A página Usuários na seção Usuários do painel Administrador lista todas as contas de usuário na sua instância do Looker.
Como visualizar e pesquisar usuários
A página Usuários mostra as seguintes informações:
As guias agrupam os usuários por tipo:
- A guia Usuários padrão mostra os usuários que fazem login diretamente no Looker, pelo processo de autenticação normal ou pela API Looker.
- A guia Incorporar usuários mostra os usuários incorporados autenticados por um aplicativo de terceiros.
- A guia Contas de serviço mostra contas de serviço somente de API autenticadas pela API Looker usando chaves de API.
- A guia Suporte do Looker mostra os analistas do suporte do Looker que receberam acesso à sua instância do Looker.
O campo Filtrar lista limita quais usuários são mostrados. É possível filtrar por ID, nome ou endereço de e-mail do usuário. Para filtrar por ID do usuário, insira um ID para mostrar esse usuário. Para nome e endereço de e-mail, quando você insere qualquer string, a lista de usuários exibida mostra todos os usuários cujo nome ou endereço de e-mail contém a string inserida no campo de filtro. A Lista de filtros substitui a função de pesquisa na versão anterior da página Usuários.
Ao clicar no cabeçalho da coluna Usuário, a tabela é classificada por nome de usuário em ordem crescente ou decrescente.
Cada linha lista o nome, o ID e o endereço de e-mail do usuário, além de incluir um ícone que indica o tipo de acesso dele. Passe o cursor sobre o ícone para saber o que ele representa.
Clique na linha para editar o usuário. Os usuários que não podem ser editados são indicados por um bloqueio no ícone de usuário. Esses usuários são criados pelo sistema (como membros do grupo "Todos os usuários") ou gerenciados externamente pelo protocolo LDAP, SAML ou OpenID Connect.
A coluna Credencial ativa lista os tipos de acesso que o usuário tem à sua instância do Looker. Essa coluna aparece apenas na guia Usuários padrão.
A coluna Grupos lista todos os grupos a que o usuário pertence.
A coluna Funções lista todas as funções atribuídas ao usuário.
Clique no botão Adicionar para criar novos usuários e contas de serviço.
Clique no menu de três pontos Opções para desativar o usuário, sudo como o usuário, excluir o usuário ou migrar uma conta de usuário para uma conta de serviço.
Adicionar usuários padrão
Para adicionar um usuário padrão, siga estas etapas:
- Clique no botão Adicionar para abrir um menu suspenso.
- Clique no item de menu Usuários para abrir a página Adicionar novos usuários.
- Na página Adicionar um novo usuário, digite ou cole uma lista de endereços de e-mail separados por vírgulas no campo Endereços de e-mail.
- No campo Grupos, selecione os grupos que serão atribuídos aos usuários. Para ver a lista de grupos, comece a digitar no campo Grupos. Todos os nomes de grupos que incluem esse texto vão aparecer.
- No campo Funções, selecione as funções que serão atribuídas aos usuários.
- Clique no botão Salvar para criar os usuários e, se você tiver marcado a caixa de seleção Enviar e-mails de configuração, para enviar e-mails de inscrição.
Como criar uma conta de serviço somente para API
É possível criar contas somente de API (geralmente chamadas de contas de serviço) na página Usuários em uma instância do Looker. Essas contas podem receber o papel de administrador do Looker e as credenciais da API Looker. No entanto, essas contas não podem fazer login no Looker pela UI. Para adicionar uma conta de serviço, siga estas etapas:
- Clique no botão Adicionar para abrir um menu suspenso.
- Clique no item de menu Conta de serviço para abrir a página Adicionar uma nova conta de serviço.
- No campo Nome da conta de serviço, insira um nome para a conta de serviço.
- A chave Criar conjunto padrão de credenciais da API fica ativada por padrão. Se você não quiser que as credenciais da API sejam criadas para a conta, clique no botão para desativar essa opção.
- Selecione os Grupos e Papéis a serem atribuídos à conta de serviço.
- Clique no botão Salvar.
É possível conferir e editar as contas de serviço na guia Contas de serviço da página Usuários. Para editar uma conta de serviço, clique na linha dela para mostrar a página Editar usuário. Na página Editar usuário, é possível fazer o seguinte:
- Ativar ou desativar a conta de serviço
- Editar o nome da conta de serviço
- Gerenciar as chaves de API da conta de serviço
- Atribuir diferentes grupos e funções
- Edite os atributos do usuário associados à conta de serviço.
Migrar contas de usuário para contas de serviço
Em instâncias do Looker (original), algumas contas de usuário padrão podem ser migradas para contas de serviço somente de API. Para se qualificar para a migração, a conta de usuário padrão precisa atender a todos os seguintes critérios:
- A conta não usa um provedor de identidade, como Google, SAML ou OpenID Connect, como método de autenticação no Looker.
- A conta não tem uma senha configurada para as credenciais de e-mail.
- O usuário não fez login na instância do Looker nos últimos sete dias ou, se a conta foi criada há menos de sete dias, o usuário não fez login desde a criação da conta.
O Looker sinaliza os usuários padrão que atendem a esses critérios na coluna Usuário da guia Usuários padrão na página Usuários. Além disso, um banner aparece na parte de cima da página Usuários para indicar que alguns usuários padrão são contas de serviço em potencial.
Se uma conta de usuário padrão atender aos critérios de migração, as duas opções a seguir estarão disponíveis para migrar uma conta padrão para uma conta de serviço:
Uma opção Migrar aparece no menu de três pontos Opções na linha da conta de usuário qualificada. Selecione esse item de menu para abrir a caixa de diálogo Migrar usuário. Clique em Migrar para migrar o usuário. Clique em Cancelar para sair da caixa de diálogo sem migrar.
Clique na linha da conta de usuário qualificada para acessar a página Editar usuário. Na parte de baixo da página Editar usuário, clique no botão Migrar. Na caixa de diálogo exibida, clique em OK para confirmar a migração ou em Cancelar para sair sem migrar.
Se uma conta de usuário não atender aos critérios de migração, as opções de migração não vão aparecer para esse usuário.
A migração de uma conta de usuário para uma conta de serviço não cria credenciais de API, mas as credenciais associadas à conta de usuário são migradas para a conta de serviço.
Editar usuários
Para editar um usuário, clique na linha dele. Na página Editar usuário, ajuste as seguintes configurações conforme necessário.
Conta
Ativar ou desativar a conta de um usuário. Considere desativar a conta de usuário em vez de excluí-la. Esse campo aparece apenas para usuários padrão e contas de serviço.
Nome
Adicione ou edite o nome do usuário, se aplicável. Esse campo não exige um valor, mas pode ser útil para fins organizacionais. Esse campo aparece apenas para usuários padrão e incorporados.
Sobrenome
Adicione ou edite o sobrenome do usuário, se aplicável. Esse campo não exige um valor, mas pode ser útil para fins organizacionais. Esse campo aparece apenas para usuários padrão e incorporados.
Nome da conta de serviço
Edite o nome da conta de serviço. Esse campo aparece apenas para contas de serviço.
Adicione ou edite o endereço de e-mail do usuário. Quando o usuário faz login no Looker, o endereço de e-mail serve como nome de usuário. Esse campo aparece apenas para usuários padrão.
Localidade
O campo Localidade define o idioma da interface do usuário e a localidade do modelo para um usuário. Esse campo aparece apenas para usuários padrão.
Se você quiser que o usuário veja um texto específico da interface do usuário (UI) em um idioma específico, o Looker vai oferecer suporte às traduções da UI mostradas na tabela a seguir. Insira o código no campo Localidade.
Se você quiser que o usuário veja uma versão localizada de um ou mais modelos de dados, insira o título do arquivo de strings do modelo para essa localidade no campo Localidade.
Se você quiser que o usuário veja ambas as localizações de modelo e as traduções integradas da UI do Looker, o arquivo de strings do modelo precisará ter o mesmo nome do código de localidade apropriado na tabela a seguir. Esse código deve ser inserido no campo Localidade.
Para confirmar a configuração de localidade, clique em Salvar na parte de baixo da página.
| Idioma | Código de localidade e nome do arquivo de strings |
|---|---|
| Inglês | en |
| Tcheco | cs_CZ |
| Alemão | de_DE |
| Espanhol (Espanha) | es_ES |
| Finlandês | fi_FI |
| Francês (Canadá) | fr_CA |
| Francês (França) | fr_FR |
| Hindi | hi_IN |
| Italiano | it_IT |
| Japonês | ja_JP |
| Coreano | ko_KR |
| Lituano | lt_LT |
| Norueguês (Bokmål) | nb_NO |
| Holandês | nl_NL |
| Polonês | pl_PL |
| Português (Brasil) | pt_BR |
| Português | pt_PT |
| Russo | ru_RU |
| Sueco | sv_SE |
| Tailandês | th_TH |
| Turco | tr_TR |
| Ucraniano | uk_UA |
| Chinês simplificado | zh_CN |
| Chinês tradicional | zh_TW |
Para usuários sem uma localidade definida, o Looker usa a localidade escolhida na página Localização do painel Administrador como padrão. Se nenhuma localidade for definida lá, o Looker usará en como padrão.
Definir uma localidade personalizada
Os desenvolvedores do Looker podem criar localidades personalizadas para usar apenas na localização de modelos. Os códigos de localidade personalizados são designados pelos títulos dos arquivos de strings criados no processo de localização do modelo. Para aplicar essa localidade personalizada aos usuários, siga estas etapas:
Insira o código de localidade personalizado no campo Localidade. À medida que você começa a digitar no campo, qualquer texto pré-existente desaparece.
Clique em Criar "your_custom_locale_code".
Clique em Salvar, na parte inferior da página. O código será adicionado ao menu suspenso de localidade do usuário.
A interface do Looker não é compatível com localidades personalizadas. Se você usar uma localidade personalizada no campo Localidade de um usuário, a UI vai usar por padrão o idioma definido na localidade da instância.
Formato de número
A configuração padrão do formato de número do Looker para números que aparecem em tabelas de dados e visualizações é 1.234,56. No entanto, o formato de número pode ser definido como um dos seguintes:
- 1.234,56: milhares separados por vírgulas e decimais separados por um ponto.
- 1.234,56: milhares separados por pontos e decimais separados por vírgula
- 1 234,56: milhares separados por espaços e decimais separados por vírgula
Para mais informações e exemplos de como usar a configuração Formato de número, consulte a página de documentação Localizar formatação de números.
Esse campo aparece apenas para usuários padrão.
Fuso horário
Se você ativou os fusos horários específicos do usuário na sua instância do Looker, selecione o fuso horário que será usado quando esse usuário executar uma consulta no Looker.
Enviar link de configuração / Enviar link de redefinição
Se o usuário nunca tiver feito login, o botão vai estar escrito Enviar link de configuração. Se o usuário já tiver feito login, o botão vai estar marcado como Enviar link de redefinição. Se você precisar definir ou redefinir uma senha, clique nesse botão para enviar um link ao endereço de e-mail do usuário especificado anteriormente. Consulte a página de documentação Requisitos de senha para saber como especificar requisitos de complexidade de senha no Looker. Se o usuário não redefinir a senha em uma hora, o link de redefinição vai expirar.
Esse campo aparece apenas para usuários padrão.
Segredo de dois fatores
Essa opção aparece se você tiver ativado a autenticação de dois fatores (2FA) na sua instância. Clique no botão Redefinir para redefinir a 2FA do usuário. Isso faz com que o Looker peça ao usuário para escanear novamente um QR code com o app Google Authenticator na próxima vez que ele tentar fazer login na instância do Looker.
Esse campo aparece apenas para usuários padrão.
Chaves de API
Uma chave de API é usada para acessar a API Looker. As chaves de API são criadas no Looker e consistem em um ID e uma chave secreta do cliente. O Looker exige uma chave de API para executar comandos com a API Looker.
Esse campo aparece apenas para usuários padrão e contas de serviço.
Em uma instância do Looker (original), os administradores do Looker gerenciam as chaves de API dos usuários.
Para gerar chaves de API, na seção Chaves de API da página Administrador > Usuários > Editar usuário, clique no botão Editar chaves. A página Editar chaves de API do usuário é aberta e mostra as chaves de API atuais. Clique no botão Nova chave de API para gerar uma chave.
Em uma instância do Looker (Google Cloud Core), os administradores do Looker permitem que os usuários gerenciem as próprias chaves de API.
Para permitir que um usuário gerencie as chaves de API, na seção Chaves de API da página Administrador > Usuários > Editar usuário, use o campo Chaves de API para ativar ou desativar a capacidade do usuário de criar, visualizar e excluir chaves de API para a conta de usuário dele.
Depois de permitir que um usuário gerencie as chaves de API, ele pode fazer isso na página "Conta". Você também pode clicar no botão Ver chaves de API para abrir a página Chaves de API do usuário, onde é possível conferir as chaves dele.
Os administradores do Looker gerenciam as chaves de API para contas de serviço somente de API.
Para gerar chaves de API para uma conta de serviço somente de API, na seção Chaves de API da página Administrador > Usuários > Editar usuário, clique no botão Gerenciar. A página Chaves de API é aberta e mostra as chaves de API atuais. Clique no botão Criar nova chave de API para gerar uma chave.
As chaves de API têm as mesmas permissões da conta de usuário ou de serviço em que foram criadas.
A prática recomendada é criar contas de serviço dedicadas para scripts de API, uma para cada script. Assim, é possível configurar uma conta de serviço com o conjunto específico de permissões que permite que o script execute apenas a função dele. Por exemplo, para um script de API que executa consultas, você pode criar uma conta de serviço com a permissão access_data, mas sem outras permissões.
Com contas de serviço dedicadas para scripts de API, você aumenta a segurança ao compartimentalizar o acesso de um script. Além disso, se você precisar interromper um script, desative (ou exclua) a conta de serviço dele. Leia a seção Remover o acesso do usuário nesta página antes de excluir qualquer conta de usuário.
Grupos
Lista os grupos de que o usuário é membro. Para adicionar o usuário a um novo grupo, selecione o grupo no menu suspenso. Para remover o usuário de um grupo, clique em X ao lado do nome do grupo na lista.
Os usuários também podem ser adicionados a grupos na página Grupos no painel Administrador.
Papéis
Lista as funções atribuídas ao usuário. Para adicionar uma função ao usuário, selecione a função no menu suspenso. Para remover uma função, clique em X ao lado do nome dela na lista.
Também é possível adicionar papéis na página de administrador Papéis.
Atributos do usuário
Define e remove os valores dos atributos do usuário. Os valores atribuídos a um usuário individual sempre substituem os valores atribuídos como resultado da participação em um grupo. Não é possível editar as configurações do sistema.
Como remover o acesso de usuários
Para remover o acesso de uma conta de usuário ou de conta de serviço ao Looker, desative ou exclua a conta. Na maioria das situações, a prática recomendada é desativar a conta.
As diferenças entre desativar e excluir uma conta estão descritas na tabela a seguir:
| Descrição | Desativado | Excluído |
|---|---|---|
| O usuário pode fazer login na instância do Looker. | Não | Não |
| A pasta pessoal do usuário | Ainda existe | Excluído |
| Looks e dashboards na pasta pessoal do usuário | Ainda existe | Movidos para a pasta Lixeira |
| Aparências e painéis salvos pelo usuário em uma pasta compartilhada | Ainda existem na pasta compartilhada | Ainda existem na pasta compartilhada |
| Programações criadas pelo usuário | As programações estão desativadas | As programações são excluídas |
| Programações baseadas no conteúdo do usuário, mas criadas por outra pessoa | As programações continuam sendo executadas | O conteúdo do usuário é excluído, e as programações baseadas nele também são excluídas. |
| Programações que listam o usuário como destinatário e são criadas por outra pessoa com a capacidade de entregar conteúdo a contas de e-mail externas | As programações vão continuar sendo executadas e entregues normalmente (o usuário será tratado como um usuário externo). | As programações continuam sendo executadas e entregues normalmente (o usuário será tratado como um usuário externo). |
| Programações que têm a opção Executar programação como destinatário ativada e listam o usuário como destinatário | Os agendamentos vão continuar sendo executados, mas não serão entregues ao usuário desativado na próxima execução. | Os agendamentos continuam sendo executados, mas não serão entregues a todos os usuários com o erro run_as_recipient was specified on ScheduledPlan but recipient is not a Looker user. |
| Quadros criados pelo usuário | Ainda existe | Ainda existe |
| Alertas criados pelo usuário | Permanecem ativos, mas não ficam visíveis nem podem ser editados no painel em que o alerta foi definido, a menos que um administrador faça a autoatribuição. Os administradores podem editar ou atribuir o alerta a si mesmos na página de administração Alertas no painel Administrador. | Os alertas são excluídos imediatamente dos painéis e da página de administração Alertas no painel Administrador. |
| Informações de uso histórico do usuário | Mantido | A maioria é excluída |
Desativar usuários
Para impedir o acesso de uma conta de usuário ou de conta de serviço ao Looker, a prática recomendada é desativar a conta. Quando você desativa uma conta, o histórico de uso e o conteúdo pessoal dela são mantidos. Para mais detalhes sobre as diferenças entre desativar e excluir contas, consulte a tabela na seção Remover o acesso do usuário nesta página.
Se você estiver usando uma instância do Looker (Google Cloud Core), desativar um usuário não vai afetar as permissões do IAM dele. Remova as permissões do IAM do Looker para garantir que um usuário não possa acessar a instância.
Para desativar uma conta, selecione Desativar no menu de três pontos Opções à direita da linha do usuário.
Excluir usuários
Em vez de excluir um usuário, considere desativar a conta dele. Isso impede que um usuário faça login, mas as informações, o conteúdo e o histórico dele permanecem intactos. Para mais detalhes sobre as diferenças entre desativar e excluir usuários, consulte a tabela na seção Remover o acesso do usuário desta página.
Se você estiver usando uma instância do Looker (Google Cloud Core), a exclusão de um usuário não afetará as permissões do IAM dele. Remova as permissões do IAM do Looker para garantir que um usuário não possa acessar a instância.
Para excluir uma conta, faça uma destas ações:
- No menu de três pontos Opções à direita da linha da conta, selecione Excluir.
- Na página Editar usuário da conta, clique no botão Excluir.
Excluir usuários de uma conta do Looker associada a uma assinatura do Looker Studio Pro reduz o número de licenças sem custo financeiro do Looker Studio Pro alocadas para a conta. Se o número de licenças Pro sem custo financeiro alocadas à sua conta for menor do que o número de licenças em uso, a diferença será convertida em licenças pagas em até 24 horas, de acordo com os preços do Looker Studio Pro.
Representação (sudo) de usuários
Com o sudo, você navega no Looker como se fosse outro usuário, com todos os privilégios e recursos dele.
O uso do sudo também é uma maneira útil de validar se você configurou corretamente as permissões e outros recursos ou de ver o desenvolvimento da LookML de um usuário antes que ele confirme e envie as mudanças.
As permissões see_users e sudo são necessárias para usar o sudo como outro usuário. Os administradores podem usar o sudo como qualquer outro usuário, incluindo outros administradores. Os usuários que não são administradores só podem usar o sudo como outros usuários que não são administradores.
Para executar sudo como um usuário, selecione Executar sudo como este usuário no menu de três pontos Opções à direita da linha do usuário:
Uma barra na parte de cima da tela avisa que você está em um estado sudo. Isso permite sair do estado sudo. As mudanças feitas nesse estado vão afetar o usuário que você está emulando.
Se você estiver no Modo de Desenvolvimento, suas mudanças não vão ficar visíveis para outros usuários até que você implante as mudanças na produção. Se você não tiver implantado as mudanças para outros usuários, elas não vão aparecer quando você usar o sudo como um usuário diferente.
Usar o sudo como um usuário de incorporação assinada e interagir diretamente com uma instância do Looker, sem usar um iframe incorporado, pode causar resultados inesperados. Além das restrições das permissões normais, os usuários incorporados autenticados são restritos pelo iframe incorporado. No entanto, essas restrições podem não estar presentes quando alguém usa o sudo como um usuário incorporado conectado e interage fora de um iframe.
Para conexões de banco de dados que usam OAuth, como Snowflake e Google BigQuery, um administrador que está usando sudo como outro usuário vai usar o token de acesso OAuth do usuário sudo ao executar consultas. Para conexões do Snowflake, se o token de acesso do usuário expirar, o administrador não poderá criar um novo token em nome do usuário com sudo. O usuário precisa fazer login no Snowflake e autorizar novamente o Looker.