这些最佳实践体现了由经验丰富的 Looker 跨职能团队分享的建议。这些洞见源自我们与 Looker 客户合作的多年经验，从实施到长期成功，这些经验总结得出。我们编写的最佳实践适用于大多数用户和情况，但实施时应运用自己的最佳判断。
数据库安全
通过限制 Looker 所需的最低访问权限来保护数据库：
- 在 Looker 应用和数据库之间配置安全访问权限。Looker 文档提供了几项建议，包括将 Looker IP 添加到许可名单、加密 SSL 传输，以及通过 SSH 隧道连接到数据库。
- 为 Looker 设置锁定的数据库账号权限，以便应用执行所有需要的功能。如需了解特定于数据库的设置要求，请参阅数据库配置说明文档页面。
产品安全性
将用户对 Looker 的访问权限限制在每位用户至少需要的功能和数据访问权限：
- 设置用户身份验证：使用 Looker 的原生用户名/密码选项，或者最好使用更强大的身份验证机制，例如 2FA、LDAP、Google OAuth 或 SAML。这些方法相互排斥，并且安全级别各不相同。例如，Google OAuth 允许您的电子邮件网域中的任何人登录 Looker。
- 切勿公开发布 API 凭据。API 凭据应尽可能存储为环境变量，并且绝不应通过电子邮件或聊天支持共享。
- 定期审核您的用户创建的任何公开访问权限链接，并根据需要限制创建这些链接的权限。以下系统活动探索可以跟踪公开 Look：
https://<instance_name.looker.com>/explore/system__activity/look?fields=look.id,look.title,look.public,user.name&f[look.public]=Yes&limit=500&query_timezone=America%2FLos_Angeles&vis=%7B%22type%22%3A%22table%22%7D&filter_config=%7B%22look.public%22%3A%5B%7B%22type%22%3A%22is%22%2C%22values%22%3A%5B%7B%22constant%22%3A%22Yes%22%7D%2C%7B%7D%5D%2C%22id%22%3A0%2C%22error%22%3Afalse%7D%5D%7D&dynamic_fields=%5B%5D&origin=share-expanded
- 设置限制性最强的用户权限和内容访问权限，确保用户依然能够完成工作，同时特别注意谁拥有管理员权限。有关这些功能的更全面说明，请参阅保护您的文件夹！内容访问权限演示“最佳实践”页面。
- 将
access_filter参数与用户属性结合使用，可按用户或用户组应用行级数据安全。 - 将
access_grants与用户属性结合使用，按用户或群组控制对 LookML 结构（例如探索、联接、视图和字段）的访问权限。 - 使用模型集，在 Looker 模型中应用数据集安全性。用户将无法看到所分配模型集以外的任何内容。
- 尽可能避免为用户单独分配角色。根据群组成员资格同时被授予个人角色和角色的用户会继承个人和群组分配的所有角色。这可能会导致用户累计的权限超出了应有的权限范围。最佳做法是尽可能仅根据组成员资格来分配角色。
- 大多数用户应为共享文件夹的查看者（封闭系统设置中除外）。这样可以确保用户能够查看共享文件夹及其有权访问的任何子文件夹中的内容。为用户提供共享文件夹的“管理访问权限”和“修改”权限，意味着他们将保留所有子文件夹中的这些权限。最好先在树中较低位置进行更改，然后向上撤消访问权限。下文将对此进行详细介绍。
内容安全性
根据您需要支持的访问权限控制，实现适当类型的 Looker 系统：
- 完全开放：对于系统中能够查看和修改项目的人员没有限制。应将“所有用户”群组分配给根文件夹（称为共享）中的“管理访问权限”>“修改”。有关启用完全开放的访问系统的详情，请参阅配置完全开放的系统文档页面。
- 开放但内容限制：内容需要以某种方式锁定，以便仅允许特定人员编辑特定内容，或让特定人员完全看不到某些内容。尽可能规划一个扁平的层次结构，因为这种层次结构比深层嵌套的文件夹更易于管理。如需详细了解如何设置具有内容限制的开放系统，请参阅配置具有限制的开放系统文档页面。
- 封闭式系统：系统会将各个内容组的内容完全分开，防止不同群组的用户知道其他群组。封闭式系统最适合安装多租户 Looker。 在采用此方法之前，请务必阅读设计和配置访问权限级别系统文档页面上有关配置封闭式系统的讨论。启用封闭式系统后，就很难更改文件夹的管理权限。本文档页面详细介绍了如何为 Looker 实例启用设置。
如需详细了解 Looker 访问权限控制和权限管理或设计和配置访问权限级别系统，请参阅我们的文档。