Impostazioni amministrazione - Autenticazione SAML

La pagina SAML nella sezione Authentication (Autenticazione) del menu Admin (Amministrazione) ti consente di configurare Looker per autenticare gli utenti utilizzando Security Assertion Markup Language (SAML). Questa pagina descrive il processo e include istruzioni per collegare i gruppi SAML a ruoli e autorizzazioni di Looker.

Requisiti

Looker visualizza la pagina SAML nella sezione Autenticazione del menu Amministratore solo se sono soddisfatte le seguenti condizioni:

Se queste condizioni sono soddisfatte e non vedi la pagina SAML, apri una richiesta di assistenza per attivare SAML nella tua istanza.

SAML e provider di identità

Le aziende utilizzano diversi provider di identità (IdP) per coordinarsi con SAML (ad esempio Okta o OneLogin). I termini utilizzati nelle seguenti istruzioni di configurazione e nell'interfaccia utente potrebbero non corrispondere direttamente a quelli utilizzati dal tuo IdP. Per chiarimenti durante la configurazione, contatta il tuo team interno di autenticazione o SAML oppure l'assistenza di Looker.

Looker presuppone che le richieste e le asserzioni SAML vengano compresse. Assicurati che il tuo IdP sia configurato in questo modo. Le richieste di Looker all'IdP non sono firmate.

Looker supporta l'accesso avviato da IdP.

Parte della procedura di configurazione deve essere completata sul sito web dell'IdP.

Okta offre un'app Looker, che è il modo consigliato per configurare Looker e Okta insieme.

Configurazione di Looker sul tuo provider di identità

L'IdP SAML avrà bisogno dell'URL dell'istanza Looker in cui l'IdP SAML deve pubblicare le asserzioni SAML. Nel tuo IdP, questo potrebbe essere chiamato "URL di postback", "Destinatario" o "Destinazione", tra gli altri nomi.

Le informazioni da fornire sono l'URL che utilizzi in genere per accedere all'istanza di Looker utilizzando il browser, seguito da /samlcallback. Ad esempio: none https://instance_name.looker.com/samlcallback

o

https://looker.mycompany.com/samlcallback

Alcuni IdP richiedono anche l'aggiunta di :9999 dopo l'URL dell'istanza. Ad esempio:

https://instance_name.looker.com:9999/samlcallback

Cose da sapere

Tieni presente quanto segue:

  • Looker richiede SAML 2.0.
  • Non disattivare l'autenticazione SAML mentre hai eseguito l'accesso a Looker tramite SAML, a meno che non sia configurato un accesso alternativo all'account. In caso contrario, potresti non riuscire più ad accedere all'app.
  • Looker può eseguire la migrazione degli account esistenti a SAML utilizzando gli indirizzi email provenienti dalle configurazioni attuali di email e password o da Google Auth, LDAP o OIDC. Durante la procedura di configurazione, potrai configurare la migrazione degli account esistenti.

Per iniziare

Per configurare l'autenticazione SAML per la tua istanza di Looker, seleziona SAML dalla sezione Autenticazione del pannello Amministratore. Nella pagina SAML Authentication (Autenticazione SAML), seleziona Configure SAML (Configura SAML) per visualizzare le seguenti opzioni di configurazione.

Impostazioni di autenticazione SAML

Looker richiede l'URL IdP, l'emittente IdP e il certificato IdP per autenticare l'IdP.

Il tuo IdP potrebbe offrire un documento XML dei metadati IdP durante il processo di configurazione di Looker sul lato IdP. Questo file contiene tutte le informazioni richieste nella sezione SAML Auth Settings (Impostazioni di autenticazione SAML). Se hai questo file, puoi caricarlo nel campo Metadati IdP, che compilerà i campi obbligatori in questa sezione. In alternativa, puoi compilare i campi obbligatori con l'output ottenuto durante la configurazione lato IdP. Non è necessario compilare i campi se carichi il file XML.

  • IdP Metadata (Optional) (Metadati IdP (facoltativo)): incolla qui l'URL pubblico del documento XML che contiene le informazioni dell'IdP o il testo del documento nella sua interezza. Looker analizzerà il file per compilare i campi obbligatori.

Se non hai caricato o incollato un documento XML dei metadati IdP, inserisci i dati di autenticazione IdP nei campi URL IdP, Emittente IdP e Certificato IdP.

  • URL IdP: l'URL a cui Looker si connette per autenticare gli utenti. In Okta, questo è chiamato URL di reindirizzamento.

  • IdP Issuer (Emittente IdP): l'identificatore univoco dell'IdP. In Okta, questa viene chiamata "External Key" (Chiave esterna).

  • Certificato IdP: la chiave pubblica per consentire a Looker di verificare la firma delle risposte dell'IdP.

Presi insieme, questi tre campi consentono a Looker di confermare che un insieme di asserzioni SAML firmate provenga effettivamente da un IdP attendibile.

  • Entità SP/Pubblico IdP: questo campo non è obbligatorio per Looker, ma molti IdP lo richiedono. Se inserisci un valore in questo campo, questo verrà inviato al tuo IdP come Entity ID di Looker nelle richieste di autorizzazione. In questo caso, Looker accetterà solo le risposte di autorizzazione che hanno questo valore come Audience. Se l'IdP richiede un valore Audience, inserisci la stringa qui.
  • Deviazione del clock consentita: il numero di secondi di deviazione del clock (la differenza nei timestamp tra l'IdP e Looker) consentiti. In genere, questo valore è quello predefinito, ovvero 0, ma alcuni IdP potrebbero richiedere un margine di tolleranza aggiuntivo per consentire l'accesso.

Impostazioni degli attributi utente

Nei campi seguenti, specifica il nome dell'attributo nella configurazione SAML dell'IdP che contiene le informazioni corrispondenti per ogni campo. L'inserimento dei nomi degli attributi SAML indica a Looker come mappare questi campi ed estrarre le relative informazioni al momento dell'accesso. Looker non ha preferenze su come vengono strutturate queste informazioni, è importante solo che il modo in cui le inserisci in Looker corrisponda al modo in cui gli attributi sono definiti nel tuo IdP. Looker fornisce suggerimenti predefiniti su come creare questi input.

Attributi standard

Dovrai specificare i seguenti attributi standard:

  • Email Attr (Attributo email): il nome dell'attributo utilizzato dall'IdP per gli indirizzi email degli utenti.

  • FName Attr: il nome dell'attributo utilizzato dall'IdP per i nomi degli utenti.

  • LName Attr: il nome dell'attributo utilizzato dall'IdP per i cognomi degli utenti.

Associazione degli attributi SAML agli attributi utente Looker

Se vuoi, puoi utilizzare i dati degli attributi SAML per compilare automaticamente i valori negli attributi utente di Looker quando un utente accede. Ad esempio, se hai configurato SAML per creare connessioni specifiche per l'utente al tuo database, puoi accoppiare gli attributi SAML con gli attributi utente di Looker per rendere le connessioni al database specifiche per l'utente in Looker.

Per associare gli attributi SAML agli attributi utente di Looker corrispondenti:

  1. Inserisci il nome dell'attributo SAML nel campo Attributo SAML e il nome dell'attributo utente di Looker a cui vuoi associarlo nel campo Attributi utente di Looker.
  2. Seleziona Obbligatorio se vuoi richiedere un valore dell'attributo SAML per consentire a un utente di accedere.
  3. Fai clic su + e ripeti questi passaggi per aggiungere altre coppie di attributi.

Per associare gli attributi utente SAML agli attributi utente Looker corrispondenti o gestire le associazioni esistenti, segui questi passaggi:

  1. Nella sezione Impostazioni degli attributi utente, fai clic sul pulsante Gestisci accoppiamenti per aprire il riquadro laterale Gestisci accoppiamenti.
  2. Nel campo Claim (Rivendicazione), inserisci il nome dell'attributo SAML che vuoi accoppiare. Puoi inserire ogni nome di rivendicazione una sola volta. Se vuoi associare un'attestazione a più attributi di Looker, puoi inserire più attributi nel campo Attributi utente di Looker.
  3. Nel campo Attributi utente di Looker viene visualizzato un elenco a discesa degli attributi utente di Looker per l'istanza. Seleziona il nome dell'attributo utente di Looker che vuoi associare all'attributo SAML. Puoi selezionare più attributi utente Looker per una rivendicazione, ma devi selezionarne almeno uno.
  4. Seleziona la casella di controllo Obbligatorio se vuoi richiedere un valore dell'attributo SAML per consentire a un utente di accedere.
  5. Fai clic sul pulsante Aggiungi accoppiamento per aggiungere un'altra riga di accoppiamento all'elenco. Ripeti questi passaggi per aggiungere altre coppie di attributi.
  6. A destra di ogni riga di accoppiamento è presente un'icona Rimuovi accoppiamento. Fai clic su questa icona per rimuovere un accoppiamento di attributi dalla tua istanza.
  7. Fai clic sull'icona Chiudi per uscire dal riquadro laterale Gestisci accoppiamenti.
  8. Testa la configurazione SAML.
  9. Verifica la configurazione SAML e, in fondo alla pagina SAML Authentication (Autenticazione SAML), seleziona la casella di controllo I have verified the SAML configuration (Ho verificato la configurazione SAML).
  10. Fai clic sul pulsante Enable SAML (Attiva SAML) o Update SAML Settings (Aggiorna impostazioni SAML) per salvare gli accoppiamenti degli attributi utente SAML.

Il riquadro laterale Gestisci accoppiamenti include anche i seguenti strumenti:

  • Il menu dei filtri Elenco filtri e la barra di ricerca. Utilizza questi strumenti per cercare gli accoppiamenti già aggiunti alla tua istanza.
  • Il menu a discesa di impaginazione Visualizza. Utilizza questo menu per visualizzare 10, 25, 50 o 100 accoppiamenti in ogni pagina.

Gruppi e ruoli

Puoi fare in modo che Looker crei gruppi che rispecchiano i tuoi gruppi SAML gestiti esternamente e poi assegnare a questi utenti ruoli di Looker basati sui gruppi SAML di cui è stato eseguito il mirroring. Quando apporti modifiche all'iscrizione al gruppo SAML, queste modifiche verranno applicate agli utenti del gruppo Looker al successivo accesso a Looker.

Il mirroring dei gruppi SAML ti consente di utilizzare la directory SAML definita esternamente per gestire i gruppi e gli utenti di Looker. In questo modo, puoi gestire la tua appartenenza al gruppo per più strumenti Software as a Service (SaaS), come Looker, in un unico posto.

Se attivi l'opzione Esegui il mirroring dei gruppi SAML, Looker creerà un gruppo Looker per ogni gruppo SAML introdotto nel sistema. Questi gruppi di Looker possono essere visualizzati nella pagina Groups (Gruppi) della sezione Admin (Amministrazione) di Looker. I gruppi possono essere utilizzati per assegnare ruoli ai membri del gruppo, impostare controlli di accesso ai contenuti e assegnare attributi utente.

Gruppi e ruoli predefiniti

Per impostazione predefinita, l'opzione Mirror SAML Groups è disattivata. In questo caso, puoi impostare un gruppo predefinito per i nuovi utenti SAML. Nei campi Nuovi gruppi di utenti e Nuovi ruoli utente, inserisci i nomi di eventuali gruppi o ruoli di Looker a cui vuoi assegnare i nuovi utenti di Looker al primo accesso a Looker:

Questi gruppi e ruoli vengono applicati ai nuovi utenti al primo accesso. I gruppi e i ruoli non vengono applicati agli utenti esistenti e non vengono riapplicati se vengono rimossi dagli utenti dopo il loro accesso iniziale.

Se in un secondo momento attivi i gruppi SAML di cui è stato eseguito il mirroring, questi valori predefiniti verranno rimossi per gli utenti al successivo accesso e sostituiti dai ruoli assegnati nella sezione Gruppi SAML di cui è stato eseguito il mirroring. Queste opzioni predefinite non saranno più disponibili o assegnate e verranno completamente sostituite dalla configurazione dei gruppi con mirroring.

Attivazione del mirroring dei gruppi SAML

Se utilizzi un'istanza di Looker (Google Cloud core), ti consigliamo di attivare il mirroring dei gruppi solo per il metodo di autenticazione principale e di non attivarlo per l'autenticazione OAuth di backup. Se attivi il mirroring dei gruppi sia per il metodo di autenticazione principale sia per quello secondario, si verificheranno i seguenti comportamenti:

  • Se un utente ha unito le identità, il mirroring dei gruppi corrisponderà al metodo di autenticazione principale, indipendentemente dal metodo di autenticazione effettivo utilizzato per accedere.
  • Se un utente non ha identità unite, il mirroring dei gruppi corrisponderà al metodo di autenticazione utilizzato per accedere.

Procedura per attivare i gruppi con mirroring

Se scegli di eseguire il mirroring dei gruppi SAML in Looker, attiva l'opzione Esegui il mirroring dei gruppi SAML. Looker mostra le seguenti impostazioni:

Group Finder Strategy (Strategia di ricerca dei gruppi): seleziona il sistema utilizzato dall'IdP per assegnare i gruppi, che dipende dall'IdP.

  • Quasi tutti gli IdP utilizzano un singolo valore dell'attributo per assegnare i gruppi, come mostrato in questa asserzione SAML di esempio: none <saml2:Attribute Name='Groups'> <saml2:AttributeValue >Everyone</saml2:AttributeValue> <saml2:AttributeValue >Admins</saml2:AttributeValue> </saml2:Attribute> In questo caso, seleziona Gruppi come valori di singoli attributi.

  • Alcuni IdP utilizzano un attributo separato per ogni gruppo e poi richiedono un secondo attributo per determinare se un utente è membro di un gruppo. Di seguito è riportata un'asserzione SAML di esempio che mostra questo sistema: none <saml2:Attribute Name='group_everyone'> <saml2:AttributeValue >yes</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute Name='group_admins'> <saml2:AttributeValue >no</saml2:AttributeValue> </saml2:Attribute> In questo caso, seleziona Gruppi come attributi individuali con valore di appartenenza.

Attributo gruppi: Looker visualizza questo campo quando l'opzione Strategia di ricerca gruppi è impostata su Gruppi come valori di un singolo attributo. Inserisci il nome dell'attributo di gruppo utilizzato dall'IdP.

Group Member Value (Valore membro del gruppo): Looker visualizza questo campo quando l'opzione Group Finder Strategy (Strategia di ricerca dei gruppi) è impostata su Groups as individual attributes with membership value (Gruppi come attributi individuali con valore di appartenenza). Inserisci il valore che indica che un utente è membro di un gruppo.

Il pulsante Gestisci gruppi: fai clic su questo pulsante per aprire il riquadro laterale Gestisci gruppi, in cui puoi aggiungere, rimuovere o modificare un gruppo personalizzato o i ruoli assegnati al gruppo corrispondente in Looker. Il riquadro laterale Gestisci gruppi mostra i seguenti campi:

  • Un campo Nome gruppo preferito. Inserisci un nome personalizzato per il gruppo sottoposto a mirroring in questo campo. Questo è il nome che verrà visualizzato nella pagina Groups (Gruppi) della sezione Admin (Amministrazione) di Looker.

  • Il campo Nome gruppo SAML. Inserisci il gruppo SAML in questo campo. Per gli utenti Okta, inserisci il nome del gruppo Okta come ID gruppo SAML. Gli utenti SAML inclusi nel gruppo SAML verranno aggiunti al gruppo di cui è stato eseguito il mirroring in Looker.

  • Un campo Ruolo. In questo campo, seleziona uno o più ruoli di Looker che verranno assegnati a ogni utente del gruppo.

  • Un'icona Rimuovi mappatura. Fai clic su questa icona per rimuovere un gruppo sottoposto a mirroring dall'istanza di Looker. Se elimini un gruppo, questo non verrà più sottoposto a mirroring in Looker e ai suoi membri non verranno più assegnati i ruoli in Looker tramite quel gruppo.

Il riquadro laterale Gestisci gruppi include anche i seguenti strumenti:

  • Il menu dei filtri Elenco filtri e la barra di ricerca. Utilizza questi strumenti per cercare i gruppi che sono già stati aggiunti alla tua istanza.

  • Il pulsante Aggiungi mappatura. Fai clic su questo pulsante per aggiungere un gruppo personalizzato all'istanza.

Modifica dei gruppi sottoposti a mirroring

Se modifichi un gruppo sottoposto a mirroring configurato in precedenza in questa schermata, la configurazione del gruppo cambierà, ma il gruppo stesso rimarrà invariato. Ad esempio, puoi modificare il nome del gruppo Looker di un gruppo, il che cambierà il modo in cui il gruppo viene visualizzato nella pagina Gruppi di Looker, ma non cambierà i ruoli assegnati e i membri del gruppo. La modifica del nome del gruppo SAML manterrebbe il nome e i ruoli del gruppo, ma i membri del gruppo verrebbero riassegnati in base agli utenti che sono membri del gruppo SAML esterno con il nuovo nome del gruppo SAML.

Le modifiche apportate a un gruppo sottoposto a mirroring verranno applicate agli utenti di quel gruppo al successivo accesso a Looker.

Gestione avanzata dei ruoli

Se hai attivato l'opzione Mirror SAML Groups, Looker mostra queste impostazioni. Le opzioni di questa sezione determinano il livello di flessibilità di cui dispongono gli amministratori di Looker durante la configurazione dei gruppi e degli utenti di Looker di cui è stato eseguito il mirroring da SAML.

Ad esempio, se vuoi che la configurazione di utenti e gruppi di Looker corrisponda esattamente alla configurazione SAML, attiva queste opzioni. Quando tutte le prime tre opzioni sono abilitate, gli amministratori di Looker non possono modificare le iscrizioni ai gruppi di cui è stato eseguito il mirroring e possono assegnare ruoli agli utenti solo tramite i gruppi SAML di cui è stato eseguito il mirroring.

Se vuoi avere maggiore flessibilità per personalizzare i gruppi in Looker, disattiva queste opzioni. I tuoi gruppi Looker continueranno a rispecchiare la configurazione SAML, ma potrai eseguire ulteriori operazioni di gestione di gruppi e utenti all'interno di Looker, ad esempio aggiungere utenti SAML a gruppi specifici di Looker o assegnare ruoli Looker direttamente agli utenti SAML.

Per le nuove istanze di Looker o per le istanze che non hanno gruppi con mirroring configurati in precedenza, queste opzioni sono disattivate per impostazione predefinita.

Per le istanze di Looker esistenti che hanno configurato gruppi sottoposti a mirroring, queste opzioni sono attive per impostazione predefinita.

La sezione Gestione avanzata dei ruoli contiene le seguenti opzioni:

Impedisci ai singoli utenti SAML di ricevere ruoli diretti: l'attivazione di questa opzione impedisce agli amministratori di Looker di assegnare i ruoli di Looker direttamente agli utenti SAML. Gli utenti SAML riceveranno i ruoli solo tramite le iscrizioni ai gruppi. Se agli utenti SAML è consentita l'iscrizione ai gruppi Looker integrati (non sottoposti a mirroring), possono comunque ereditare i ruoli sia dai gruppi SAML sottoposti a mirroring sia dai gruppi Looker integrati. I ruoli assegnati direttamente agli utenti SAML verranno rimossi al successivo accesso.

Se questa opzione è disattivata, gli amministratori di Looker possono assegnare ruoli di Looker direttamente agli utenti SAML come se fossero configurati direttamente in Looker.

Impedisci l'iscrizione diretta ai gruppi non SAML: l'attivazione di questa opzione impedisce agli amministratori di Looker di aggiungere utenti SAML direttamente ai gruppi Looker integrati. Se i gruppi SAML di cui è stato eseguito il mirroring possono essere membri di gruppi Looker integrati, gli utenti SAML possono mantenere l'iscrizione a tutti i gruppi Looker principali. Gli utenti SAML a cui erano stati assegnati gruppi Looker integrati verranno rimossi da questi gruppi al successivo accesso.

Se questa opzione è disattivata, gli amministratori di Looker possono aggiungere utenti SAML direttamente ai gruppi Looker integrati.

Impedisci l'ereditarietà dei ruoli dai gruppi non SAML: l'attivazione di questa opzione impedisce ai membri dei gruppi SAML di cui è stato eseguito il mirroring di ereditare i ruoli dai gruppi Looker integrati. Gli utenti SAML che in precedenza hanno ereditato ruoli da un gruppo Looker principale perderanno questi ruoli al successivo accesso.

Se questa opzione è disattivata, i gruppi SAML di cui è stato eseguito il mirroring o gli utenti SAML aggiunti come membri di un gruppo Looker integrato erediteranno i ruoli assegnati al gruppo Looker principale.

Auth Requires Role: se questa opzione è attiva, gli utenti SAML devono avere un ruolo assegnato. Gli utenti SAML a cui non è stato assegnato un ruolo non potranno accedere a Looker.

Se questa opzione è disattivata, gli utenti SAML possono autenticarsi su Looker anche se non è stato assegnato loro alcun ruolo. Un utente a cui non è stato assegnato alcun ruolo non potrà visualizzare dati o eseguire azioni in Looker, ma potrà accedere a Looker.

Disattivazione del mirroring dei gruppi SAML

Se vuoi interrompere il mirroring dei gruppi SAML all'interno di Looker, disattiva l'opzione Esegui il mirroring dei gruppi SAML. La disattivazione dell'opzione comporta il seguente comportamento:

  • Qualsiasi gruppo SAML di mirroring senza utenti viene eliminato immediatamente.
  • Qualsiasi gruppo SAML mirror che contiene utenti viene contrassegnato come orfano. Se nessun utente di questo gruppo accede entro 31 giorni, il gruppo viene eliminato. Gli utenti non possono più essere aggiunti o rimossi dai gruppi SAML orfani.

Opzioni di migrazione

Accesso alternativo per amministratori e utenti specificati

Gli accessi con email e password di Looker sono sempre disattivati per gli utenti regolari quando è attivata l'autenticazione SAML. Questa opzione consente l'accesso alternativo con un indirizzo email utilizzando /login/email per gli amministratori e gli utenti specificati con l'autorizzazione login_special_email.

L'attivazione di questa opzione è utile come alternativa durante la configurazione dell'autenticazione SAML, se in un secondo momento si verificano problemi di configurazione con SAML o se occorre supportare alcuni utenti che non hanno un account nella tua directory SAML. L'endpoint /login/email non può essere completamente disattivato o nascosto, perché funge da meccanismo di riserva fondamentale per garantire che gli amministratori possano riottenere l'accesso se la configurazione SAML principale non funziona o è configurata in modo errato. Se un amministratore si blocca accidentalmente durante la configurazione della lista consentita di IP, contatta l'assistenza Google Cloud per il recupero.

Rimozione delle credenziali email legacy per gli utenti SAML

Quando l'autenticazione SAML è attivata, gli accessi standard con email e password di Looker sono disattivati per gli utenti regolari nella UI di Looker, ma le credenziali email esistenti rimangono associate agli account utente. Per rimuovere definitivamente le credenziali email da un account utente (ad esempio, per rispettare le policy di sicurezza o per impedire l'invio di email di notifica automatiche attivate da tentativi di accesso non autorizzati), gli amministratori devono utilizzare l'API Looker.

Per eliminare le credenziali email di un singolo utente, utilizza l'endpoint DELETE /users/{user_id}/credentials_email nell'API Looker.

Per eliminare le credenziali email collettivamente, puoi utilizzare gli script dell'API Looker o gli strumenti di gestione collettiva degli utenti (come Looker Admin Power Pack open source).

Specifica il metodo utilizzato per unire gli utenti SAML a un account Looker

Nel campo Unisci utenti utilizzando, specifica il metodo da utilizzare per unire un primo accesso SAML a un account utente esistente. Puoi unire gli utenti dai seguenti sistemi:

  • Email/password di Looker (non disponibile per Looker (Google Cloud core))
  • Google
  • LDAP (non disponibile per Looker (Google Cloud core))
  • OIDC

Se hai più di un sistema, puoi specificare più di un sistema in base al quale eseguire l'unione in questo campo. Looker cercherà gli utenti nei sistemi elencati nell'ordine in cui sono specificati. Ad esempio, supponiamo di aver creato alcuni utenti utilizzando l'email e la password di Looker, poi di aver attivato LDAP e ora di voler utilizzare SAML. Looker eseguirà l'unione prima in base a email e password e poi in base a LDAP.

Quando un utente accede per la prima volta tramite SAML, questa opzione lo connette al suo account esistente trovando l'account con un indirizzo email corrispondente. Se non esiste un account per l'utente, ne verrà creato uno nuovo.

Gestione delle modifiche al dominio IdP

Se il dominio del tuo provider di identità (IdP) cambia, l'attributo saml_user_id viene sovrascritto automaticamente con il nuovo valore al primo accesso riuscito dell'utente con il nuovo dominio. Gli amministratori di Looker non devono modificare o riconfigurare manualmente questo attributo gestito dal sistema in Looker.

Per garantire una transizione senza problemi, segui questi passaggi:

  1. Aggiorna l'attributo Email degli utenti di Looker con l'indirizzo email del nuovo dominio.
  2. Assicurati che l'opzione Unisci utenti utilizzando sia configurata per consentire l'unione via email.

Unione degli utenti quando si utilizza Looker (Google Cloud core)

Quando utilizzi Looker (Google Cloud core) e SAML, l'unione funziona come descritto nella sezione precedente. Tuttavia, ciò è possibile solo se viene soddisfatta una delle due condizioni seguenti:

  1. Condizione 1: gli utenti si autenticano in Looker (Google Cloud core) utilizzando le proprie Google Identity tramite il protocollo SAML.

  2. Condizione 2: prima di selezionare l'opzione di unione, hai completato i seguenti due passaggi:

Se l'istanza non soddisfa una di queste due condizioni, l'opzione Unisci utenti utilizzando non sarà disponibile.

Durante l'unione, Looker (Google Cloud core) cercherà i record utente che condividono lo stesso indirizzo email.

Testa l'autenticazione utente

Fai clic sul pulsante Test per testare le impostazioni. I test verranno reindirizzati al server e apriranno una scheda del browser. La scheda mostra:

  • Se Looker è riuscito a comunicare con il server ed eseguire la convalida.
  • I nomi che Looker riceve dal server. Devi verificare che il server restituisca i risultati corretti.
  • Una traccia per mostrare come sono state trovate le informazioni. Utilizza la traccia per risolvere i problemi se le informazioni non sono corrette. Se hai bisogno di ulteriori informazioni, puoi leggere il file XML non elaborato del server.

Suggerimenti:

  • Puoi eseguire questo test in qualsiasi momento, anche se SAML è configurato parzialmente. L'esecuzione di un test può essere utile durante la configurazione per vedere quali parametri devono essere configurati.
  • Il test utilizza le impostazioni inserite nella pagina Autenticazione SAML, anche se non sono state salvate. Il test non influirà né modificherà alcuna impostazione della pagina.
  • Durante il test, Looker trasmette le informazioni all'IdP utilizzando il parametro SAML RelayState. L'IdP deve restituire questo valore RelayState a Looker senza modifiche.

Salva e applica le impostazioni

Una volta inserite le informazioni e superati tutti i test, seleziona Ho confermato la configurazione riportata sopra e voglio abilitarne l'applicazione a livello globale e fai clic su Aggiorna impostazioni per salvare.

Comportamento di accesso degli utenti

Quando un utente tenta di accedere a un'istanza Looker utilizzando SAML, Looker si apre nella pagina Log In (Accedi). L'utente deve fare clic sul pulsante Autentica per avviare l'autenticazione tramite SAML.

Questo è il comportamento predefinito se l'utente non ha già una sessione Looker attiva.

Se vuoi che gli utenti accedano direttamente alla tua istanza di Looker dopo che l'IdP li ha autenticati e bypassino la pagina Accedi, attiva Bypassa la pagina di accesso in Comportamento di accesso.

Se utilizzi Looker (Original), la funzionalità Bypass Login Page (Ignora pagina di accesso) deve essere attivata da Looker. Per aggiornare la licenza per questa funzionalità, contatta un Google Cloud esperto di vendita o apri una richiesta di assistenza. Se utilizzi Looker (Google Cloud core), l'opzione Ignora pagina di accesso è disponibile automaticamente se SAML viene utilizzato come metodo di autenticazione principale ed è disattivata per impostazione predefinita.

Quando l'opzione Ignora pagina di accesso è abilitata, la sequenza di accesso dell'utente è la seguente:

  1. L'utente tenta di connettersi a un URL di Looker (ad esempio instance_name.looker.com).

  2. Looker determina se l'utente ha già una sessione attiva abilitata. A questo scopo, Looker utilizza il cookie AUTH-MECHANISM-COOKIE per identificare il metodo di autorizzazione utilizzato dall'utente nell'ultima sessione. Il valore è sempre uno dei seguenti: saml, ldap, oidc, google o email.

  3. Se l'utente ha una sessione attiva abilitata, viene indirizzato all'URL richiesto.

  4. Se l'utente non ha una sessione attiva abilitata, viene reindirizzato all'IdP. L'IdP autentica l'utente quando accede correttamente all'IdP. Looker autentica quindi l'utente quando l'IdP lo rimanda a Looker con informazioni che indicano che l'utente è autenticato con l'IdP.

  5. Se l'autenticazione presso l'IdP è andata a buon fine, Looker convalida le asserzioni SAML, accetta l'autenticazione, aggiorna le informazioni dell'utente e lo inoltra all'URL richiesto, ignorando la pagina Accedi.

  6. Se l'utente non riesce ad accedere all'IdP o se non è autorizzato dall'IdP a utilizzare Looker, a seconda dell'IdP, rimarrà sul sito dell'IdP o verrà reindirizzato alla pagina di accesso di Looker.

Risoluzione dei problemi

Per risolvere i problemi di autenticazione, controlla la dashboard Attività utente in Attività di sistema. Questa dashboard contiene riquadri che mostrano gli errori di accesso recenti e include il metodo di autenticazione utilizzato, il messaggio di errore restituito e l'ora del tentativo.

Errori di provisioning JIT SAML e conflitti di unione

Gli utenti potrebbero visualizzare l'errore "La pagina non esiste o non hai l'autorizzazione per visualizzarla" durante il provisioning JIT (Just-In-Time) SAML per le visualizzazioni di Looker incorporate. Nel riquadro Utenti, questi utenti potrebbero apparire come se non avessero mai eseguito l'accesso con SAML e avere una credenziale attiva di Email anziché SAML. Inoltre, gli amministratori che tentano di eseguire il comando sudo come utente visualizzano la schermata "Aggiorna il tuo account".

Questo problema si verifica a causa di un conflitto di unione degli utenti che si verifica quando Looker identifica un account preesistente con lo stesso indirizzo email dell'asserzione SAML, ma l'account è stato creato con l'email come credenziale principale. A causa di questo conflitto, Looker utilizza per impostazione predefinita la credenziale Email e ignora la mappatura dei gruppi e dei ruoli JIT fornita da SAML, lasciando l'utente con autorizzazioni "Nessun accesso" nonostante l'autenticazione sia andata a buon fine.

Per risolvere il problema, utilizza la seguente soluzione alternativa:

  1. Nel riquadro Amministrazione di Looker, vai ad Amministrazione > SAML.
  2. In Opzioni nuovo utente (o Opzioni di migrazione, a seconda della versione di Looker), verifica che l'impostazione Merge Users Using sia configurata su Looker Email/Password.
  3. Se l'utente interessato esiste già con una credenziale Email e non ha contenuti critici allegati, elimina l'account utente esistente basato sull'email. Questa eliminazione consente a Looker, al successivo accesso dell'utente, di creare un nuovo record utente basato solo sull'asserzione SAML.

Risposta SAML oltre il limite

Se gli utenti che tentano di eseguire l'autenticazione ricevono errori che indicano che la risposta SAML ha superato le dimensioni massime, puoi aumentare le dimensioni massime consentite per la risposta SAML.

Per le istanze ospitate da Looker, apri una richiesta di assistenza per aggiornare la dimensione massima della risposta SAML.

Per le istanze di Looker ospitate dal cliente, puoi impostare la dimensione massima della risposta SAML in numero di byte con la variabile di ambiente MAX_SAML_RESPONSE_BYTESIZE. Ad esempio:

export MAX_SAML_RESPONSE_BYTESIZE=500000

La dimensione massima predefinita della risposta SAML è 250.000 byte.

Attributi di gruppo SAML mancanti per Okta

L'applicazione Okta Identity Provider deve essere configurata in modo da includere l'attributo Groups nelle sue asserzioni SAML. Vedi il seguente esempio:

<saml2:Attribute Name='Groups'>

Per assicurarti che l'attributo Groups sia presente e formattato correttamente, verifica il payload SAML in Looker utilizzando l'opzione Test SAML Authentication (Testa autenticazione SAML).