Queste best practice riflettono i consigli condivisi da un team interfunzionale di esperti Looker. Questi approfondimenti provengono da anni di esperienza con i clienti di Looker, dall'implementazione al successo a lungo termine. Le best practice sono scritte per essere utilizzate dalla maggior parte degli utenti e in diverse situazioni, ma devi fare la scelta migliore durante l'implementazione.
Sicurezza del database
Proteggi il tuo database limitando l'accesso di Looker al livello minimo necessario:
- Configura l'accesso sicuro tra l'applicazione Looker e il tuo database. La documentazione di Looker fornisce diversi consigli, tra cui l'aggiunta degli IP di Looker alla lista consentita, la crittografia delle trasmissioni SSL e la connessione ai database tramite tunnel SSH.
- Configura le autorizzazioni dell'account database più limitate per Looker che consentano comunque all'applicazione di eseguire tutte le funzioni necessarie. Consulta la pagina della documentazione con le istruzioni per la configurazione del database per i requisiti di configurazione specifici del database.
Sicurezza del prodotto
Limita l'accesso degli utenti a Looker alle funzioni e all'accesso ai dati minimi richiesti da ciascun utente:
- Configura l'autenticazione utente utilizzando l'opzione nome utente/password nativa di Looker o, preferibilmente, un meccanismo di autenticazione più solido come 2FA, LDAP, Google OAuth o SAML. Questi metodi sono mutuamente esclusivi e variano in termini di livello di sicurezza. Google OAuth, ad esempio, consente a chiunque si trovi nel tuo dominio email di accedere a Looker.
- Non pubblicare mai le credenziali API. Le credenziali API devono essere memorizzate come variabili di ambiente, se possibile, e non devono mai essere condivise via email o tramite l'assistenza in chat.
- Controlla regolarmente i link con accesso pubblico creati dagli utenti e, se necessario, limita l'autorizzazione per crearli. La seguente esplorazione Attività del sistema può monitorare i look pubblici:
https://<instance_name.looker.com>/explore/system__activity/look?fields=look.id,look.title,look.public,user.name&f[look.public]=Yes&limit=500&query_timezone=America%2FLos_Angeles&vis=%7B%22type%22%3A%22table%22%7D&filter_config=%7B%22look.public%22%3A%5B%7B%22type%22%3A%22is%22%2C%22values%22%3A%5B%7B%22constant%22%3A%22Yes%22%7D%2C%7B%7D%5D%2C%22id%22%3A0%2C%22error%22%3Afalse%7D%5D%7D&dynamic_fields=%5B%5D&origin=share-expanded
- Configura le autorizzazioni utente e l'accesso ai contenuti più restrittivi che consentano comunque agli utenti di svolgere il proprio lavoro, prestando particolare attenzione a chi dispone dei privilegi amministrativi. Per una spiegazione più dettagliata di queste funzionalità, consulta l'articolo Proteggere le cartelle. Una pagina Best practice con la procedura dettagliata per l'accesso ai contenuti.
- Utilizza il parametro
access_filter, in combinazione con gli attributi utente, per applicare la sicurezza dei dati a livello di riga in base all'utente o al gruppo di utenti. - Utilizza
access_grants, in combinazione con gli attributi utente, per controllare l'accesso alle strutture LookML come esplorazioni, join, visualizzazioni e campi in base all'utente o al gruppo. - Utilizza i set di modelli per applicare la sicurezza dei set di dati all'interno del modello Looker. Gli utenti non potranno vedere contenuti al di fuori dell'insieme di modelli assegnato.
- Evita di assegnare gli utenti ai ruoli singolarmente, se possibile. Gli utenti a cui vengono assegnati sia ruoli individuali sia ruoli in base all'appartenenza al gruppo ereditano tutti i ruoli sia dalle assegnazioni individuali sia da quelle di gruppo. Ciò può comportare l'accumulo di autorizzazioni da parte degli utenti oltre a quelle che dovrebbero avere. La best practice consiste nell'assegnare i ruoli in base solo all'appartenenza al gruppo, se possibile.
- La maggior parte degli utenti deve essere Visualizzatore della cartella Condivisa (tranne nelle configurazioni di sistemi chiusi). In questo modo, gli utenti potranno visualizzare i contenuti delle cartelle condivise e di eventuali sottocartelle a cui hanno accesso. Se fornisci agli utenti l'autorizzazione Manage Access, Edit (Gestione accesso, Modifica) per la cartella Condivisa, questi manterranno questi diritti anche in tutte le sottocartelle. Può essere utile apportare prima le modifiche più in basso nell'albero e poi revocare l'accesso più in alto.
Sicurezza dei contenuti
Implementa il tipo di sistema Looker appropriato in base ai controlli di accesso che devi supportare:
- Completamente aperto: non ci sono limiti per chi può visualizzare e modificare gli elementi all'interno del sistema. Al gruppo All Users (Tutti gli utenti) deve essere assegnato l'accesso Manage Access, Edit (Gestione accesso, Modifica) all'interno della cartella principale (chiamata Condivisa). Puoi trovare ulteriori informazioni sull'abilitazione di un sistema di accesso completamente aperto nella pagina della documentazione Configurazione di un sistema completamente aperto.
- Apri con limitazioni dei contenuti: i contenuti devono essere bloccati in qualche modo, in modo che solo determinate persone possano modificarli o che determinati contenuti siano completamente invisibili a persone specifiche. Se possibile, pianifica una gerarchia più piatta, in quanto è più facile da gestire rispetto alle cartelle nidificate in modo complesso. Per ulteriori dettagli sulla configurazione di un sistema aperto con limitazioni dei contenuti, consulta la pagina della documentazione Configurazione di un sistema aperto con restrizioni.
- Sistema chiuso: questo sistema separa completamente i contenuti tra i gruppi, impedendo agli utenti di gruppi diversi di conoscere anche gli altri. Un sistema chiuso è ideale per le installazioni di Looker multi-tenant. Prima di scegliere questa opzione, assicurati di leggere la discussione sulla configurazione di un sistema chiuso nella pagina della documentazione Progettazione e configurazione di un sistema di livelli di accesso. Una volta attivato un sistema chiuso, è difficile modificare l'accesso alla gestione delle cartelle. Questa pagina della documentazione fornisce ulteriori informazioni sull'abilitazione di una configurazione per un'istanza di Looker.
Consulta la nostra documentazione per ulteriori informazioni sul controllo dell'accesso e sulla gestione delle autorizzazioni di Looker o sulla progettazione e configurazione di un sistema di livelli di accesso.