[管理] メニューの [認証] セクションにある [Workforce 認証] ページで、Workforce Identity 連携を使用してユーザーを認証するように Looker（Google Cloud コア）を構成できます。認証を設定するには、ユーザー属性マッピングを構成し、Workforce グループを Looker ロールにリンクして、ログイン オプションを管理します。
機能プレビュー期間中は、パブリック セキュア接続を使用する Looker（Google Cloud コア）インスタンスのみがサポートされます。
始める前に
Looker 管理パネルで Workforce Identity の設定を構成する前に、Looker（Google Cloud コア）ユーザー認証に Workforce Identity 連携を使用するのドキュメント ページで説明されているように、 Google Cloudで次の設定手順を完了してください。
- Google Cloud 組織で Workforce Identity プールとプロバイダを設定します。
- ワークフォース プリンシパルに Identity and Access Management（IAM）権限を付与して、ユーザーがログインできるようにします。
- インスタンスの作成時、または既存のインスタンスの編集時に、Workforce Identity 連携をプライマリ認証方法として選択します。
必要なロール
Looker では、次の条件が満たされている場合にのみ、[管理者] メニューの [認証] セクションに [Workforce 認証] ページが表示されます。
- 管理者ロールがある。
- Looker（Google Cloud コア）インスタンスが、Workforce Identity 連携を主な認証方法として使用するように構成されている。
Workforce Identity 連携ユーザーを Looker（Google Cloud コア）アカウントに統合する
[次を使用してユーザーを統合] フィールドに、初回 Workforce Identity 連携ログインを既存のユーザー アカウントに統合する方法を指定します。次のシステムのユーザーを統合できます。
- SAML
- OIDC
新しいインスタンスの場合、Google が標準の統合オプションです。インスタンスが以前に SAML または OIDC で構成されていた場合、Looker（Google Cloud コア）は、既存の構成をマージソースとして自動的に含め、ユーザーが既存の Looker（Google Cloud コア）プロファイルに正しくリンクされるようにします。
ユーザーが Workforce Identity 連携を使用して初めてログインすると、[次を使用してユーザーを統合] で、メールアドレスが一致するアカウントを探して、そのユーザーを既存のアカウントに接続します。ユーザーに既存のアカウントがない場合は、新規ユーザー アカウントが作成されます。
複数の統合元
複数の認証システムをすでに導入している場合は、[Merge Users Using] フィールドで統合する複数のシステムを指定できます。Looker（Google Cloud コア）は、指定された順序でシステムからユーザーを検索します。たとえば、Google OAuth を使用して一部のユーザーを作成し、OIDC を有効にして、SAML を使用するとします。Looker では、最初に Google OAuth、次に OIDC で統合されます。
ユーザー ログイン動作
[ログインページをバイパス] 設定では、認証されていないユーザーに Looker のログインページを表示するか、認証のために ID プロバイダ（IdP）に自動的にリダイレクトするかを制御します。
- 有効（デフォルト）: 認証されていないユーザーが Looker（Google Cloud コア）インスタンスの URL に移動すると、Looker のログイン ページをバイパスして、認証のために企業の IdP ログイン ポータルにすぐにリダイレクトされます。認証されると、リクエストされた Looker ページに戻ります。
- 無効: 未認証のユーザーがインスタンスの URL に移動すると、Looker の [ログイン] ページが表示されます。ユーザーは認証オプションを選択して、IdP でのログインを開始する必要があります。このオプションは、セカンダリ Google OAuth を構成していて、ユーザーにログイン方法を選択させたい場合に便利です。
この設定を変更するには、[ログイン動作] の [ログインページをバイパスする] スイッチを有効または無効にします。
ユーザー属性の設定
従業員 IdP から渡されたクレームと属性を Looker のユーザー属性とペアリングして、ログイン時にユーザー値を自動的に入力できます（たとえば、データベース接続をユーザー固有にする場合など）。
Workforce Identity 連携属性と Looker ユーザー属性をペア設定する
Workforce Identity 属性と Looker ユーザー属性をペアリングする手順は次のとおりです。
- [Workforce Authentication] ページの [User Attribute Settings] セクションで、[Manage Pairings] をクリックします。
- [クレーム] フィールドに、Workforce Identity プールで構成されている属性またはクレーム名（
google.display_nameやカスタムattribute.NAMEマッピングなど）を入力します。各請求名は 1 回のみ入力できます。 - [Looker ユーザー属性] フィールドで、クレームに関連付ける 1 つ以上の Looker ユーザー属性を選択します。
- 省略可: ユーザーがログインするためにこのクレームの値が必要な場合は、[必須] を選択します。
- [Add Pairing] をクリックして、属性ペアをさらに追加します。
- 属性のペア設定を削除するには、ペア設定の行の横にある 削除アイコンをクリックします。
- [ 閉じる] アイコンをクリックしてサイドパネルを閉じます。
- ペア設定は、確認を完了してメインページから送信し、[保存] をクリックして変更を適用するまで保存または更新されません。
グループとロール
デフォルトを指定するか、IdP で定義されているグループをミラーリングすることで、ログイン時に Looker のグループとロールを従業員ユーザーに割り当てることができます。
デフォルトのグループとロール
グループ ミラーリングが無効になっている場合（デフォルト設定）、新しい Workforce ユーザーが初めてログインしたときに、デフォルトのグループとロールを設定できます。
- 新規ユーザー グループ: 新規ユーザーが初めてログインするときに割り当てる Looker グループを入力します。
- 新規ユーザーロール: 新規ユーザーが初めてログインしたときに割り当てる Looker ロールを入力します。
これらのデフォルトのグループとロールは、新規ユーザーの最初のログイン時に適用されます。後で削除された場合は再適用されません。
ミラーリングされたグループ
ミラーリングされたグループは、Looker が自動的に作成し、IdP の外部 Workforce グループと同期する Looker グループ（[グループ] ページで管理）です。
Workforce Identity プロバイダのグループに基づいて Looker グループを自動的に作成して同期するには、[Workforce グループをミラーリング] をオンにします。デフォルトではこのオプションは無効になっています。
ミラーリングされたグループを構成する手順は次のとおりです。
- [Workforce グループをミラーリングする] をオンにします。
- [グループを管理] をクリックしてサイドパネルを開きます。
- [マッピングを追加] をクリックして、次のように構成します。
- Looker グループ名: Looker（Google Cloud コア）の [グループ] ページに表示されるミラーリングされたグループの表示名を入力します。
- Workforce グループ ID: Workforce トークンで渡されたグループ識別子（IdP のグループ名やセキュリティ識別子など）を入力します。
- ロール: このグループのメンバーに割り当てる 1 つ以上の Looker ロールを選択します。
- グループ マッピングを削除するには、マッピング行の横にある 削除アイコンをクリックします。
- [閉じる] アイコンをクリックし、[保存] をクリックします。
グループ マッピングを追加または変更しても、既存のユーザーには適用されません。グループ マッピングはログイン プロセス時にのみ評価されます。
OAuth がセカンダリ認証方式の場合
バックアップの Google OAuth 認証を有効にしている場合は、プライマリ認証方法に対してのみグループ ミラーリングを有効にします。プライマリ認証方法とセカンダリ認証方法の両方でグループ ミラーリングを有効にすると、次の動作が発生します。
- ユーザーが ID を統合している場合、グループ ミラーリングは、ログインに使用された実際の認証方法に関係なく、プライマリ認証方法と一致します。
- ユーザーに統合された ID がない場合、グループ ミラーリングはログインに使用される認証方法と一致します。
ミラーリングされたグループの編集
ミラーリングされたグループ マッピングを編集すると、グループの構成は変更されますが、Looker グループ自体はそのまま残ります。次に例を示します。
- [Looker Group Name] を変更すると、割り当てられたロールやメンバーを変更することなく、Looker（Google Cloud コア）の [グループ] ページに表示されるグループ名が変更されます。
- Workforce グループ ID を変更すると、その Looker グループにマッピングされる外部 Workforce グループが変更されます。Looker グループのメンバーは、次回ログイン時に新しい外部 Workforce グループのメンバーシップに基づいて再割り当てされます。
ミラーリング対象のグループ マッピングに対して行われた編集は、ユーザーが次に Looker（Google Cloud コア）にログインするときに適用されます。
高度なロール管理
[Mirror Workforce Groups] が有効になっている場合は、次のオプションを構成して、ロールとグループの割り当てを制御できます。
- 個々の Workforce ユーザーがロールを直接付与されないようにする: このオプションを有効にすると、Workforce ユーザーはグループ メンバーシップを通じてのみロールが付与されるようになります。直接割り当てられたロールは、次回のログイン時に削除されます。
- Workforce 以外のグループでの直接メンバーシップを防止する: このオプションを有効にすると、Workforce ユーザーをビルトイン（ミラーリングされていない）Looker グループに手動で追加できなくなります。以前に組み込みグループに割り当てられたユーザーは、次回のログイン時にそれらのグループから削除されます。ミラーリングされたグループをビルトイン Looker グループのメンバーにできる場合、Workforce ユーザーは親の Looker グループでのメンバーシップを保持できます。
- Workforce 以外のグループからのロールの継承を防止する: このオプションを有効にすると、ミラーリングされたグループのメンバーは、親の組み込みグループからロールを継承しません。以前に親の組み込みグループからロールを継承していたユーザーは、次回のログイン時にそのロールを失います。
- Auth にはロールが必要: このオプションを有効にすると、ユーザーがログインするには少なくとも 1 つのロールが割り当てられている必要があります。このオプションが無効になっている場合、ロールのないユーザーはログインできますが、コンテンツの表示やアクションの実行はできません。
ミラーリングされたグループを無効にする
[Workforce グループのミラーリング] をオフにすると、次の動作が発生します。
- ユーザーがいないミラーリングされた Looker グループは、インスタンスからすぐに削除されます。
- ユーザーを含むミラーリングされた Looker グループは、孤立したグループとしてマークされ、メンバーがログインしない場合は 31 日後に削除されます。
- IdP の外部の従業員グループは影響を受けません。
ユーザー認証をテストする
[テスト] ボタンをクリックして設定をテストします。テストではサーバーにリダイレクトされ、ブラウザタブが開きます。このタブには次の情報が表示されます。
- Looker がサーバーと通信して検証できたかどうか。
- Looker がサーバーから取得する名前。サーバーが適切な結果を返すことを検証する必要があります。
- 情報がどのように検出されたかを示すトレース。情報が正しくない場合は、トレースを使用してトラブルシューティングを行います。追加情報が必要な場合は、未加工の XML サーバー ファイルを読むことができます。
ヒント:
- このテストは、Workforce Identity 連携が部分的に構成されている場合でも、いつでも実行できます。テストを実行すると、構成中に構成が必要なパラメータを確認できます。
- テストでは、[Workforce Identity] ページで入力した設定を使用します（これらの設定が保存されていない場合でも）。テストはそのページのどの設定にも影響せず、設定は変更されません。
- テスト中に、Looker は Workforce Identity 連携の
RelayStateパラメータを使用して情報を IdP に渡します。IdP はこのRelayState値を変更せずに Looker に返す必要があります。
設定を保存して適用
情報の入力が完了し、すべてのテストに合格したら、[Workforce の構成を確認しました] を選択し、[設定を更新] をクリックして保存します。