Setelan admin - Autentikasi tenaga kerja

Halaman Workforce Authentication di bagian Authentication pada menu Admin memungkinkan Anda mengonfigurasi Looker (Google Cloud core) untuk mengautentikasi pengguna menggunakan Workforce Identity Federation. Untuk menyiapkan autentikasi, Anda akan mengonfigurasi pemetaan atribut pengguna, menautkan grup tenaga kerja ke peran Looker, dan mengelola opsi login.

Selama pratinjau fitur, hanya instance Looker (Google Cloud core) yang menggunakan koneksi aman publik yang didukung.

Sebelum memulai

Sebelum mengonfigurasi setelan Workforce Identity di panel Admin Looker, pastikan Anda menyelesaikan langkah-langkah penyiapan berikut di Google Cloud, seperti yang dijelaskan di halaman dokumentasi Menggunakan Workforce Identity Federation untuk autentikasi pengguna Looker (Google Cloud core):

Peran yang diperlukan

Looker menampilkan halaman Workforce Authentication di bagian Authentication pada menu Admin hanya jika kondisi berikut terpenuhi:

Menggabungkan pengguna Workforce Identity Federation ke akun Looker (Google Cloud core)

Di kolom Merge Users Using, tentukan metode yang akan digunakan untuk menggabungkan login Workforce Identity Federation pertama kali ke akun pengguna yang ada. Pengguna dapat digabungkan dari sistem berikut:

  • Google
  • SAML
  • OIDC

Untuk instance baru, Google adalah opsi penggabungan standar. Jika instance Anda sebelumnya dikonfigurasi dengan SAML atau OIDC, Looker (Google Cloud core) akan otomatis menyertakan konfigurasi yang ada tersebut sebagai sumber penggabungan untuk memastikan pengguna ditautkan dengan benar ke profil Looker (Google Cloud core) mereka yang ada.

Saat pengguna login untuk pertama kalinya melalui Workforce Identity Federation, Merge Users Using akan menghubungkan pengguna ke akun mereka yang ada dengan menemukan akun yang memiliki alamat email yang cocok. Jika tidak ada akun yang ada untuk pengguna, akun pengguna baru akan dibuat.

Beberapa sumber penggabungan

Jika Anda memiliki lebih dari satu sistem autentikasi, Anda dapat menentukan lebih dari satu sistem untuk digabungkan di kolom Merge Users Using. Looker (Google Cloud core) akan mencari pengguna dari sistem yang tercantum sesuai urutan yang ditentukan. Misalnya, asumsikan Anda membuat beberapa pengguna menggunakan Google OAuth, lalu mengaktifkan OIDC, dan sekarang Anda ingin menggunakan SAML. Looker akan menggabungkan berdasarkan Google OAuth terlebih dahulu, lalu berdasarkan OIDC.

Perilaku login pengguna

Setelan Bypass Login Page mengontrol apakah pengguna yang tidak diautentikasi melihat halaman login Looker atau otomatis dialihkan ke penyedia identitas (IdP) Anda untuk autentikasi.

  • Enabled (default): Saat pengguna yang tidak diautentikasi membuka URL instance Looker (Google Cloud core) Anda, mereka akan melewati halaman Log In Looker dan langsung dialihkan ke portal login IdP perusahaan Anda untuk autentikasi. Setelah diautentikasi, mereka akan kembali ke halaman Looker yang diminta.
  • Disabled: Saat pengguna yang tidak diautentikasi membuka URL instance Anda, mereka akan melihat halaman Log In Looker. Pengguna harus memilih opsi autentikasi untuk memulai login dengan IdP mereka. Opsi ini berguna jika Anda telah mengonfigurasi Google OAuth sekunder dan ingin pengguna memilih metode login mereka.

Untuk mengubah setelan ini, aktifkan atau nonaktifkan tombol Bypass Login Page di bagian Login Behavior.

Setelan atribut pengguna

Anda dapat memasangkan klaim dan atribut yang diteruskan dari IdP tenaga kerja Anda dengan atribut pengguna Looker untuk otomatis mengisi nilai pengguna saat login (misalnya, untuk membuat koneksi database khusus pengguna).

Memasangkan atribut Workforce Identity Federation dengan atribut pengguna Looker

Untuk memasangkan atribut identitas tenaga kerja dengan atribut pengguna Looker, selesaikan langkah-langkah berikut:

  1. Di halaman Workforce Authentication, di bagian User Attribute Settings, klik Manage Pairings.
  2. Di kolom Claim, masukkan nama atribut atau klaim yang dikonfigurasi di workforce identity pool Anda (seperti google.display_name atau pemetaan attribute.NAME kustom). Anda hanya dapat memasukkan setiap nama klaim satu kali.
  3. Di kolom Looker User Attributes, pilih satu atau beberapa atribut pengguna Looker untuk dikaitkan dengan klaim.
  4. Opsional: Pilih Required jika nilai untuk klaim ini diperlukan agar pengguna dapat sedang login.
  5. Klik Add Pairing untuk menambahkan pasangan atribut lainnya.
  6. Untuk menghapus pasangan atribut, klik ikon hapus Delete di samping baris pasangan.
  7. Klik ikon tutup Close untuk keluar dari panel samping,
  8. Pasangan tidak akan disimpan atau diperbarui hingga Anda menyelesaikan verifikasi, mengirim dari halaman utama, dan mengklik Save untuk menerapkan perubahan.

Grup dan peran

Anda dapat menetapkan grup dan peran Looker kepada pengguna tenaga kerja saat login, baik dengan menentukan default atau dengan mencerminkan grup yang ditentukan di IdP Anda.

Grup dan peran default

Jika pencerminan grup dinonaktifkan, yang merupakan setelan default, Anda dapat menetapkan grup dan peran default untuk pengguna tenaga kerja baru saat mereka login untuk pertama kalinya:

  • New User Groups: Masukkan grup Looker yang akan ditetapkan kepada pengguna baru saat mereka login untuk pertama kalinya.
  • New User Roles: Masukkan peran Looker yang akan ditetapkan kepada pengguna baru saat mereka login untuk pertama kalinya.

Grup dan peran default ini berlaku untuk pengguna baru saat login awal dan tidak diterapkan kembali jika dihapus nanti.

Grup yang dicerminkan

Grup yang dicerminkan adalah grup Looker (dikelola di halaman Groups) yang dibuat dan disinkronkan secara otomatis oleh Looker dengan grup tenaga kerja eksternal dari IdP Anda.

Untuk membuat dan menyinkronkan grup Looker secara otomatis berdasarkan grup penyedia identitas tenaga kerja Anda, aktifkan Mirror Workforce Groups. Opsi ini dinonaktifkan secara default.

Untuk mengonfigurasi grup yang dicerminkan, selesaikan langkah-langkah berikut:

  1. Aktifkan Mirror Workforce Groups.
  2. Klik Manage Groups untuk membuka panel samping.
  3. Klik Add Mapping dan konfigurasi hal berikut:
    • Looker Group Name: Masukkan nama tampilan untuk grup yang dicerminkan di halaman Groups Looker (Google Cloud core).
    • Workforce Group ID: Masukkan ID grup seperti yang diteruskan dalam token tenaga kerja (misalnya, nama grup atau ID keamanan dari IdP Anda).
    • Roles: Pilih satu atau beberapa peran Looker yang akan ditetapkan kepada anggota grup ini.
  4. Untuk menghapus pemetaan grup, klik ikon Delete di samping baris pemetaan.
  5. Klik ikon Close , lalu klik Save.

Menambahkan atau mengubah pemetaan grup tidak akan menerapkannya ke pengguna yang ada. Pemetaan grup hanya dievaluasi selama proses login.

Jika OAuth adalah metode autentikasi sekunder

Jika Anda telah mengaktifkan autentikasi Google OAuth cadangan, aktifkan pencerminan grup hanya untuk metode autentikasi utama Anda. Jika Anda mengaktifkan pencerminan grup untuk metode autentikasi utama dan sekunder, perilaku berikut akan terjadi:

  • Jika pengguna memiliki identitas gabungan, pencerminan grup akan mencocokkan metode autentikasi utama, terlepas dari metode autentikasi sebenarnya yang digunakan untuk login.
  • Jika pengguna tidak memiliki identitas gabungan, pencerminan grup akan mencocokkan metode autentikasi yang digunakan untuk login.

Mengedit grup yang dicerminkan

Jika Anda mengedit pemetaan grup yang dicerminkan, konfigurasi grup akan berubah, tetapi grup Looker itu sendiri tetap utuh. Contoh:

  • Mengubah Looker Group Name akan mengubah nama tampilan grup di halaman Groups Looker (Google Cloud core), tanpa mengubah peran atau anggota yang ditetapkan.
  • Mengubah Workforce Group ID akan mengubah grup tenaga kerja eksternal yang dipetakan ke grup Looker tersebut. Anggota grup Looker akan ditetapkan ulang pada login berikutnya berdasarkan keanggotaan di grup tenaga kerja eksternal baru.

Setiap pengeditan yang dilakukan pada pemetaan grup yang dicerminkan akan diterapkan kepada pengguna saat mereka login ke Looker (Google Cloud core) berikutnya.

Pengelolaan peran lanjutan

Jika Mirror Workforce Groups diaktifkan, Anda dapat mengonfigurasi opsi berikut untuk mengontrol penetapan peran dan grup:

  • Prevent individual Workforce users from Receiving Direct Roles: Jika opsi ini diaktifkan, pengguna tenaga kerja hanya dapat menerima peran melalui keanggotaan grup. Peran yang ditetapkan secara langsung akan dihapus pada login berikutnya.
  • Prevent direct membership in non-Workforce groups: Jika opsi ini diaktifkan, pengguna tenaga kerja tidak dapat ditambahkan secara manual ke grup Looker bawaan (tidak dicerminkan). Pengguna yang sebelumnya ditetapkan ke grup bawaan akan dikeluarkan dari grup tersebut pada login berikutnya. Jika grup yang dicerminkan diizinkan menjadi anggota grup Looker bawaan, pengguna tenaga kerja dapat mempertahankan keanggotaan di grup Looker induk mana pun.
  • Prevent role inheritance from non-Workforce groups: Jika opsi ini diaktifkan, anggota grup yang dicerminkan tidak akan mewarisi peran dari grup bawaan induk. Pengguna yang sebelumnya mewarisi peran dari grup bawaan induk akan kehilangan peran tersebut saat mereka login berikutnya.
  • Auth Requires Role: Jika opsi ini diaktifkan, pengguna harus memiliki setidaknya satu peran yang ditetapkan untuk login. Jika opsi ini dinonaktifkan, pengguna tanpa peran dapat login, tetapi tidak dapat melihat konten atau melakukan tindakan.

Menonaktifkan grup yang dicerminkan

Jika Anda menonaktifkan Mirror Workforce Groups, perilaku berikut akan terjadi:

  • Grup Looker yang dicerminkan tanpa pengguna akan segera dihapus dari instance Anda.
  • Grup Looker yang dicerminkan dengan pengguna akan ditandai sebagai grup yatim piatu dan akan dihapus setelah 31 hari jika tidak ada anggota yang login.
  • Grup tenaga kerja eksternal di IdP Anda tidak akan terpengaruh.

Menguji autentikasi pengguna

Klik tombol Test untuk menguji setelan Anda. Pengujian akan mengalihkan ke server dan akan membuka tab browser. Tab ini menampilkan informasi berikut:

  • Apakah Looker dapat berkomunikasi dengan server dan memvalidasi.
  • Nama yang didapatkan Looker dari server. Anda harus memvalidasi bahwa server menampilkan hasil yang benar.
  • Trace untuk menunjukkan cara informasi ditemukan. Gunakan trace untuk memecahkan masalah jika informasi salah. Jika memerlukan detail tambahan, Anda dapat membaca file server XML mentah.

Tips:

  • Anda dapat menjalankan pengujian ini kapan saja, meskipun Workforce Identity Federation dikonfigurasi sebagian. Menjalankan pengujian dapat membantu selama konfigurasi untuk melihat parameter mana yang memerlukan konfigurasi.
  • Pengujian menggunakan setelan yang dimasukkan di halaman Workforce Identity, meskipun setelan tersebut belum disimpan. Pengujian tidak akan memengaruhi atau mengubah setelan apa pun di halaman tersebut.
  • Selama pengujian, Looker meneruskan informasi ke IdP menggunakan parameter RelayState Workforce Identity Federation. IdP harus menampilkan nilai RelayState ini ke Looker tanpa diubah.

Menyimpan dan menerapkan setelan

Setelah selesai memasukkan informasi dan semua pengujian lulus, pilih I have verified the Workforce configuration , lalu klik Update Settings untuk menyimpan.

Langkah berikutnya