Le aziende utilizzano diversi provider OpenID Connect (OP) per coordinarsi con OpenID Connect (ad esempio Okta o OneLogin). I termini utilizzati nelle seguenti istruzioni di configurazione e nell'interfaccia utente di Looker potrebbero non corrispondere direttamente a quelli utilizzati dal tuo OP.
La pagina OpenID Connect nella sezione Authentication (Autenticazione) del menu Admin (Amministrazione) ti consente di configurare Looker per autenticare gli utenti utilizzando il protocollo OpenID Connect. Questa pagina descrive la procedura e include le istruzioni per collegare i gruppi OpenID Connect ai ruoli e alle autorizzazioni di Looker.
Requisiti
Looker visualizza la pagina OpenID Connect nella sezione Authentication (Autenticazione) del menu Admin (Amministratore) solo se sono soddisfatte le seguenti condizioni:
- Disponi del ruolo di amministratore.
- La tua istanza di Looker (originale) è abilitata per l'utilizzo di OpenID Connect. Contatta il tuo account executive per attivare OpenID Connect.
- La tua istanza di Looker (Google Cloud core) utilizza Google OAuth come metodo di autenticazione principale.
Se queste condizioni sono soddisfatte e non vedi la pagina OpenID Connect, apri una richiesta di assistenza per abilitare OpenID Connect sulla tua istanza.
Considerazioni sulla pianificazione
- Valuta la possibilità di utilizzare l'opzione Accesso alternativo per utenti specifici per consentire agli amministratori di Looker di accedere a Looker senza OpenID Connect.
- Non disattivare l'autenticazione OpenID Connect mentre hai eseguito l'accesso a Looker utilizzando OpenID Connect, a meno che tu non abbia configurato un accesso alternativo all'account. In caso contrario, potresti non riuscire più ad accedere all'app.
- Looker può migrare gli account esistenti a OpenID Connect utilizzando indirizzi email provenienti da configurazioni attuali di email e password, LDAP, SAML o Google Auth. Potrai configurare questa opzione durante la procedura di configurazione.
- Looker supporta l'autenticazione OpenID Connect solo utilizzando il flusso del codice di autorizzazione di OpenID Connect. Gli altri flussi di codice non sono supportati.
- La specifica OpenID Connect include un meccanismo di rilevamento facoltativo. Looker non supporta questo meccanismo, pertanto devi fornire URL espliciti nella sezione OpenID Connect Auth Settings (Impostazioni di autenticazione OpenID Connect), come descritto in Configurazione delle impostazioni di autenticazione OpenID Connect.
- Di seguito sono riportati i prerequisiti aggiuntivi per abilitare OpenID Connect per un'istanza di Looker (Google Cloud core) che utilizza connessioni private:
- Il router Cloud deve essere configurato per propagare correttamente le route della rete VPC all'istanza di Looker (Google Cloud core) (ad esempio, configurando route annunciate personalizzate).
- Per consentire all'istanza di connessioni private di Looker (Google Cloud core) di instradare il traffico al provider di identità esterno, è necessario configurare un NEG internet.
Configurazione di OpenID Connect
Per configurare la connessione tra Looker e OpenID Connect, esegui le seguenti attività:
- Fornisci l'URL di Looker al tuo provider OpenID Connect (OP).
- Recupera le informazioni richieste dal tuo OP.
- Configura l'autenticazione OpenID Connect nell'istanza di Looker.
Configurare Looker sulla tua OP
Il tuo provider OpenID Connect (OP) avrà bisogno dell'URL della tua istanza di Looker. Il tuo OP potrebbe chiamarlo URI di reindirizzamento o URI di reindirizzamento di accesso, tra gli altri nomi. Sul sito web del tuo OP, fornisci l'URL che utilizzi in genere per accedere alla tua istanza di Looker in un browser, seguito da /openidconnect. Ad esempio: https://instance_name.looker.com/openidconnect.
Recupero delle informazioni dal tuo operatore
Per configurare Looker per l'autenticazione OpenID Connect, devi disporre delle seguenti informazioni fornite dal tuo OP:
- Un identificatore client e un client secret. Questi vengono solitamente forniti dall'OP sul suo sito web quando configuri l'URI di reindirizzamento.
- Durante la procedura di autenticazione OpenID Connect, Looker si connette a tre endpoint diversi: un endpoint di autenticazione, un endpoint token ID e un endpoint informazioni utente. Avrai bisogno degli URL utilizzati dal tuo OP per ciascuno di questi endpoint.
- Ogni OP fornirà le informazioni utente in set chiamati ambiti. Devi conoscere i nomi degli ambiti utilizzati dal tuo OP. OpenID Connect richiede l'ambito
openid, ma è probabile che il tuo OP includa altri ambiti, comeemail,profileegroups. - In OpenID Connect, gli attributi che memorizzano i dati utente sono chiamati claim. Devi sapere quali rivendicazioni vengono trasmesse da OP a Looker per fornire le informazioni utente che vuoi nella tua istanza di Looker. Looker richiede attestazioni che contengano informazioni su email e nome, ma se hai altri attributi utente, come fuso orario o reparto, Looker dovrà anche identificare quali attestazioni contengono queste informazioni. Le rivendicazioni possono essere incluse nella risposta dell'endpoint Informazioni utente o dell'endpoint Token ID. Looker può mappare le rivendicazioni restituite da uno dei due endpoint agli attributi utente di Looker.
Molti OP forniscono informazioni sulla configurazione di OpenID Connect sotto forma di documento di rilevamento, consentendoti di raccogliere alcune o tutte le informazioni necessarie per configurare Looker per OpenID Connect. Se non hai accesso a un documento di rilevamento, devi ottenere le informazioni necessarie dal tuo OP o dal team di autenticazione interno.
La sezione seguente è tratta da un esempio di documento di rilevamento:
{
"issuer": "https://accounts.google.com",
"authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
"token_endpoint": "https://www.googleapis.com/oauth2/v4/token",
"userinfo_endpoint": "https://www.googleapis.com/oauth2/v3/userinfo",
"revocation_endpoint": "https://accounts.google.com/o/oauth2/revoke",
"jwks_uri": "https://www.googleapis.com/oauth2/v3/certs",
"response_types_supported": [
"code",
"token",
"id_token",
"code token"
"code id_token",
"token id_token",
"code token id_token",
"none"
],
"subject_types_supported": [
"public"
],
"id_token_signing_alg_values_supported": [
"RS256"
],
"scopes_supported": [
"openid",
"email",
"profile"
],
"token_endpoint_auth_methods_supported": [
"client_secret_post",
"client_secret_basic"
],
"claims_supported": [
"aud",
"email",
"email_verified",
"exp",
"family_name",
"given_name",
"iat",
"iss",
"locale",
"name",
"picture",
"sub"
],
Configurazione delle impostazioni di autenticazione OpenID Connect
Per configurare l'autenticazione OpenID Connect per la tua istanza di Looker, seleziona OpenID Connect nella sezione Autenticazione del pannello Amministratore. Nella pagina Autenticazione OpenID Connect, seleziona Configura OpenID Connect.
Utilizza le informazioni di configurazione ottenute dal documento di rilevamento dell'OP, dall'OP o dal team di autenticazione interno per inserire le impostazioni di connessione nei seguenti campi:
Identifier (Identificatore): l'identificatore client univoco per la tua istanza di Looker. Quest'ultimo dovrebbe essere fornito dal tuo OP.
Secret: la chiave client secret univoca per la tua istanza di Looker. Quest'ultimo dovrebbe essere fornito dal tuo OP.
Emittente: l'URL sicuro che identifica il tuo OP.
Pubblico: un identificatore che indica al tuo OP chi è il cliente. Spesso corrisponde al valore dell'identificatore, ma può essere un valore diverso.
URL di autorizzazione: l'URL del OP in cui inizia la sequenza di autenticazione. Spesso viene chiamato authorization_endpoint in un documento di discovery.
URL del token: l'URL in cui Looker recupera un token OAuth dopo che Looker è stato autorizzato. Spesso chiamato token_endpoint in un documento di rilevamento.
URL informazioni utente: l'URL da cui Looker recupererà informazioni dettagliate sull'utente. Spesso chiamato userinfo_endpoint in un documento di rilevamento.
Ambiti: un elenco separato da virgole di ambiti utilizzati dall'OP per fornire informazioni sugli utenti a Looker. Devi includere l'ambito openid e tutti gli ambiti che includono le informazioni richieste da Looker, tra cui indirizzi email, nomi utente e tutti gli attributi utente configurati nell'istanza di Looker.
Configurazione delle impostazioni degli attributi utente
In questa sezione, mapperai le rivendicazioni del proprietario agli attributi utente di Looker.
Nella sezione User Attribute Settings (Impostazioni attributi utente), inserisci il nome dell'attestazione dell'OP che contiene le informazioni corrispondenti per ogni campo. Indica a Looker come mappare queste rivendicazioni alle informazioni utente di Looker al momento dell'accesso. Looker non ha requisiti particolari per la creazione delle rivendicazioni, l'importante è che le informazioni sulle rivendicazioni inserite qui corrispondano al modo in cui sono definite nel tuo OP.
Rivendicazioni standard
Looker richiede il nome utente e l'indirizzo email per l'autenticazione dell'utente. In questa sezione, inserisci le informazioni relative alle rivendicazioni corrispondenti del tuo OP:
Email Claim (Claim email): il claim utilizzato dal tuo OP per gli indirizzi email degli utenti, ad esempio email.
Attestazione nome: l'attestazione utilizzata dal tuo OP per i nomi degli utenti, ad esempio given_name.
Attestazione cognome: l'attestazione utilizzata dal tuo OP per i cognomi degli utenti, ad esempio family_name.
Tieni presente che alcuni OP utilizzano una singola rivendicazione per i nomi, anziché separare nome e cognome. Se questo è il caso del tuo OP, inserisci l'attestazione che memorizza i nomi sia nel campo Attestazione nome sia nel campo Attestazione cognome. Per ogni utente, Looker utilizzerà i contenuti fino al primo spazio come nome e tutto ciò che segue come cognome.
Accoppiamenti di attributi
Facoltativamente, puoi utilizzare i dati delle tue attestazioni OpenID Connect per compilare automaticamente i valori negli attributi utente di Looker quando un utente accede. Ad esempio, se hai configurato OpenID Connect per stabilire connessioni specifiche per l'utente al tuo database, puoi accoppiare le attestazioni OpenID Connect con gli attributi utente di Looker per rendere le connessioni al database specifiche per l'utente in Looker.
Per associare le rivendicazioni agli attributi utente di Looker corrispondenti o gestire le associazioni esistenti, segui questi passaggi:
- Nella sezione Impostazioni attributi utente, fai clic sul pulsante Gestisci accoppiamenti per aprire il riquadro laterale Gestisci accoppiamenti.
- Nel campo Claim (Rivendicazione), inserisci la rivendicazione che vuoi accoppiare, come identificata dal tuo OP. I nomi delle rivendicazioni possono essere inseriti nell'elenco una sola volta. Se vuoi associare un'attestazione OpenID Connect a più attributi Looker, puoi inserire più attributi nel campo Attributi utente Looker.
- Nel campo Attributi utente di Looker viene visualizzato un elenco a discesa degli attributi utente di Looker per l'istanza. Seleziona il nome dell'attributo utente di Looker che vuoi associare all'attestazione OpenID Connect. È possibile selezionare più attributi utente di Looker. È necessario selezionare almeno un attributo utente Looker.
- Seleziona la casella di controllo Obbligatorio per bloccare i tentativi di accesso da qualsiasi account utente a cui manca un valore nel campo dell'attributo.
- Fai clic sul pulsante Aggiungi accoppiamento per aggiungere un'altra riga di accoppiamento all'elenco. Ripeti questi passaggi per aggiungere altre coppie di rivendicazioni e attributi.
- A destra di ogni riga di accoppiamento è presente un'icona Rimuovi accoppiamento. Fai clic su questa icona per rimuovere un accoppiamento di attributi dalla tua istanza.
- Fai clic sull'icona Chiudi per uscire dal riquadro laterale Gestisci accoppiamenti.
- Testa la configurazione OpenID Connect.
- Verifica la configurazione OpenID Connect e, nella parte inferiore della pagina Autenticazione OpenID Connect, seleziona la casella di controllo Ho verificato la configurazione OpenID Connect.
- Fai clic sul pulsante Attiva OpenID Connect o Aggiorna impostazioni OpenID Connect per salvare gli accoppiamenti di attestazioni e attributi.
Il riquadro laterale Gestisci accoppiamenti include anche i seguenti strumenti:
- Il menu dei filtri e la barra di ricerca Elenco filtri. Utilizza questi strumenti per cercare gli accoppiamenti già aggiunti alla tua istanza.
- Il menu a discesa di paginazione Visualizzazione. Utilizza questo menu per visualizzare 10, 25, 50 o 100 accoppiamenti per pagina.
Rivendicazioni nidificate
Alcuni OP possono avere rivendicazioni "nidificate". Ad esempio:
"zoneinfo": "America/Los Angeles",
"phone_number": "555-1235",
"address": {
"street_address": "1234 Main Street",
"locality": "Anyton",
"region": "IL",
"postal_code": "60609",
"country": "US"
},
Nell'esempio precedente, l'attestazione locality è nidificata all'interno dell'attestazione address. Per le rivendicazioni nidificate, specifica le rivendicazioni principali e nidificate, separate da una barra ( / ). Per configurare Looker per l'attestazione locality nell'esempio, devi inserire address/locality.
Gruppi e ruoli
Hai la possibilità di chiedere a Looker di creare gruppi che rispecchiano i tuoi gruppi OpenID Connect gestiti esternamente. I gruppi possono essere utilizzati per impostare i controlli di accesso ai contenuti e assegnare agli utenti attributi utente basati sui gruppi OpenID Connect di cui è stato eseguito il mirroring. Quando apporti modifiche all'iscrizione al gruppo OpenID Connect, queste vengono propagate automaticamente nella configurazione del gruppo di Looker.
Il mirroring dei gruppi OpenID Connect ti consente di utilizzare la directory OpenID Connect definita esternamente per gestire i gruppi e gli utenti di Looker. In questo modo, puoi gestire l'iscrizione al gruppo per più strumenti Software as a Service (SaaS), come Looker, in un unico posto.
Se attivi l'opzione Esegui il mirroring dei gruppi OpenID Connect, Looker creerà un gruppo Looker per ogni gruppo OpenID Connect introdotto nel sistema. Questi gruppi di Looker possono essere visualizzati nella pagina Groups (Gruppi) della sezione Admin (Amministrazione) di Looker.
Gruppi e ruoli predefiniti
Per impostazione predefinita, l'opzione Esegui il mirroring dei gruppi OpenID Connect è disattivata. In questo caso, puoi impostare un gruppo predefinito per i nuovi utenti OpenID Connect. Nei campi Nuovi gruppi di utenti e Nuovi ruoli utente, inserisci i nomi di eventuali gruppi o ruoli di Looker a cui vuoi assegnare i nuovi utenti di Looker al primo accesso:
Questi gruppi e ruoli vengono applicati ai nuovi utenti al primo accesso. Non vengono applicati agli utenti esistenti e non vengono applicati nuovamente se vengono rimossi dagli utenti dopo il primo accesso.
Abilitazione del mirroring dei gruppi OpenID Connect
Se utilizzi un'istanza di Looker (Google Cloud core), ti consigliamo di attivare il mirroring dei gruppi solo per il metodo di autenticazione principale e di non attivarlo per l'autenticazione OAuth di backup. Se attivi il mirroring dei gruppi sia per il metodo di autenticazione principale sia per quello secondario, si verificheranno i seguenti comportamenti:
- Se un utente ha unito le identità, il mirroring dei gruppi corrisponderà al metodo di autenticazione principale, indipendentemente dal metodo di autenticazione effettivo utilizzato per accedere.
- Se un utente non ha identità unite, il mirroring dei gruppi corrisponderà al metodo di autenticazione utilizzato per accedere.
Procedura per attivare i gruppi di mirroring
Per eseguire il mirroring dei gruppi OpenID Connect in Looker, attiva l'opzione Esegui il mirroring dei gruppi OpenID Connect. Looker visualizza queste impostazioni:
Groups Claim (Attestazione gruppi): inserisci l'attestazione utilizzata dal tuo OP per archiviare i nomi dei gruppi. Poi, inserisci le informazioni del gruppo per configurare i gruppi OpenID Connect specifici che vuoi rispecchiare in Looker nei campi Nome gruppo preferito / Ruoli / Nome gruppo OpenID Connect. È un passaggio obbligatorio per mappare i gruppi OpenID Connect ai gruppi Looker.
Pulsante Manage Groups (Gestisci gruppi): fai clic su questo pulsante per aprire il riquadro laterale Manage Groups (Gestisci gruppi), dove puoi aggiungere, rimuovere o modificare un gruppo personalizzato o i ruoli assegnati al gruppo in Looker. Il riquadro laterale Gestisci gruppi mostra i seguenti campi:
Un campo Nome gruppo preferito. Inserisci un nome personalizzato per il gruppo sottoposto a mirroring in questo campo. Questo è il nome che verrà visualizzato nella pagina Groups (Gruppi) della sezione Admin (Amministrazione) di Looker.
Il campo Nome gruppo OpenID Connect. Inserisci il gruppo OpenID Connect in questo campo. Gli utenti OpenID Connect inclusi nel gruppo OpenID Connect verranno aggiunti al gruppo di cui è stato eseguito il mirroring in Looker.
Un campo Ruolo. In questo campo, seleziona uno o più ruoli di Looker che verranno assegnati a ogni utente del gruppo.
Un'icona Rimuovi mappatura. Fai clic su questa icona per rimuovere un gruppo sottoposto a mirroring dalla tua istanza di Looker. Se elimini un gruppo, questo non verrà più sottoposto a mirroring in Looker e ai suoi membri non verranno più assegnati i ruoli in Looker tramite quel gruppo.
Il riquadro laterale Gestisci gruppi include anche i seguenti strumenti:
Il menu dei filtri e la barra di ricerca Elenco filtri. Utilizza questi strumenti per cercare i gruppi che sono già stati aggiunti alla tua istanza.
Il pulsante Aggiungi mappatura. Fai clic su questo pulsante per aggiungere un gruppo personalizzato all'istanza.
Il menu a discesa di paginazione Visualizzazione. Utilizza questo menu per selezionare il numero di gruppi da visualizzare in ogni pagina.
Modifica dei gruppi con mirroring
Se modifichi un gruppo sottoposto a mirroring configurato in precedenza in questa schermata, la configurazione del gruppo cambierà, ma il gruppo stesso rimarrà invariato. Ad esempio, puoi modificare il nome del gruppo di Looker, il che cambierebbe l'aspetto del gruppo nella pagina Gruppi di Looker, ma non i ruoli assegnati e i membri del gruppo. La modifica del nome del gruppo OpenID Connect manterrebbe il nome e i ruoli del gruppo, ma i membri del gruppo verrebbero riassegnati in base agli utenti che sono membri del gruppo OpenID Connect esterno con il nuovo nome del gruppo OpenID Connect.
Le modifiche apportate a un gruppo sottoposto a mirroring verranno applicate agli utenti di quel gruppo al successivo accesso a Looker.
Gestione avanzata dei ruoli
Se hai attivato l'opzione Esegui il mirroring dei gruppi OpenID Connect, Looker mostra queste impostazioni. Le opzioni in questa sezione determinano la flessibilità degli amministratori di Looker durante la configurazione di gruppi e utenti di Looker di cui è stato eseguito il mirroring da OpenID Connect.
Ad esempio, se vuoi che la configurazione di gruppi e utenti di Looker corrisponda esattamente alla configurazione di OpenID Connect, attiva queste opzioni. Se tutte e tre le opzioni sono abilitate, gli amministratori di Looker non possono modificare l'iscrizione ai gruppi di cui è stato eseguito il mirroring e possono assegnare ruoli agli utenti solo tramite i gruppi di cui è stato eseguito il mirroring di OpenID Connect.
Se vuoi avere maggiore flessibilità per personalizzare ulteriormente i gruppi in Looker, disattiva queste opzioni. I tuoi gruppi Looker continueranno a rispecchiare la configurazione di OpenID Connect, ma potrai eseguire ulteriori operazioni di gestione di gruppi e utenti all'interno di Looker, ad esempio aggiungere utenti OpenID Connect a gruppi specifici di Looker o assegnare ruoli Looker direttamente agli utenti OpenID Connect.
Per le nuove istanze di Looker o per le istanze che non hanno gruppi con mirroring configurati in precedenza, queste opzioni sono disattivate per impostazione predefinita.
Per le istanze di Looker esistenti che hanno configurato gruppi con mirroring, queste opzioni sono attive per impostazione predefinita.
La sezione Gestione avanzata dei ruoli contiene le seguenti opzioni:
Impedisci ai singoli utenti OpenID Connect di ricevere ruoli diretti: l'attivazione di questa opzione impedisce agli amministratori di Looker di assegnare i ruoli di Looker direttamente agli utenti OpenID Connect. Gli utenti OpenID Connect riceveranno i ruoli solo tramite le iscrizioni ai gruppi. Se gli utenti OpenID Connect possono essere membri di gruppi Looker integrati (non sottoposti a mirroring), possono comunque ereditare i ruoli sia dai gruppi OpenID Connect sottoposti a mirroring sia dai gruppi Looker integrati. I ruoli assegnati direttamente in precedenza agli utenti OpenID Connect verranno rimossi al successivo accesso.
Se questa opzione è disattivata, gli amministratori di Looker possono assegnare ruoli di Looker direttamente agli utenti OpenID Connect come se fossero utenti configurati direttamente in Looker.
Impedisci l'iscrizione diretta ai gruppi non OpenID Connect: l'attivazione di questa opzione impedisce agli amministratori di Looker di aggiungere utenti OpenID Connect direttamente ai gruppi Looker integrati. Se i gruppi OpenID Connect di cui è stato eseguito il mirroring possono essere membri di gruppi Looker integrati, gli utenti OpenID Connect possono mantenere l'iscrizione a qualsiasi gruppo Looker principale. Gli utenti OpenID Connect a cui in precedenza erano stati assegnati gruppi Looker integrati verranno rimossi da questi gruppi al successivo accesso.
Se questa opzione è disattivata, gli amministratori di Looker possono aggiungere utenti OpenID Connect direttamente ai gruppi Looker integrati.
Impedisci l'ereditarietà dei ruoli dai gruppi non OpenID Connect: l'attivazione di questa opzione impedisce ai membri dei gruppi OpenID Connect di cui è stato eseguito il mirroring di ereditare i ruoli dai gruppi Looker integrati. Tutti gli utenti OpenID Connect che in precedenza hanno ereditato i ruoli da un gruppo Looker principale perderanno questi ruoli al successivo accesso.
Se questa opzione è disattivata, i gruppi OpenID Connect di cui è stato eseguito il mirroring o gli utenti OpenID Connect aggiunti come membri di un gruppo Looker integrato erediteranno i ruoli assegnati al gruppo Looker principale.
Auth Requires Role: se questa opzione è attiva, gli utenti OpenID Connect devono avere un ruolo assegnato. Gli utenti OpenID Connect a cui non è stato assegnato un ruolo non potranno accedere a Looker.
Se questa opzione è disattivata, gli utenti OpenID Connect possono autenticarsi su Looker anche se non hanno un ruolo assegnato. Un utente senza un ruolo assegnato non potrà visualizzare alcun dato o eseguire alcuna azione in Looker, ma potrà accedere a Looker.
Disattivazione del mirroring dei gruppi OpenID Connect
Se vuoi interrompere il mirroring dei gruppi OpenID Connect all'interno di Looker, disattiva l'opzione Esegui il mirroring dei gruppi OpenID Connect. La disattivazione dell'opzione comporta il seguente comportamento:
- Qualsiasi gruppo OpenID Connect di mirroring senza utenti viene eliminato immediatamente.
- Qualsiasi gruppo OpenID Connect di cui è stato eseguito il mirroring che contiene utenti viene contrassegnato come orfano. Se nessun utente di questo gruppo accede entro 31 giorni, il gruppo viene eliminato. Non è più possibile aggiungere o rimuovere utenti dai gruppi OpenID Connect orfani.
Configurazione delle opzioni di migrazione
Come spiegato in questa sezione, Looker consiglia di attivare l'accesso alternativo e di fornire una strategia di unione per gli utenti esistenti.
Accesso alternativo per utenti specificati
Gli accessi con email e password di Looker sono sempre disattivati per gli utenti regolari quando è attivata l'autenticazione OpenID Connect. L'opzione Accesso alternativo per utenti specificati consente l'accesso alternativo con un indirizzo email utilizzando /login/email per gli amministratori e gli utenti specificati con l'autorizzazione login_special_email.
L'accesso alternativo è utile come alternativa durante la configurazione di OpenID Connect se in un secondo momento si verificano problemi di configurazione con OpenID Connect o se devi supportare alcuni utenti che non hanno account nella tua directory OpenID Connect.
Specifica il metodo utilizzato per unire gli utenti OpenID Connect a un account Looker
Nel campo Unisci utenti utilizzando, specifica il metodo da utilizzare per unire un primo accesso OpenID Connect a un account utente esistente. Puoi unire gli utenti dai seguenti sistemi:
- Email/password di Looker (non disponibile per Looker (Google Cloud core))
- LDAP (non disponibile per Looker (Google Cloud core))
- SAML
Se hai più sistemi di autenticazione, puoi specificare più di un sistema per l'unione in questo campo. Looker cercherà gli utenti nei sistemi elencati nell'ordine in cui sono specificati. Ad esempio, supponiamo che tu abbia creato alcuni utenti utilizzando l'email/la password di Looker, poi abbia attivato LDAP e ora voglia utilizzare OpenID Connect. Nell'esempio precedente, Looker eseguirà l'unione prima per email e password e poi per LDAP.
Quando un utente accede per la prima volta con OpenID Connect, questa opzione lo connette al suo account esistente trovando l'account con un indirizzo email corrispondente. Se non esiste un account per l'utente, ne verrà creato uno nuovo.
Per risolvere i problemi relativi agli account duplicati, elimina gli account email duplicati inutilizzati dall'interfaccia utente amministratore. Per concedere l'accesso via email a un utente mantenendo lo stesso account OpenID Connect, gli amministratori devono creare le credenziali email direttamente nell'account OpenID Connect esistente utilizzando l'API Looker, anziché creare un nuovo account utente separato dall'interfaccia utente amministratore.
Unione degli utenti quando si utilizza Looker (Google Cloud core)
Quando utilizzi Looker (Google Cloud core) e OpenID Connect, l'unione funziona come descritto nella sezione precedente. Tuttavia, è possibile solo se viene soddisfatta una delle seguenti condizioni:
- Condizione 1: gli utenti eseguono l'autenticazione in Looker (Google Cloud core) utilizzando le proprie Google Identity tramite il protocollo OpenID Connect.
Condizione 2: prima di selezionare l'opzione di unione, hai completato i seguenti due passaggi:
- Federare le identità degli utenti in Google Cloud utilizzando Cloud Identity.
- Configura l'autenticazione OAuth come metodo di autenticazione di backup utilizzando gli utenti federati.
Se la configurazione non soddisfa una di queste due condizioni, l'opzione Unisci utenti utilizzando non sarà disponibile.
Durante l'unione, Looker cercherà i record utente che condividono lo stesso indirizzo email.
Test dell'autenticazione utente
Durante la specifica di questa configurazione, fai clic sul pulsante Test per testare la configurazione OpenID Connect.
I test verranno reindirizzati agli endpoint e apriranno una nuova scheda del browser. La scheda mostra:
- Se Looker è stato in grado di comunicare con i vari endpoint e convalidare
- Una traccia della risposta dell'endpoint di autenticazione
- Le informazioni utente che Looker ottiene dall'endpoint informazioni utente
- Versioni decodificate e non elaborate del token ID ricevuto
Puoi utilizzare questo test per verificare che le informazioni ricevute dai vari endpoint siano corrette e per risolvere eventuali errori.
Suggerimenti:
- Puoi eseguire questo test in qualsiasi momento, anche se OpenID Connect è configurato parzialmente. L'esecuzione di un test può essere utile durante la configurazione per vedere quali parametri devono essere configurati.
- Il test utilizza le impostazioni inserite nella pagina Autenticazione OpenID Connect, anche se non sono state salvate. Il test non influirà né modificherà alcuna impostazione della pagina.
Salva e applica le impostazioni
Dopo aver inserito le informazioni e aver superato tutti i test, seleziona Ho confermato la configurazione riportata sopra e voglio abilitarne l'applicazione a livello globale e fai clic su Aggiorna impostazioni per salvare.
Comportamento di accesso degli utenti
Quando un utente tenta di accedere a un'istanza di Looker utilizzando OpenID Connect (OIDC), Looker si apre alla pagina Accedi. L'utente deve fare clic sul pulsante Autentica per avviare l'autenticazione tramite OIDC.
A differenza dell'autenticazione SAML, l'autenticazione OpenID Connect non supporta la funzionalità Ignora pagina di accesso. Nell'interfaccia utente amministratore di Looker non è disponibile un'opzione per bypassare la pagina di accesso per gli utenti OIDC, il che significa che gli utenti devono fare clic manualmente su Autentica per avviare il flusso di autenticazione OIDC.
Risoluzione dei problemi
Per risolvere i problemi di autenticazione, controlla la dashboard Attività utente in Attività di sistema. Questa dashboard contiene riquadri che mostrano gli errori di accesso recenti e include il metodo di autenticazione utilizzato, il messaggio di errore restituito e l'ora del tentativo.
Risoluzione dei problemi di OIDC sulle istanze di Looker (Google Cloud core)
Se riscontri problemi di connessione o timeout durante la configurazione o il test dell'autenticazione OIDC su un'istanza di Looker (Google Cloud core) (ad esempio errori 504 Upstream
Request Timeout, errori HttpClient:ConnectTimeoutError execution expired, route di rete in uscita controllate mancanti o errori di mancata corrispondenza dell'URI di reindirizzamento fuorvianti), consulta Risoluzione dei problemi di networking di Looker (Google Cloud core).