אדמינים ב-Looker יכולים לנהל את שיטות האימות ואת תפקידי ברירת המחדל ב-Looker במופע Looker (Google Cloud core). בנוסף, אתם יכולים לנהל רכיבים מסוימים של חשבונות משתמשים בתוך המכונה של Looker (Google Cloud core). כך אפשר לוודא שלאנשים הנכונים יש גישה והרשאות מתאימות באפליקציית הניתוח, ולשמור על סביבת נתונים מאובטחת ומאורגנת.
ההרשאה הנדרשת
כדי לנהל משתמשים במכונה של Looker (Google Cloud core), צריך להיות לכם תפקיד אדמין ב-Looker.
הדף "משתמשים"
בדף אדמין > משתמשים ב-Looker מוצגים משתמשים פעילים ב-Looker (Google Cloud core), ואפשר לבצע בו עריכות מסוימות בחשבונות שלהם ב-Looker, כמו עריכה של הגדרות החשבון הבאות:
צריך לערוך את השמות וכתובות האימייל של המשתמשים בספק הזהויות שמשמש לאימות.
בניגוד למכונות של Looker (המקורית), האפשרויות הבאות לא זמינות בדף Users ב-Looker (Google Cloud core):
- הוספת משתמשים (למעט חשבונות שירות)
- שליחת קישור להגדרה / שליחת קישור לאיפוס
- להגדיר אימות דו-שלבי
- sudo כמשתמש
הוספת משתמשים למכונה של Looker (Google Cloud core)
כדי להוסיף משתמשים ספציפיים ב-Looker (Google Cloud core), פועלים לפי ההוראות של שיטת האימות:
- איחוד שירותי אימות הזהות של כוח עבודה: מוסיפים משתמשים או קבוצות בספק הזהויות החיצוני, ומוודאים שתפקיד IAM המתאים ב-Looker (Google Cloud core) מוקצה לחשבון הראשי או לקבוצה במאגר של כוח העבודה ב-IAM. מידע נוסף זמין במאמר שימוש באיחוד שירותי אימות הזהות של כוח עבודה לאימות משתמשים ב-Looker (Google Cloud core).
- Google OAuth: מופעל כברירת מחדל. כדי להוסיף משתמש, צריך לתת לחשבון הראשי שלו תפקיד מתאים ב-IAM ב-Looker (Google Cloud core) באמצעות IAM במסוף Google Cloud .
- SAML או OpenID Connect (OIDC): מוסיפים משתמשים בהגדרות של ספק הזהויות החיצוני. אם מוגדר ספק זהויות אחר, אימות Google OAuth יישאר זמין כשיטת אימות לגיבוי כברירת מחדל.
חשבונות Looker של המשתמשים ייווצרו בכניסה הראשונה. אי אפשר להוסיף משתמשים פרטיים בדף משתמשים, אבל אפשר להוסיף בדף הזה חשבונות שירות ל-API בלבד.
יצירת חשבון שירות עם גישה ל-API בלבד
חשבונות שירות הם החשבונות היחידים שאפשר ליצור במופע של Looker (Google Cloud core).
אפשר ליצור חשבונות API בלבד (שלרוב נקראים חשבונות שירות) מהדף Users במכונה של Looker (Google Cloud core). אפשר להקצות לחשבונות האלה תפקידי אדמין ב-Looker ופרטי כניסה ל-Looker API. עם זאת, אי אפשר להיכנס לחשבונות האלה ב-Looker (Google Cloud core) דרך ממשק המשתמש.
חשבונות שירות משתמשים ברישיונות בהתאם לתפקידים שלהם. אם לחשבון שירות מוקצים כמה תפקידים, הוא צורך רישיון אחד מהרמה הגבוהה ביותר שזמינה בין התפקידים האלה. לדוגמה, אם לחשבון שירות יש גם הרשאות צפייה וגם הרשאות פיתוח, הוא משתמש ברישיון פיתוח.
כדי להוסיף חשבון שירות:
- לוחצים על הכפתור הוספת חשבונות שירות כדי לפתוח את הדף הוספת חשבון שירות חדש.
- בשדה Service Account Name, מזינים שם לחשבון השירות.
- המתג יצירת קבוצת ברירת מחדל של פרטי כניסה ל-API מופעל כברירת מחדל. אם אתם לא רוצים ליצור פרטי כניסה ל-API בשביל החשבון, לחצו על המתג כדי להשבית את האפשרות הזו.
- בוחרים את הקבוצות והתפקידים שרוצים להקצות לחשבון השירות.
- לוחצים על הלחצן שמירה.
אפשר לראות ולערוך חשבונות שירות קיימים בכרטיסייה חשבונות שירות שבדף משתמשים. כדי לערוך חשבון שירות, לוחצים על השורה של חשבון השירות כדי להציג את הדף Edit User. בדף עריכת משתמש אפשר:
- הפעלה או השבתה של חשבון השירות
- עריכת השם של חשבון השירות
- ניהול מפתחות API של חשבון השירות
- להקצות קבוצות ותפקידים שונים
- עריכה של מאפייני המשתמש שמשויכים לחשבון השירות
הסרת הגישה ל-Looker (Google Cloud Core)
כדי להסיר את הגישה למכונה של Looker (Google Cloud core), מבצעים אחת מהפעולות הבאות:
- איחוד שירותי אימות הזהות של כוח עבודה: כדי לבטל את תפקיד ה-IAM של Looker (Google Cloud core) של המשתמש או הקבוצה, משתמשים ב-IAM במסוף Google Cloud , או משביתים את החשבון של המשתמש בספק הזהויות החיצוני.
- Google OAuth: מבטלים את תפקיד ה-IAM של המשתמש ב-Looker (Google Cloud core) באמצעות IAM במסוף Google Cloud .
- SAML או OpenID Connect (OIDC): מעדכנים את ההגדרות בספק הזהויות החיצוני ששימש לאימות.
למרות שהמשתמש לא יכול יותר להתחבר למכונה, חשבון המשתמש עדיין יופיע כפעיל בדף Users. כדי להסיר את חשבון המשתמש מהדף משתמשים, צריך למחוק את המשתמש במופע של Looker (Google Cloud core).
מחיקת משתמשים ממכונה של Looker (Google Cloud core) שמשויכת למינוי ל-Data Studio Pro מפחיתה את מספר הרישיונות ל-Data Studio Pro ללא תשלום שאפשר להקצות למכונה. אם מספר הרישיונות ל-Pro שמוקצים למופע שלכם בחינם יהיה קטן ממספר הרישיונות שבשימוש, ההפרש יומר מיד לרישיונות בתשלום, בכפוף לתמחור של Data Studio Pro.
בחירת שיטת אימות למשתמשי Looker (Google Cloud core)
יכול להיות שתידרש הגדרה של לקוח OAuth כחלק מיצירת מופע, ואימות OAuth הוא שיטת האימות לגיבוי של Looker (Google Cloud core). עם זאת, אתם יכולים לבחור בין כמה שיטות אימות ראשיות שונות. בדף התיעוד שיטות לאימות משתמשים ב-Looker (Google Cloud core) מפורטות שיטות האימות הזמינות.
הגדרת תפקיד ברירת מחדל ב-Looker במכונה של Looker (Google Cloud core)
לפני שמוסיפים משתמשים, אפשר להגדיר את התפקיד ב-Looker שיוקצה כברירת מחדל לחשבונות משתמשים עם התפקיד "משתמש במכונה של Looker" ב-IAM, בכניסה הראשונה שלהם למכונה של Looker (Google Cloud core). כדי להגדיר תפקיד ברירת מחדל, פועלים לפי השלבים שמפורטים במסמכי התיעוד של ספק הזהויות: OAuth, SAML או OpenID Connect.
המאמרים הבאים
- קישור של Looker (Google Cloud core) למסד הנתונים
- הגדרת מכונה של Looker (Google Cloud core)
- הגדרות אדמין ב-Looker (Google Cloud core)
- ניהול מופע של Looker (Google Cloud Core) ממסוף Google Cloud