Admin Looker dapat mengelola hal yang dapat dilihat dan dilakukan pengguna atau grup pengguna di Looker dengan menentukan akses berikut:
- Akses Konten, yang mengontrol apakah pengguna atau grup pengguna dapat melihat folder atau mengelola folder. Pengguna yang dapat melihat folder dapat membuka folder dan melihat daftar dasbor dan Tampilan di folder. Pengguna yang dapat mengelola folder dapat memanipulasi konten folder (menyalin, memindahkan, menghapus, dan mengganti nama dasbor dan Tampilan), mengatur folder itu sendiri (mengganti nama, memindahkan, atau menghapus folder), dan memberi pengguna dan grup lain akses ke folder. Akses konten dikelola oleh admin Looker di panel Admin atau, jika diizinkan, oleh pengguna individual dari dalam folder.
- Akses Data, yang mengontrol data yang diizinkan untuk dilihat pengguna. Akses data terutama dikelola menggunakan Set Model, yang merupakan setengah dari peran Looker. Peran ini kemudian diterapkan ke pengguna dan grup. Akses data dapat dibatasi lebih lanjut dalam model menggunakan filter akses untuk membatasi baris data yang dapat dilihat, seolah-olah ada filter otomatis pada kueri mereka. Anda juga dapat membatasi akses ke Jelajah, join, tampilan, atau kolom tertentu menggunakan pemberian akses.
- Akses Fitur, yang mengontrol jenis tindakan yang diizinkan pengguna lakukan di Looker, termasuk melihat data dan konten tersimpan, mengubah model LookML, mengelola Looker, dan sebagainya. Akses fitur dikelola oleh Set Izin, yang merupakan bagian lain dari peran Looker. Beberapa izin ini berlaku untuk seluruh instance Looker, seperti dapat melihat semua jadwal pengiriman data. Sebagian besar izin diterapkan ke kumpulan model tertentu, seperti dapat melihat dasbor yang ditentukan pengguna berdasarkan model tersebut.
Akses data, akses fitur, dan akses konten untuk pengguna dan grup digabungkan untuk menentukan tindakan yang dapat dilakukan dan dilihat pengguna di Looker.
Pengguna dan grup
Di Looker, ada pengguna perorangan dan grup pengguna. Pengguna dikelola di halaman Pengguna pada panel Admin Looker, sedangkan grup dikelola di halaman Grup pada panel Admin Looker.
Praktik terbaiknya adalah menggunakan grup untuk menghindari kejenuhan dalam menetapkan, menyesuaikan, dan menghapus kontrol untuk pengguna satu per satu. Biasanya, kombinasi aktivitas yang memungkinkan pengguna dapat diatur dengan membuat pengguna tersebut menjadi anggota satu atau beberapa grup. Jika tidak ada kombinasi grup yang memadai, pertimbangkan untuk membuat grup dengan hanya satu pengguna, yang memungkinkan Anda memperluas grup tersebut ke lebih banyak orang di masa mendatang. Untuk filter akses, pertimbangkan untuk menggunakan atribut pengguna karena Anda dapat menetapkan atribut pengguna ke grup.
Mengontrol akses konten pengguna
Folder Looker memungkinkan Anda mengatur kumpulan dasbor dan Look. Folder juga dapat berisi folder lain, yang memfasilitasi hierarki organisasi bertingkat.
Folder memungkinkan Anda menetapkan tingkat akses yang menentukan pengguna mana yang dapat mengedit konten folder (seperti Tampilan dan dasbor), melihat konten dalam folder, dan mengubah setelan:
Pengguna harus memiliki setidaknya tingkat akses Lihat ke folder untuk melihat bahwa folder tersebut ada, untuk melihat Tampilan dan dasbor di dalamnya, serta untuk menyalin Tampilan dan dasbor di folder.
Pengguna harus memiliki tingkat akses Kelola Akses, Edit untuk folder agar dapat mengelola akses ke folder dan mengedit folder serta kontennya (termasuk mengganti nama folder, memindahkan konten, dan menghapus Look serta dasbor).
Folder tidak mengontrol tindakan yang dapat dilakukan pengguna di platform Looker, atau data yang dapat mereka gunakan untuk membuat konten mereka sendiri. Untuk mengelola tingkat akses tersebut, lihat bagian Mengontrol Akses Data dan Fitur di halaman ini.
Petunjuk langkah demi langkah untuk menyesuaikan tingkat akses folder bagi pengguna yang menjelajahi konten di Looker dibahas di halaman dokumentasi Mengatur dan mengelola akses ke konten. Admin Looker juga dapat menyesuaikan tingkat akses folder untuk semua grup dan pengguna dari halaman Akses Konten di Looker. Anda juga dapat melihat halaman dokumentasi Merancang dan mengonfigurasi sistem tingkat akses untuk mengetahui informasi tentang desain tingkat akses seluruh instance.
Meskipun akses konten dikelola secara terpisah dari akses fitur, peran yang ditetapkan kepada pengguna dapat memengaruhi apakah mereka dapat melihat Tampilan dan dasbor yang tercantum dalam folder, melihat Tampilan atau dasbor, atau mengelola folder. Bagian Cara interaksi izin dan akses konten di halaman ini menjelaskan pengaruh akses fitur terhadap akses konten secara lebih mendetail.
Mengontrol akses data dan fitur
Untuk mengontrol akses data dan fitur di Looker, Anda biasanya membuat grup pengguna (opsional, tetapi direkomendasikan) dan menetapkan grup tersebut ke peran. Peran mengikat sekumpulan izin dengan sekumpulan model LookML. Model itu sendiri menentukan kolom dan data yang tersedia.
Anda dapat menerapkan batas data tertentu kepada pengguna tertentu dengan filter akses. Selain itu, Anda dapat membatasi developer Looker untuk menggunakan model berdasarkan database tertentu menggunakan project.
Anda juga dapat mengontrol akses ke Jelajah, penggabungan, tampilan, atau kolom tertentu dengan membuat pemberian akses. Pemberian akses membatasi akses hanya untuk pengguna yang telah diberi nilai atribut pengguna tertentu.
| Jika Anda ingin mencapai hal ini ... | Berikut adalah langkah-langkah dasar yang akan Anda lakukan ... |
|---|---|
| Mengontrol tindakan yang dapat dilakukan pengguna | Buat kumpulan izin dengan izin yang sesuai, lalu tetapkan grup atau pengguna ke peran dengan kumpulan izin tersebut |
| Mengontrol kolom yang dapat diakses pengguna | Buat model dengan kolom yang sesuai, lalu tetapkan grup atau pengguna ke peran dengan model tersebut |
| Mengontrol data yang dapat diakses pengguna | Buat model dengan batasan data yang sesuai, lalu tetapkan grup atau pengguna ke peran dengan model tersebut- atau -Menggunakan filter akses untuk membatasi pengguna ke data yang sesuai- atau -Menggunakan atribut pengguna untuk memberikan kredensial database yang berbeda kepada grup atau pengguna- atau -Gunakan atribut pengguna dengan pemberian akses untuk membatasi akses ke Jelajah, penggabungan, tampilan, atau kolom tertentu |
| Mengontrol koneksi database yang dapat diakses developer Looker | Buat project dengan koneksi yang sesuai, kaitkan project dengan kumpulan model, lalu tetapkan grup atau pengguna ke peran dengan model tersebut |
Akses fitur juga dapat memengaruhi akses konten. Lihat bagian Cara interaksi akses konten dan izin di halaman ini untuk mengetahui detail selengkapnya tentang pengaruh akses data dan akses fitur terhadap akses konten.
Elemen dasar yang perlu Anda pahami
Peran
Peran adalah kombinasi dari satu set izin dan satu set model. Kumpulan izin terdiri dari satu atau beberapa izin, dan menentukan tindakan yang dapat dilakukan peran. Kumpulan model terdiri dari satu atau beberapa model, dan menentukan model LookML yang berlaku untuk peran.
Setelah membuat peran, Anda dapat menetapkan pengguna individu, atau grup pengguna, ke peran tersebut. Jika Anda menambahkan beberapa peran ke pengguna perorangan, dan peran lainnya ke grup tempat pengguna tersebut berada, pengguna akan mewarisi semua peran tersebut secara bersamaan.
Beberapa izin relevan untuk seluruh instance Looker Anda, sementara izin lainnya hanya berlaku untuk model dalam peran yang sama. Lihat halaman dokumentasi Peran untuk informasi selengkapnya.
Project
Project memungkinkan Anda membatasi koneksi database yang dapat digunakan oleh model mana. Hal ini dapat membantu Anda mengontrol kumpulan data yang dapat berinteraksi dengan developer Looker saat mereka membuat model. Project dapat berisi satu atau beberapa model, dan dapat dikonfigurasi untuk menggunakan satu atau beberapa koneksi.
Batasan yang ditentukan melalui project ini juga diterapkan ke Looker SQL Runner, yang memastikan bahwa developer Anda tidak dapat mendapatkan akses ke koneksi database yang dilarang menggunakan SQL Runner.
Atribut pengguna
Atribut pengguna memungkinkan Anda menetapkan nilai arbitrer ke grup pengguna atau pengguna individu. Nilai ini kemudian digunakan sebagai input ke berbagai bagian Looker, yang menyesuaikan pengalaman untuk setiap pengguna.
Salah satu cara atribut pengguna mengontrol akses adalah dengan memparametrisasi kredensial database agar spesifik untuk setiap pengguna. Hal ini hanya memiliki nilai jika database Anda memiliki beberapa pengguna dengan akses data yang berbeda-beda. Lihat halaman dokumentasi Atribut pengguna untuk mengetahui informasi selengkapnya.
Cara lain atribut pengguna mengontrol akses adalah sebagai bagian dari filter akses. Filter akses memungkinkan Anda menggunakan satu atau beberapa atribut pengguna sebagai filter data. Misalnya, Anda dapat menetapkan nama perusahaan kepada setiap pengguna, lalu memastikan konten apa pun yang mereka lihat difilter berdasarkan nama tersebut. Untuk deskripsi cara menerapkan filter akses, lihat halaman dokumentasi Atribut pengguna dan halaman dokumentasi parameter access_filter.
Atribut pengguna juga mengontrol pemberian akses. Pemberian akses menentukan atribut pengguna dan menentukan nilai yang diizinkan dalam atribut pengguna tersebut untuk memberikan akses ke Jelajahi, bergabung, tampilan, atau kolom. Kemudian, Anda menggunakan parameter required_access_grants di tingkat Jelajahi, gabung, tampilan, atau kolom untuk membatasi akses ke struktur LookML tersebut hanya kepada pengguna yang memiliki nilai atribut pengguna yang diizinkan. Misalnya, Anda dapat menggunakan pemberian akses untuk membatasi akses ke dimensi salary hanya untuk pengguna yang memiliki nilai payroll di atribut pengguna department mereka. Untuk deskripsi cara menentukan pemberian akses, lihat halaman dokumentasi parameter access_grant.
Menggunakan elemen penyusun
Mengontrol akses fitur
Izin mengontrol jenis aktivitas yang dapat dilakukan pengguna atau grup. Berikut cara pengguna mendapatkan izin:
- Praktik terbaiknya adalah mengidentifikasi satu atau beberapa grup pengguna yang harus memiliki kumpulan izin, dengan membuat grup jika perlu. Anda dapat memberikan izin kepada masing-masing pengguna jika memilihnya.
- Buat kumpulan izin yang berisi izin yang sesuai.
- Jika beberapa izin yang akan ditetapkan bersifat khusus model, buat atau identifikasi kumpulan model yang ada.
- Buat peran yang menggabungkan kumpulan izin dan, jika perlu, kumpulan model.
- Tetapkan peran dari halaman Roles. Setelah peran ada, Anda juga dapat menetapkan peran kepada pengguna di halaman Pengguna.
Anda dapat menetapkan beberapa peran kepada pengguna atau grup. Dalam hal ini, pengguna akan memiliki semua izin dari semua peran yang mereka miliki. Contoh:
- Role1 memberikan kemampuan untuk melihat dasbor di Model1.
- Role2 memberikan kemampuan untuk melihat dasbor dan menjelajahi Model2.
Jika Anda menetapkan kedua peran tersebut ke grup pengguna yang sama, mereka dapat melihat dasbor di Model1 dan Model2, tetapi hanya dapat menjelajahi di Model2.
Mengontrol akses pengguna ke kolom Looker
Kolom yang dapat digunakan pengguna dikontrol oleh model yang dapat diakses pengguna. Berikut cara pengguna mendapatkan akses kolom:
- Buat model LookML (atau kombinasi model LookML) yang hanya berisi kolom yang harus diakses pengguna.
- Buka Admin > Users > Roles.
- Di halaman Roles, buat set model yang berisi model tersebut, lalu tetapkan ke peran.
- Untuk menggunakan grup pengguna, yang umumnya dianggap sebagai praktik terbaik, buat grup di halaman Grup Looker. Kemudian, tetapkan grup tersebut ke peran yang sesuai di halaman Roles.
- Untuk bekerja dengan pengguna individu, tetapkan peran kepada pengguna tersebut dari halaman Pengguna atau halaman Peran.
Anda dapat menetapkan beberapa peran kepada pengguna atau grup. Pengguna kemudian dapat menggunakan semua model dari semua peran yang mereka miliki.
Penting untuk diperhatikan bahwa parameter hidden untuk kolom dirancang untuk menciptakan pengalaman yang lebih bersih bagi pengguna, bukan untuk mengontrol akses kolom. Parameter hidden menyembunyikan kolom dari pemilih kolom, tetapi tidak akan mencegah pengguna menggunakan kolom tersebut. Jika seseorang mengirim link yang menggunakan kolom tersebut, mereka dapat melihatnya, dan tempat lain di Looker akan tetap menampilkan kolom tersebut.
Mengontrol akses pengguna ke data
Ada beberapa cara untuk mengontrol akses pengguna ke data, bergantung pada kasus penggunaan:
- Untuk melarang pengguna melihat kolom data tertentu, kontrol kolom yang dapat mereka akses, seperti yang dijelaskan di bagian Mengontrol akses pengguna ke kolom Looker. Selama pengguna tidak dapat mengembangkan, dan tidak dapat menggunakan SQL Runner, mereka akan dibatasi oleh kolom yang dapat diakses.
- Untuk melarang pengguna melihat baris data tertentu, terapkan kolom filter akses, seperti yang dijelaskan di halaman dokumentasi parameter
access_filter. - Untuk membatasi akses ke Jelajah, join, tampilan, atau kolom tertentu, buat pemberian akses yang membatasi akses hanya untuk pengguna yang diberi nilai atribut pengguna yang diizinkan, seperti yang dijelaskan di halaman dokumentasi parameter
access_grant. - Untuk membatasi pengguna Looker agar menjalankan kueri pada pengguna database tertentu, yang telah dikonfigurasi oleh tim database Anda untuk membatasi akses data, gunakan atribut pengguna. Dengan parameter, Anda dapat memparametrisasi koneksi database sehingga sekelompok pengguna atau pengguna individual dapat menjalankan kueri mereka dengan kredensial database tertentu. Anda juga harus mempertimbangkan untuk membatasi pengguna ke kolom Looker yang sesuai. Jika tidak, pengguna Looker mungkin mencoba membuat kueri pada kolom yang tidak dapat diakses oleh pengguna database mereka, dan mereka akan menerima error.
Sama seperti parameter kolom hidden yang tidak dimaksudkan untuk mengontrol akses kolom, parameter hidden untuk Jelajah tidak mencegah semua pengguna melihat Jelajah. Parameter hidden akan menghapus Jelajah dari menu Jelajah, tetapi jika pengguna telah menyimpan konten yang mereferensikan Jelajah tersembunyi, mereka masih akan memiliki akses ke data Jelajah.
Jika Anda menggunakan penyematan yang ditandatangani, pastikan untuk mengonfigurasi kontrol akses data melalui URL penyematan yang ditandatangani.
Mengontrol akses developer ke koneksi database
Tidak seperti pengguna biasa, developer Looker tidak sepenuhnya dibatasi oleh model dan filter akses, karena mereka dapat melakukan penambahan atau perubahan pada model LookML. Namun, admin masih dapat membatasi developer Looker ke koneksi database tertentu menggunakan project. Untuk melakukannya:
- Buat project yang membatasi jumlah model tertentu ke jumlah koneksi database tertentu. Tindakan ini dilakukan di halaman Kelola Project Looker.
- Buka Admin > Users > Roles.
- Di halaman Roles, buat set model yang berisi setidaknya satu model dalam project, lalu tetapkan ke peran.
- Untuk menggunakan grup pengguna, yang umumnya dianggap sebagai praktik terbaik, buat grup di halaman Grup Looker. Kemudian, tetapkan grup tersebut ke peran yang sesuai di halaman Roles.
- Untuk bekerja dengan pengguna individu, tetapkan peran kepada pengguna tersebut dari halaman Pengguna atau halaman Peran.
Jika developer Looker dapat melihat model mana pun yang merupakan bagian dari project, mereka akan dapat melihat semua model yang merupakan bagian dari project tersebut. Misalnya, hal ini dapat terjadi jika Anda menetapkan developer Looker ke peran dengan hanya satu model, tetapi model tersebut kebetulan merupakan bagian dari project yang berisi model lain.
Cara interaksi akses dan izin konten
Akses konten dikelola oleh pengguna saat mereka melihat folder, atau dikelola oleh admin Looker di halaman Akses Konten di panel Admin. Peran yang ditetapkan kepada pengguna menentukan akses data dan fitur pengguna. Hal ini memengaruhi tindakan yang dapat dilakukan pengguna di folder dan apakah mereka dapat melihat Tampilan dan dasbor.
Melihat data di Look dan dasbor
Untuk melihat data Tampilan atau dasbor, pengguna harus memiliki setidaknya akses Lihat ke folder tempat konten disimpan.
Pengguna harus memiliki izin access_data dan see_looks untuk memilih Tampilan dan melihat datanya. Pengguna harus memiliki izin access_data dan see_user_dashboards untuk memilih dasbor dan melihat datanya.
Untuk melihat data di kartu Tampilan atau dasbor, pengguna harus memiliki akses ke data tersebut. Tanpa akses data yang diperlukan:
- Meskipun pengguna dapat melihat Tampilan yang tercantum dalam folder dan dapat membuka Tampilan, kueri Tampilan tidak dijalankan dan pengguna tidak dapat melihat data Tampilan.
- Meskipun pengguna dapat melihat dasbor yang tercantum dalam folder dan dapat membuka dasbor, kartu yang tidak dapat diakses oleh pengguna akan ditampilkan sebagai kosong. Jika dasbor memiliki kartu yang dibuat dari beberapa model, pengguna akan dapat melihat kartu yang terkait dengan model yang dapat diakses, dan kartu dari model lain akan menampilkan error.
Misalnya, pengguna yang memiliki akses Lihat untuk folder, akses data untuk data yang mendasari semua Tampilan dalam folder, dan izin access_data dan see_looks dapat melihat daftar semua Tampilan dalam folder dan juga dapat melihat Tampilan tersebut. Jika pengguna ini tidak memiliki akses untuk melihat dasbor LookML atau yang ditentukan pengguna, pengguna tidak akan melihat dasbor apa pun yang mungkin ada di folder.
Melihat folder dan daftar Look serta dasbor
Pengguna memerlukan setidaknya tingkat akses Lihat ke folder untuk melihat folder tersebut dan melihat daftar konten yang disimpan di dalam folder tersebut.
Pengguna yang juga memiliki setidaknya izin see_looks dapat melihat judul Tampilan di folder. Pengguna yang juga memiliki setidaknya izin see_user_dashboards dapat melihat judul dasbor di folder. Namun, hal ini tidak berarti bahwa mereka dapat melihat data Tampilan atau dasbor.
Misalnya, pengguna yang memiliki izin see_looks tetapi tidak memiliki izin access_data dapat melihat judul Tampilan, tetapi tidak dapat melihat data Tampilan.
Pengguna yang memiliki izin access_data, tetapi tidak memiliki see_looks atau see_user_dashboards tidak dapat melihat folder atau konten apa pun.
Mengubah folder
Pengguna harus memiliki tingkat akses Kelola Akses, Edit untuk folder agar dapat mengatur folder tersebut, termasuk menyalin dan memindahkan konten, mengganti nama dan memindahkan folder, serta tindakan serupa. Pengguna juga harus memiliki izin manage_spaces untuk membuat, mengedit, memindahkan, dan menghapus folder.
Menggunakan infrastruktur izin pengguna (LDAP, SAML, dan OpenID Connect)
Jika sudah memiliki penyiapan infrastruktur LDAP, SAML, atau OpenID, Anda dapat menggunakan sistem tersebut untuk mengelola login pengguna. Petunjuk untuk menyiapkan LDAP dapat ditemukan di halaman Autentikasi LDAP. Petunjuk untuk menyiapkan SAML dapat ditemukan di halaman dokumentasi Autentikasi SAML. Petunjuk untuk menyiapkan OpenID Connect dapat ditemukan di halaman dokumentasi Autentikasi OpenID Connect.
Jika telah mengonfigurasi grup dalam penerapan LDAP, SAML, atau OpenID Connect, Anda juga dapat menggunakan grup tersebut dalam Looker. Namun, ada beberapa hal yang harus diingat:
- Setiap grup yang Anda buat akan otomatis ditransfer ke Looker, dan akan terlihat di halaman Grup. Satu grup Looker akan dibuat untuk setiap grup LDAP, SAML, atau OpenID Connect, dan nama grup Looker akan mencerminkan nama grup LDAP, SAML, atau OpenID Connect.
- Anda dapat menggunakan grup Looker ini untuk menetapkan tingkat akses untuk folder dan atribut pengguna kepada anggota grup.
- Anda tidak akan dapat menggunakan grup Looker untuk mengonfigurasi peran seperti yang Anda lakukan dengan grup yang dibuat secara manual. Sebagai gantinya, Anda akan memetakan grup LDAP, SAML, atau OpenID Connect ke peran Looker selama proses penyiapan, dan hanya dapat mengubah peran yang ditetapkan dari halaman penyiapan LDAP, SAML, atau OpenID Connect. Kami mewajibkan pendekatan ini agar grup LDAP, SAML, atau OpenID Connect Anda tetap menjadi satu sumber tepercaya. Tanpa batasan ini, pemetaan grup ke peran dapat menyimpang dari fungsi yang dimaksudkan dalam skema LDAP, SAML, atau OpenID Connect Anda.
Anda juga dapat menggunakan LDAP untuk menerapkan koneksi database khusus pengguna ke kueri Looker, seperti yang dijelaskan di halaman dokumentasi Autentikasi LDAP.