Control de acceso a Looker (Google Cloud Core) con IAM

Looker (Google Cloud Core) usa Identity and Access Management (IAM) para aprovisionar el acceso de usuarios y administradores a través de un conjunto de roles de IAM. Para ver una descripción detallada de Google Cloud IAM, consulta la documentación de IAM.

¿Qué es Identity and Access Management (IAM)?

IAM te permite controlar quién tiene acceso a los recursos de tu proyecto de Google Cloud. IAM te permite adoptar el principio de seguridad de menor privilegio, de manera que solo otorgues el acceso necesario a tus recursos.

Las principales son “quienes” están en IAM. Las principales pueden ser usuarios individuales, grupos o dominios de Workspace. A las principales se les otorgan roles, que les permiten realizar acciones con Looker (Google Cloud Core) y Google Cloud de manera más general. Cada rol es una colección de uno o más permisos. Los permisos son las unidades básicas de IAM: cada permiso autoriza a una principal a realizar una acción determinada.

Por ejemplo, el permiso looker.instances.login permite que una principal acceda a instancias de Looker (Google Cloud Core). Este permiso se incluye en varios roles predefinidos, incluido el rol de administrador de Looker (roles/looker.admin) y el rol de usuario de la instancia de Looker (roles/looker.instanceUser).

Función requerida

Si quieres obtener los permisos que necesitas para asignar roles de IAM de Looker (Google Cloud Core), pídele a tu administrador que te otorgue el Administrador de IAM del proyecto (roles/resourcemanager.projectIamAdmin) en el proyecto en el que se creó la instancia. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso.

Es posible que también puedas obtener los permisos necesarios a través de los roles personalizados o de otros roles predefinidos.

Nota: Los roles básicos de IAM también pueden contener permisos para asignar roles de IAM de Looker (Google Cloud Core). No deberías otorgar roles básicos en un entorno de producción, pero puedes otorgarlos en un entorno de desarrollo o de prueba.

Comparación entre los roles de IAM y los de Looker

Dos tipos diferentes de roles otorgan permisos para Looker (Google Cloud Core): los roles de IAM y los de Looker.

• Roles de IAM de Looker (Google Cloud Core): Estos tipos de roles se aplican a las siguientes habilidades:

  • Capacidades de los usuarios en la consola de Google Cloud en relación con Looker (Google Cloud Core)

  Cuando se usan junto con OAuth, también rigen las siguientes capacidades:

  • Capacidad de los usuarios para acceder a una instancia de Looker (Google Cloud Core)
  • El rol predeterminado de Looker que se otorga a los usuarios una vez que acceden a una instancia de Looker (Google Cloud Core)

  Consulta la documentación de IAM para obtener información sobre cómo otorgar roles de IAM.

• Roles de Looker: Estos tipos de roles determinan lo que los usuarios pueden hacer una vez que acceden a una instancia de Looker (Google Cloud Core). Consulta las páginas de documentación de Roles y Grupos para obtener información sobre cómo otorgar roles de Looker.

Cuando los roles de Looker se asignan dentro de una instancia de Looker (Google Cloud Core), anulan los roles predeterminados de Looker que otorga IAM.

Roles de IAM de Looker (Google Cloud Core)

Nota: Para obtener más información sobre los roles, consulta la referencia sobre los roles básicos y predefinidos.

Hay tres roles predefinidos disponibles para los usuarios de Looker (Google Cloud Core). Estos roles se otorgan a nivel de proyecto de Google Cloud y controlarán el acceso de manera uniforme a todas las instancias de Looker (Google Cloud Core) dentro de un proyecto de Google Cloud.

Nombre del rol	Permisos
Visualizador de Looker (roles/looker.viewer) Acceso de solo lectura a todos los recursos de Looker (Google Cloud Core).	looker.backups.get looker.backups.list looker.instances.get looker.instances.list looker.instances.login looker.locations.get looker.locations.list looker.operations.get looker.operations.list resourcemanager.projects.get resourcemanager.projects.list
Usuario de instancia de Looker roles/looker.instanceUser Acceso para acceder a una instancia de Looker (Google Cloud Core).	looker.instances.get looker.instances.login resourcemanager.projects.get resourcemanager.projects.list
Administrador de Looker roles/looker.admin Tiene acceso completo a todos los recursos de Looker (Google Cloud Core).	looker.backups.create looker.backups.delete looker.backups.get looker.backups.list looker.instances.create looker.instances.delete looker.instances.export looker.instances.get looker.instances.import looker.instances.list looker.instances.login looker.instances.update looker.locations.get looker.locations.list looker.operations.cancel looker.operations.delete looker.operations.get looker.operations.list resourcemanager.projects.get resourcemanager.projects.list

Al menos una principal debe tener el rol de IAM Administrador de Looker (roles/looker.admin).

Si los roles predefinidos no proporcionan el conjunto de permisos que deseas, también puedes crear tus propios roles personalizados.

Advertencia: El rol de IAM del agente de servicio de Looker está destinado solo a la cuenta de servicio de Looker y se asigna automáticamente a la cuenta de servicio cuando se habilita la API de Looker. No otorgues roles de agente de servicio a ninguna principal, excepto a los agentes de servicio. En su lugar, elige un rol predefinido diferente o crea uno personalizado con los permisos que necesites.

¿Qué sigue?

• Usa Google OAuth para la autenticación de usuarios de Looker (Google Cloud Core)
• Administra usuarios en Looker (Google Cloud Core)
• Configura una instancia de Looker (Google Cloud Core)
• Configuración del administrador de Looker (Google Cloud Core)
• Administra una instancia de Looker (Google Cloud Core) desde la consola de Google Cloud