Permisos en Tableau: Guía y buenas prácticas
Tabla de contenido
La seguridad es un aspecto esencial en cualquier plataforma de datos, por lo que, entender cómo ser definen y evalúan los permisos de acceso es esencial para el control de la información.
Por lo que conocer y seguir buenas prácticas desde el primer momento nos puede ahorrar mucho trabajo a medio y largo plazo. Una de las ventajas de Tableau es que permite una gobernanza de la plataforma muy completa diferenciando entre la gobernanza del contenido y del dato ¿Qué significa esto? Que por un lado podemos determinar quien va a acceder a los datos, cuadros de mando, proyectos, y demás contenido, así como controlar qué capacidades va a tener cada individuo con esos elementos, pero por otro podemos gestionar la promoción de contenido, uso, certificación, propiedad, etc.
Esto, aunque da mucha flexibilidad también genera confusión sobre todo al principio. Siendo los permisos y reglas de seguridad donde a veces nos olvidamos de detenernos un momento y establecer buenas prácticas desde el inicio. Así que vamos a repasar algunos aspectos básicos pero de gran importancia.
Buenas prácticas básicas#
Tableau recomienda seguir unos principios básicos para que la gestión de permisos sea lo más sencilla y escalable posible. Estos principios son:
Modificar la regla de permisos en el proyecto Default#
Es siempre recomendable modificar la regla de permisos en el proyecto Default o Predeterminado y establecerla como Ninguno para el grupo Todos los usuarios en todas las capacidades. El motivo es que, cuando creamos un nuevo proyecto, Tableau utiliza el proyecto Default o Predeterminado como plantilla. Realizando este cambio tendremos un modelo de seguridad que restringe por defecto el acceso ya que, al crear un nuevo proyecto, ningún usuario (salvo el propietario del proyecto o los administradores) tendrá acceso al proyecto ni al contenido. Pudiendo a posteriori decidir quién debe tener acceso.
Bloquear los permisos en el proyecto#
Por defecto Tableau permite que los usuarios con permisos para ello (administradores, líderes del proyecto, Creators con permiso para publicar, etc.) puedan modificar los permisos para elementos dentro de un proyecto, como fuentes de datos o cuadros de mando. Esto, aunque ofrece mucha flexibilidad, acaba generando grandes dificultades a la hora de saber bien quién tiene permiso para acceder a qué.
Lo ideal es que los permisos no puedan modificarse para el contenido que se publica, salvo que se cambien los permisos generales a nivel de proyecto por lo que una buena práctica es bloquear los permisos en el proyecto y hacer lo propio también en el proyecto Default para que todo proyecto nuevo se cree con esa configuración por defecto, tal como se explica en el apartado anterior.
Establecer reglas de permisos para grupos, no para usuarios individuales#
La razón de esta buena práctica es sencilla: a la hora de gestionar permisos, es mucho más fácil hacerlo para grupos de usuarios en lugar de establecer reglas individualizadas para usuarios concretos, las cuales es preferible limitar lo máximo posible. Esto permitirá una mayor facilidad a la hora de gestionar los permisos para administradores y líderes de proyecto.
Reglas de permisos, permisos efectivos y orden de evaluación#
Un aspecto que es crucial entender de los permisos de Tableau es la diferencia entre las reglas de permisos y los permisos efectivos, así como la importancia del orden de evaluación y las máximas capacidades por tipo de usuario. Vamos a profundizar en estos aspectos.
Reglas de permisos vs permisos efectivos#
Algo que suele confundir a los administradores de Tableau es la diferencia que puede darse entre las reglas de permisos establecidas y los permisos efectivos. Esto se debe a que, aunque podemos crear cualquier tipo de regla de permisos, estos se evalúan siguiendo un orden de prioridad. Esto implica que, al tener ciertas reglas preferencia, tal vez estemos queriendo quitar permisos a usuarios que no se puedan quitar, o dar permisos a usuarios que no puedan tener. Los ejemplos más típicos son:
- Un usuario con el rol de Administrador podrá ver todo el contenido de Tableau. Independiente de las reglas de permisos que creemos para ese usuario o grupo de usuarios.
- Un usuario con el rol de “Viewer” nunca podrá editar un Workbook, aunque le habilitemos ese permiso.
- Un usuario no tiene acceso al Proyecto H porque pertenece a dos grupos, uno con permisos para acceder a dicho grupo y otro al que se le ha denegado el acceso.
Es decir puedo tener una regla de permisos que diga:
Denegar acceso al dashboard Z al usuario A.
Pero a pesar de dicha regla, los permisos efectivos indican que el usuario A sí tiene acceso al dashboard Z. Por tanto, es crucial revisar tanto las reglas establecidas como los permisos efectivos y también entender la forma en la que Tableau evalúa los permisos y da prioridad a ciertas reglas sobre otras.
Tableau ofrece una fácil revisión de los permisos efectivos en la interfaz. Si seleccionamos una regla de permisos determinada, podremos ver en la parte inferior los permisos efectivos para la persona o personas que aplican esa regla.
En la imagen superior, se puede ver cómo aunque existe una regla de permisos que deniega al usuario ver y publicar en el proyecto, dicho usuario tiene realmente permisos para ambas capacidades ya que es un Creator administrador.
Aspectos clave de la evaluación de los permisos#
Teniendo en cuenta lo anterior, estas son algunas consideraciones que tenemos que tener siempre en mente para entender los permisos en Tableau:
- Si la capacidad que queremos darle al usuario es posible por el rol que tiene. Teniendo en cuenta además que los Administradores tienen permiso para todas las capacidades en todo el contenido y el dato de Tableau. Ya que como su nombre indica, tienen que administrar la plataforma, y para administrarla necesitan una visión completa de la misma.
- El usuario tendrá todas las capacidades que su rol permita sobre cualquier dashboard, flujo, fuente de datos si es el propietario, o sobre todo el contenido de un proyecto si es propietario del mismo.
- Las reglas establecidas a nivel usuario tienen preferencia sobre las establecidas para un grupo de usuarios.
- La denegación de acceso tiene preferencia sobre la habilitación.
Por tanto primero Tableau revisa el Rol del usuario y dicho Rol determina las capacidades máximas que dicho usuario podrá tener. Dicho de otro modo, aunque le demos permisos para ello, un usuario no podrá hacer algo si su Rol de usuario no tiene esa capacidad.
A continuación se evalúa si el usuario tiene rol de Administrador. Posteriormente si es líder del proyecto donde está el contenido en cuestión o si es propietario del contenido específico. Finalmente, se revisa si se ha denegado o habilitado al usuario individual la capacidad en cuestión y finalmente si se ha denegado o habilitado dicha capacidad a los grupos que el usuario pertenece.
Capacidades máximas por rol o tipo de usuario#
Como se ha comentado. Hay tipos de usuario que aunque les demos permiso para una capacidad nunca podrán llevarla a cabo porque está fuera de las capacidades de su rol.
Algunos ejemplos típicos son:
Un Viewer nunca podrá crear un Proyecto.
Un Explorer nunca podrá modificar una fuente de datos.
Para ver en detalle las capacidades máximas por tipo de licencia o rol, recomiendo echar un vistazo a la documentación oficial en Roles y capacidades máximas.