Administratoreinstellungen – Rollen

Mit Rollen, Berechtigungssätzen und Modellsätzen wird festgelegt, was Nutzer tun und was sie sehen können. Auf der Seite Rollen im Bereich Nutzer des Admin-Steuerfelds können Sie Rollen, Berechtigungs- und Modellsätze aufrufen, konfigurieren und zuweisen.

Sie können nach bestimmten Rollen, Berechtigungs- und Modellsätzen suchen, indem Sie einen Suchbegriff in das Suchfeld oben rechts eingeben und die Eingabetaste drücken.

Definitionen

• Mit einer Rolle werden die Berechtigungen definiert, die ein Nutzer oder eine Gruppe für einen bestimmten Satz von Modellen in Looker hat. Sie erstellen eine Rolle, indem Sie einen Berechtigungssatz mit einem Modellsatz kombinieren.
• Mit einem Berechtigungssatz wird definiert, welche Aktionen ein Nutzer oder eine Gruppe ausführen kann. Sie wählen eine Kombination von Berechtigungen aus, die Sie einem Nutzer oder einer Gruppe zuweisen möchten. Es muss als Teil einer Rolle verwendet werden, um einen Effekt zu erzielen.
• Ein Modellsatz definiert, welche Daten und LookML-Felder ein Nutzer oder eine Gruppe sehen kann. Sie wählen eine Kombination von LookML-Modellen aus, auf die ein Benutzer oder eine Gruppe Zugriff haben soll. Es muss als Teil einer Rolle verwendet werden, um einen Effekt zu erzielen.

Rollen zuweisen

Eine Rolle ist eine Kombination aus einem Berechtigungssatz und einem Modellsatz. Es ist gängige Konvention, Rollen nach Personen- oder Personengruppen in Ihrem Unternehmen zu benennen – Administrator, Looker-Entwickler, Finanzteam –, auch wenn Sie Ihre eigenen Namenskonventionen befolgen können.

Ein Nutzer kann in Looker mehrere Rollen haben. Dies kann nützlich sein, wenn Sie Nutzer haben, die mehrere Rollen in Ihrem Unternehmen spielen, oder wenn Sie komplexe Zugriffssysteme für Ihre Modelle erstellen möchten.

Rollen erstellen, bearbeiten und löschen

So erstellen Sie eine Rolle:

1. Klicken Sie oben auf der Seite Rollen auf die Schaltfläche Neue Rolle.

2. In Looker wird die Seite Neue Rolle angezeigt, auf der Sie die folgenden Einstellungen konfigurieren können:

   • Name: Geben Sie einen Namen für die Rolle ein.
   • Berechtigungssatz: Wählen Sie einen Berechtigungssatz aus, der mit der Rolle verknüpft werden soll.
   • Modellsatz: Wählen Sie einen Modellsatz aus, der mit der Rolle verknüpft werden soll.
   • Gruppen: Optional können Sie eine oder mehrere Gruppen auswählen, denen die Rolle zugewiesen werden soll.
   • Nutzer: Wählen Sie optional einen oder mehrere Nutzer aus, denen Sie die Rolle zuweisen möchten.

3. Wenn Sie die Rolle wie gewünscht konfiguriert haben, klicken Sie unten auf der Seite auf die Schaltfläche Neue Rolle.

Nachdem eine Rolle erstellt wurde, können Sie sie bearbeiten, indem Sie auf der Seite Rollen rechts neben der Rolle auf die Schaltfläche Bearbeiten klicken. Wenn Sie auf Bearbeiten klicken, werden Sie zur Seite Rolle bearbeiten für diese Rolle weitergeleitet. Dort können Sie den Namen, den Berechtigungssatz, den Modellsatz und die Gruppen oder Nutzer bearbeiten, die der Rolle zugewiesen sind.

Um eine Rolle zu löschen, klicken Sie auf der Seite Rollen rechts neben der Rolle auf die Schaltfläche Löschen.

Standardrollen

Für neue Instanzen erstellt Looker die folgenden Standardrollen, von denen jede einen Standardberechtigungssatz mit demselben Namen enthält:

• Admin
• Entwickler
• Nutzer
• Betrachter

Berechtigungssätze

Mit einem Berechtigungssatz wird festgelegt, was ein Nutzer oder eine Gruppe tun kann. Administratoren können die Standardberechtigungssätze von Looker verwenden oder ursprüngliche Berechtigungssätze erstellen unter Berücksichtigung der Abhängigkeiten der Berechtigungen.

Alle verfügbaren Berechtigungen und ihre Typen werden unten ausführlicher erläutert.

Standardberechtigungssätze

Bei Neuinstallationen bietet Looker mehrere Standardberechtigungssätze, mit denen Sie beginnen können:

Diese Berechtigungssätze werden als Optionen angezeigt, wenn Sie eine neue Rolle erstellen. Wenn Sie einen dieser Berechtigungssätze auswählen, zeigt Looker eine Liste der enthaltenen Berechtigungen an.

Der Administratorberechtigungssatz kann nicht bearbeitet oder gelöscht werden und auch keiner Rolle zugewiesen werden. Es ist nur der Administratorrolle zugewiesen, die auch nicht bearbeitet oder gelöscht werden kann. Die einzige Möglichkeit, einem Nutzer oder einer Gruppe die Administratorberechtigung zu erteilen, besteht darin, diesem Nutzer oder dieser Gruppe die Administratorrolle hinzuzufügen.

Berechtigungssätze erstellen

Um einen Berechtigungssatz zu erstellen, klicken Sie oben auf der Seite Rollen auf die Schaltfläche Neue Berechtigungssatz. Looker zeigt eine Seite an, auf der Sie einen Namen für den Berechtigungssatz eingeben und die Berechtigungen auswählen können, die er enthalten soll. Wenn Sie den Satz wie gewünscht konfiguriert haben, klicken Sie unten auf der Seite auf die Schaltfläche Neue Berechtigungssatz.

Nachdem ein Berechtigungssatz erstellt wurde, können Sie ihn bearbeiten oder löschen, indem Sie auf der Seite Rollen rechts neben dem Berechtigungssatz auf die Schaltfläche Bearbeiten oder Löschen klicken.

Berechtigungen und Abhängigkeiten

Einige Berechtigungen sind von anderen abhängig, damit sie richtig funktionieren. So ist es beispielsweise sinnvoll, dass jemand, der in LookML entwickeln möchte, zuerst LookML sehen muss.

Wenn Sie einen Berechtigungssatz erstellen, sehen Sie die verfügbaren Berechtigungen in einer eingerückten Liste. Wenn eine Berechtigung unter einer anderen (übergeordneten) Berechtigung eingerückt ist, müssen Sie zuerst die übergeordnete Berechtigung auswählen. Die Liste der Berechtigungen könnte so aussehen:

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

In diesem Beispiel verwendet Looker die Einrückung für Folgendes:

• Die Berechtigung access_data kann jederzeit ausgewählt werden.
• Die Berechtigungen see_lookml_dashboards und see_looks erfordern, dass zuerst die Berechtigung access_data ausgewählt wird.
• Die Berechtigung see_user_dashboards hängt von der Berechtigung see_looks ab, die wiederum von der Berechtigung access_data abhängt.

Sie können eine untergeordnete Berechtigung nicht festlegen, ohne zuvor die übergeordnete Berechtigung auszuwählen.

Berechtigungen und Looker-Lizenzen

Mit Looker-Lizenzen werden Nutzer in drei Typen klassifiziert:

• Entwickler (Administrator)
• Standard (Creator)
• Betrachter

Die Berechtigungen, die einem Nutzer gewährt werden, bestimmen, wie dieser Nutzer unter der Looker-Lizenz klassifiziert wird:

• Ein Nutzer wird als Entwickler (Administrator) eingestuft, wenn er die Standardrolle „Administrator“ oder mindestens eine der folgenden Berechtigungen hat:

  • develop
  • manage_models
  • see_datagroups
  • see_logs
  • see_pdts
  • sudo

• Ein Nutzer wird als Standardnutzer (Ersteller) eingestuft, wenn er keine der Entwicklerberechtigungen (Administrator), aber mindestens eine der folgenden Berechtigungen hat:

  • create_prefetches
  • explore
  • manage_homepage
  • manage_spaces
  • save_content
  • see_queries
  • see_schedules
  • see_system_activity
  • see_users
  • use_sql_runner

• Ein Nutzer wird als Betrachter klassifiziert, wenn er die Berechtigung access_data, aber keine Entwicklerberechtigungen (Administrator) und keine Standardberechtigungen (Ersteller) hat.

Liste der Berechtigungen

Die folgenden Berechtigungen interagieren auf potenziell unerwartete Weise mit Modellsätzen:

• develop
• see_lookml
• manage_models
• manage_project_connections_restricted
• manage_project_connections

In der IDE von Looker kann ein einzelnes Projekt mehrere Modelldateien enthalten. Wenn Sie einem Nutzer die Berechtigungen develop oder see_lookml zuweisen und diesem Nutzer erlaubt haben, alle Modelle anzusehen, die Teil eines Projekts sind, kann er den LookML-Code für alle Modelle in diesem Projekt entwickeln oder ansehen. Sie können jedoch keine Modelle abfragen, die Sie nicht zugelassen haben.

Wenn Sie einem Nutzer die Berechtigung manage_models zuweisen, kann dieser auf alle Modelle in allen Projekten in der Instanz zugreifen.

Wenn Sie einem Nutzer die Berechtigungen manage_project_connections_restricted oder manage_project_connections zuweisen, kann der Nutzer projektbezogene Verbindungen für alle Projekte, die im Modellsatz enthalten sind, aufrufen, bearbeiten und erstellen.

Es gibt drei Arten von Berechtigungen:

• Modellspezifisch: Diese Art von Berechtigung wird nur auf Modellsätze angewendet, die zur selben Rolle gehören. Diese Berechtigung wird auf einzelne Modelle oder Modellsätze angewendet, nicht auf die gesamte Looker-Instanz.
• Verbindungsspezifisch: Diese Art von Berechtigung wird auf Verbindungsebene angewendet. Ein Nutzer mit dieser Art von Berechtigung sieht Inhalte auf Seiten im Admin-Bereich, für die eine Verbindung zu einem Modell verwendet wird, auf das er Zugriff auf Daten hat. Dies ist selbst dann der Fall, wenn diese Verbindung mit einem anderen Modell verwendet wird, auf das er keinen Datenzugriff hat.
• Instanzweit: Diese Art von Berechtigung gilt für die Looker-Instanz als Ganzes und gibt drei Typen an:
  • NN = Kein Zugriff auf Inhalte, kein Zugriff auf das Menü: Mit diesen Berechtigungen können Nutzer bestimmte Funktionen in der gesamten Looker-Instanz ausführen. Sie erlauben ihnen jedoch nicht, auf Inhalte basierend auf Modellen zuzugreifen, die nicht im Modellsatz ihrer Rolle enthalten sind.
  • CN = Zugriff auf Inhalte, Kein Menüzugriff: Mit diesen Berechtigungen können Nutzer auf Inhalte und Informationen in der gesamten Looker-Instanz zugreifen – auch für Inhalte und Abfragen, die auf Modellen basieren, die nicht im Modellsatz ihrer Rolle enthalten sind.
  • CM = Zugriff auf Inhalte, Menüzugriff: Mit diesen Berechtigungen können Nutzer ohne Administratorberechtigungen Teile des Menüs „Verwaltung“ aufrufen. Außerdem erhalten sie Zugriff auf Informationen zu Inhalten und Abfragen auf Grundlage von Modellen, die nicht im Modellsatz ihrer Rolle enthalten sind.

In der folgenden Liste werden alle in Looker verfügbaren Berechtigungen in der Reihenfolge beschrieben, in der sie im Bereich Verwaltung auf der Seite Neue Berechtigungssatz angezeigt werden:

Modellsätze

Mit einem Modellsatz wird definiert, welche Daten und LookML-Felder ein Nutzer oder eine Gruppe sehen können. Jeder Satz besteht aus einer Liste von LookML-Modellen, auf die ein Benutzer oder eine Gruppe Zugriff haben sollte. Stellen Sie sich einen Modellsatz so vor, dass er zwei Funktionen ausführt:

1. Ein Modellsatz steuert, für welche Modelle in Ihrem LookML die Berechtigungen gelten (falls diese Berechtigungen modellspezifisch sind).
2. Ein Modellsatz schränkt die Daten und LookML-Felder ein, die ein Benutzer sehen kann, da jedes Modell mit einer bestimmten Datenbankverbindung verbunden ist und bestimmte LookML-Felder enthält.

Modellsatz erstellen

So erstellen Sie einen Modellsatz:

1. Klicken Sie oben auf der Seite Rollen auf die Schaltfläche Neue Modellgruppe.

   

2. In Looker wird die Seite Neue Modellgruppe angezeigt. Geben Sie einen Namen für die neue Modellgruppe ein.

3. Wählen Sie die Modelle aus, die im neuen Modellsatz enthalten sein sollen.

4. Klicken Sie unten auf der Seite auf die Schaltfläche Neue Modellgruppe. Die neue Modellgruppe wird auf der Seite Rollen im Abschnitt Modellgruppen angezeigt.

Modelle, die in ausstehenden Projekten enthalten sind, werden auf den Seiten Neue Modellgruppe und Modellgruppe bearbeiten in der Liste Modelle angezeigt.

Durch das Löschen oder Umbenennen eines Modells werden keine Modellsätze geändert, die dieses Modell enthalten. Wenn ein Modell entfernt oder umbenannt wird, empfehlen wir Looker-Administratoren, den Namen dieses Modells auch aus allen verknüpften Modellsätzen zu entfernen. Dies erfolgt über die Seite Modellgruppe bearbeiten. Wenn Sie den Namen eines gelöschten Modells aus einem Modellsatz entfernen, wird verhindert, dass ein neues Modell mit demselben Namen unbeabsichtigt in diesen Modellsatz aufgenommen wird.

Weitere Informationen zu Modellen finden Sie auf der Dokumentationsseite Modellparameter.

Mehrere Modelle und Modellsätze erstellen

Das folgende Beispiel zeigt, wie Sie mehrere Modellsätze verwenden können, um den Zugriff auf Daten zu beschränken. Stellen Sie sich ein Szenario vor, in dem Sie zwei Teams haben: Marketing und Support. In diesem Beispiel sollten diese beiden Teams keinen Zugriff auf das gesamte Modell haben, daher würden Sie für jedes Team ein separates Modell erstellen. Um den Datenzugriff voneinander zu trennen, würden Sie die folgenden Schritte ausführen:

1. Kopieren Sie das Modell in zwei neue Modelle.
2. Im ersten der neuen Modelle schließen Sie nur die Ansichten, Felder und Explores ein, auf die das Marketing-Team Zugriff haben sollte.
3. Erstellen Sie einen Modellsatz für das Marketingteam, der nur dieses neue Modell enthält.
4. Erstellen Sie eine neue Rolle für das Marketingteam, die diesen neuen Modellsatz und die entsprechenden Berechtigungen für das Marketingteam enthält.
5. Weisen Sie diese neue Rolle der Gruppe des Marketingteams zu.
6. Wiederholen Sie die Schritte 2 bis 5, um das zweite Modell für das Supportteam zu konfigurieren.

Modellsatz bearbeiten

Nachdem ein Modellsatz erstellt wurde, führen Sie die folgenden Schritte aus, um ihn zu bearbeiten:

1. Klicken Sie auf der Seite Rollen rechts neben der Modellgruppe, die Sie bearbeiten möchten, auf die Schaltfläche Bearbeiten.

2. In Looker wird die Seite Modellgruppe bearbeiten angezeigt. Geben Sie bei Bedarf im Feld Name einen neuen Namen für die Modellgruppe ein.

3. Im Abschnitt Modelle können Sie dem Modellsatz Modelle hinzufügen oder daraus entfernen.

4. Klicken Sie unten auf der Seite auf die Schaltfläche Modellgruppe aktualisieren.

Modelle, die in ausstehenden Projekten enthalten sind, werden auf den Seiten Neue Modellgruppe und Modellgruppe bearbeiten in der Liste Modelle angezeigt.

Durch das Löschen oder Umbenennen eines Modells werden keine Modellsätze geändert, die dieses Modell enthalten. Wenn ein Modell entfernt oder umbenannt wird, empfehlen wir Looker-Administratoren, den Namen dieses Modells auch aus allen verknüpften Modellsätzen zu entfernen. Dies erfolgt über die Seite Modellgruppe bearbeiten. Wenn Sie den Namen eines gelöschten Modells aus einem Modellsatz entfernen, wird verhindert, dass ein neues Modell mit demselben Namen unbeabsichtigt in diesen Modellsatz aufgenommen wird.

Modellsatz löschen

Klicken Sie zum Löschen eines Modellsatzes auf der Seite Rollen rechts neben der Modellgruppe, die Sie löschen möchten, auf Löschen.