Paramètres d'administration – Authentification SAML

La page SAML de la section Authentication (Authentification) du menu Admin (Administration) vous permet de configurer Looker pour authentifier les utilisateurs à l'aide de SAML (Security Assertion Markup Language). Cette page décrit ce processus et inclut des instructions pour associer des groupes SAML à des rôles et des autorisations Looker.

Conditions requises

Looker n'affiche la page SAML dans la section Authentification du menu Admin que si les conditions suivantes sont remplies :

Si ces conditions sont remplies et que vous ne voyez pas la page SAML, ouvrez une demande d'assistance pour activer SAML sur votre instance.

SAML et fournisseurs d'identité

Les entreprises utilisent différents fournisseurs d'identité (IdP) pour coordonner avec SAML (par exemple, Okta ou OneLogin). Les termes utilisés dans les instructions de configuration suivantes et dans l'interface utilisateur peuvent ne pas correspondre directement à ceux utilisés par votre IdP. Pour obtenir des éclaircissements lors de la configuration, contactez votre équipe interne SAML ou d'authentification, ou contactez l'assistance Looker.

Looker suppose que les requêtes et assertions SAML seront compressées. Assurez-vous que votre IdP est configuré en conséquence. Les requêtes de Looker adressées au fournisseur d'identité ne sont pas signées.

Looker prend en charge la connexion initiée par le fournisseur d'identité.

Une partie de la procédure de configuration doit être effectuée sur le site Web du fournisseur d'identité.

Okta propose une application Looker, qui est la méthode recommandée pour configurer Looker et Okta ensemble.

Configurer Looker sur votre fournisseur d'identité

Votre IdP SAML aura besoin de l'URL de l'instance Looker vers laquelle il doit envoyer les assertions SAML. Dans votre IdP, ce champ peut être appelé "URL de postback", "Destinataire" ou "Destination", entre autres.

Vous devez fournir l'URL à laquelle vous accédez habituellement à votre instance Looker à l'aide du navigateur, suivie de /samlcallback. Exemple : none https://instance_name.looker.com/samlcallback.

ou

https://looker.mycompany.com/samlcallback

Certains IdP exigent également que vous ajoutiez :9999 après l'URL de votre instance. Exemple :

https://instance_name.looker.com:9999/samlcallback

Bon à savoir

Gardez à l'esprit les informations suivantes :

  • Looker nécessite SAML 2.0.
  • Ne désactivez pas l'authentification SAML lorsque vous êtes connecté à Looker via SAML, sauf si vous avez configuré une autre méthode de connexion à votre compte. Sinon, vous risquez de ne plus pouvoir accéder à l'application.
  • Looker peut migrer les comptes existants vers SAML en utilisant des adresses e-mail provenant de configurations actuelles avec adresse e-mail et mot de passe, ou de l'authentification Google, LDAP ou OIDC. Vous pourrez configurer la façon dont les comptes existants sont migrés lors de la procédure de configuration.

Premiers pas

Pour configurer l'authentification SAML pour votre instance Looker, sélectionnez SAML dans la section Authentification du panneau Admin. Sur la page SAML Authentication (Authentification SAML), sélectionnez Configure SAML (Configurer SAML) pour afficher les options de configuration suivantes.

Paramètres d'authentification SAML

Looker a besoin de l'URL de l'IdP, de l'émetteur de l'IdP et du certificat de l'IdP pour authentifier votre IdP.

Votre IdP peut proposer un document XML de métadonnées IdP lors de la configuration de Looker côté IdP. Ce fichier contient toutes les informations demandées dans la section SAML Auth Settings (Paramètres d'authentification SAML). Si vous disposez de ce fichier, vous pouvez l'importer dans le champ Métadonnées IdP, ce qui renseignera les champs obligatoires de cette section. Vous pouvez également remplir les champs obligatoires à partir du résultat obtenu lors de la configuration côté IdP. Vous n'avez pas besoin de remplir les champs si vous importez le fichier XML.

  • Métadonnées IdP (facultatif) : collez l'URL publique du document XML contenant les informations sur l'IdP ou collez l'intégralité du texte du document ici. Looker analysera ce fichier pour remplir les champs obligatoires.

Si vous n'avez pas importé ni collé de document XML de métadonnées IdP, saisissez vos informations d'authentification IdP dans les champs URL de l'IdP, Émetteur de l'IdP et Certificat de l'IdP.

  • URL du fournisseur d'identité : URL vers laquelle Looker se dirigera pour authentifier les utilisateurs. Dans Okta, il s'agit de l'URL de redirection.

  • Émetteur de l'IdP : identifiant unique de l'IdP. C'est ce qu'on appelle la "clé externe" dans Okta.

  • Certificat IdP : clé publique permettant à Looker de valider la signature des réponses de l'IdP.

Ensemble, ces trois champs permettent à Looker de confirmer qu'un ensemble d'assertions SAML signées provient bien d'un IdP de confiance.

  • Entité du fournisseur de services/Audience de l'IdP : ce champ n'est pas obligatoire pour Looker, mais de nombreux IdP l'exigent. Si vous saisissez une valeur dans ce champ, elle sera envoyée à votre IdP en tant que Entity ID de Looker dans les demandes d'autorisation. Dans ce cas, Looker n'acceptera que les réponses d'autorisation qui ont cette valeur comme Audience. Si votre IdP nécessite une valeur Audience, saisissez cette chaîne ici.
  • Dérive d'horloge autorisée : nombre de secondes de dérive d'horloge (différence de code temporel entre l'IdP et Looker) autorisées. Cette valeur est généralement la valeur par défaut (0), mais certains fournisseurs d'identité peuvent exiger une marge supplémentaire pour que les connexions réussissent.

Paramètres des attributs utilisateur

Dans les champs suivants, spécifiez le nom de l'attribut dans la configuration SAML de votre IdP qui contient les informations correspondantes pour chaque champ. En saisissant les noms des attributs SAML, vous indiquez à Looker comment mapper ces champs et extraire leurs informations au moment de la connexion. Looker n'a pas d'exigences particulières quant à la façon dont ces informations sont construites. Il est simplement important que la façon dont vous les saisissez dans Looker corresponde à la façon dont les attributs sont définis dans votre IdP. Looker fournit des suggestions par défaut sur la façon de construire ces entrées.

Attributs standards

Vous devrez spécifier les attributs standards suivants :

  • Email Attr : nom de l'attribut utilisé par votre IdP pour les adresses e-mail des utilisateurs.

  • FName Attr : nom de l'attribut utilisé par votre IdP pour les prénoms des utilisateurs.

  • LName Attr : nom de l'attribut utilisé par votre IdP pour les noms de famille des utilisateurs.

Associer des attributs SAML à des attributs utilisateur Looker

Vous pouvez éventuellement utiliser les données de vos attributs SAML pour renseigner automatiquement les valeurs des attributs utilisateur Looker lorsqu'un utilisateur se connecte. Par exemple, si vous avez configuré SAML pour établir des connexions spécifiques aux utilisateurs à votre base de données, vous pouvez associer vos attributs SAML à des attributs utilisateur Looker pour rendre vos connexions à la base de données spécifiques aux utilisateurs dans Looker.

Pour associer des attributs SAML aux attributs utilisateur Looker correspondants, procédez comme suit :

  1. Saisissez le nom de l'attribut SAML dans le champ Attribut SAML et le nom de l'attribut utilisateur Looker auquel vous souhaitez l'associer dans le champ Attributs utilisateur Looker.
  2. Sélectionnez Obligatoire si vous souhaitez exiger une valeur d'attribut SAML pour autoriser un utilisateur à se connecter.
  3. Cliquez sur + et répétez ces étapes pour ajouter d'autres paires d'attributs.

Pour associer des attributs utilisateur SAML aux attributs utilisateur Looker correspondants ou gérer les associations existantes, procédez comme suit :

  1. Dans la section Paramètres des attributs utilisateur, cliquez sur le bouton Gérer les associations pour ouvrir le panneau latéral Gérer les associations.
  2. Dans le champ Revendication, saisissez le nom de l'attribut SAML que vous souhaitez associer. Vous ne pouvez saisir chaque nom de revendication qu'une seule fois. Si vous souhaitez associer une revendication à plusieurs attributs Looker, vous pouvez saisir plusieurs attributs dans le champ Attributs utilisateur Looker.
  3. Dans le champ Attributs utilisateur Looker, une liste déroulante des attributs utilisateur Looker pour l'instance s'affiche. Sélectionnez le nom de l'attribut utilisateur Looker que vous souhaitez associer à l'attribut SAML. Vous pouvez sélectionner plusieurs attributs utilisateur Looker pour une revendication, mais vous devez en sélectionner au moins un.
  4. Cochez la case Obligatoire si vous souhaitez exiger une valeur d'attribut SAML pour autoriser un utilisateur à se connecter.
  5. Cliquez sur le bouton Ajouter une association pour ajouter une autre ligne d'association à la liste. Répétez ces étapes pour ajouter d'autres paires d'attributs.
  6. À droite de chaque ligne d'association se trouve l'icône Supprimer l'association. Cliquez sur cette icône pour supprimer une association d'attributs de votre instance.
  7. Cliquez sur l'icône Fermer  pour quitter le panneau latéral Gérer les associations.
  8. Testez votre configuration SAML.
  9. Vérifiez votre configuration SAML et, en bas de la page SAML Authentication (Authentification SAML), cochez la case I have verified the SAML configuration (J'ai vérifié la configuration SAML).
  10. Cliquez sur le bouton Enable SAML (Activer SAML) ou Update SAML Settings (Mettre à jour les paramètres SAML) pour enregistrer vos associations d'attributs utilisateur SAML.

Le panneau latéral Gérer les associations inclut également les outils suivants :

  • Menu de filtre Filtrer la liste et barre de recherche. Utilisez ces outils pour rechercher les associations déjà ajoutées à votre instance.
  • Menu déroulant de pagination Afficher. Utilisez ce menu pour afficher 10, 25, 50 ou 100 associations sur chaque page.

Groupes et rôles

Vous pouvez demander à Looker de créer des groupes qui dupliquent vos groupes SAML gérés en externe, puis d'attribuer à ces utilisateurs des rôles Looker basés sur leurs groupes SAML dupliqués. Lorsque vous modifiez l'appartenance à votre groupe SAML, ces modifications sont appliquées aux utilisateurs de ce groupe Looker lors de leur prochaine connexion à Looker.

La mise en miroir des groupes SAML vous permet d'utiliser votre annuaire SAML défini en externe pour gérer les groupes et les utilisateurs Looker. Cela vous permet de gérer l'appartenance à un groupe pour plusieurs outils SaaS (Software as a Service), tels que Looker, au même endroit.

Si vous activez l'option Dupliquer les groupes SAML, Looker créera un groupe Looker pour chaque groupe SAML introduit dans le système. Ces groupes Looker sont visibles sur la page Groupes de la section Admin de Looker. Les groupes peuvent être utilisés pour attribuer des rôles aux membres d'un groupe, définir des contrôles d'accès au contenu et attribuer des attributs utilisateur.

Groupes et rôles par défaut

Par défaut, le bouton Dupliquer les groupes SAML est désactivé. Dans ce cas, vous pouvez définir un groupe par défaut pour les nouveaux utilisateurs SAML. Dans les champs Nouveaux groupes d'utilisateurs et Nouveaux rôles d'utilisateur, saisissez les noms des groupes ou rôles Looker auxquels vous souhaitez attribuer les nouveaux utilisateurs Looker lors de leur première connexion à Looker :

Ces groupes et rôles sont appliqués aux nouveaux utilisateurs lors de leur première connexion. Les groupes et les rôles ne sont pas appliqués aux utilisateurs existants, et ils ne sont pas appliqués une nouvelle fois s'ils sont supprimés après la première connexion des utilisateurs.

Si vous activez ultérieurement la duplication des groupes SAML, ces valeurs par défaut seront supprimées pour les utilisateurs lors de leur prochaine connexion et remplacées par les rôles attribués dans la section Dupliquer les groupes SAML. Ces options par défaut ne seront plus disponibles ni attribuées, et seront entièrement remplacées par la configuration des groupes mis en miroir.

Activer la duplication des groupes SAML

Si vous utilisez une instance Looker (Google Cloud Core), nous vous recommandons d'activer la mise en miroir des groupes uniquement pour la méthode d'authentification principale et de ne pas l'activer pour l'authentification OAuth de secours. Si vous activez la mise en miroir des groupes pour les méthodes d'authentification principale et secondaire, les comportements suivants se produisent :

  • Si un utilisateur possède des identités fusionnées, la mise en miroir des groupes correspondra à la méthode d'authentification principale, quelle que soit la méthode d'authentification réellement utilisée pour se connecter.
  • Si un utilisateur n'a pas fusionné ses identités, la mise en miroir des groupes correspondra à la méthode d'authentification utilisée pour se connecter.

Étapes à suivre pour activer les groupes mis en miroir

Si vous choisissez de dupliquer vos groupes SAML dans Looker, activez l'option Dupliquer les groupes SAML. Looker affiche les paramètres suivants :

Stratégie de recherche de groupes : sélectionnez le système que l'IdP utilise pour attribuer des groupes, qui dépend de votre IdP.

  • Presque tous les fournisseurs d'identité utilisent une seule valeur d'attribut pour attribuer des groupes, comme le montre cet exemple d'assertion SAML : none <saml2:Attribute Name='Groups'> <saml2:AttributeValue >Everyone</saml2:AttributeValue> <saml2:AttributeValue >Admins</saml2:AttributeValue> </saml2:Attribute> Dans ce cas, sélectionnez Groupes en tant que valeurs d'attributs uniques.

  • Certains IdP utilisent un attribut distinct pour chaque groupe, puis exigent un deuxième attribut pour déterminer si un utilisateur est membre d'un groupe. Voici un exemple d'assertion SAML illustrant ce système : none <saml2:Attribute Name='group_everyone'> <saml2:AttributeValue >yes</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute Name='group_admins'> <saml2:AttributeValue >no</saml2:AttributeValue> </saml2:Attribute> Dans ce cas, sélectionnez Groupes en tant qu'attributs individuels avec valeur d'appartenance.

Attribut de groupes : Looker affiche ce champ lorsque la Stratégie de recherche de groupe est définie sur Groupes en tant que valeurs d'un attribut unique. Saisissez le nom de l'attribut de groupes utilisé par le fournisseur d'identité.

Valeur de membre du groupe : Looker affiche ce champ lorsque l'option Stratégie de recherche de groupes est définie sur Groupes en tant qu'attributs individuels avec valeur d'appartenance. Saisissez la valeur qui indique qu'un utilisateur est membre d'un groupe.

Bouton Gérer les groupes : cliquez sur ce bouton pour ouvrir le panneau latéral Gérer les groupes, dans lequel vous pouvez ajouter, supprimer ou modifier un groupe personnalisé ou les rôles attribués au groupe correspondant dans Looker. Le panneau latéral Gérer les groupes affiche les champs suivants :

  • Un champ Nom du groupe préféré. Saisissez un nom personnalisé pour le groupe dupliqué dans ce champ. Il s'agit du nom qui s'affichera sur la page Groupes de la section Admin de Looker.

  • Le champ Nom du groupe SAML. Saisissez le groupe SAML dans ce champ. Pour les utilisateurs Okta, saisissez le nom du groupe Okta comme ID de groupe SAML. Les utilisateurs SAML inclus dans le groupe SAML seront ajoutés au groupe dupliqué dans Looker.

  • Un champ Rôle. Dans ce champ, sélectionnez un ou plusieurs rôles Looker qui seront attribués à chaque utilisateur du groupe.

  • Icône Supprimer le mappage. Cliquez sur cette icône pour supprimer un groupe mis en miroir de votre instance Looker. Si vous supprimez un groupe, il ne sera plus dupliqué dans Looker et ses membres ne disposeront plus des rôles qui leur ont été attribués dans Looker par le biais de ce groupe.

Le panneau latéral Gérer les groupes inclut également les outils suivants :

  • Menu de filtres et barre de recherche Filtrer la liste. Utilisez ces outils pour rechercher les groupes qui ont déjà été ajoutés à votre instance.

  • Bouton Ajouter un mappage Cliquez sur ce bouton pour ajouter un groupe personnalisé à l'instance.

Modifier les groupes mis en miroir

Si vous modifiez un groupe mis en miroir qui a déjà été configuré sur cet écran, la configuration du groupe changera, mais le groupe lui-même restera intact. Par exemple, vous pouvez modifier le nom d'un groupe Looker, ce qui changera la façon dont le groupe apparaît sur la page Groupes de Looker, mais pas les rôles attribués ni les membres du groupe. Si vous modifiez le nom du groupe SAML, le nom et les rôles du groupe seront conservés, mais les membres du groupe seront réattribués en fonction des utilisateurs qui sont membres du groupe SAML externe portant le nouveau nom.

Toute modification apportée à un groupe mis en miroir sera appliquée aux utilisateurs de ce groupe lors de leur prochaine connexion à Looker.

Gestion avancée des rôles

Si vous avez activé l'option Mettre en miroir les groupes SAML, Looker affiche ces paramètres. Les options de cette section déterminent la flexibilité dont disposent les administrateurs Looker lorsqu'ils configurent des groupes et des utilisateurs Looker dupliqués à partir de SAML.

Par exemple, si vous souhaitez que la configuration de vos groupes et utilisateurs Looker corresponde strictement à votre configuration SAML, activez ces options. Lorsque les trois premières options sont activées, les administrateurs Looker ne peuvent pas modifier l'appartenance à des groupes dupliqués et ne peuvent attribuer des rôles aux utilisateurs que par le biais de groupes SAML dupliqués.

Si vous souhaitez personnaliser vos groupes de manière plus flexible dans Looker, désactivez ces options. Vos groupes Looker continueront de refléter votre configuration SAML, mais vous pourrez effectuer des tâches supplémentaires de gestion des groupes et des utilisateurs dans Looker, comme ajouter des utilisateurs SAML à des groupes spécifiques à Looker ou attribuer des rôles Looker directement à des utilisateurs SAML.

Pour les nouvelles instances Looker ou pour les instances qui n'ont pas de groupes mis en miroir précédemment configurés, ces options sont désactivées par défaut.

Pour les instances Looker existantes pour lesquelles des groupes mis en miroir ont été configurés, ces options sont activées par défaut.

La section Gestion avancée des rôles contient les options suivantes :

Empêcher les utilisateurs SAML individuels de recevoir des rôles directs : si vous activez cette option, les administrateurs Looker ne pourront pas attribuer de rôles Looker directement aux utilisateurs SAML. Les utilisateurs SAML ne recevront des rôles que s'ils sont membres d'un groupe. Si les utilisateurs SAML sont autorisés à être membres de groupes Looker intégrés (non dupliqués), ils peuvent toujours hériter de leurs rôles à la fois des groupes SAML dupliqués et des groupes Looker intégrés. Les rôles qui étaient auparavant attribués directement aux utilisateurs SAML seront supprimés lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent attribuer des rôles Looker directement aux utilisateurs SAML, comme s'ils étaient configurés directement dans Looker.

Empêcher l'adhésion directe à des groupes autres que SAML : l'activation de cette option empêche les administrateurs Looker d'ajouter des utilisateurs SAML directement à des groupes Looker intégrés. Si les groupes SAML dupliqués sont autorisés à être membres de groupes Looker intégrés, les utilisateurs SAML peuvent conserver leur appartenance à n'importe quel groupe Looker parent. Tous les utilisateurs SAML qui étaient auparavant attribués à des groupes Looker intégrés seront supprimés de ces groupes lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent ajouter des utilisateurs SAML directement à des groupes Looker intégrés.

Empêcher l'héritage des rôles depuis des groupes autres que SAML : si vous activez cette option, les membres des groupes SAML dupliqués n'hériteront pas des rôles des groupes Looker intégrés. Les utilisateurs SAML qui ont précédemment hérité de rôles d'un groupe Looker parent perdront ces rôles lors de leur prochaine connexion.

Si cette option est désactivée, les groupes SAML dupliqués ou les utilisateurs SAML ajoutés en tant que membres d'un groupe Looker intégré hériteront des rôles attribués au groupe Looker parent.

L'authentification nécessite un rôle : si cette option est activée, les utilisateurs SAML doivent disposer d'un rôle attribué. Les utilisateurs SAML qui n'ont pas de rôle attribué ne pourront pas se connecter à Looker.

Si cette option est désactivée, les utilisateurs SAML peuvent s'authentifier auprès de Looker même si aucun rôle ne leur est attribué. Un utilisateur sans rôle attribué ne pourra pas voir de données ni effectuer d'actions dans Looker, mais il pourra s'y connecter.

Désactivation de la duplication des groupes SAML

Si vous souhaitez arrêter de dupliquer vos groupes SAML dans Looker, désactivez l'option Dupliquer les groupes SAML. Si vous désactivez le bouton bascule, les conséquences suivantes se produiront :

  • Tout groupe SAML miroir ne contenant aucun utilisateur est immédiatement supprimé.
  • Tout groupe SAML miroir qui contient des utilisateurs est marqué comme orphelin. Si aucun utilisateur de ce groupe ne se connecte dans un délai de 31 jours, le groupe est supprimé. Il n'est plus possible d'ajouter ni de supprimer des utilisateurs des groupes SAML orphelins.

Options de migration

Méthode de connexion alternative pour les administrateurs et les utilisateurs spécifiés

Les connexions Looker par combinaison adresse e-mail/mot de passe sont toujours désactivées pour les utilisateurs standards lorsque l'authentification SAML est activée. Cette option permet une connexion alternative basée sur l'e-mail secondaire avec /login/email pour les administrateurs et les utilisateurs spécifiés disposant de l'autorisation login_special_email.

L'activation de cette option est utile comme solution de secours lors de la configuration de l'authentification SAML si des problèmes de configuration SAML surviennent ultérieurement ou si vous devez assister des utilisateurs qui n'ont pas de compte dans votre annuaire SAML. Le point de terminaison /login/email ne peut pas être complètement désactivé ni masqué, car il sert de mécanisme de secours essentiel pour permettre aux administrateurs de récupérer l'accès si la configuration SAML principale échoue ou est mal configurée. Si un administrateur se verrouille accidentellement l'accès lors de la configuration de la liste d'adresses IP autorisées, contactez l'assistance Google Cloud pour le récupérer.

Supprimer les anciens identifiants d'adresse e-mail pour les utilisateurs SAML

Lorsque l'authentification SAML est activée, les connexions Looker standards par adresse e-mail et mot de passe sont désactivées pour les utilisateurs standards dans l'UI Looker, mais les identifiants de messagerie existants restent associés aux comptes utilisateur. Pour supprimer définitivement les identifiants de messagerie d'un compte utilisateur (par exemple, pour respecter les règles de sécurité ou pour empêcher l'envoi d'e-mails de notification automatisés déclenchés par des tentatives de connexion non autorisées), les administrateurs doivent utiliser l'API Looker.

Pour supprimer les identifiants de messagerie d'un utilisateur individuel, utilisez le point de terminaison DELETE /users/{user_id}/credentials_email dans l'API Looker.

Pour supprimer des identifiants de messagerie de manière groupée, vous pouvez utiliser des scripts de l'API Looker ou des outils de gestion groupée des utilisateurs (comme l'outil Open Source Looker Admin Power Pack).

Spécifiez la méthode utilisée pour fusionner les utilisateurs SAML avec un compte Looker.

Dans le champ Fusionner les utilisateurs à l'aide de, spécifiez la méthode à utiliser pour fusionner une première connexion SAML avec un compte utilisateur existant. Vous pouvez fusionner des utilisateurs des systèmes suivants :

  • Adresse e-mail/Mot de passe Looker (non disponible pour Looker (Google Cloud Core))
  • Google
  • LDAP (non disponible pour Looker (Google Cloud Core))
  • OIDC

Si vous avez plusieurs systèmes en place, vous pouvez spécifier plusieurs systèmes par lesquels fusionner dans ce champ. Looker recherche les utilisateurs dans les systèmes listés dans l'ordre spécifié. Par exemple, supposons que vous ayez créé des utilisateurs à l'aide de l'adresse e-mail et du mot de passe Looker, que vous ayez ensuite activé LDAP et que vous souhaitiez maintenant utiliser SAML. Looker fusionnerait d'abord par adresse e-mail et mot de passe, puis par LDAP.

Lorsqu'un utilisateur se connecte pour la première fois avec SAML, cette option le connecte à son compte existant en recherchant le compte correspondant à son adresse e-mail. S'il n'existe aucun compte pour l'utilisateur, un compte utilisateur sera créé.

Gérer les modifications de domaine de l'IdP

Si le domaine de votre fournisseur d'identité (IdP) change, la valeur saml_user_id est automatiquement remplacée par la nouvelle valeur lors de la première connexion réussie de l'utilisateur avec le nouveau domaine. Les administrateurs Looker n'ont pas besoin de modifier ni de reconfigurer manuellement cet attribut géré par le système dans Looker.

Pour faciliter la transition, procédez comme suit :

  1. Modifiez l'attribut Adresse e-mail des utilisateurs Looker pour qu'il corresponde à l'adresse e-mail du nouveau domaine.
  2. Assurez-vous que l'option Fusionner les utilisateurs à l'aide de est configurée pour permettre la fusion par adresse e-mail.

Fusionner des utilisateurs avec Looker (Google Cloud Core)

Lorsque vous utilisez Looker (Google Cloud Core) et SAML, la fusion fonctionne comme décrit dans la section précédente. Toutefois, cela n'est possible que si l'une des deux conditions suivantes est remplie :

  1. Condition 1 : Les utilisateurs s'authentifient dans Looker (Google Cloud Core) à l'aide de leurs identités Google via le protocole SAML.

  2. Condition 2 : avant de sélectionner l'option de fusion, vous avez effectué les deux étapes suivantes :

Si votre instance ne remplit pas l'une de ces deux conditions, l'option Fusionner les utilisateurs à l'aide de ne sera pas disponible.

Lors de la fusion, Looker (Google Cloud Core) recherche les enregistrements utilisateur qui partagent exactement la même adresse e-mail.

Tester l'authentification des utilisateurs

Cliquez sur le bouton Tester pour tester vos paramètres. Les tests redirigeront vers le serveur et ouvriront un onglet de navigateur. L'onglet affiche les éléments suivants :

  • Indique si Looker a pu communiquer avec le serveur et valider.
  • Les noms que Looker obtient du serveur. Vous devez vérifier que le serveur renvoie les résultats appropriés.
  • Une trace montrant comment les informations ont été trouvées. Utilisez la trace pour résoudre les problèmes si les informations sont incorrectes. Si vous avez besoin d'informations supplémentaires, vous pouvez lire le fichier serveur XML brut.

Astuces :

  • Vous pouvez exécuter ce test à tout moment, même si SAML est partiellement configuré. Il peut être utile d'exécuter un test lors de la configuration pour identifier les paramètres à configurer.
  • Le test utilise les paramètres saisis sur la page Authentification SAML, même s'ils n'ont pas été enregistrés. Le test n'aura aucune incidence sur les paramètres de cette page, qui resteront inchangés.
  • Pendant le test, Looker transmet des informations au fournisseur d'identité à l'aide du paramètre SAML RelayState. Le fournisseur d'identité doit renvoyer cette valeur RelayState à Looker sans la modifier.

Enregistrer et appliquer les paramètres

Une fois que vous avez saisi vos informations et que tous les tests sont réussis, sélectionnez J'ai vérifié la configuration ci-dessus et je souhaite l'appliquer dans le monde entier, puis cliquez sur Mettre à jour les paramètres pour enregistrer.

Comportement de connexion des utilisateurs

Lorsqu'un utilisateur tente de se connecter à une instance Looker à l'aide de SAML, Looker ouvre la page Se connecter. L'utilisateur doit cliquer sur le bouton Authenticate (S'authentifier) pour lancer l'authentification via SAML.

Il s'agit du comportement par défaut si l'utilisateur n'a pas déjà de session Looker active.

Si vous souhaitez que vos utilisateurs se connectent directement à votre instance Looker une fois que votre IdP les a authentifiés, et qu'ils contournent la page Se connecter, activez l'option Contourner la page de connexion sous Comportement de connexion.

Si vous utilisez Looker (Original), la fonctionnalité Ignorer la page de connexion doit être activée par Looker. Pour mettre à jour votre licence pour cette fonctionnalité, contactez un spécialiste des ventes Google Cloud ou envoyez une demande d'assistance. Si vous utilisez Looker (Google Cloud Core), l'option Ignorer la page de connexion est disponible automatiquement si SAML est utilisé comme méthode d'authentification principale. Elle est désactivée par défaut.

Lorsque l'option Ignorer la page de connexion est activée, la séquence de connexion de l'utilisateur est la suivante :

  1. L'utilisateur tente de se connecter à une URL Looker (par exemple, instance_name.looker.com).

  2. Looker détermine si l'utilisateur a déjà une session active. Pour ce faire, Looker utilise le cookie AUTH-MECHANISM-COOKIE afin d'identifier la méthode d'autorisation utilisée par l'utilisateur lors de sa dernière session. La valeur est toujours l'une des suivantes : saml, ldap, oidc, google ou email.

  3. Si l'utilisateur dispose d'une session active, il est redirigé vers l'URL demandée.

  4. Si l'utilisateur n'a pas de session active, il est redirigé vers l'IdP. L'IdP authentifie l'utilisateur lorsqu'il se connecte à l'IdP. Looker authentifie ensuite l'utilisateur lorsque l'IdP le renvoie vers Looker avec des informations indiquant qu'il est authentifié auprès de l'IdP.

  5. Si l'authentification auprès du fournisseur d'identité a réussi, Looker valide ensuite les assertions SAML, accepte l'authentification, met à jour les informations utilisateur et redirige l'utilisateur vers l'URL demandée, en ignorant la page Se connecter.

  6. Si l'utilisateur ne parvient pas à se connecter au fournisseur d'identité ou s'il n'est pas autorisé par le fournisseur d'identité à utiliser Looker, il restera sur le site du fournisseur d'identité ou sera redirigé vers la page Se connecter de Looker, selon le fournisseur d'identité.

Dépannage

Pour résoudre les problèmes d'authentification, consultez le tableau de bord des activités de l'utilisateur dans l'activité du système. Ce tableau de bord comporte des tuiles qui affichent les échecs de connexion récents, ainsi que la méthode d'authentification utilisée, le message d'erreur renvoyé et l'heure de la tentative.

Échecs de provisionnement opportun SAML et conflits de fusion

Les utilisateurs peuvent rencontrer l'erreur "Cette page n'existe pas ou vous n'êtes pas autorisé à la consulter" lors du provisionnement JIT (Just-In-Time) SAML pour les vues Looker intégrées. Dans le panneau Utilisateurs, il est possible que ces utilisateurs apparaissent comme ne s'étant jamais connectés sous SAML et qu'ils disposent d'un identifiant actif de type Adresse e-mail au lieu de SAML. De plus, les administrateurs qui tentent d'utiliser la commande sudo en tant qu'utilisateur voient l'écran "Veuillez mettre à jour votre compte".

Ce problème est dû à un conflit de fusion d'utilisateurs qui se produit lorsque Looker identifie un compte préexistant avec la même adresse e-mail que l'assertion SAML, mais que ce compte a été établi avec l'adresse e-mail comme identifiant principal. En raison de ce conflit, Looker utilise par défaut les identifiants de messagerie et ignore le mappage de rôles et de groupes JIT fourni par SAML, ce qui laisse l'utilisateur avec des autorisations "Aucun accès" malgré une authentification réussie.

Pour résoudre ce problème, utilisez la solution suivante :

  1. Dans le panneau Admin de Looker, accédez à Admin > SAML.
  2. Sous Options pour les nouveaux utilisateurs (ou Options de migration, selon la version de Looker), vérifiez que le paramètre Fusionner les utilisateurs à l'aide de est défini sur Adresse e-mail/mot de passe Looker.
  3. Si l'utilisateur concerné existe déjà avec un identifiant Adresse e-mail et qu'aucun contenu critique n'est associé, supprimez le compte utilisateur existant basé sur l'adresse e-mail. Cette suppression permet à Looker, lors de la prochaine connexion de l'utilisateur, de créer un enregistrement utilisateur basé uniquement sur l'assertion SAML.

Réponse SAML dépassant la limite

Si les utilisateurs qui tentent de s'authentifier reçoivent des erreurs indiquant que la réponse SAML a dépassé la taille maximale, vous pouvez augmenter la taille maximale autorisée pour la réponse SAML.

Pour les instances hébergées par Looker, ouvrez une demande d'assistance afin de mettre à jour la taille maximale de la réponse SAML.

Pour les instances Looker hébergées par le client, vous pouvez définir la taille maximale de la réponse SAML en nombre d'octets avec la variable d'environnement MAX_SAML_RESPONSE_BYTESIZE. Exemple :

export MAX_SAML_RESPONSE_BYTESIZE=500000

La taille maximale par défaut des réponses SAML est de 250 000 octets.

Attributs de groupe SAML manquants pour Okta

L'application du fournisseur d'identité Okta doit être configurée pour inclure l'attribut Groups dans ses assertions SAML. Consultez l'exemple ci-dessous :

<saml2:Attribute Name='Groups'>

Pour vous assurer que l'attribut Groups est présent et correctement formaté, vérifiez la charge utile SAML dans Looker à l'aide de l'option Tester l'authentification SAML.