Embedded dashboard: klant alleen eigen data tonen

Samenvatting

ThoughtSpot beveiligt embedded dashboards met RLS, zodat elke klant uitsluitend zijn eigen rijen ziet.

ThoughtSpot en RLS: wat er gebeurt

ThoughtSpot legt row-level security vast op elke Table met klantgegevens. De applicatie geeft het klant-ID van de ingelogde gebruiker mee in het authenticatietoken en slaat die waarde op in een formula variable. Hetzelfde dashboard kan zo voor alle klanten dienen, terwijl elke gebruiker alleen de eigen gegevens opvraagt.

De formula variable werkt ook met numerieke kolommen. Volgens de documentatie genereert ThoughtSpot daarmee compactere SQL dan bij controle op groepslidmaatschap. De aanpak is gecontroleerd tegen de ThoughtSpot Cloud-documentatie van versie 26.10.0.cl uit oktober 2026.

Waarom ThoughtSpot RLS belangrijk is

RLS filtert server-side welke rijen een gebruiker mag opvragen, voordat resultaten de browser bereiken. Regels op een Table werken automatisch door naar Models, Liveboards, opgeslagen zoekopdrachten en Spotter, de AI-analist van ThoughtSpot. Ook AI-antwoorden vallen dus onder dezelfde toegangsregels.

Runtime filters en runtime parameters hebben een andere functie. Ze passen de weergave aan in de browser, maar beveiligen de data niet. Een pagina voor Victoria kan bijvoorbeeld een runtime filter meegeven, terwijl RLS bepaalt of de gebruiker überhaupt Australische of Victoriaanse rijen mag zien.

Bij een vergelijking van BI-tools zijn daarom drie vragen doorslaggevend: gebeurt tenant-isolatie op de server, geldt één regel voor dashboards, zoekresultaten en AI-antwoorden, en ondersteunt de tool multi-tenancy rechtstreeks? ThoughtSpot onderscheidt daarnaast patronen voor gedeelde tabellen, toegangsregels op attributen en een aparte database of schema per klant.

Concrete takeaway voor ThoughtSpot-implementaties

Leg het klant-ID vast in het authenticatietoken en koppel het aan RLS op elke relevante Table. Gebruik runtime filters alleen voor context of navigatie; laat server-side RLS de feitelijke toegang bepalen. Controleer vervolgens afzonderlijk dashboards, zoekresultaten en Spotter-antwoorden.