這些最佳做法反映了由多個職能團隊的資深 Looker 分享的建議。這些洞察資料是我們與 Looker 客戶合作多年，從導入到長期成功的經驗所得。這些做法適用於大多數使用者和情況，但在導入時，請務必根據自身情況做出最佳判斷。
資料庫安全性
限制 Looker 的最低存取權，確保資料庫安全：
- 設定 Looker 應用程式與資料庫之間的安全存取權。Looker 說明文件提供多項建議，包括將 Looker IP 新增至許可清單、加密 SSL 傳輸，以及透過 SSH 通道連線至資料庫。
- 為 Looker 設定最嚴格的資料庫帳戶權限，讓應用程式仍可執行所有必要的功能。如要瞭解資料庫的具體設定需求，請參閱「資料庫設定操作說明」說明文件。
產品安全性
限制使用者對 Looker 的存取權，僅限於每位使用者所需的最低功能和資料存取權：
- 設定使用者驗證機制，可使用 Looker 原生使用者名稱/密碼選項，或採用更強大的驗證機制，例如 2FA、LDAP、Google OAuth 或 SAML。這些方法會互相排斥，安全性層級也不同。舉例來說，Google Oauth 可讓您電子郵件網域中的任何使用者登入 Looker。
- 切勿公開發布 API 憑證。請盡可能將 API 憑證儲存為環境變數，並切勿透過電子郵件或即時通訊支援服務分享這些憑證。
- 定期稽核使用者建立的任何公開存取連結，並視需要限制建立連結的權限。下列「系統活動」探索功能可追蹤公開的 Look：
https://<instance_name.looker.com>/explore/system__activity/look?fields=look.id,look.title,look.public,user.name&f[look.public]=Yes&limit=500&query_timezone=America%2FLos_Angeles&vis=%7B%22type%22%3A%22table%22%7D&filter_config=%7B%22look.public%22%3A%5B%7B%22type%22%3A%22is%22%2C%22values%22%3A%5B%7B%22constant%22%3A%22Yes%22%7D%2C%7B%7D%5D%2C%22id%22%3A0%2C%22error%22%3Afalse%7D%5D%7D&dynamic_fields=%5B%5D&origin=share-expanded
- 請設定最嚴格的使用者權限和內容存取權，讓使用者仍可執行工作，並特別留意誰擁有管理員權限。如要進一步瞭解這些功能，請參閱「保護資料夾！內容存取操作說明最佳做法頁面。
- 請使用
access_filter參數搭配使用者屬性，依使用者或使用者群組套用資料列層級安全性。 - 搭配使用
access_grants和使用者屬性，控管使用者或群組對 LookML 結構體 (例如探索、彙整、檢視畫面和欄位) 的存取權。 - 使用模型集，在 Looker 模型中套用資料集安全性。使用者無法查看所指派模型集以外的任何內容。
- 盡可能避免將使用者個別指派給角色。同時擁有個人角色和群組成員角色的使用者，會繼承個人和群組指派的所有角色。這可能導致使用者累積的權限超出應有的範圍。最佳做法是盡可能只根據群組成員資格指派角色。
- 大多數使用者應為共用資料夾的觀看者 (封閉系統設定除外)。這樣一來，使用者就能查看共用資料夾和任何可存取的子資料夾中的內容。使用者在共用資料夾中具備「管理存取權」和「編輯」權限，表示他們在任何子資料夾中也保有這些權限。建議您先在樹狀結構較低層級進行變更，然後再撤銷較高層級的存取權。
內容安全性
根據您需要支援的存取權控管，實作適當類型的 Looker 系統：
- 完全開放：系統內的項目可供任何人查看及編輯，不受限制。請將「所有使用者」群組指派給「管理存取權」和「編輯」權限 (稱為「共用」)。如要進一步瞭解如何啟用完全開放存取系統，請參閱「設定完全開放系統」說明文件頁面。
- 開放，但設有內容限制：內容必須以某種方式鎖定，才能讓特定使用者編輯特定內容，或是讓特定使用者完全看不到某些內容。盡可能規劃更扁平的階層，因為這比深層巢狀資料夾更容易管理。如要進一步瞭解如何設定含有內容限制的開放式系統，請參閱「設定含有限制的開放式系統」說明文件。
- 封閉式系統：這類系統會完全區隔不同群組的內容，避免不同群組的使用者得知彼此的存在。封閉式系統最適合多租戶 Looker 安裝作業。 採用這個選項前，請務必先參閱「設計及設定存取層級系統」說明文件頁面中，有關設定封閉式系統的討論。一旦啟用封閉式系統，就很難變更資料夾管理存取權。本說明文件頁面提供更多資訊，說明如何為 Looker 執行個體啟用設定。
請參閱我們的說明文件，進一步瞭解 Looker 存取權控管和權限管理，或設計及設定存取權層級系統。