Impostazioni amministratore - Autenticazione della forza lavoro

La pagina Autenticazione Workforce nella sezione Autenticazione del menu Amministratore ti consente di configurare Looker (Google Cloud core) per autenticare gli utenti utilizzando la federazione delle identità per la forza lavoro. Per configurare l'autenticazione, configurerai le mappature degli attributi utente, collegherai i gruppi di forza lavoro ai ruoli di Looker e gestirai le opzioni di accesso.

Durante l'anteprima della funzionalità, sono supportate solo le istanze di Looker (Google Cloud core) che utilizzano connessioni sicure pubbliche.

Prima di iniziare

Prima di configurare le impostazioni di Workforce Identity nel pannello Amministrazione di Looker, assicurati di completare i seguenti passaggi di configurazione in Google Cloud, come descritto nella pagina della documentazione Utilizzare la federazione delle identità per la forza lavoro per l'autenticazione degli utenti di Looker (Google Cloud core):

Ruoli obbligatori

Looker visualizza la pagina Autenticazione Workforce nella sezione Autenticazione del menu Amministratore solo se sono soddisfatte le seguenti condizioni:

Unire gli utenti della federazione delle identità per la forza lavoro a un account Looker (Google Cloud core)

Nel campo Unisci utenti utilizzando, specifica il metodo da utilizzare per unire un accesso alla federazione delle identità per la forza lavoro per la prima volta a un account utente esistente. È possibile unire gli utenti dai seguenti sistemi:

  • Google
  • SAML
  • OIDC

Per le nuove istanze, Google è l'opzione di unione standard. Se la tua istanza è stata configurata in precedenza con SAML o OIDC, Looker (Google Cloud core) include automaticamente queste configurazioni esistenti come origini di unione per garantire che gli utenti siano collegati correttamente ai loro profili Looker (Google Cloud core) esistenti.

Quando un utente accede per la prima volta tramite la federazione delle identità per la forza lavoro, Unisci utenti utilizzando lo connette al suo account esistente trovando l'account con un indirizzo email corrispondente. Se non esiste un account per l'utente, ne verrà creato uno nuovo.

Più origini di unione

Se hai più di un sistema di autenticazione, puoi specificare più sistemi da unire nel campo Unisci utenti utilizzando. Looker (Google Cloud core) cercherà gli utenti nei sistemi elencati nell'ordine in cui sono specificati. Ad esempio, supponiamo di aver creato alcuni utenti utilizzando Google OAuth e poi di aver attivato OIDC e ora vuoi utilizzare SAML. Looker eseguirà l'unione prima tramite Google OAuth e poi tramite OIDC.

Comportamento di accesso degli utenti

L'impostazione Ignora pagina di accesso controlla se gli utenti non autenticati vedono la pagina di accesso di Looker o vengono reindirizzati automaticamente al tuo provider di identità (IdP) per l'autenticazione.

  • Attivata (impostazione predefinita): quando gli utenti non autenticati accedono all'URL dell'istanza di Looker (Google Cloud core), ignorano la pagina di accesso di Looker e vengono reindirizzati immediatamente al portale di accesso IdP aziendale per l'autenticazione. Una volta autenticati, tornano alla pagina di Looker richiesta.
  • Disattivata: quando gli utenti non autenticati accedono all'URL dell'istanza, vedono la pagina di accesso di Looker. Gli utenti devono selezionare l'opzione di autenticazione per avviare l'accesso con il proprio IdP. Questa opzione è utile se hai configurato Google OAuth secondario e vuoi che gli utenti scelgano il metodo di accesso.

Per modificare questa impostazione, attiva o disattiva l'opzione Ignora pagina di accesso in Comportamento di accesso.

User attribute settings (Impostazioni degli attributi utente)

Puoi associare le attestazioni e gli attributi passati dall'IdP della forza lavoro agli attributi utente di Looker per popolare automaticamente i valori utente al momento dell'accesso (ad esempio, per rendere specifiche dell'utente le connessioni al database).

Associare gli attributi della federazione delle identità per la forza lavoro agli attributi utente di Looker

Per associare gli attributi dell'identità della forza lavoro agli attributi utente di Looker, segui questi passaggi:

  1. Nella pagina Autenticazione Workforce, nella sezione Impostazioni degli attributi utente, fai clic su Gestisci accoppiamenti.
  2. Nel campo Attestazione, inserisci il nome dell'attributo o dell'attestazione configurato nel pool di identità della forza lavoro (ad esempio google.display_name o una mappatura attribute.NAME personalizzata). Puoi inserire ogni nome di attestazione una sola volta.
  3. Nel campo Attributi utente di Looker, seleziona uno o più attributi utente di Looker da associare all'attestazione.
  4. (Facoltativo) Seleziona Obbligatorio se è necessario un valore per questa attestazione affinché un utente possa accedere.
  5. Fai clic su Aggiungi accoppiamento per aggiungere altre coppie di attributi.
  6. Per rimuovere un accoppiamento di attributi, fai clic sull'icona di eliminazione Elimina accanto alla riga dell'accoppiamento.
  7. Fai clic sull'icona di chiusura Chiudi per uscire dal riquadro laterale.
  8. Gli accoppiamenti non verranno salvati o aggiornati finché non avrai completato la verifica, inviato dalla pagina principale e fatto clic su Salva per applicare le modifiche.

Gruppi e ruoli

Puoi assegnare gruppi e ruoli di Looker agli utenti della forza lavoro al momento dell'accesso, specificando i valori predefiniti o eseguendo il mirroring dei gruppi definiti nel tuo IdP.

Gruppi e ruoli predefiniti

Quando il mirroring dei gruppi è disattivato, che è l'impostazione predefinita, puoi impostare gruppi e ruoli predefiniti per i nuovi utenti della forza lavoro al primo accesso:

  • Gruppi nuovi utenti: inserisci i gruppi di Looker da assegnare ai nuovi utenti al primo accesso.
  • Ruoli nuovi utenti: inserisci i ruoli di Looker da assegnare ai nuovi utenti al primo accesso.

Questi gruppi e ruoli predefiniti vengono applicati ai nuovi utenti al primo accesso e non vengono riapplicati se vengono rimossi in un secondo momento.

Gruppi con mirroring

Un gruppo con mirroring è un gruppo di Looker (gestito nella pagina Gruppi) che Looker crea e sincronizza automaticamente con un gruppo di forza lavoro esterno del tuo IdP.

Per creare e sincronizzare automaticamente i gruppi di Looker in base ai gruppi del provider di identità della forza lavoro, attiva l'opzione Mirroring dei gruppi Workforce. Per impostazione predefinita, questa opzione è disabilitata.

Per configurare i gruppi con mirroring, segui questi passaggi:

  1. Attiva l'opzione Mirroring dei gruppi Workforce.
  2. Fai clic su Gestisci gruppi per aprire il riquadro laterale.
  3. Fai clic su Aggiungi mappatura e configura quanto segue:
    • Nome gruppo Looker: inserisci il nome visualizzato per il gruppo con mirroring nella pagina Gruppi di Looker (Google Cloud core).
    • ID gruppo Workforce: inserisci l'identificatore del gruppo così come viene passato nel token della forza lavoro (ad esempio, il nome del gruppo o l'identificatore di sicurezza del tuo IdP).
    • Ruoli: seleziona uno o più ruoli di Looker da assegnare ai membri di questo gruppo.
  4. Per rimuovere una mappatura di gruppo, fai clic sull'icona di eliminazione Elimina accanto alla riga della mappatura.
  5. Fai clic sull'icona di chiusura Chiudi e poi su Salva.

L'aggiunta o la modifica delle mappature dei gruppi non ha effetto sugli utenti esistenti. Le mappature dei gruppi vengono verificate esclusivamente durante la procedura di accesso.

Quando OAuth è il metodo di autenticazione secondario

Se hai attivato l'autenticazione Google OAuth di backup, attiva il mirroring dei gruppi solo per il metodo di autenticazione principale. Se attivi il mirroring dei gruppi sia per il metodo di autenticazione principale sia per quello secondario, si verificano i seguenti comportamenti:

  • Se un utente ha unito le identità, il mirroring dei gruppi corrisponderà al metodo di autenticazione principale, indipendentemente dal metodo di autenticazione effettivo utilizzato per l'accesso.
  • Se un utente non ha unito le identità, il mirroring dei gruppi corrisponderà al metodo di autenticazione utilizzato per l'accesso.

Modificare i gruppi con mirroring

Se modifichi una mappatura di gruppo con mirroring, la configurazione del gruppo cambia, ma il gruppo di Looker stesso rimane intatto. Ad esempio:

  • Se modifichi il nome del gruppo di Looker , il nome visualizzato del gruppo nella pagina Gruppi di Looker (Google Cloud core) cambia, senza modificare i ruoli o i membri assegnati.
  • Se modifichi l'ID gruppo Workforce , il gruppo di forza lavoro esterno che esegue la mappatura a quel gruppo di Looker cambia. I membri del gruppo di Looker vengono riassegnati al successivo accesso in base all'appartenenza al nuovo gruppo di forza lavoro esterno.

Le modifiche apportate a una mappatura di gruppo con mirroring verranno applicate agli utenti al successivo accesso a Looker (Google Cloud core).

Gestione avanzata dei ruoli

Quando l'opzione Mirroring dei gruppi Workforce è attiva, puoi configurare le seguenti opzioni per controllare le assegnazioni di ruoli e gruppi:

  • Impedisci ai singoli utenti Workforce di ricevere ruoli diretti: se questa opzione è attiva, gli utenti della forza lavoro possono ricevere ruoli solo tramite le appartenenze ai gruppi. I ruoli assegnati direttamente vengono rimossi al successivo accesso.
  • Impedisci l'iscrizione diretta ai gruppi non Workforce: se questa opzione è attiva, gli utenti della forza lavoro non possono essere aggiunti manualmente ai gruppi di Looker integrati (senza mirroring). Gli utenti a cui sono stati assegnati in precedenza i gruppi integrati verranno rimossi da questi gruppi al successivo accesso. Se i gruppi con mirroring possono essere membri dei gruppi di Looker integrati, gli utenti della forza lavoro potrebbero mantenere l'appartenenza a tutti i gruppi di Looker principali.
  • Impedisci l'ereditarietà dei ruoli dai gruppi non Workforce: se questa opzione è attiva, i membri dei gruppi con mirroring non ereditano i ruoli dai gruppi integrati principali. Gli utenti che in precedenza hanno ereditato i ruoli da un gruppo integrato principale perderanno questi ruoli al successivo accesso.
  • L'autenticazione richiede un ruolo: se questa opzione è attiva, gli utenti devono avere almeno un ruolo assegnato per accedere. Se questa opzione è disattivata, gli utenti senza ruoli possono accedere, ma non possono visualizzare i contenuti o eseguire azioni.

Disattivare i gruppi con mirroring

Se disattivi l'opzione Mirroring dei gruppi Workforce, si verificano i seguenti comportamenti:

  • I gruppi di Looker con mirroring senza utenti vengono eliminati immediatamente dall'istanza.
  • I gruppi di Looker con mirroring con utenti vengono contrassegnati come orfani e verranno eliminati dopo 31 giorni se nessun membro accede.
  • I gruppi di forza lavoro esterni nel tuo IdP rimangono invariati.

Testare l'autenticazione utente

Fai clic sul pulsante Test per testare le impostazioni. I test reindirizzeranno al server e apriranno una scheda del browser. La scheda mostra le seguenti informazioni:

  • Se Looker è riuscito a comunicare con il server e a eseguire la convalida.
  • I nomi che Looker riceve dal server. Devi verificare che il server restituisca i risultati corretti.
  • Una traccia per mostrare come sono state trovate le informazioni. Utilizza la traccia per risolvere i problemi se le informazioni non sono corrette. Se hai bisogno di ulteriori dettagli, puoi leggere il file XML del server non elaborato.

Suggerimenti:

  • Puoi eseguire questo test in qualsiasi momento, anche se la federazione delle identità per la forza lavoro è configurata parzialmente. L'esecuzione di un test può essere utile durante la configurazione per vedere quali parametri devono essere configurati.
  • Il test utilizza le impostazioni inserite nella pagina Identità della forza lavoro, anche se non sono state salvate. Il test non influirà né modificherà le impostazioni di questa pagina.
  • Durante il test, Looker passa le informazioni all'IdP utilizzando il parametro RelayState della federazione delle identità per la forza lavoro. L'IdP deve restituire questo valore RelayState a Looker senza modifiche.

Salvare e applicare le impostazioni

Una volta inserite le informazioni e superati tutti i test, seleziona Ho verificato la configurazione di Workforce e fai clic su Aggiorna impostazioni per salvare.

Passaggi successivi