Paramètres d'administration - Authentification OpenID Connect

Les entreprises utilisent différents fournisseurs OpenID Connect (OP) pour coordonner OpenID Connect (par exemple, Okta ou OneLogin). Les termes utilisés dans les instructions de configuration suivantes et dans l'interface utilisateur de Looker peuvent ne pas correspondre directement à ceux utilisés par votre fournisseur d'identité.

La page OpenID Connect de la section Authentification du menu "Admin" vous permet de configurer Looker pour authentifier les utilisateurs à l'aide du protocole OpenID Connect. Cette page décrit ce processus et inclut des instructions pour associer des groupes OpenID Connect à des rôles et autorisations Looker.

Conditions requises

Looker n'affiche la page OpenID Connect dans la section Authentification du menu Admin que si les conditions suivantes sont remplies :

Si ces conditions sont remplies et que vous ne voyez pas la page OpenID Connect, envoyez une demande d'assistance pour activer OpenID Connect sur votre instance.

Considérations relatives à la planification

  • Envisagez d'utiliser l'option Méthode de connexion alternative pour les utilisateurs spécifiés pour permettre aux administrateurs Looker d'accéder à Looker sans OpenID Connect.
  • Ne désactivez pas l'authentification OpenID Connect lorsque vous êtes connecté à Looker à l'aide d'OpenID Connect, sauf si vous avez configuré un autre compte de connexion. Sinon, vous risquez de ne plus pouvoir accéder à l'application.
  • Looker peut migrer les comptes existants vers OpenID Connect à l'aide d'adresses e-mail provenant de configurations actuelles avec adresse e-mail et mot de passe, LDAP, SAML ou Google Auth. Vous pourrez configurer cela lors du processus de configuration.
  • Looker n'est compatible qu'avec l'authentification OpenID Connect utilisant le flux avec code d'autorisation d'OpenID Connect. Les autres flux de code ne sont pas acceptés.
  • La spécification OpenID Connect inclut un mécanisme de découverte facultatif. Looker n'est pas compatible avec ce mécanisme. Vous devez donc fournir des URL explicites dans la section Paramètres d'authentification OpenID Connect, comme décrit dans Configurer les paramètres d'authentification OpenID Connect.
  • Voici les conditions préalables supplémentaires pour activer OpenID Connect pour une instance Looker (Google Cloud Core) qui utilise des connexions privées :
    • Le routeur Cloud Router doit être configuré pour propager correctement les routes du réseau VPC vers l'instance Looker (Google Cloud core) (par exemple, en configurant des routes annoncées personnalisées).
    • Un groupe de points de terminaison du réseau (NEG) Internet doit être configuré pour permettre à l'instance de connexions privées Looker (Google Cloud Core) d'acheminer le trafic vers le fournisseur d'identité externe.

Configurer OpenID Connect

Pour configurer la connexion entre Looker et OpenID Connect, procédez comme suit :

  1. Fournissez l'URL de votre instance Looker à votre fournisseur OpenID Connect (OP).
  2. Obtenez les informations requises auprès de votre OP.
  3. Configurez l'authentification OpenID Connect dans votre instance Looker.

Configurer Looker sur votre OP

Votre fournisseur OpenID Connect (OP) aura besoin de l'URL de votre instance Looker. Votre OP peut l'appeler URI de redirection ou URI de redirection de connexion, entre autres. Sur le site Web de votre fournisseur OpenID, indiquez-lui l'URL que vous utilisez habituellement pour accéder à votre instance Looker dans un navigateur, suivie de /openidconnect. Par exemple, https://instance_name.looker.com/openidconnect.

Récupération des informations de votre OP

Pour configurer Looker pour l'authentification OpenID Connect, vous avez besoin des informations suivantes de votre OP :

  • Un identifiant client et un code secret du client. Ils sont généralement fournis par le fournisseur OpenID sur son site Web lorsque vous configurez l'URI de redirection.
  • Lors du processus d'authentification OpenID Connect, Looker se connecte à trois points de terminaison différents : un point de terminaison d'authentification, un point de terminaison de jeton d'identité et un point de terminaison d'informations utilisateur. Vous aurez besoin des URL utilisées par votre OP pour chacun de ces points de terminaison.
  • Chaque OP fournit des informations utilisateur dans des ensembles appelés champs d'application. Vous devez connaître les noms des champs d'application utilisés par votre OP. OpenID Connect nécessite le champ d'application openid, mais votre OP inclura probablement d'autres champs d'application, tels que email, profile et groups.
  • Dans OpenID Connect, les attributs qui stockent les données utilisateur sont appelés revendications. Vous devez savoir quelles revendications votre OP transmet à Looker pour fournir les informations utilisateur que vous souhaitez sur votre instance Looker. Looker nécessite des revendications contenant des informations sur l'adresse e-mail et le nom. Toutefois, si vous disposez d'autres attributs utilisateur, tels que le fuseau horaire ou le service, Looker devra également identifier les revendications contenant ces informations. Les revendications peuvent être incluses dans la réponse du point de terminaison des informations utilisateur ou du point de terminaison du jeton d'identité. Looker peut mapper les revendications renvoyées par l'un ou l'autre point de terminaison aux attributs utilisateur Looker.

De nombreux fournisseurs d'identité fournissent des informations sur la configuration d'OpenID Connect sous la forme d'un document de découverte, ce qui vous permet de recueillir tout ou partie des informations dont vous aurez besoin pour configurer Looker pour OpenID Connect. Si vous n'avez pas accès à un document de découverte, vous devez obtenir les informations nécessaires auprès de votre OP ou de votre équipe d'authentification interne.

La section suivante est extraite d'un exemple de document de découverte :

{
  "issuer": "https://accounts.google.com",
  "authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
  "token_endpoint": "https://www.googleapis.com/oauth2/v4/token",
  "userinfo_endpoint": "https://www.googleapis.com/oauth2/v3/userinfo",
  "revocation_endpoint": "https://accounts.google.com/o/oauth2/revoke",
  "jwks_uri": "https://www.googleapis.com/oauth2/v3/certs",
  "response_types_supported": [
    "code",
    "token",
    "id_token",
    "code token"
    "code id_token",
    "token id_token",
    "code token id_token",
    "none"
  ],
  "subject_types_supported": [
    "public"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "scopes_supported": [
    "openid",
    "email",
    "profile"
  ],
  "token_endpoint_auth_methods_supported": [
    "client_secret_post",
    "client_secret_basic"
  ],
  "claims_supported": [
    "aud",
    "email",
    "email_verified",
    "exp",
    "family_name",
    "given_name",
    "iat",
    "iss",
    "locale",
    "name",
    "picture",
    "sub"
  ],

Configurer les paramètres d'authentification OpenID Connect

Pour configurer l'authentification OpenID Connect pour votre instance Looker, sélectionnez OpenID Connect dans la section Authentification du panneau Admin. Sur la page Authentification OpenID Connect, sélectionnez Configurer OpenID Connect.

Utilisez les informations de configuration que vous avez obtenues à partir du document de découverte de votre OP, de votre OP ou de votre équipe d'authentification interne pour saisir les paramètres de connexion dans les champs suivants :

Identifiant : identifiant client unique à votre instance Looker. Cette information doit vous être fournie par votre OP.

Secret : code secret du client, unique pour votre instance Looker. Cette information doit vous être fournie par votre opérateur.

Émetteur : URL sécurisée qui identifie votre OP.

Audience : identifiant indiquant à votre OP qui est le client. Il est souvent identique à la valeur de votre identifiant, mais peut être différent.

URL d'autorisation : URL du fournisseur OpenID où commence la séquence d'authentification. Souvent appelé authorization_endpoint dans un document de découverte.

URL du jeton : URL à partir de laquelle Looker récupère un jeton OAuth une fois que Looker a été autorisé. Souvent appelé token_endpoint dans un document de découverte.

URL des informations sur l'utilisateur : URL à partir de laquelle Looker récupère des informations détaillées sur l'utilisateur. Souvent appelé userinfo_endpoint dans un document de découverte.

Niveaux d'accès : liste des niveaux d'accès utilisés par le fournisseur OpenID pour fournir des informations utilisateur à Looker, séparés par une virgule. Vous devez inclure le champ d'application openid et tous les champs d'application qui incluent les informations requises par Looker, y compris les adresses e-mail, les noms d'utilisateur et tous les attributs utilisateur configurés sur votre instance Looker.

Configurer les paramètres liés aux attributs utilisateur

Dans cette section, vous allez mapper les revendications de l'OP aux attributs utilisateur Looker.

Dans la section User Attribute Settings (Paramètres des attributs utilisateur), saisissez le nom de la revendication de votre fournisseur OpenID qui contient les informations correspondantes pour chaque champ. Cela indique à Looker comment mapper ces revendications aux informations utilisateur Looker au moment de la connexion. Looker n'est pas très regardant sur la façon dont les revendications sont construites. Il est simplement important que les informations de revendication saisies ici correspondent à la façon dont les revendications sont définies dans votre OP.

Revendications standards

Looker exige un nom d'utilisateur et une adresse e-mail pour authentifier les utilisateurs. Dans cette section, saisissez les informations correspondantes sur la réclamation de votre OP :

Revendication d'adresse e-mail : revendication utilisée par votre OP pour les adresses e-mail des utilisateurs, par exemple email.

Revendication du prénom : revendication utilisée par votre OP pour les prénoms des utilisateurs, comme given_name.

Revendication du nom de famille : revendication utilisée par votre OP pour les noms de famille des utilisateurs, par exemple family_name.

Notez que certains OP utilisent une seule revendication pour les noms, au lieu de séparer le prénom et le nom de famille. Si c'est le cas de votre OP, saisissez la revendication qui stocke les noms dans les champs Revendication de prénom et Revendication de nom. Pour chaque utilisateur, Looker utilisera le contenu jusqu'au premier espace comme prénom et tout ce qui suit comme nom.

Associations d'attributs

Vous pouvez également utiliser les données de vos revendications OpenID Connect pour renseigner automatiquement les valeurs des attributs utilisateur Looker lorsqu'un utilisateur se connecte. Par exemple, si vous avez configuré OpenID Connect pour établir des connexions spécifiques à l'utilisateur avec votre base de données, vous pouvez associer vos revendications OpenID Connect à des attributs utilisateur Looker afin de rendre vos connexions à la base de données spécifiques à l'utilisateur dans Looker.

Pour associer des revendications aux attributs utilisateur Looker correspondants ou gérer les associations existantes, procédez comme suit :

  1. Dans la section Paramètres des attributs utilisateur, cliquez sur le bouton Gérer les associations pour ouvrir le panneau latéral Gérer les associations.
  2. Dans le champ Revendication, saisissez la revendication que vous souhaitez associer, telle qu'identifiée par votre OP. Les noms de revendication ne peuvent être saisis qu'une seule fois dans la liste. Si vous souhaitez associer une revendication OpenID Connect à plusieurs attributs Looker, vous pouvez saisir plusieurs attributs dans le champ Attributs utilisateur Looker.
  3. Dans le champ Attributs utilisateur Looker, une liste déroulante des attributs utilisateur Looker pour l'instance s'affiche. Sélectionnez le nom de l'attribut utilisateur Looker que vous souhaitez associer à la revendication OpenID Connect. Vous pouvez sélectionner plusieurs attributs utilisateur Looker. Vous devez sélectionner au moins un attribut utilisateur Looker.
  4. Cochez la case Obligatoire pour bloquer les tentatives de connexion de tout compte utilisateur pour lequel aucune valeur n'est indiquée dans ce champ de revendication.
  5. Cliquez sur le bouton Ajouter une association pour ajouter une autre ligne d'association à la liste. Répétez ces étapes pour ajouter d'autres paires de revendications et d'attributs.
  6. À droite de chaque ligne d'association se trouve une icône Supprimer l'association. Cliquez sur cette icône pour supprimer une association d'attributs de votre instance.
  7. Cliquez sur l'icône Fermer  pour quitter le panneau latéral Gérer les associations.
  8. Testez votre configuration OpenID Connect.
  9. Vérifiez votre configuration OpenID Connect, puis, en bas de la page Authentification OpenID Connect, cochez la case J'ai vérifié la configuration OpenID Connect.
  10. Cliquez sur le bouton Activer OpenID Connect ou Mettre à jour les paramètres OpenID Connect pour enregistrer vos associations de revendications et d'attributs.

Le panneau latéral Gérer les associations inclut également les outils suivants :

  • Menu de filtre Filtrer la liste et barre de recherche. Utilisez ces outils pour rechercher les associations déjà ajoutées à votre instance.
  • Menu déroulant de pagination Afficher. Utilisez ce menu pour afficher 10, 25, 50 ou 100 associations sur chaque page.

Revendications imbriquées

Certains fournisseurs OpenID peuvent avoir des revendications "imbriquées". Exemple :

"zoneinfo": "America/Los Angeles",
"phone_number": "555-1235",
"address": {
  "street_address": "1234 Main Street",
  "locality": "Anyton",
  "region": "IL",
  "postal_code": "60609",
  "country": "US"
},

Dans l'exemple précédent, la revendication locality est imbriquée dans la revendication address. Pour les revendications imbriquées, spécifiez les revendications parentes et imbriquées, séparées par une barre oblique ( /). Pour configurer Looker pour la revendication locality dans l'exemple, vous devez saisir address/locality.

Groupes et rôles

Vous pouvez demander à Looker de créer des groupes qui reflètent vos groupes OpenID Connect gérés en externe. Les groupes peuvent être utilisés pour définir des contrôles d'accès au contenu et attribuer des attributs utilisateur aux utilisateurs en fonction de leurs groupes OpenID Connect dupliqués. Lorsque vous modifiez l'appartenance à un groupe OpenID Connect, ces modifications sont automatiquement propagées dans la configuration du groupe Looker.

La duplication des groupes OpenID Connect vous permet d'utiliser votre répertoire OpenID Connect défini en externe pour gérer les groupes et les utilisateurs Looker. Cela vous permet de gérer l'appartenance à un groupe pour plusieurs outils SaaS (Software as a Service), tels que Looker, au même endroit.

Si vous activez l'option Dupliquer les groupes OpenID Connect, Looker créera un groupe Looker pour chaque groupe OpenID Connect introduit dans le système. Ces groupes Looker sont visibles sur la page Groupes de la section Admin de Looker.

Groupes et rôles par défaut

Par défaut, le bouton Dupliquer les groupes OpenID Connect est désactivé. Dans ce cas, vous pouvez définir un groupe par défaut pour les nouveaux utilisateurs OpenID Connect. Dans les champs Nouveaux groupes d'utilisateurs et Nouveaux rôles d'utilisateur, saisissez les noms des groupes ou rôles Looker auxquels vous souhaitez attribuer les nouveaux utilisateurs Looker lors de leur première connexion à Looker :

Ces groupes et rôles sont appliqués aux nouveaux utilisateurs lors de leur première connexion. Ils ne sont pas appliqués aux utilisateurs existants, et ne sont pas appliqués une nouvelle fois s'ils sont supprimés après la première connexion.

Activer la duplication des groupes OpenID Connect

Si vous utilisez une instance Looker (Google Cloud Core), nous vous recommandons d'activer la mise en miroir des groupes uniquement pour la méthode d'authentification principale et de ne pas l'activer pour l'authentification OAuth de secours. Si vous activez la mise en miroir des groupes pour les méthodes d'authentification principale et secondaire, les comportements suivants se produisent :

  • Si un utilisateur possède des identités fusionnées, la mise en miroir des groupes correspondra à la méthode d'authentification principale, quelle que soit la méthode d'authentification réellement utilisée pour se connecter.
  • Si un utilisateur ne dispose pas d'identités fusionnées, la mise en miroir des groupes correspondra à la méthode d'authentification utilisée pour se connecter.

Étapes pour activer les groupes mis en miroir

Pour dupliquer vos groupes OpenID Connect dans Looker, activez le bouton Dupliquer les groupes OpenID Connect. Looker affiche les paramètres suivants :

Revendication de groupes : saisissez la revendication que votre OP utilise pour stocker les noms de groupes. Ensuite, saisissez les informations sur les groupes pour configurer les groupes OpenID Connect spécifiques que vous souhaitez mettre en miroir dans Looker dans les champs Nom du groupe préféré / Rôles / Nom du groupe OpenID Connect. Il s'agit d'une étape obligatoire pour mapper les groupes OpenID Connect aux groupes Looker.

Bouton Gérer les groupes : cliquez sur ce bouton pour ouvrir le panneau latéral Gérer les groupes, dans lequel vous pouvez ajouter, supprimer ou modifier un groupe personnalisé ou les rôles qui lui sont attribués dans Looker. Le panneau latéral Gérer les groupes affiche les champs suivants :

  • Un champ Nom du groupe préféré. Saisissez un nom personnalisé pour le groupe dupliqué dans ce champ. Il s'agit du nom qui s'affichera sur la page Groupes de la section Admin de Looker.

  • Le champ Nom du groupe OpenID Connect. Saisissez le groupe OpenID Connect dans ce champ. Les utilisateurs OpenID Connect inclus dans le groupe OpenID Connect seront ajoutés au groupe dupliqué dans Looker.

  • Un champ Rôle. Dans ce champ, sélectionnez un ou plusieurs rôles Looker qui seront attribués à chaque utilisateur du groupe.

  • Icône Supprimer le mappage. Cliquez sur cette icône pour supprimer un groupe mis en miroir de votre instance Looker. Si vous supprimez un groupe, il ne sera plus dupliqué dans Looker et ses membres ne disposeront plus des rôles qui leur ont été attribués dans Looker par le biais de ce groupe.

Le panneau latéral Gérer les groupes inclut également les outils suivants :

  • Menu de filtres et barre de recherche Filtrer la liste. Utilisez ces outils pour rechercher les groupes qui ont déjà été ajoutés à votre instance.

  • Bouton Ajouter un mappage. Cliquez sur ce bouton pour ajouter un groupe personnalisé à l'instance.

  • Menu déroulant de pagination Afficher. Utilisez ce menu pour sélectionner le nombre de groupes à afficher sur chaque page.

Modifier les groupes mis en miroir

Si vous modifiez un groupe mis en miroir qui a été configuré précédemment sur cet écran, la configuration du groupe changera, mais le groupe lui-même restera intact. Par exemple, vous pouvez modifier le nom d'un groupe Looker, ce qui modifiera l'affichage du groupe sur la page Groupes de Looker, mais pas les rôles attribués ni les membres du groupe. Si vous modifiez le nom du groupe OpenID Connect, le nom et les rôles du groupe seront conservés, mais les membres du groupe seront réattribués en fonction des utilisateurs membres du groupe OpenID Connect externe portant le nouveau nom de groupe OpenID Connect.

Toute modification apportée à un groupe mis en miroir sera appliquée aux utilisateurs de ce groupe lors de leur prochaine connexion à Looker.

Gestion avancée des rôles

Si vous avez activé l'option Dupliquer les groupes OpenID Connect, Looker affiche ces paramètres. Les options de cette section déterminent la flexibilité dont disposent les administrateurs Looker lorsqu'ils configurent des groupes et des utilisateurs Looker dupliqués à partir d'OpenID Connect.

Par exemple, si vous souhaitez que la configuration de vos groupes et utilisateurs Looker corresponde exactement à votre configuration OpenID Connect, activez ces options. Lorsque les trois premières options sont activées, les administrateurs Looker ne peuvent pas modifier l'appartenance aux groupes dupliqués et ne peuvent attribuer des rôles aux utilisateurs que par le biais des groupes dupliqués OpenID Connect.

Si vous souhaitez bénéficier d'une plus grande flexibilité pour personnaliser davantage vos groupes dans Looker, désactivez ces options. Vos groupes Looker continueront de refléter votre configuration OpenID Connect, mais vous pourrez gérer les groupes et les utilisateurs dans Looker, par exemple en ajoutant des utilisateurs OpenID Connect à des groupes spécifiques à Looker ou en attribuant des rôles Looker directement aux utilisateurs OpenID Connect.

Pour les nouvelles instances Looker ou celles qui n'ont pas de groupes mis en miroir précédemment configurés, ces options sont désactivées par défaut.

Pour les instances Looker existantes pour lesquelles des groupes mis en miroir ont été configurés, ces options sont activées par défaut.

La section Gestion avancée des rôles contient les options suivantes :

Empêcher les utilisateurs OpenID Connect individuels de recevoir des rôles directs : l'activation de cette option empêche les administrateurs Looker d'attribuer des rôles Looker directement aux utilisateurs OpenID Connect. Les utilisateurs OpenID Connect ne recevront des rôles que s'ils sont membres d'un groupe. Si les utilisateurs OpenID Connect sont autorisés à rejoindre des groupes Looker intégrés (non dupliqués), ils peuvent toujours hériter de leurs rôles à la fois des groupes OpenID Connect dupliqués et des groupes Looker intégrés. Les rôles qui étaient auparavant attribués directement aux utilisateurs OpenID Connect seront supprimés lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent attribuer des rôles Looker directement aux utilisateurs OpenID Connect, comme s'ils étaient configurés directement dans Looker.

Empêcher l'adhésion directe à des groupes autres qu'OpenID Connect : l'activation de cette option empêche les administrateurs Looker d'ajouter des utilisateurs OpenID Connect directement à des groupes Looker intégrés. Si les groupes OpenID Connect dupliqués sont autorisés à être membres de groupes Looker intégrés, les utilisateurs OpenID Connect peuvent conserver leur appartenance à des groupes Looker parents. Tous les utilisateurs OpenID Connect qui étaient auparavant attribués à des groupes Looker intégrés seront supprimés de ces groupes lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent ajouter des utilisateurs OpenID Connect directement aux groupes Looker intégrés.

Empêcher l'héritage des rôles depuis des groupes autres qu'OpenID Connect : l'activation de cette option empêche les membres des groupes OpenID Connect dupliqués d'hériter des rôles des groupes Looker intégrés. Tous les utilisateurs OpenID Connect qui ont précédemment hérité de rôles d'un groupe Looker parent perdront ces rôles lors de leur prochaine connexion.

Si cette option est désactivée, les groupes OpenID Connect dupliqués ou les utilisateurs OpenID Connect ajoutés en tant que membres d'un groupe Looker intégré hériteront des rôles attribués au groupe Looker parent.

L'authentification nécessite un rôle : si cette option est activée, les utilisateurs OpenID Connect doivent se voir attribuer un rôle. Les utilisateurs OpenID Connect auxquels aucun rôle n'est attribué ne pourront pas se connecter à Looker.

Si cette option est désactivée, les utilisateurs OpenID Connect peuvent s'authentifier auprès de Looker même si aucun rôle ne leur est attribué. Un utilisateur sans rôle attribué ne pourra pas voir de données ni effectuer d'actions dans Looker, mais il pourra s'y connecter.

Désactiver la duplication des groupes OpenID Connect

Si vous souhaitez arrêter de dupliquer vos groupes OpenID Connect dans Looker, désactivez l'option Dupliquer les groupes OpenID Connect. Si vous désactivez le bouton bascule, les conséquences suivantes se produiront :

  • Tout groupe OpenID Connect dupliqué sans utilisateur est supprimé immédiatement.
  • Tout groupe OpenID Connect dupliqué qui contient des utilisateurs est marqué comme orphelin. Si aucun utilisateur de ce groupe ne se connecte dans un délai de 31 jours, le groupe est supprimé. Il n'est plus possible d'ajouter ni de supprimer des utilisateurs dans les groupes OpenID Connect orphelins.

Configurer les options de migration

Comme expliqué dans cette section, Looker recommande d'activer la méthode de connexion alternative et de fournir une stratégie de fusion pour les utilisateurs existants.

Méthode de connexion alternative pour les utilisateurs spécifiés

Les connexions Looker par combinaison adresse e-mail/mot de passe sont toujours désactivées pour les utilisateurs standards lorsque l'authentification OpenID Connect est activée. L'option Méthode de connexion alternative pour les utilisateurs spécifiés permet aux administrateurs et aux utilisateurs spécifiés disposant de l'autorisation login_special_email de se connecter avec une méthode alternative basée sur l'e-mail secondaire à l'aide de /login/email.

La méthode de connexion alternative est utile comme solution de secours lors de la configuration d'OpenID Connect, si des problèmes de configuration OpenID Connect surviennent ultérieurement ou si vous devez assister des utilisateurs qui n'ont pas de compte dans votre annuaire OpenID Connect.

Spécifiez la méthode utilisée pour associer les utilisateurs OpenID Connect à un compte Looker.

Dans le champ Fusionner les utilisateurs à l'aide de, spécifiez la méthode à utiliser pour fusionner une première connexion OpenID Connect avec un compte utilisateur existant. Vous pouvez fusionner des utilisateurs à partir des systèmes suivants :

  • Adresse e-mail/Mot de passe Looker (non disponible pour Looker (Google Cloud Core))
  • Google
  • LDAP (non disponible pour Looker (Google Cloud Core))
  • SAML

Si vous avez mis en place plusieurs systèmes d'authentification, vous pouvez spécifier plusieurs systèmes de fusion dans ce champ. Looker recherche les utilisateurs dans les systèmes listés dans l'ordre spécifié. Par exemple, supposons que vous ayez créé des utilisateurs à l'aide de la combinaison adresse e-mail/mot de passe Looker, que vous ayez ensuite activé LDAP et que vous souhaitiez maintenant utiliser OpenID Connect. Dans l'exemple précédent, Looker fusionnerait d'abord par adresse e-mail et mot de passe, puis par LDAP.

Lorsqu'un utilisateur se connecte pour la première fois avec OpenID Connect, cette option le connecte à son compte existant en recherchant le compte correspondant à son adresse e-mail. S'il n'existe aucun compte pour l'utilisateur, un compte utilisateur sera créé.

Pour résoudre les problèmes de comptes en double, supprimez les comptes de messagerie en double inutilisés depuis l'interface administrateur. Pour accorder à un utilisateur l'accès à une adresse e-mail tout en conservant son compte OpenID Connect, les administrateurs doivent créer des identifiants d'adresse e-mail directement dans le compte OpenID Connect existant à l'aide de l'API Looker, plutôt que de créer un compte utilisateur distinct dans l'interface utilisateur de l'administration.

Fusionner des utilisateurs avec Looker (Google Cloud Core)

Lorsque vous utilisez Looker (Google Cloud Core) et OpenID Connect, la fusion fonctionne comme décrit dans la section précédente. Toutefois, cela n'est possible que si l'une des deux conditions suivantes est remplie :

  • Condition 1 : les utilisateurs s'authentifient dans Looker (Google Cloud Core) à l'aide de leurs identités Google via le protocole OpenID Connect.

  • Condition 2 : Avant de sélectionner l'option de fusion, vous avez effectué les deux étapes suivantes :

    1. Identités des utilisateurs fédérés dans Google Cloud à l'aide de Cloud Identity.
    2. Configurez l'authentification OAuth comme méthode d'authentification de secours à l'aide des utilisateurs fédérés.

Si la configuration ne remplit pas l'une de ces deux conditions, l'option Fusionner les utilisateurs à l'aide de ne sera pas disponible.

Lors de la fusion, Looker recherche les fiches utilisateur qui partagent exactement la même adresse e-mail.

Tester l'authentification des utilisateurs

Lorsque vous spécifiez cette configuration, cliquez sur le bouton Test pour tester votre configuration OpenID Connect.

Les tests redirigeront vers les points de terminaison et ouvriront un nouvel onglet du navigateur. L'onglet affiche les éléments suivants :

  • Si Looker a pu communiquer avec les différents points de terminaison et valider
  • Trace de la réponse du point de terminaison d'authentification
  • Informations utilisateur que Looker obtient à partir du point de terminaison d'informations utilisateur
  • Versions décodée et brute du jeton d'identité reçu

Vous pouvez utiliser ce test pour vérifier que les informations reçues des différents points de terminaison sont correctes et pour résoudre les problèmes.

Astuces :

  • Vous pouvez exécuter ce test à tout moment, même si OpenID Connect est partiellement configuré. L'exécution d'un test peut être utile lors de la configuration pour identifier les paramètres à configurer.
  • Le test utilise les paramètres saisis sur la page Authentification OpenID Connect, même s'ils n'ont pas été enregistrés. Le test n'aura aucune incidence sur les paramètres de cette page, qui resteront inchangés.

Enregistrer et appliquer les paramètres

Une fois que vous avez saisi vos informations et que tous les tests sont réussis, sélectionnez J'ai vérifié la configuration ci-dessus et je souhaite l'appliquer dans le monde entier, puis cliquez sur Mettre à jour les paramètres pour enregistrer.

Comportement de connexion des utilisateurs

Lorsqu'un utilisateur tente de se connecter à une instance Looker à l'aide d'OpenID Connect (OIDC), Looker ouvre la page Se connecter. L'utilisateur doit cliquer sur le bouton Authenticate (S'authentifier) pour lancer l'authentification via OIDC.

Contrairement à l'authentification SAML, l'authentification OpenID Connect n'est pas compatible avec la fonctionnalité Ignorer la page de connexion. L'interface administrateur de Looker ne propose aucune option permettant de contourner la page de connexion pour les utilisateurs OIDC. Cela signifie que les utilisateurs doivent cliquer manuellement sur S'authentifier pour lancer le flux d'authentification OIDC.

Dépannage

Pour résoudre les problèmes d'authentification, consultez le tableau de bord Activité des utilisateurs dans Activité du système. Ce tableau de bord comporte des tuiles qui affichent les échecs de connexion récents, ainsi que la méthode d'authentification utilisée, le message d'erreur renvoyé et l'heure de la tentative.

Résoudre les problèmes liés à OIDC sur les instances Looker (Google Cloud Core)

Si vous rencontrez des problèmes de connexion ou de délai avant expiration lors de la configuration ou du test de l'authentification OIDC sur une instance Looker (Google Cloud Core) (par exemple, des erreurs 504 Upstream Request Timeout, des erreurs HttpClient:ConnectTimeoutError execution expired, des routes réseau de sortie contrôlées manquantes ou des erreurs d'incohérence d'URI de redirection trompeuses), consultez Résoudre les problèmes de mise en réseau Looker (Google Cloud Core).