这些最佳实践反映了由经验丰富的 Looker 组成的跨职能团队分享的建议。这些数据洞见是我们在与 Looker 客户合作多年的过程中积累的，涵盖从实施到长期成功的各个方面。这些做法适用于大多数用户和情况，但您应该运用自己的最佳判断来实施这些做法。
数据库安全
通过将 Looker 限制为具有所需的最低访问权限，保护您的数据库：
- 配置 Looker 应用与数据库之间的安全访问。Looker 文档提供了几项建议，包括将 Looker IP 添加到许可名单、加密 SSL 传输，以及通过 SSH 隧道连接到数据库。
- 为 Looker 设置最严格的数据库账号权限，但仍允许该应用执行所有所需的功能。如需了解特定于数据库的设置要求，请参阅数据库配置说明文档页面。
产品安全
将用户对 Looker 的访问权限限制为每个用户所需的最少功能和数据访问权限：
- 设置用户身份验证，使用 Looker 的原生用户名/密码选项，或者最好使用更强大的身份验证机制，如 2FA、LDAP、 Google OAuth 或 SAML。这些方法是互斥的，安全级别各不相同。例如，Google OAuth 允许您的电子邮件网域中的任何人登录 Looker。
- 切勿公开发布 API 凭据。API 凭据应尽可能存储为环境变量，且绝不应通过电子邮件或聊天支持服务分享。
- 定期审核用户创建的所有公开访问权限链接，并根据需要限制创建这些链接的权限。以下系统活动“探索”功能可以跟踪公开的 Look：
https://<instance_name.looker.com>/explore/system__activity/look?fields=look.id,look.title,look.public,user.name&f[look.public]=Yes&limit=500&query_timezone=America%2FLos_Angeles&vis=%7B%22type%22%3A%22table%22%7D&filter_config=%7B%22look.public%22%3A%5B%7B%22type%22%3A%22is%22%2C%22values%22%3A%5B%7B%22constant%22%3A%22Yes%22%7D%2C%7B%7D%5D%2C%22id%22%3A0%2C%22error%22%3Afalse%7D%5D%7D&dynamic_fields=%5B%5D&origin=share-expanded
- 设置最严格的用户权限和内容访问权限，同时确保用户仍能执行其工作，并特别注意哪些人拥有管理员权限。有关这些功能的更全面的说明，请参阅保护文件夹！内容访问演示最佳实践页面。
- 将
access_filter参数与用户属性结合使用，按用户或用户群组应用行级数据安全性。 - 您可以将
access_grants与用户属性结合使用，按用户或群组控制对 LookML 结构（例如探索、联接、视图和字段）的访问权限。 - 使用模型集在 Looker 模型中应用数据集安全设置。用户将无法看到所分配的模型集之外的任何内容。
- 尽可能避免将用户逐个分配给角色。如果用户同时获得了个人角色和基于群组成员资格分配的角色，则会继承个人角色和群组分配的所有角色。这可能会导致用户积累的权限超出应有的权限。最佳实践是尽可能仅根据群组成员资格分配角色。
- 大多数用户都应是共享文件夹的查看者（在封闭系统设置中除外）。这样可以确保用户能够查看共享文件夹和他们有权访问的任何子文件夹中的内容。向用户授予“共享”文件夹的“管理访问权限”“修改”权限，意味着他们还将保留对所有子文件夹的这些权限。建议先在树的下层进行更改，然后再撤消上层的访问权限。
内容安全性
根据您需要支持的访问权限控制实现适当类型的 Looker 系统：
- 完全开放：对于哪些人可以在系统中查看和修改项目，没有限制。应将“所有用户”群组分配给根文件夹（称为共享）中的“管理访问权限”>“修改”。如需详细了解如何启用完全开放的访问权限系统，请参阅配置完全开放的系统文档页面。
- 开放但有内容限制：内容需要以某种方式锁定，以便只有特定人员可以编辑某些内容，或者特定人员完全看不到特定内容。尽可能规划为扁平的层次结构，因为这比深层嵌套的文件夹更易于管理。如需详细了解如何设置具有内容限制的开放系统，请参阅配置具有限制的开放系统文档页面。
- 封闭系统：这种系统会完全隔离各个群组的内容，使不同群组的用户甚至都不知道其他群组的存在。封闭系统最适合多租户 Looker 安装。在采用此选项之前，请务必阅读设计和配置访问权限级别系统文档页面上关于配置封闭系统的讨论。一旦启用封闭系统，就很难更改文件夹的管理权限。本文档页面详细介绍了如何为 Looker 实例启用设置。
如需详细了解 Looker 访问权限控制和权限管理或如何设计和配置访问权限级别系统，请参阅我们的文档。