Estas prácticas recomendadas reflejan las recomendaciones que comparte un equipo multifuncional de Lookers experimentados. Estas estadísticas provienen de años de experiencia trabajando con clientes de Looker, desde la implementación hasta el éxito a largo plazo. Las prácticas están escritas para funcionar en la mayoría de los casos y situaciones, pero debes usar tu mejor criterio cuando las implementes.
Seguridad de bases de datos
Para proteger tu base de datos, limita el acceso de Looker al mínimo requerido:
- Configura el acceso seguro entre la aplicación de Looker y tu base de datos. La documentación de Looker proporciona varias recomendaciones, como agregar las IP de Looker a la lista de entidades permitidas, encriptar las transmisiones de SSL y conectarse a bases de datos a través de un túnel SSH.
- Configura los permisos de cuenta de base de datos más restringidos para Looker que aún permitan que la aplicación realice todas las funciones necesarias. Consulta la página de documentación Instrucciones de configuración de la base de datos para conocer los requisitos de configuración específicos de la base de datos.
Seguridad de los productos
Limita el acceso de los usuarios a Looker a las funciones y el acceso a los datos mínimos que cada usuario requiere:
- Configura la autenticación de usuarios, ya sea con la opción de nombre de usuario y contraseña nativa de Looker o, de preferencia, con un mecanismo de autenticación más sólido, como 2FA, LDAP, OAuth de Google o SAML. Estos métodos son mutuamente excluyentes y varían en el nivel de seguridad. Por ejemplo, Google OAuth permite que cualquier persona de tu dominio de correo electrónico acceda a Looker.
- Nunca publiques credenciales de API de forma pública. Las credenciales de API deben almacenarse como variables de entorno siempre que sea posible y nunca deben compartirse por correo electrónico o asistencia por chat.
- Audita periódicamente los vínculos de acceso público que crean tus usuarios y restringe el permiso para crearlos según sea necesario. La siguiente exploración de Actividad del sistema puede hacer un seguimiento de los Looks públicos:
https://<instance_name.looker.com>/explore/system__activity/look?fields=look.id,look.title,look.public,user.name&f[look.public]=Yes&limit=500&query_timezone=America%2FLos_Angeles&vis=%7B%22type%22%3A%22table%22%7D&filter_config=%7B%22look.public%22%3A%5B%7B%22type%22%3A%22is%22%2C%22values%22%3A%5B%7B%22constant%22%3A%22Yes%22%7D%2C%7B%7D%5D%2C%22id%22%3A0%2C%22error%22%3Afalse%7D%5D%7D&dynamic_fields=%5B%5D&origin=share-expanded
- Establece los permisos de usuario y el acceso al contenido más restrictivos que aún permitan a los usuarios realizar su trabajo, prestando especial atención a quién tiene privilegios de administrador. Para obtener una explicación más detallada de estas funciones, consulta Protege tus carpetas. Página de prácticas recomendadas sobre una explicación del acceso al contenido
- Usa el parámetro
access_filter, junto con los atributos del usuario, para aplicar la seguridad de los datos a nivel de la fila por usuario o grupo de usuarios. - Aprovecha
access_grants, junto con los atributos del usuario, para controlar el acceso a las estructuras de LookML, como Exploraciones, combinaciones, vistas y campos por usuario o grupo. - Usa conjuntos de modelos para aplicar la seguridad de los conjuntos de datos dentro del modelo de Looker. Los usuarios no podrán ver ningún contenido fuera del conjunto de modelos asignado.
- Evita asignar usuarios a roles de forma individual siempre que sea posible. Los usuarios a los que se les asignan roles individuales y roles basados en la membresía del grupo heredan todos los roles de las asignaciones individuales y grupales. Esto puede provocar que los usuarios acumulen permisos más allá de lo que deberían tener. La práctica recomendada es asignar roles solo en función de la membresía del grupo siempre que sea posible.
- La mayoría de los usuarios deben ser Usuarios de la carpeta compartida (excepto en configuraciones de sistemas cerrados). Esto garantiza que los usuarios puedan ver el contenido de las carpetas compartidas y las subcarpetas a las que tengan acceso. Si les proporcionas a los usuarios el permiso de edición y administración de acceso en la carpeta compartida, significa que también conservarán esos derechos en todas las subcarpetas. Puede ser útil realizar cambios en la parte inferior del árbol primero y, LUEGO, revocar el acceso en niveles superiores.
Seguridad del contenido
Implementa el tipo de sistema de Looker adecuado según los controles de acceso que necesites admitir:
- Completamente abierto: No hay límites para quienes pueden ver y editar elementos dentro del sistema. El grupo Todos los usuarios debe tener asignado el permiso de edición en Administrar acceso en la carpeta raíz (llamada Compartida). Puedes encontrar más información para habilitar un sistema de acceso completamente abierto en la página de documentación Configura un sistema completamente abierto.
- Abrir con restricciones de contenido: El contenido debe estar bloqueado de alguna manera, ya sea para que solo ciertas personas puedan editarlo o para que sea completamente invisible para algunas personas en particular. Cuando sea posible, planifica una jerarquía más plana, ya que es más fácil de administrar que las carpetas anidadas en varios niveles. Para obtener más detalles sobre cómo configurar un sistema abierto con restricciones de contenido, consulta la página de documentación Configura un sistema abierto con restricciones.
- Sistema cerrado: Este sistema separa completamente el contenido entre los grupos, lo que impide que los usuarios de diferentes grupos sepan siquiera de la existencia de los demás. Un sistema cerrado es mejor para las instalaciones de Looker multiusuario. Antes de elegir esta opción, asegúrate de leer el análisis sobre la configuración de un sistema cerrado en la página de documentación Cómo diseñar y configurar un sistema de niveles de acceso. Una vez que se habilita un sistema cerrado, es difícil cambiar el acceso a la administración de carpetas. En esta página de la documentación, se proporciona más información para habilitar una configuración para una instancia de Looker.
Consulta nuestra documentación para obtener más información sobre el control de acceso y la administración de permisos de Looker o sobre cómo diseñar y configurar un sistema de niveles de acceso.