Controllo dell'accesso di Looker (Google Cloud core) con IAM

Looker (Google Cloud core) utilizza Identity and Access Management (IAM) per eseguire il provisioning dell'accesso utente e amministratore tramite un insieme di ruoli IAM. Per una descrizione dettagliata di Google Cloud IAM, consulta la documentazione IAM.

Che cos'è Identity and Access Management (IAM)

IAM consente di controllare chi può accedere alle risorse nel tuo progetto Google Cloud. IAM ti consente di adottare il principio di sicurezza del privilegio minimo, in modo da concedere solo l'accesso necessario alle tue risorse.

Le entità sono "chi" di IAM. Le entità possono essere singoli utenti, gruppi o domini Workspace. Alle entità vengono assegnati ruoli, che offrono loro la possibilità di eseguire azioni con Looker (Google Cloud core) e con Google Cloud più in generale. Ogni ruolo è un insieme di una o più autorizzazioni. Le autorizzazioni sono le unità di base di IAM: ciascuna autorizzazione consente a un'entità di eseguire una determinata azione.

Ad esempio, l'autorizzazione looker.instances.login consente a un'entità di accedere alle istanze di Looker (Google Cloud core). Questa autorizzazione è inclusa in diversi ruoli predefiniti, tra cui il ruolo Amministratore Looker (roles/looker.admin) e il ruolo Utente istanza Looker (roles/looker.instanceUser).

Ruolo richiesto

Per ottenere le autorizzazioni necessarie per assegnare i ruoli IAM di Looker (Google Cloud core), chiedi all'amministratore di concederti il ruolo IAM Amministratore IAM progetto (roles/resourcemanager.projectIamAdmin) per il progetto in cui è stata creata l'istanza. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Potresti anche essere in grado di ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Nota:i ruoli IAM di base potrebbero contenere anche le autorizzazioni per assegnare i ruoli IAM di Looker (Google Cloud core). Non puoi concedere ruoli di base in un ambiente di produzione, ma puoi concederli in un ambiente di sviluppo o di test.

Confronto tra ruoli IAM e ruoli Looker

Due diversi tipi di ruoli concedono le autorizzazioni per Looker (Google Cloud core): ruoli IAM e ruoli Looker.

• Ruoli IAM di Looker (Google Cloud core):questi tipi di ruoli regolano le seguenti abilità:

  • Funzionalità degli utenti all'interno della console Google Cloud in merito a Looker (Google Cloud core)

  Se utilizzati insieme a OAuth, regolano anche le seguenti funzionalità:

  • Possono accedere a un'istanza di Looker (Google Cloud core)
  • Il ruolo Looker predefinito concesso agli utenti dopo l'accesso a un'istanza di Looker (Google Cloud core)

  Per informazioni su come concedere i ruoli IAM, consulta la documentazione IAM.

• Ruoli Looker:questi tipi di ruoli regolano ciò che gli utenti possono fare dopo aver eseguito l'accesso a un'istanza di Looker (Google Cloud core). Consulta le pagine della documentazione Ruoli e Gruppi per informazioni su come concedere i ruoli di Looker.

Quando i ruoli di Looker vengono assegnati all'interno di un'istanza di Looker (Google Cloud core), sostituiscono i ruoli di Looker predefiniti concessi da IAM.

Ruoli IAM di Looker (Google Cloud core)

Nota: per saperne di più sui ruoli, consulta l'articolo Riferimento ai ruoli di base e predefiniti.

Sono disponibili tre ruoli predefiniti per gli utenti di Looker (Google Cloud core). Questi ruoli vengono concessi a livello di progetto Google Cloud e controlleranno l'accesso in modo uniforme per tutte le istanze Looker (Google Cloud core) all'interno di un progetto Google Cloud.

Nome ruolo	Autorizzazioni
Visualizzatore Looker (roles/looker.viewer) Accesso in sola lettura a tutte le risorse Looker (Google Cloud core).	looker.backups.get looker.backups.list looker.instances.get looker.instances.list looker.instances.login looker.locations.get looker.locations.list looker.operations.get looker.operations.list resourcemanager.projects.get resourcemanager.projects.list
Utente istanza Looker roles/looker.instanceUser Accesso a un'istanza di Looker (Google Cloud core).	looker.instances.get looker.instances.login resourcemanager.projects.get resourcemanager.projects.list
Amministratore Looker roles/looker.admin Accesso completo a tutte le risorse Looker (Google Cloud core).	looker.backups.create looker.backups.delete looker.backups.get looker.backups.list looker.instances.create looker.instances.delete looker.instances.export looker.instances.get looker.instances.import looker.instances.list looker.instances.login looker.instances.update looker.locations.get looker.locations.list looker.operations.cancel looker.operations.delete looker.operations.get looker.operations.list resourcemanager.projects.get resourcemanager.projects.list

Almeno un'entità deve avere il ruolo IAM Amministratore Looker (roles/looker.admin).

Se i ruoli predefiniti non forniscono il set di autorizzazioni che ti interessa, puoi anche creare i tuoi ruoli personalizzati.

Avviso: il ruolo IAM dell'agente di servizio Looker è destinato esclusivamente all'account di servizio Looker e viene assegnato automaticamente all'account di servizio quando l'API Looker è abilitata. Non concedere i ruoli di agente di servizio a nessuna entità, ad eccezione degli agenti di servizio. Scegli invece un ruolo predefinito diverso o crea un ruolo personalizzato con le autorizzazioni necessarie.

Passaggi successivi

• Utilizzare Google OAuth per l'autenticazione degli utenti di Looker (Google Cloud core)
• Gestire gli utenti in Looker (Google Cloud core)
• Configura un'istanza di Looker (Google Cloud core)
• Impostazioni di amministrazione di Looker (Google Cloud core)
• Gestire un'istanza di Looker (Google Cloud core) dalla console Google Cloud