Administratoreinstellungen – SAML-Authentifizierung

Auf der Seite SAML im Abschnitt Authentifizierung des Menüs Admin können Sie Looker so konfigurieren, dass Nutzer mit Security Assertion Markup Language (SAML) authentifiziert werden. Auf dieser Seite wird dieser Prozess beschrieben und es wird erläutert, wie Sie SAML-Gruppen mit Looker-Rollen und -Berechtigungen verknüpfen.

Voraussetzungen

Looker zeigt die Seite SAML im Abschnitt Authentifizierung des Menüs Admin nur an, wenn die folgenden Bedingungen erfüllt sind:

  • Sie haben die Administratorrolle.
  • Ihre Looker-Instanz (Original) ist für die Verwendung von SAML aktiviert. Wenden Sie sich an Ihren Account Executive, um SAML zu aktivieren.
  • Für Ihre Looker (Google Cloud Core)-Instanz wird Google OAuth als primäre Authentifizierungsmethode verwendet.

Wenn diese Bedingungen erfüllt sind und Sie die Seite SAML nicht sehen, stellen Sie eine Supportanfrage, um SAML für Ihre Instanz zu aktivieren.

SAML und Identitätsanbieter

Unternehmen verwenden verschiedene Identitätsanbieter (IdPs), um die Abstimmung mit SAML zu koordinieren (z. B. Okta oder OneLogin). Die in der folgenden Einrichtungsanleitung und in der Benutzeroberfläche verwendeten Begriffe stimmen möglicherweise nicht direkt mit denen Ihres IdP überein. Wenn Sie während der Einrichtung Fragen haben, wenden Sie sich an Ihr internes SAML- oder Authentifizierungsteam oder an den Looker-Support.

Looker geht davon aus, dass SAML-Anfragen und -Assertions komprimiert werden. Achten Sie darauf, dass Ihr IdP entsprechend konfiguriert ist. Looker-Anfragen an den IdP sind nicht signiert.

Looker unterstützt die vom IdP initiierte Anmeldung.

Ein Teil der Einrichtung muss auf der Website des IdP erfolgen.

Okta bietet eine Looker-Anwendung, die für die gemeinsame Konfiguration von Looker und Okta empfohlen wird.

Looker in Ihrem Identitätsanbieter einrichten

Ihr SAML-IdP benötigt die Looker-Instanz-URL, an die der SAML-IdP SAML-Assertions senden soll. Bei Ihrem IdP kann das Feld unter anderem „Postback-URL“, „Empfänger“ oder „Ziel“ heißen.

Geben Sie die URL an, über die Sie normalerweise im Browser auf Ihre Looker-Instanz zugreifen, gefolgt von /samlcallback. Beispiel: none https://instance_name.looker.com/samlcallback

oder

https://looker.mycompany.com/samlcallback

Bei einigen Identitätsanbietern müssen Sie nach der Instanz-URL auch :9999 hinzufügen. Beispiel:

https://instance_name.looker.com:9999/samlcallback

Wichtige Punkte

Beachten Sie Folgendes:

  • Looker erfordert SAML 2.0.
  • Deaktivieren Sie die SAML-Authentifizierung nicht, während Sie über SAML in Looker angemeldet sind, es sei denn, Sie haben eine alternative Kontoanmeldung eingerichtet. Andernfalls kann es passieren, dass Sie sich selbst aus der App aussperren.
  • Looker kann vorhandene Konten zu SAML migrieren. Dazu werden E‑Mail-Adressen verwendet, die entweder aus aktuellen E‑Mail- und Passwortkonfigurationen oder aus Google Auth, LDAP oder OIDC stammen. Sie können während der Einrichtung konfigurieren, wie bestehende Konten migriert werden.

Erste Schritte

Wenn Sie die SAML-Authentifizierung für Ihre Looker-Instanz konfigurieren möchten, wählen Sie im Bereich Admin im Abschnitt Authentifizierung die Option SAML aus. Wählen Sie auf der Seite SAML Authentication (SAML-Authentifizierung) die Option Configure SAML (SAML konfigurieren) aus, um die folgenden Konfigurationsoptionen aufzurufen.

SAML-Authentifizierungseinstellungen

Looker benötigt die IdP-URL, den IdP-Aussteller und das IdP-Zertifikat, um Ihren IdP zu authentifizieren.

Ihr IdP bietet möglicherweise während der Konfiguration von Looker auf der IdP-Seite ein XML-Dokument mit IdP-Metadaten an. Diese Datei enthält alle Informationen, die im Abschnitt SAML Auth Settings (SAML-Authentifizierungseinstellungen) angefordert werden. Wenn Sie diese Datei haben, können Sie sie im Feld IdP-Metadaten hochladen. Dadurch werden die erforderlichen Felder in diesem Abschnitt ausgefüllt. Alternativ können Sie die erforderlichen Felder auch mit den Ausgaben ausfüllen, die bei der Konfiguration auf IdP-Seite generiert wurden. Wenn Sie die XML-Datei hochladen, müssen Sie die Felder nicht ausfüllen.

  • IdP-Metadaten (optional): Fügen Sie hier entweder die öffentliche URL des XML-Dokuments mit den IdP-Informationen oder den gesamten Text des Dokuments ein. Looker parst diese Datei, um die erforderlichen Felder auszufüllen.

Wenn Sie kein XML-Dokument mit IdP-Metadaten hochgeladen oder eingefügt haben, geben Sie stattdessen Ihre IdP-Authentifizierungsinformationen in die Felder IdP-URL, IdP-Aussteller und IdP-Zertifikat ein.

  • IdP-URL: Die URL, die Looker verwendet, um Nutzer zu authentifizieren. In Okta wird dies als Weiterleitungs-URL bezeichnet.

  • IdP-Aussteller: Die eindeutige Kennung des IdP. In Okta wird dies als „External Key“ (externer Schlüssel) bezeichnet.

  • IdP-Zertifikat: Der öffentliche Schlüssel, mit dem Looker die Signatur von IdP-Antworten überprüfen kann.

Zusammen ermöglichen diese drei Felder Looker, zu bestätigen, dass ein Satz signierter SAML-Assertions tatsächlich von einem vertrauenswürdigen IdP stammt.

  • SP-Entität/IdP-Zielgruppe: Dieses Feld ist für Looker nicht erforderlich, wird aber von vielen IdPs verlangt. Wenn Sie einen Wert in dieses Feld eingeben, wird dieser Wert in Autorisierungsanfragen als Entity ID von Looker an Ihren IdP gesendet. In diesem Fall akzeptiert Looker nur Autorisierungsantworten, die diesen Wert als Audience haben. Wenn Ihr IdP einen Audience-Wert erfordert, geben Sie diesen String hier ein.
  • Zulässiger Zeitversatz: Die Anzahl der Sekunden, um die die Uhrzeit abweichen darf (die Differenz zwischen den Zeitstempeln des IdP und von Looker). Dieser Wert ist in der Regel der Standardwert 0. Bei einigen IdPs ist jedoch möglicherweise ein zusätzlicher Spielraum für erfolgreiche Anmeldungen erforderlich.

Einstellungen für Nutzerattribute

Geben Sie in den folgenden Feldern den Attributnamen in der SAML-Konfiguration Ihres IdP an, der die entsprechenden Informationen für jedes Feld enthält. Durch die Eingabe der SAML-Attributnamen weiß Looker, wie diese Felder zugeordnet und ihre Informationen bei der Anmeldung extrahiert werden sollen. Looker ist es egal, wie diese Informationen aufgebaut sind. Es ist nur wichtig, dass die Art und Weise, wie Sie sie in Looker eingeben, mit der Definition der Attribute in Ihrem IdP übereinstimmt. Looker bietet Standardvorschläge für die Erstellung dieser Eingaben.

Standardattribute

Sie müssen die folgenden Standardattribute angeben:

  • Email Attr: Der Attributname, den Ihr IdP für Nutzer-E-Mail-Adressen verwendet.

  • FName Attr: Der Attributname, den Ihr IdP für Vornamen von Nutzern verwendet.

  • LName Attr: Der Attributname, den Ihr IdP für die Nachnamen der Nutzer verwendet.

SAML-Attribute mit Looker-Nutzerattributen koppeln

Sie können die Daten in Ihren SAML-Attributen optional verwenden, um Werte in Looker-Nutzerattributen automatisch zu füllen, wenn sich ein Nutzer anmeldet. Wenn Sie beispielsweise SAML so konfiguriert haben, dass nutzerspezifische Verbindungen zu Ihrer Datenbank hergestellt werden, können Sie Ihre SAML-Attribute mit Looker-Nutzerattributen verknüpfen, um Ihre Datenbankverbindungen in Looker nutzerspezifisch zu gestalten.

So verknüpfen Sie SAML-Attribute mit den entsprechenden Looker-Nutzerattributen:

  1. Geben Sie den Namen des SAML-Attributs in das Feld SAML-Attribut und den Namen des Looker-Nutzerattributs, mit dem Sie es koppeln möchten, in das Feld Looker-Nutzerattribute ein.
  2. Wählen Sie Erforderlich aus, wenn Sie einen SAML-Attributwert verlangen möchten, damit sich ein Nutzer anmelden kann.
  3. Klicken Sie auf + und wiederholen Sie diese Schritte, um weitere Attributpaare hinzuzufügen.

So koppeln Sie SAML-Nutzerattribute mit entsprechenden Looker-Nutzerattributen oder verwalten vorhandene Kopplungen:

  1. Klicken Sie im Bereich User Attribute Settings (Einstellungen für Nutzerattribute) auf die Schaltfläche Manage Pairings (Verknüpfungen verwalten), um die Seitenleiste Manage Pairings (Verknüpfungen verwalten) zu öffnen.
  2. Geben Sie im Feld Anspruch den Namen des SAML-Attributs ein, das Sie zuordnen möchten. Sie können jeden Anspruchsnamen nur einmal eingeben. Wenn Sie eine Anforderung mit mehreren Looker-Attributen verknüpfen möchten, können Sie mehrere Attribute in das Feld Looker-Nutzerattribute eingeben.
  3. Im Feld Looker-Nutzerattribute wird eine Drop-down-Liste mit Looker-Nutzerattributen für die Instanz angezeigt. Wählen Sie den Namen des Looker-Nutzerattributs aus, das Sie mit dem SAML-Attribut verknüpfen möchten. Sie können mehrere Looker-Nutzerattribute für eine Anforderung auswählen, müssen aber mindestens ein Looker-Nutzerattribut auswählen.
  4. Klicken Sie das Kästchen Erforderlich an, wenn Sie einen SAML-Attributwert benötigen, damit sich ein Nutzer anmelden kann.
  5. Klicken Sie auf den Button Kopplung hinzufügen, um der Liste eine weitere Kopplungszeile hinzuzufügen. Wiederholen Sie diese Schritte, um weitere Attributpaare hinzuzufügen.
  6. Rechts neben jeder Zeile mit einem gekoppelten Gerät befindet sich das Symbol  Kopplung entfernen. Klicken Sie auf dieses Symbol, um eine Attributpaarung aus Ihrer Instanz zu entfernen.
  7. Klicken Sie auf das Symbol Schließen , um die Seitenleiste Verknüpfungen verwalten zu schließen.
  8. Testen Sie Ihre SAML-Konfiguration.
  9. Überprüfen Sie Ihre SAML-Konfiguration und wählen Sie unten auf der Seite SAML Authentication (SAML-Authentifizierung) das Kästchen I have verified the SAML configuration (Ich habe die SAML-Konfiguration überprüft) aus.
  10. Klicken Sie auf die Schaltfläche SAML aktivieren oder SAML-Einstellungen aktualisieren, um die Zuordnungen von SAML-Nutzerattributen zu speichern.

Die Seitenleiste Verknüpfungen verwalten enthält außerdem die folgenden Tools:

  • Das Filtermenü Liste filtern und die Suchleiste. Mit diesen Tools können Sie die Verknüpfungen durchsuchen, die Ihrer Instanz bereits hinzugefügt wurden.
  • Das Drop-down-Menü Anzeige für die Paginierung. Über dieses Menü können Sie 10, 25, 50 oder 100 Paarungen auf jeder Seite anzeigen lassen.

Gruppen und Rollen

Sie haben die Möglichkeit, Gruppen in Looker erstellen zu lassen, die Ihre extern verwalteten SAML-Gruppen spiegeln. Den Nutzern werden dann Looker-Rollen zugewiesen, die auf ihren gespiegelten SAML-Gruppen basieren. Wenn Sie Änderungen an Ihrer SAML-Gruppenmitgliedschaft vornehmen, werden diese Änderungen auf die Nutzer dieser Looker-Gruppe angewendet, wenn sie sich das nächste Mal in Looker anmelden.

Durch das Spiegeln von SAML-Gruppen können Sie Ihr extern definiertes SAML-Verzeichnis verwenden, um Looker-Gruppen und -Nutzer zu verwalten. So können Sie Ihre Gruppenmitgliedschaft für mehrere SaaS-Tools (Software as a Service) wie Looker an einem Ort verwalten.

Wenn Sie SAML-Gruppen spiegeln aktivieren, erstellt Looker für jede SAML-Gruppe, die in das System eingeführt wird, eine Looker-Gruppe. Diese Looker-Gruppen können auf der Seite Gruppen im Abschnitt Admin von Looker angezeigt werden. Gruppen können verwendet werden, um Gruppenmitgliedern Rollen zuzuweisen, Zugriffssteuerungen für Inhalte festzulegen und Nutzerattribute zuzuweisen.

Standardgruppen und ‑rollen

Standardmäßig ist der Schalter SAML-Gruppen spiegeln deaktiviert. In diesem Fall können Sie eine Standardgruppe für neue SAML-Nutzer festlegen. Geben Sie in die Felder Neue Nutzergruppen und Neue Nutzerrollen die Namen der Looker-Gruppen oder -Rollen ein, denen Sie neue Looker-Nutzer zuweisen möchten, wenn sie sich zum ersten Mal in Looker anmelden:

Diese Gruppen und Rollen werden neuen Nutzern bei der ersten Anmeldung zugewiesen. Die Gruppen und Rollen werden nicht auf bereits vorhandene Nutzer angewendet und sie werden nicht erneut angewendet, wenn sie nach der ersten Anmeldung der Nutzer entfernt werden.

Wenn Sie später die Option „SAML-Gruppen spiegeln“ aktivieren, werden diese Standardeinstellungen bei der nächsten Anmeldung der Nutzer entfernt und durch Rollen ersetzt, die im Abschnitt SAML-Gruppen spiegeln zugewiesen wurden. Diese Standardoptionen sind nicht mehr verfügbar oder zugewiesen und werden vollständig durch die Konfiguration der gespiegelten Gruppen ersetzt.

SAML-Gruppen spiegeln aktivieren

Wenn Sie eine Looker (Google Cloud Core)-Instanz verwenden, empfehlen wir, die Gruppenspiegelung nur für die primäre Authentifizierungsmethode zu aktivieren und nicht für die sekundäre OAuth-Authentifizierung. Wenn Sie die Gruppenspiegelung sowohl für die primäre als auch für die sekundäre Authentifizierungsmethode aktivieren, gilt Folgendes:

  • Wenn ein Nutzer Identitäten zusammengeführt hat, wird bei der Spiegelung von Gruppen die primäre Authentifizierungsmethode verwendet, unabhängig davon, welche Authentifizierungsmethode tatsächlich für die Anmeldung verwendet wurde.
  • Wenn ein Nutzer keine zusammengeführten Identitäten hat, wird bei der Gruppenspiegelung die Authentifizierungsmethode verwendet, die für die Anmeldung verwendet wurde.

Schritte zum Aktivieren gespiegelter Gruppen

Wenn Sie Ihre SAML-Gruppen in Looker spiegeln möchten, aktivieren Sie den Schalter SAML-Gruppen spiegeln. Looker zeigt die folgenden Einstellungen an:

Group Finder Strategy: Wählen Sie das System aus, das der IdP zum Zuweisen von Gruppen verwendet. Dies hängt von Ihrem IdP ab.

  • Fast alle IdPs verwenden einen einzelnen Attributwert, um Gruppen zuzuweisen, wie in dieser Beispiel-SAML-Assertion gezeigt: none <saml2:Attribute Name='Groups'> <saml2:AttributeValue >Everyone</saml2:AttributeValue> <saml2:AttributeValue >Admins</saml2:AttributeValue> </saml2:Attribute> Wählen Sie in diesem Fall Gruppen als Werte einzelner Attribute aus.

  • Einige IdPs verwenden für jede Gruppe ein separates Attribut und benötigen dann ein zweites Attribut, um zu bestimmen, ob ein Nutzer Mitglied einer Gruppe ist. Hier sehen Sie eine Beispiel-SAML-Assertion, die dieses System zeigt: none <saml2:Attribute Name='group_everyone'> <saml2:AttributeValue >yes</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute Name='group_admins'> <saml2:AttributeValue >no</saml2:AttributeValue> </saml2:Attribute> Wählen Sie in diesem Fall Gruppen als einzelne Attribute mit Mitgliedschaftswert aus.

Gruppenattribut: Looker zeigt dieses Feld an, wenn die Strategie für die Gruppensuche auf Gruppen als Werte eines einzelnen Attributs festgelegt ist. Geben Sie den Namen des Gruppenattributs ein, das vom IdP verwendet wird.

Gruppenmitgliedswert: Looker zeigt dieses Feld an, wenn die Strategie für die Gruppensuche auf Gruppen als einzelne Attribute mit Mitgliedschaftswert festgelegt ist. Geben Sie den Wert ein, der angibt, dass ein Nutzer Mitglied einer Gruppe ist.

Schaltfläche Gruppen verwalten: Klicken Sie auf diese Schaltfläche, um die Seitenleiste Gruppen verwalten zu öffnen. Dort können Sie eine benutzerdefinierte Gruppe oder die Rollen, die der entsprechenden Gruppe in Looker zugewiesen sind, hinzufügen, entfernen oder bearbeiten. In der Seitenleiste Gruppen verwalten werden die folgenden Felder angezeigt:

  • Ein Feld Bevorzugter Gruppenname. Geben Sie in dieses Feld einen benutzerdefinierten Namen für die gespiegelte Gruppe ein. Dies ist der Name, der auf der Seite Gruppen im Abschnitt Admin von Looker angezeigt wird.

  • Das Feld Name der SAML-Gruppe. Geben Sie die SAML-Gruppe in dieses Feld ein. Geben Sie für Okta-Nutzer den Okta-Gruppennamen als SAML-Gruppen-ID ein. SAML-Nutzer, die in der SAML-Gruppe enthalten sind, werden der gespiegelten Gruppe in Looker hinzugefügt.

  • Das Feld Rolle. Wählen Sie in diesem Feld eine oder mehrere Looker-Rollen aus, die jedem Nutzer in der Gruppe zugewiesen werden sollen.

  • Das Symbol Zuordnung entfernen (). Klicken Sie auf dieses Symbol, um eine gespiegelte Gruppe aus Ihrer Looker-Instanz zu entfernen. Wenn Sie eine Gruppe löschen, wird diese Gruppe nicht mehr in Looker gespiegelt und ihre Mitglieder haben nicht mehr die Rollen in Looker, die ihnen über diese Gruppe zugewiesen wurden.

Die Seitenleiste Gruppen verwalten enthält außerdem die folgenden Tools:

  • Das Filtermenü Filterliste und die Suchleiste. Mit diesen Tools können Sie nach Gruppen suchen, die Ihrer Instanz bereits hinzugefügt wurden.

  • Die Schaltfläche Zuordnung hinzufügen. Klicken Sie auf diesen Button, um der Instanz eine benutzerdefinierte Gruppe hinzuzufügen.

Gespiegelte Gruppen bearbeiten

Wenn Sie eine gespiegelte Gruppe bearbeiten, die zuvor auf diesem Bildschirm konfiguriert wurde, ändert sich die Konfiguration der Gruppe, die Gruppe selbst bleibt jedoch intakt. Sie können beispielsweise den Looker-Gruppennamen einer Gruppe ändern. Dadurch ändert sich die Darstellung der Gruppe auf der Looker-Seite Gruppen, aber nicht die zugewiesenen Rollen und Gruppenmitglieder. Wenn Sie den SAML-Gruppennamen ändern, bleiben der Gruppenname und die Rollen erhalten. Die Mitglieder der Gruppe werden jedoch basierend auf den Nutzern neu zugewiesen, die Mitglieder der externen SAML-Gruppe mit dem neuen SAML-Gruppennamen sind.

Alle Änderungen an einer gespiegelten Gruppe werden auf die Nutzer dieser Gruppe angewendet, wenn sie sich das nächste Mal in Looker anmelden.

Erweiterte Rollenverwaltung

Wenn Sie den Schalter SAML-Gruppen spiegeln aktiviert haben, werden diese Einstellungen in Looker angezeigt. Mit den Optionen in diesem Abschnitt wird festgelegt, wie viel Flexibilität Looker-Administratoren bei der Konfiguration von Looker-Gruppen und ‑Nutzern haben, die aus SAML gespiegelt wurden.

Wenn Sie beispielsweise möchten, dass Ihre Looker-Gruppen- und Nutzerkonfiguration genau mit Ihrer SAML-Konfiguration übereinstimmt, aktivieren Sie diese Optionen. Wenn alle der ersten drei Optionen aktiviert sind, können Looker-Administratoren die Mitgliedschaften in gespiegelten Gruppen nicht ändern und Nutzern nur über gespiegelte SAML-Gruppen Rollen zuweisen.

Wenn Sie Ihre Gruppen in Looker flexibler anpassen möchten, deaktivieren Sie diese Optionen. Ihre Looker-Gruppen spiegeln weiterhin Ihre SAML-Konfiguration wider. Sie können jedoch zusätzliche Gruppen- und Nutzerverwaltung in Looker vornehmen, z. B. SAML-Nutzer zu Looker-spezifischen Gruppen hinzufügen oder SAML-Nutzern direkt Looker-Rollen zuweisen.

Bei neuen Looker-Instanzen oder Instanzen, für die noch keine gespiegelten Gruppen konfiguriert wurden, sind diese Optionen standardmäßig deaktiviert.

Bei vorhandenen Looker-Instanzen, für die gespiegelte Gruppen konfiguriert sind, sind diese Optionen standardmäßig aktiviert.

Der Abschnitt Erweiterte Rollenverwaltung enthält die folgenden Optionen:

Verhindern, dass einzelne SAML-Nutzer direkte Rollen erhalten: Wenn Sie diese Option aktivieren, können Looker-Administratoren SAML-Nutzern keine Looker-Rollen direkt zuweisen. SAML-Nutzer erhalten Rollen nur über ihre Gruppenmitgliedschaften. Wenn SAML-Nutzer Mitgliedschaften in integrierten (nicht gespiegelten) Looker-Gruppen haben dürfen, können sie ihre Rollen weiterhin sowohl von gespiegelten SAML-Gruppen als auch von integrierten Looker-Gruppen erben. SAML-Nutzern, denen zuvor Rollen direkt zugewiesen wurden, werden diese Rollen bei der nächsten Anmeldung entfernt.

Wenn diese Option deaktiviert ist, können Looker-Administratoren SAML-Nutzern Looker-Rollen direkt zuweisen, als wären sie direkt in Looker konfiguriert.

Direkte Mitgliedschaft in Nicht-SAML-Gruppen verhindern: Wenn Sie diese Option aktivieren, können Looker-Administratoren SAML-Nutzer nicht direkt zu integrierten Looker-Gruppen hinzufügen. Wenn gespiegelte SAML-Gruppen Mitglieder von integrierten Looker-Gruppen sein dürfen, behalten SAML-Nutzer möglicherweise die Mitgliedschaft in übergeordneten Looker-Gruppen bei. Alle SAML-Nutzer, die zuvor integrierten Looker-Gruppen zugewiesen waren, werden bei der nächsten Anmeldung aus diesen Gruppen entfernt.

Wenn diese Option deaktiviert ist, können Looker-Administratoren SAML-Nutzer direkt zu integrierten Looker-Gruppen hinzufügen.

Übernahme von Rollen aus Nicht-SAML-Gruppen verhindern: Wenn Sie diese Option aktivieren, können Mitglieder gespiegelter SAML-Gruppen keine Rollen von integrierten Looker-Gruppen übernehmen. Alle SAML-Nutzer, die zuvor Rollen von einer übergeordneten Looker-Gruppe übernommen haben, verlieren diese Rollen bei der nächsten Anmeldung.

Wenn diese Option deaktiviert ist, erben gespiegelte SAML-Gruppen oder SAML-Nutzer, die als Mitglieder einer integrierten Looker-Gruppe hinzugefügt werden, die Rollen, die der übergeordneten Looker-Gruppe zugewiesen sind.

Auth Requires Role (Authentifizierung erfordert Rolle): Wenn diese Option aktiviert ist, muss SAML-Nutzern eine Rolle zugewiesen sein. SAML-Nutzer, denen keine Rolle zugewiesen ist, können sich überhaupt nicht in Looker anmelden.

Wenn diese Option deaktiviert ist, können sich SAML-Nutzer auch dann bei Looker authentifizieren, wenn ihnen keine Rolle zugewiesen ist. Ein Nutzer ohne zugewiesene Rolle kann in Looker keine Daten sehen oder Aktionen ausführen, sich aber in Looker anmelden.

Spiegel-SAML-Gruppen deaktivieren

Wenn Sie die Spiegelung Ihrer SAML-Gruppen in Looker beenden möchten, deaktivieren Sie den Schalter SAML-Gruppen spiegeln. Wenn Sie den Schalter deaktivieren, hat das folgende Auswirkungen:

  • Alle gespiegelten SAML-Gruppen ohne Nutzer werden sofort gelöscht.
  • Alle gespiegelten SAML-Gruppen, die Nutzer enthalten, werden als verwaist markiert. Wenn sich innerhalb von 31 Tagen keine Nutzer dieser Gruppe anmelden, wird die Gruppe gelöscht. Nutzer können nicht mehr zu verwaisten SAML-Gruppen hinzugefügt oder daraus entfernt werden.

Migrationsoptionen

Alternative Anmeldung für Administratoren und bestimmte Nutzer

Die Looker-Anmeldung per E‑Mail-Adresse und Passwort ist für normale Nutzer immer deaktiviert, wenn die SAML-Authentifizierung aktiviert ist. Mit dieser Option können Sie eine alternative E‑Mail-Adresse-basierte Anmeldung über /login/email für Administratoren und bestimmte Nutzer mit der Berechtigung login_special_email erlauben.

Diese Option ist als Ausweichlösung bei der Einrichtung der SAML-Authentifizierung nützlich, wenn später Probleme mit der SAML-Konfiguration auftreten oder wenn Sie Nutzer unterstützen müssen, die kein Konto in Ihrem SAML-Verzeichnis haben. Der /login/email-Endpunkt kann nicht vollständig deaktiviert oder ausgeblendet werden, da er als wichtiger Fallback-Mechanismus dient, damit Administratoren den Zugriff wiederherstellen können, wenn die primäre SAML-Konfiguration fehlschlägt oder falsch konfiguriert ist. Wenn sich ein Administrator bei der Konfiguration der IP-Zulassungsliste versehentlich selbst aussperrt, wenden Sie sich an den Support von Google Cloud , um den Zugriff wiederherzustellen.

Alte E‑Mail-Anmeldedaten für SAML-Nutzer entfernen

Wenn die SAML-Authentifizierung aktiviert ist, sind die Standardanmeldungen mit E‑Mail-Adresse und Passwort in der Looker-Benutzeroberfläche für normale Nutzer deaktiviert. Bestehende E‑Mail-Anmeldedaten bleiben jedoch mit Nutzerkonten verknüpft. Um E-Mail-Anmeldedaten dauerhaft aus einem Benutzerkonto zu entfernen (z. B. um Sicherheitsrichtlinien einzuhalten oder um automatisierte E-Mail-Benachrichtigungen zu verhindern, die durch unbefugte E-Mail-Anmeldeversuche ausgelöst werden), müssen Administratoren die Looker API verwenden.

Wenn Sie die E-Mail-Anmeldedaten für einen einzelnen Nutzer löschen möchten, verwenden Sie den Endpunkt DELETE /users/{user_id}/credentials_email in der Looker API.

Wenn Sie E‑Mail-Anmeldedaten im Bulk löschen möchten, können Sie Looker API-Skripts oder Tools zur Bulk-Nutzerverwaltung verwenden, z. B. das Open-Source-Tool Looker Admin Power Pack.

Methode zum Zusammenführen von SAML-Nutzern mit einem Looker-Konto angeben

Geben Sie im Feld Nutzer zusammenführen mit die Methode an, die zum Zusammenführen einer erstmaligen SAML-Anmeldung mit einem bestehenden Nutzerkonto verwendet werden soll. Sie können Nutzer aus den folgenden Systemen zusammenführen:

  • Looker-E‑Mail-Adresse/-Passwort (nicht verfügbar für Looker (Google Cloud Core))
  • Google
  • LDAP (nicht für Looker (Google Cloud Core) verfügbar)
  • OIDC

Wenn Sie mehr als ein System verwenden, können Sie in diesem Feld mehrere Systeme angeben, nach denen zusammengeführt werden soll. Looker sucht Nutzer in den aufgeführten Systemen in der angegebenen Reihenfolge. Angenommen, Sie haben einige Nutzer mit Looker-E‑Mail-Adresse und -Passwort erstellt, dann LDAP aktiviert und möchten jetzt SAML verwenden. Looker würde zuerst anhand von E‑Mail-Adresse und Passwort und dann anhand von LDAP zusammenführen.

Wenn sich ein Nutzer zum ersten Mal über SAML anmeldet, wird mit dieser Option eine Verbindung zu seinem bestehenden Konto hergestellt, indem das Konto mit einer übereinstimmenden E‑Mail-Adresse gesucht wird. Wenn für den Nutzer kein Konto vorhanden ist, wird ein neues Nutzerkonto erstellt.

Umgang mit Änderungen an der IdP-Domain

Wenn sich die Domain Ihres Identitätsanbieters (IdP) ändert, wird saml_user_id automatisch mit dem neuen Wert überschrieben, wenn sich der Nutzer zum ersten Mal mit der neuen Domain anmeldet. Looker-Administratoren müssen dieses systemverwaltete Attribut in Looker nicht manuell ändern oder neu konfigurieren.

So sorgen Sie für einen reibungslosen Übergang:

  1. Aktualisieren Sie das Attribut Email der Looker-Nutzer auf die E-Mail-Adresse der neuen Domain.
  2. Achten Sie darauf, dass die Option Nutzer zusammenführen mit so konfiguriert ist, dass die Zusammenführung per E-Mail möglich ist.

Nutzer zusammenführen, wenn Looker (Google Cloud Core) verwendet wird

Wenn Sie Looker (Google Cloud Core) und SAML verwenden, funktioniert das Zusammenführen wie im vorherigen Abschnitt beschrieben. Das ist jedoch nur möglich, wenn eine der beiden folgenden Bedingungen erfüllt ist:

  1. Bedingung 1: Nutzer authentifizieren sich in Looker (Google Cloud Core) mit ihren Google-Identitäten über das SAML-Protokoll.

  2. Bedingung 2: Bevor Sie die Option zum Zusammenführen auswählen, müssen Sie die folgenden beiden Schritte ausgeführt haben:

Wenn Ihre Instanz eine dieser beiden Bedingungen nicht erfüllt, ist die Option Nutzer zusammenführen mit nicht verfügbar.

Beim Zusammenführen sucht Looker (Google Cloud Core) nach Nutzerdatensätzen mit genau derselben E‑Mail-Adresse.

Nutzerauthentifizierung testen

Klicken Sie auf den Button Testen, um Ihre Einstellungen zu testen. Tests werden an den Server weitergeleitet und ein Browsertab wird geöffnet. Auf dem Tab wird Folgendes angezeigt:

  • Ob Looker mit dem Server kommunizieren und die Validierung durchführen konnte.
  • Die Namen, die Looker vom Server erhält. Sie müssen überprüfen, ob der Server die richtigen Ergebnisse zurückgibt.
  • Ein Trace, der zeigt, wie die Informationen gefunden wurden. Verwenden Sie den Trace zur Fehlerbehebung, wenn die Informationen falsch sind. Wenn Sie weitere Informationen benötigen, können Sie die XML-Rohdatei des Servers lesen.

Tipps:

  • Sie können diesen Test jederzeit ausführen, auch wenn SAML nur teilweise konfiguriert ist. Das Ausführen eines Tests kann während der Konfiguration hilfreich sein, um zu sehen, welche Parameter konfiguriert werden müssen.
  • Für den Test werden die Einstellungen verwendet, die auf der Seite SAML-Authentifizierung eingegeben wurden, auch wenn sie nicht gespeichert wurden. Der Test hat keine Auswirkungen auf die Einstellungen auf dieser Seite und ändert sie auch nicht.
  • Während des Tests übergibt Looker Informationen an den IdP. Dazu wird der SAML-Parameter RelayState verwendet. Der IdP sollte diesen RelayState-Wert unverändert an Looker zurückgeben.

Speichern und Einstellungen anwenden

Wenn Sie alle Informationen eingegeben haben und alle Tests bestanden wurden, wählen Sie Ich habe die obige Konfiguration bestätigt und möchte sie global anwenden aus und klicken Sie auf Einstellungen aktualisieren, um die Änderungen zu speichern.

Nutzeranmeldeverhalten

Wenn ein Nutzer versucht, sich über SAML in einer Looker-Instanz anzumelden, wird die Seite Anmelden in Looker geöffnet. Der Nutzer muss auf den Button Authentifizieren klicken, um die Authentifizierung über SAML zu starten.

Dies ist das Standardverhalten, wenn der Nutzer noch keine aktive Looker-Sitzung hat.

Wenn Sie möchten, dass sich Ihre Nutzer nach der Authentifizierung durch Ihren IdP direkt in Ihrer Looker-Instanz anmelden und die Seite Anmelden umgehen, aktivieren Sie unter Anmeldeverhalten die Option Anmeldeseite umgehen.

Wenn Sie Looker (Original) verwenden, muss die Funktion Anmeldeseite umgehen von Looker aktiviert werden. Wenn Sie Ihre Lizenz für diese Funktion aktualisieren möchten, wenden Sie sich an einen Vertriebsspezialisten von Google Cloud oder stellen Sie eine Supportanfrage. Wenn Sie Looker (Google Cloud Core) verwenden, ist die Option Anmeldeseite umgehen automatisch verfügbar, wenn SAML als primäre Authentifizierungsmethode verwendet wird. Sie ist standardmäßig deaktiviert.

Wenn Anmeldeseite umgehen aktiviert ist, sieht die Anmeldesequenz für Nutzer so aus:

  1. Der Nutzer versucht, eine Verbindung zu einer Looker-URL herzustellen (z. B. instance_name.looker.com).

  2. Looker prüft, ob der Nutzer bereits eine aktive Sitzung hat. Dazu verwendet Looker das Cookie AUTH-MECHANISM-COOKIE, um die Autorisierungsmethode zu identifizieren, die der Nutzer in seiner letzten Sitzung verwendet hat. Der Wert ist immer einer der folgenden: saml, ldap, oidc, google oder email.

  3. Wenn der Nutzer eine aktive Sitzung hat, wird er zur angeforderten URL weitergeleitet.

  4. Wenn der Nutzer keine aktive Sitzung hat, wird er zum IdP weitergeleitet. Der IdP authentifiziert den Nutzer, wenn er sich erfolgreich beim IdP anmeldet. Looker authentifiziert den Nutzer dann, wenn der IdP den Nutzer mit Informationen, die darauf hinweisen, dass der Nutzer beim IdP authentifiziert ist, an Looker zurücksendet.

  5. Wenn die Authentifizierung beim IdP erfolgreich war, validiert Looker die SAML-Assertions, akzeptiert die Authentifizierung, aktualisiert die Nutzerinformationen und leitet den Nutzer an die angeforderte URL weiter. Die Seite Anmelden wird dabei umgangen.

  6. Wenn sich der Nutzer nicht beim IdP anmelden kann oder vom IdP nicht zur Verwendung von Looker autorisiert ist, verbleibt er je nach IdP entweder auf der Website des IdP oder wird zur Looker-Seite Anmelden weitergeleitet.

Fehlerbehebung

Sehen Sie sich das Dashboard „User Activity“ in „System Activity“ an, um Probleme mit der Authentifizierung zu beheben. Dieses Dashboard enthält Kacheln, auf denen die letzten fehlgeschlagenen Anmeldeversuche angezeigt werden, einschließlich der verwendeten Authentifizierungsmethode, der zurückgegebenen Fehlermeldung und der Uhrzeit des Versuchs.

Fehler bei der SAML-JIT-Bereitstellung und Zusammenführungskonflikte

Bei der SAML-Just-in-Time-Bereitstellung (JIT) für eingebettete Looker-Ansichten kann die Fehlermeldung „Diese Seite ist nicht vorhanden oder Sie sind nicht berechtigt, sie aufzurufen“ angezeigt werden. Im Bereich Nutzer werden diese Nutzer möglicherweise so angezeigt, als hätten sie sich noch nie über SAML angemeldet. Sie haben dann aktive Anmeldedaten vom Typ E-Mail anstelle von SAML. Außerdem wird Administratoren, die versuchen, sich als der Nutzer anzumelden, der Bildschirm „Bitte aktualisieren Sie Ihr Konto“ angezeigt.

Dieses Problem tritt aufgrund eines Nutzerzusammenführungs-Konflikts auf, wenn in Looker ein bereits vorhandenes Konto mit derselben E‑Mail-Adresse wie die SAML-Assertion gefunden wird, dieses Konto jedoch mit E‑Mail als primärer Anmeldedaten erstellt wurde. Aufgrund dieses Konflikts verwendet Looker standardmäßig die E-Mail-Anmeldedaten und ignoriert die von SAML bereitgestellte JIT-Rollen- und Gruppenzuordnung. Der Nutzer hat trotz erfolgreicher Authentifizierung die Berechtigung „Kein Zugriff“.

Verwenden Sie die folgende Behelfslösung, um dieses Problem zu beheben:

  1. Gehen Sie im Looker-Admin-Bereich zu Admin > SAML.
  2. Prüfen Sie unter Optionen für neue Nutzer (oder Migrationsoptionen, je nach Looker-Version), ob die Einstellung Nutzer zusammenführen mit auf Looker-E-Mail/Passwort festgelegt ist.
  3. Wenn der betroffene Nutzer bereits mit E-Mail-Anmeldedaten vorhanden ist und keine wichtigen Inhalte angehängt sind, löschen Sie das vorhandene E-Mail-basierte Nutzerkonto. Durch dieses Löschen kann Looker bei der nächsten Anmeldung des Nutzers einen neuen Nutzerdatensatz erstellen, der nur auf der SAML-Assertion basiert.

SAML-Antwort überschreitet Limit

Wenn Nutzer, die sich authentifizieren möchten, Fehlermeldungen erhalten, die darauf hinweisen, dass die SAML-Antwort die maximale Größe überschritten hat, können Sie die maximal zulässige SAML-Antwortgröße erhöhen.

Bei von Looker gehosteten Instanzen können Sie eine Supportanfrage stellen, um die maximale Größe der SAML-Antwort zu aktualisieren.

Bei von Kunden gehosteten Looker-Instanzen können Sie die maximale Größe der SAML-Antwort in Byte mit der Umgebungsvariable MAX_SAML_RESPONSE_BYTESIZE festlegen. Beispiel:

export MAX_SAML_RESPONSE_BYTESIZE=500000

Die maximale SAML-Antwortgröße beträgt standardmäßig 250.000 Byte.

Fehlende SAML-Gruppenattribute für Okta

Die Okta-Identitätsanbieter-Anwendung muss so konfiguriert sein, dass das Attribut Groups in ihren SAML-Assertions enthalten ist. Sehen Sie sich folgendes Beispiel an:

<saml2:Attribute Name='Groups'>

Prüfen Sie die SAML-Nutzlast in Looker mit der Option SAML-Authentifizierung testen, um sicherzustellen, dass das Attribut Groups vorhanden und korrekt formatiert ist.