Configuración del administrador: Autenticación de SAML

Nota: Los clientes que usan Looker (Google Cloud Core) deben tener en cuenta su responsabilidad de controlar el acceso y los permisos cuando usan proveedores de identidad de terceros. Para obtener más información, consulta la página Nuestra asociación de seguridad compartida.

La página SAML de la sección Autenticación del menú Administrador te permite configurar Looker para autenticar usuarios con el lenguaje de marcado para confirmaciones de seguridad (SAML). En esta página, se describe ese proceso y se incluyen instrucciones para vincular grupos de SAML a roles y permisos de Looker.

Requisitos

Looker muestra la página SAML en la sección Autenticación del menú Administrador solo si se cumplen las siguientes condiciones:

• Tienes el rol de administrador.
• Tu instancia de Looker (original) está habilitada para usar SAML. Comunícate con tu ejecutivo de cuentas para habilitar SAML.
• Tu instancia de Looker (Google Cloud Core) usa Google OAuth como el método de autenticación principal.

Si se cumplen estas condiciones y no ves la página SAML, abre una solicitud de asistencia para habilitar SAML en tu instancia.

Nota: Después de que el equipo de asistencia confirme que SAML está habilitado, es posible que debas actualizar tu clave de licencia para ver la página SAML de inmediato. Para ello, navega a la página Configuración general en la sección Administrador de Looker y haz clic en Actualizar junto al campo Clave de licencia.

SAML y proveedores de identidad

Las empresas usan diferentes proveedores de identidad (IdP) para coordinar con SAML (por ejemplo, Okta o OneLogin). Es posible que los términos que se usan en las siguientes instrucciones de configuración y en la IU no coincidan directamente con los que usa tu IdP. Si necesitas aclaraciones durante la configuración, comunícate con tu equipo interno de SAML o autenticación, o con el equipo de asistencia de Looker.

Looker supone que las solicitudes y aserciones de SAML estarán comprimidas, por lo que debes asegurarte de que tu IdP esté configurado de esa manera. Las solicitudes de Looker al IdP no están firmadas.

Looker admite el acceso iniciado por el IdP.

Parte del proceso de configuración se debe completar en el sitio web del IdP.

Okta ofrece una app de Looker, que es la forma recomendada de configurar Looker y Okta juntos.

Cómo configurar Looker en tu proveedor de identidad

Tu IdP de SAML necesitará la URL de la instancia de Looker a la que el IdP de SAML debe enviar aserciones de SAML. En tu IdP, es posible que se llame "URL de devolución de datos", "Destinatario" o "Destino", entre otros nombres.

La información que debes proporcionar es la URL que usas para acceder a tu instancia de Looker con el navegador, seguida de /samlcallback. Por ejemplo: none https://instance_name.looker.com/samlcallback

o

https://looker.mycompany.com/samlcallback

Algunos IdP también requieren que agregues :9999 después de la URL de tu instancia. Por ejemplo:

https://instance_name.looker.com:9999/samlcallback

Información importante

Ten en cuenta los siguientes datos:

• Looker requiere SAML 2.0.
• No inhabilites la autenticación de SAML mientras accedes a Looker a través de SAML, a menos que tengas configurado un acceso alternativo a la cuenta. De lo contrario, es posible que pierdas el acceso a la app.
• Looker puede migrar cuentas existentes a SAML con direcciones de correo electrónico que provienen de configuraciones actuales de correo electrónico y contraseña, o de Google Auth, LDAP o OIDC. Podrás configurar cómo se migran las cuentas existentes en el proceso de configuración.

Cómo comenzar

Para configurar la autenticación de SAML en tu instancia de Looker, selecciona SAML en la sección Autenticación del panel Administrador. En la página SAML Authentication, selecciona Configure SAML para ver las siguientes opciones de configuración.

Nota: Los cambios en las opciones de configuración no surtirán efecto hasta que pruebes y guardes la configuración en la parte inferior de la página.

Configuración de autenticación de SAML

Looker requiere la URL del IdP, la entidad emisora del IdP y el certificado del IdP para autenticar tu IdP.

Es posible que tu IdP ofrezca un documento XML de metadatos del IdP durante el proceso de configuración de Looker en el lado del IdP. Este archivo contiene toda la información solicitada en la sección Configuración de autenticación de SAML. Si tienes este archivo, puedes subirlo en el campo Metadatos del IdP, que completará los campos obligatorios de esta sección. Como alternativa, puedes completar los campos obligatorios con el resultado obtenido durante la configuración del IdP. No es necesario que completes los campos si subes el archivo en formato XML.

• Metadatos del IdP (opcional): Pega la URL pública del documento XML que contiene la información del IdP o pega el texto completo del documento aquí. Looker analizará ese archivo para completar los campos obligatorios.

Si no subiste ni pegaste un documento XML de metadatos del IdP, ingresa la información de autenticación del IdP en los campos URL del IdP, Entidad emisora del IdP y Certificado del IdP.

• URL del IdP: Es la URL a la que Looker irá para autenticar a los usuarios. En Okta, se denomina URL de redireccionamiento.

• Entidad emisora del IdP: Es el identificador único del IdP. En Okta, se denomina "clave externa".

• Certificado de IdP: Es la clave pública que permite que Looker verifique la firma de las respuestas del IdP.

En conjunto, estos tres campos permiten que Looker confirme que un conjunto de aserciones de SAML firmadas realmente provino de un IdP de confianza.

• Entidad de SP y público de IdP: Looker no requiere este campo, pero muchos IdP sí lo harán. Si ingresas un valor en este campo, ese valor se enviará a tu IdP como el Entity ID de Looker en las solicitudes de autorización. En ese caso, Looker solo aceptará respuestas de autorización que tengan este valor como Audience. Si tu IdP requiere un valor Audience, ingresa esa cadena aquí.

Nota: Este valor también se usa como el campo issuer en los mensajes que se envían al IdP. Por lo tanto, si tu IdP se queja de que recibe mensajes que no especifican un emisor, debes establecer este valor. Puedes usar cualquier cadena que requiera tu IdP. En la mayoría de los casos, puedes usar Looker. Si este campo está presente, tu IdP debe enviarlo como el campo audience en el mensaje que envía a Looker.

• Allowed Clock Drift: Es la cantidad de segundos de desviación del reloj (la diferencia en las marcas de tiempo entre el IdP y Looker) que se permite. Por lo general, este valor será el valor predeterminado de 0, pero algunos IdP pueden requerir una holgura adicional para que los accesos sean exitosos.

Configuración de los atributos del usuario

En los siguientes campos, especifica el nombre del atributo en la configuración de SAML de tu IdP que contiene la información correspondiente para cada campo. Ingresar los nombres de los atributos de SAML le indica a Looker cómo asignar esos campos y extraer su información en el momento del acceso. Looker no tiene requisitos específicos sobre cómo se construye esta información, solo es importante que la forma en que la ingresas en Looker coincida con la forma en que se definen los atributos en tu IdP. Looker proporciona sugerencias predeterminadas sobre cómo construir esas entradas.

Atributos estándares

Deberás especificar los siguientes atributos estándares:

• Atributo de correo electrónico: Es el nombre del atributo que usa tu IdP para las direcciones de correo electrónico de los usuarios.

• FName Attr: Es el nombre del atributo que usa tu IdP para los nombres de los usuarios.

• LName Attr: Es el nombre del atributo que tu IdP usa para los apellidos de los usuarios.

Vincula atributos de SAML con atributos de usuario de Looker

De manera opcional, puedes usar los datos de tus atributos de SAML para propagar automáticamente los valores en los atributos de usuario de Looker cuando un usuario accede. Por ejemplo, si configuraste SAML para establecer conexiones específicas de usuario con tu base de datos, puedes vincular tus atributos de SAML con los atributos de usuario de Looker para hacer que las conexiones de tu base de datos sean específicas de usuario en Looker.

Para vincular atributos SAML con los atributos de usuario correspondientes de Looker, sigue estos pasos:

1. Ingresa el nombre del atributo de SAML en el campo Atributo de SAML y el nombre del atributo de usuario de Looker con el que deseas vincularlo en el campo Atributos de usuario de Looker.
2. Selecciona Obligatorio si deseas que se requiera un valor de atributo SAML para permitir que un usuario acceda.
3. Haz clic en + y repite estos pasos para agregar más pares de atributos.

Para vincular los atributos de usuario de SAML con los atributos de usuario de Looker correspondientes o administrar las vinculaciones existentes, sigue estos pasos:

1. En la sección Configuración de atributos del usuario, haz clic en el botón Administrar vinculaciones para abrir el panel lateral Administrar vinculaciones.
2. En el campo Reclamación, ingresa el nombre del atributo de SAML que deseas vincular. Solo puedes ingresar cada nombre de reclamo una vez. Si deseas asociar un reclamo con varios atributos de Looker, puedes ingresar varios atributos en el campo Atributos de usuario de Looker.
3. En el campo Atributos de usuario de Looker, aparece una lista desplegable de atributos de usuario de Looker para la instancia. Selecciona el nombre del atributo de usuario de Looker que deseas vincular con el atributo de SAML. Puedes seleccionar varios atributos de usuario de Looker para un reclamo, pero debes seleccionar al menos uno.
4. Selecciona la casilla de verificación Obligatorio si deseas solicitar un valor de atributo SAML para permitir que un usuario acceda.
5. Haz clic en el botón Agregar vinculación para agregar otra fila de vinculación a la lista. Repite estos pasos para agregar más pares de atributos.
6. A la derecha de cada fila de vinculación, hay un ícono de Quitar vinculación. Haz clic en este ícono para quitar una vinculación de atributos de tu instancia.
7. Haz clic en el ícono de Cerrar para salir del panel lateral Administrar vinculaciones.
8. Prueba tu configuración de SAML.
9. Verifica tu configuración de SAML y, en la parte inferior de la página Autenticación de SAML, selecciona la casilla de verificación Verifiqué la configuración de SAML.
10. Haz clic en el botón Habilitar SAML o Actualizar la configuración de SAML para guardar las vinculaciones de atributos de usuario de SAML.

El panel lateral Administrar vinculaciones también incluye las siguientes herramientas:

• El menú de filtros y la barra de búsqueda de Lista de filtros. Usa estas herramientas para buscar las vinculaciones que ya se agregaron a tu instancia.
• El menú desplegable de paginación Display Usa este menú para mostrar 10, 25, 50 o 100 vinculaciones en cada página.

Grupos y roles

Tienes la opción de que Looker cree grupos que reflejen tus grupos de SAML administrados externamente y, luego, asigne a esos usuarios roles de Looker basados en sus grupos de SAML replicados. Cuando realices cambios en la membresía de tu grupo de SAML, esos cambios se aplicarán a los usuarios de ese grupo de Looker la próxima vez que accedan a Looker.

La replicación de grupos de SAML te permite usar tu directorio de SAML definido externamente para administrar grupos y usuarios de Looker. Esto, a su vez, te permite administrar la pertenencia a un grupo para varias herramientas de software como servicio (SaaS), como Looker, en un solo lugar.

Si activas Replicar grupos de SAML, Looker creará un grupo de Looker para cada grupo de SAML que se introduzca en el sistema. Esos grupos de Looker se pueden ver en la página Grupos de la sección Administrador de Looker. Los grupos se pueden usar para asignar roles a los miembros del grupo, establecer controles de acceso al contenido y asignar atributos de usuario.

Grupos y roles predeterminados

De forma predeterminada, el interruptor Mirror SAML Groups está desactivado. En este caso, puedes establecer un grupo predeterminado para los usuarios nuevos de SAML. En los campos Grupos de usuarios nuevos y Roles de usuarios nuevos, ingresa los nombres de los grupos o roles de Looker a los que deseas asignar usuarios nuevos de Looker cuando accedan a Looker por primera vez:

Estos grupos y roles se aplican a los usuarios nuevos en su acceso inicial. Los grupos y roles no se aplican a los usuarios existentes y no se vuelven a aplicar si se quitan de los usuarios después de su acceso inicial.

Si luego habilitas la opción para replicar grupos de SAML, estos valores predeterminados se quitarán para los usuarios cuando vuelvan a acceder y se reemplazarán por los roles asignados en la sección Replicar grupos de SAML. Estas opciones predeterminadas ya no estarán disponibles ni se asignarán, y se reemplazarán por completo por la configuración de grupos duplicados.

Habilitar la replicación de grupos de SAML

Si usas una instancia de Looker (Google Cloud Core), te recomendamos que habilites la duplicación de grupos solo para el método de autenticación principal y que no la habilites para la autenticación de OAuth de copia de seguridad. Si habilitas la duplicación de grupos para los métodos de autenticación principal y secundario, se producirán los siguientes comportamientos:

• Si un usuario tiene identidades combinadas, la duplicación de grupos coincidirá con el método de autenticación principal, independientemente del método de autenticación real que se use para acceder.
• Si un usuario no tiene identidades combinadas, la duplicación de grupos coincidirá con el método de autenticación que se usó para acceder.

Pasos para habilitar los grupos replicados

Si eliges replicar tus grupos de SAML en Looker, activa el interruptor Replicar grupos de SAML. Looker muestra estos parámetros de configuración:

Estrategia de búsqueda de grupos: Selecciona el sistema que usa el IdP para asignar grupos, lo que depende de tu IdP.

• Casi todos los IdP usan un solo valor de atributo para asignar grupos, como se muestra en este ejemplo de aserción de SAML: none <saml2:Attribute Name='Groups'> <saml2:AttributeValue >Everyone</saml2:AttributeValue> <saml2:AttributeValue >Admins</saml2:AttributeValue> </saml2:Attribute> En este caso, selecciona Grupos como valores de atributos únicos.

• Algunos IdP usan un atributo independiente para cada grupo y, luego, requieren un segundo atributo para determinar si un usuario es miembro de un grupo. A continuación, se muestra un ejemplo de aserción de SAML que ilustra este sistema: none <saml2:Attribute Name='group_everyone'> <saml2:AttributeValue >yes</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute Name='group_admins'> <saml2:AttributeValue >no</saml2:AttributeValue> </saml2:Attribute> En este caso, selecciona Grupos como atributos individuales con valor de membresía.

Atributo de grupos: Looker muestra este campo cuando la Estrategia de búsqueda de grupos se establece en Grupos como valores de un solo atributo. Ingresa el nombre del atributo de grupos que usa el IdP.

Valor de miembro del grupo: Looker muestra este campo cuando la Estrategia de búsqueda de grupos se establece en Grupos como atributos individuales con valor de membresía. Ingresa el valor que indica que un usuario es miembro de un grupo.

El botón Administrar grupos: Haz clic en este botón para abrir el panel lateral Administrar grupos, en el que puedes agregar, quitar o editar un grupo personalizado o los roles que se asignan al grupo correspondiente en Looker. En el panel lateral Administrar grupos, se muestran los siguientes campos:

• Un campo Nombre del grupo preferido Ingresa un nombre personalizado para el grupo duplicado en este campo. Este es el nombre que se mostrará en la página Grupos de la sección Administrador de Looker.

• El campo Nombre del grupo SAML Ingresa el grupo de SAML en este campo. Para los usuarios de Okta, ingresa el nombre del grupo de Okta como el ID del grupo de SAML. Los usuarios de SAML que se incluyan en el grupo de SAML se agregarán al grupo replicado en Looker.

• Un campo Role En este campo, selecciona uno o más roles de Looker que se asignarán a cada usuario del grupo.

• Un ícono de delete Quitar asignación. Haz clic en este ícono para quitar un grupo duplicado de tu instancia de Looker. Si borras un grupo, ya no se duplicará en Looker y sus miembros ya no tendrán los roles en Looker que se les asignaron a través de ese grupo.

El panel lateral Administrar grupos también incluye las siguientes herramientas:

• El menú de filtros Filter List y la barra de búsqueda. Usa estas herramientas para buscar los grupos que ya se agregaron a tu instancia.

• El botón Agregar asignación. Haz clic en este botón para agregar un grupo personalizado a la instancia.

Cómo editar grupos replicados

Si editas un grupo duplicado que se configuró anteriormente en esta pantalla, la configuración del grupo cambiará, pero el grupo en sí permanecerá intacto. Por ejemplo, podrías cambiar el nombre de un grupo de Looker, lo que modificaría la forma en que aparece el grupo en la página Grupos de Looker, pero no cambiaría los roles asignados ni los miembros del grupo. Si se cambia el nombre del grupo de SAML, se mantendrán el nombre y los roles del grupo, pero los miembros del grupo se reasignarán según los usuarios que sean miembros del grupo de SAML externo que tenga el nuevo nombre del grupo de SAML.

Las modificaciones que se realicen en un grupo duplicado se aplicarán a los usuarios de ese grupo la próxima vez que accedan a Looker.

Administración avanzada de roles

Si habilitaste el botón de activación Mirror SAML Groups, Looker mostrará estos parámetros de configuración. Las opciones de esta sección determinan cuánta flexibilidad tienen los administradores de Looker cuando configuran los grupos y usuarios de Looker que se replicaron desde SAML.

Por ejemplo, si quieres que la configuración de usuarios y grupos de Looker coincida estrictamente con tu configuración de SAML, activa estas opciones. Cuando se habilitan las tres primeras opciones, los administradores de Looker no pueden modificar las membresías de los grupos replicados y solo pueden asignar roles a los usuarios a través de los grupos replicados de SAML.

Si quieres tener más flexibilidad para personalizar tus grupos en Looker, desactiva estas opciones. Tus grupos de Looker seguirán reflejando tu configuración de SAML, pero podrás realizar una administración adicional de grupos y usuarios en Looker, como agregar usuarios de SAML a grupos específicos de Looker o asignar roles de Looker directamente a usuarios de SAML.

En el caso de las instancias nuevas de Looker o de las instancias que no tienen grupos duplicados configurados previamente, estas opciones están desactivadas de forma predeterminada.

En el caso de las instancias de Looker existentes que tienen grupos duplicados configurados, estas opciones están activadas de forma predeterminada.

Advertencia: Si activas parámetros de configuración más restrictivos, los usuarios perderán la membresía de grupo o los roles asignados que se configuraron directamente en Looker. Esto ocurre la próxima vez que esos usuarios accedan a Looker.

La sección Administración avanzada de roles contiene las siguientes opciones:

Prevent Individual SAML Users from Receiving Direct Roles: Si activas esta opción, los administradores de Looker no podrán asignar roles de Looker directamente a los usuarios de SAML. Los usuarios de SAML recibirán roles solo a través de sus pertenencias a grupos. Si se permite que los usuarios de SAML pertenezcan a grupos de Looker integrados (no replicados), estos pueden heredar sus roles tanto de los grupos de SAML replicados como de los grupos de Looker integrados. A los usuarios de SAML a los que se les asignaron roles directamente se les quitarán esos roles la próxima vez que accedan.

Si esta opción está desactivada, los administradores de Looker pueden asignar roles de Looker directamente a los usuarios de SAML como si estuvieran configurados directamente en Looker.

Impedir la pertenencia directa a grupos que no pertenecen a SAML: Si activas esta opción, los administradores de Looker no podrán agregar usuarios de SAML directamente a los grupos integrados de Looker. Si se permite que los grupos de SAML replicados sean miembros de grupos de Looker integrados, los usuarios de SAML pueden conservar la membresía en cualquier grupo de Looker superior. Los usuarios de SAML que se hayan asignado previamente a grupos integrados de Looker se quitarán de esos grupos cuando vuelvan a acceder.

Si esta opción está desactivada, los administradores de Looker pueden agregar usuarios de SAML directamente a los grupos integrados de Looker.

Impedir la herencia de roles de grupos que no son de SAML: Si activas esta opción, los miembros de los grupos de SAML replicados no heredarán roles de los grupos integrados de Looker. Los usuarios de SAML que anteriormente heredaron roles de un grupo principal de Looker perderán esos roles cuando vuelvan a acceder.

Si esta opción está desactivada, los grupos de SAML replicados o los usuarios de SAML que se agreguen como miembros de un grupo de Looker integrado heredarán los roles asignados al grupo de Looker superior.

Auth Requires Role: Si esta opción está activada, los usuarios de SAML deben tener un rol asignado. Los usuarios de SAML que no tengan un rol asignado no podrán acceder a Looker.

Si esta opción está desactivada, los usuarios de SAML pueden autenticarse en Looker incluso si no tienen ningún rol asignado. Un usuario sin un rol asignado no podrá ver ningún dato ni realizar ninguna acción en Looker, pero podrá acceder a Looker.

Cómo inhabilitar la replicación de grupos de SAML

Si quieres dejar de replicar tus grupos de SAML en Looker, desactiva el interruptor Replicar grupos de SAML. Si desactivas el interruptor, se producirá el siguiente comportamiento:

• Cualquier grupo de SAML duplicado que no tenga usuarios se borrará de inmediato.
• Cualquier grupo de SAML duplicado que sí contenga usuarios se marcará como huérfano. Si ningún usuario de este grupo se conecta en un plazo de 31 días, se borrará el grupo. Ya no se pueden agregar ni quitar usuarios de los grupos de SAML huérfanos.

Opciones de migración

Nota: Looker recomienda que proporciones una estrategia de combinación, como se explica en esta sección. Cuando usas Looker (original), Looker también recomienda que habilites acceso alternativo.

Acceso alternativo para administradores y usuarios especificados

Nota: El acceso alternativo no está disponible para Looker (Google Cloud Core). De forma predeterminada, el método de autenticación alternativo para Looker (Google Cloud Core) es OAuth.

Los accesos con correo electrónico y contraseña de Looker siempre están inhabilitados para los usuarios normales cuando se habilita la autenticación de SAML. Esta opción permite el acceso con correo electrónico alternativo con /login/email para los administradores y los usuarios especificados con el permiso login_special_email.

Activar esta opción es útil como resguardo durante la configuración de la autenticación de SAML en caso de que se produzcan problemas de configuración de SAML más adelante o si necesitas admitir a algunos usuarios que no tienen cuentas en tu directorio de SAML. El extremo /login/email no se puede inhabilitar ni ocultar por completo, ya que funciona como un mecanismo de resguardo fundamental para garantizar que los administradores puedan recuperar el acceso si la configuración principal de SAML falla o se configura de forma incorrecta. Si un administrador se bloquea accidentalmente cuando configura la lista de IPs permitidas, comunícate con el equipo de asistencia de Google Cloud para recuperar el acceso.

Nota: Si un usuario se autenticó en la instancia de Looker solo con SAML, puedes habilitar el acceso alternativo solo con la API de Looker. Para obtener información sobre cómo hacerlo, consulta la página de documentación Cómo habilitar la opción de acceso alternativa.

Quita las credenciales de correo electrónico heredadas para los usuarios de SAML

Cuando se habilita la autenticación de SAML, los accesos estándar con correo electrónico y contraseña de Looker se inhabilitan para los usuarios normales en la IU de Looker, pero las credenciales de correo electrónico existentes permanecen asociadas con las cuentas de usuario. Para quitar de forma permanente las credenciales de correo electrónico de una cuenta de usuario (por ejemplo, para cumplir con las políticas de seguridad o evitar las notificaciones por correo electrónico automáticas que se activan por intentos de acceso no autorizados), los administradores deben usar la API de Looker.

Para borrar las credenciales de correo electrónico de un usuario individual, usa el extremo DELETE /users/{user_id}/credentials_email en la API de Looker.

Para borrar credenciales de correo electrónico de forma masiva, puedes usar secuencias de comandos de la API de Looker o herramientas de administración de usuarios masiva (como el paquete de herramientas de administrador de Looker de código abierto).

Precaución: Antes de borrar las credenciales de correo electrónico de las cuentas de administrador de Looker, asegúrate de que la autenticación de SAML esté completamente probada y en funcionamiento, y de que los administradores puedan acceder a través de SAML o tengan configurado otro método de autenticación de respaldo. Borrar las credenciales de correo electrónico cuando SAML está mal configurado o el acceso alternativo está inhabilitado puede provocar que los administradores no puedan acceder a la instancia.

Especifica el método que se usa para combinar usuarios de SAML con una cuenta de Looker

En el campo Combinar usuarios con, especifica el método que se usará para combinar un primer acceso de SAML con una cuenta de usuario existente. Puedes combinar usuarios de los siguientes sistemas:

• Correo electrónico y contraseña de Looker (no disponible para Looker (Google Cloud Core))
• Google
• LDAP (no disponible para Looker (Google Cloud Core))
• OIDC

Si tienes más de un sistema implementado, puedes especificar más de un sistema para combinar en este campo. Looker buscará usuarios en los sistemas que se indican en el orden en que se especifican. Por ejemplo, supongamos que creaste algunos usuarios con el correo electrónico y la contraseña de Looker, luego habilitaste LDAP y ahora quieres usar SAML. Looker primero combinaría los datos por correo electrónico y contraseña, y luego por LDAP.

Cuando un usuario acceda por primera vez a través de SAML, esta opción lo conectará a su cuenta existente buscando la cuenta con una dirección de correo electrónico coincidente. Si no existe una cuenta de usuario para el usuario, se creará una cuenta de usuario nueva.

Cómo controlar los cambios de dominio del IdP

Si cambia el dominio de tu proveedor de identidad (IdP), el saml_user_id se reemplaza automáticamente por el valor nuevo cuando el usuario accede correctamente por primera vez con el dominio nuevo. Los administradores de Looker no necesitan cambiar ni volver a configurar manualmente este atributo administrado por el sistema en Looker.

Para garantizar una transición sin problemas, sigue estos pasos:

1. Actualiza el atributo Email de los usuarios de Looker a la dirección de correo electrónico del dominio nuevo.
2. Asegúrate de que la opción Combinar usuarios con esté configurada para permitir la combinación por correo electrónico.

Combina usuarios cuando uses Looker (Google Cloud Core)

Cuando usas Looker (Google Cloud Core) y SAML, la combinación funciona como se describe en la sección anterior. Sin embargo, solo es posible si se cumple una de las siguientes dos condiciones:

1. Condición 1: Los usuarios se autentican en Looker (Google Cloud Core) con sus identidades de Google a través del protocolo SAML.

2. Condición 2: Antes de seleccionar la opción de combinación, completaste los siguientes dos pasos:

   • Federar las identidades de los usuarios en Google Cloud con Cloud Identity
   • Configura la autenticación por OAuth como método de autenticación alternativo con los usuarios federados.

Si tu instancia no cumple con una de estas dos condiciones, la opción Combinar usuarios con no estará disponible.

Cuando se realice la combinación, Looker (Google Cloud Core) buscará registros de usuarios que compartan exactamente la misma dirección de correo electrónico.

Cómo probar la autenticación de usuarios

Haz clic en el botón Probar para probar la configuración. Las pruebas se redireccionarán al servidor y se abrirá una pestaña del navegador. En la pestaña, se muestra lo siguiente:

• Indica si Looker pudo comunicarse con el servidor y validarlo.
• Los nombres que Looker obtiene del servidor. Debes validar que el servidor devuelva los resultados adecuados.
• Es un registro para mostrar cómo se encontró la información. Usa el seguimiento para solucionar problemas si la información es incorrecta. Si necesitas información adicional, puedes leer el archivo XML sin procesar del servidor.

Nota: Lee los resultados de la prueba con atención, ya que algunas partes de la prueba pueden tener éxito, incluso si otras fallan.

Sugerencias:

• Puedes ejecutar esta prueba en cualquier momento, incluso si SAML está configurado parcialmente. Ejecutar una prueba puede ser útil durante la configuración para ver qué parámetros necesitan configurarse.
• La prueba usa la configuración ingresada en la página Autenticación de SAML, incluso si no se guardó esa configuración. La prueba no afectará ni cambiará ninguno de los parámetros de configuración de esa página.
• Durante la prueba, Looker pasa información al IdP con el parámetro RelayState de SAML. El IdP debe devolver este valor de RelayState a Looker sin modificar.

Nota: Asegúrate de verificar que todas las pruebas se aprueben antes de hacer clic en Actualizar configuración. Si guardas información de configuración de SAML incorrecta, es posible que tú y otros usuarios no puedan acceder a Looker.

Cómo guardar y aplicar la configuración

Una vez que termines de ingresar tu información y todas las pruebas se aprueben, selecciona Confirmé la configuración anterior y quiero habilitar su aplicación global y haz clic en Actualizar la configuración para guardar los cambios.

Comportamiento de acceso de los usuarios

Cuando un usuario intenta acceder a una instancia de Looker con SAML, Looker se abre en la página Acceder. El usuario debe hacer clic en el botón Autenticar para iniciar la autenticación a través de SAML.

Este es el comportamiento predeterminado si el usuario aún no tiene una sesión activa de Looker.

Si quieres que los usuarios accedan directamente a tu instancia de Looker después de que el IdP los autentique y omitan la página Acceder, activa Omitir página de acceso en Comportamiento de acceso.

Si usas Looker (original), Looker debe habilitar la función Omitir página de acceso. Para actualizar tu licencia para esta función, comunícate con un especialista en ventas de Google Cloud o abre una solicitud de asistencia. Si usas Looker (Google Cloud Core), la opción Omitir página de acceso está disponible automáticamente si se usa SAML como el método de autenticación principal y está inhabilitada de forma predeterminada.

Cuando se habilita Omitir la página de acceso, la secuencia de acceso del usuario es la siguiente:

1. El usuario intenta conectarse a una URL de Looker (por ejemplo, instance_name.looker.com).

2. Looker determina si el usuario ya tiene habilitada una sesión activa. Para ello, Looker usa la cookie AUTH-MECHANISM-COOKIE para identificar el método de autorización que usó el usuario en su última sesión. El valor siempre es uno de los siguientes: saml, ldap, oidc, google o email.

3. Si el usuario tiene habilitada una sesión activa, se lo redirecciona a la URL solicitada.

4. Si el usuario no tiene una sesión activa habilitada, se lo redireccionará al IdP. El IdP autentica al usuario cuando este accede correctamente al IdP. Luego, Looker autentica al usuario cuando el IdP lo envía de vuelta a Looker con información que indica que el usuario se autenticó con el IdP.

5. Si la autenticación en el IdP se realizó correctamente, Looker valida las aserciones de SAML, acepta la autenticación, actualiza la información del usuario y lo reenvía a la URL solicitada, omitiendo la página Acceder.

6. Si el usuario no puede acceder al IdP o si el IdP no lo autoriza a usar Looker, según el IdP, permanecerá en el sitio del IdP o se lo redireccionará a la página de acceso de Looker.

Soluciona problemas

Para solucionar problemas de autenticación, consulta el panel de actividad del usuario en Actividad del sistema. Este panel incluye tarjetas que muestran los errores de acceso recientes y el método de autenticación que se usó, el mensaje de error que se devolvió y la hora del intento.

Errores de aprovisionamiento JIT de SAML y conflictos de combinación

Es posible que los usuarios encuentren el error "Esa página no existe o no tienes permiso para verla" durante el aprovisionamiento Just-in-Time (JIT) de SAML para las vistas de Looker incorporadas. En el panel Usuarios, es posible que estos usuarios aparezcan como si nunca se hubieran conectado con SAML y tengan una credencial activa de Correo electrónico en lugar de SAML. Además, los administradores que intentan usar sudo como el usuario ven una pantalla que indica que deben actualizar su cuenta.

Este problema se produce debido a un conflicto de combinación de usuarios que ocurre cuando Looker identifica una cuenta preexistente con la misma dirección de correo electrónico que la aserción de SAML, pero esa cuenta se estableció con Correo electrónico como su credencial principal. Debido a este conflicto, Looker usa de forma predeterminada la credencial de correo electrónico y, además, ignora la asignación de roles y grupos de JIT proporcionada por SAML, lo que deja al usuario con permisos de "Sin acceso" a pesar de que la autenticación se realizó correctamente.

Para resolver este problema, usa la siguiente solución alternativa:

1. En el panel Administrador de Looker, navega a Administrador > SAML.
2. En Opciones de usuario nuevo (u Opciones de migración, según la versión de Looker), verifica que el parámetro de configuración Combinar usuarios con esté establecido en Correo electrónico/contraseña de Looker.
3. Si el usuario afectado ya existe con una credencial de correo electrónico y no tiene contenido crítico adjunto, borra la cuenta de usuario existente basada en el correo electrónico. Esta eliminación permite que Looker, en el próximo acceso del usuario, cree un registro de usuario nuevo que se base solo en la aserción de SAML.

La respuesta de SAML supera el límite

Si los usuarios que intentan autenticarse reciben errores que indican que la respuesta de SAML superó el tamaño máximo, puedes aumentar el tamaño máximo permitido de la respuesta de SAML.

En el caso de las instancias alojadas en Looker, abre una solicitud de asistencia para actualizar el tamaño máximo de la respuesta de SAML.

En el caso de las instancias de Looker alojadas por el cliente, puedes establecer el tamaño máximo de la respuesta de SAML en cantidad de bytes con la variable de entorno MAX_SAML_RESPONSE_BYTESIZE. Por ejemplo:

export MAX_SAML_RESPONSE_BYTESIZE=500000

El valor predeterminado para el tamaño máximo de la respuesta de SAML es de 250,000 bytes.

Faltan atributos de grupo de SAML para Okta

La aplicación del proveedor de identidad de Okta debe estar configurada para incluir el atributo Groups en sus aserciones de SAML. Consulta el siguiente ejemplo:

<saml2:Attribute Name='Groups'>

Para asegurarte de que el atributo Groups esté presente y tenga el formato correcto, verifica la carga útil de SAML en Looker con la opción Probar la autenticación de SAML.