בקרת גישה ב-Looker (Google Cloud Core)‎ באמצעות IAM

ב-Looker (Google Cloud core) משתמשים בניהול זהויות והרשאות גישה (IAM) כדי להקצות גישה למשתמשים ולאדמינים באמצעות קבוצה של תפקידי IAM. למידע מפורט על Google Cloud IAM, תוכלו לעיין במסמכי העזרה של IAM.

הסבר על ניהול הזהויות והרשאות הגישה (IAM)

באמצעות IAM אתם יכולים לקבוע למי תהיה גישה למשאבים בפרויקט ב- Google Cloud . בעזרת IAM אתם יכולים לשמור על עקרון האבטחה של הרשאות מינימליות, וכך לתת למי שצריך רק את רמת הגישה הדרושה למשאבים השונים.

חשבונות המשתמשים הם הזהויות או הגורמים שמקבלים הרשאות גישה ב-IAM. חשבונות המשתמשים יכולים להיות משתמשים בודדים, קבוצות או דומיינים ב-Workspace. חשבונות המשתמשים מקבלים תפקידים שמאפשרים להם לבצע פעולות ב-Looker (Google Cloud core) וגם באופן כללי יותר ב- Google Cloud . כל תפקיד הוא אוסף שמורכב מהרשאה אחת או יותר. הרשאות הן היחידות הבסיסיות של IAM: כל הרשאה מאפשרת לחשבון משתמש לבצע פעולה מסוימת.

לדוגמה, ההרשאה looker.instances.login מאפשרת לחשבון משתמש להתחבר למכונות של Looker (Google Cloud core). ההרשאה הזו כלולה בכמה תפקידים מוגדרים מראש, כולל התפקיד "אדמין ב-Looker"‏ (roles/looker.admin) והתפקיד "משתמש במכונה של Looker"‏ (roles/looker.instanceUser).

התפקיד הנדרש

כדי לקבל את ההרשאות שנדרשות להקצאת תפקידי IAM של Looker (ליבה של Google Cloud), צריך לבקש מהאדמין להקצות לכם את התפקיד אדמין של פרויקט ב-IAM (roles/resourcemanager.projectIamAdmin) בפרויקט שבו נוצר המכונה. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הערה: התפקידים הבסיסיים של IAM עשויים גם להכיל הרשאות להקצאת תפקידי IAM ב-Looker (Google Cloud core). לא מומלץ להקצות תפקידים בסיסיים בסביבת ייצור, אבל אפשר להקצות אותם בסביבת פיתוח או בדיקה.

תפקידי IAM לעומת תפקידי Looker

יש שני סוגים שונים של תפקידים שמעניקים הרשאות ל-Looker (Google Cloud core): תפקידי IAM ותפקידי Looker.

• תפקידי IAM ב-Looker: סוגי התפקידים האלה קובעים את היכולות הבאות:

  • היכולות של המשתמשים במסוף Google Cloud בנוגע ל-Looker (Google Cloud core)

  כשמשתמשים בהם יחד עם איחוד שירותי אימות הזהות של כוח העבודה או OAuth, הם גם קובעים את היכולות הבאות:

  • היכולת של המשתמשים להיכנס למופע של Looker (Google Cloud core)‎
  • אם המשתמשים מקבלים באופן אוטומטי את התפקיד אדמין דרך IAM ב-Looker אחרי שהם נכנסים למכונה של Looker (Google Cloud core). משתמשים שיש להם את הרשאת ה-IAM‏ looker.instances.update מקבלים את התפקיד אדמין דרך IAM כשהם נכנסים באמצעות Google OAuth. מידע נוסף זמין במאמר אימות והרשאה באמצעות OAuth ו-IAM.

  במסמכי התיעוד של IAM מוסבר איך מקצים תפקידים ב-IAM.

• תפקידים ב-Looker: התפקידים האלה קובעים מה המשתמשים יכולים לעשות אחרי שהם נכנסים למכונה של Looker (Google Cloud core). בדפי התיעוד בנושא תפקידים וקבוצות מוסבר איך להקצות תפקידים ב-Looker.

הקצאה או ביטול של תפקידים ב-Looker מתבצעים בתוך מכונה של Looker (Google Cloud core), מלבד התפקיד אדמין דרך IAM ב-Looker, שאפשר להקצות או לבטל רק דרך IAM. אפשר להקצות או לבטל תפקידי IAM רק במסוף Google Cloud .

תפקידי IAM ב-Looker (Google Cloud core)‎

הערה: למידע נוסף על תפקידים, קראו את מאמר העזרה בנושא תפקידים בסיסיים ומוגדרים מראש.

יש שלושה תפקידים מוגדרים מראש למשתמשי Looker (Google Cloud core). התפקידים האלה ניתנים ברמת הפרויקט ב- Google Cloud , והם שולטים בגישה באופן אחיד לכל המופעים של Looker (Google Cloud core) בפרויקט ב- Google Cloud . אם משתמש מבצע אימות באמצעות איחוד שירותי אימות הזהות של כוח העבודה או OAuth, תפקיד ה-IAM שמוקצה לכל חשבון משתמש משפיע גם על תפקידי Looker שמוקצים בכניסה למכונה.

אתם יכולים להקצות את התפקידים האלה לחשבונות Google, לקבוצות Google או לחשבונות משתמשים וקבוצות במאגר זהויות של כוח עבודה.

שם התפקיד	הרשאות
צפייה ב-Looker (roles/looker.viewer) גישה לקריאה בלבד לכל המשאבים של Looker (Google Cloud core) במסוף Google Cloud .	looker.backups.get looker.backups.list looker.instances.get looker.instances.list looker.instances.login looker.locations.get looker.locations.list looker.operations.get looker.operations.list resourcemanager.projects.get resourcemanager.projects.list
משתמש במכונה של Looker roles/looker.instanceUser גישה כדי להיכנס למכונה של Looker (Google Cloud core).	looker.instances.get looker.instances.login resourcemanager.projects.get resourcemanager.projects.list
Looker Schema Viewer roles/looker.schemaViewer גישה לנתוני הסכימה של Looker (Google Cloud core) ב-Knowledge Catalog.	looker.schemas.view
אדמין ב-Looker roles/looker.admin גישה מלאה לכל המשאבים של Looker (Google Cloud core).	looker.backups.create looker.backups.delete looker.backups.get looker.backups.list looker.instances.create looker.instances.delete looker.instances.export looker.instances.get looker.instances.import looker.instances.list looker.instances.login looker.instances.update looker.locations.get looker.locations.list looker.operations.cancel looker.operations.delete looker.operations.get looker.operations.list looker.schemas.view resourcemanager.projects.get resourcemanager.projects.list

לפחות לחשבון ראשי אחד צריך להיות תפקיד אדמין ב-Looker‏ (roles/looker.admin) ב-IAM.

אם התפקידים המוגדרים מראש לא מספקים את קבוצת ההרשאות שאתם רוצים, אתם יכולים גם ליצור תפקידים בהתאמה אישית.

אזהרה: תפקיד ה-IAM של סוכן השירות של Looker מיועד רק לחשבון השירות של Looker, והוא מוקצה אוטומטית לחשבון השירות כשמפעילים את Looker API. אל תתנו תפקידים של סוכני שירות לחשבונות ראשיים שהם לא סוכני שירות. במקום זאת, בחרו תפקיד מוגדר מראש אחר או צרו תפקיד בהתאמה אישית עם ההרשאות שאתם צריכים.

המאמרים הבאים

• שימוש ב-Google OAuth לאימות משתמשים ב-Looker (Google Cloud core)
• ניהול משתמשים ב-Looker (Google Cloud core)
• הגדרת מכונה של Looker (Google Cloud core)
• הגדרות אדמין ב-Looker (Google Cloud core)
• ניהול של מכונה של Looker (Google Cloud core) ממסוף Google Cloud