Praktik terbaik ini mencerminkan rekomendasi yang disampaikan oleh tim lintas fungsi Looker yang berpengalaman. Insight ini berasal dari pengalaman bertahun-tahun dalam bekerja sama dengan pelanggan Looker, mulai dari penerapan hingga kesuksesan jangka panjang. Praktik ini ditulis agar efektif untuk sebagian besar pengguna dan situasi, tetapi Anda harus menggunakan penilaian terbaik saat menerapkannya.
Keamanan database
Amankan database Anda dengan membatasi Looker ke akses minimum yang diperlukan:
- Konfigurasikan akses aman antara aplikasi Looker dan database Anda. Dokumentasi Looker memberikan beberapa rekomendasi, termasuk menambahkan IP Looker ke daftar yang diizinkan, mengenkripsi transmisi SSL, dan menghubungkan ke database melalui tunnel SSH.
- Siapkan izin akun database yang paling terkunci untuk Looker yang akan tetap memungkinkan aplikasi melakukan semua fungsi yang diperlukan. Lihat halaman dokumentasi Petunjuk konfigurasi database untuk persyaratan penyiapan spesifik per database.
Keamanan produk
Batasi akses pengguna ke Looker ke fungsi minimum dan akses data yang diperlukan setiap pengguna:
- Siapkan autentikasi pengguna, baik menggunakan opsi nama pengguna/sandi native dari Looker atau, sebaiknya, menggunakan mekanisme autentikasi yang lebih kuat seperti 2FA, LDAP, Google OAuth, atau SAML. Metode ini saling eksklusif dan bervariasi pada tingkat keamanan. Google Oauth, misalnya, mengizinkan siapa saja di domain email Anda untuk login ke Looker.
- Jangan pernah memposting kredensial API secara publik. Kredensial API harus disimpan sebagai variabel lingkungan jika memungkinkan, dan tidak boleh dibagikan melalui email atau dukungan chat.
- Audit secara rutin setiap link akses publik yang dibuat pengguna Anda, dan batasi izin untuk membuatnya sesuai kebutuhan. Jelajahi Aktivitas Sistem berikut dapat melacak Tampilan publik:
https://<instance_name.looker.com>/explore/system__activity/look?fields=look.id,look.title,look.public,user.name&f[look.public]=Yes&limit=500&query_timezone=America%2FLos_Angeles&vis=%7B%22type%22%3A%22table%22%7D&filter_config=%7B%22look.public%22%3A%5B%7B%22type%22%3A%22is%22%2C%22values%22%3A%5B%7B%22constant%22%3A%22Yes%22%7D%2C%7B%7D%5D%2C%22id%22%3A0%2C%22error%22%3Afalse%7D%5D%7D&dynamic_fields=%5B%5D&origin=share-expanded
- Siapkan izin pengguna dan akses konten yang paling ketat yang masih memungkinkan pengguna untuk melakukan pekerjaan mereka, dengan memberikan perhatian khusus kepada siapa yang memiliki hak istimewa admin. Untuk penjelasan yang lebih menyeluruh tentang fitur ini, lihat artikel Mengamankan folder Anda! Halaman Panduan akses konten Praktik Terbaik.
- Gunakan parameter
access_filter, bersama dengan atribut pengguna, untuk menerapkan keamanan data tingkat baris menurut pengguna atau grup pengguna. - Manfaatkan
access_grants, bersama dengan atribut pengguna, untuk mengontrol akses ke struktur LookML seperti Explore, join, tampilan, dan kolom berdasarkan pengguna atau grup. - Gunakan set model untuk menerapkan keamanan set data dalam model Looker. Pengguna tidak akan dapat melihat konten apa pun di luar kumpulan model yang ditetapkan.
- Jika memungkinkan, hindari menetapkan pengguna ke peran satu per satu. Pengguna yang diberi peran individual dan peran berdasarkan keanggotaan grup, mewarisi semua peran dari tugas individual dan tugas grup. Hal ini dapat menyebabkan pengguna mengakumulasi izin yang melebihi yang seharusnya mereka miliki. Praktik terbaiknya adalah menetapkan peran hanya berdasarkan keanggotaan grup jika memungkinkan.
- Sebagian besar pengguna harus menjadi Viewers di folder Bersama (kecuali dalam penyiapan sistem tertutup). Hal ini memastikan bahwa pengguna dapat melihat konten di Folder bersama dan subfolder yang aksesnya mereka miliki. Memberikan izin Kelola Akses dan izin Edit kepada pengguna di folder Bersama berarti pengguna akan tetap memiliki hak tersebut di dalam setiap dan semua subfolder. Membuat perubahan di bagian bawah hierarki terlebih dahulu dapat membantu, dan kemudian mencabut akses di tingkat yang lebih tinggi. Hal ini dibahas secara lebih mendetail di bawah.
Keamanan konten
Terapkan jenis sistem Looker yang sesuai berdasarkan kontrol akses yang perlu Anda dukung:
- Terbuka sepenuhnya: Tidak ada batasan untuk siapa yang dapat melihat dan mengedit item dalam sistem. Grup Semua Pengguna harus ditetapkan untuk Kelola Akses, Edit dalam folder root (disebut Dibagikan). Informasi selengkapnya tentang mengaktifkan sistem akses yang sepenuhnya terbuka dapat ditemukan di halaman dokumentasi Mengonfigurasi sistem yang sepenuhnya terbuka.
- Terbuka dengan batasan konten: Konten perlu dikunci dengan cara tertentu, hanya agar orang tertentu saja yang dapat mengedit konten tertentu, atau konten tertentu sama sekali tidak terlihat oleh orang tertentu. Jika memungkinkan, rencanakan hierarki yang lebih datar karena hal ini lebih mudah dikelola daripada folder bertingkat yang banyak. Untuk detail selengkapnya tentang menyiapkan sistem terbuka dengan batasan konten, lihat halaman dokumentasi Mengonfigurasi sistem terbuka dengan batasan.
- Sistem tertutup: Sistem ini sepenuhnya memisahkan konten di seluruh grup, sehingga mencegah pengguna dari grup yang berbeda mengetahui tentang grup lainnya. Sistem tertutup paling cocok untuk penginstalan Looker multi-tenant. Sebelum memilih opsi ini, pastikan untuk membaca diskusi tentang mengonfigurasi sistem tertutup di halaman dokumentasi Mendesain dan mengonfigurasi sistem tingkat akses. Setelah sistem tertutup diaktifkan, akses pengelolaan folder akan sulit diubah. Halaman dokumentasi ini memberikan informasi selengkapnya tentang cara mengaktifkan penyiapan untuk instance Looker.
Lihat dokumentasi kami untuk informasi selengkapnya tentang Pengelolaan izin dan kontrol akses Looker atau artikel Mendesain dan mengonfigurasi sistem tingkat akses.