Configuración del administrador: Roles

Los roles, los conjuntos de permisos y los conjuntos de modelos se usan en conjunto para administrar lo que los usuarios pueden hacer y ver. En la página Roles de la sección Usuarios del panel Administrador, puedes ver, configurar y asignar roles, conjuntos de permisos y conjuntos de modelos.

Puedes buscar roles, conjuntos de permisos y conjuntos de modelos específicos. Para ello, ingresa un término de búsqueda en el cuadro de búsqueda de la esquina superior derecha y presiona Intro.

Definiciones

  • Un rol define los privilegios que un usuario o un grupo tendrán para un conjunto específico de modelos en Looker. Para crear un rol, debes combinar un conjunto de permisos con un conjunto de modelos.
  • Un conjunto de permisos define lo que puede hacer un usuario o un grupo. Selecciona una combinación de permisos que quieras asignar a un usuario o grupo. Debe usarse como parte de un rol para tener algún efecto.
  • Un conjunto de modelos define qué datos y campos de LookML puede ver un usuario o un grupo. Seleccionas una combinación de modelos de LookML a los que un usuario o grupo debería tener acceso. Debe usarse como parte de un rol para tener algún efecto.

Administra roles

Un rol es una combinación de un conjunto de permisos y un conjunto de modelos. Es una convención común nombrar los roles según los tipos de personas o grupos de personas de tu organización (administrador, desarrollador de Looker, equipo de finanzas), aunque también puedes seguir tus propias convenciones de nomenclatura.

Un usuario puede tener más de un rol en Looker. Esto puede ser útil cuando tienes usuarios que desempeñan varios roles en tu empresa o cuando quieres crear sistemas complejos de acceso a tus modelos.

Crear, editar y borrar roles

Para crear un rol, sigue estos pasos:

  1. Haz clic en el botón Rol nuevo en la parte superior de la página Roles.

  2. Looker muestra la página Nuevo rol, en la que puedes configurar los siguientes parámetros:

    • Nombre: Ingresa un nombre para el rol.
    • Conjunto de permisos: Elige un conjunto de permisos para asociarlo con el rol.
    • Conjunto de modelos: Elige un conjunto de modelos para asociar con el rol.
    • Grupos: De manera opcional, elige uno o más grupos a los que asignar el rol.
    • Usuarios: De manera opcional, elige uno o más usuarios a los que asignar el rol.

  3. Una vez que hayas configurado el rol según lo previsto, haz clic en el botón Rol nuevo en la parte inferior de la página.

Después de crear un rol, puedes editarlo haciendo clic en el botón Editar a la derecha del rol en la página Roles. Si haces clic en Editar, se te redireccionará a la página Editar rol de ese rol, en la que podrás editar el nombre, el conjunto de permisos, el conjunto de modelos y los grupos o usuarios a los que se les asignó el rol.

Para borrar un rol, haz clic en el botón Borrar a la derecha del rol en la página Roles.

Funciones predeterminadas

En el caso de las instancias nuevas, Looker crea los siguientes roles predeterminados, cada uno de los cuales incluye un conjunto de permisos predeterminado con el mismo nombre:

Los roles predeterminados de las siguientes secciones tienen condiciones de uso.

Administrador a través de IAM

El rol de administrador a través de IAM solo está disponible en Looker (Google Cloud Core) y solo se puede administrar a través de la consola de Google Cloud . Para obtener más información, consulta la documentación sobre Autenticación y autorización con OAuth y IAM y Rol de administrador de Looker en comparación con el rol de administrador a través de IAM de Looker.

El rol Administrador a través de IAM usa el conjunto de permisos Administrador.

Gemini

El rol de Gemini no se puede cambiar de nombre ni borrar, y solo contiene el permiso gemini_in_looker en su conjunto de permisos. De forma predeterminada, el conjunto de permisos de este rol se aplica a todos los modelos de la instancia de Looker. Para restringir el acceso de los usuarios a las funciones de Gemini en Looker con modelos específicos, quítalos del rol de Gemini y crea un rol nuevo que aplique el permiso de gemini_in_looker en los modelos seleccionados. Asegúrate de quitar a esos usuarios del grupo Gemini Default Users.

El permiso gemini_in_looker disponible en este rol permite a los usuarios realizar las siguientes tareas en la instancia de Looker con la asistencia de Gemini:

  • Escribe LookML: Cuando también tienen un rol de Looker que contiene el permiso develop para al menos un modelo en un proyecto de LookML
  • Crear visualizaciones personalizadas de Looker: Cuando también tienen un rol de Looker que contiene el permiso can_override_vis_config
  • Consultar datos de Explorar de Looker con Análisis conversacional, incluso si al usuario no se le asignaron permisos de explore, cuando también tiene un rol de Looker que contiene el permiso de access_data en el modelo que está consultando

Para obtener más información sobre las funciones de Gemini en Looker, consulta la descripción general de Gemini en Looker.

Admite el editor avanzado y el editor básico

Estas funciones no aparecerán en una instancia de Looker (original) si un administrador de Looker inhabilitó la función de Labs Tiered Support Access. Estos roles no aparecerán en una instancia de Looker (Google Cloud Core) si la instancia usa redes de conexiones privadas (acceso privado a servicios o Private Service Connect) o redes de conexiones híbridas.

Los roles de Editor avanzado de asistencia y Editor básico de asistencia no se pueden editar, borrar ni asignar a usuarios que no sean usuarios con acceso a la asistencia.

Conjuntos de permisos

Un conjunto de permisos define lo que puede hacer un usuario o un grupo. Los administradores pueden usar los conjuntos de permisos predeterminados de Looker o crear conjuntos de permisos originales, teniendo en cuenta las dependencias de los permisos.

Todos los permisos disponibles y sus tipos se analizan con más detalle en la lista de permisos.

Conjuntos de permisos predeterminados

En el caso de las instalaciones nuevas, Looker incluye varios conjuntos de permisos predeterminados con los que puedes comenzar:

Conjunto de permisos Permisos incluidos
Administrador Todos los permisos
Desarrollador access_data, can_create_forecast, clear_cache_refresh, create_custom_fields, create_table_calculations, deploy, develop, download_without_limit, explore, manage_spaces, mobile_app_access, save_content, save_dashboards, save_looks, schedule_look_emails, see_drill_overlay, see_lookml, see_lookml_dashboards, see_looks, see_pdts, see_sql, see_user_dashboards, send_to_integration, use_sql_runner

NOTE: El permiso see_pdts se incluye en el permiso predeterminado Desarrollador solo para las instalaciones de Looker que se crearon con Looker 21.18 o versiones posteriores. Para verificar si el permiso see_pdts está incluido en el conjunto de permisos Desarrollador de tu instancia, ve a la página Roles en el panel Administrador de la IU de Looker.
Gemini gemini_in_looker
Editor avanzado de Ingeniero de Atención al cliente access_data, can_create_forecast, can_override_vis_config, clear_cache_refresh, create_custom_fields, create_table_calculations, deploy, develop, explore, follow_alerts, manage_embed_settings, manage_models, manage_privatelabel, manage_project_connections, manage_project_connections_restricted, manage_project_models, manage_themes, save_content, save_dashboards, save_looks, see_admin, see_alerts, see_datagroups, see_drill_overlay, see_logs, see_lookml, see_lookml_dashboards, see_looks, see_pdts, see_queries, see_schedules, see_sql, see_system_activity, see_user_dashboards, see_users, update_datagroups, use_global_connections

NOTE: El conjunto de permisos del Editor avanzado del ingeniero de atención al cliente solo está disponible cuando se habilita la función de Labs Acceso a la asistencia por niveles. El conjunto de permisos Editor avanzado de ingenieros de clientes no se puede editar ni borrar.
Compatibilidad con el editor avanzado access_data, clear_cache_refresh, create_custom_fields, create_table_calculations, develop, explore, follow_alerts, manage_embed_settings, manage_models, manage_privatelabel, manage_project_connections, manage_project_connections_restricted, manage_project_models, manage_themes, see_admin, see_alerts, see_datagroups, see_drill_overlay, see_logs, see_lookml, see_lookml_dashboards, see_looks, see_pdts, see_queries, see_schedules, see_sql, see_system_activity, see_user_dashboards, see_users, update_datagroups, use_global_connections

NOTE: El conjunto de permisos Support Advanced Editor solo está disponible cuando se habilita la función de Labs Tiered Support Access. El conjunto de permisos Support Advanced Editor no se puede editar ni borrar.
Editor básico de asistencia access_data, clear_cache_refresh, create_custom_fields, create_table_calculations, explore, follow_alerts, manage_privatelabel, manage_themes, see_admin, see_alerts, see_drill_overlay, see_logs, see_lookml, see_lookml_dashboards, see_looks, see_pdts, see_schedules, see_sql, see_datagroups, see_system_activity, see_user_dashboards, see_users

NOTE: El conjunto de permisos Support Basic Editor solo está disponible cuando se habilita la función de Labs Tiered Support Access. El conjunto de permisos Support Basic Editor no se puede editar ni borrar.
Usuario del panel de LookML access_data, clear_cache_refresh, mobile_app_access, see_lookml_dashboards, send_to_integration
Usuario access_data, can_create_forecast, clear_cache_refresh, create_custom_fields, create_table_calculations, download_without_limit, explore, manage_spaces, mobile_app_access, save_content, save_dashboards, save_looks, schedule_look_emails, see_drill_overlay, see_lookml, see_lookml_dashboards, see_looks, see_sql, see_user_dashboards, send_to_integration
Usuario que no puede ver LookML access_data, can_create_forecast, clear_cache_refresh, create_custom_fields, create_table_calculations, download_without_limit, explore, manage_spaces, mobile_app_access, save_content, save_dashboards, save_looks, schedule_look_emails, see_lookml_dashboards, see_looks, see_user_dashboards, send_to_integration
Visualizador access_data, clear_cache_refresh, download_without_limit, mobile_app_access, schedule_look_emails, see_drill_overlay, see_lookml_dashboards, see_looks, see_user_dashboards

Verás estos conjuntos de permisos como opciones cuando crees un rol nuevo. Si seleccionas uno de estos conjuntos de permisos, Looker mostrará la lista de permisos que incluye.

El conjunto de permisos de administrador no se puede editar ni borrar, y no se puede asignar a un rol. Se asigna solo al rol de administrador, que tampoco se puede editar ni borrar. La única forma de otorgar el conjunto de permisos de administrador a un usuario o grupo es agregar el rol de administrador a ese usuario o grupo.

Cómo crear conjuntos de permisos

Para crear un conjunto de permisos, haz clic en el botón New Permission Set en la parte superior de la página Roles. Looker mostrará una página en la que podrás ingresar un nombre para el conjunto de permisos y seleccionar los permisos que debe incluir. Una vez que hayas configurado el conjunto según sea necesario, haz clic en el botón New Permission Set en la parte inferior de la página.

Después de crear un conjunto de permisos, puedes editarlo o borrarlo haciendo clic en los botones Editar o Borrar que se encuentran a la derecha del conjunto de permisos en la página Roles.

Permisos y dependencias

Algunos permisos dependen de otros para funcionar correctamente. Por ejemplo, es lógico que alguien que quiera desarrollar en LookML primero deba poder ver LookML.

Cuando crees un conjunto de permisos, verás los permisos disponibles en una lista con sangría. Si un privilegio está anidado debajo de otro (principal), primero debes seleccionar el privilegio principal. La lista de permisos podría verse de la siguiente manera:

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

En este ejemplo, Looker usa la sangría para indicar lo siguiente:

  • El privilegio de access_data se puede seleccionar en cualquier momento.
  • Los privilegios see_lookml_dashboards y see_looks requieren que primero se seleccione el privilegio access_data.
  • El privilegio see_user_dashboards depende del privilegio see_looks, que a su vez depende del privilegio access_data.

No puedes seleccionar un privilegio secundario sin seleccionar primero su principal.

Permisos y licencias de Looker

Las licencias de Looker clasifican a los usuarios en tres tipos:

  • Desarrollador (administrador)
  • Estándar (creador)
  • Lector

Los permisos que se otorgan a un usuario determinan cómo se clasifica ese usuario según la licencia de Looker: