Configuración de administrador: Administra clientes de OAuth

En Looker, los administradores pueden usar la página Administrar clientes de OAuth para administrar el acceso de OAuth 2.0 basado en la identidad para aplicaciones externas sin crear claves de API ni usar el Explorador de APIs. En este documento, se describe cómo habilitar aplicaciones preconfiguradas, registrar clientes de OAuth personalizados y administrar la revocación de tokens.

La página Administrar clientes de OAuth se encuentra en la sección Autenticación del panel Administrador de Looker. Proporciona una interfaz centralizada para otorgar acceso a herramientas para desarrolladores, como la CLI de Looker, los clientes del Protocolo de contexto del modelo (MCP) de agentes de IA y los conectores de inteligencia empresarial (IE).

Nota: Si tienes un permiso que proporciona acceso solo a páginas seleccionadas del panel de administración, como manage_schedules, manage_themes o see_admin, pero no tienes el rol de administrador, es posible que no puedas ver las páginas que se describen aquí en el panel de administración.

Requisitos

Para acceder a la página Administrar clientes de OAuth y administrarla, se deben cumplir los siguientes requisitos:

• Tu instancia de Looker debe estar alojada en Looker. No se admiten las instancias de Looker alojadas por el cliente.
• Debes tener el rol de administrador en tu instancia de Looker.

Descripción general

En la página Administrar clientes de OAuth, las aplicaciones cliente se organizan en dos pestañas:

• Biblioteca de aplicaciones: Es un catálogo de aplicaciones de OAuth preconfiguradas y administradas por Looker, que incluye clientes del Protocolo de contexto del modelo (MCP) de agentes de IA, conectores de inteligencia empresarial (IE) y herramientas para desarrolladores.
• Clientes personalizados: Es una interfaz de administración para registrar y configurar tus propias aplicaciones cliente de OAuth personalizadas con URIs de redireccionamiento de devolución de llamada personalizables y controles de acceso de grupos.

La barra de búsqueda que se encuentra en la parte superior de la página te permite filtrar las aplicaciones en ambas pestañas en tiempo real.

Pestaña Biblioteca de aplicaciones

La pestaña Biblioteca de aplicaciones contiene clientes de OAuth preconfigurados que mantiene Looker. Te recomendamos que revises la pestaña Biblioteca de aplicaciones antes de crear un cliente personalizado. Si la herramienta que quieres conectar ya está preconfigurada en la biblioteca, puedes habilitarla sin registrar un cliente personalizado nuevo, a menos que necesites un URI de redireccionamiento o un puerto diferentes.

La biblioteca de aplicaciones incluye clientes preconfigurados para las siguientes integraciones:

• Clientes de MCP de agentes de IA: Cursor, VS Code, Claude Code, Claude Desktop, ChatGPT, Gemini CLI, Cline, Windsurf, Antigravity y la extensión de Looker para VS Code.
• Conectores de IE: Hojas conectadas, Data Studio, Tableau Desktop, Microsoft Power BI y Microsoft Excel.
• Herramientas para desarrolladores: CLI de Looker.

Habilita o inhabilita las aplicaciones de la biblioteca

Cada aplicación cliente preconfigurada en la Biblioteca de aplicaciones tiene un interruptor Habilitar:

• Habilitar: Habilita el interruptor para permitir que los usuarios se autentiquen en Looker desde esa aplicación cliente con OAuth.
• Inhabilitar: Inhabilita el interruptor para bloquear las solicitudes de autorización de esa aplicación cliente. Inhabilitar una aplicación revoca e invalida de inmediato todos los tokens de OAuth activos que se emitieron para los usuarios de esa aplicación.

Nota: No se pueden borrar las aplicaciones preconfiguradas de la Biblioteca de aplicaciones. Solo se pueden habilitar o inhabilitar.

El ID de cliente de cada aplicación cliente preconfigurada se muestra en su fila. Puedes copiar el ID de cliente para usarlo en las configuraciones del cliente, pero el ID de cliente de las aplicaciones de biblioteca es inmutable y no se puede modificar.

Sincronización con la página de conectores de BI

El estado de habilitación de los conectores de IE (incluidas las Hojas conectadas, Data Studio, Tableau Desktop, Microsoft Power BI y Microsoft Excel) se sincroniza automáticamente entre la página Administrar clientes de OAuth y la página Conectores de IE:

• Si cambias el estado de habilitación de un interruptor de conector de IE en la página Administrar clientes de OAuth, se actualizará automáticamente el interruptor del conector correspondiente en la página Conectores de BI.
• Si cambias el estado de habilitación de un interruptor de conector de IE en la página Conectores de BI, se actualizará automáticamente su estado en la página Administrar clientes de OAuth.

Nota: La página Conectores de IE sigue disponible para configurar el parámetro de salida Habilitar el vínculo rápido de Hojas conectadas.

URIs de redireccionamiento y parámetros de configuración de puertos dinámicos

Looker requiere que los URI de redireccionamiento de OAuth coincidan exactamente con los valores registrados y no admite URI de redireccionamiento con comodines.

• Conectores de IE estándar: Usa URIs de redireccionamiento inmutables y preconfigurados que coincidan con los extremos de autenticación oficiales del servicio.
• Agente de IA y clientes de MCP: Algunas herramientas de IA usan puertos locales dinámicos o efímeros de forma predeterminada cuando inician un redireccionamiento de OAuth (como Claude Code o Cline). Para alojar estas herramientas, Looker registra previamente un puerto predeterminado fijo para cada cliente de biblioteca (por ejemplo, el puerto 8080 para Claude Code y Cline, o el puerto 7777 para Gemini CLI).

Para usar un cliente de biblioteca preconfigurado que requiera un puerto fijo, elige una de las siguientes opciones:

1. Configura el cliente para que use el puerto estático registrado previamente: En la configuración de la aplicación cliente o en las marcas de inicio, especifica el puerto registrado previamente (por ejemplo, ejecuta Claude Code con --callback-port 8080).
2. Registra un cliente personalizado: Si quieres usar un puerto diferente o una URL de devolución de llamada personalizada, registra un cliente nuevo en la pestaña Clientes personalizados con el URI de redireccionamiento que prefieras.

Pestaña Clientes personalizados

La pestaña Clientes personalizados te permite registrar y administrar aplicaciones cliente de OAuth 2.0 personalizadas para herramientas internas, integraciones de propiedad exclusiva o aplicaciones de terceros que no están disponibles en la Biblioteca de aplicaciones.

Registra un cliente de OAuth personalizado

Para registrar un cliente de OAuth personalizado nuevo, sigue estos pasos:

1. En el panel Administrador, navega a la sección Autenticación y selecciona Administrar clientes de OAuth.
2. Selecciona la pestaña Clientes personalizados.
3. Haz clic en Agregar nueva.
4. En el panel lateral, completa los siguientes campos:
   • ID de cliente: Ingresa un identificador de cadena único para tu aplicación. El ID de cliente no puede comenzar con com.looker., que está reservado para las aplicaciones administradas por Looker.
   • Nombre del cliente: Ingresa un nombre visible descriptivo para la aplicación.
   • Descripción (opcional): Ingresa una descripción breve que explique el propósito de la aplicación.
   • URI de redireccionamiento: Ingresa uno o más URI de devolución de llamada autorizados (por ejemplo, https://mycompany.com/oauth/callback o http://localhost:8080/callback). Puedes ingresar varios URI de redireccionamiento para admitir diferentes entornos o puertos.
   • Restringir al ID de grupo (opcional): Ingresa el ID numérico de un grupo de usuarios de Looker. Si se especifica un ID numérico, solo los usuarios que pertenezcan a ese grupo podrán autorizar y autenticarse en Looker con esta aplicación.
5. Haz clic en Agregar para crear el cliente personalizado.

Cómo ver los detalles del cliente

Para ver información detallada de cualquier aplicación cliente personalizada, sigue estos pasos:

1. En la pestaña Clientes personalizados, haz clic en el ícono de chevron chevron_right en la fila del cliente en la tabla.
2. Se abrirá un panel lateral en el que se mostrarán el nombre del cliente, el ID de cliente, la descripción, la lista completa de los URIs de redireccionamiento autorizados y, si se configuraron, las restricciones de ID de grupo.

Cómo editar un cliente personalizado

Para actualizar una aplicación cliente de OAuth personalizada existente, sigue estos pasos:

1. En la pestaña Clientes personalizados, busca la aplicación cliente y haz clic en el ícono edit Editar en su fila.

2. En el panel lateral de edición, actualiza los campos Nombre del cliente, Descripción, URIs de redireccionamiento o Restringir al ID de grupo según sea necesario.

   Nota: El campo ID de cliente no se puede modificar después del registro. Si necesitas cambiar el ID de cliente, bórralo y registra uno nuevo.

3. Haz clic en Actualizar para guardar los cambios.

Borra un cliente personalizado

Para quitar una aplicación cliente de OAuth personalizada, sigue estos pasos:

1. En la pestaña Clientes personalizados, busca la aplicación cliente y haz clic en el ícono delete Borrar (papelera) en su fila.
2. En el diálogo de confirmación, haz clic en Borrar.

Advertencia: Si borras un cliente personalizado, se quitará de forma permanente el registro del cliente de Looker y se invalidarán de inmediato todos los códigos de autorización de OAuth, los tokens de acceso y los tokens de actualización activos que se emitieron para esa aplicación.

Invalidación y seguridad de tokens

Para mantener la seguridad en las aplicaciones conectadas, Looker aplica automáticamente la revocación de tokens. Cuando un administrador borra una aplicación cliente personalizada o inhabilita una aplicación en la pestaña Biblioteca de aplicaciones o Clientes personalizados, Looker revoca de inmediato todos los tokens de actualización de OAuth activos que se emitieron para todos los usuarios de esa aplicación. Los códigos de autorización que se asociaron con esa aplicación se invalidan de forma permanente.

Nota: En los casos en que se borre o inhabilite una aplicación, no se podrán generar tokens de acceso nuevos, y los tokens de acceso ya emitidos vencerán en un plazo de 60 minutos.

Si un usuario o una aplicación intentan conectarse con credenciales revocadas, Looker deniega la autorización y devuelve un error que indica que no se encontró el cliente de OAuth o que no está habilitado.