Looker (Google Cloud Core) verwendet Identity and Access Management (IAM), um Nutzer- und Administratorzugriff über eine Reihe von IAM-Rollen bereitzustellen. Eine ausführliche Beschreibung von Google Cloud IAM finden Sie in der IAM-Dokumentation.
Was ist Identity and Access Management (IAM)?
Mit IAM können Sie steuern, wer Zugriff auf die Ressourcen in Ihrem Google Cloud -Projekt hat. Durch IAM können Sie das Prinzip der geringsten Berechtigung anwenden und somit nur den notwendigen Zugriff auf Ihre Ressourcen gewähren.
Hauptkonten sind die Akteure bei IAM. Hauptkonten können einzelne Nutzer, Gruppen oder Workspace-Domains sein. Hauptkonten erhalten Rollen, mit denen sie Aktionen in Looker (Google Cloud Core) und allgemein in Google Cloud ausführen können. Jede Rolle umfasst eine oder mehrere Berechtigungen. Berechtigungen bilden die Grundlage von IAM: Jede Berechtigung gestattet es einem Hauptkonto, eine bestimmte Aktion auszuführen.
Mit der Berechtigung looker.instances.login kann sich ein Hauptkonto beispielsweise in Looker (Google Cloud Core)-Instanzen anmelden. Diese Berechtigung ist in mehreren vordefinierten Rollen enthalten, darunter die Rolle „Looker-Administrator“ (roles/looker.admin) und die Rolle „Looker-Instanznutzer“ (roles/looker.instanceUser).
Erforderliche Rolle
Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Project IAM Admin (roles/resourcemanager.projectIamAdmin) für das Projekt zuzuweisen, in dem die Instanz erstellt wurde, um die Berechtigungen zu erhalten, die Sie zum Zuweisen von Looker (Google Cloud Core)-IAM-Rollen benötigen.
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.
IAM-Rollen im Vergleich zu Looker-Rollen
Es gibt zwei verschiedene Arten von Rollen, die Berechtigungen für Looker (Google Cloud Core) gewähren: IAM-Rollen und Looker-Rollen.
Looker-IAM-Rollen: Diese Rollen regeln die folgenden Funktionen:
- Funktionen von Nutzern in der Google Cloud Console in Bezug auf Looker (Google Cloud Core)
In Kombination mit der Workforce Identity-Föderation oder OAuth steuern sie auch die folgenden Funktionen:
- Möglichkeiten für Nutzer, sich in einer Looker (Google Cloud Core)-Instanz anzumelden
- Ob Nutzern nach der Anmeldung in einer Looker (Google Cloud Core)-Instanz automatisch die Looker-Rolle Admin über IAM zugewiesen wird. Nutzern mit der IAM-Berechtigung
looker.instances.updatewird die Rolle Admin via IAM zugewiesen, wenn sie sich über Google anmelden. Weitere Informationen finden Sie in der Dokumentation zur Authentifizierung und Autorisierung mit OAuth und IAM.
Informationen zum Zuweisen von IAM-Rollen finden Sie in der IAM-Dokumentation.
Looker-Rollen: Diese Rollen bestimmen, was Nutzer tun können, nachdem sie sich in einer Looker (Google Cloud Core)-Instanz angemeldet haben. Informationen zum Zuweisen von Looker-Rollen finden Sie auf den Dokumentationsseiten Rollen und Gruppen.
Looker-Rollen werden innerhalb einer Looker (Google Cloud Core)-Instanz zugewiesen oder widerrufen. Eine Ausnahme ist die Looker-Rolle Admin via IAM, die nur über IAM zugewiesen oder widerrufen werden kann. IAM-Rollen können nur in der Google Cloud Console zugewiesen oder widerrufen werden.
IAM-Rollen für Looker (Google Cloud Core)
Für Looker (Google Cloud Core)-Nutzer sind drei vordefinierte Rollen verfügbar. Diese Rollen werden auf Google Cloud -Projektebene zugewiesen und steuern den Zugriff einheitlich für alle Looker (Google Cloud Core)-Instanzen innerhalb eines Google Cloud -Projekts. Wenn sich ein Nutzer mit der Mitarbeiteridentitätsföderation oder OAuth authentifiziert, wirkt sich die jedem Hauptkonto zugewiesene IAM-Rolle auch darauf aus, welche Looker-Rollen bei der Anmeldung in der Instanz zugewiesen werden.
Sie können diese Rollen Google-Konten, Google-Gruppen oder Hauptkonten und Gruppen von Workforce Identity-Pools zuweisen.
| Rollenname | Berechtigungen |
|---|---|
Looker Viewer
Lesezugriff auf alle Looker (Google Cloud Core)-Ressourcen in der Google Cloud Console. |
looker.backups.get looker.backups.list looker.instances.get looker.instances.list looker.instances.login looker.locations.get looker.locations.list looker.operations.get looker.operations.list resourcemanager.projects.get resourcemanager.projects.list |
Looker Instance User
Zugriff zum Anmelden in einer Looker (Google Cloud Core)-Instanz. |
looker.instances.get looker.instances.login resourcemanager.projects.get resourcemanager.projects.list |
Looker Schema Viewer
Zugriff auf Looker (Google Cloud Core)-Schemadaten in Knowledge Catalog. |
looker.schemas.view |
Looker-Administrator
Vollständiger Zugriff auf alle Looker (Google Cloud Core)-Ressourcen. |
looker.backups.create looker.backups.delete looker.backups.get looker.backups.list looker.instances.create looker.instances.delete looker.instances.export looker.instances.get looker.instances.import looker.instances.list looker.instances.login looker.instances.update looker.locations.get looker.locations.list looker.operations.cancel looker.operations.delete looker.operations.get looker.operations.list looker.schemas.view resourcemanager.projects.get resourcemanager.projects.list |
Mindestens ein Hauptkonto muss die IAM-Rolle „Looker-Administrator“ (roles/looker.admin) haben.
Wenn die vordefinierten Rollen nicht die gewünschten Berechtigungen bieten, können Sie auch eigene benutzerdefinierte Rollen erstellen.
Nächste Schritte
- Google OAuth für die Nutzerauthentifizierung in Looker (Google Cloud Core) verwenden
- Nutzer in Looker (Google Cloud Core) verwalten
- Looker-Instanz (Google Cloud Core) erstellen
- Administratoreinstellungen für Looker (Google Cloud Core)
- Looker (Google Cloud Core)-Instanz über die Google Cloud Console verwalten