Configuración del administrador: Roles

Los roles, los conjuntos de permisos y los conjuntos de modelos se usan juntos para administrar lo que los usuarios pueden hacer y lo que pueden ver. La página Roles en la sección Usuarios del panel Administrador te permite ver, configurar y asignar roles, conjuntos de permisos y conjuntos de modelos.

Para buscar roles, conjuntos de permisos y conjuntos de modelos específicos, ingresa un término de búsqueda en el cuadro de búsqueda en la parte superior derecha y presiona Intro.

Definiciones

• Un rol define los privilegios que tendrá un usuario o un grupo para un conjunto específico de modelos en Looker. Para crear un rol, combina un conjunto de permisos con un conjunto de modelos.
• Un conjunto de permisos define lo que puede hacer un usuario o un grupo. Debes seleccionar una combinación de permisos que desees asignarle a un usuario o grupo. Se debe usar como parte de un rol para que tenga efecto.
• Un conjunto de modelos define qué datos y campos de LookML puede ver un usuario o un grupo. Debes seleccionar una combinación de modelos de LookML a los que debe tener acceso un usuario o grupo. Se debe usar como parte de un rol para que tenga efecto.

Asigna roles

Un rol es una combinación de un conjunto de permisos y un conjunto de modelos. Es una convención común nombrar los roles según los tipos de personas o grupos de personas de tu organización (administrador, desarrollador de Looker y equipo de Finanzas), aunque puedes seguir tus propias convenciones de nombres.

Un usuario puede tener más de un rol en Looker. Esto puede ser útil cuando hay usuarios que desempeñan varias funciones en la empresa o cuando se quieren crear sistemas complejos de acceso a los modelos.

Crear, editar y borrar roles

Para crear un rol, sigue estos pasos:

1. Haz clic en el botón Rol nuevo en la parte superior de la página Roles.

2. Looker mostrará la página Rol nuevo, en la que puedes establecer los siguientes parámetros de configuración:

   • Nombre: Ingresa un nombre para el rol.
   • Conjunto de permisos: Elige un conjunto de permisos para asociarlo con el rol.
   • Conjunto de modelos: Elige un conjunto de modelos para asociarlo con la función.
   • Grupos: De forma opcional, elige uno o más grupos para asignar el rol.
   • Usuarios: De manera opcional, elige uno o más usuarios para asignar el rol.

3. Una vez que hayas configurado el rol como deseas, haz clic en el botón Rol nuevo en la parte inferior de la página.

Después de crear un rol, puedes editarlo haciendo clic en el botón Editar a la derecha del rol en la página Roles. Si haces clic en Editar, accederás a la página Editar rol de ese rol, en la que podrás editar el nombre, el conjunto de permisos, el conjunto de modelos y los grupos o usuarios asignados al rol.

Para borrar un rol, haz clic en el botón Borrar a la derecha del rol en la página Roles.

Funciones predeterminadas

Para las instancias nuevas, Looker crea los siguientes roles predeterminados, cada uno de los cuales incluye un conjunto de permisos predeterminado con el mismo nombre:

• Consola del administrador
• Desarrollador
• Usuario
• Visualizador

Conjuntos de permisos

Un conjunto de permisos define lo que puede hacer un usuario o un grupo. Los administradores pueden usar los conjuntos de permisos predeterminados de Looker o crear conjuntos de permisos originales, teniendo en cuenta las dependencias de permisos.

Todos los permisos disponibles y sus tipos se analizan con más detalle a continuación.

Conjuntos de permisos predeterminados

En las instalaciones nuevas, Looker incluye varios conjuntos de permisos predeterminados con los que puedes comenzar:

Verás que estos conjuntos de permisos aparecen como opciones cuando crees un rol nuevo. Si seleccionas uno de estos conjuntos de permisos, Looker mostrará la lista de permisos que incluye.

El conjunto de permisos de Administrador no se puede editar ni borrar, ni se puede asignar a un rol. Se asigna solo al rol de administrador, que tampoco se puede editar ni borrar. La única forma de otorgar el permiso de administrador establecido en un usuario o grupo es agregar el rol de administrador a ese usuario o grupo.

Cómo crear conjuntos de permisos

Para crear un conjunto de permisos, haz clic en el botón Nuevo conjunto de permisos en la parte superior de la página Funciones. Looker mostrará una página en la que puedes ingresar un nombre para el conjunto de permisos y seleccionar los permisos que debe incluir. Una vez que hayas configurado el conjunto como deseas, haz clic en el botón Nuevo conjunto de permisos en la parte inferior de la página.

Después de crear un conjunto de permisos, puedes editarlo o borrarlo haciendo clic en los botones Editar o Borrar a la derecha del conjunto de permisos en la página Roles.

Permisos y dependencias

Algunos permisos dependen de otros para funcionar correctamente. Por ejemplo, tiene sentido que alguien que quiera desarrollar en LookML primero deba poder ver LookML.

Cuando crees un conjunto de permisos, verás los permisos disponibles en una lista con sangría. Si un privilegio tiene una sangría bajo otro privilegio (superior), primero debes seleccionar el privilegio superior. La lista de permisos podría verse así:

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

En este ejemplo, Looker usa sangría para indicar lo siguiente:

• El privilegio access_data se puede seleccionar en cualquier momento.
• Los privilegios see_lookml_dashboards y see_looks requieren que se seleccione primero el privilegio access_data.
• El privilegio see_user_dashboards depende del privilegio see_looks, que, a su vez, depende del privilegio access_data.

No puedes seleccionar un privilegio secundario sin seleccionar primero su superior.

Permisos y licencias de Looker

Las licencias de Looker clasifican a los usuarios en tres tipos:

• Desarrollador (administrador)
• Estándar (creador)
• Visualizador

Los permisos otorgados a un usuario determinan cómo se clasifica a ese usuario en la licencia de Looker:

• Un usuario se clasifica como Desarrollador (Administrador) si tiene el rol predeterminado de administrador o, al menos, uno de los siguientes permisos:

  • develop
  • manage_models
  • see_datagroups
  • see_logs
  • see_pdts
  • sudo

• Un usuario se clasifica como usuario estándar (Creador) si no tiene ninguno de los permisos de Desarrollador (Administrador), pero tiene al menos uno de los siguientes permisos:

  • create_prefetches
  • explore
  • manage_homepage
  • manage_spaces
  • save_content
  • see_queries
  • see_schedules
  • see_system_activity
  • see_users
  • use_sql_runner

• Un usuario se clasifica como visualizador si tiene el permiso access_data, pero ninguno de los permisos de Desarrollador (Administrador) ni de los Estándares (Creador).

Lista de permisos

Los siguientes permisos interactúan con conjuntos de modelos de una manera potencialmente inesperada:

• develop
• see_lookml
• manage_models
• manage_project_connections_restricted
• manage_project_connections

En el IDE de Looker, un solo proyecto puede contener varios archivos de modelo. Si asignas los permisos develop o see_lookml a un usuario, y permitiste que vea cualquier modelo que sea parte de un proyecto, podrá desarrollar o ver LookML para todos los modelos de ese proyecto. Sin embargo, aún no podrán consultar modelos que no permitiste.

Si asignas el permiso manage_models a un usuario, este podrá acceder a todos los modelos de todos los proyectos de la instancia.

Si asignas los permisos manage_project_connections_restricted o manage_project_connections a un usuario, este podrá ver, editar y crear conexiones con alcance de proyecto para cualquier proyecto incluido en el conjunto de modelos.

Los permisos se pueden clasificar en uno de estos tres tipos:

• Específico del modelo: Este tipo de permiso se aplica solo a los conjuntos de modelos que forman parte del mismo rol. Este permiso se aplica a modelos individuales o conjuntos de modelos, en lugar de a toda la instancia de Looker.
• Específico de la conexión: Este tipo de permiso se aplica a nivel de la conexión. Un usuario con este tipo de permiso verá contenido de las páginas del panel Administrador que usa una conexión asociada con un modelo al que tiene acceso a datos, incluso si esa conexión se usa con otro modelo al que no tiene acceso a datos.
• Instancia amplia: Este tipo de permiso se aplica a toda la instancia de Looker y tiene tres tipos:
  • NN = Sin acceso al contenido ni acceso al menú: Estos permisos permiten que los usuarios realicen ciertas funciones en toda la instancia de Looker, pero no permiten que los usuarios accedan al contenido en función de modelos que no estén incluidos en su conjunto de modelos de roles.
  • CN = Acceso al contenido, Sin acceso al menú: Con estos permisos, los usuarios pueden acceder al contenido y consultar información en toda la instancia de Looker, incluso en el contenido y las consultas basadas en modelos que no están incluidos en su conjunto de modelos de roles.
  • CM = Acceso al contenido, Acceso al menú: Estos permisos pueden exponer partes del menú Administrador a los usuarios que no son administradores y permitir que los usuarios vean información sobre el contenido y las consultas en función de modelos que no estén incluidos en su conjunto de modelos de roles.

En la siguiente lista, se describen todos los permisos que están disponibles en Looker, en el orden en que aparecen en la página Nuevo conjunto de permisos de la sección Administrador:

Conjuntos de modelos

Un conjunto de modelos define qué datos y campos de LookML puede ver un usuario o grupo. Cada conjunto es una lista de modelos de LookML a los que debe tener acceso un usuario o grupo. Puedes pensar en un conjunto de modelos como si realizara dos funciones:

1. Un conjunto de modelos controla a qué modelos de LookML se aplican los permisos (si esos permisos son específicos del modelo).
2. Un conjunto de modelos limita los datos y campos de LookML que puede ver un usuario, ya que cada modelo está conectado a una conexión de base de datos específica y contiene ciertos campos de LookML.

Crea un conjunto de modelos

Para crear un conjunto de modelos, haz lo siguiente:

1. Haz clic en el botón Nuevo conjunto de modelos en la parte superior de la página Roles.

   

2. Looker muestra la página Nuevo conjunto de modelos. Ingresa un nombre para el nuevo conjunto de modelos.

3. Selecciona los modelos que se deben incluir en el nuevo conjunto de modelos.

4. Haz clic en el botón Nuevo conjunto de modelos en la parte inferior de la página. El conjunto de modelos nuevo aparecerá en la sección Conjuntos de modelos de la página Roles.

Los modelos que se incluyen en los proyectos pendientes aparecen en la lista Modelos en las páginas Nuevo conjunto de modelos y Editar conjunto de modelos.

Borrar un modelo o renombrarlo no cambiará ningún conjunto de modelos que lo incluya. Cuando se quita o cambia el nombre de un modelo, recomendamos que los administradores de Looker también quiten el nombre de ese modelo de cualquier conjunto de modelos asociado desde la página Editar conjunto de modelos. Si quitas el nombre de un modelo borrado de un conjunto de modelos, un modelo nuevo con el mismo nombre no se incluirá accidentalmente en ese conjunto.

Para obtener más información sobre los modelos, consulta la página de documentación Parámetros de modelo.

Crea varios modelos y conjuntos de modelos

En el siguiente ejemplo, se ilustra cómo puedes usar varios conjuntos de modelos para limitar el acceso a los datos. Imagina una situación en la que tienes dos equipos: Marketing y Asistencia. En este ejemplo, estos dos equipos no deberían tener acceso a todo el modelo, por lo que deberías crear un modelo separado para cada equipo. Para separar su acceso a los datos, deberías seguir estos pasos:

1. Copia el modelo en dos modelos nuevos.
2. En el primero de los modelos nuevos, incluye solo las vistas, los campos y las exploraciones a las que el equipo de marketing debería tener acceso.
3. Crea un conjunto de modelos para el equipo de Marketing que incluya solo este nuevo modelo.
4. Crea un nuevo rol para el equipo de Marketing que incluya el nuevo conjunto de modelos y los permisos adecuados para ese equipo.
5. Asigna esta nueva función al grupo del equipo de Marketing.
6. Repite los pasos 2 a 5 para configurar el segundo modelo para el equipo de asistencia al cliente.

Edita un conjunto de modelos

Después de crear un conjunto de modelos, realiza los siguientes pasos para editarlo:

1. En la página Roles, haz clic en el botón Edit a la derecha del conjunto de modelos que deseas editar.

2. Looker muestra la página Editar conjunto de modelos. Si lo deseas, ingresa un nuevo nombre para el conjunto de modelos en el campo Nombre.

3. Agrega o quita cualquier modelo del conjunto de modelos en la sección Modelos.

4. Haz clic en el botón Actualizar conjunto de modelos en la parte inferior de la página.

Los modelos que se incluyen en los proyectos pendientes aparecen en la lista Modelos en las páginas Nuevo conjunto de modelos y Editar conjunto de modelos.

Borrar un modelo o renombrarlo no cambiará ningún conjunto de modelos que lo incluya. Cuando se quita o cambia el nombre de un modelo, recomendamos que los administradores de Looker también quiten el nombre de ese modelo de cualquier conjunto de modelos asociado desde la página Editar conjunto de modelos. Si quitas el nombre de un modelo borrado de un conjunto de modelos, un modelo nuevo con el mismo nombre no se incluirá accidentalmente en ese conjunto.

Borra un conjunto de modelos

Para borrar un conjunto de modelos, en la página Roles, haz clic en Borrar a la derecha del conjunto de modelos que deseas borrar.