
- Pour empêcher les utilisateurs de voir certaines lignes de données, appliquez des champs de filtre d'accès, comme décrit sur la page de documentation du paramètre
access_filter. - Pour limiter l'accès à des explorations, des jointures, des vues ou des champs spécifiques, créez des droits d'accès qui ne permettent l'accès qu'aux utilisateurs auxquels sont attribuées les valeurs d'attribut utilisateur autorisées, comme décrit sur la page de documentation du paramètre
access_grant. - Pour limiter les utilisateurs de Looker à l'exécution de requêtes sur un utilisateur de base de données spécifique, que votre équipe de base de données a configuré pour limiter l'accès aux données, utilisez des attributs utilisateur. Ils vous permettent de paramétrer votre connexion à la base de données afin qu'un groupe d'utilisateurs ou des utilisateurs individuels exécutent leurs requêtes avec des identifiants de base de données spécifiques. Vous pouvez également limiter les utilisateurs aux champs Looker appropriés. Sinon, l'utilisateur Looker risque d'essayer d'interroger un champ auquel son utilisateur de base de données n'a pas accès, et il recevra un message d'erreur.
Tout comme le paramètre de champ hidden n'est pas destiné à contrôler l'accès aux champs, le paramètre hidden des explorations n'empêche pas tous les utilisateurs de voir une exploration. Le paramètre hidden supprime l'exploration du menu "Explorer". Toutefois, si un utilisateur a enregistré du contenu qui fait référence à une exploration masquée, il aura toujours accès aux données de l'exploration.
Si vous utilisez l'intégration avec signature, veillez à configurer les contrôles d'accès aux données via l'URL d'intégration avec signature.
Contrôler l'accès des développeurs aux connexions aux bases de données
Contrairement aux utilisateurs ordinaires, les développeurs Looker ne sont pas totalement contraints par les modèles et les filtres d'accès, car ils peuvent ajouter ou modifier des modèles LookML. Toutefois, les administrateurs peuvent toujours limiter les développeurs Looker à certaines connexions de base de données à l'aide de projets. Pour ce faire :
- Créez un projet qui limite un certain nombre de modèles à un certain nombre de connexions à la base de données. Pour ce faire, accédez à la page Gérer les projets de Looker.
- Accédez à Admin > Utilisateurs > Rôles.
- Sur la page Rôles, créez un ensemble de modèles contenant au moins l'un des modèles du projet, puis attribuez-le à un rôle.
- Pour travailler avec des groupes d'utilisateurs, ce qui est généralement considéré comme une bonne pratique, créez un groupe sur la page Groupes de Looker. Attribuez ensuite ce groupe aux rôles appropriés sur la page Roles (Rôles).
- Pour travailler avec des utilisateurs individuels, attribuez-leur des rôles sur la page Utilisateurs ou Rôles.
Si un développeur Looker peut voir n'importe quel modèle faisant partie d'un projet, il peut voir tous les modèles de ce projet. Par exemple, cela peut se produire si vous avez attribué un rôle à un développeur Looker qui ne comporte qu'un seul modèle, mais que ce modèle fait partie d'un projet contenant d'autres modèles.
Interaction entre l'accès aux contenus et les autorisations
L'accès au contenu est géré par les utilisateurs lorsqu'ils consultent un dossier ou par un administrateur Looker sur la page Accès au contenu du panneau Administration. Les rôles attribués à un utilisateur déterminent ses droits d'accès aux fonctionnalités et aux données. Cela affecte les actions que l'utilisateur peut effectuer dans un dossier et s'il peut afficher des présentations et des tableaux de bord.
Afficher des données dans des looks et des tableaux de bord
Pour afficher les données d'une vue ou d'un tableau de bord, l'utilisateur doit disposer au minimum d'un accès en lecture au dossier dans lequel le contenu est stocké.
Les utilisateurs doivent disposer des autorisations access_data et see_looks pour sélectionner une vue et afficher ses données. Les utilisateurs doivent disposer des autorisations access_data et see_user_dashboards pour sélectionner un tableau de bord et afficher ses données.
Pour afficher les données d'une carte de Look ou de tableau de bord, l'utilisateur doit y avoir accès. Sans l'accès aux données nécessaires:
- Même si l'utilisateur peut voir un look dans un dossier et y accéder, la requête du look n'est pas exécutée et l'utilisateur ne peut pas voir les données du look.
- Même si l'utilisateur peut voir un tableau de bord listé dans un dossier et peut y accéder, toute carte à laquelle il n'a pas accès s'affiche comme vide. Si un tableau de bord comporte des cartes créées à partir de plusieurs modèles, un utilisateur pourra voir les cartes associées aux modèles auxquels il a accès, et les cartes d'autres modèles afficheront une erreur.
Par exemple, un utilisateur disposant d'un accès Afficher pour un dossier, d'un accès aux données sous-jacentes à tous les looks du dossier et des autorisations access_data et see_looks peut afficher la liste de tous les looks du dossier et les consulter. Si cet utilisateur n'est pas autorisé à afficher les tableaux de bord LookML ou définis par l'utilisateur, il ne verra aucun tableau de bord pouvant exister dans le dossier.
Afficher un dossier, ainsi que des listes de présentations et de tableaux de bord
Un utilisateur doit disposer au moins du niveau d'accès Afficher pour afficher un dossier et la liste des contenus qu'il contient.
Les utilisateurs disposant également d'une autorisation d'au moins see_looks peuvent voir les titres des présentations dans le dossier. Les utilisateurs disposant également d'une autorisation d'au moins see_user_dashboards peuvent voir les titres des tableaux de bord du dossier. Toutefois, cela ne signifie pas qu'ils peuvent consulter les données des looks ou des tableaux de bord.
Par exemple, un utilisateur disposant de l'autorisation see_looks, mais pas de l'autorisation access_data, peut voir les titres des looks, mais pas les données des looks.
Les utilisateurs disposant de l'autorisation access_data, mais ne disposant pas de l'autorisation see_looks ou see_user_dashboards ne peuvent voir aucun dossier ni aucun contenu.
Modifier un dossier
Un utilisateur doit disposer du niveau d'accès Gérer l'accès, Modifier pour un dossier pour pouvoir l'organiser, y compris en copiant et en déplaçant du contenu, en renommant et en déplaçant des dossiers, et en effectuant d'autres actions similaires. Les utilisateurs doivent également disposer de l'autorisation manage_spaces pour créer, modifier, déplacer et supprimer des dossiers.
Utiliser votre infrastructure d'autorisations utilisateur (LDAP, SAML et OpenID Connect)
Si vous avez déjà configuré une infrastructure LDAP, SAML ou OpenID, vous pouvez utiliser ce système pour gérer les connexions des utilisateurs. Pour obtenir des instructions sur la configuration de LDAP, consultez la page Authentification LDAP. Pour connaître les instructions de configuration de SAML, consultez la page de documentation sur l'authentification SAML. Pour obtenir des instructions sur la configuration d'OpenID Connect, consultez la page de documentation Authentification OpenID Connect.
Si vous avez configuré des groupes dans votre implémentation LDAP, SAML ou OpenID Connect, vous pouvez également les utiliser dans Looker. Toutefois, gardez à l'esprit les points suivants:
- Tous les groupes que vous avez créés sont automatiquement transférés vers Looker et sont visibles sur la page Groupes. Un groupe Looker est créé pour chaque groupe LDAP, SAML ou OpenID Connect, et son nom reflète celui du groupe LDAP, SAML ou OpenID Connect.
- Vous pourrez utiliser ces groupes Looker pour attribuer des niveaux d'accès aux dossiers et des attributs utilisateur aux membres des groupes.
- Vous ne pourrez pas utiliser les groupes Looker pour configurer des rôles comme vous le feriez avec un groupe créé manuellement. Vous devrez plutôt mapper vos groupes LDAP, SAML ou OpenID Connect sur des rôles Looker lors du processus de configuration. Vous ne pourrez modifier les rôles attribués que sur les pages de configuration LDAP, SAML ou OpenID Connect. Nous avons exigé cette approche pour que vos groupes LDAP, SAML ou OpenID Connect restent votre seule source de vérité. Sans cette restriction, le mappage de groupes vers des rôles pourrait s'écarter de la fonction prévue dans votre schéma LDAP, SAML ou OpenID Connect.
Vous pouvez également utiliser LDAP pour appliquer des connexions de base de données spécifiques à l'utilisateur aux requêtes Looker, comme décrit sur la page de documentation Authentification LDAP.