בקרת גישה ב-Looker (Google Cloud Core)‎ באמצעות IAM

‫Looker (Google Cloud core) משתמש בניהול זהויות והרשאות גישה (IAM) כדי להקצות גישה למשתמשים ולאדמינים באמצעות קבוצה של תפקידי IAM. למידע מפורט על Google Cloud IAM, תוכלו לעיין במסמכי העזרה של IAM.

הסבר על ניהול הזהויות והרשאות הגישה (IAM)

באמצעות IAM תוכלו לקבוע למי תהיה גישה למשאבים ב Google Cloud פרויקט. בעזרת IAM תוכלו לשמור על עקרון האבטחה של הרשאות מינימליות, וכך לתת רק למי שצריך את רמת הגישה שצריך למשאבים השונים.

חשבונות המשתמשים הם הזהויות או הגורמים שמקבלים הרשאות גישה ב-IAM. חשבונות המשתמשים יכולים להיות משתמשים בודדים, קבוצות או דומיינים ב-Workspace. חשבונות המשתמשים מקבלים תפקידים שמאפשרים להם לבצע פעולות ב-Looker (Google Cloud Core)‎, וגם Google Cloud באופן כללי יותר. כל תפקיד הוא אוסף של הרשאה אחת או יותר. הרשאות הן היחידות הבסיסיות של IAM: כל הרשאה מאפשרת לחשבון משתמש לבצע פעולה מסוימת.

לדוגמה, ההרשאה looker.instances.login מאפשרת לחשבון משתמש להתחבר למופעים של Looker (Google Cloud core). ההרשאה הזו כלולה בכמה תפקידים מוגדרים מראש, כולל התפקיד Looker Admin ‏ (roles/looker.admin) והתפקיד Looker Instance User ‏ (roles/looker.instanceUser).

התפקיד הנדרש

כדי לקבל את ההרשאות שנדרשות להקצאת תפקידי IAM של Looker (Google Cloud core), צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Project IAM Admin (roles/resourcemanager.projectIamAdmin) בפרויקט שבו נוצר המופע. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

תפקידי IAM לעומת תפקידים ב-Looker

יש שני סוגים שונים של תפקידים שמעניקים הרשאות ל-Looker (Google Cloud core): תפקידי IAM ותפקידי Looker.

  • תפקידי IAM ב-Looker: סוגי התפקידים האלה קובעים את היכולות הבאות:

    • היכולות של המשתמשים במסוף Google Cloud בנוגע ל-Looker (ליבת Google Cloud)

    בשימוש בשילוב עם OAuth, הם גם קובעים את היכולות הבאות:

    • היכולות של המשתמשים להיכנס למופע של Looker (Google Cloud Core)‎
    • האם למשתמשים מוקצה אוטומטית התפקיד אדמין דרך IAM ב-Looker ברגע שהם נכנסים למופע של Looker (ליבת Google Cloud). מידע נוסף זמין במאמר בנושא אימות והרשאה באמצעות OAuth ו-IAM.

    במסמכי ה-IAM מוסבר איך מקצים תפקידים ב-IAM.

  • תפקידים ב-Looker: התפקידים האלה קובעים מה משתמשים יכולים לעשות אחרי שהם נכנסים למופע של Looker (ליבת Google Cloud). במאמרי העזרה בנושא תפקידים וקבוצות מוסבר איך להעניק תפקידים ב-Looker.

תפקידי Looker מוקצים או נשללים בתוך מופע Looker (Google Cloud core), למעט תפקיד Looker‏ Admin via IAM, שאפשר להקצות או לשלול אותו רק דרך IAM. אפשר להקצות או לבטל תפקידי IAM רק במסוף Google Cloud .

תפקידי IAM ב-Looker (Google Cloud Core)‎

יש שלושה תפקידים מוגדרים מראש למשתמשי Looker (ליבת Google Cloud). התפקידים האלה מוקצים ברמת Google Cloud הפרויקט ויש להם שליטה אחידה בגישה לכל המופעים של Looker (Google Cloud core) בתוך Google Cloud פרויקט. אם משתמש עובר אימות באמצעות OAuth, תפקיד ה-IAM שמוקצה לכל חשבון משפיע גם על התפקידים ב-Looker שמוקצים בכניסה למופע.

שם התפקיד הרשאות

צפייה ב-Looker

(roles/looker.viewer)

הרשאת קריאה בלבד לכל המשאבים של Looker (Google Cloud core) במסוף Google Cloud .

looker.backups.get

looker.backups.list

looker.instances.get

looker.instances.list

looker.instances.login

looker.locations.get

looker.locations.list

looker.operations.get

looker.operations.list

resourcemanager.projects.get

resourcemanager.projects.list

משתמש במופע Looker

roles/looker.instanceUser

גישה לכניסה למכונה של Looker (Google Cloud core).

looker.instances.get

looker.instances.login

resourcemanager.projects.get

resourcemanager.projects.list

Looker Schema Viewer

roles/looker.schemaViewer

גישה לנתוני סכימה של Looker (Google Cloud core) ב-Knowledge Catalog.

looker.schemas.view

אדמין ב-Looker

roles/looker.admin

גישה מלאה לכל המשאבים של Looker (Google Cloud Core).

looker.backups.create

looker.backups.delete

looker.backups.get

looker.backups.list

looker.instances.create

looker.instances.delete

looker.instances.export

looker.instances.get

looker.instances.import

looker.instances.list

looker.instances.login

looker.instances.update

looker.locations.get

looker.locations.list

looker.operations.cancel

looker.operations.delete

looker.operations.get

looker.operations.list

looker.schemas.view

resourcemanager.projects.get

resourcemanager.projects.list

לפחות לחשבון משתמש אחד צריך להיות מוקצה תפקיד ה-IAM‏ Looker Admin (roles/looker.admin).

אם התפקידים שהוגדרו מראש לא מספקים את קבוצת ההרשאות שאתם רוצים, אתם יכולים גם ליצור תפקידים בהתאמה אישית.

המאמרים הבאים