Configurações de administrador: autenticação SAML

A página SAML na seção Autenticação do menu Administrador permite configurar o Looker para autenticar usuários usando a Linguagem de marcação para autorização de segurança (SAML). Nesta página, descrevemos esse processo e incluímos instruções para vincular grupos SAML a papéis e permissões do Looker.

Requisitos

O Looker exibe a página SAML na seção Autenticação do menu Administrador somente se as seguintes condições forem atendidas:

Se essas condições forem atendidas e você não encontrar a página SAML, abra uma solicitação de suporte para ativar o SAML na sua instância.

SAML e provedores de identidade

As empresas usam diferentes provedores de identidade (IdPs) para coordenar com o SAML (por exemplo, Okta ou OneLogin). Os termos usados nas instruções de configuração a seguir e na UI podem não corresponder diretamente aos usados pelo seu IdP. Para esclarecimentos durante a configuração, entre em contato com sua equipe interna de SAML ou autenticação ou com o suporte do Looker.

O Looker pressupõe que as solicitações e declarações SAML serão compactadas. Verifique se o IdP está configurado dessa forma. As solicitações do Looker para o IdP não são assinadas.

O Looker é compatível com o login iniciado pelo IdP.

Parte do processo de configuração precisa ser concluída no site do IdP.

O Okta oferece um app do Looker, que é a maneira recomendada de configurar o Looker e o Okta juntos.

Como configurar o Looker no seu provedor de identidade

Seu IdP SAML vai precisar do URL da instância do Looker para onde ele deve POSTar declarações SAML. No IdP, esse campo pode ser chamado de "URL de postback", "Destinatário" ou "Destino", entre outros nomes.

As informações a serem fornecidas são o URL em que você normalmente acessa sua instância do Looker usando o navegador, seguido por /samlcallback. Por exemplo: none https://instance_name.looker.com/samlcallback

ou

https://looker.mycompany.com/samlcallback

Alguns IdPs também exigem que você adicione :9999 depois do URL da instância. Exemplo:

https://instance_name.looker.com:9999/samlcallback

Informações importantes

Lembre-se do seguinte:

  • O Looker exige SAML 2.0.
  • Não desative a autenticação SAML enquanto estiver conectado ao Looker por SAML, a menos que você tenha um login de conta alternativo configurado. Caso contrário, você pode perder o acesso ao app.
  • O Looker pode migrar contas atuais para SAML usando endereços de e-mail que vêm das configurações atuais de e-mail e senha ou do Google Auth, LDAP ou OIDC. Você poderá configurar como as contas atuais serão migradas no processo de configuração.

Primeiros passos

Para configurar a autenticação SAML na sua instância do Looker, selecione SAML na seção Autenticação do painel Administrador. Na página SAML Authentication, selecione Configure SAML para ver as seguintes opções de configuração.

Configurações de autenticação SAML

O Looker exige o URL do IdP, o emissor do IdP e o certificado do IdP para autenticar seu IdP.

Seu IdP pode oferecer um documento XML de metadados do IdP durante o processo de configuração do Looker no lado do IdP. Esse arquivo contém todas as informações solicitadas na seção Configurações de autenticação SAML. Se você tiver esse arquivo, faça o upload dele no campo Metadados do IdP, que vai preencher os campos obrigatórios nesta seção. Como alternativa, preencha os campos obrigatórios com a saída obtida durante a configuração do IdP. Não é necessário preencher os campos se você fizer upload do arquivo XML.

  • Metadados do IdP (opcional): cole o URL público do documento XML que contém as informações do IdP ou cole o texto completo do documento aqui. O Looker vai analisar esse arquivo para preencher os campos obrigatórios.

Se você não fez upload nem colou um documento XML de metadados do IdP, insira as informações de autenticação do IdP nos campos URL do IdP, Emissor do IdP e Certificado do IdP.

  • URL do IdP: o URL que o Looker vai acessar para autenticar os usuários. Ele é chamado de URL de redirecionamento no Okta.

  • Emissor do IdP: o identificador exclusivo do IdP. Isso é chamado de "External Key" no Okta.

  • Certificado do IdP: a chave pública para permitir que o Looker verifique a assinatura das respostas do IdP.

Juntos, esses três campos permitem que o Looker confirme se um conjunto de declarações SAML assinadas realmente veio de um IdP confiável.

  • Entidade SP/público-alvo do IdP: esse campo não é obrigatório para o Looker, mas muitos IdPs exigem que ele seja preenchido. Se você inserir um valor nesse campo, ele será enviado ao IdP como o Entity ID do Looker em solicitações de autorização. Nesse caso, o Looker só vai aceitar respostas de autorização que tenham esse valor como Audience. Se o IdP exigir um valor Audience, insira essa string aqui.
  • Desvio de relógio permitido: o número de segundos de desvio de relógio (a diferença nos carimbos de data/hora entre o IdP e o Looker) permitido. Esse valor geralmente é o padrão de 0, mas alguns IdPs podem exigir uma margem extra para que os logins sejam bem-sucedidos.

Configurações de atributos do usuário

Nos campos a seguir, especifique o nome do atributo na configuração SAML do IdP que contém as informações correspondentes para cada campo. Ao inserir os nomes dos atributos SAML, você informa ao Looker como mapear esses campos e extrair as informações deles no momento do login. O Looker não se importa com a forma como essas informações são construídas, mas é importante que a forma como você as insere no Looker corresponda à forma como os atributos são definidos no seu IdP. O Looker oferece sugestões padrão sobre como criar essas entradas.

Atributos padrão

Você precisa especificar estes atributos padrão:

  • Atributo de e-mail: o nome do atributo que seu IdP usa para os endereços de e-mail dos usuários.

  • FName Attr: o nome do atributo que seu IdP usa para os nomes dos usuários.

  • LName Attr: o nome do atributo que o IdP usa para os sobrenomes dos usuários.

Como parear atributos SAML com atributos de usuário do Looker

Se quiser, use os dados nos seus atributos SAML para preencher automaticamente os valores nos atributos de usuário do Looker quando um usuário fizer login. Por exemplo, se você configurou o SAML para fazer conexões específicas do usuário com seu banco de dados, é possível parear os atributos do SAML com os atributos do usuário do Looker para tornar as conexões de banco de dados específicas do usuário no Looker.

Para parear atributos SAML com os atributos de usuário correspondentes do Looker, siga estas etapas:

  1. Digite o nome do atributo SAML no campo Atributo SAML e o nome do atributo de usuário do Looker que você quer parear com ele no campo Atributos de usuário do Looker.
  2. Selecione Obrigatório se quiser exigir um valor de atributo SAML para permitir que um usuário faça login.
  3. Clique em + e repita essas etapas para adicionar mais pares de atributos.

Para parear atributos de usuário SAML com os atributos de usuário correspondentes do Looker ou gerenciar pareamentos, siga estas etapas:

  1. Na seção Configurações de atributos do usuário, clique no botão Gerenciar pareamentos para abrir o painel lateral Gerenciar pareamentos.
  2. No campo Declaração, digite o nome do atributo SAML que você quer parear. Só é possível inserir cada nome de declaração uma vez. Se você quiser associar uma declaração a vários atributos do Looker, insira vários atributos no campo Atributos de usuário do Looker.
  3. No campo Atributos do usuário do Looker, aparece uma lista suspensa de atributos do usuário do Looker para a instância. Selecione o nome do atributo de usuário do Looker que você quer associar ao atributo SAML. É possível selecionar vários atributos de usuário do Looker para uma declaração, mas é obrigatório selecionar pelo menos um.
  4. Marque a caixa de seleção Obrigatório se quiser exigir um valor de atributo SAML para permitir que um usuário faça login.
  5. Clique no botão Adicionar pareamento para incluir outra linha de pareamento na lista. Repita essas etapas para adicionar mais pares de atributos.
  6. À direita de cada linha de pareamento, há um ícone Remover pareamento. Clique nesse ícone para remover um pareamento de atributos da sua instância.
  7. Clique no ícone Fechar para sair do painel lateral Gerenciar pareamentos.
  8. Teste sua configuração do SAML.
  9. Verifique sua configuração do SAML e, na parte de baixo da página Autenticação SAML, selecione a caixa de seleção Verifiquei a configuração do SAML.
  10. Clique no botão Ativar SAML ou Atualizar configurações do SAML para salvar os pareamentos de atributos de usuário do SAML.

O painel lateral Gerenciar pareamentos também inclui as seguintes ferramentas:

  • O menu de filtro Lista de filtros e a barra de pesquisa. Use essas ferramentas para pesquisar os pareamentos que já foram adicionados à sua instância.
  • O menu suspenso de paginação Exibir. Use esse menu para exibir 10, 25, 50 ou 100 pareamentos em cada página.

Grupos e funções

O Looker pode criar grupos que espelham seus grupos SAML gerenciados externamente e atribuir a esses usuários papéis do Looker com base nos grupos SAML espelhados. Quando você fizer mudanças na associação ao grupo do SAML, elas serão aplicadas aos usuários desse grupo do Looker no próximo login.

Com o espelhamento de grupos da SAML, é possível usar seu diretório da SAML definido externamente para gerenciar grupos e usuários do Looker. Isso, por sua vez, permite que você gerencie sua associação ao grupo para várias ferramentas de software como serviço (SaaS), como o Looker, em um só lugar.

Se você ativar a opção Espelhar grupos de SAML, o Looker vai criar um grupo para cada grupo de SAML introduzido no sistema. Esses grupos do Looker podem ser visualizados na página Grupos da seção Administrador do Looker. Os grupos podem ser usados para atribuir papéis aos participantes, definir controles de acesso ao conteúdo e atribuir atributos de usuário.

Grupos e papéis padrão

Por padrão, a chave Espelhar grupos da SAML fica desativada. Nesse caso, é possível definir um grupo padrão para novos usuários da SAML. Nos campos Novos grupos de usuários e Novas funções de usuário, insira os nomes dos grupos ou funções do Looker que você quer atribuir aos novos usuários do Looker quando eles fizerem login pela primeira vez:

Esses grupos e papéis são aplicados aos novos usuários no login inicial. Os grupos e papéis não são aplicados a usuários que já existiam e não são reaplicados se forem removidos dos usuários após o login inicial.

Se você ativar os grupos SAML espelhados, esses padrões serão removidos para os usuários no próximo login e substituídos pelos papéis atribuídos na seção Grupos SAML espelhados. Essas opções padrão não estarão mais disponíveis ou atribuídas e serão totalmente substituídas pela configuração de grupos espelhados.

Ativar o espelhamento de grupos de SAML

Se você estiver usando uma instância do Looker (Google Cloud Core), recomendamos que ative o espelhamento de grupo apenas para o método de autenticação principal e não para a autenticação OAuth de backup. Se você ativar o espelhamento de grupo para os métodos de autenticação principal e secundário, os seguintes comportamentos vão ocorrer:

  • Se um usuário tiver identidades mescladas, o espelhamento de grupo vai corresponder ao método de autenticação principal, independentemente do método de autenticação usado para fazer login.
  • Se um usuário não tiver identidades mescladas, o espelhamento de grupos vai corresponder ao método de autenticação usado para fazer login.

Etapas para ativar grupos espelhados

Se você quiser espelhar seus grupos de SAML no Looker, ative a opção Espelhar grupos de SAML. O Looker mostra estas configurações:

Estratégia de localização de grupos: selecione o sistema usado pelo IdP para atribuir grupos, que depende do IdP.

  • Quase todos os IdPs usam um único valor de atributo para atribuir grupos, conforme mostrado nesta amostra de declaração SAML: none <saml2:Attribute Name='Groups'> <saml2:AttributeValue >Everyone</saml2:AttributeValue> <saml2:AttributeValue >Admins</saml2:AttributeValue> </saml2:Attribute> Nesse caso, selecione Grupos como valores de atributos únicos.

  • Alguns IdPs usam um atributo separado para cada grupo e exigem um segundo atributo para determinar se um usuário é membro de um grupo. Confira a seguir um exemplo de declaração SAML que mostra esse sistema: none <saml2:Attribute Name='group_everyone'> <saml2:AttributeValue >yes</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute Name='group_admins'> <saml2:AttributeValue >no</saml2:AttributeValue> </saml2:Attribute> Nesse caso, selecione Grupos como atributos individuais com valor de associação.

Atributo de grupos: o Looker mostra esse campo quando a Estratégia do localizador de grupos está definida como Grupos como valores de um único atributo. Digite o nome do Atributo de grupos usado pelo IdP.

Valor do membro do grupo: o Looker mostra esse campo quando a Estratégia de localização de grupos está definida como Grupos como atributos individuais com valor de associação. Digite o valor que indica que um usuário é membro de um grupo.

Botão Gerenciar grupos: clique nesse botão para abrir o painel lateral Gerenciar grupos, onde é possível adicionar, remover ou editar um grupo personalizado ou as funções atribuídas ao grupo correspondente no Looker. O painel lateral Gerenciar grupos mostra os seguintes campos:

  • Um campo Nome do grupo preferido. Insira um nome personalizado para o grupo espelhado neste campo. Esse é o nome que vai aparecer na página Grupos da seção Administrador do Looker.

  • O campo Nome do grupo da SAML. Insira o grupo SAML neste campo. Para usuários do Okta, insira o nome do grupo do Okta como o ID do grupo SAML. Os usuários da SAML incluídos no grupo da SAML serão adicionados ao grupo espelhado no Looker.

  • Um campo Papel. Nesse campo, selecione uma ou mais funções do Looker que serão atribuídas a cada usuário no grupo.

  • Um ícone Remover mapeamento. Clique neste ícone para remover um grupo espelhado da sua instância do Looker. Se você excluir um grupo, ele não será mais espelhado no Looker, e os participantes não terão mais as funções atribuídas a eles no Looker por meio desse grupo.

O painel lateral Gerenciar grupos também inclui as seguintes ferramentas:

  • O menu de filtro e a barra de pesquisa da Lista de filtros. Use essas ferramentas para pesquisar os grupos que já foram adicionados à sua instância.

  • O botão Adicionar mapeamento. Clique neste botão para adicionar um grupo personalizado à instância.

Editar grupos espelhados

Se você editar um grupo espelhado que foi configurado anteriormente nessa tela, a configuração do grupo vai mudar, mas o grupo em si vai permanecer intacto. Por exemplo, você pode mudar o nome do grupo do Looker, o que mudaria a forma como ele aparece na página Grupos do Looker, mas não alteraria as funções atribuídas e os membros do grupo. Se você mudar o nome do grupo SAML, o nome e os papéis do grupo serão mantidos, mas os participantes do grupo serão reatribuídos com base nos usuários que são participantes do grupo SAML externo que tem o novo nome.

Todas as edições feitas em um grupo espelhado serão aplicadas aos usuários desse grupo quando eles fizerem login no Looker novamente.

Gerenciamento avançado de papéis

Se você ativou a chave Espelhar grupos SAML, o Looker mostra essas configurações. As opções nesta seção determinam a flexibilidade dos administradores do Looker ao configurar grupos e usuários espelhados da SAML.

Por exemplo, se você quiser que a configuração de grupos e usuários do Looker corresponda estritamente à configuração do SAML, ative essas opções. Quando as três primeiras opções estão ativadas, os administradores do Looker não podem modificar as associações de grupos espelhados e só podem atribuir papéis aos usuários por meio de grupos espelhados do SAML.

Se quiser mais flexibilidade para personalizar seus grupos no Looker, desative essas opções. Seus grupos do Looker ainda vão espelhar a configuração da SAML, mas você poderá fazer mais gerenciamento de grupos e usuários no Looker, como adicionar usuários da SAML a grupos específicos do Looker ou atribuir papéis do Looker diretamente a usuários da SAML.

Para novas instâncias do Looker ou para instâncias que não têm grupos espelhados configurados anteriormente, essas opções ficam desativadas por padrão.

Para instâncias do Looker que já têm grupos espelhados configurados, essas opções estão ativadas por padrão.

A seção Gerenciamento avançado de funções contém estas opções:

Impedir que usuários individuais da SAML recebam papéis diretos: ao ativar essa opção, os administradores do Looker não podem atribuir papéis do Looker diretamente aos usuários da SAML. Os usuários da SAML só vão receber papéis pelas associações a grupos. Se os usuários do SAML puderem participar de grupos integrados (não espelhados) do Looker, eles ainda poderão herdar os papéis dos grupos do SAML espelhados e dos grupos integrados do Looker. Os usuários SAML que receberam papéis diretamente terão esses papéis removidos no próximo login.

Se essa opção estiver desativada, os administradores do Looker poderão atribuir papéis do Looker diretamente aos usuários do SAML, como se tivessem sido configurados diretamente no Looker.

Impedir a associação direta a grupos que não são da SAML: ativar essa opção impede que os administradores do Looker adicionem usuários da SAML diretamente a grupos integrados do Looker. Se os grupos da SAML espelhados puderem ser membros de grupos integrados do Looker, os usuários da SAML poderão manter a associação a qualquer grupo principal do Looker. Os usuários da SAML que foram atribuídos a grupos integrados do Looker serão removidos desses grupos no próximo login.

Se essa opção estiver desativada, os administradores do Looker poderão adicionar usuários da SAML diretamente aos grupos integrados do Looker.

Impedir a herança de papéis de grupos que não são da SAML: ao ativar essa opção, os membros de grupos da SAML espelhados não herdam papéis de grupos integrados do Looker. Os usuários SAML que herdaram papéis de um grupo pai do Looker vão perder esses papéis no próximo login.

Se essa opção estiver desativada, os grupos SAML espelhados ou os usuários SAML adicionados como membros de um grupo integrado do Looker vão herdar os papéis atribuídos ao grupo pai do Looker.

A autenticação requer função: se essa opção estiver ativada, os usuários do SAML precisarão ter uma função atribuída. Os usuários do SAML que não tiverem uma função atribuída não poderão fazer login no Looker.

Se essa opção estiver desativada, os usuários do SAML poderão se autenticar no Looker mesmo que não tenham um papel atribuído. Um usuário sem função atribuída não poderá ver dados nem realizar ações no Looker, mas poderá fazer login no Looker.

Desativar o espelhamento de grupos de SAML

Se você quiser parar de espelhar seus grupos de SAML no Looker, desative a opção Espelhar grupos de SAML. Desativar a chave resulta no seguinte comportamento:

  • Qualquer grupo espelhado do SAML sem usuários é excluído imediatamente.
  • Qualquer grupo SAML espelhado que contém usuários é marcado como órfão. Se nenhum usuário desse grupo fizer login em até 31 dias, o grupo será excluído. Não é mais possível adicionar ou remover usuários de grupos SAML órfãos.

Opções de migração

Login alternativo para administradores e usuários especificados

Os logins por e-mail e senha do Looker são sempre desativados para usuários comuns quando a autenticação SAML está ativada. Essa opção permite o login alternativo com base em e-mail usando /login/email para administradores e usuários específicos com a permissão login_special_email.

Ativar essa opção é útil como alternativa durante a configuração da autenticação SAML, se ocorrerem problemas com essa configuração posteriormente ou caso seja preciso oferecer suporte a alguns usuários que não têm contas no seu diretório SAML. O endpoint /login/email não pode ser totalmente desativado ou ocultado, porque funciona como um mecanismo de fallback essencial para garantir que os administradores possam recuperar o acesso se a configuração principal do SAML falhar ou estiver incorreta. Se um administrador bloquear o próprio acesso acidentalmente ao configurar a lista de permissões de IP, entre em contato com o suporte do Google Cloud para recuperação.

Remoção de credenciais de e-mail legadas para usuários do SAML

Quando a autenticação SAML está ativada, os logins padrão de e-mail e senha do Looker são desativados para usuários comuns na interface do Looker, mas as credenciais de e-mail atuais permanecem associadas às contas de usuário. Para remover permanentemente as credenciais de e-mail de uma conta de usuário (por exemplo, para obedecer às políticas de segurança ou evitar e-mails de notificação automatizados acionados por tentativas de login não autorizadas), os administradores precisam usar a API Looker.

Para excluir as credenciais de e-mail de um usuário individual, use o endpoint DELETE /users/{user_id}/credentials_email na API Looker.

Para excluir credenciais de e-mail em massa, use scripts da API Looker ou ferramentas de gestão de usuários em massa, como o Looker Admin Power Pack (código aberto).

Especifique o método usado para mesclar usuários do SAML com uma conta do Looker

No campo Mesclar usuários usando, especifique o método a ser usado para mesclar um primeiro login do SAML com uma conta de usuário atual. Você pode mesclar usuários dos seguintes sistemas:

  • E-mail/senha do Looker (não disponível para o Looker (Google Cloud Core))
  • Google
  • LDAP (não disponível para o Looker (Google Cloud Core))
  • OIDC

Se você tiver mais de um sistema em vigor, poderá especificar mais de um sistema para mesclar neste campo. O Looker vai pesquisar os usuários nos sistemas listados na ordem em que são especificados. Por exemplo, suponha que você tenha criado alguns usuários usando o e-mail e a senha do Looker, ativado o LDAP e agora queira usar o SAML. O Looker mesclaria primeiro por e-mail e senha e depois por LDAP.

Quando um usuário faz login pela primeira vez usando a SAML, essa opção conecta o usuário à conta atual dele ao encontrar o endereço de e-mail correspondente. Se não houver uma conta para o usuário, uma nova será criada.

Como lidar com mudanças no domínio do IdP

Se o domínio do provedor de identidade (IdP) mudar, o saml_user_id será substituído automaticamente pelo novo valor no primeiro login do usuário com o novo domínio. Os administradores do Looker não precisam mudar ou reconfigurar manualmente esse atributo gerenciado pelo sistema no Looker.

Para facilitar a transição, siga estas etapas:

  1. Atualize o atributo E-mail dos usuários do Looker para o endereço de e-mail do novo domínio.
  2. Verifique se a opção Mesclar usuários usando está configurada para permitir a mesclagem por e-mail.

Mesclar usuários ao usar o Looker (Google Cloud Core)

Ao usar o Looker (Google Cloud Core) e o SAML, a mesclagem funciona conforme descrito na seção anterior. No entanto, isso só é possível se uma das duas condições a seguir for atendida:

  1. Condição 1: os usuários estão se autenticando no Looker (Google Cloud Core) usando as Google Identities pelo protocolo SAML.

  2. Condição 2: antes de selecionar a opção de mesclagem, você concluiu as duas etapas a seguir:

Se a instância não atender a uma dessas duas condições, a opção Mesclar usuários usando não estará disponível.

Ao fazer a mesclagem, o Looker (Google Cloud Core) vai procurar registros de usuários que compartilham o mesmo endereço de e-mail.

Testar a autenticação do usuário

Clique no botão Testar para testar suas configurações. Os testes vão redirecionar para o servidor e abrir uma guia do navegador. A guia mostra:

  • Se o Looker conseguiu se comunicar com o servidor e validar.
  • Os nomes que o Looker recebe do servidor. É preciso validar se o servidor retorna os resultados adequados.
  • Um rastreamento para mostrar como as informações foram encontradas. Use o trace para resolver problemas se as informações estiverem incorretas. Se precisar de mais informações, leia o arquivo XML bruto do servidor.

Dicas:

  • Você pode executar esse teste a qualquer momento, mesmo que o SAML esteja parcialmente configurado. Fazer um teste pode ser útil durante a configuração para ver quais parâmetros precisam ser configurados.
  • O teste usa as configurações inseridas na página Autenticação SAML, mesmo que elas não tenham sido salvas. O teste não vai afetar nem mudar as configurações dessa página.
  • Durante o teste, o Looker transmite informações ao IdP usando o parâmetro SAML RelayState. O IdP precisa retornar esse valor de RelayState ao Looker sem modificações.

Salvar e aplicar as configurações

Depois de inserir as informações e passar em todos os testes, selecione Confirmei a configuração acima e quero ativar a aplicação global dela e clique em Atualizar configurações para salvar.

Comportamento de login do usuário

Quando um usuário tenta fazer login em uma instância do Looker usando SAML, o Looker abre a página Fazer login. O usuário precisa clicar no botão Autenticar para iniciar a autenticação pelo SAML.

Esse é o comportamento padrão se o usuário ainda não tiver uma sessão do Looker ativa.

Se você quiser que os usuários façam login diretamente na sua instância do Looker depois que o IdP os autenticar e ignorar a página Fazer login, ative a opção Ignorar página de login em Comportamento de login.

Se você estiver usando o Looker (original), o recurso Ignorar página de login precisa ser ativado pelo Looker. Para atualizar sua licença para esse recurso, entre em contato com um especialista de vendas do Google Cloud ou abra uma solicitação de suporte. Se você estiver usando o Looker (Google Cloud Core), a opção Ignorar página de login vai estar disponível automaticamente se o SAML for usado como o método de autenticação principal e vai estar desativada por padrão.

Quando a opção Ignorar página de login está ativada, a sequência de login do usuário é a seguinte:

  1. O usuário tenta se conectar a um URL do Looker (por exemplo, instance_name.looker.com).

  2. O Looker determina se o usuário já tem uma sessão ativa ativada. Para isso, o Looker usa o cookie AUTH-MECHANISM-COOKIE para identificar o método de autorização usado pelo usuário na última sessão. O valor é sempre um destes: saml, ldap, oidc, google ou email.

  3. Se o usuário tiver uma sessão ativa, ele será direcionado ao URL solicitado.

  4. Se o usuário não tiver uma sessão ativa, ele será redirecionado para o IdP. O IdP autentica o usuário quando ele faz login com sucesso. Em seguida, o Looker autentica o usuário quando o IdP o envia de volta com informações indicando que ele está autenticado com o IdP.

  5. Se a autenticação no IdP for bem-sucedida, o Looker vai validar as declarações SAML, aceitar a autenticação, atualizar as informações do usuário e encaminhar o usuário para o URL solicitado, ignorando a página Fazer login.

  6. Se o usuário não conseguir fazer login no IdP ou não tiver autorização do IdP para usar o Looker, ele vai permanecer no site do IdP ou será redirecionado para a página de login do Looker, dependendo do IdP.

Solução de problemas

Para ajudar a resolver problemas de autenticação, confira o painel de atividades do usuário em Atividade do sistema. Esse painel tem blocos que mostram falhas de login recentes e incluem o método de autenticação usado, a mensagem de erro retornada e o horário da tentativa.

Falhas no provisionamento JIT do SAML e conflitos de mesclagem

Os usuários podem encontrar o erro "Essa página não existe ou você não tem permissão para visualizá-la" durante o provisionamento Just-in-Time (JIT) do SAML para visualizações incorporadas do Looker. No painel Usuários, esses usuários podem aparecer como se nunca tivessem feito login com SAML e ter uma credencial ativa de E-mail em vez de SAML. Além disso, os administradores que tentam usar o sudo como o usuário encontram uma tela "Atualize sua conta".

Esse problema ocorre devido a um conflito de mesclagem de usuários que ocorre quando o Looker identifica uma conta preexistente com o mesmo endereço de e-mail da declaração SAML, mas essa conta foi estabelecida com E-mail como credencial principal. Devido a esse conflito, o Looker usa por padrão a credencial de e-mail e ignora o papel JIT e o mapeamento de grupo fornecidos pela SAML, deixando o usuário com permissões de "Sem acesso" apesar da autenticação bem-sucedida.

Para resolver esse problema, use a seguinte solução alternativa:

  1. No painel Administrador do Looker, acesse Administrador > SAML.
  2. Em Opções para novos usuários (ou Opções de migração, dependendo da versão do Looker), verifique se a configuração Mesclar usuários usando está definida como E-mail/senha do Looker.
  3. Se o usuário afetado já existir com uma credencial de e-mail e não tiver conteúdo crítico anexado, exclua a conta de usuário baseada em e-mail. Essa exclusão permite que o Looker, no próximo login do usuário, crie um novo registro de usuário baseado apenas na declaração SAML.

Resposta SAML excedendo o limite

Se os usuários que estão tentando se autenticar receberem erros indicando que a resposta SAML excedeu o tamanho máximo, você poderá aumentar o tamanho máximo permitido da resposta SAML.

Para instâncias hospedadas pelo Looker, abra uma solicitação de suporte para atualizar o tamanho máximo da resposta SAML.

Para instâncias do Looker hospedadas pelo cliente, é possível definir o tamanho máximo da resposta SAML em número de bytes com a variável de ambiente MAX_SAML_RESPONSE_BYTESIZE. Exemplo:

export MAX_SAML_RESPONSE_BYTESIZE=500000

O padrão para o tamanho máximo da resposta SAML é de 250.000 bytes.

Atributos de grupo SAML ausentes para Okta

O aplicativo do provedor de identidade Okta precisa ser configurado para incluir o atributo Groups nas declarações SAML. Veja o exemplo a seguir:

<saml2:Attribute Name='Groups'>

Para garantir que o atributo Groups esteja presente e formatado corretamente, verifique o payload SAML no Looker usando a opção Test SAML Authentication.