Unternehmen verwenden verschiedene OpenID Connect-Anbieter (OPs), um sich mit OpenID Connect abzustimmen (z. B. Okta oder OneLogin). Die in der folgenden Einrichtungsanleitung und in der Looker-Benutzeroberfläche verwendeten Begriffe stimmen möglicherweise nicht direkt mit den von Ihrem OP verwendeten Begriffen überein.
Auf der Seite OpenID Connect im Abschnitt Authentifizierung des Admin-Menüs können Sie Looker so konfigurieren, dass Nutzer über das OpenID Connect-Protokoll authentifiziert werden. Auf dieser Seite wird dieser Prozess beschrieben und es werden Anleitungen zum Verknüpfen von OpenID Connect-Gruppen mit Looker-Rollen und -Berechtigungen bereitgestellt.
Voraussetzungen
Looker zeigt die Seite OpenID Connect im Abschnitt Authentifizierung des Menüs Verwaltung nur an, wenn die folgenden Bedingungen erfüllt sind:
- Sie haben die Administratorrolle.
- Ihre Looker-Instanz (Original) ist für die Verwendung von OpenID Connect aktiviert. Wenden Sie sich an Ihren Account Executive, um OpenID Connect zu aktivieren.
- Für Ihre Looker (Google Cloud Core)-Instanz wird Google OAuth als primäre Authentifizierungsmethode verwendet.
Wenn diese Bedingungen erfüllt sind und die Seite OpenID Connect nicht angezeigt wird, stellen Sie eine Supportanfrage, um OpenID Connect für Ihre Instanz zu aktivieren.
Wichtig im Vorfeld
- Erwägen Sie die Verwendung der Option Alternative Anmeldung für bestimmte Nutzer, damit Looker-Administratoren ohne OpenID Connect auf Looker zugreifen können.
- Deaktivieren Sie die OpenID Connect-Authentifizierung nicht, während Sie mit OpenID Connect in Looker angemeldet sind, es sei denn, Sie haben eine alternative Kontoanmeldung eingerichtet. Andernfalls könnten Sie sich selbst aus der App aussperren.
- Looker kann vorhandene Konten zu OpenID Connect migrieren. Dazu werden E‑Mail-Adressen aus aktuellen E‑Mail- und Passwortkonfigurationen, LDAP, SAML oder Google-Authentifizierung verwendet. Sie können dies während der Einrichtung konfigurieren.
- Looker unterstützt die OpenID Connect-Authentifizierung nur mit dem Autorisierungscode-Vorgang von OpenID Connect. Andere Codeabläufe werden nicht unterstützt.
- Die OpenID Connect-Spezifikation enthält einen optionalen Discovery-Mechanismus. Looker unterstützt diesen Mechanismus nicht. Sie müssen daher im Abschnitt OpenID Connect Auth Settings (OpenID Connect-Authentifizierungseinstellungen) explizite URLs angeben, wie unter OpenID Connect-Authentifizierungseinstellungen konfigurieren beschrieben.
- Im Folgenden finden Sie zusätzliche Voraussetzungen für die Aktivierung von OpenID Connect für eine Looker (Google Cloud Core)-Instanz, die private Verbindungen verwendet:
- Der Cloud Router muss so konfiguriert sein, dass die VPC-Netzwerkrouten ordnungsgemäß an die Looker (Google Cloud Core)-Instanz weitergegeben werden. Dazu müssen beispielsweise benutzerdefinierte beworbene Routen eingerichtet werden.
- Es muss eine Internetnetzwerk-Endpunktgruppe (NEG) eingerichtet werden, damit die Looker (Google Cloud Core)-Instanz mit privaten Verbindungen Traffic an den externen Identitätsanbieter weiterleiten kann.
OpenID Connect einrichten
So richten Sie die Verbindung zwischen Looker und OpenID Connect ein:
- Geben Sie Ihre Looker-URL an Ihren OpenID Connect-Anbieter (OP) weiter.
- Erforderliche Informationen vom OP erhalten:
- OpenID Connect-Authentifizierung in Ihrer Looker-Instanz konfigurieren
Looker auf Ihrer OP einrichten
Ihr OpenID Connect-Anbieter (OP) benötigt die URL Ihrer Looker-Instanz. Ihr OP bezeichnet dies möglicherweise unter anderem als Weiterleitungs-URI oder Anmelde-Weiterleitungs-URI. Geben Sie auf der Website des OP die URL an, über die Sie normalerweise in einem Browser auf Ihre Looker-Instanz zugreifen, gefolgt von /openidconnect. Beispiel: https://instance_name.looker.com/openidconnect
Informationen von deinem OP werden abgerufen
Wenn Sie Looker für die OpenID Connect-Authentifizierung konfigurieren möchten, benötigen Sie die folgenden Informationen von Ihrem OP:
- Eine Clientkennung und ein Clientschlüssel. Diese werden in der Regel vom OP auf seiner Website bereitgestellt, wenn Sie den Weiterleitungs-URI konfigurieren.
- Während des OpenID Connect-Authentifizierungsprozesses stellt Looker eine Verbindung zu drei verschiedenen Endpunkten her: einem Authentifizierungsendpunkt, einem ID-Token-Endpunkt und einem Nutzerinformationsendpunkt. Sie benötigen die URLs, die Ihr OP für jeden dieser Endpunkte verwendet.
- Jeder OP stellt Nutzerinformationen in sogenannten Bereichen bereit. Sie müssen die Namen der Bereiche kennen, die Ihr OP verwendet. OpenID Connect erfordert den Bereich
openid, Ihr OP wird jedoch wahrscheinlich andere Bereiche wieemail,profileundgroupsenthalten. - In OpenID Connect werden Attribute, in denen Nutzerdaten gespeichert sind, als Anforderungen bezeichnet. Sie müssen wissen, welche Ansprüche Ihr OP an Looker weitergibt, um die gewünschten Nutzerinformationen in Ihrer Looker-Instanz zu erhalten. Looker erfordert Behauptungen, die E-Mail- und Namensinformationen enthalten. Wenn Sie jedoch andere Nutzerattribute wie Zeitzone oder Abteilung haben, muss Looker auch ermitteln, welche Behauptungen diese Informationen enthalten. Ansprüche können in der Antwort entweder vom Endpunkt für Nutzerinformationen oder vom ID-Token-Endpunkt enthalten sein. Looker kann Anforderungen, die von einem der beiden Endpunkte zurückgegeben werden, Looker-Nutzerattributen zuordnen.
Viele OPs stellen Informationen zur Konfiguration von OpenID Connect in Form eines Discovery-Dokuments bereit. So können Sie einige oder alle Informationen erfassen, die Sie für die Konfiguration von Looker für OpenID Connect benötigen. Wenn Sie keinen Zugriff auf ein Discovery-Dokument haben, müssen Sie die erforderlichen Informationen von Ihrem OP oder internen Authentifizierungsteam anfordern.
Der folgende Abschnitt stammt aus einem Beispiel für ein Discovery-Dokument:
{
"issuer": "https://accounts.google.com",
"authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
"token_endpoint": "https://www.googleapis.com/oauth2/v4/token",
"userinfo_endpoint": "https://www.googleapis.com/oauth2/v3/userinfo",
"revocation_endpoint": "https://accounts.google.com/o/oauth2/revoke",
"jwks_uri": "https://www.googleapis.com/oauth2/v3/certs",
"response_types_supported": [
"code",
"token",
"id_token",
"code token"
"code id_token",
"token id_token",
"code token id_token",
"none"
],
"subject_types_supported": [
"public"
],
"id_token_signing_alg_values_supported": [
"RS256"
],
"scopes_supported": [
"openid",
"email",
"profile"
],
"token_endpoint_auth_methods_supported": [
"client_secret_post",
"client_secret_basic"
],
"claims_supported": [
"aud",
"email",
"email_verified",
"exp",
"family_name",
"given_name",
"iat",
"iss",
"locale",
"name",
"picture",
"sub"
],
OpenID Connect-Authentifizierungseinstellungen konfigurieren
Wenn Sie die OpenID Connect-Authentifizierung für Ihre Looker-Instanz konfigurieren möchten, wählen Sie im Bereich Admin im Abschnitt Authentifizierung die Option OpenID Connect aus. Wählen Sie auf der Seite OpenID Connect-Authentifizierung die Option OpenID Connect konfigurieren aus.
Verwenden Sie die Konfigurationsinformationen aus dem Discovery-Dokument Ihres OP, von Ihrem OP oder von Ihrem internen Authentifizierungsteam, um die Verbindungseinstellungen in die folgenden Felder einzugeben:
Kennung: Die Client-Kennung, die für Ihre Looker-Instanz eindeutig ist. Diese sollte von deinem OP bereitgestellt werden.
Secret: Der Clientschlüssel, der für Ihre Looker-Instanz eindeutig ist. Diese Informationen sollten von Ihrem OP bereitgestellt werden.
Aussteller: Die sichere URL, die Ihren OP identifiziert.
Zielgruppe: Eine Kennung, die Ihrem OP mitteilt, wer der Client ist. Dies ist oft derselbe Wert wie Ihre Kennung, kann aber auch ein anderer Wert sein.
Autorisierungs-URL: Die URL des OP, bei der die Authentifizierungssequenz beginnt. In einem Discovery-Dokument oft als authorization_endpoint bezeichnet.
Token-URL: Die URL, über die Looker ein OAuth-Token abruft, nachdem Looker autorisiert wurde. Wird in einem Discovery-Dokument oft als token_endpoint bezeichnet.
URL für Nutzerinformationen: Die URL, unter der Looker detaillierte Nutzerinformationen abruft. In einem Discovery-Dokument oft als userinfo_endpoint bezeichnet.
Bereiche: Eine durch Kommas getrennte Liste der Bereiche, die vom OP verwendet werden, um Nutzerinformationen für Looker bereitzustellen. Sie müssen den Bereich openid und alle Bereiche angeben, die die von Looker benötigten Informationen enthalten, einschließlich E-Mail-Adressen, Nutzernamen und aller in Ihrer Looker-Instanz konfigurierten Nutzerattribute.
Einstellungen für Nutzerattribute konfigurieren
In diesem Abschnitt ordnen Sie die Behauptungen des OP den Nutzerattributen von Looker zu.
Geben Sie im Abschnitt Einstellungen für Nutzerattribute den Namen der Anspruchserklärung Ihres OP ein, die die entsprechenden Informationen für jedes Feld enthält. Dadurch wird Looker mitgeteilt, wie diese Ansprüche bei der Anmeldung den Looker-Nutzerinformationen zugeordnet werden sollen. Looker ist es egal, wie die Anforderungen aufgebaut sind. Es ist nur wichtig, dass die hier eingegebenen Informationen mit der Definition der Anforderungen in Ihrem OP übereinstimmen.
Standardansprüche
Für die Nutzerauthentifizierung in Looker sind Nutzername und E-Mail-Adresse erforderlich. Geben Sie in diesem Abschnitt die entsprechenden Anspruchsinformationen Ihres OPs ein:
E-Mail-Anspruch: Der Anspruch, den Ihr OP für Nutzer-E-Mail-Adressen verwendet, z. B. email.
Anforderung für Vorname: Die Anforderung, die Ihr OP für Vornamen von Nutzern verwendet, z. B. given_name.
Anforderung für Nachname: Die Anforderung, die Ihr OP für die Nachnamen der Nutzer verwendet, z. B. family_name.
Bei einigen OPs wird für Namen nur ein Anspruch verwendet, anstatt Vor- und Nachnamen zu trennen. Wenn dies bei Ihrem OP der Fall ist, geben Sie die Anforderung, in der Namen gespeichert werden, sowohl in das Feld First Name Claim (Anforderung für Vorname) als auch in das Feld Last Name Claim (Anforderung für Nachname) ein. Looker verwendet für jeden Nutzer den Inhalt bis zum ersten Leerzeichen als Vorname und alles danach als Nachname.
Attributpaare
Optional können Sie die Daten in Ihren OpenID Connect-Claims verwenden, um beim Anmelden eines Nutzers automatisch Werte in Looker-Nutzerattributen einzufügen. Wenn Sie beispielsweise OpenID Connect so konfiguriert haben, dass nutzerspezifische Verbindungen zu Ihrer Datenbank hergestellt werden, können Sie Ihre OpenID Connect-Ansprüche mit Looker-Nutzerattributen kombinieren, um nutzerspezifische Datenbankverbindungen in Looker zu erstellen.
So verknüpfen Sie Anforderungen mit entsprechenden Looker-Nutzerattributen oder verwalten vorhandene Verknüpfungen:
- Klicken Sie im Bereich User Attribute Settings (Einstellungen für Nutzerattribute) auf die Schaltfläche Manage Pairings (Verknüpfungen verwalten), um die Seitenleiste Manage Pairings (Verknüpfungen verwalten) zu öffnen.
- Geben Sie im Feld Anspruch den Anspruch ein, den Sie verknüpfen möchten, wie von Ihrem OP identifiziert. Anspruchsnamen können nur einmal in die Liste eingegeben werden. Wenn Sie einen OpenID Connect-Claim mehreren Looker-Attributen zuordnen möchten, können Sie mehrere Attribute in das Feld Looker-Nutzerattribute eingeben.
- Im Feld Looker-Nutzerattribute wird eine Drop-down-Liste mit Looker-Nutzerattributen für die Instanz angezeigt. Wählen Sie den Namen des Looker-Nutzerattributs aus, das Sie mit dem OpenID Connect-Claim verknüpfen möchten. Es können mehrere Looker-Nutzerattribute ausgewählt werden. Es muss mindestens ein Looker-Nutzerattribut ausgewählt werden.
- Setzen Sie ein Häkchen bei Erforderlich, um Anmeldeversuche von Nutzerkonten zu blockieren, bei denen in diesem Anspruchsfeld ein Wert fehlt.
- Klicken Sie auf die Schaltfläche Pairing hinzufügen, um der Liste eine weitere Pairing-Zeile hinzuzufügen. Wiederholen Sie diese Schritte, um weitere Behauptungs- und Attributpaare hinzuzufügen.
- Rechts neben jeder Zeile mit einer Kopplung befindet sich das Symbol Kopplung entfernen. Klicken Sie auf dieses Symbol, um eine Attributpaarung aus Ihrer Instanz zu entfernen.
- Klicken Sie auf das Symbol Schließen, um die Seitenleiste Verknüpfungen verwalten zu schließen.
- Testen Sie Ihre OpenID Connect-Konfiguration.
- Prüfen Sie Ihre OpenID Connect-Konfiguration und setzen Sie unten auf der Seite OpenID Connect-Authentifizierung ein Häkchen bei Ich habe die OpenID Connect-Konfiguration überprüft.
- Klicken Sie auf den Button OpenID Connect aktivieren oder OpenID Connect-Einstellungen aktualisieren, um die Zuordnungen von Anforderungen und Attributen zu speichern.
Die Seitenleiste Manage Pairings (Kopplungen verwalten) enthält außerdem die folgenden Tools:
- Das Filtermenü Liste filtern und die Suchleiste. Mit diesen Tools können Sie nach den Verknüpfungen suchen, die Ihrer Instanz bereits hinzugefügt wurden.
- Das Drop-down-Menü Anzeige für die Paginierung. Über dieses Menü können Sie 10, 25, 50 oder 100 Verknüpfungen pro Seite anzeigen lassen.
Verschachtelte Ansprüche
Einige OPs können „verschachtelte“ Ansprüche haben. Beispiel:
"zoneinfo": "America/Los Angeles",
"phone_number": "555-1235",
"address": {
"street_address": "1234 Main Street",
"locality": "Anyton",
"region": "IL",
"postal_code": "60609",
"country": "US"
},
Im vorherigen Beispiel ist die locality-Anforderung in der address-Anforderung verschachtelt. Geben Sie bei verschachtelten Anforderungen die übergeordneten und verschachtelten Anforderungen durch einen Schrägstrich ( /) getrennt an. Wenn Sie Looker für die locality-Anforderung im Beispiel konfigurieren möchten, geben Sie address/locality ein.
Gruppen und Rollen
Sie haben die Möglichkeit, Gruppen in Looker erstellen zu lassen, die Ihre extern verwalteten OpenID Connect-Gruppen spiegeln. Gruppen können verwendet werden, um Zugriffskontrollen für Inhalte festzulegen und Nutzern Nutzerattribute zuzuweisen, die auf ihren gespiegelten OpenID Connect-Gruppen basieren. Wenn Sie Änderungen an Ihrer OpenID Connect-Gruppenmitgliedschaft vornehmen, werden diese Änderungen automatisch in die Gruppenkonfiguration von Looker übernommen.
Durch das Spiegeln von OpenID Connect-Gruppen können Sie Ihr extern definiertes OpenID Connect-Verzeichnis verwenden, um Looker-Gruppen und -Nutzer zu verwalten. So können Sie Ihre Gruppenmitgliedschaft für mehrere SaaS-Tools (Software as a Service) wie Looker an einem Ort verwalten.
Wenn Sie OpenID Connect-Gruppen spiegeln aktivieren, erstellt Looker für jede OpenID Connect-Gruppe, die in das System eingeführt wird, eine Looker-Gruppe. Diese Looker-Gruppen können auf der Seite Gruppen im Abschnitt Admin von Looker angezeigt werden.
Standardgruppen und ‑rollen
Standardmäßig ist der Schalter OpenID Connect-Gruppen spiegeln deaktiviert. In diesem Fall können Sie eine Standardgruppe für neue OpenID Connect-Nutzer festlegen. Geben Sie in den Feldern Neue Nutzergruppen und Neue Nutzerrollen die Namen der Looker-Gruppen oder -Rollen ein, die neuen Looker-Nutzern zugewiesen werden sollen, wenn sie sich zum ersten Mal in Looker anmelden:
Diese Gruppen und Rollen werden neuen Nutzern bei der ersten Anmeldung zugewiesen. Sie werden nicht auf bereits vorhandene Nutzer angewendet und sie werden nicht erneut angewendet, wenn sie nach der ersten Anmeldung entfernt werden.
Spiegeln von OpenID Connect-Gruppen aktivieren
Wenn Sie eine Looker (Google Cloud Core)-Instanz verwenden, empfehlen wir, die Gruppenspiegelung nur für die primäre Authentifizierungsmethode zu aktivieren und nicht für die sekundäre OAuth-Authentifizierung. Wenn Sie die Gruppenspiegelung sowohl für die primäre als auch für die sekundäre Authentifizierungsmethode aktivieren, gilt Folgendes:
- Wenn ein Nutzer zusammengeführte Identitäten hat, wird bei der Gruppenspiegelung die primäre Authentifizierungsmethode verwendet, unabhängig von der tatsächlich für die Anmeldung verwendeten Authentifizierungsmethode.
- Wenn ein Nutzer keine zusammengeführten Identitäten hat, wird die Authentifizierungsmethode, die für die Anmeldung verwendet wurde, für die Gruppenspiegelung verwendet.
Spiegelgruppen aktivieren
Wenn Sie Ihre OpenID Connect-Gruppen in Looker spiegeln möchten, aktivieren Sie den Schalter OpenID Connect-Gruppen spiegeln. Looker zeigt die folgenden Einstellungen an:
Gruppenanforderung: Geben Sie die Anforderung ein, die Ihr OP zum Speichern von Gruppennamen verwendet. Geben Sie dann die Gruppeninformationen ein, um die spezifischen OpenID Connect-Gruppen zu konfigurieren, die Sie in Looker spiegeln möchten. Verwenden Sie dazu die Felder Bevorzugter Gruppenname / Bevorzugte Rollen / Bevorzugter OpenID Connect-Gruppenname. Die Zuordnung der OpenID Connect-Gruppen zu Looker-Gruppen ist ein erforderlicher Schritt.
Die Schaltfläche Gruppen verwalten: Klicken Sie auf diese Schaltfläche, um die Seitenleiste Gruppen verwalten zu öffnen. Dort können Sie eine benutzerdefinierte Gruppe oder die Rollen, die der Gruppe in Looker zugewiesen sind, hinzufügen, entfernen oder bearbeiten. In der Seitenleiste Gruppen verwalten werden die folgenden Felder angezeigt:
Ein Feld Bevorzugter Gruppenname. Geben Sie in diesem Feld einen benutzerdefinierten Namen für die gespiegelte Gruppe ein. Dies ist der Name, der in Looker im Bereich Verwaltung auf der Seite Gruppen angezeigt wird.
Das Feld OpenID Connect-Gruppenname. Geben Sie die OpenID Connect-Gruppe in dieses Feld ein. OpenID Connect-Nutzer, die in der OpenID Connect-Gruppe enthalten sind, werden der gespiegelten Gruppe in Looker hinzugefügt.
Ein Feld Rolle. Wählen Sie in diesem Feld eine oder mehrere Looker-Rollen aus, die jedem Nutzer in der Gruppe zugewiesen werden sollen.
Das Symbol Zuordnung entfernen (). Klicken Sie auf dieses Symbol, um eine gespiegelte Gruppe aus Ihrer Looker-Instanz zu entfernen. Wenn Sie eine Gruppe löschen, wird sie nicht mehr in Looker gespiegelt und ihre Mitglieder haben nicht mehr die Rollen in Looker, die ihnen über diese Gruppe zugewiesen wurden.
Die Seitenleiste Gruppen verwalten enthält außerdem die folgenden Tools:
Das Filtermenü Liste filtern und die Suchleiste. Mit diesen Tools können Sie die Gruppen durchsuchen, die Ihrer Instanz bereits hinzugefügt wurden.
Die Schaltfläche Zuordnung hinzufügen. Klicken Sie auf diesen Button, um der Instanz eine benutzerdefinierte Gruppe hinzuzufügen.
Das Drop-down-Menü Anzeige für die Paginierung. In diesem Menü können Sie auswählen, wie viele Gruppen auf jeder Seite angezeigt werden sollen.
Gespiegelte Gruppen bearbeiten
Wenn Sie eine gespiegelte Gruppe bearbeiten, die zuvor auf diesem Bildschirm konfiguriert wurde, ändert sich die Konfiguration der Gruppe, die Gruppe selbst bleibt jedoch intakt. Sie können beispielsweise den Looker-Gruppennamen einer Gruppe ändern. Dadurch ändert sich die Darstellung der Gruppe auf der Looker-Seite Gruppen, aber nicht die zugewiesenen Rollen und Gruppenmitglieder. Wenn Sie den OpenID Connect-Gruppennamen ändern, bleiben der Gruppenname und die Rollen erhalten. Die Mitglieder der Gruppe werden jedoch anhand der Nutzer neu zugewiesen, die Mitglieder der externen OpenID Connect-Gruppe mit dem neuen OpenID Connect-Gruppennamen sind.
Alle Änderungen an einer gespiegelten Gruppe werden auf die Nutzer dieser Gruppe angewendet, wenn sie sich das nächste Mal bei Looker anmelden.
Erweiterte Rollenverwaltung
Wenn Sie den Schalter OpenID Connect-Gruppen spiegeln aktiviert haben, zeigt Looker diese Einstellungen an. Mit den Optionen in diesem Abschnitt wird festgelegt, wie viel Flexibilität Looker-Administratoren bei der Konfiguration von Looker-Gruppen und ‑Nutzern haben, die von OpenID Connect gespiegelt wurden.
Wenn Sie beispielsweise möchten, dass Ihre Looker-Gruppen- und Nutzerkonfiguration genau mit Ihrer OpenID Connect-Konfiguration übereinstimmt, aktivieren Sie diese Optionen. Wenn alle der ersten drei Optionen aktiviert sind, können Looker-Administratoren die Mitgliedschaft in gespiegelten Gruppen nicht ändern und Nutzern nur über gespiegelte OpenID Connect-Gruppen Rollen zuweisen.
Wenn Sie Ihre Gruppen in Looker flexibler anpassen möchten, deaktivieren Sie diese Optionen. Ihre Looker-Gruppen spiegeln weiterhin Ihre OpenID Connect-Konfiguration wider. Sie können jedoch zusätzliche Gruppen- und Nutzerverwaltungsaufgaben in Looker ausführen, z. B. OpenID Connect-Nutzer zu Looker-spezifischen Gruppen hinzufügen oder OpenID Connect-Nutzern direkt Looker-Rollen zuweisen.
Bei neuen Looker-Instanzen oder Instanzen, für die noch keine gespiegelten Gruppen konfiguriert wurden, sind diese Optionen standardmäßig deaktiviert.
Bei vorhandenen Looker-Instanzen, für die gespiegelte Gruppen konfiguriert wurden, sind diese Optionen standardmäßig aktiviert.
Der Abschnitt Erweiterte Rollenverwaltung enthält die folgenden Optionen:
Verhindern, dass einzelne OpenID Connect-Nutzer direkte Rollen erhalten: Wenn Sie diese Option aktivieren, können Looker-Administratoren OpenID Connect-Nutzern keine Looker-Rollen direkt zuweisen. OpenID Connect-Nutzer erhalten Rollen nur über ihre Gruppenmitgliedschaften. Wenn OpenID Connect-Nutzer Mitgliedschaften in integrierten (nicht gespiegelten) Looker-Gruppen haben dürfen, können sie ihre Rollen weiterhin sowohl von gespiegelten OpenID Connect-Gruppen als auch von integrierten Looker-Gruppen erben. Allen OpenID Connect-Nutzern, denen zuvor Rollen direkt zugewiesen wurden, werden diese Rollen bei der nächsten Anmeldung entzogen.
Wenn diese Option deaktiviert ist, können Looker-Administratoren OpenID Connect-Nutzern Looker-Rollen direkt zuweisen, als wären sie Nutzer, die direkt in Looker konfiguriert wurden.
Direkte Mitgliedschaft in nicht von OpenID Connect verwalteten Gruppen verhindern: Wenn Sie diese Option aktivieren, können Looker-Administratoren OpenID Connect-Nutzer nicht direkt zu integrierten Looker-Gruppen hinzufügen. Wenn gespiegelte OpenID Connect-Gruppen Mitglieder von integrierten Looker-Gruppen sein dürfen, können OpenID Connect-Nutzer die Mitgliedschaft in übergeordneten Looker-Gruppen beibehalten. Alle OpenID Connect-Nutzer, die zuvor integrierten Looker-Gruppen zugewiesen waren, werden bei der nächsten Anmeldung aus diesen Gruppen entfernt.
Wenn diese Option deaktiviert ist, können Looker-Administratoren OpenID Connect-Nutzer direkt zu integrierten Looker-Gruppen hinzufügen.
Prevent Role Inheritance from non-OpenID Connect Groups: Wenn Sie diese Option aktivieren, können Mitglieder gespiegelter OpenID Connect-Gruppen keine Rollen von integrierten Looker-Gruppen übernehmen. Alle OpenID Connect-Nutzer, die zuvor Rollen von einer übergeordneten Looker-Gruppe übernommen haben, verlieren diese Rollen bei der nächsten Anmeldung.
Wenn diese Option deaktiviert ist, erben gespiegelte OpenID Connect-Gruppen oder OpenID Connect-Nutzer, die als Mitglied einer integrierten Looker-Gruppe hinzugefügt werden, die Rollen, die der übergeordneten Looker-Gruppe zugewiesen sind.
Auth Requires Role (Authentifizierung erfordert Rolle): Wenn diese Option aktiviert ist, muss OpenID Connect-Nutzern eine Rolle zugewiesen sein. OpenID Connect-Nutzer, denen keine Rolle zugewiesen ist, können sich überhaupt nicht in Looker anmelden.
Wenn diese Option deaktiviert ist, können sich OpenID Connect-Nutzer auch dann bei Looker authentifizieren, wenn ihnen keine Rolle zugewiesen ist. Ein Nutzer ohne zugewiesene Rolle kann keine Daten sehen und keine Aktionen in Looker ausführen, sich aber in Looker anmelden.
Spiegelung von OpenID Connect-Gruppen deaktivieren
Wenn Sie die Spiegelung Ihrer OpenID Connect-Gruppen in Looker beenden möchten, deaktivieren Sie den Schalter OpenID Connect-Gruppen spiegeln. Wenn Sie den Schalter deaktivieren, hat das folgende Auswirkungen:
- Alle gespiegelten OpenID Connect-Gruppen ohne Nutzer werden sofort gelöscht.
- Alle gespiegelten OpenID Connect-Gruppen, die keine Nutzer enthalten, werden als verwaist markiert. Wenn sich innerhalb von 31 Tagen keine Nutzer dieser Gruppe anmelden, wird die Gruppe gelöscht. Nutzer können verwaisten OpenID Connect-Gruppen nicht mehr hinzugefügt oder daraus entfernt werden.
Migrationsoptionen konfigurieren
Wie in diesem Abschnitt erläutert, empfiehlt Looker, Alternative Anmeldung zu aktivieren und eine Zusammenführungsstrategie für bestehende Nutzer bereitzustellen.
Alternative Anmeldung für bestimmte Nutzer
Die Looker-Anmeldung per E‑Mail-Adresse und Passwort ist für normale Nutzer immer deaktiviert, wenn die OpenID Connect-Authentifizierung aktiviert ist. Mit der Option Alternative Anmeldung für bestimmte Nutzer wird die alternative E‑Mail-Adresse-basierte Anmeldung über /login/email für Administratoren und bestimmte Nutzer mit der Berechtigung login_special_email aktiviert.
Die alternative Anmeldung ist als Fallback bei der Einrichtung von OpenID Connect nützlich, wenn später Probleme mit der OpenID Connect-Konfiguration auftreten oder wenn Sie Nutzer unterstützen müssen, die kein Konto in Ihrem OpenID Connect-Verzeichnis haben.
Methode angeben, mit der OpenID Connect-Nutzer mit einem Looker-Konto zusammengeführt werden
Geben Sie im Feld Nutzer zusammenführen mit die Methode an, mit der eine erstmalige OpenID Connect-Anmeldung mit einem vorhandenen Nutzerkonto zusammengeführt werden soll. Sie können Nutzer aus den folgenden Systemen zusammenführen:
- Looker-E‑Mail-Adresse/-Passwort (nicht für Looker (Google Cloud Core) verfügbar)
- LDAP (nicht für Looker (Google Cloud Core) verfügbar)
- SAML
Wenn Sie mehrere Authentifizierungssysteme verwenden, können Sie in diesem Feld mehrere Systeme angeben, nach denen zusammengeführt werden soll. Looker sucht Nutzer in den aufgeführten Systemen in der angegebenen Reihenfolge. Angenommen, Sie haben einige Nutzer mit Looker-E‑Mail-Adresse/Passwort erstellt, dann LDAP aktiviert und möchten jetzt OpenID Connect verwenden. Im vorherigen Beispiel würde Looker zuerst nach E‑Mail-Adresse und Passwort und dann nach LDAP zusammenführen.
Wenn sich ein Nutzer zum ersten Mal mit OpenID Connect anmeldet, wird mit dieser Option eine Verbindung zu seinem bestehenden Konto hergestellt, indem das Konto mit einer übereinstimmenden E‑Mail-Adresse gesucht wird. Wenn für den Nutzer kein Konto vorhanden ist, wird ein neues Nutzerkonto erstellt.
Löschen Sie die nicht verwendeten, doppelten E‑Mail-Konten über die Admin-Benutzeroberfläche, um doppelte Konten zu entfernen. Wenn Sie einem Benutzer E-Mail-Zugriff gewähren und gleichzeitig sein OpenID Connect-Konto beibehalten möchten, sollten Administratoren E-Mail-Anmeldedaten direkt im vorhandenen OpenID Connect-Konto erstellen, indem sie die Looker-API verwenden, anstatt ein separates neues Benutzerkonto über die Admin-Benutzeroberfläche zu erstellen.
Nutzer zusammenführen, wenn Looker (Google Cloud Core) verwendet wird
Wenn Sie Looker (Google Cloud Core) und OpenID Connect verwenden, funktioniert das Zusammenführen wie im vorherigen Abschnitt beschrieben. Das ist jedoch nur möglich, wenn eine der folgenden beiden Bedingungen erfüllt ist:
- Bedingung 1: Nutzer authentifizieren sich in Looker (Google Cloud Core) mit ihren Google-Identitäten über das OpenID Connect-Protokoll.
Bedingung 2: Bevor Sie die Option zum Zusammenführen auswählen, haben Sie die folgenden beiden Schritte ausgeführt:
- Föderierte Nutzeridentitäten in Google Cloud mit Cloud Identity.
- Richten Sie die OAuth-Authentifizierung als Backup-Authentifizierungsmethode für die Verbundnutzer ein.
Wenn die Einrichtung eine dieser beiden Bedingungen nicht erfüllt, ist die Option Nutzer zusammenführen mit nicht verfügbar.
Beim Zusammenführen sucht Looker nach Nutzerdatensätzen mit genau derselben E-Mail-Adresse.
Nutzerauthentifizierung testen
Klicken Sie beim Festlegen dieser Konfiguration auf den Button Testen, um Ihre OpenID Connect-Konfiguration zu testen.
Tests werden an die Endpunkte weitergeleitet und in einem neuen Browsertab geöffnet. Auf dem Tab wird Folgendes angezeigt:
- Ob Looker mit den verschiedenen Endpunkten kommunizieren und die Daten validieren konnte
- Ein Trace der Antwort des Authentifizierungsendpunkts
- Die Nutzerinformationen, die Looker vom Endpunkt für Nutzerinformationen erhält
- Sowohl decodierte als auch Rohversionen des empfangenen ID-Tokens
Mit diesem Test können Sie überprüfen, ob die von den verschiedenen Endpunkten empfangenen Informationen korrekt sind, und Fehler beheben.
Tipps:
- Sie können diesen Test jederzeit ausführen, auch wenn OpenID Connect nur teilweise konfiguriert ist. Das Ausführen eines Tests kann während der Konfiguration hilfreich sein, um zu sehen, welche Parameter konfiguriert werden müssen.
- Für den Test werden die auf der Seite OpenID Connect-Authentifizierung eingegebenen Einstellungen verwendet, auch wenn diese Einstellungen nicht gespeichert wurden. Der Test hat keine Auswirkungen auf die Einstellungen auf dieser Seite und ändert sie auch nicht.
Einstellungen speichern und anwenden
Wenn Sie alle Informationen eingegeben haben und alle Tests bestanden sind, wählen Sie Ich habe die obige Konfiguration bestätigt und möchte sie global anwenden aus und klicken Sie auf Einstellungen aktualisieren, um die Änderungen zu speichern.
Nutzeranmeldeverhalten
Wenn ein Nutzer versucht, sich mit OpenID Connect (OIDC) bei einer Looker-Instanz anzumelden, wird in Looker die Seite Anmelden geöffnet. Der Nutzer muss auf den Button Authentifizieren klicken, um die Authentifizierung über OIDC zu starten.
Im Gegensatz zur SAML-Authentifizierung wird die Funktion Anmeldeseite umgehen bei der OpenID Connect-Authentifizierung nicht unterstützt. In der Looker-Admin-Benutzeroberfläche gibt es keine Option, die Anmeldeseite für OIDC-Nutzer zu umgehen. Nutzer müssen also manuell auf Authentifizieren klicken, um den OIDC-Authentifizierungsablauf zu starten.
Fehlerbehebung
Wenn Sie Probleme mit der Authentifizierung beheben möchten, rufen Sie in der Systemaktivität das Dashboard Nutzeraktivität auf. Dieses Dashboard enthält Kacheln mit Informationen zu den letzten fehlgeschlagenen Anmeldeversuchen, einschließlich der verwendeten Authentifizierungsmethode, der zurückgegebenen Fehlermeldung und des Zeitpunkts des Versuchs.
Fehlerbehebung bei OIDC auf Looker (Google Cloud Core)-Instanzen
Wenn beim Konfigurieren oder Testen der OIDC-Authentifizierung auf einer Looker (Google Cloud Core)-Instanz Verbindungs- oder Zeitüberschreitungsprobleme auftreten (z. B. 504 Upstream
Request Timeout-Fehler, HttpClient:ConnectTimeoutError execution expired-Fehler, fehlende kontrollierte Netzwerkrouten für ausgehenden Traffic oder irreführende Fehler aufgrund von nicht übereinstimmenden Weiterleitungs-URIs), lesen Sie den Hilfeartikel Fehlerbehebung bei Netzwerkproblemen in Looker (Google Cloud Core).