管理員設定 - SAML 驗證

在「管理」選單的「驗證」部分，您可以透過「SAML」頁面設定 Looker，使用安全宣告標記語言 (SAML) 驗證使用者。本頁面將說明這項程序，並提供將 SAML 群組連結至 Looker 角色和權限的操作說明。

需求條件

只有在符合下列條件時，Looker 才會在「管理」選單的「驗證」部分顯示「SAML」頁面：

  • 您具備管理員角色。
  • 您的 Looker (原始) 執行個體已啟用 SAML。如要啟用 SAML，請與客戶經理聯絡。
  • Looker (Google Cloud Core) 執行個體使用 Google OAuth 做為主要驗證方式。

如果符合上述條件，但您沒有看到「SAML」SAML頁面，請提出支援要求，在執行個體上啟用 SAML。

SAML 和識別資訊提供者

公司會使用不同的識別資訊提供者 (IdP) 來與 SAML 協調 (例如 Okta 或 OneLogin)。下列設定說明和使用者介面中使用的詞彙，可能與 IdP 使用的詞彙不完全一致。如要在設定期間釐清相關問題，請與內部 SAML 或驗證團隊聯絡，或向 Looker 支援團隊尋求協助。

Looker 預設 SAML 要求和宣告會壓縮，請確認 IdP 設定符合這項條件。Looker 傳送至 IdP 的要求未經簽署。

Looker 支援 IdP 啟動的登入。

部分設定程序必須在 IdP 的網站上完成。

Okta 提供 Looker 應用程式，建議您使用這個應用程式一併設定 Looker 和 Okta。

在識別資訊提供者上設定 Looker

SAML IdP 需要 Looker 執行個體網址，才能將 SAML 宣告 POST 到該網址。在 IdP 中，這項資訊可能稱為「Post Back URL」、「Recipient」或「Destination」等。

請提供您通常用來透過瀏覽器存取 Looker 執行個體的網址，然後加上 /samlcallback。例如：none https://instance_name.looker.com/samlcallback

或

https://looker.mycompany.com/samlcallback

部分 IdP 也會要求您在執行個體網址後新增 :9999。例如：

https://instance_name.looker.com:9999/samlcallback

注意事項

請注意以下幾點：

  • Looker 支援 SAML 2.0。
  • 如果您是透過 SAML 登入 Looker，請勿停用 SAML 驗證，除非您已設定其他帳戶登入方式。否則可能會導致無法登入應用程式。
  • Looker 可使用現有電子郵件和密碼設定，或 Google 驗證、LDAP 或 OIDC 的電子郵件地址，將現有帳戶遷移至 SAML。您可以在設定程序中，指定現有帳戶的遷移方式。

開始使用

如要為 Looker 執行個體設定 SAML 驗證，請在「管理」面板的「驗證」部分選取「SAML」。在「SAML Authentication」頁面中，選取「Configure SAML」，即可查看下列設定選項。

SAML 驗證設定

Looker 需要 IdP 網址、IdP 核發者和 IdP 憑證，才能驗證 IdP。

在 IdP 端設定 Looker 時，IdP 可能會提供 IdP 中繼資料 XML 文件。這個檔案包含「SAML 驗證設定」部分要求的所有資訊。如果您有這個檔案，可以在「IdP Metadata」欄位中上傳，系統會填入這個部分中的必要欄位。或者，您也可以填寫在 IdP 端設定期間取得的輸出內容中，填寫必填欄位。上傳 XML 檔案時，不必填寫欄位。

  • IdP 中繼資料 (選用)： 請在這裡貼上包含 IdP 資訊的 XML 文件公開網址，或貼上文件的完整文字。Looker 會剖析該檔案，填入必填欄位。

如果沒有上傳或貼上 IdP 中繼資料 XML 文件，請改為在「IdP URL」、「IdP 核發者」和「IdP 憑證」欄位中輸入 IdP 驗證資訊。

  • IdP 網址：Looker 用於驗證使用者的網址。在 Okta 中，這稱為「重新導向網址」。

  • IdP 簽發者：IdP 的專屬 ID。在 Okta 中，這稱為「外部金鑰」。

  • IdP 憑證：公開金鑰，可供 Looker 驗證 IdP 回應的簽章。

這三個欄位加總起來，可讓 Looker 確認一組已簽署的 SAML 聲明確實來自受信任的 IdP。

  • 服務供應商實體/IdP 目標對象：Looker 不要求填寫這個欄位，但許多 IdP 會要求填寫。如果您在這個欄位輸入值，該值會在授權要求中，以 Looker 的 Entity ID 形式傳送至 IdP。在這種情況下，Looker 只會接受將這個值設為 Audience 的授權回應。如果 IdP 需要 Audience 值，請在此輸入該字串。
  • 允許的時鐘偏移：允許的時鐘偏移秒數 (IdP 和 Looker 之間的時間戳記差異)。這個值通常預設為 0，但部分 IdP 可能需要額外的寬限時間，才能成功登入。

使用者屬性設定

在下列欄位中，指定 IdP SAML 設定中的屬性名稱，其中包含每個欄位的對應資訊。輸入 SAML 屬性名稱後，Looker 就會知道如何對應這些欄位，並在登入時擷取相關資訊。Looker 不會特別規定這項資訊的建構方式，但請務必確保您在 Looker 中輸入資訊的方式，與 IdP 中定義屬性的方式一致。Looker 會提供預設建議，說明如何建構這些輸入內容。

標準屬性

你必須指定下列標準屬性：

  • Email Attr：IdP 用於使用者電子郵件地址的屬性名稱。

  • 名字屬性：IdP 用於使用者名字的屬性名稱。

  • LName Attr：IdP 用於使用者姓氏的屬性名稱。

將 SAML 屬性與 Looker 使用者屬性配對

您也可以選擇使用 SAML 屬性中的資料，在使用者登入時自動填入 Looker 使用者屬性的值。舉例來說，如果您已設定 SAML，讓使用者專屬連線連至資料庫，可以將 SAML 屬性與 Looker 使用者屬性配對，在 Looker 中建立使用者專屬的資料庫連線。

如要將 SAML 屬性與對應的 Looker 使用者屬性配對，請按照下列步驟操作：

  1. 在「SAML Attribute」欄位中輸入 SAML 屬性名稱，並在「Looker User Attributes」欄位中輸入要配對的 Looker 使用者屬性名稱。
  2. 如要要求使用者提供 SAML 屬性值才能登入，請選取「必要」。
  3. 按一下「+」並重複上述步驟，即可新增更多屬性組合。

如要配對 SAML 使用者屬性和對應的 Looker 使用者屬性，或管理現有配對，請按照下列步驟操作：

  1. 在「使用者屬性設定」部分，按一下「管理配對」按鈕，開啟「管理配對」側邊面板。
  2. 在「Claim」欄位中，輸入要配對的 SAML 屬性名稱。每個聲明名稱只能輸入一次。如要將一項權杖附加資訊與多個 Looker 屬性建立關聯，請在「Looker User Attributes」(Looker 使用者屬性) 欄位中輸入多個屬性。
  3. 在「Looker User Attributes」欄位中，會顯示執行個體的 Looker 使用者屬性下拉式選單。選取要與 SAML 屬性配對的 Looker 使用者屬性名稱。您可以為權杖選取多個 Looker 使用者屬性，但至少須選取一個。
  4. 如要要求使用者提供 SAML 屬性值才能登入，請勾選「必要」核取方塊。
  5. 按一下「Add Pairing」按鈕，在清單中新增配對列。重複上述步驟，即可新增更多屬性組合。
  6. 每個配對列的右側都有「移除配對」圖示。按一下這個圖示，即可從執行個體中移除屬性配對。
  7. 按一下「關閉」圖示 ，關閉「管理配對」側邊面板。
  8. 測試 SAML 設定。
  9. 驗證 SAML 設定，然後在「SAML Authentication」頁面底部，勾選「I have verified the SAML configuration」核取方塊。
  10. 按一下「Enable SAML」或「Update SAML Settings」按鈕，儲存 SAML 使用者屬性配對。

「管理配對」側邊面板也包含下列工具：

  • 「篩選器清單」篩選器選單和搜尋列。使用這些工具，搜尋已新增至執行個體的配對。
  • 「顯示」分頁下拉式選單。使用這個選單，即可在每頁顯示 10、25、50 或 100 個配對。

群組和角色

您可以選擇讓 Looker 建立群組，鏡像處理外部管理的 SAML 群組，然後根據鏡像處理的 SAML 群組，指派 Looker 角色給這些使用者。變更 SAML 群組成員資格後，下次使用者登入 Looker 時，系統就會將這些變更套用至該 Looker 群組。

鏡像 SAML 群組後，您就能使用外部定義的 SAML 目錄，管理 Looker 群組和使用者。這樣一來，您就能在同一個位置管理多個軟體式服務 (SaaS) 工具 (例如 Looker) 的群組成員資格。

如果開啟「Mirror SAML Groups」，Looker 會為每個導入系統的 SAML 群組建立一個 Looker 群組。您可以在 Looker「Admin」(管理) 專區的 「Groups」(群組) 頁面查看這些 Looker 群組。群組可用於為群組成員指派角色、設定內容存取控管，以及指派使用者屬性。

預設群組和角色

根據預設，「Mirror SAML Groups」切換鈕會設為關閉。在這種情況下，您可以為新的 SAML 使用者設定預設群組。在「New User Groups」(新使用者群組)和「New User Roles」(新使用者角色) 欄位中，輸入您要在新 Looker 使用者首次登入 Looker 時指派的 Looker 群組或角色名稱：

這些群組和角色會在新使用者首次登入時套用。不會套用至既有使用者。如果在使用者首次登入後移除這些群組和角色，就不會再次套用。

如果之後啟用鏡像 SAML 群組，系統會在使用者下次登入時移除這些預設值，並改為指派「鏡像 SAML 群組」部分的角色。這些預設選項將無法再使用或指派，並完全由鏡像群組設定取代。

啟用鏡像 SAML 群組

如果您使用的是 Looker (Google Cloud Core) 執行個體，建議您只為主要驗證方式啟用群組鏡像功能，不要為備用 OAuth 驗證啟用群組鏡像功能。如果您為主要和次要驗證方法啟用群組鏡像功能，會發生下列行為：

  • 如果使用者已合併身分，無論實際登入時使用的驗證方式為何，群組鏡像都會比對主要驗證方式。
  • 如果使用者沒有合併的身分，群組鏡像會比對登入時使用的驗證方式。

啟用鏡像群組的步驟

如要鏡像處理 Looker 中的 SAML 群組，請開啟「Mirror SAML Groups」切換鈕。Looker 會顯示下列設定：

群組尋找策略：選取 IdP 用來指派群組的系統，這取決於您的 IdP。

  • 幾乎所有 IdP 都會使用單一屬性值指派群組，如以下 SAML 聲明範例所示： none <saml2:Attribute Name='Groups'> <saml2:AttributeValue >Everyone</saml2:AttributeValue> <saml2:AttributeValue >Admins</saml2:AttributeValue> </saml2:Attribute> 在這種情況下，請選取「群組為單一屬性的值」。

  • 部分 IdP 會為每個群組使用個別屬性，然後要求第二個屬性，判斷使用者是否為群組成員。以下是顯示這個系統遵循的 SAML 判斷陳述式範例： none <saml2:Attribute Name='group_everyone'> <saml2:AttributeValue >yes</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute Name='group_admins'> <saml2:AttributeValue >no</saml2:AttributeValue> </saml2:Attribute> 在本例中，請選取「將群組做為含有成員值的個別屬性」。

群組屬性：如果「群組搜尋器策略」設為「將群組做為單一屬性的值」，Looker 就會顯示這個欄位。輸入 IdP 使用的群組屬性名稱。

Group Member Value：如果「Group Finder Strategy」設為「Groups as individual attributes with membership value」，Looker 就會顯示這個欄位。輸入代表使用者為群組成員的值。

「管理群組」按鈕：點選這個按鈕，即可開啟「管理群組」側邊面板，在其中新增、移除或編輯自訂群組，或指派給 Looker 中對應群組的角色。「管理群組」側邊面板會顯示下列欄位：

  • 「Preferred Group Name」欄位。在這個欄位中輸入鏡像群組的自訂名稱。這個名稱會顯示在 Looker「管理」部分的「群組」頁面。

  • 「SAML Group Name」欄位。請在這個欄位輸入 SAML 群組。如果是 Okta 使用者，請輸入 Okta 群組名稱做為 SAML 群組 ID。SAML 群組中的 SAML 使用者會加入 Looker 的鏡像群組。

  • 「Role」(角色) 欄位。在這個欄位中，選取要指派給群組中每位使用者的 Looker 角色。

  • 「移除對應」圖示。按一下這個圖示，即可從 Looker 執行個體中移除鏡像群組。如果刪除群組，Looker 就不會再鏡像該群組，成員也不會再擁有透過該群組指派的 Looker 角色。

「管理群組」側邊面板也包含下列工具：

  • 「篩選器清單」篩選器選單和搜尋列。使用這些工具搜尋已新增至執行個體的群組。

  • 「新增對應」按鈕。按一下這個按鈕，即可在執行個體中新增自訂群組。

編輯鏡像群組

如果您編輯先前在這個畫面設定的鏡像群組，群組的設定會變更，但群組本身會保持不變。舉例來說，您可以變更群組的 Looker 群組名稱，這會變更群組在 Looker「群組」頁面中的顯示方式，但不會變更指派的角色和群組成員。變更 SAML 群組名稱後，群組名稱和角色會維持不變，但系統會根據外部 SAML 群組 (使用新的 SAML 群組名稱) 的成員，重新指派群組成員。

對鏡像群組所做的任何編輯，都會在該群組的使用者下次登入 Looker 時套用。

進階角色管理

如果您已啟用「Mirror SAML Groups」(鏡像 SAML 群組) 切換鈕，Looker 就會顯示這些設定。這個部分的選項會決定 Looker 管理員在設定 Looker 群組和從 SAML 鏡像的使用者時，有多少彈性。

舉例來說，如果您希望 Looker 群組和使用者設定與 SAML 設定完全一致，請啟用這些選項。啟用前三個選項後，Looker 管理員就無法修改鏡像群組成員資格，只能透過 SAML 鏡像群組指派使用者角色。

如要更靈活地在 Looker 中自訂群組，請關閉這些選項。Looker 群組仍會鏡像 SAML 設定，但您可以在 Looker 執行其他群組和使用者管理作業，例如將 SAML 使用者新增至 Looker 專屬群組，或直接將 Looker 角色指派給 SAML 使用者。

如果是新的 Looker 執行個體，或先前未設定鏡像群組的執行個體，這些選項預設為關閉。

如果現有 Looker 執行個體已設定鏡像群組，這些選項預設會開啟。

「Advanced Role Management」(進階角色管理) 部分包含下列選項：

防止個別 SAML 使用者取得直接角色：啟用這個選項後，Looker 管理員就無法直接將 Looker 角色指派給 SAML 使用者。SAML 使用者只能透過群組成員身分取得角色。如果允許 SAML 使用者加入內建 (非鏡像) Looker 群組，他們仍可從鏡像 SAML 群組和內建 Looker 群組繼承角色。先前直接獲派角色的 SAML 使用者，會在下次登入時移除這些角色。

如果關閉這個選項，Looker 管理員就能直接將 Looker 角色指派給 SAML 使用者，就像直接在 Looker 中設定一樣。

禁止非 SAML 群組直接取得成員資格：啟用這個選項後，Looker 管理員就無法將 SAML 使用者直接新增至內建 Looker 群組。如果鏡像的 SAML 群組可以加入內建的 Looker 群組，SAML 使用者可能會保留任何上層 Looker 群組的成員資格。先前指派給內建 Looker 群組的 SAML 使用者，下次登入時會從這些群組中移除。

如果關閉這個選項，Looker 管理員可以直接將 SAML 使用者新增至內建 Looker 群組。

禁止從非 SAML 群組繼承角色：啟用這個選項後，鏡像 SAML 群組的成員就無法從內建 Looker 群組繼承角色。先前從上層 Looker 群組繼承角色的 SAML 使用者，下次登入時會失去這些角色。

如果關閉這個選項，鏡像的 SAML 群組或 SAML 使用者 (已新增為內建 Looker 群組的成員) 將繼承指派給上層 Looker 群組的角色。

驗證需要角色：如果開啟這個選項，系統會要求 SAML 使用者必須有指派的角色。未獲派角色的 SAML 使用者將無法登入 Looker。

如果關閉這個選項，SAML 使用者即使未獲派角色，也能向 Looker 驗證身分。如果使用者沒有獲派任何角色，就無法在 Looker 中查看任何資料或採取任何動作，但可以登入 Looker。

停用鏡像 SAML 群組

如要停止在 Looker 中鏡像處理 SAML 群組，請關閉「鏡像處理 SAML 群組」切換鈕。關閉切換按鈕會導致下列行為：

  • 不含任何使用者的鏡像 SAML 群組會立即刪除。
  • 任何「不含」使用者的鏡像 SAML 群組都會標示為孤立群組。如果群組使用者在 31 天內未登入，系統就會刪除該群組。使用者無法再新增至孤立的 SAML 群組，也無法從這類群組移除。

遷移選項

管理員和指定使用者的備用登入方式

啟用 SAML 驗證後，一般使用者一律無法以電子郵件地址和密碼登入 Looker。這個選項可讓管理員和具備 login_special_email 權限的指定使用者，透過 /login/email 以備用電子郵件地址做為登入方式。

如果之後在 SAML 驗證設定期間發生問題，或是需要支援沒有 SAML 目錄帳戶的使用者，這個選項就能派上用場。/login/email 端點無法完全停用或隱藏，因為它是重要的備用機制，可確保管理員在主要 SAML 設定失敗或設定錯誤時，能重新取得存取權。如果管理員在設定 IP 許可清單時不慎遭到封鎖，請聯絡 Google Cloud 支援團隊以進行復原。

移除 SAML 使用者的舊版電子郵件憑證

啟用 SAML 驗證後，一般使用者無法在 Looker UI 中使用標準 Looker 電子郵件和密碼登入，但現有的電子郵件憑證仍會與使用者帳戶保持關聯。如要從使用者帳戶永久移除電子郵件憑證 (例如為了遵守安全性政策，或防止未經授權的電子郵件登入嘗試觸發自動通知電子郵件)，管理員必須使用 Looker API。

如要刪除個別使用者的電子郵件憑證，請使用 Looker API 中的 DELETE /users/{user_id}/credentials_email 端點。

如要大量刪除電子郵件憑證，可以使用 Looker API 指令碼或大量使用者管理工具 (例如開放原始碼的 Looker 管理員 Power Pack)。

指定將 SAML 使用者合併至 Looker 帳戶的方法

在「Merge Users Using」欄位中，指定將首次 SAML 登入作業與現有使用者帳戶合併的方法。您可以合併下列系統中的使用者：

  • Looker 電子郵件地址/密碼 (不適用於 Looker (Google Cloud Core))
  • Google
  • LDAP (不適用於 Looker (Google Cloud Core))
  • OIDC

如果您有多個系統，可以在這個欄位中指定多個系統來合併。Looker 會按照指定順序，從列出的系統中查詢使用者。舉例來說，假設您使用 Looker 電子郵件地址和密碼建立了一些使用者，然後啟用了 LDAP，現在想使用 SAML。Looker 會先依據電子郵件和密碼合併，然後再依據 LDAP 合併。

使用者首次透過 SAML 登入時，這個選項會尋找電子郵件地址相符的帳戶，並將使用者連結至現有帳戶。如果使用者沒有現有帳戶，系統會建立新的使用者帳戶。

處理 IdP 網域變更

如果身分識別提供者 (IdP) 網域變更，使用者首次透過新網域成功登入時，系統會自動以新值覆寫 saml_user_id。Looker 管理員不需要在 Looker 中手動變更或重新設定這項系統管理屬性。

為確保轉換順利，請按照下列步驟操作：

  1. 將 Looker 使用者的「電子郵件」屬性更新為新網域的電子郵件地址。
  2. 確認「Merge Users Using」選項已設為啟用依電子郵件地址合併。

使用 Looker (Google Cloud Core) 時合併使用者

使用 Looker (Google Cloud Core) 和 SAML 時，合併作業的運作方式如上一節所述。不過，只有在符合下列其中一項條件時，才能這麼做：

  1. 條件 1：使用者透過 SAML 通訊協定，使用 Google Identity 驗證登入 Looker (Google Cloud Core)。

  2. 條件 2：選取合併選項前，您已完成下列兩個步驟：

如果執行個體不符合上述任一條件，就無法使用「Merge Users Using」(合併使用者依據) 選項。

合併時，Looker (Google Cloud Core) 會搜尋電子郵件地址完全相同的使用者記錄。

測試使用者驗證機制

按一下「測試」按鈕，測試設定。測試會重新導向至伺服器，並開啟瀏覽器分頁。分頁會顯示：

  • Looker 是否能與伺服器通訊並驗證。
  • Looker 從伺服器取得的名稱。您必須驗證伺服器是否傳回正確結果。
  • 追蹤記錄，顯示資訊的來源。如果資訊有誤，請使用追蹤記錄進行疑難排解。如需其他資訊，可以讀取原始 XML 伺服器檔案。

提示：

  • 即使 SAML 設定不完整，您也可以隨時執行這項測試。設定期間執行測試有助於瞭解需要設定哪些參數。
  • 即使尚未儲存設定，測試也會使用「SAML 驗證」頁面中輸入的設定。測試不會影響或變更該頁面上的任何設定。
  • 測試期間，Looker 會使用 SAML RelayState 參數將資訊傳遞至 IdP。IdP 應將這個 RelayState 值原封不動傳回 Looker。

儲存並套用設定

輸入完資訊且測試全部通過後，請選取「我已確認上述設定，並要全域套用」，然後按一下「更新設定」儲存。

使用者登入行為

使用者嘗試透過 SAML 登入 Looker 執行個體時，Looker 會開啟「登入」頁面。使用者必須點選「Authenticate」按鈕，才能透過 SAML 啟動驗證程序。

如果使用者目前沒有運作中的 Looker 工作階段，系統預設會採取這項行為。

如要讓使用者在 IdP 驗證後直接登入 Looker 執行個體，並略過「登入」頁面，請開啟「登入行為」下方的「略過登入頁面」。

如果您使用的是 Looker (原始版)，則必須由 Looker 啟用「Bypass Login Page」(略過登入頁面) 功能。如要更新這項功能的授權，請與銷售專員聯絡 Google Cloud 或提出支援要求。如果您使用 Looker (Google Cloud Core)，系統會自動提供「略過登入頁面」選項 (如果 SAML 是主要驗證方式)，且預設為停用。

啟用「略過登入頁面」後，使用者登入程序如下：

  1. 使用者嘗試連線至 Looker 網址 (例如 instance_name.looker.com)。

  2. Looker 會判斷使用者是否已啟用有效的工作階段。為此，Looker 會使用 AUTH-MECHANISM-COOKIE Cookie，找出使用者在上一個工作階段中使用的授權方法。這個值一律為下列其中一項：saml、ldap、oidc、google 或 email。

  3. 如果使用者已啟用有效工作階段，系統會將使用者導向要求的網址。

  4. 如果使用者沒有啟用中的工作階段，系統會將他們重新導向至 IdP。使用者成功登入 IdP 後，IdP 會驗證使用者身分。IdP 將使用者帶回 Looker 時，會附上使用者已透過 IdP 驗證的資訊，Looker 隨即會驗證使用者。

  5. 如果 IdP 驗證成功，Looker 會驗證 SAML 斷言、接受驗證、更新使用者資訊，並將使用者轉送至要求的網址，略過「登入」頁面。

  6. 如果使用者無法登入 IdP，或未獲得 IdP 授權使用 Looker，則視 IdP 而定，他們會留在 IdP 網站，或重新導向至 Looker 的「登入」頁面。

疑難排解

如要排解驗證問題，請查看系統活動中的「使用者活動」資訊主頁。這個資訊主頁包含多個圖塊，可顯示最近登入失敗的記錄，包括使用的驗證方式、傳回的錯誤訊息，以及嘗試登入的時間。

SAML JIT 即時建立帳戶失敗和合併衝突

為嵌入的 Looker 檢視畫面進行 SAML 即時 (JIT) 佈建時，使用者可能會看到「該頁面不存在，或您沒有查看權限」錯誤訊息。在「使用者」面板中，這些使用者可能顯示為從未透過 SAML 登入，且具有「電子郵件」而非「SAML」的有效憑證。此外，如果管理員嘗試以該使用者身分執行 sudo，會看到「請更新帳戶」畫面。

如果 Looker 發現現有帳戶的電子郵件地址與 SAML 判斷聲明相同，但該帳戶是以「電子郵件」做為主要憑證建立，就會發生使用者合併衝突，導致這個問題。由於發生這項衝突，Looker 會預設使用電子郵件憑證，並忽略 SAML 提供的 JIT 角色和群組對應，導致使用者即使通過驗證，仍只有「沒有存取權」權限。

如要解決這個問題，請使用下列解決方法：

  1. 在 Looker 的「管理」面板中，依序前往「管理」>「SAML」。
  2. 在「新使用者選項」 (或「遷移選項」，視 Looker 版本而定) 下方，確認「合併使用者」設定已設為「Looker 電子郵件/密碼」。
  3. 如果受影響的使用者已具備電子郵件憑證，且沒有附加任何重要內容，請刪除現有的電子郵件使用者帳戶。刪除後，Looker 會在使用者下次登入時，只根據 SAML 聲明建立新的使用者記錄。

SAML 回應超出限制

如果嘗試驗證的使用者收到錯誤訊息，指出 SAML 回應超過大小上限，您可以提高允許的 SAML 回應大小上限。

如果是 Looker 代管的執行個體，請提出支援要求，更新 SAML 回應大小上限。

如果是客戶託管的 Looker 執行個體，您可以使用 MAX_SAML_RESPONSE_BYTESIZE 環境變數，設定 SAML 回應大小上限 (以位元組為單位)。例如：

export MAX_SAML_RESPONSE_BYTESIZE=500000

SAML 回應大小上限預設為 250,000 個位元組。

Okta 缺少 SAML 群組屬性

Okta 識別資訊提供者應用程式必須經過設定，才能在 SAML 斷言中加入 Groups 屬性。請參閱以下範例：

<saml2:Attribute Name='Groups'>

為確保 Groups 屬性存在且格式正確，請使用「 Test SAML Authentication」(測試 SAML 驗證) 選項，在 Looker 中驗證 SAML 酬載。