Setelan admin - Autentikasi SAML

Catatan: Pelanggan yang menggunakan Looker (Google Cloud core) harus menyadari tanggung jawab mereka dalam mengontrol akses dan izin saat menggunakan penyedia identitas pihak ketiga. Untuk mengetahui detailnya, lihat halaman Kemitraan keamanan bersama kami.

Halaman SAML di bagian Authentication pada menu Admin memungkinkan Anda mengonfigurasi Looker untuk mengautentikasi pengguna menggunakan Security Assertion Markup Language (SAML). Halaman ini menjelaskan proses tersebut dan menyertakan petunjuk untuk menautkan grup SAML ke peran dan izin Looker.

Persyaratan

Looker menampilkan halaman SAML di bagian Authentication pada menu Admin hanya jika kondisi berikut terpenuhi:

• Anda memiliki peran Admin.
• Instance Looker (asli) Anda diaktifkan untuk menggunakan SAML. Hubungi Account Executive Anda untuk mengaktifkan SAML.
• Instance Looker (Google Cloud core) Anda menggunakan Google OAuth sebagai metode autentikasi utama.

Jika kondisi ini terpenuhi, dan Anda tidak melihat halaman SAML, buka permintaan dukungan untuk mengaktifkan SAML di instance Anda.

Catatan: Setelah Tim Dukungan mengonfirmasi bahwa SAML diaktifkan, Anda mungkin perlu memperbarui kunci lisensi untuk segera melihat halaman SAML. Untuk melakukannya, buka halaman General Settings di bagian Admin Looker, lalu klik Update di samping kolom License Key.

SAML dan penyedia identitas

Perusahaan menggunakan penyedia identitas (IdP) yang berbeda untuk berkoordinasi dengan SAML (misalnya, Okta atau OneLogin). Istilah yang digunakan dalam petunjuk penyiapan berikut dan di UI mungkin tidak sama persis dengan yang digunakan oleh IdP Anda. Untuk mendapatkan klarifikasi selama penyiapan, hubungi tim SAML atau autentikasi internal Anda, atau hubungi Dukungan Looker.

Looker mengasumsikan bahwa permintaan dan pernyataan SAML akan dikompresi; pastikan IdP Anda dikonfigurasi seperti itu. Permintaan Looker ke IdP tidak ditandatangani.

Looker mendukung login yang dimulai IdP.

Beberapa proses penyiapan harus diselesaikan di situs IdP.

Okta menawarkan aplikasi Looker, yang merupakan cara yang direkomendasikan untuk mengonfigurasi Looker dan Okta secara bersamaan.

Menyiapkan Looker di penyedia identitas Anda

IdP SAML Anda akan memerlukan URL instance Looker yang akan menerima pernyataan SAML melalui POST dari IdP SAML. Di IdP Anda, URL ini mungkin disebut "Post Back URL", "Recipient", atau "Destination", di antara nama lainnya.

Informasi yang harus diberikan adalah URL tempat Anda biasanya mengakses instance Looker menggunakan browser, diikuti dengan /samlcallback. Contoh: none https://instance_name.looker.com/samlcallback

atau

https://looker.mycompany.com/samlcallback

Beberapa IdP juga mengharuskan Anda menambahkan :9999 setelah URL instance. Contoh:

https://instance_name.looker.com:9999/samlcallback

Yang perlu diketahui

Perhatikan fakta-fakta berikut:

• Looker memerlukan SAML 2.0.
• Jangan nonaktifkan autentikasi SAML saat Anda login ke Looker melalui SAML, kecuali jika Anda telah menyiapkan login akun alternatif. Jika tidak, Anda dapat kehilangan akses ke aplikasi.
• Looker dapat memigrasikan akun yang ada ke SAML menggunakan alamat email yang berasal dari penyiapan email dan sandi saat ini atau dari Google Auth, LDAP, atau OIDC. Anda akan dapat mengonfigurasi cara akun yang ada dimigrasikan dalam proses penyiapan.

Memulai

Untuk mengonfigurasi autentikasi SAML untuk instance Looker Anda, pilih SAML dari bagian Authentication di panel Admin. Di halaman SAML Authentication, pilih Configure SAML untuk melihat opsi konfigurasi berikut.

Catatan: Perubahan pada opsi konfigurasi tidak akan diterapkan hingga Anda menguji dan menyimpan setelan di bagian bawah halaman.

Setelan autentikasi SAML

Looker memerlukan URL IdP, Penerbit IdP, dan Sertifikat IdP untuk mengautentikasi IdP Anda.

IdP Anda dapat menawarkan dokumen XML metadata IdP selama proses konfigurasi untuk Looker di sisi IdP. File ini berisi semua informasi yang diminta di bagian SAML Auth Settings. Jika memiliki file ini, Anda dapat menguploadnya di kolom Metadata IdP, yang akan mengisi kolom yang diperlukan di bagian ini. Atau, Anda dapat mengisi kolom yang diperlukan dari output yang diperoleh selama konfigurasi di sisi IdP. Anda tidak perlu mengisi kolom jika mengupload file XML.

• Metadata IdP (Opsional): Tempel URL publik dokumen XML yang berisi informasi IdP, atau tempel teks dokumen secara keseluruhan di sini. Looker akan mengurai file tersebut untuk mengisi kolom yang diperlukan.

Jika Anda tidak mengupload atau menempelkan dokumen XML metadata IdP, masukkan informasi autentikasi IdP Anda di kolom IdP URL, IdP Issuer, dan IdP Certificate.

• URL IdP: URL yang akan dituju Looker untuk mengautentikasi pengguna. URL ini disebut Redirect URL di Okta.

• IdP Issuer: ID unik IdP. Ini disebut "External Key" di Okta.

• IdP Certificate: Kunci publik yang memungkinkan Looker memverifikasi tanda tangan respons IdP.

Secara bersama-sama, ketiga kolom ini memungkinkan Looker mengonfirmasi bahwa sekumpulan pernyataan SAML yang ditandatangani benar-benar berasal dari IdP tepercaya.

• Entitas SP/Audiens IdP: Kolom ini tidak diperlukan oleh Looker, tetapi banyak IdP yang akan mewajibkan kolom ini. Jika Anda memasukkan nilai di kolom ini, nilai tersebut akan dikirim ke IdP Anda sebagai Entity ID Looker dalam permintaan otorisasi. Dalam hal ini, Looker hanya akan menerima respons otorisasi yang memiliki nilai ini sebagai Audience. Jika IdP Anda memerlukan nilai Audience, masukkan string tersebut di sini.

Catatan: Nilai ini juga digunakan sebagai kolom issuer dalam pesan yang dikirim ke IdP. Jadi, jika IdP Anda mengeluhkan bahwa ia menerima pesan yang tidak menentukan penerbit, Anda harus menetapkan nilai ini. Anda dapat menggunakan string apa pun yang mungkin diperlukan IdP Anda. Umumnya, Anda dapat menggunakan Looker. Jika kolom ini ada, IdP Anda harus mengirimkannya sebagai kolom audience dalam pesan yang dikirim kembali ke Looker.

• Penyimpangan Jam yang Diizinkan: Jumlah detik penyimpangan jam (perbedaan stempel waktu antara IdP dan Looker) yang diizinkan. Nilai ini biasanya akan ditetapkan ke default 0, tetapi beberapa IdP mungkin memerlukan kelonggaran tambahan agar login berhasil.

Setelan atribut pengguna

Di kolom berikut, tentukan nama atribut dalam konfigurasi SAML IdP Anda yang berisi informasi yang sesuai untuk setiap kolom. Memasukkan nama atribut SAML akan memberi tahu Looker cara memetakan kolom tersebut dan mengekstrak informasinya pada waktu login. Looker tidak terlalu memperhatikan cara informasi ini dibuat, yang penting adalah cara Anda memasukkannya ke Looker sesuai dengan cara atribut ditentukan di IdP Anda. Looker memberikan saran default tentang cara membuat input tersebut.

Atribut standar

Anda harus menentukan atribut standar berikut:

• Email Attr: Nama atribut yang digunakan IdP Anda untuk alamat email pengguna.

• FName Attr: Nama atribut yang digunakan IdP Anda untuk nama depan pengguna.

• LName Attr: Nama atribut yang digunakan IdP Anda untuk nama belakang pengguna.

Menyandingkan atribut SAML dengan atribut pengguna Looker

Anda dapat menggunakan data dalam atribut SAML untuk otomatis mengisi nilai dalam atribut pengguna Looker saat pengguna login. Misalnya, jika Anda telah mengonfigurasi SAML untuk membuat koneksi khusus pengguna ke database, Anda dapat menyambungkan atribut SAML dengan atribut pengguna Looker untuk membuat koneksi database Anda khusus pengguna di Looker.

Untuk menyambungkan atribut SAML dengan atribut pengguna Looker yang sesuai, ikuti langkah-langkah berikut:

1. Masukkan nama atribut SAML di kolom SAML Attribute dan nama atribut pengguna Looker yang ingin Anda pasangkan di kolom Looker User Attributes.
2. Pilih Wajib jika Anda ingin mewajibkan nilai atribut SAML agar pengguna dapat login.
3. Klik + dan ulangi langkah-langkah ini untuk menambahkan lebih banyak pasangan atribut.

Untuk menyambungkan atribut pengguna SAML dengan atribut pengguna Looker yang sesuai, atau mengelola penyambungan yang ada, ikuti langkah-langkah berikut:

1. Di bagian Setelan Atribut Pengguna, klik tombol Kelola Penyambungan untuk membuka panel samping Kelola Penyambungan.
2. Di kolom Klaim, masukkan nama atribut SAML yang ingin Anda pasangkan. Anda hanya dapat memasukkan setiap nama klaim satu kali. Jika ingin mengaitkan klaim dengan beberapa atribut Looker, Anda dapat memasukkan beberapa atribut di kolom Looker User Attributes.
3. Di kolom Looker User Attributes, menu drop-down atribut pengguna Looker untuk instance akan muncul. Pilih nama atribut pengguna Looker yang ingin Anda pasangkan dengan atribut SAML. Anda dapat memilih beberapa atribut pengguna Looker untuk klaim, tetapi Anda harus memilih setidaknya satu atribut pengguna Looker.
4. Centang kotak Wajib jika Anda ingin mewajibkan nilai atribut SAML agar pengguna dapat login.
5. Klik tombol Tambahkan Penyambungan untuk menambahkan baris penyambungan lain ke daftar. Ulangi langkah-langkah ini untuk menambahkan lebih banyak pasangan atribut.
6. Di sebelah kanan setiap baris penyambungan terdapat ikon Hapus penyambungan. Klik ikon ini untuk menghapus penyambungan atribut dari instance Anda.
7. Klik ikon Close untuk keluar dari panel samping Manage Pairings.
8. Uji konfigurasi SAML Anda.
9. Verifikasi konfigurasi SAML Anda, lalu di bagian bawah halaman SAML Authentication, centang kotak I have verified the SAML configuration.
10. Klik tombol Enable SAML atau Update SAML Settings untuk menyimpan penyambungan atribut pengguna SAML Anda.

Panel samping Kelola Penyambungan juga mencakup alat berikut:

• Menu filter dan kotak penelusuran Filter List. Gunakan alat ini untuk menelusuri penyambungan yang telah ditambahkan ke instance Anda.
• Menu drop-down penomoran halaman Display. Gunakan menu ini untuk menampilkan 10, 25, 50, atau 100 penyambungan di setiap halaman.

Grup dan peran

Anda memiliki opsi agar Looker membuat grup yang mencerminkan grup SAML yang dikelola secara eksternal, lalu menetapkan peran Looker kepada pengguna tersebut berdasarkan grup SAML yang dicerminkan. Saat Anda membuat perubahan pada keanggotaan grup SAML, perubahan tersebut akan diterapkan kepada pengguna grup Looker tersebut saat mereka login ke Looker berikutnya.

Dengan mencerminkan grup SAML, Anda dapat menggunakan direktori SAML yang ditentukan secara eksternal untuk mengelola grup dan pengguna Looker. Dengan demikian, Anda dapat mengelola keanggotaan grup untuk beberapa alat software as a service (SaaS), seperti Looker, di satu tempat.

Jika Anda mengaktifkan Mirror SAML Groups, Looker akan membuat satu grup Looker untuk setiap grup SAML yang dimasukkan ke dalam sistem. Grup Looker tersebut dapat dilihat di halaman Groups di bagian Admin Looker. Grup dapat digunakan untuk menetapkan peran kepada anggota grup, menetapkan kontrol akses konten, dan menetapkan atribut pengguna.

Grup dan peran default

Secara default, tombol Mirror SAML Groups nonaktif. Dalam hal ini, Anda dapat menetapkan grup default untuk pengguna SAML baru. Di kolom New User Groups dan New User Roles, masukkan nama grup atau peran Looker yang ingin Anda tetapkan kepada pengguna Looker baru saat mereka pertama kali login ke Looker:

Grup dan peran ini diterapkan kepada pengguna baru saat login pertama kali. Grup dan peran tidak diterapkan ke pengguna yang sudah ada, dan tidak diterapkan kembali jika dihapus dari pengguna setelah login awal pengguna.

Jika Anda mengaktifkan pencerminan grup SAML nanti, setelan default ini akan dihapus untuk pengguna saat mereka login berikutnya dan digantikan oleh peran yang ditetapkan di bagian Cerminkan Grup SAML. Opsi default ini tidak akan tersedia atau ditetapkan lagi, dan akan sepenuhnya digantikan oleh konfigurasi grup yang dicerminkan.

Mengaktifkan grup SAML mirror

Jika Anda menggunakan instance Looker (Google Cloud core), sebaiknya aktifkan pencerminan grup hanya untuk metode autentikasi utama dan jangan aktifkan pencerminan grup untuk autentikasi OAuth cadangan. Jika Anda mengaktifkan pencerminan grup untuk metode autentikasi utama dan sekunder, perilaku berikut akan terjadi:

• Jika pengguna telah menggabungkan identitas, pencerminan grup akan cocok dengan metode autentikasi utama, terlepas dari metode autentikasi sebenarnya yang digunakan untuk login.
• Jika pengguna tidak memiliki identitas gabungan, pencerminan grup akan mencocokkan metode autentikasi yang digunakan untuk login.

Langkah-langkah untuk mengaktifkan grup yang dicerminkan

Jika Anda memilih untuk mencerminkan grup SAML dalam Looker, aktifkan tombol Mirror SAML Groups. Looker menampilkan setelan berikut:

Strategi Pencari Grup: Pilih sistem yang digunakan IdP untuk menetapkan grup, yang bergantung pada IdP Anda.

• Hampir semua IdP menggunakan nilai atribut tunggal untuk menetapkan grup, seperti yang ditunjukkan dalam contoh pernyataan SAML ini: none <saml2:Attribute Name='Groups'> <saml2:AttributeValue >Everyone</saml2:AttributeValue> <saml2:AttributeValue >Admins</saml2:AttributeValue> </saml2:Attribute> Dalam hal ini, pilih Grup sebagai nilai atribut tunggal.

• Beberapa IdP menggunakan atribut terpisah untuk setiap grup, lalu memerlukan atribut kedua untuk menentukan apakah pengguna adalah anggota grup. Contoh pernyataan SAML yang menunjukkan sistem ini adalah sebagai berikut: none <saml2:Attribute Name='group_everyone'> <saml2:AttributeValue >yes</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute Name='group_admins'> <saml2:AttributeValue >no</saml2:AttributeValue> </saml2:Attribute> Dalam hal ini, pilih Grup sebagai atribut individual dengan nilai keanggotaan.

Groups Attribute: Looker menampilkan kolom ini jika Group Finder Strategy ditetapkan ke Groups as values of single attribute. Masukkan nama Atribut Kelompok yang digunakan oleh IdP.

Group Member Value: Looker menampilkan kolom ini jika Group Finder Strategy ditetapkan ke Groups as individual attributes with membership value. Masukkan nilai yang menunjukkan bahwa pengguna adalah anggota grup.

Tombol Kelola Grup: Klik tombol ini untuk membuka panel samping Kelola Grup, tempat Anda dapat menambahkan, menghapus, atau mengedit grup kustom atau peran yang ditetapkan ke grup terkait di Looker. Panel samping Kelola Grup menampilkan kolom berikut:

• Kolom Preferred Group Name. Masukkan nama kustom untuk grup yang dicerminkan di kolom ini. Nama ini akan ditampilkan di halaman Groups di bagian Admin Looker.

• Kolom SAML Group Name. Masukkan grup SAML di kolom ini. Untuk pengguna Okta, masukkan nama grup Okta sebagai ID grup SAML. Pengguna SAML yang disertakan dalam grup SAML akan ditambahkan ke grup yang diduplikasi dalam Looker.

• Kolom Peran. Di kolom ini, pilih satu atau beberapa peran Looker yang akan ditetapkan ke setiap pengguna dalam grup.

• Ikon Hapus Pemetaan delete. Klik ikon ini untuk menghapus grup yang dicerminkan dari instance Looker Anda. Jika Anda menghapus grup, grup tersebut tidak akan lagi dicerminkan di Looker dan anggotanya tidak akan lagi memiliki peran di Looker yang ditetapkan kepada mereka melalui grup tersebut.

Panel samping Kelola Grup juga menyertakan alat berikut:

• Menu filter dan kotak penelusuran Filter List. Gunakan alat ini untuk menelusuri grup yang telah ditambahkan ke instance Anda.

• Tombol Add Mapping. Klik tombol ini untuk menambahkan grup kustom ke instance.

Mengedit grup yang dicerminkan

Jika Anda mengedit grup yang dicerminkan yang sebelumnya dikonfigurasi di layar ini, konfigurasi grup akan berubah, tetapi grup itu sendiri akan tetap utuh. Misalnya, Anda dapat mengubah nama grup Looker dari suatu grup, yang akan mengubah tampilan grup di halaman Grup Looker, tetapi tidak akan mengubah peran dan anggota grup yang ditetapkan. Mengubah nama grup SAML akan mempertahankan nama dan peran grup, tetapi anggota grup akan ditetapkan ulang berdasarkan pengguna yang merupakan anggota grup SAML eksternal yang memiliki nama grup SAML baru.

Setiap pengeditan yang dilakukan pada grup yang dicerminkan akan diterapkan kepada pengguna grup tersebut saat mereka berikutnya login ke Looker.

Pengelolaan peran lanjutan

Jika Anda telah mengaktifkan tombol Mirror SAML Groups, Looker akan menampilkan setelan ini. Opsi di bagian ini menentukan seberapa besar fleksibilitas yang dimiliki admin Looker saat mengonfigurasi grup dan pengguna Looker yang telah dicerminkan dari SAML.

Misalnya, jika Anda ingin konfigurasi grup dan pengguna Looker benar-benar cocok dengan konfigurasi SAML, aktifkan opsi ini. Jika ketiga opsi pertama diaktifkan, admin Looker tidak dapat mengubah keanggotaan grup yang diduplikasi dan hanya dapat menetapkan peran kepada pengguna melalui grup yang diduplikasi SAML.

Jika Anda ingin memiliki fleksibilitas lebih untuk menyesuaikan grup dalam Looker, nonaktifkan opsi ini. Grup Looker Anda akan tetap mencerminkan konfigurasi SAML, tetapi Anda dapat melakukan pengelolaan grup dan pengguna tambahan dalam Looker, seperti menambahkan pengguna SAML ke grup khusus Looker atau menetapkan peran Looker langsung ke pengguna SAML.

Untuk instance Looker baru, atau untuk instance yang tidak memiliki grup yang diduplikasi yang dikonfigurasi sebelumnya, opsi ini dinonaktifkan secara default.

Untuk instance Looker yang sudah ada dan telah mengonfigurasi grup yang diduplikasi, opsi ini diaktifkan secara default.

Peringatan: Mengaktifkan setelan yang lebih ketat akan menyebabkan pengguna kehilangan keanggotaan grup atau peran yang ditetapkan yang dikonfigurasi di Looker secara langsung. Hal ini terjadi saat pengguna tersebut login ke Looker berikutnya.

Bagian Pengelolaan Peran Lanjutan berisi opsi berikut:

Prevent Individual SAML Users from Receiving Direct Roles: Mengaktifkan opsi ini akan mencegah admin Looker menetapkan peran Looker secara langsung kepada pengguna SAML. Pengguna SAML hanya akan menerima peran melalui keanggotaan grup mereka. Jika pengguna SAML diizinkan menjadi anggota grup Looker bawaan (tidak diduplikasi), mereka masih dapat mewarisi peran dari grup SAML duplikat dan dari grup Looker bawaan. Setiap pengguna SAML yang sebelumnya diberi peran secara langsung akan kehilangan peran tersebut saat login berikutnya.

Jika opsi ini nonaktif, admin Looker dapat menetapkan peran Looker langsung kepada pengguna SAML seolah-olah peran tersebut dikonfigurasi langsung di Looker.

Prevent Direct Membership in non-SAML Groups: Mengaktifkan opsi ini akan mencegah admin Looker menambahkan pengguna SAML secara langsung ke grup Looker bawaan. Jika grup SAML yang dicerminkan diizinkan menjadi anggota grup Looker bawaan, pengguna SAML dapat mempertahankan keanggotaan di grup Looker induk mana pun. Setiap pengguna SAML yang sebelumnya ditetapkan ke grup Looker bawaan akan dihapus dari grup tersebut saat login berikutnya.

Jika opsi ini nonaktif, admin Looker dapat menambahkan pengguna SAML langsung ke grup Looker bawaan.

Prevent Role Inheritance from non-SAML Groups: Mengaktifkan opsi ini akan mencegah anggota grup SAML yang diduplikasi mewarisi peran dari grup Looker bawaan. Semua pengguna SAML yang sebelumnya mewarisi peran dari grup Looker induk akan kehilangan peran tersebut saat mereka login berikutnya.

Jika opsi ini nonaktif, grup SAML yang dicerminkan atau pengguna SAML yang ditambahkan sebagai anggota grup Looker bawaan akan mewarisi peran yang ditetapkan ke grup Looker induk.

Auth Requires Role: Jika opsi ini aktif, pengguna SAML harus memiliki peran yang ditetapkan. Pengguna SAML yang tidak diberi peran tidak akan dapat login ke Looker sama sekali.

Jika opsi ini nonaktif, pengguna SAML dapat melakukan autentikasi ke Looker meskipun mereka tidak memiliki peran yang ditetapkan. Pengguna yang tidak diberi peran tidak akan dapat melihat data atau melakukan tindakan apa pun di Looker, tetapi mereka akan dapat login ke Looker.

Menonaktifkan pencerminan grup SAML

Jika Anda ingin berhenti mencerminkan grup SAML dalam Looker, nonaktifkan tombol Mirror SAML Groups. Menonaktifkan tombol akan menghasilkan perilaku berikut:

• Setiap grup SAML duplikat yang tidak memiliki pengguna akan segera dihapus.
• Setiap grup SAML duplikat yang berisi pengguna akan ditandai sebagai tanpa induk. Jika tidak ada pengguna grup ini yang login dalam waktu 31 hari, grup akan dihapus. Pengguna tidak lagi dapat ditambahkan ke atau dihapus dari grup SAML yang tidak memiliki pemilik.

Opsi migrasi

Tips: Looker merekomendasikan agar Anda memberikan strategi penggabungan seperti yang dijelaskan di bagian ini. Saat Anda menggunakan Looker (Original), Looker juga merekomendasikan agar Anda mengaktifkan Login Alternatif.

Login alternatif untuk admin dan pengguna tertentu

Catatan: Login alternatif tidak tersedia untuk Looker (Google Cloud core). Secara default, metode autentikasi cadangan untuk Looker (Google Cloud core) adalah OAuth.

Login email dan sandi Looker selalu dinonaktifkan untuk pengguna reguler jika SAML Auth diaktifkan. Opsi ini memungkinkan login berbasis email alternatif menggunakan /login/email untuk admin dan untuk pengguna tertentu dengan izin login_special_email.

Mengaktifkan opsi ini berguna sebagai penggantian selama penyiapan Autentikasi SAML jika masalah konfigurasi SAML terjadi nanti, atau jika Anda perlu mendukung beberapa pengguna yang tidak memiliki akun di direktori SAML Anda. Endpoint /login/email tidak dapat dinonaktifkan atau disembunyikan sepenuhnya, karena berfungsi sebagai mekanisme penggantian penting untuk memastikan bahwa administrator dapat memperoleh kembali akses jika konfigurasi SAML utama gagal atau salah dikonfigurasi. Jika admin tidak sengaja terkunci saat mengonfigurasi daftar IP yang diizinkan, hubungi Dukungan Google Cloud untuk pemulihan.

Catatan: Jika pengguna telah diautentikasi ke instance Looker hanya dengan menggunakan SAML, Anda dapat mengaktifkan login alternatif hanya dengan menggunakan Looker API. Untuk mempelajari cara melakukannya, lihat halaman dokumentasi Mengaktifkan opsi login alternatif.

Menghapus kredensial email lama untuk pengguna SAML

Jika autentikasi SAML diaktifkan, login email dan sandi Looker standar akan dinonaktifkan untuk pengguna reguler di UI Looker, tetapi kredensial email yang ada tetap terkait dengan akun pengguna. Untuk menghapus kredensial email secara permanen dari akun pengguna (misalnya, untuk mematuhi kebijakan keamanan atau untuk mencegah email notifikasi otomatis yang dipicu oleh upaya login email yang tidak sah), administrator harus menggunakan Looker API.

Untuk menghapus kredensial email bagi pengguna perorangan, gunakan endpoint DELETE /users/{user_id}/credentials_email di Looker API.

Untuk menghapus kredensial email secara massal, Anda dapat menggunakan skrip Looker API atau alat pengelolaan pengguna massal (seperti Looker Admin Power Pack open source).

Perhatian: Sebelum menghapus kredensial email untuk akun admin Looker, pastikan autentikasi SAML telah diuji sepenuhnya dan berfungsi, serta admin dapat login melalui SAML atau telah mengonfigurasi metode autentikasi cadangan lainnya. Menghapus kredensial email saat SAML salah dikonfigurasi atau login alternatif dinonaktifkan dapat menyebabkan admin terkunci dari instance.

Tentukan metode yang digunakan untuk menggabungkan pengguna SAML ke akun Looker

Di kolom Gabungkan Pengguna Menggunakan, tentukan metode yang akan digunakan untuk menggabungkan login SAML pertama kali ke akun pengguna yang ada. Anda dapat menggabungkan pengguna dari sistem berikut:

• Email/Sandi Looker (tidak tersedia untuk Looker (Google Cloud core))
• Google
• LDAP (tidak tersedia untuk Looker (Google Cloud core))
• OIDC

Jika Anda memiliki lebih dari satu sistem, Anda dapat menentukan lebih dari satu sistem untuk digabungkan di kolom ini. Looker akan mencari pengguna dari sistem yang tercantum sesuai urutan yang ditentukan. Misalnya, Anda membuat beberapa pengguna menggunakan email dan sandi Looker, lalu mengaktifkan LDAP, dan sekarang Anda ingin menggunakan SAML. Looker akan menggabungkan berdasarkan email dan sandi terlebih dahulu, lalu LDAP.

Saat pengguna login untuk pertama kalinya melalui SAML, opsi ini akan menghubungkan pengguna ke akun yang sudah ada dengan menemukan akun yang memiliki alamat email yang cocok. Jika tidak ada akun yang sudah ada untuk pengguna, akun pengguna baru akan dibuat.

Menangani perubahan domain IdP

Jika domain Penyedia Identitas (IdP) Anda berubah, saml_user_id akan otomatis diganti dengan nilai baru saat pengguna berhasil login untuk pertama kalinya dengan domain baru. Admin Looker tidak perlu mengubah atau mengonfigurasi ulang atribut yang dikelola sistem ini secara manual di Looker.

Untuk memastikan transisi yang lancar, ikuti langkah-langkah berikut:

1. Perbarui atribut Email pengguna Looker ke alamat email domain baru.
2. Pastikan opsi Merge Users Using dikonfigurasi untuk mengaktifkan penggabungan berdasarkan email.

Menggabungkan pengguna saat menggunakan Looker (Google Cloud core)

Saat Anda menggunakan Looker (inti Google Cloud) dan SAML, penggabungan akan berfungsi seperti yang dijelaskan di bagian sebelumnya. Namun, hal ini hanya dapat dilakukan jika salah satu dari dua kondisi berikut terpenuhi:

1. Kondisi 1: Pengguna melakukan autentikasi ke Looker (Google Cloud core) menggunakan Google Identity mereka melalui protokol SAML.

2. Kondisi 2: Sebelum memilih opsi penggabungan, Anda telah menyelesaikan dua langkah berikut:

   • Identitas pengguna gabungan di Google Cloud menggunakan Cloud Identity
   • Siapkan autentikasi OAuth sebagai metode autentikasi cadangan menggunakan pengguna gabungan.

Jika instance Anda tidak memenuhi salah satu dari dua kondisi ini, opsi Merge Users Using tidak akan tersedia.

Saat menggabungkan, Looker (Google Cloud core) akan menelusuri data pengguna yang memiliki alamat email yang sama persis.

Menguji autentikasi pengguna

Klik tombol Uji untuk menguji setelan Anda. Pengujian akan mengalihkan ke server dan akan membuka tab browser. Tab menampilkan:

• Apakah Looker dapat berkomunikasi dengan server dan melakukan validasi.
• Nama yang diperoleh Looker dari server. Anda perlu memvalidasi bahwa server menampilkan hasil yang tepat.
• Trace untuk menunjukkan cara info ditemukan. Gunakan pelacakan untuk memecahkan masalah jika informasinya salah. Jika memerlukan informasi tambahan, Anda dapat membaca file server XML mentah.

Catatan: Baca hasil pengujian dengan cermat, karena beberapa bagian pengujian dapat berhasil meskipun bagian lainnya gagal.

Tips:

• Anda dapat menjalankan pengujian ini kapan saja, meskipun SAML baru dikonfigurasi sebagian. Menjalankan pengujian dapat membantu selama konfigurasi untuk melihat parameter mana yang memerlukan konfigurasi.
• Pengujian ini menggunakan setelan yang dimasukkan di halaman SAML Authentication, meskipun setelan tersebut belum disimpan. Pengujian tidak akan memengaruhi atau mengubah setelan apa pun di halaman tersebut.
• Selama pengujian, Looker meneruskan informasi ke IdP menggunakan parameter RelayState SAML. IdP harus menampilkan nilai RelayState ini ke Looker tanpa diubah.

Catatan: Pastikan untuk memverifikasi bahwa semua pengujian lulus sebelum mengklik Perbarui Setelan. Menyimpan informasi konfigurasi SAML yang salah dapat membuat Anda dan orang lain tidak dapat mengakses Looker.

Menyimpan dan menerapkan setelan

Setelah Anda selesai memasukkan informasi, dan semua pengujian lulus, pilih I have confirmed the configuration above and want to enable applying it globally, lalu klik Update Settings untuk menyimpan.

Perilaku login pengguna

Saat pengguna mencoba login ke instance Looker menggunakan SAML, Looker akan membuka halaman Log In. Pengguna harus mengklik tombol Autentikasi untuk memulai autentikasi melalui SAML.

Ini adalah perilaku default jika pengguna belum memiliki sesi Looker yang aktif.

Jika Anda ingin pengguna login langsung ke instance Looker setelah IdP mengautentikasi mereka, dan mengabaikan halaman Log In, aktifkan Bypass Login Page di bagian Login Behavior.

Jika Anda menggunakan Looker (Original), fitur Bypass Login Page harus diaktifkan oleh Looker. Untuk memperbarui lisensi Anda untuk fitur ini, hubungi spesialis penjualan Google Cloud atau buka permintaan dukungan. Jika Anda menggunakan Looker (Google Cloud core), opsi Bypass Login Page akan otomatis tersedia jika SAML digunakan sebagai metode autentikasi utama, dan dinonaktifkan secara default.

Jika Bypass Login Page diaktifkan, urutan login pengguna adalah sebagai berikut:

1. Pengguna mencoba terhubung ke URL Looker (misalnya, instance_name.looker.com).

2. Looker menentukan apakah pengguna sudah mengaktifkan sesi aktif. Untuk melakukannya, Looker menggunakan cookie AUTH-MECHANISM-COOKIE untuk mengidentifikasi metode otorisasi yang digunakan oleh pengguna dalam sesi terakhirnya. Nilainya selalu salah satu dari berikut: saml, ldap, oidc, google, atau email.

3. Jika pengguna memiliki sesi aktif yang diaktifkan, pengguna akan diarahkan ke URL yang diminta.

4. Jika pengguna tidak mengaktifkan sesi aktif, mereka akan dialihkan ke IdP. IdP mengautentikasi pengguna saat mereka berhasil login ke IdP. Looker kemudian mengautentikasi pengguna saat IdP mengirim pengguna kembali ke Looker dengan informasi yang menunjukkan bahwa pengguna diautentikasi dengan IdP.

5. Jika autentikasi di IdP berhasil, Looker akan memvalidasi pernyataan SAML, menerima autentikasi, memperbarui informasi pengguna, dan meneruskan pengguna ke URL yang diminta, melewati halaman Log In.

6. Jika pengguna tidak dapat login ke IdP, atau jika mereka tidak diizinkan oleh IdP untuk menggunakan Looker, maka bergantung pada IdP, mereka akan tetap berada di situs IdP, atau dialihkan ke halaman Login Looker.

Pemecahan masalah

Untuk membantu memecahkan masalah autentikasi, periksa dasbor Aktivitas Pengguna di Aktivitas Sistem. Dasbor ini memiliki kartu yang menampilkan kegagalan login baru-baru ini dan mencakup metode autentikasi yang digunakan, pesan error yang ditampilkan, dan waktu percobaan.

Kegagalan penyediaan tepat waktu SAML dan konflik penggabungan

Pengguna mungkin mengalami error "Halaman tersebut tidak ada atau Anda tidak memiliki izin untuk melihatnya" selama penyediaan Just-in-Time (JIT) SAML untuk tampilan Looker yang disematkan. Di panel Pengguna, pengguna ini mungkin muncul sebagai belum pernah login di bagian SAML dan memiliki kredensial aktif Email, bukan SAML. Selain itu, administrator yang mencoba melakukan sudo sebagai pengguna akan melihat layar "Perbarui Akun Anda".

Masalah ini terjadi karena konflik penggabungan pengguna yang terjadi saat Looker mengidentifikasi akun yang sudah ada sebelumnya dengan alamat email yang sama dengan pernyataan SAML, tetapi akun tersebut dibuat dengan Email sebagai kredensial utamanya. Karena konflik ini, Looker secara default menggunakan kredensial Email dan mengabaikan pemetaan grup dan peran JIT yang disediakan SAML, sehingga pengguna memiliki izin "No access" meskipun autentikasi berhasil.

Untuk mengatasi masalah ini, gunakan solusi sementara berikut:

1. Di panel Admin Looker, buka Admin > SAML.
2. Di bagian Opsi Pengguna Baru (atau Opsi migrasi, bergantung pada versi Looker), pastikan setelan Gabungkan Pengguna Menggunakan dikonfigurasi ke Email/Sandi Looker.
3. Jika pengguna yang terpengaruh sudah ada dengan kredensial Email dan tidak memiliki konten penting yang dilampirkan, hapus akun pengguna berbasis email yang ada. Penghapusan ini memungkinkan Looker, saat login pengguna berikutnya, membuat catatan pengguna baru yang hanya didasarkan pada pernyataan SAML.

Respons SAML melebihi batas

Jika pengguna yang mencoba melakukan autentikasi menerima error yang menunjukkan bahwa respons SAML telah melebihi ukuran maksimum, Anda dapat meningkatkan ukuran respons SAML maksimum yang diizinkan.

Untuk instance yang dihosting oleh Looker, buka permintaan dukungan untuk memperbarui ukuran respons SAML maksimum.

Untuk instance Looker yang dihosting pelanggan, Anda dapat menetapkan ukuran respons SAML maksimum dalam jumlah byte dengan variabel lingkungan MAX_SAML_RESPONSE_BYTESIZE. Contoh:

export MAX_SAML_RESPONSE_BYTESIZE=500000

Default untuk ukuran respons SAML maksimum adalah 250.000 byte.

Atribut kelompok SAML untuk Okta tidak ada

Aplikasi Penyedia Identitas Okta harus dikonfigurasi untuk menyertakan atribut Groups dalam pernyataan SAML-nya. Lihat contoh berikut:

<saml2:Attribute Name='Groups'>

Untuk memastikan bahwa atribut Groups ada dan diformat dengan benar, verifikasi payload SAML di Looker menggunakan opsi Test SAML Authentication.