Группы и доступы к данным

Роль решает, какие разделы приложения открыты человеку. Доступы решают, какие данные он видит: какие метрики и по каким строкам. Это и есть ограничение на уровне строк.

Словарь

• Доступ — какую часть модели видит его держатель: список метрик и фильтры строк.
• Держатели — кому выдан доступ: пользователю, группе или сервисному аккаунту.
• Группа — собственная группа организации. Группа даёт своим участникам доступы, но не роль.
• Атрибут — значение, привязанное к человеку или группе, например region = Москва. Доступ может фильтровать строки по атрибуту, и тогда одного доступа хватает на всех.

Создать доступ

1. «Организация → Доступы» → «Новый доступ».

2. Задайте «Название», например «Продажи: свой регион».

3. В «Метрики» отметьте метрики, которые видят держатели, или выберите «Все метрики».

4. В «Фильтры строк» нажмите «Добавить фильтр», выберите «Измерение» и способ «Фильтровать по»:

   • «Значениям» — конкретные значения, например регион «Москва»;
   • «Атрибуту пользователя» — значение берётся из атрибута держателя, например region.

   Без фильтров держатели видят все строки.

Окно подсказывает, если доступ не сработает как задумано: например, «Фильтры не оставляют ей ни одной строки» или что производная метрика «Считается из …, а их этот доступ показать не может».

Выдать доступ

• Группе. «Организация → Группы» → «Новая группа», затем добавьте участников и доступы. Доступы группы есть у каждого участника, в дополнение к его собственным.
• Человеку. На странице пользователя, раздел «Собственные доступы».
• Сервисному аккаунту. Кнопка «Доступы» в строке аккаунта: Сервисные аккаунты.

Атрибуты задаются на странице пользователя или группы, в разделе «Атрибуты».

Включить доступы

Пока переключатель «Применять доступы» выключен, все в организации видят всю модель: доступы сохраняются, но ничего не меняют. Это удобно, чтобы настроить всё заранее.

Когда включите, со следующего запроса каждый видит то, что дают его доступы:

• пользователь без доступов не видит данных;
• администратор без доступов по-прежнему видит всё.

Поэтому перед включением выдайте доступы всем, кто должен продолжать работать, — проще всего через группы.

Проверить результат

• «Что видит этот пользователь» на странице пользователя: сколько метрик и измерений ему видно и почему метрика скрыта. Пока доступы не применяются, панель показывает, как будет после включения.
• «Кто видит» на странице метрики в разделе «Модель»: все группы и пользователи, сначала те, кто видит эту метрику.