管理员设置 - 角色

角色、权限集和模型集可结合使用，用于管理用户可以执行的操作和可以查看的内容。通过管理控制台用户部分中的角色页面，您可以查看、配置和分配角色、权限集和模型集。

您可以在右上角的搜索框中输入搜索字词，然后按 Enter 键，搜索特定角色、权限集和模型集。

定义

  • 角色定义了用户或群组对 Looker 中特定模型集拥有的权限。您可以通过将一个权限集与一个模型集组合在一起来创建角色。
  • 权限集定义了用户或群组可以执行的操作。您可以选择要分配给用户或群组的权限组合。它必须作为角色的一部分使用才能发挥作用。
  • 模型集定义了用户或群组可以查看哪些数据和 LookML 字段。您可以选择用户或群组应有权访问的 LookML 模型组合。它必须作为角色的一部分使用才能发挥作用。

管理角色

角色由一个权限集和一个模型集组合而成。一种常见的做法是，根据组织中的人员类型或群组类型来命名角色，例如管理员、Looker 开发者、财务团队，但您也可以遵循自己的命名惯例。

用户在 Looker 中可以拥有多个角色。如果您的用户在公司中扮演多个角色，或者您希望为模型创建复杂的访问权限系统，此功能会非常有用。

创建、修改和删除角色

如需创建角色，请按以下步骤操作：

  1. 点击角色页面顶部的添加角色按钮。

  2. Looker 会显示新角色页面，您可以在其中配置以下设置：

    • 名称：输入角色的名称。
    • 权限集：选择要与角色关联的权限集。
    • 模型集：选择要与角色关联的模型集。
    • 群组：（可选）选择一个或多个要分配角色的群组。
    • 用户：视需要选择一个或多个用户来分配角色。

  3. 按预期配置角色后，点击页面底部的新角色按钮。

创建角色后，您可以在角色页面上点击该角色右侧的三点状选项菜单，然后选择修改，即可修改该角色。选择修改后，您会进入该角色的修改角色页面，您可以在其中修改名称、权限集、模型集以及分配给该角色的群组或用户。

如需删除角色，请在角色页面上点击相应角色右侧的三点状选项菜单，然后选择删除。

使用“新建/修改角色”增强功能创建和修改角色

在您的实例上启用“新建/修改角色”增强功能预览版功能后，新建角色和修改角色页面会提供一个更新后的分步导航面板，其中包含分页搜索表、实时兼容性验证和安全保障。

使用增强型界面创建角色

如需使用增强型界面创建角色，请按以下步骤操作：

  1. 点击角色页面顶部的添加角色按钮。

  2. Looker 会显示新角色页面。在左侧的步骤导航面板中，浏览各个部分以配置角色：

    • 角色名称：在内容面板中输入角色的描述性名称。角色名称会在摘要步骤面板中动态更新。

    • 权限集：使用单选按钮从分页表格中选择单个权限集。

      • 使用表格顶部的搜索栏按名称过滤权限集。
      • 点击权限集下方可展开的查看链接，即可检查其包含的权限，而无需选择该权限集。
      • 点击权限集名称旁边的修改图标，即可在新的浏览器标签页中修改自定义权限集。内置权限集（Admin 和 Gemini）会显示为已停用，无法选择。

    • 模型集：使用单选按钮从分页表格中选择一个模型集。

      • 使用搜索栏按名称过滤模型集。
      • 点击查看，检查模型集中包含的模型。
      • 点击模型集名称旁边的修改图标，即可在新的浏览器标签页中修改模型集。

    • 用户：（可选）使用分页表格中的复选框，为该角色分配一个或多个用户。

      • 使用搜索栏按 ID、姓名或邮箱过滤用户。
      • 无法选择通过身份验证配置停用了直接角色分配的用户。

    • 群组：（可选）使用分页表格中的复选框，为角色分配一个或多个群组。

      • 使用搜索栏按 ID 或名称过滤群组。
      • 外部管理的群组会显示为已停用，以防止手动重新分配。

  3. 在步骤面板中查看您的选择。完成所需选择后，每个步骤旁边的对勾图标都会变为绿色。

  4. 配置完所有必需设置（角色名称、权限集和模型集）后，点击创建角色。

  5. 在确认新角色对话框中，查看权限集、模型集、用户和群组的更改摘要，以及任何群组继承警告。点击确认以确认并创建角色。

使用增强型界面修改角色

如需使用增强型界面修改现有角色，请按以下步骤操作：

  1. 在角色页面上，点击要修改的角色右侧的三点状选项菜单，然后选择修改。
  2. Looker 会显示修改角色页面，其中预填充了角色的当前配置。您可以按顺序浏览每个部分，也可以直接在步骤面板中选择相应部分，以修改角色的名称、权限集、模型集以及分配的用户或群组。
  3. 完成更改后，点击保存角色。

  4. 在确认更新角色对话框中，查看权限集、模型集、用户和群组的更改摘要，以及任何群组继承警告。点击确认以确认并创建角色。

如果您尝试离开页面或关闭标签页而不保存更改，系统会显示未保存的更改提示，警告您除非在离开页面之前保存更改，否则更改将会丢失。点击取消会舍弃更改，并直接返回角色页面。

权限集和模型集兼容性检查

在您配置角色时，Looker 会实时验证所选权限集和模型集的兼容性：

  • develop 和 manage_models 权限：如果所选权限集同时包含 develop 和 manage_models 权限，则角色必须使用所有模型集。列表中的所有其他模型集均处于停用状态。
  • manage_modelsets_restricted 权限：如果所选权限集包含 manage_modelsets_restricted 权限，则该角色无法使用全部模型集。全部模型集已停用。
  • 具有“全部”模型集的受限权限集：如果首先选择全部模型集，则包含 manage_modelsets_restricted 权限的任何权限集都会被停用。

防止管理员无法登录

为防止管理员意外失去管理员权限，管理员角色修改页面会停用已登录管理员的复选框。只有当用户的管理员访问权限通过 Google Cloud IAM 同步在外部进行管理时，系统才会绕过此锁定预防机制。

直接角色继承限制

如果实例的 SAML、OpenID Connect 或 LDAP 身份验证配置停用了直接角色分配，则用户表中这些用户的复选框会被停用。管理员仍然可以从已直接分配该角色的用户中取消分配该角色。

管理员助理

在实例上启用管理员助理功能后，您可以点击新角色或修改角色页面标题中的 管理员助理按钮，打开管理员助理面板。管理员助理会提供有关角色创建最佳实践、权限依赖项和 Gemini 功能访问权限的指导。

默认角色

对于新实例，Looker 会创建以下默认角色，每个角色都包含一个同名的默认权限集：

以下部分中的默认角色具有使用条件。

通过 IAM 分配的 Admin 角色

Admin via IAM 角色仅在 Looker (Google Cloud Core) 中可用，并且只能通过 Google Cloud 控制台进行管理。如需了解详情，请参阅使用 OAuth 和 IAM 进行身份验证和授权以及Looker 管理员角色与通过 IAM 授予的 Looker 管理员角色文档。

Admin via IAM 角色使用 Admin 权限集。

Looker CI 用户

系统会自动为已启用持续集成的 Looker 实例创建 Looker CI Users 角色。Looker CI Users 角色会应用于 Looker CI 服务账号，这些账号可在用户管理页面的服务账号标签页中查看。Looker 会使用这些 CI 服务账号在实例上执行 CI 运行。

Looker CI Users 角色具有执行 CI 运行所需的以下权限：

  • deploy：设置 CI 运行所需的 GitHub webhook 时需要此权限
  • see_ci：查看 CI 运行结果、查看 CI 套件页面以及运行 CI 套件时需要
  • manage_ci：需要此权限才能创建 CI 套件、管理 CI 用户，以及配置与持续集成的 Git 连接

Gemini

Gemini 角色无法重命名或删除。默认情况下，此角色的权限集会应用于 Looker 实例上的所有模型。此角色中包含的 Gemini 权限集可让用户在 Looker 实例中借助 Gemini 执行以下任务，前提是他们还拥有其他所需权限：

  • 编写 LookML - 如果他们还拥有 Looker 角色，该角色包含 LookML 项目中至少一个模型的 develop 权限。
  • 创建自定义 Looker 可视化图表 - 当他们还拥有包含 can_override_vis_config 权限的 Looker 角色时。
  • 即使未在 Looker 中为用户分配 explore 权限，只要用户还拥有包含其他必需权限的 Looker 角色，就可以直接查询 Looker 探索数据，或与使用对话式分析查询探索数据的数据代理对话。

如需使用对话式分析，您需要其他权限，这些权限可以通过对话式分析代理管理员或对话式分析用户角色授予。

如需详细了解 Gemini in Looker 功能，请参阅 Gemini in Looker 概览。

对话式分析智能体管理器

对话式分析代理管理员角色包含 Looker 实例上所有模型的对话式分析代理管理员权限集。拥有此角色的用户可以创建、修改、共享和删除使用 Looker 探索的 Conversational Analytics 数据代理，还可以创建代理工作流。

Conversational Analytics User

Conversational Analytics User 角色包含 Looker 实例上所有模型的对话式分析用户权限集。具有此角色的用户可以与 Looker 中的任何对话分析数据智能体对话，前提是他们已被授予对该数据智能体的查看权限，并且可以创建 Agentic Workflows。

Conversational Analytics Viewer 添加时间：26.12

Conversational Analytics Viewer 角色包含 Looker 实例上所有模型的对话式分析查看者权限集。拥有此角色的用户可以与 Looker 中的任何对话式分析数据智能体对话，前提是他们已获得对该数据智能体的查看权限，并且对相应模型拥有 access_data 权限。

Support Advanced Editor 和 Support Basic Editor

如果 Looker 管理员停用了分层支持访问权限实验室功能，这些角色将不会显示在 Looker（原始版本）实例中。如果 Looker (Google Cloud Core) 实例使用专用连接（专用服务访问通道或 Private Service Connect）网络或混合连接网络，则这些角色不会显示在该实例上。

支持高级编辑者和支持基本编辑者角色无法修改、删除或分配给支持访问用户以外的用户。

为用户分配默认角色

如需更新单个用户的设置以分配默认角色，请按以下步骤操作：

  1. 前往管理面板的用户部分中的用户页面。
  2. 选择要更改其权限的用户或群组。
  3. 从角色下拉菜单中，选择角色名称。
  4. 选择保存以保留这些设置。

权限集

权限集定义了用户或群组可以执行的操作。管理员可以使用 Looker 的默认权限集或创建原始权限集，同时牢记权限依赖项。

权限列表中更详细地介绍了所有可用权限及其类型。

默认权限集

对于新安装，Looker 包含多个默认权限集，您可以从这些权限集开始：

权限集 包含的权限
管理员 所有权限
开发者 access_data、can_create_forecast、clear_cache_refresh、create_custom_fields、create_table_calculations、deploy、develop、download_without_limit、explore、manage_spaces、mobile_app_access、save_content、save_dashboards、save_looks、schedule_look_emails、see_drill_overlay、see_lookml、see_lookml_dashboards、see_looks、see_pdts、see_sql、see_user_dashboards、send_to_integration、schedule_without_limit、use_sql_runner

NOTE：仅对于使用 Looker 21.18 或更高版本创建的 Looker 安装，see_pdts 权限才包含在开发者默认权限中。如需验证实例上的 Developer 权限集中是否包含 see_pdts 权限，请前往 Looker 界面中管理面板内的角色页面。
Gemini gemini_in_looker、chat_with_agent、chat_with_explore、save_agents
对话式分析智能体管理器 access_data、gemini_in_looker、chat_with_agent、chat_with_explore、save_agents、upload_data
Conversational Analytics User access_data、gemini_in_looker、chat_with_agent
Conversational Analytics Viewer 添加时间：26.12 gemini_in_looker、chat_with_explore、chat_with_agent
Customer Engineer Advanced Editor access_data、can_create_forecast、can_override_vis_config、chat_with_agent、chat_with_explore、clear_cache_refresh、create_custom_fields、create_table_calculations、deploy、develop、explore、follow_alerts、gemini_in_looker、manage_embed_settings、manage_models、manage_privatelabel、manage_project_connections、manage_project_connections_restricted、manage_project_models、manage_themes、save_agents、save_content、save_dashboards、save_looks、see_admin、see_alerts、see_datagroups、see_drill_overlay、see_logs、see_lookml、see_lookml_dashboards、see_looks、see_pdts、see_queries、see_schedules、see_sql、see_system_activity、see_user_dashboards、see_users、update_datagroups、use_global_connections

NOTE：只有在启用分层支持访问权限 Labs 功能后，客户工程师高级编辑者权限集才可用。客户工程师 Advanced Editor 权限集无法修改或删除。
Support Advanced Editor access_data、clear_cache_refresh、create_custom_fields、create_table_calculations、develop、explore、follow_alerts、manage_embed_settings、manage_models、manage_privatelabel、manage_project_connections、manage_project_connections_restricted、manage_project_models、manage_themes、see_admin、see_alerts、see_datagroups、see_drill_overlay、see_logs、see_lookml、see_lookml_dashboards、see_looks、see_pdts、see_queries、see_schedules、see_sql、see_system_activity、see_user_dashboards、see_users、update_datagroups、use_global_connections

NOTE：只有在启用分层支持访问权限实验室功能后，支持高级编辑器权限集才可用。Support Advanced Editor 权限集无法修改或删除。
Support Basic Editor access_data、clear_cache_refresh、create_custom_fields、create_table_calculations、explore、follow_alerts、manage_privatelabel、manage_themes、see_admin、see_alerts、see_drill_overlay、see_logs、see_lookml、see_lookml_dashboards、see_looks、see_pdts、see_schedules、see_sql、see_datagroups、see_system_activity、see_user_dashboards、see_users

NOTE：只有在启用分层支持访问权限 Labs 功能后，Support Basic Editor 权限集才可用。Support Basic Editor 权限集无法修改或删除。
LookML 信息中心用户 access_data、clear_cache_refresh、mobile_app_access、see_lookml_dashboards
用户 access_data、can_create_forecast、clear_cache_refresh、create_custom_fields、create_table_calculations、download_without_limit、explore、manage_spaces、mobile_app_access、save_content、save_dashboards、save_looks、schedule_look_emails、see_drill_overlay、see_lookml、see_lookml_dashboards、see_looks、see_sql、see_user_dashboards、send_to_integration、schedule_without_limit
无法查看 LookML 的用户 access_data、can_create_forecast、clear_cache_refresh、create_custom_fields、create_table_calculations、download_without_limit、explore、manage_spaces、mobile_app_access、save_content、save_dashboards、save_looks、schedule_look_emails、see_lookml_dashboards、see_looks、see_user_dashboards、send_to_integration、schedule_without_limit
查看者 access_data、clear_cache_refresh、download_without_limit、mobile_app_access, schedule_look_emails、see_drill_overlay、see_lookml_dashboards、see_looks、see_user_dashboards、schedule_without_limit

创建新角色时，您会看到这些权限集显示为选项。如果您选择其中一个权限集，Looker 将显示其包含的权限列表。

创建权限集

如需创建权限集，请点击角色页面顶部的添加权限集按钮。Looker 会显示一个页面，您可以在其中输入权限集的名称，并选择该权限集应包含的权限。根据需要配置权限集后，点击页面底部的 New Permission Set 按钮。

创建权限集后，您可以在角色页面上点击权限集右侧的三点状选项菜单，然后选择修改或删除，以修改或删除该权限集。

权限和依赖项

某些权限需要依赖其他权限才能正常发挥作用。例如，想要在 LookML 中进行开发的用户必须首先能够查看 LookML，这很合理。

创建权限集时，您会在缩进列表中看到可用权限。如果某项权限缩进显示在另一项（父级）权限下方，您必须先选择父级权限。权限列表可能如下所示：

☑️ access_data
  ☑️ see_lookml_dashboards
  ☑️ see_looks
    ☑️ see_user_dashboards

在此示例中，Looker 使用缩进来表示以下内容：

  • 您可以随时选择 access_data 权限。
  • see_lookml_dashboards 和 see_looks 权限需要先选择 access_data 权限。
  • see_user_dashboards 权限依赖于 see_looks 权限，而后者又依赖于 access_data 权限。

您必须先选择父级权限，然后才能选择其子级权限。

权限和 Looker 许可

Looker 许可将用户分为三种类型：

  • 开发者（管理员）
  • 标准版（创作者）
  • 查看者

授予用户的权限决定了该用户在 Looker 许可下的分类：

权限列表

权限可分为以下三种类型：

  • 特定于模型：此类权限仅应用于属于同一角色的模型集。此权限应用于单个模型或模型集，而非整个 Looker 实例。
  • 连接专用：此类权限在连接级别应用。拥有此类权限的用户将看到内容管理控制台面板页面，这些页面使用与他们有权访问数据的模型相关联的连接，即使该连接与他们无权访问数据的另一个模型一起使用也是如此。
  • 实例级：此类权限适用于整个 Looker 实例，分为三种类型：
    • NN = 无内容访问权限，无菜单访问权限：这些权限允许用户在整个 Looker 实例中执行某些功能，但不允许用户访问基于其角色的模型集中未包含的模型的内容。
    • CN = 内容访问权限，无菜单访问权限：这些权限允许用户访问整个 Looker 实例中的内容和查询信息，即使内容和查询基于其角色的模型集中未包含的模型，也不例外。
    • CM = 内容访问权限、菜单访问权限：这些权限可能会向非管理员用户公开管理员菜单的部分内容，并允许用户查看基于其角色模型集中未包含的模型的内容和查询的相关信息。

以下列表按照管理部分中新建权限集页面上的显示顺序，介绍了 Looker 中提供的所有权限：

权限 依赖于 类型 定义
access_data 无 特定于模型 用户可以访问 Looker 中的数据，但只能访问管理员指定的数据。几乎所有 Looker 功能都需要此权限。

拥有此权限的用户如果可以访问给定项目中的任何模型，则可以访问该项目数据部分中的任何文件（例如 JSON 自定义地图文件）。

拥有此权限的数据洞察用户可以在使用 Looker 连接器的数据洞察报告中查看 Looker 数据。
see_lookml_dashboards access_data 特定于模型

用户可以看到 LookML Dashboards 文件夹，其中包含所有 LookML 信息中心。用户必须对任何相关模型拥有 explore 权限，才能探索这些信息中心。同时拥有 develop 权限的用户可以创建 LookML 信息中心。
see_looks access_data 特定于模型 用户可以查看文件夹中保存的 Look（但无法查看信息中心）。用户必须拥有任何相关模型的 explore 权限，才能探索这些 Look。用户还需要具有查看内容访问权限级别，才能查看文件夹中的 Look。
see_user_dashboards see_looks 特定于模型 用户可以查看文件夹中的用户定义的信息中心，但必须拥有任何相关模型的 explore 权限才能探索这些信息中心。用户还需要查看内容访问权限，才能查看文件夹中的信息中心。同时拥有 save_dashboards 权限和文件夹的管理访问权限、修改内容访问权限的用户可以在该文件夹中创建用户定义的信息中心。
explore see_looks 特定于模型 用户可以访问和使用“探索”页面来生成 Look 和信息中心。如果没有此权限，用户只能查看已保存的信息中心（如果已授予 see_lookml_dashboards 或 see_user_dashboards 权限）。

拥有此权限的数据洞察用户可以在数据洞察中基于 Looker 探索创建数据源。他们还可以在数据洞察中查看和修改该数据源的配置。
create_table_calculations explore 实例级 NN 用户可以查看、修改或添加表计算
create_custom_fields explore 实例级 NN 用户可以查看、修改或添加自定义字段；仅拥有 explore 权限的用户只能查看自定义字段。
can_create_forecast explore 实例级 NN 用户可以在可视化图表中创建和修改预测；没有此权限的用户只能在有权访问的内容中查看现有预测。
can_override_vis_config explore 实例级 NN 用户可以访问图表配置编辑器，以便修改可视化图表的 Highchart API JSON 值，并自定义可视化图表的外观和格式。
save_content see_looks 实例级 NN 此权限是 save_dashboards、save_looks 和 create_public_looks 的父级权限。必须同时授予此权限和 save_dashboards 或 save_looks，才能修改 Look 和信息中心，包括修改 Look 和信息中心的说明。
save_dashboards save_content 实例级 NN 用户可以保存和修改信息中心，包括修改信息中心的说明。用户必须对任何相关模型拥有 explore 权限，才能从这些信息中心进行探索。用户必须拥有 download_with_limit 和/或 download_without_limit 权限才能下载内容。
save_looks save_content 实例级 NN 用户可以保存和修改 Look，包括修改 Look 的说明。用户必须拥有任何相关模型的 explore 权限，才能通过这些 Look 进行探索。用户必须拥有 download_with_limit 和/或 download_without_limit 权限才能下载内容。
create_public_looks save_looks 特定于模型 用户可以将已保存的 Look 标记为公开，这样系统就会生成无需身份验证即可访问该 Look 的网址。
download_with_limit see_looks 特定于模型

此权限适用于 Looker 中的 Look 和信息中心，以及数据洞察中使用 Looker 连接器的报告。

用户可以下载数据，但必须指定 5,000 行或更少的行数限制，以避免因下载大量数据而出现内存问题。

拥有此权限的数据洞察 Pro 用户可以下载使用 Looker 连接器的数据洞察报告。

download_without_limit see_looks 特定于模型

此权限适用于 Looker 中的 Look 和信息中心，以及数据洞察中使用 Looker 连接器的报告。

与 download_with_limit 相同，但不需要用户指定行数限制。对于某些类型的查询，下载所有结果可能需要大量内存，这可能会导致性能问题，甚至导致 Looker 实例崩溃。

拥有此权限的数据洞察 Pro 用户可以下载使用 Looker 连接器的数据洞察报告。
schedule_look_emails see_looks 特定于模型 此权限适用于 Looker 中的 Look 和信息中心，以及数据洞察中使用 Looker 连接器的报告。

用户可以安排通过电子邮件发送他们有权访问数据的任何 Look、信息中心和包含可视化图表的查询。用户可以安排在数据组触发、管理缓存并重新构建相关 PDT 后进行传送。

如需发送或安排系统活动信息中心，用户必须有权访问所有模型。

同时拥有 create_alerts 权限的用户可以发送电子邮件提醒通知。

Looker 管理员可以使用管理面板的设置页面上的电子邮件域名许可清单，控制 Looker 用户和嵌入用户可以向哪些电子邮件域名发送电子邮件。

同时获授 schedule_without_limit 权限的用户在交付 Look 或探索时可以选择所有结果，这样系统就会交付查询结果中的所有数据行。如果没有 schedule_without_limit 权限，用户交付的 Look 或探索数据将受限于 5,000 行的行数上限。

拥有此权限的数据洞察 Pro 用户可以安排定期发送使用 Looker 连接器的数据洞察报告。
schedule_external_look_emails schedule_look_emails 特定于模型 用户可以发送他们有权访问数据的任何 Look、信息中心和包含可视化图表的查询到电子邮件。用户可以安排在数据组触发、管理缓存并重新构建相关 PDT 后进行传送。

如需发送或安排系统活动信息中心，用户必须有权访问所有模型。

同时拥有 create_alerts 权限的用户可以发送电子邮件提醒通知。

无论管理控制台面板的设置页面上的电子邮件域名许可清单是否包含任何电子邮件域名，用户都可以将内容传送或提醒通知发送到任何域名的电子邮件地址。
create_alerts see_looks 实例级 NN

此权限适用于 Looker 中的信息中心，以及使用 Looker 连接器的数据洞察报告中的图表。

用户可以通过信息中心图块创建、复制和删除自己的提醒，还可以查看和复制其他用户标记为公开的提醒。用户必须登录 Slack 才能看到发送 Slack 通知的仪表板图块提醒。用户可以在管理提醒用户页面上查看、修改、停用和启用自己拥有的提醒。用户必须拥有 schedule_look_emails 或 schedule_external_look_emails 权限才能发送邮件提醒通知。

拥有此权限的数据洞察 Pro 用户可以针对使用 Looker 连接器的数据洞察报告创建、复制和删除提醒。
follow_alerts see_looks 实例级 NN

用户可以查看和关注提醒。在管理提醒用户页面中，查看他们已关注或被列为接收者的提醒。
send_to_s3 see_looks 特定于模型 用户可以向 Amazon S3 存储桶交付任何带有可视化效果的 Look、仪表板和查询，只要他们拥有数据访问权限。用户可以安排在 datagroup 触发、管理缓存并重新构建相关 PDT 后进行传送。

此权限应用于单个模型或模型集，而不是整个 Looker 实例。
send_to_sftp see_looks 特定于模型 用户可以将他们拥有数据访问权限的任何 Look、信息中心和包含可视化图表的查询传送到 SFTP 服务器。用户可以安排在 datagroup 触发、管理缓存并重新构建相关 PDT 后进行传送。

此权限应用于单个模型或模型集，而不是整个 Looker 实例。
send_outgoing_webhook see_looks 特定于模型 用户可以将他们拥有数据访问权限的任何 Look、信息中心和包含可视化图表的查询发送到 webhook。用户可以安排在 datagroup 触发、管理缓存并重新构建相关 PDT 后进行传送。

此权限应用于单个模型或模型集，而不是整个 Looker 实例。
send_to_integration see_looks 特定于模型 用户可以使用 Looker Action Hub 将他们有权访问数据的任何 Look、信息中心和包含可视化图表的查询传送到与 Looker 集成的第三方服务。如果将自定义操作与用户属性搭配使用，用户必须拥有此权限，并且为指定用户属性设置非 null 且有效的用户属性值，才能将 Looker 内容传送到该操作目标位置。此权限与数据操作无关。用户可以安排在 datagroup 触发、管理缓存并重新构建相关 PDT 后进行传送。

此权限会应用于单个模型或模型集，而不是整个 Looker 实例。
schedule_without_limit see_looks 特定于模型 添加了 26.4 如果与至少一项允许用户传送 Looker 内容的其他权限结合使用，此权限可让用户传送 Look 或探索，以发送所有数据行。此权限会使 Looker 调度器中针对 Look 和探索的所有结果选项可见。
see_sql see_looks 特定于模型 用户可以在探索时访问 SQL 标签页，并查看由其查询引起的任何 SQL 错误。
see_lookml see_looks 特定于模型 用户对 LookML 拥有只读权限。用户必须拥有此权限，才能在管理面板中看到前往 LookML 链接。

如果您希望用户能够修改 LookML，还必须向其授予 develop 权限。

NOTE：此权限可能会以意想不到的方式与模型集交互。如果您向某个用户分配了 see_lookml 权限，并且您已允许该用户查看属于某个项目的任何模型，则该用户将能够查看该项目中所有模型的 LookML。不过，他们仍然无法查询您未允许的模型。
develop see_looks 特定于模型 用户可以对 LookML 进行本地更改，但除非他们还拥有 deploy 权限，否则无法让所有人都能看到这些更改。

您需要拥有此权限，才能在帮助菜单中看到获取支持选项，以及在 Looker IDE 中查看元数据。用户还需要此权限才能访问“探索”齿轮菜单中的重新构建派生表并运行选项。此权限不针对特定模型，因此如果用户在一个模型中拥有此权限，则可以在所有模型中访问重新构建派生表并运行。

NOTE：此权限会以可能意想不到的方式与模型集交互。如果您向某个用户分配了 develop 权限，并且您已允许该用户查看属于某个项目的任何模型，则该用户将能够为该项目中的所有模型开发 LookML。不过，他们仍然无法查询您未允许的模型。
deploy develop 实例级 NN 用户可以将本地 LookML 更改推送到生产环境，以便所有人都能看到这些更改。
support_access_toggle develop 实例级 NN 用户可以启用或停用 Looker 分析师对 Looker 实例的访问权限。
manage_project_models develop 特定于模型 用户可以在修改模型配置页面上为允许的模型添加、修改或删除模型配置。配置模型时，用户只能使用项目级连接。

NOTE：此权限可能会以意想不到的方式与模型集交互。如果您创建的角色具有 manage_project_models 权限，则该角色将授予对与该角色的模型集中的任何模型共享项目的所有模型的访问权限。
use_global_connections manage_project_models 特定于模型 用户可以使用任何项目级连接或任何实例级连接来配置允许的模型。
manage_project_connections_restricted develop 模型专用 CM 用户可以在管理菜单中看到连接页面。他们可以查看、修改和创建模型集中任何项目的项目级连接。不过，他们只能修改以下连接设置： 用户无法修改其他设置部分中的任何其他设置。他们也无法修改永久性派生表 (PDT) 部分中的任何设置。

NOTE：此权限会以可能意想不到的方式与模型集交互。如果您向用户分配 manage_project_connections_restricted 权限，该用户将能够查看、修改和创建模型集中包含的任何项目的项目级连接。
manage_project_connections manage_project_connections_restricted 模型专用 CM 用户可以在管理菜单中看到连接页面。他们可以查看、修改和创建模型集中包含的任何项目的项目级连接。

NOTE：此权限会以可能意想不到的方式与模型集交互。如果您向用户分配 manage_project_connections_restricted 权限，该用户将能够查看、修改和创建模型集中包含的任何项目的项目级连接。
see_ci develop 实例级 NN 25.6 版新增 用户可以查看持续集成运行结果、查看持续集成套件页面，以及运行测试套件。
manage_ci see_ci 实例级 NN 25.6 版新增 用户可以创建持续集成套件、管理持续集成用户，以及配置与持续集成的 Git 连接。

只有管理员可以为 Looker 实例启用持续集成功能。
use_sql_runner see_lookml 特定于模型 用户可以使用 SQL 运行程序针对其允许的连接运行原始 SQL。无论用户是否拥有 download_with_limit 或 download_without_limit 权限，他们都可以使用 SQL 运行程序齿轮菜单中的下载选项下载结果。
certify_content access_data 特定于模型 添加了 25.20 用户可以certify信息中心、Look 和自助式探索。

只有在为您的实例启用了访问内容认证预览版功能后，此权限才可用。
clear_cache_refresh access_data 特定于模型 用户可以清除缓存并刷新内部和嵌入式信息中心、信息中心图块、Look 和探索。

clear_cache_refresh 权限会自动添加到任何包含以下任一权限的预先存在的权限集中：see_user_dashboards、see_lookml_dashboards 或 explore。clear_cache_refresh 权限不会自动应用于任何嵌入式角色。

拥有此权限的数据洞察用户可以刷新使用 Looker 连接器的数据洞察报告中的 Looker 数据。
see_drill_overlay access_data 特定于模型 用户可以查看深入分析信息中心图块的结果，但无法探索这些结果。如果 explore 获得授权，此权限也会自动获得授权（即使未勾选）。用户还必须拥有 explore 权限，才能下载 PNG 格式的深入分析结果。
manage_schedules 无 模型专用 CM 25.2 版新增功能 用户可以在指定模型的时间表页面上重新分配和删除时间表。此权限不授予用户查看时间表历史记录页面的权限。
manage_spaces 无 实例级 CN 用户可以创建、修改、移动和删除文件夹。用户还需要管理访问权限、修改内容访问权限。
manage_homepage 无 实例级 NN 用户可以修改边栏并向其中添加内容，所有 Looker 用户都可以在预构建的 Looker 首页上看到这些内容。
manage_models 无 实例级 CN 每个 LookML 模型都会在管理 LookML 项目页面上映射到一组特定的数据库连接。拥有此权限的用户可以配置这些映射、创建新项目以及删除项目。获得此权限的非管理员用户将有权访问其有权访问的模型所允许的所有连接。

NOTE：此权限会以可能意想不到的方式与模型集交互。如果您向用户分配 manage_models 权限，则该用户将能够访问实例中所有项目的所有模型。
create_prefetches 无 实例级 强烈建议不要预提取。我们建议改用数据组。
login_special_email 无 实例级 用户可以使用电子邮件地址/密码凭据登录，即使您的实例上已启用其他登录机制（例如 Google、LDAP 或 SAML）也是如此。这对于顾问或可能不属于常规身份验证系统的其他人员非常有用。
embed_browse_spaces 无 实例级 NN
  • 为已签名的嵌入内容启用内容浏览器。如果您使用的是签名嵌入，则应向拥有 save_content 权限的用户授予此权限。
  • 在非嵌入式实例上，此权限会为内部用户移除收藏夹图标。
embed_save_shared_space 无 实例级 允许拥有 save_content 权限的用户将内容保存到组织的共享文件夹（如果有）。拥有 save_content 权限但没有 embed_save_shared_space 权限的用户只能选择将内容保存到其个人嵌入文件夹。
manage_embed_settings 无 实例级 CM 用户可以在管理菜单的平台部分中的嵌入页面上修改嵌入设置。
manage_themes 无 实例级 CM 用户可以在管理菜单的平台部分中的主题页面上为嵌入式信息中心、Look 和探索配置主题设置。

只有在为您的实例启用了主题时，此权限才可用。
manage_internal_themes 无 实例级 CM 用户可以在管理菜单的平台部分中的主题页面上为 Looker 内部（非嵌入式）信息中心配置主题设置。

只有在为您的实例启用了内部信息中心主题预览版功能后，此权限才可用。
manage_privatelabel 无 实例级 CM 用户可以在管理菜单的平台部分中的自营品牌页面上配置自营品牌设置。

仅当为您的实例启用了自营品牌时，此权限才可用。
see_alerts 无 实例级 CM 用户可以访问管理部分中的提醒和提醒历史记录页面，从而查看 Looker 实例上的所有提醒。用户可以在提醒管理页面中查看、关注、修改、自行分配和停用其他用户拥有的提醒。

用户必须拥有访问提醒底层内容的权限，才能通过提醒的可视化图表（在提醒详情页面中）查看或探索内容，或前往其信息中心。此权限不授予用户通过信息中心图块查看、创建、关注或删除提醒的能力。

（预览版）用户可以访问管理工作流管理页面和管理工作流用户页面，从而查看 Looker 实例上的所有工作流。用户可以查看、修改、停用和启用其他用户拥有的工作流，但必须有权访问工作流数据，才能在工作流详细信息中查看工作流可视化图表。此权限不授予用户生成 Agentic Workflows 或使用对话式分析的能力。
see_queries 无 实例级 CM 用户可以在 Looker 的管理部分中看到查询页面。此权限不赋予用户在查询页面上终止查询的能力。
see_logs 无 实例级 CM 用户可以在 Looker 的管理部分中看到日志页面。
see_users 无 实例级 CM 用户可以在 Looker 的管理部分中看到用户页面（但看不到群组页面）。此权限不赋予用户创建新用户、查看或创建 API 凭证、重置密码或以其他方式修改用户或权限的能力。获得此权限的用户可以查看实例中所有群组的所有用户，即使在封闭系统中也是如此。用户可以查看所有群组名称和所有角色名称，而某些公司可能会认为这些信息属于敏感信息。
sudo see_users 实例级 CM 用户可以通过点击用户页面上的 Sudo 按钮，以另一用户的身份执行操作并暂时继承其权限。

sudo 权限不允许非管理员用户以管理员身份执行 sudo，但非管理员用户可能会使用 sudo 提升其权限，因此请谨慎操作。
manage_groups see_users 实例级 CM 用户可以在管理员菜单的用户部分中的群组页面上创建、修改和删除群组，但与管理员角色关联的群组除外。
manage_roles manage_groups 实例级 CM 用户可以在管理菜单的用户部分中的角色页面上创建、修改和删除角色（管理员角色除外）。用户仍然无法创建、修改或删除权限集或模型集。
manage_user_attributes see_users 实例级 CM 用户可以在管理菜单的用户部分中的用户属性页面上创建、修改和删除用户属性。
see_schedules 无 实例级 CM

用户可以从 Looker 的管理面板中查看时间表和时间表历史记录页面。此权限不赋予用户在时间表和时间表历史记录页面上重新分配、修改或删除其他用户时间表的能力。
see_pdts 无 连接专用 用户可以在 Looker 的管理部分中看到永久性派生表页面，并查看项目中的 PDT 相关信息，这些项目使用与用户拥有数据访问权限的模型相关联的任何连接。

对于新安装的 Looker，此权限包含在开发者 默认权限集中。

此权限会应用于用户有权访问数据的连接，而不是整个 Looker 实例或单个模型或模型集。
see_datagroups 无 特定于模型 用户可以在 Looker 的管理部分中看到数据组页面。用户可以查看连接名称、模型名称以及在他们拥有数据访问权限的模型中定义的数据组的其他信息。

此权限应用于单个模型或模型集，而不是整个 Looker 实例或连接。
update_datagroups see_datagroups 特定于模型 用户可以通过 Looker 的管理部分中的数据组页面触发数据组或重置其缓存。与拥有 see_datagroups 权限的用户一样，拥有 update_datagroups 权限的用户可以查看在项目（使用他们拥有数据访问权限的模型）中定义的数据组。

此权限应用于单个模型或模型集，而不是整个 Looker 实例或连接。
see_system_activity 无 实例级 CM 用户可以访问系统活动探索和信息中心，查看 Looker 实例的使用情况、历史记录和其他元数据。

在嵌入式环境中，严格的限制会阻止嵌入式用户呈现底层系统数据，即使您在单点登录 (SSO) 身份验证期间授予 see_system_activity 权限也是如此。如需了解共享这些数据的其他方式，请参阅嵌入式环境中的系统活动。
see_admin 无 实例级 CM 用户可以拥有对管理员资源的只读权限，包括“管理控制台”中的页面，但以下页面除外：

  • 支持服务权限
  • 预览版功能
  • 旧版功能
  • 导出
  • 内容访问权限
  • 操作（如果页面仅显示操作的启用或停用状态）

此权限不提供对“系统活动”页面的访问权限。
mobile_app_access 无 实例级 NN 用户可以使用 Looker 移动应用在移动设备上登录您的实例。为了让用户能够登录 Looker 移动应用，必须先在 Looker 的管理部分的常规设置页面中启用移动应用访问权限选项。

mobile_app_access 权限可以添加到新的或现有的权限集中，并且是 Looker 所有默认权限集的一部分。
manage_modelsets_restricted 无 模型专用 CM 25.2 版新增 用户可以修改其拥有 manage_modelsets_restricted 权限的模型集。用户只能添加其还拥有 manage_modelsets_restricted 权限的模型集中包含的模型。

NOTE：此权限可能会以意想不到的方式与模型集交互。如果您向用户分配 manage_modelsets_restricted 权限，并且您已允许该用户访问属于某个项目的任何模型，则该用户将能够将该项目中的所有模型分配给他们有权访问的模型集。
upload_data 无 实例级 NN 25.20 版新增功能 用户可以将文件上传到您的实例，以创建自助式探索。
create_self_service_from_table 无 特定于模型NN 添加了 26.14 用户可以基于数据库表创建可视化建模画布，以构建自助式探索。
gemini_in_looker 无 特定于模型 此权限是 Gemini 默认角色中包含的唯一权限。

此权限可让用户执行与管理控制台面板中 Gemini in Looker 页面上启用的任何 Gemini in Looker 功能相关的任务。某些任务可能需要额外的权限。
chat_with_agent gemini_in_looker 特定于模型 25.18 中新增的功能 对话式分析用户可以与数据智能体对话，这些智能体基于最多五个 Looker 探索中的数据。需要额外权限才能与信息中心数据代理对话。
chat_with_explore chat_with_agent 特定于模型 25.18 版新增功能 如果对话式分析用户还拥有其他必需权限，则可以与 Looker 探索进行对话。
save_agents chat_with_explore 特定于模型 25.18 版新增功能 Conversational Analytics 用户可以在信息中心或探索中创建、修改、删除和共享数据代理。如需修改、删除或共享由其他用户创建的数据代理，用户必须在代理使用的每个模型上获得包含此权限的角色，以及其他必需权限。
publish_agent_externally save_agents 特定于模型 26.6 版新增功能 对话式分析用户如果还拥有其他必需权限，则可以将数据智能体发布到 Gemini Enterprise。此功能目前处于预览版阶段。
admin_agents gemini_in_looker 特定于模型 25.18 中新增 对话分析用户如果还拥有其他必需权限，则可以创建、修改、共享和删除数据代理。拥有此权限的用户无需获得数据智能体的内容访问权限，即可修改、删除或共享其他用户创建的数据智能体。

关于权限集的注意事项

以下权限可能会以意想不到的方式与模型集交互：

  • develop；see_lookml - 在 Looker 的 IDE 中，单个项目可以包含多个模型文件。如果您向用户分配了 develop 或 see_lookml 权限，并且您已允许该用户查看属于某个项目的任何模型，则该用户将能够开发或查看该项目中所有模型的 LookML。不过，他们仍然无法查询您未允许的模型。
  • manage_models - 如果您向用户分配 manage_models 权限，该用户将能够访问实例中所有项目的所有模型。
  • manage_modelsets_restricted - 如果您向用户分配 manage_modelsets_restricted 权限，则该用户可以分配其有权访问的项目中的任何模型。
  • manage_project_connections - 如果您向用户分配 manage_project_connections_restricted 或 manage_project_connections 权限，则用户将能够查看、修改和创建模型集中包含的任何项目的项目级连接。

模型集

模型集定义了用户或群组可以查看的数据和 LookML 字段。每个集合都是一个 LookML 模型列表，用户或群组应有权访问这些模型。您可以将模型集视为执行两项功能：

  1. 模型集用于控制权限适用于 LookML 中的哪些模型（如果这些权限特定于模型）。
  2. 模型集会限制用户可以查看的数据和 LookML 字段，因为每个模型都与特定的数据库连接相关联，并包含特定的 LookML 字段。

创建模型集

如需创建模型集，请执行以下操作：

  1. 点击角色页面顶部的添加模型集按钮。

  2. Looker 会显示新建模型集页面。输入新模型集的名称。

  3. 选择应包含在新模型集中的一个或多个模型。

  4. 点击页面底部的新建模型集按钮。新的模型集将显示在角色页面的模型集部分中。

待处理项目中包含的模型会显示在新建模型集和修改模型集页面的模型列表中。

删除或重命名模型不会更改包含该模型的任何模型集。移除或重命名模型后，我们建议 Looker 管理员也使用修改模型集页面从任何关联的模型集中移除该模型的名称。从模型集中移除已删除模型的名称，可防止具有相同名称的新模型被无意中包含在该模型集中。

如需详细了解模型，请参阅模型参数文档页面。

创建多个模型和模型集

以下示例说明了如何使用多个模型集来限制对数据的访问。假设您有两个团队：营销团队和支持团队。在此示例中，这两个团队不应有权访问整个模型，因此您需要为每个团队创建一个单独的模型。如需分隔他们的数据访问权限，您需要执行以下步骤：

  1. 将该模型复制到两个新模型中。
  2. 在第一个新模型中，仅包含营销团队应有权访问的视图、字段和探索。
  3. 为营销团队创建一个仅包含此新模型的模型集。
  4. 为营销团队创建一个新角色，其中包含这个新模型集和营销团队的适当权限。
  5. 将此新角色分配给营销团队群组。
  6. 重复第 2 步到第 5 步，为支持团队配置第二个模型。

修改模型集

创建模型集后，请执行以下步骤进行修改：

  1. 在角色页面上，点击要修改的模型集右侧的三点状选项菜单，然后选择修改。

  2. Looker 会显示修改模型集页面。（可选）在名称字段中为模型集输入一个新名称。

  3. 在模型部分中，向模型集添加或从中移除任何模型。

  4. 点击页面底部的更新模型集按钮。

待处理项目中包含的模型会显示在新建模型集和修改模型集页面的模型列表中。

删除或重命名模型不会更改包含该模型的任何模型集。移除或重命名模型后，我们建议 Looker 管理员也使用修改模型集页面从任何关联的模型集中移除该模型的名称。从模型集中移除已删除模型的名称，可防止具有相同名称的新模型被无意中包含在该模型集中。

删除模型集

如需删除模型集，请在角色页面上，点击要删除的模型集右侧的三点状选项菜单，然后选择删除。

创建和分配自定义角色

自定义角色结合了默认或自定义权限集以及默认或自定义模型集。只能基于已有的权限集和模型集创建角色。如果不存在代表您希望用户能够执行的所有操作的权限集，或者不存在包含您希望用户能够对这些模型执行这些操作的所有模型的模型集，则您必须分别创建权限集或模型集。

创建使用现有权限集和模型集的自定义角色

如需分配具有现有权限集和现有模型集的自定义角色，请按以下步骤操作：

  1. 前往管理面板的用户部分中的角色页面。
  2. 选择添加角色。
  3. 为新角色输入名称。角色名称通常会指明该角色允许用户执行哪些任务。
  4. 在权限集旁边，选择要用于此角色的权限集。权限集会显示在所选权限集旁边（如果启用了新增/修改角色增强功能，则会显示在可展开的查看链接中）。
  5. 在模型集旁边，选择要用于此角色的模型集。模型集会显示在所选权限集旁边。如需将所选权限集应用于 Looker 实例上的所有模型，请选择全部。
  6. （可选）在群组或用户下，选择要为其分配自定义角色的群组或用户。您也可以稍后通过更新角色设置将用户和群组添加到该角色，或者稍后在管理控制台面板的用户或群组页面中分配该角色。
  7. 点击新建角色（如果您使用的是新建/修改角色增强功能，请点击确认）以保存此自定义角色。

创建使用新权限和模型集的自定义角色

如需使用新的权限集和模型集创建自定义角色，请先前往管理控制台面板中用户部分的角色页面。

如需创建新的权限集，请按以下步骤操作：

  1. 选择添加权限集。
  2. 在名称字段中为新权限集提供标签。
  3. 选择所需的权限，然后点击 New Permission Set。

如需创建新的模型集，请按以下步骤操作：

  1. 在角色页面中，选择添加模型集。
  2. 在名称字段中，为新模型集输入一个标签。
  3. 选择要应用角色的模型。
  4. 选择新建模型集。

如需使用新的权限集和模型集创建自定义角色，请按以下步骤操作：

  1. 在角色页面上，选择添加角色。
  2. 为新角色输入名称。角色名称通常会指明该角色允许用户执行哪些任务。
  3. 在名称字段中为新角色提供标签。
  4. 对于权限集，选择您刚刚创建的权限集。
  5. 对于模型集，选择您刚刚创建的模型集。
  6. （可选）在群组或用户下，选择要为其分配自定义角色的群组或用户。您也可以稍后通过更新角色设置将用户和群组添加到该角色，或者稍后在管理控制台面板的用户或群组页面中分配该角色。
  7. 点击新建角色（如果您使用的是“新建/修改角色”增强功能，则点击确认）以保存此自定义角色。