Paramètres Admin – Rôles

Les rôles, les ensembles d'autorisations et les ensembles de modèles sont utilisés ensemble pour gérer ce que les utilisateurs peuvent faire et voir. La page Rôles de la section Utilisateurs du panneau d'administration Admin vous permet d'afficher, de configurer et d'attribuer des rôles, des ensembles d'autorisations et des ensembles de modèles.

Vous pouvez rechercher des rôles, des ensembles d'autorisations et des ensembles de modèles spécifiques en saisissant un terme de recherche dans le champ de recherche en haut à droite, puis en appuyant sur Entrée.

Définitions

  • Un rôle définit les droits dont un utilisateur ou un groupe disposera pour un ensemble spécifique de modèles dans Looker. Pour créer un rôle, vous devez combiner un ensemble d'autorisations avec un ensemble de modèles.
  • Un ensemble d'autorisations définit ce qu'un utilisateur ou un groupe peut faire. Vous sélectionnez une combinaison d'autorisations que vous souhaitez attribuer à un utilisateur ou à un groupe. Pour qu'elle ait un effet, elle doit être utilisée dans le cadre d'un rôle.
  • Un ensemble de modèles définit les données et les champs LookML qu'un utilisateur ou un groupe peut voir. Vous sélectionnez une combinaison de modèles LookML auxquels un utilisateur ou un groupe doit avoir accès. Pour qu'elle ait un effet, elle doit être utilisée dans le cadre d'un rôle.

Gérer les rôles

Un rôle est une combinaison d'un ensemble d'autorisations et d'un ensemble de modèles. Il est d'usage de nommer les rôles en fonction des types de personnes ou des groupes de personnes de votre organisation (administrateur, développeur Looker, équipe Finance), mais vous pouvez bien sûr suivre vos propres conventions de dénomination.

Un utilisateur peut avoir plusieurs rôles dans Looker. Cela peut être utile lorsque des utilisateurs jouent plusieurs rôles dans votre entreprise ou lorsque vous souhaitez créer des systèmes complexes d'accès à vos modèles.

Créer, modifier et supprimer des rôles

Pour créer un rôle, procédez comme suit :

  1. Cliquez sur le bouton Ajouter un rôle en haut de la page Rôles.

  2. Looker affiche la page Nouveau rôle, sur laquelle vous pouvez configurer les paramètres suivants :

    • Nom : saisissez un nom pour le rôle.
    • Ensemble d'autorisations : choisissez un ensemble d'autorisations à associer au rôle.
    • Ensemble de modèles : choisissez un ensemble de modèles à associer au rôle.
    • Groupes : vous pouvez éventuellement choisir un ou plusieurs groupes auxquels attribuer le rôle.
    • Utilisateurs : (facultatif) choisissez un ou plusieurs utilisateurs auxquels attribuer le rôle.

  3. Une fois que vous avez configuré le rôle comme vous le souhaitez, cliquez sur le bouton Nouveau rôle en bas de la page.

Une fois qu'un rôle a été créé, vous pouvez le modifier en cliquant sur le menu à trois points Options à droite du rôle sur la page Rôles, puis en sélectionnant Modifier. Si vous sélectionnez Modifier, vous accédez à la page Modifier le rôle pour ce rôle. Vous pouvez alors modifier le nom, l'ensemble d'autorisations, l'ensemble de modèles, ainsi que les groupes ou les utilisateurs attribués au rôle.

Pour supprimer un rôle, cliquez sur le menu à trois points Options à droite du rôle sur la page Rôles, puis sélectionnez Supprimer.

Créer et modifier des rôles avec l'amélioration "Nouveau rôle/Modifier le rôle"

Lorsque la fonctionnalité en preview Amélioration de la création/modification de rôles est activée sur votre instance, les pages Nouveau rôle et Modifier le rôle fournissent un panneau de navigation par étapes mis à jour avec des tableaux de recherche paginés, une validation de compatibilité en temps réel et des mesures de sécurité.

Créer un rôle avec l'interface améliorée

Pour créer un rôle avec l'interface améliorée, procédez comme suit :

  1. Cliquez sur le bouton Ajouter un rôle en haut de la page Rôles.

  2. Looker affiche la page New Role (Nouveau rôle). Dans le panneau de navigation des étapes sur la gauche, parcourez chaque section pour configurer le rôle :

    • Nom du rôle : saisissez un nom descriptif pour le rôle dans le panneau de contenu. Le nom du rôle est mis à jour de manière dynamique dans le panneau de l'étape de résumé.

    • Ensemble d'autorisations : utilisez les cases d'option pour sélectionner un seul ensemble d'autorisations dans le tableau paginé.

      • Utilisez la barre de recherche en haut du tableau pour filtrer les ensembles d'autorisations par nom.
      • Cliquez sur le lien Afficher sous un ensemble d'autorisations pour inspecter les autorisations qu'il inclut sans le sélectionner.
      • Cliquez sur l'icône Modifier à côté du nom de l'ensemble d'autorisations pour modifier un ensemble d'autorisations personnalisé dans un nouvel onglet du navigateur. Les ensembles d'autorisations intégrés (Admin et Gemini) sont désactivés et ne peuvent pas être sélectionnés.

    • Ensemble de modèles : utilisez les cases d'option pour sélectionner un seul ensemble de modèles dans le tableau paginé.

      • Utilisez la barre de recherche pour filtrer les ensembles de modèles par nom.
      • Cliquez sur Afficher pour inspecter les modèles inclus dans un ensemble de modèles.
      • Cliquez sur l'icône Modifier à côté du nom de l'ensemble de modèles pour le modifier dans un nouvel onglet du navigateur.

    • Utilisateurs : (facultatif) utilisez les cases à cocher du tableau paginé pour attribuer un ou plusieurs utilisateurs au rôle.

      • Utilisez la barre de recherche pour filtrer les utilisateurs par ID, nom ou adresse e-mail.
      • Impossible de sélectionner les utilisateurs pour lesquels les attributions de rôles directes sont désactivées par les configurations d'authentification.

    • Groupes : (facultatif) attribuez un ou plusieurs groupes au rôle à l'aide des cases à cocher du tableau paginé.

      • Utilisez la barre de recherche pour filtrer les groupes par ID ou par nom.
      • Les groupes gérés en externe sont affichés comme désactivés pour empêcher toute réattribution manuelle.

  3. Vérifiez vos sélections dans le panneau de l'étape. Les icônes de coche à côté de chaque étape deviennent vertes lorsque les sélections requises sont effectuées.

  4. Une fois que tous les paramètres requis (Nom du rôle, Ensemble d'autorisations et Ensemble de modèles) sont configurés, cliquez sur Créer un rôle.

  5. Dans la boîte de dialogue Confirmer le nouveau rôle, examinez le récapitulatif des modifications apportées aux ensembles d'autorisations, aux ensembles de modèles, aux utilisateurs et aux groupes, ainsi que les avertissements concernant l'héritage des groupes. Cliquez sur Confirmer pour confirmer et créer le rôle.

Modifier un rôle avec l'interface améliorée

Pour modifier un rôle existant avec l'interface améliorée, procédez comme suit :

  1. Sur la page Rôles, cliquez sur le menu Options à trois points à droite du rôle que vous souhaitez modifier, puis sélectionnez Modifier.
  2. Looker affiche la page Modifier le rôle préremplie avec la configuration actuelle du rôle. Vous pouvez parcourir chaque section dans l'ordre ou sélectionner des sections directement dans le panneau des étapes pour modifier le nom du rôle, l'ensemble d'autorisations, l'ensemble de modèles, ainsi que les utilisateurs ou groupes attribués.
  3. Une fois les modifications effectuées, cliquez sur Enregistrer le rôle.

  4. Dans la boîte de dialogue Confirmer la mise à jour du rôle, examinez le récapitulatif des modifications apportées aux ensembles d'autorisations, aux ensembles de modèles, aux utilisateurs et aux groupes, ainsi que les avertissements d'héritage de groupe. Cliquez sur Confirmer pour confirmer et créer le rôle.

Si vous essayez de quitter la page ou de fermer l'onglet sans enregistrer vos modifications, une invite Modifications non enregistrées vous avertit que vos modifications seront perdues si vous ne les enregistrez pas avant de quitter la page. Si vous cliquez sur Annuler, vos modifications sont annulées et vous êtes redirigé directement vers la page Rôles.

Vérifications de la compatibilité des ensembles d'autorisations et des ensembles de modèles

Lorsque vous configurez un rôle, Looker valide la compatibilité de l'ensemble d'autorisations et de l'ensemble de modèles sélectionnés en temps réel :

  • Autorisations develop et manage_models : si l'ensemble d'autorisations sélectionné inclut les autorisations develop et manage_models, le rôle doit utiliser l'ensemble de modèles Tous. Tous les autres ensembles de modèles de la liste sont désactivés.
  • Autorisation manage_modelsets_restricted : si l'ensemble d'autorisations sélectionné inclut l'autorisation manage_modelsets_restricted, le rôle ne peut pas utiliser l'ensemble de modèles Tous. L'ensemble de modèles Tous est désactivé.
  • Ensembles d'autorisations restreints avec l'ensemble de modèles "Tous" : si l'ensemble de modèles Tous est sélectionné en premier, tout ensemble d'autorisations contenant l'autorisation manage_modelsets_restricted est désactivé.

Prévention du verrouillage de l'administrateur

Pour éviter que les administrateurs ne perdent accidentellement leurs droits d'administrateur, la page de modification du rôle Administrateur désactive la case à cocher pour l'administrateur connecté. Cette prévention du verrouillage n'est contournée que lorsque l'accès administrateur de l'utilisateur est géré en externe via la synchronisation Google Cloud IAM.

Restrictions d'héritage des rôles directs

Si la configuration d'authentification SAML, OpenID Connect ou LDAP d'une instance désactive les attributions de rôles directes, les cases à cocher de ces utilisateurs dans la table Utilisateurs sont désactivées. Les administrateurs peuvent toujours annuler l'attribution du rôle aux utilisateurs auxquels il a déjà été attribué directement.

Assistant administratif

Lorsque la fonctionnalité Assistant d'administration est activée sur votre instance, vous pouvez cliquer sur le bouton Assistant d'administration dans l'en-tête de la page Nouveau rôle ou Modifier le rôle pour ouvrir le panneau "Assistant d'administration". L'assistant d'administration fournit des conseils sur les bonnes pratiques de création de rôles, les dépendances d'autorisations et l'accès aux fonctionnalités Gemini.

Rôles par défaut

Pour les nouvelles instances, Looker crée les rôles par défaut suivants, chacun incluant un ensemble d'autorisations par défaut du même nom :

Les rôles par défaut des sections suivantes sont soumis à des conditions d'utilisation.

Administration depuis IAM

Le rôle Administrateur via IAM n'est disponible que dans Looker (Google Cloud Core) et ne peut être géré que via la console Google Cloud . Pour en savoir plus, consultez les documentations Authentification et autorisation avec OAuth et IAM et Rôle d'administrateur Looker par rapport au rôle d'administrateur via IAM Looker.

Le rôle Admin via IAM utilise l'ensemble d'autorisations Admin.

Utilisateurs Looker CI

Le rôle Utilisateurs Looker CI est créé automatiquement pour les instances Looker pour lesquelles l'intégration continue a été activée. Le rôle Utilisateurs Looker CI est appliqué aux comptes de service Looker CI qui sont visibles dans l'onglet Comptes de service de la page d'administration Utilisateurs. Looker utilise ces comptes de service d'intégration continue pour effectuer des exécutions d'intégration continue sur l'instance.

Le rôle Utilisateurs Looker CI dispose des autorisations suivantes, qui sont requises pour effectuer des exécutions d'intégration continue :

  • deploy : requis pour configurer les webhooks GitHub nécessaires aux exécutions d'intégration continue
  • see_ci : requis pour afficher les résultats des exécutions d'IC, afficher la page Suites d'IC et exécuter des suites d'IC
  • manage_ci : requis pour créer des suites d'intégration continue, gérer les utilisateurs d'intégration continue et configurer la connexion Git avec l'intégration continue

Gemini

Le rôle Gemini ne peut pas être renommé ni supprimé. Par défaut, l'ensemble d'autorisations de ce rôle s'applique à tous les modèles de l'instance Looker. L'ensemble d'autorisations Gemini inclus dans ce rôle permet aux utilisateurs d'effectuer les tâches suivantes dans l'instance Looker avec l'assistance Gemini, à condition qu'ils disposent également des autres autorisations requises :

Des autorisations supplémentaires sont requises pour utiliser Conversational Analytics. Elles peuvent être accordées avec le rôle Gestionnaire d'agents Conversational Analytics ou Utilisateur Conversational Analytics.

Pour en savoir plus sur les fonctionnalités de Gemini dans Looker, consultez la présentation de Gemini dans Looker.

Gestionnaire d'agents Conversational Analytics

Le rôle Gestionnaire d'agents Conversational Analytics se compose de l'ensemble d'autorisations "Gestionnaire d'agents Conversational Analytics" pour tous les modèles de l'instance Looker. Les utilisateurs disposant de ce rôle peuvent créer, modifier, partager et supprimer des agents de données Conversational Analytics qui utilisent des explorations Looker, et ils peuvent créer des workflows agentiques.

Utilisateur Conversational Analytics

Le rôle Utilisateur Conversational Analytics se compose de l'ensemble d'autorisations Utilisateur Conversational Analytics pour tous les modèles de l'instance Looker. Les utilisateurs disposant de ce rôle peuvent discuter avec n'importe quel agent de données Conversational Analytics dans Looker, à condition de disposer d'un accès en lecture à l'agent de données. Ils peuvent également créer des workflows agentiques.

Lecteur Conversational Analytics Ajouté dans la version 26.12

Le rôle Lecteur Conversational Analytics se compose de l'ensemble d'autorisations Lecteur Conversational Analytics pour tous les modèles de l'instance Looker. Les utilisateurs disposant de ce rôle peuvent discuter avec n'importe quel agent de données Conversational Analytics dans Looker, à condition de disposer d'un accès en lecture à l'agent de données et de l'autorisation access_data sur les modèles appropriés.

Éditeur d'assistance avancé et Éditeur d'assistance de base

Ces rôles n'apparaîtront pas sur une instance Looker (version initiale) si un administrateur Looker a désactivé la fonctionnalité Labs Accès à l'assistance par niveaux. Ces rôles n'apparaissent pas sur une instance Looker (Google Cloud Core) si l'instance utilise la mise en réseau des connexions privées (accès aux services privés ou Private Service Connect) ou la mise en réseau des connexions hybrides.

Les rôles Éditeur avancé de l'assistance et Éditeur de base de l'assistance ne peuvent pas être modifiés, supprimés ni attribués à des utilisateurs autres que les utilisateurs ayant accès à l'assistance.

Attribuer des rôles par défaut à un utilisateur

Pour modifier les paramètres d'un utilisateur afin de lui attribuer un rôle par défaut, procédez comme suit :

  1. Accédez à la page Utilisateurs dans la section Utilisateurs du panneau Admin.
  2. Sélectionnez l'utilisateur ou le groupe dont vous souhaitez modifier les autorisations.
  3. Dans le menu déroulant Rôles, sélectionnez le nom du rôle.
  4. Sélectionnez Enregistrer pour conserver ces paramètres.

Ensembles d'autorisations

Un ensemble d'autorisations définit ce qu'un utilisateur ou un groupe peut faire. Les administrateurs peuvent utiliser les ensembles d'autorisations par défaut de Looker ou créer des ensembles d'autorisations originaux, en tenant compte des dépendances des autorisations.

Toutes les autorisations disponibles et leurs types sont décrits plus en détail dans la liste des autorisations.

Ensembles d'autorisations par défaut

Pour les nouvelles installations, Looker inclut plusieurs ensembles d'autorisations par défaut que vous pouvez utiliser pour commencer :

Ensemble d'autorisations Autorisations associées
Admin Toutes les autorisations
Développeur access_data, can_create_forecast, clear_cache_refresh, create_custom_fields, create_table_calculations, deploy, develop, download_without_limit, explore, manage_spaces, mobile_app_access, save_content, save_dashboards, save_looks, schedule_look_emails, see_drill_overlay, see_lookml, see_lookml_dashboards, see_looks, see_pdts, see_sql, see_user_dashboards, send_to_integration, schedule_without_limit, use_sql_runner

NOTE : L'autorisation see_pdts n'est incluse dans l'autorisation par défaut Développeur que pour les installations Looker créées avec Looker 21.18 ou une version ultérieure. Pour vérifier si l'autorisation see_pdts est incluse dans l'ensemble d'autorisations Developer sur votre instance, accédez à la page Rôles du panneau Admin dans l'interface utilisateur de Looker.
Gemini gemini_in_looker, chat_with_agent, chat_with_explore, save_agents
Gestionnaire d'agents Conversational Analytics access_data, gemini_in_looker, chat_with_agent, chat_with_explore, save_agents, upload_data
Utilisateur Conversational Analytics access_data, gemini_in_looker, chat_with_agent
Lecteur Conversational Analytics Ajouté le 26/12 gemini_in_looker, chat_with_explore, chat_with_agent
Éditeur avancé d'ingénieur client access_data, can_create_forecast, can_override_vis_config, chat_with_agent, chat_with_explore, clear_cache_refresh, create_custom_fields, create_table_calculations, deploy, develop, explore, follow_alerts, gemini_in_looker, manage_embed_settings, manage_models, manage_privatelabel, manage_project_connections, manage_project_connections_restricted, manage_project_models, manage_themes, save_agents, save_content, save_dashboards, save_looks, see_admin, see_alerts, see_datagroups, see_drill_overlay, see_logs, see_lookml, see_lookml_dashboards, see_looks, see_pdts, see_queries, see_schedules, see_sql, see_system_activity, see_user_dashboards, see_users, update_datagroups, use_global_connections

NOTE : L'ensemble d'autorisations Customer Engineer Advanced Editor n'est disponible que lorsque la fonctionnalité Labs Tiered Support Access est activée. L'ensemble d'autorisations Customer Engineer Advanced Editor ne peut pas être modifié ni supprimé.
Éditeur avancé de l'assistance access_data, clear_cache_refresh, create_custom_fields, create_table_calculations, develop, explore, follow_alerts, manage_embed_settings, manage_models, manage_privatelabel, manage_project_connections, manage_project_connections_restricted, manage_project_models, manage_themes, see_admin, see_alerts, see_datagroups, see_drill_overlay, see_logs, see_lookml, see_lookml_dashboards, see_looks, see_pdts, see_queries, see_schedules, see_sql, see_system_activity, see_user_dashboards, see_users, update_datagroups, use_global_connections

NOTE : L'ensemble d'autorisations Support Advanced Editor n'est disponible que lorsque la fonctionnalité Labs Tiered Support Access est activée. L'ensemble d'autorisations Support Advanced Editor ne peut pas être modifié ni supprimé.
Éditeur d'assistance Basic access_data, clear_cache_refresh, create_custom_fields, create_table_calculations, explore, follow_alerts, manage_privatelabel, manage_themes, see_admin, see_alerts, see_drill_overlay, see_logs, see_lookml, see_lookml_dashboards, see_looks, see_pdts, see_schedules, see_sql, see_datagroups, see_system_activity, see_user_dashboards, see_users

NOTE : L'ensemble d'autorisations Support Basic Editor n'est disponible que lorsque la fonctionnalité Labs Tiered Support Access est activée. L'ensemble d'autorisations Support Basic Editor ne peut pas être modifié ni supprimé.
Utilisateur de tableau de bord LookML access_data, clear_cache_refresh, mobile_app_access, see_lookml_dashboards
Utilisateur access_data, can_create_forecast, clear_cache_refresh, create_custom_fields, create_table_calculations, download_without_limit, explore, manage_spaces, mobile_app_access, save_content, save_dashboards, save_looks, schedule_look_emails, see_drill_overlay, see_lookml, see_lookml_dashboards, see_looks, see_sql, see_user_dashboards, send_to_integration, schedule_without_limit
Utilisateur ne pouvant pas afficher le code LookML access_data, can_create_forecast, clear_cache_refresh, create_custom_fields, create_table_calculations, download_without_limit, explore, manage_spaces, mobile_app_access, save_content, save_dashboards, save_looks, schedule_look_emails, see_lookml_dashboards, see_looks, see_user_dashboards, send_to_integration, schedule_without_limit
Lecteur access_data, clear_cache_refresh, download_without_limit, mobile_app_access, schedule_look_emails, see_drill_overlay, see_lookml_dashboards, see_looks, see_user_dashboards, schedule_without_limit

Ces ensembles d'autorisations s'afficheront en tant qu'options lorsque vous créerez un rôle. Si vous sélectionnez l'un de ces ensembles d'autorisations, Looker affiche la liste des autorisations qu'il inclut.

Créer des ensembles d'autorisations

Pour créer un ensemble d'autorisations, cliquez sur le bouton Add Permission Set (Ajouter un ensemble d'autorisations) en haut de la page Roles (Rôles). Looker affiche une page sur laquelle vous pouvez saisir un nom pour l'ensemble d'autorisations et sélectionner les autorisations qu'il doit inclure. Une fois que vous avez configuré l'ensemble comme vous le souhaitez, cliquez sur le bouton New Permission Set (Nouvel ensemble d'autorisations) en bas de la page.

Une fois qu'un ensemble d'autorisations a été créé, vous pouvez le modifier ou le supprimer en cliquant sur le menu Options à trois points à droite de l'ensemble d'autorisations sur la page Rôles, puis en sélectionnant Modifier ou Supprimer.

Autorisations et dépendances

Certaines autorisations dépendent d'autres pour fonctionner correctement. Par exemple, il est logique qu'une personne qui souhaite développer en LookML doive d'abord pouvoir voir le code LookML.

Lorsque vous créez un ensemble d'autorisations, les autorisations disponibles s'affichent dans une liste en retrait. Si un droit est en retrait sous un autre droit (parent), vous devez d'abord sélectionner le droit parent. La liste des autorisations peut ressembler à ceci :

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

Dans cet exemple, Looker utilise l'indentation pour indiquer les éléments suivants :

  • Le privilège access_data peut être sélectionné à tout moment.
  • Les droits see_lookml_dashboards et see_looks nécessitent que le droit access_data soit sélectionné en premier.
  • Le privilège see_user_dashboards dépend du privilège see_looks, qui dépend lui-même du privilège access_data.

Vous ne pouvez pas sélectionner un droit enfant sans d'abord sélectionner son parent.

Autorisations et licences Looker

Les licences Looker classent les utilisateurs en trois types :

  • Développeur (administrateur)
  • Standard (créateur)
  • Lecteur

Les autorisations accordées à un utilisateur déterminent sa classification dans la licence Looker :

Liste des autorisations

Les autorisations peuvent être classées en trois types :

  • Spécifique au modèle : ce type d'autorisation ne s'applique qu'aux ensembles de modèles qui font partie du même rôle. Cette autorisation est appliquée à des modèles ou des ensembles de modèles individuels, plutôt qu'à l'ensemble de l'instance Looker.
  • Spécifique à la connexion : ce type d'autorisation est appliqué au niveau de la connexion. Un utilisateur disposant de ce type d'autorisation verra les pages du panneau Admin qui utilisent une connexion associée à un modèle pour lequel il dispose d'un accès aux données, même si cette connexion est utilisée avec un autre modèle pour lequel il ne dispose pas d'un accès aux données.
  • À l'échelle de l'instance : ce type d'autorisation s'applique à l'instance Looker dans son ensemble et se décline en trois types :
    • NN = No content access, No menu access (Aucun accès au contenu, aucun accès au menu) : ces autorisations permettent aux utilisateurs d'effectuer certaines fonctions sur l'ensemble de l'instance Looker, mais ne leur permettent pas d'accéder au contenu basé sur des modèles qui ne sont pas inclus dans l'ensemble de modèles de leur rôle.
    • CN = Accès au contenu, pas d'accès au menu : ces autorisations permettent aux utilisateurs d'accéder au contenu et aux informations de requête sur l'ensemble de l'instance Looker, même pour le contenu et les requêtes basés sur des modèles non inclus dans l'ensemble de modèles de leur rôle.
    • CM = Accès au contenu, Accès au menu : ces autorisations peuvent exposer des parties du menu Admin aux utilisateurs non administrateurs et leur permettre de voir des informations sur le contenu et les requêtes basées sur des modèles non inclus dans l'ensemble de modèles de leur rôle.

La liste suivante décrit toutes les autorisations disponibles dans Looker, dans l'ordre dans lequel elles apparaissent sur la page Nouvel ensemble d'autorisations de la section Admin :

Autorisation Dépend de Type Définition
access_data Aucun Méthodes propres au modèle Les utilisateurs peuvent accéder aux données de Looker, mais uniquement à celles spécifiées par les administrateurs. Cette autorisation est nécessaire pour presque toutes les fonctions Looker.

Un utilisateur disposant de cette autorisation, s'il a accès à un modèle d'un projet donné, peut accéder à n'importe quel fichier de la section Données de ce projet (par exemple, un fichier de carte personnalisée JSON).

Les utilisateurs de Data Studio disposant de cette autorisation peuvent afficher les données Looker dans les rapports Data Studio qui utilisent le connecteur Looker.
see_lookml_dashboards access_data Méthodes propres au modèle

Les utilisateurs peuvent voir le dossier LookML Dashboards, qui inclut tous les tableaux de bord LookML. Les utilisateurs doivent disposer de l'autorisation explore pour tous les modèles pertinents afin d'explorer ces tableaux de bord. Les utilisateurs qui disposent également de l'autorisation develop peuvent créer des tableaux de bord LookML.
see_looks access_data Méthodes propres au modèle Les utilisateurs peuvent voir les Looks enregistrés (mais pas les tableaux de bord) dans les dossiers. Les utilisateurs doivent disposer de l'autorisation explore pour tous les modèles pertinents afin d'explorer ces Looks. Les utilisateurs doivent également disposer du niveau d'accès au contenu Afficher pour voir les Looks dans les dossiers.
see_user_dashboards see_looks Méthodes propres au modèle Les utilisateurs peuvent afficher les tableaux de bord définis par l'utilisateur dans les dossiers, mais ils doivent disposer de l'autorisation explore pour tous les modèles pertinents afin d'explorer ces tableaux de bord. Les utilisateurs doivent également disposer de l'accès au contenu Afficher pour voir les tableaux de bord dans les dossiers. Les utilisateurs qui disposent également de l'autorisation save_dashboards et de l'accès au contenu Gérer l'accès, Modifier à un dossier peuvent créer des tableaux de bord définis par l'utilisateur dans ce dossier.
explore see_looks Méthodes propres au modèle Les utilisateurs peuvent accéder à la page "Explorer" et l'utiliser pour générer des Looks et des tableaux de bord. Sans cette autorisation, les utilisateurs ne peuvent afficher que les tableaux de bord enregistrés (si l'autorisation see_lookml_dashboards ou see_user_dashboards a été accordée).

Les utilisateurs de Data Studio disposant de cette autorisation peuvent créer une source de données dans Data Studio basée sur une exploration Looker. Ils peuvent également afficher et modifier la configuration de cette source de données dans Data Studio.
create_table_calculations explore NN à l'échelle de l'instance Les utilisateurs peuvent afficher, modifier ou ajouter des calculs de table.
create_custom_fields explore NN à l'échelle de l'instance Les utilisateurs peuvent afficher, modifier ou ajouter des champs personnalisés. Les utilisateurs qui ne disposent que de l'autorisation explore ne peuvent qu'afficher les champs personnalisés.
can_create_forecast explore NN à l'échelle de l'instance Les utilisateurs peuvent créer et modifier des prévisions dans les visualisations. Les utilisateurs qui ne disposent pas de cette autorisation ne peuvent afficher que les prévisions existantes dans le contenu auquel ils ont accès.
can_override_vis_config explore NN à l'échelle de l'instance Les utilisateurs peuvent accéder à l'éditeur de configuration de graphique, qui leur permet de modifier les valeurs JSON de l'API Highcharts d'une visualisation, et de personnaliser l'apparence et le format de la visualisation.
save_content see_looks NN à l'échelle de l'instance Cette autorisation est une autorisation parente de save_dashboards, save_looks et create_public_looks. Cette autorisation doit être accordée avec save_dashboards ou save_looks pour modifier les présentations et les tableaux de bord, y compris les descriptions des présentations et des tableaux de bord.
save_dashboards save_content NN à l'échelle de l'instance  : les utilisateurs peuvent enregistrer et modifier des tableaux de bord, y compris modifier leurs descriptions. Les utilisateurs doivent disposer de l'autorisation explore pour tous les modèles pertinents afin d'explorer les données à partir de ces tableaux de bord. Les utilisateurs doivent disposer des autorisations download_with_limit et/ou download_without_limit pour télécharger le contenu.
save_looks save_content NN à l'échelle de l'instance  : les utilisateurs peuvent enregistrer et modifier des Looks, y compris modifier leurs descriptions. Les utilisateurs doivent disposer de l'autorisation explore pour tous les modèles pertinents afin d'explorer ces Looks. Les utilisateurs doivent disposer des autorisations download_with_limit et/ou download_without_limit pour télécharger le contenu.
create_public_looks save_looks Méthodes propres au modèle Les utilisateurs peuvent marquer un Look enregistré comme public, ce qui génère des URL permettant d'accéder à ce Look sans authentification.
download_with_limit see_looks Méthodes propres au modèle

Cette autorisation s'applique aux Looks et aux tableaux de bord dans Looker, ainsi qu'aux rapports dans Data Studio qui utilisent le connecteur Looker.

Les utilisateurs peuvent télécharger des données,mais doivent spécifier une limite de 5 000 lignes ou moins pour éviter les problèmes de mémoire liés aux téléchargements volumineux.

Les utilisateurs de Data Studio Pro disposant de cette autorisation peuvent télécharger des rapports Data Studio qui utilisent le connecteur Looker.

download_without_limit see_looks Méthodes propres au modèle

Cette autorisation s'applique aux Looks et aux tableaux de bord dans Looker, ainsi qu'aux rapports dans Data Studio qui utilisent le connecteur Looker.

Identique à download_with_limit, mais ne nécessite pas que l'utilisateur spécifie une limite de lignes. Le téléchargement de tous les résultats pour certains types de requêtes peut nécessiter une quantité importante de mémoire, ce qui peut entraîner des problèmes de performances, voire un plantage de l'instance Looker.

Les utilisateurs de Data Studio Pro disposant de cette autorisation peuvent télécharger des rapports Data Studio qui utilisent le connecteur Looker.
schedule_look_emails see_looks Méthodes propres au modèle Cette autorisation s'applique aux Looks et aux tableaux de bord dans Looker, ainsi qu'aux rapports dans Data Studio qui utilisent le connecteur Looker.

Les utilisateurs peuvent planifier l'envoi par e-mail de toutes les présentations, tableaux de bord et requêtes avec des visualisations auxquels ils ont un accès aux données. Les utilisateurs peuvent planifier l'envoi après qu'un groupe de données a été déclenché, a géré le cache et a reconstruit les tables dérivées persistantes (PDT) pertinentes.

Pour envoyer ou planifier des tableaux de bord Activité du système, les utilisateurs doivent avoir accès à tous les modèles.

Les utilisateurs disposant également de l'autorisation create_alerts peuvent envoyer des notifications d'alerte par e-mail.

Les administrateurs Looker peuvent contrôler les domaines de messagerie vers lesquels les utilisateurs Looker et les utilisateurs intégrés peuvent envoyer des e-mails à l'aide de la liste d'autorisation des domaines de messagerie sur la page Paramètres du panneau Admin.

Les utilisateurs qui disposent également de l'autorisation schedule_without_limit peuvent sélectionner Tous les résultats lors de l'envoi de présentations ou d'explorations, ce qui permet d'envoyer toutes les lignes de données des résultats de la requête. Sans l'autorisation schedule_without_limit, les envois de données de Looks ou d'explorations par les utilisateurs sont soumis à une limite de 5 000 lignes.

Les utilisateurs de Data Studio Pro disposant de cette autorisation peuvent planifier l'envoi de rapports Data Studio qui utilisent le connecteur Looker.
schedule_external_look_emails schedule_look_emails Méthodes propres au modèle Les utilisateurs peuvent envoyer par e-mail les présentations, tableaux de bord et requêtes avec visualisations auxquels ils ont accès. Les utilisateurs peuvent planifier l'envoi après qu'un groupe de données a été déclenché, a géré le cache et a reconstruit les tables dérivées persistantes (PDT) pertinentes.

Pour envoyer ou planifier des tableaux de bord Activité du système, les utilisateurs doivent avoir accès à tous les modèles.

Les utilisateurs disposant également des autorisations create_alerts peuvent envoyer des notifications d'alerte par e-mail.

Les utilisateurs peuvent envoyer des diffusions de contenu ou des notifications d'alerte à des adresses e-mail de n'importe quel domaine, que la liste d'autorisation des domaines de messagerie de la page Paramètres du panneau d'administration Admin contienne ou non des domaines de messagerie.
create_alerts see_looks NN à l'échelle de l'instance

Cette autorisation s'applique aux tableaux de bord dans Looker et aux graphiques dans les rapports Data Studio qui utilisent le connecteur Looker.

À partir de la vignette du tableau de bord, les utilisateurs peuvent créer, dupliquer et supprimer leurs propres alertes. Ils peuvent également voir et dupliquer les alertes marquées comme publiques par d'autres utilisateurs. L'utilisateur doit être connecté à Slack pour voir les alertes de vignettes de tableau de bord qui envoient des notifications Slack. Les utilisateurs peuvent afficher, modifier, désactiver et activer les alertes dont ils sont propriétaires sur la page utilisateur Gérer les alertes. Les utilisateurs doivent disposer de l'autorisation schedule_look_emails ou schedule_external_look_emails pour envoyer des notifications d'alerte par e-mail.

Les utilisateurs de Data Studio Pro disposant de cette autorisation peuvent créer, dupliquer et supprimer des alertes sur les rapports Data Studio qui utilisent le connecteur Looker.
follow_alerts see_looks NN à l'échelle de l'instance

Les utilisateurs peuvent afficher et suivre les alertes. Afficher les alertes qu'ils suivent ou pour lesquelles ils sont listés comme destinataires sur la page utilisateur Gérer les alertes.
send_to_s3 see_looks Méthodes propres au modèle Les utilisateurs peuvent envoyer toutes les présentations, tous les tableaux de bord et toutes les requêtes avec des visualisations auxquels ils ont accès vers un bucket Amazon S3. Les utilisateurs peuvent planifier l'envoi après qu'un groupe de données a été déclenché, a géré le cache et a reconstruit les tables dérivées persistantes (PDT) pertinentes.

Cette autorisation est appliquée à des modèles ou des ensembles de modèles individuels, plutôt qu'à l'ensemble de l'instance Looker.
send_to_sftp see_looks Méthodes propres au modèle Les utilisateurs peuvent envoyer vers un serveur SFTP les Looks, tableaux de bord et requêtes avec visualisations auxquels ils ont un accès aux données. Les utilisateurs peuvent planifier l'envoi après qu'un groupe de données a été déclenché, a géré le cache et a reconstruit les tables dérivées persistantes (PDT) pertinentes.

Cette autorisation est appliquée à des modèles ou des ensembles de modèles individuels, plutôt qu'à l'ensemble de l'instance Looker.
send_outgoing_webhook see_looks Méthodes propres au modèle Les utilisateurs peuvent envoyer à un webhook les présentations, tableaux de bord et requêtes avec visualisations auxquels ils ont accès. Les utilisateurs peuvent planifier l'envoi après qu'un groupe de données a été déclenché, a géré le cache et a reconstruit les tables dérivées persistantes (PDT) pertinentes.

Cette autorisation est appliquée à des modèles ou des ensembles de modèles individuels, plutôt qu'à l'ensemble de l'instance Looker.
send_to_integration see_looks Méthodes propres au modèle Les utilisateurs peuvent diffuser les Looks, tableaux de bord et requêtes avec des visualisations auxquels ils ont un accès aux données vers les services tiers intégrés à Looker à l'aide de l'Action Hub Looker. Si vous utilisez des actions personnalisées avec des attributs utilisateur, les utilisateurs doivent disposer de cette autorisation et d'une valeur d'attribut utilisateur valide et non nulle pour l'attribut utilisateur spécifié afin de diffuser du contenu Looker vers cette destination d'action. Cette autorisation n'est pas liée aux actions sur les données. Les utilisateurs peuvent planifier l'envoi après qu'un groupe de données a été déclenché, a géré le cache et a reconstruit les tables dérivées persistantes (PDT) pertinentes.

Cette autorisation est appliquée à des modèles ou des ensembles de modèles individuels, plutôt qu'à l'ensemble de l'instance Looker.
schedule_without_limit see_looks Méthodes propres au modèle Ajouté à la version 26.4 Lorsqu'elle est combinée à au moins une autre autorisation permettant à un utilisateur de diffuser du contenu Looker, cette autorisation permet aux utilisateurs de diffuser des Looks ou des explorations qui envoient toutes les lignes de données. Cette autorisation rend visible l'option Tous les résultats dans le planificateur Looker pour les Looks et les explorations.
see_sql see_looks Méthodes propres au modèle Les utilisateurs peuvent accéder à l'onglet SQL pendant l'exploration et pour toutes les erreurs SQL causées par leurs requêtes.
see_lookml see_looks Méthodes propres au modèle Les utilisateurs disposent d'un accès en lecture seule au code LookML. Les utilisateurs doivent disposer de cette autorisation pour voir le lien Accéder à LookML dans le panneau Admin.

Si vous souhaitez qu'un utilisateur puisse modifier du code LookML, vous devez également lui accorder l'autorisation develop.

NOTE : Cette autorisation interagit avec les ensembles de modèles d'une manière potentiellement inattendue. Si vous attribuez l'autorisation see_lookml à un utilisateur et que vous l'avez autorisé à voir un modèle faisant partie d'un projet, il pourra voir le code LookML de tous les modèles de ce projet. Toutefois, ils ne pourront toujours pas interroger les modèles que vous n'avez pas autorisés.
develop see_looks Méthodes propres au modèle Les utilisateurs peuvent apporter des modifications locales au LookML, mais ne peuvent pas les rendre accessibles à tous, sauf s'ils disposent également de l'autorisation deploy.

Cette autorisation est requise pour afficher l'option Obtenir de l'aide dans le menu Aide et pour afficher les métadonnées dans l'IDE Looker. Les utilisateurs ont également besoin de cette autorisation pour accéder à l'option Reconstruire les tables dérivées et exécuter dans le menu en forme de roue dentée de l'exploration. Cette autorisation n'est pas spécifique à un modèle. Par conséquent, si un utilisateur dispose de cette autorisation dans un modèle, il aura accès à l'option Reconstruire les tables dérivées et exécuter dans tous les modèles.

NOTE : Cette autorisation interagit avec les ensembles de modèles d'une manière potentiellement inattendue. Si vous attribuez l'autorisation develop à un utilisateur et que vous l'avez autorisé à voir un modèle faisant partie d'un projet, il pourra développer le code LookML pour tous les modèles de ce projet. Toutefois, ils ne pourront toujours pas interroger les modèles que vous n'avez pas autorisés.
deploy develop NN à l'échelle de l'instance Les utilisateurs peuvent déployer leurs modifications LookML locales en production afin qu'elles soient accessibles à tous.
support_access_toggle develop NN à l'échelle de l'instance Les utilisateurs peuvent activer ou désactiver l'accès des analystes Looker à votre instance Looker.
manage_project_models develop Méthodes propres au modèle Les utilisateurs peuvent ajouter, modifier ou supprimer des configurations de modèles pour les modèles autorisés sur la page Modifier la configuration du modèle. Lors de la configuration d'un modèle, les utilisateurs ne peuvent utiliser que des connexions limitées au projet.

NOTE : Cette autorisation interagit avec les ensembles de modèles d'une manière potentiellement inattendue. Si vous créez un rôle avec l'autorisation manage_project_models, ce rôle accordera l'accès à tous les modèles qui partagent un projet avec l'un des modèles des ensembles de modèles du rôle.
use_global_connections manage_project_models Méthodes propres au modèle Les utilisateurs peuvent configurer les modèles autorisés avec n'importe quelle connexion limitée au projet ou n'importe quelle connexion à l'échelle de l'instance.
manage_project_connections_restricted develop CM spécifique au modèle Les utilisateurs peuvent voir la page Connexions dans le menu Admin. Ils peuvent voir, modifier et créer des connexions au niveau du projet pour tous les projets de l'ensemble de modèles. Toutefois, ils ne peuvent modifier que les paramètres de connexion suivants : Les utilisateurs ne peuvent modifier aucun autre paramètre de la section Paramètres supplémentaires. Ils ne peuvent pas non plus modifier les paramètres de la section Tables dérivées persistantes (PDT).

NOTE : Cette autorisation interagit avec les ensembles de modèles d'une manière potentiellement inattendue. Si vous attribuez l'autorisation manage_project_connections_restricted à un utilisateur, il pourra voir, modifier et créer des connexions au niveau du projet pour tous les projets inclus dans l'ensemble de modèles.
manage_project_connections manage_project_connections_restricted CM spécifique au modèle Les utilisateurs peuvent voir la page Connexions dans le menu Admin. Ils peuvent voir, modifier et créer des connexions au niveau du projet pour tous les projets inclus dans l'ensemble de modèles.

NOTE : Cette autorisation interagit avec les ensembles de modèles d'une manière potentiellement inattendue. Si vous attribuez l'autorisation manage_project_connections_restricted à un utilisateur, il pourra voir, modifier et créer des connexions au niveau du projet pour tous les projets inclus dans l'ensemble de modèles.
see_ci develop NN à l'échelle de l'instance Ajouté dans la version 25.6 Les utilisateurs peuvent consulter les résultats des exécutions d'intégration continue, afficher la page Suites d'intégration continue et exécuter des suites de tests.
manage_ci see_ci NN à l'échelle de l'instance Ajouté dans la version 25.6 Les utilisateurs peuvent créer des suites d'intégration continue, gérer les utilisateurs d'intégration continue et configurer la connexion Git avec l'intégration continue.

Seul un administrateur peut activer la fonctionnalité d'intégration continue pour une instance Looker.
use_sql_runner see_lookml Méthodes propres au modèle Les utilisateurs peuvent utiliser l'exécuteur SQL pour exécuter du code SQL brut sur leurs connexions autorisées. Les utilisateurs pourront également télécharger les résultats à l'aide de l'option Télécharger du menu en forme de roue dentée de l'Exécuteur SQL, qu'ils disposent ou non des autorisations download_with_limit ou download_without_limit.
certify_content access_data Méthodes propres au modèle Ajouté dans la version 25.20 Les utilisateurs peuvent certify des tableaux de bord, des Looks et des explorations en libre-service.

Cette autorisation n'est disponible que si la fonctionnalité en preview Accéder à la certification de contenu a été activée pour votre instance.
clear_cache_refresh access_data Méthodes propres au modèle Les utilisateurs peuvent vider le cache et actualiser les tableaux de bord internes et intégrés, les vignettes de tableau de bord, les présentations et les explorations.

L'autorisation clear_cache_refresh est automatiquement ajoutée à tous les ensembles d'autorisations préexistants qui contiennent l'une des autorisations suivantes : see_user_dashboards, see_lookml_dashboards ou explore. L'autorisation clear_cache_refresh n'est pas automatiquement appliquée aux rôles intégrés.

Les utilisateurs de Data Studio disposant de cette autorisation peuvent actualiser les données Looker dans les rapports Data Studio qui utilisent le connecteur Looker.
see_drill_overlay access_data Méthodes propres au modèle Les utilisateurs peuvent voir les résultats d'une analyse détaillée d'une vignette de tableau de bord, mais ne peuvent pas explorer ces résultats. Si l'autorisation explore est accordée, cette autorisation l'est également automatiquement (même si elle n'est pas cochée). Les utilisateurs doivent également disposer des autorisations explore pour télécharger les résultats d'exploration au format PNG.
manage_schedules Aucun CM spécifique au modèle Ajouté dans la version 25.2 Les utilisateurs peuvent réattribuer et supprimer des planifications sur la page Planifications pour les modèles spécifiés. Cette autorisation ne permet pas aux utilisateurs de voir la page Historique de la programmation.
manage_spaces Aucun CN à l'échelle de l'instance Les utilisateurs peuvent créer, modifier, déplacer et supprimer des dossiers. Les utilisateurs doivent également disposer de l'autorisation d'accès au contenu Gérer l'accès, Modifier.
manage_homepage Aucun NN à l'échelle de l'instance Les utilisateurs peuvent modifier et ajouter du contenu à la barre latérale que tous les utilisateurs de Looker voient sur la page d'accueil Looker prédéfinie.
manage_models Aucun CN à l'échelle de l'instance Chaque modèle LookML est mappé à un ensemble spécifique de connexions de base de données sur la page Gérer les projets LookML. Avec cette autorisation, les utilisateurs peuvent configurer ces mappages, créer des projets et en supprimer. Les utilisateurs non administrateurs qui se voient accorder cette autorisation auront accès à toutes les connexions autorisées par les modèles auxquels ils ont accès.

NOTE : Cette autorisation interagit avec les ensembles de modèles d'une manière potentiellement inattendue. Si vous attribuez l'autorisation manage_models à un utilisateur, il pourra accéder à tous les modèles de tous les projets de l'instance.
create_prefetches Aucun À l'échelle de l'instance La prérécupération est fortement déconseillée. Nous vous recommandons d'utiliser des groupes de données à la place.
login_special_email Aucun À l'échelle de l'instance Les utilisateurs peuvent se connecter avec une adresse e-mail et un mot de passe, même si d'autres mécanismes de connexion (comme Google, LDAP ou SAML) ont été activés sur votre instance. Cela peut être utile pour les consultants ou d'autres personnes qui ne font pas partie de votre système d'authentification habituel.
embed_browse_spaces Aucun NN à l'échelle de l'instance
  • Active le navigateur de contenu pour les intégrations signées. Si vous utilisez des intégrations signées, vous devez accorder cette autorisation aux utilisateurs disposant de l'autorisation save_content.
  • Sur les instances non intégrées, cette autorisation supprime l'icône de favori pour les utilisateurs internes.
embed_save_shared_space Aucun À l'échelle de l'instance Permet à l'utilisateur disposant de l'autorisation save_content d'enregistrer du contenu dans le dossier Partagé de l'organisation, s'il en existe un. Les utilisateurs disposant de l'autorisation save_content, mais pas de l'autorisation embed_save_shared_space, ne pourront enregistrer du contenu que dans leur dossier d'intégration personnel.
manage_embed_settings Aucun CM à l'échelle de l'instance Les utilisateurs peuvent modifier les paramètres d'intégration sur la page Intégration de la section Plate-forme du menu Admin.
manage_themes Aucun CM à l'échelle de l'instance Les utilisateurs peuvent configurer les paramètres de thème pour les tableaux de bord, les présentations et les explorations intégrés sur la page Thèmes de la section Plate-forme du menu Admin.

Cette autorisation n'est disponible que si les thèmes ont été activés pour votre instance.
manage_internal_themes Aucun CM à l'échelle de l'instance Les utilisateurs peuvent configurer les paramètres de thème des tableaux de bord internes à Looker (non intégrés) sur la page Thèmes de la section Plate-forme du menu Admin.

Cette autorisation n'est disponible que si la fonctionnalité en preview Thèmes des tableaux de bord internes a été activée pour votre instance.
manage_privatelabel Aucun CM à l'échelle de l'instance Les utilisateurs peuvent configurer les paramètres de marque de distributeur sur la page Marque de distributeur de la section Plate-forme du menu Admin.

Cette autorisation n'est disponible que si la marque de distributeur a été activée pour votre instance.
see_alerts Aucun CM à l'échelle de l'instance Les utilisateurs peuvent accéder aux pages Alertes et Historique des alertes de la section Admin, ce qui leur permet de voir toutes les alertes sur une instance Looker. Les utilisateurs peuvent afficher, suivre, modifier, s'attribuer et désactiver les alertes appartenant à d'autres utilisateurs depuis la page d'administration Alertes.

Les utilisateurs doivent disposer des autorisations nécessaires pour accéder au contenu sous-jacent de l'alerte afin de l'afficher ou de l'explorer à partir de la visualisation de l'alerte (sur la page Détails de l'alerte) ou pour accéder à son tableau de bord. Cette autorisation ne permet pas aux utilisateurs de consulter, créer, suivre ni supprimer des alertes à partir de la vignette du tableau de bord.

(Aperçu) Les utilisateurs peuvent accéder à la page d'administration Gérer les workflows et à la page utilisateur Gérer les workflows, ce qui leur permet de voir tous les workflows d'une instance Looker. Les utilisateurs peuvent afficher, modifier, désactiver et activer les workflows appartenant à d'autres utilisateurs, mais ils doivent avoir accès aux données du workflow pour afficher la visualisation du workflow dans ses Détails. Cette autorisation ne permet pas aux utilisateurs de générer un workflow agentique ni d'utiliser Conversational Analytics.
see_queries Aucun CM à l'échelle de l'instance Les utilisateurs peuvent voir la page Requêtes dans la section Admin de Looker. Ce droit ne permet pas à un utilisateur de mettre fin à une requête sur la page Requêtes.
see_logs Aucun CM à l'échelle de l'instance Les utilisateurs peuvent consulter la page Journal dans la section Admin de Looker.
see_users Aucun CM à l'échelle de l'instance Les utilisateurs peuvent voir la page Utilisateurs (mais pas la page Groupes) dans la section Admin de Looker. Ce droit ne permet pas à un utilisateur de créer de nouveaux utilisateurs, de voir ou de créer des identifiants API, de réinitialiser des mots de passe, ni de modifier des comptes utilisateur ou des droits. Un utilisateur disposant de cette autorisation peut voir tous les utilisateurs de tous les groupes d'une instance, même sur un système fermé. Un utilisateur peut voir tous les noms de groupes et de rôles, ce que certaines entreprises peuvent considérer comme des informations sensibles.
sudo see_users CM à l'échelle de l'instance Les utilisateurs peuvent exécuter une commande Sudo (c'est-à-dire agir en tant qu'un autre utilisateur et hériter temporairement de ses autorisations) en cliquant sur le bouton Sudo de la page Utilisateurs.

L'autorisation sudo ne permet pas à un non-administrateur d'emprunter l'identité d'un administrateur, mais un non-administrateur pourrait potentiellement élever ses privilèges en utilisant sudo. Soyez donc prudent.
manage_groups see_users CM à l'échelle de l'instance Les utilisateurs peuvent créer, modifier et supprimer des groupes sur la page Groupes de la section Utilisateurs du menu Admin, à l'exception des groupes associés au rôle Admin.
manage_roles manage_groups CM à l'échelle de l'instance Les utilisateurs peuvent créer, modifier et supprimer des rôles, à l'exception du rôle Administrateur, sur la page Rôles de la section Utilisateurs du menu Admin. Les utilisateurs ne peuvent toujours pas créer, modifier ni supprimer d'ensembles d'autorisations ou de modèles.
manage_user_attributes see_users CM à l'échelle de l'instance Les utilisateurs peuvent créer, modifier et supprimer des attributs utilisateur sur la page Attributs utilisateur de la section Utilisateurs du menu Admin.
see_schedules Aucun CM à l'échelle de l'instance

Les utilisateurs peuvent voir les pages Planifications et Historique des planifications dans le panneau Admin de Looker. Ce droit ne permet pas à un utilisateur de réattribuer, de modifier ni de supprimer les programmations d'autres utilisateurs sur les pages Programmes et Historique des programmes.
see_pdts Aucun Spécifique à la connexion Les utilisateurs peuvent voir la page Tables dérivées persistantes dans la section Admin de Looker et afficher des informations sur les PDT des projets qui utilisent une connexion associée aux modèles pour lesquels ils ont un accès aux données.

Cette autorisation est incluse dans l'ensemble d'autorisations par défaut Developer pour les nouvelles installations Looker.

Cette autorisation est appliquée aux connexions auxquelles les utilisateurs ont accès aux données, plutôt qu'à l'ensemble de l'instance Looker, ou à des modèles ou ensembles de modèles individuels.
see_datagroups Aucun Méthodes propres au modèle Les utilisateurs peuvent voir la page Groupes de données dans la section Admin de Looker. Les utilisateurs peuvent voir les noms des connexions, les noms des modèles et d'autres informations sur les groupes de données définis dans un modèle pour lequel ils disposent d'un accès aux données.

Cette autorisation est appliquée à des modèles ou des ensembles de modèles individuels, plutôt qu'à l'ensemble de l'instance Looker ou aux connexions.
update_datagroups see_datagroups Méthodes propres au modèle Les utilisateurs peuvent déclencher un groupe de données ou réinitialiser son cache via la page Groupes de données de la section Admin de Looker. Comme les utilisateurs disposant de l'autorisation see_datagroups, les utilisateurs disposant de l'autorisation update_datagroups peuvent voir les groupes de données définis dans les projets qui utilisent un modèle pour lequel ils disposent d'un accès aux données.

Cette autorisation est appliquée à des modèles ou des ensembles de modèles individuels, plutôt qu'à l'ensemble de l'instance Looker ou aux connexions.
see_system_activity Aucun CM à l'échelle de l'instance Les utilisateurs peuvent accéder aux explorations et aux tableaux de bord de l'activité du système pour afficher l'utilisation, l'historique et d'autres métadonnées d'une instance Looker.

Dans un environnement intégré, des restrictions strictes empêchent les utilisateurs intégrés d'afficher les données du système sous-jacent, même si vous accordez l'autorisation see_system_activity lors de l'authentification unique (SSO). Pour découvrir d'autres façons de partager ces données, consultez Activité du système dans les environnements intégrés.
see_admin Aucun CM à l'échelle de l'instance Les utilisateurs peuvent disposer d'un accès en lecture seule aux ressources d'administration, y compris aux pages du panneau d'administration, à l'exception des pages suivantes :

  • Accès à l'assistance
  • Fonctionnalités en preview
  • Anciennes fonctionnalités
  • Exporter
  • Accès au contenu
  • Actions (si la page n'affiche que les états activés ou désactivés des actions)

Cette autorisation ne permet pas d'accéder aux pages d'activité du système.
mobile_app_access Aucun NN à l'échelle de l'instance Les utilisateurs peuvent se connecter à votre instance sur un appareil mobile à l'aide de l'application mobile Looker. Pour que les utilisateurs puissent se connecter à l'application mobile Looker, l'option Accès à l'application mobile de la page Paramètres généraux de la section Admin de Looker doit d'abord être activée.

L'autorisation mobile_app_access peut être ajoutée à un ensemble d'autorisations nouveau ou existant, et elle fait partie de tous les ensembles d'autorisations par défaut de Looker.
manage_modelsets_restricted Aucun CM spécifique au modèle Ajouté dans la version 25.2 Les utilisateurs peuvent modifier les ensembles de modèles pour lesquels ils disposent de l'autorisation manage_modelsets_restricted. Un utilisateur ne peut ajouter que des modèles contenus dans des ensembles de modèles pour lesquels il dispose également de l'autorisation manage_modelsets_restricted.

NOTE : Cette autorisation interagit avec les ensembles de modèles d'une manière potentiellement inattendue. Si vous attribuez l'autorisation manage_modelsets_restricted à un utilisateur et que vous l'avez autorisé à accéder à un modèle faisant partie d'un projet, il pourra attribuer tous les modèles de ce projet aux ensembles de modèles auxquels il a accès.
upload_data Aucun NN à l'échelle de l'instance Ajouté dans la version 25.20 Les utilisateurs peuvent importer des fichiers dans votre instance pour créer des explorations en libre-service.
create_self_service_from_table Aucun Spécifique au modèleNN Ajout de la version 26.14 Les utilisateurs peuvent créer des canevas de modélisation visuelle basés sur des tables de base de données pour créer des explorations en libre-service.
gemini_in_looker Aucun Méthodes propres au modèle Cette autorisation est la seule incluse dans le rôle par défaut Gemini.

Cette autorisation permet aux utilisateurs d'effectuer les tâches associées à l'une des fonctionnalités Gemini dans Looker activées depuis la page Gemini dans Looker du panneau d'administration Admin. Des autorisations supplémentaires peuvent être requises pour certaines tâches.
chat_with_agent gemini_in_looker Méthodes propres au modèle Ajout de la version 25.18 Les utilisateurs de Conversational Analytics peuvent discuter avec des agents de données basés sur les données de cinq explorations Looker au maximum. Des autorisations supplémentaires sont requises pour discuter avec les agents de données du tableau de bord.
chat_with_explore chat_with_agent Méthodes propres au modèle Ajout de la version 25.18 Les utilisateurs de Conversational Analytics peuvent discuter avec une exploration Looker s'ils disposent également des autorisations supplémentaires requises.
save_agents chat_with_explore Méthodes propres au modèle Ajout de la version 25.18 Les utilisateurs de Conversational Analytics peuvent créer, modifier, supprimer et partager des agents de données sur des tableaux de bord ou des explorations. Pour modifier, supprimer ou partager un agent de données créé par un autre utilisateur, les utilisateurs doivent disposer d'un rôle contenant cette autorisation sur chaque modèle utilisé par l'agent, ainsi que d'autorisations supplémentaires requises.
publish_agent_externally save_agents Méthodes propres au modèle Ajout de la version 26.6 Disponible en version preview, les utilisateurs de Conversational Analytics peuvent publier des agents de données dans Gemini Enterprise lorsqu'ils disposent également des autorisations supplémentaires requises.
admin_agents gemini_in_looker Méthodes propres au modèle Ajout de la version 25.18 Les utilisateurs de Conversational Analytics peuvent créer, modifier, partager et supprimer des agents de données lorsqu'ils disposent également des autorisations supplémentaires requises. Avec cette autorisation, un utilisateur n'a pas besoin de disposer d'un accès au contenu de l'agent de données pour pouvoir modifier, supprimer ou partager un agent de données créé par un autre utilisateur.

À savoir sur les ensembles d'autorisations

Les autorisations suivantes interagissent avec les ensembles de modèles d'une manière potentiellement inattendue :

  • develop ; see_lookml : dans l'IDE Looker, un même projet peut contenir plusieurs fichiers de modèle. Si vous attribuez les autorisations develop ou see_lookml à un utilisateur et que vous l'avez autorisé à voir un modèle faisant partie d'un projet, il pourra développer ou voir le code LookML de tous les modèles de ce projet. Toutefois, ils ne pourront toujours pas interroger les modèles que vous n'avez pas autorisés.
  • manage_models : si vous attribuez l'autorisation manage_models à un utilisateur, celui-ci pourra accéder à tous les modèles de tous les projets de l'instance.
  • manage_modelsets_restricted : si vous attribuez l'autorisation manage_modelsets_restricted à un utilisateur, il peut attribuer n'importe quel modèle dans un projet auquel il a accès.
  • manage_project_connections : si vous attribuez les autorisations manage_project_connections_restricted ou manage_project_connections à un utilisateur, il pourra voir, modifier et créer des connexions au niveau du projet pour tous les projets inclus dans l'ensemble de modèles.

Ensembles de modèles

Un ensemble de modèles définit les données et les champs LookML qu'un utilisateur ou un groupe peut voir. Chaque ensemble est une liste de modèles LookML auxquels un utilisateur ou un groupe doit avoir accès. Un ensemble de modèles remplit deux fonctions :

  1. Un ensemble de modèles contrôle les modèles de votre LookML auxquels les autorisations s'appliquent (si ces autorisations sont spécifiques au modèle).
  2. Un ensemble de modèles limite les données et les champs LookML qu'un utilisateur peut voir, car chaque modèle est associé à une connexion de base de données spécifique et contient certains champs LookML.

Créer un ensemble de modèles

Pour créer un ensemble de modèles :

  1. Cliquez sur le bouton Ajouter un ensemble de modèles en haut de la page Rôles.

  2. Looker affiche la page New Model Set (Nouvel ensemble de modèles). Saisissez un nom pour le nouvel ensemble de modèles.

  3. Sélectionnez le ou les modèles à inclure dans le nouvel ensemble de modèles.

  4. Cliquez sur le bouton New Model Set (Nouvel ensemble de modèles) au bas de la page. Le nouvel ensemble de modèles s'affiche dans la section Ensembles de modèles de la page Rôles.

Les modèles inclus dans les projets en attente apparaissent dans la liste Modèles sur les pages Nouvel ensemble de modèles et Modifier l'ensemble de modèles.

La suppression ou le changement de nom d'un modèle ne modifie pas les ensembles de modèles qui l'incluent. Lorsqu'un modèle est supprimé ou renommé, nous recommandons aux administrateurs Looker de supprimer également le nom de ce modèle de tous les ensembles de modèles associés, à l'aide de la page Modifier l'ensemble de modèles. En supprimant le nom d'un modèle supprimé d'un ensemble de modèles, vous évitez qu'un nouveau modèle portant le même nom ne soit inclus involontairement dans cet ensemble de modèles.

Pour en savoir plus sur les modèles, consultez la page de documentation Paramètres de modèle.

Créer plusieurs modèles et ensembles de modèles

L'exemple suivant montre comment utiliser plusieurs ensembles de modèles pour limiter l'accès aux données. Prenons l'exemple d'un scénario dans lequel vous avez deux équipes : Marketing et Assistance. Dans cet exemple, ces deux équipes ne doivent pas avoir accès à l'intégralité du modèle. Vous devez donc créer un modèle distinct pour chacune d'elles. Pour séparer leur accès aux données, procédez comme suit :

  1. Copiez le modèle dans deux nouveaux modèles.
  2. Dans le premier des nouveaux modèles, n'incluez que les vues, les champs et les explorations auxquels l'équipe marketing doit avoir accès.
  3. Créez un ensemble de modèles pour l'équipe marketing qui n'inclut que ce nouveau modèle.
  4. Créez un rôle pour l'équipe marketing qui inclut ce nouvel ensemble de modèles et les autorisations appropriées pour l'équipe marketing.
  5. Attribuez ce nouveau rôle au groupe de l'équipe marketing.
  6. Répétez les étapes 2 à 5 pour configurer le deuxième modèle pour l'équipe d'assistance.

Modifier un ensemble de modèles

Une fois qu'un ensemble de modèles a été créé, procédez comme suit pour le modifier :

  1. Sur la page Rôles, cliquez sur le menu Options à trois points à droite de l'ensemble de modèles que vous souhaitez modifier, puis sélectionnez Modifier.

  2. Looker affiche la page Modifier l'ensemble de modèles. Si vous le souhaitez, saisissez un nouveau nom pour l'ensemble de modèles dans le champ Nom.

  3. Ajoutez ou supprimez des modèles de l'ensemble de modèles dans la section Modèles.

  4. Cliquez sur le bouton Update Model Set (Mettre à jour l'ensemble de modèles) en bas de la page.

Les modèles inclus dans les projets en attente apparaissent dans la liste Modèles sur les pages Nouvel ensemble de modèles et Modifier l'ensemble de modèles.

La suppression ou le changement de nom d'un modèle ne modifie pas les ensembles de modèles qui l'incluent. Lorsqu'un modèle est supprimé ou renommé, nous recommandons aux administrateurs Looker de supprimer également le nom de ce modèle de tous les ensembles de modèles associés, à l'aide de la page Modifier l'ensemble de modèles. En supprimant le nom d'un modèle supprimé d'un ensemble de modèles, vous évitez qu'un nouveau modèle portant le même nom ne soit inclus involontairement dans cet ensemble de modèles.

Supprimer un ensemble de modèles

Pour supprimer un ensemble de modèles, sur la page Rôles, cliquez sur le menu Options à trois points à droite de l'ensemble de modèles que vous souhaitez supprimer, puis sélectionnez Supprimer.

Créer et attribuer des rôles personnalisés

Un rôle personnalisé combine un ensemble d'autorisations par défaut ou personnalisé et un ensemble de modèles par défaut ou personnalisé. Les rôles ne peuvent être créés qu'à partir d'ensembles d'autorisations et de modèles existants. Si aucun ensemble d'autorisations ne représente tout ce que vous souhaitez que l'utilisateur puisse faire, ou si aucun ensemble de modèles ne contient tous les modèles sur lesquels vous souhaitez que l'utilisateur puisse effectuer ces actions, vous devez créer l'ensemble d'autorisations ou l'ensemble de modèles, respectivement.

Créer un rôle personnalisé qui utilise des ensembles d'autorisations et de modèles existants

Pour attribuer un rôle personnalisé avec un ensemble d'autorisations existant et un ensemble de modèles existant, procédez comme suit :

  1. Accédez à la page Rôles dans la section Utilisateurs du panneau Admin.
  2. Sélectionnez Ajouter un rôle.
  3. Saisissez le nom de votre nouveau rôle. Souvent, les noms des rôles indiquent les tâches que l'utilisateur peut effectuer.
  4. À côté de Ensemble d'autorisations, sélectionnez l'ensemble d'autorisations que vous souhaitez utiliser pour ce rôle. L'ensemble d'autorisations s'affiche à côté de l'ensemble d'autorisations sélectionné (ou dans un lien Afficher extensible si l'amélioration de la création/modification de rôles est activée).
  5. À côté de Ensemble de modèles, sélectionnez l'ensemble de modèles que vous souhaitez utiliser pour ce rôle. L'ensemble de modèles apparaît à côté de l'ensemble d'autorisations sélectionné. Pour appliquer l'ensemble d'autorisations sélectionné à tous les modèles de l'instance Looker, sélectionnez Tous.
  6. (Facultatif) Sous Groupes ou Utilisateurs, sélectionnez les groupes ou les utilisateurs auxquels vous souhaitez attribuer le rôle personnalisé. Vous pouvez également ajouter des utilisateurs et des groupes au rôle ultérieurement en modifiant les paramètres du rôle, ou attribuer le rôle ultérieurement depuis la page Utilisateurs ou Groupes du panneau Admin.
  7. Cliquez sur Nouveau rôle (ou sur Confirmer si vous utilisez l'amélioration de la création/modification de rôles) pour enregistrer ce rôle personnalisé.

Créer un rôle personnalisé qui utilise de nouveaux ensembles d'autorisations et de modèles

Pour créer un rôle personnalisé à l'aide de nouveaux ensembles d'autorisations et de modèles, accédez d'abord à la page Rôles dans la section Utilisateurs du panneau Admin.

Pour créer un ensemble d'autorisations, procédez comme suit :

  1. Sélectionnez Ajouter un ensemble d'autorisations.
  2. Attribuez un libellé à votre nouvel ensemble d'autorisations dans le champ Nom.
  3. Sélectionnez les autorisations souhaitées, puis cliquez sur New Permission Set (Nouvel ensemble d'autorisations).

Pour créer un ensemble de modèles, procédez comme suit :

  1. Sur la page Roles (Rôles), sélectionnez Add Model Set (Ajouter un ensemble de modèles).
  2. Saisissez un libellé pour votre nouvel ensemble de modèles dans le champ Nom.
  3. Sélectionnez les modèles auxquels vous souhaitez appliquer votre rôle.
  4. Sélectionnez Nouvel ensemble de modèles.

Pour créer le rôle personnalisé à l'aide des nouveaux ensembles d'autorisations et de modèles, procédez comme suit :

  1. Sur la page Rôles, sélectionnez Ajouter un rôle.
  2. Saisissez le nom de votre nouveau rôle. Souvent, les noms des rôles indiquent les tâches que l'utilisateur peut effectuer.
  3. Attribuez un libellé à votre nouveau rôle dans le champ Nom.
  4. Pour Ensemble d'autorisations, sélectionnez l'ensemble d'autorisations que vous venez de créer.
  5. Pour Ensemble de modèles, sélectionnez l'ensemble de modèles que vous venez de créer.
  6. (Facultatif) Sous Groupes ou Utilisateurs, sélectionnez les groupes ou les utilisateurs auxquels vous souhaitez attribuer le rôle personnalisé. Vous pouvez également ajouter des utilisateurs et des groupes au rôle ultérieurement en modifiant les paramètres du rôle, ou attribuer le rôle ultérieurement depuis la page Utilisateurs ou Groupes du panneau Admin.
  7. Cliquez sur Nouveau rôle (ou sur Confirmer si vous utilisez l'amélioration de la création/modification de rôles) pour enregistrer ce rôle personnalisé.