관리자 설정 - 직원 인증

관리 메뉴의 인증 섹션에 있는 직원 인증 페이지에서 직원 ID 제휴를 사용하여 사용자를 인증하도록 Looker (Google Cloud 핵심 서비스)를 구성할 수 있습니다. 인증을 설정하려면 사용자 속성 매핑을 구성하고, 직원 그룹을 Looker 역할에 연결하고, 로그인 옵션을 관리합니다.

기능 미리보기 중에는 공개 보안 연결을 사용하는 Looker (Google Cloud 핵심 서비스) 인스턴스만 지원됩니다.

시작하기 전에

Looker 관리 패널에서 직원 ID 설정을 구성하기 전에 Google CloudLooker (Google Cloud 핵심 서비스) 사용자 인증을 위한 직원 ID 제휴 사용 문서 페이지에 설명된 대로 다음 설정 단계를 완료해야 합니다.

필요한 역할

Looker는 다음 조건이 충족되는 경우에만 관리 메뉴의 인증 섹션에 직원 인증 페이지를 표시합니다.

직원 ID 제휴 사용자를 Looker (Google Cloud 핵심 서비스) 계정에 병합

사용자 사용 병합 필드에서 최초 직원 ID 제휴 로그인을 기존 사용자 계정에 병합하는 데 사용할 메서드를 지정합니다. 다음 시스템의 사용자를 병합할 수 있습니다.

  • Google
  • SAML
  • OIDC

새 인스턴스의 경우 Google이 표준 병합 옵션입니다. 인스턴스가 이전에 SAML 또는 OIDC로 구성된 경우 Looker (Google Cloud 핵심 서비스)는 사용자가 기존 Looker (Google Cloud 핵심 서비스) 프로필에 올바르게 연결되도록 이러한 기존 구성을 병합 소스로 자동으로 포함합니다.

사용자가 직원 ID 제휴를 통해 처음 로그인하는 경우 사용자 사용 병합 은 일치하는 이메일 주소가 있는 계정을 찾아 사용자를 기존 계정에 연결합니다. 사용자의 기존 계정이 없으면 새 사용자 계정이 생성됩니다.

여러 병합 소스

인증 시스템이 둘 이상인 경우 사용자 사용 병합 필드에서 병합할 시스템을 두 개 이상 지정할 수 있습니다. Looker (Google Cloud 핵심 서비스)는 지정된 순서대로 나열된 시스템에서 사용자를 조회합니다. 예를 들어 Google OAuth를 사용하여 일부 사용자를 만든 다음 OIDC를 사용 설정하고 SAML을 사용하려는 경우를 가정해 보겠습니다. Looker는 먼저 Google OAuth로 병합한 다음 OIDC로 병합합니다.

사용자 로그인 동작

로그인 페이지 우회 설정은 인증되지 않은 사용자에게 Looker 로그인 페이지가 표시되는지 아니면 인증을 위해 ID 제공업체 (IdP)로 자동 리디렉션되는지를 제어합니다.

  • 사용 설정됨 (기본값): 인증되지 않은 사용자가 Looker (Google Cloud 핵심 서비스) 인스턴스 URL로 이동하면 Looker 로그인 페이지를 우회하고 인증을 위해 엔터프라이즈 IdP 로그인 포털로 즉시 리디렉션됩니다. 인증되면 요청된 Looker 페이지로 돌아갑니다.
  • 사용 중지됨: 인증되지 않은 사용자가 인스턴스 URL로 이동하면 Looker 로그인 페이지가 표시됩니다. 사용자는 인증 옵션을 선택하여 IdP로 로그인을 시작해야 합니다. 이 옵션은 보조 Google OAuth를 구성하고 사용자가 로그인 방법을 선택하도록 하려는 경우에 유용합니다.

이 설정을 변경하려면 로그인 동작 에서 로그인 페이지 우회 스위치를 사용 설정 또는 사용 중지합니다.

사용자 속성 설정

직원 IdP에서 전달되는 클레임 및 속성을 Looker 사용자 속성과 페어링하여 로그인 시 사용자 값을 자동으로 채울 수 있습니다 (예: 데이터베이스 연결을 사용자별로 수행).

직원 ID 제휴 속성을 Looker 사용자 속성과 페어링

직원 ID 속성을 Looker 사용자 속성과 페어링하려면 다음 단계를 완료하세요.

  1. 직원 인증 페이지의 사용자 속성 설정 섹션에서 페어링 관리 를 클릭합니다.
  2. 클레임 필드에 직원 ID 풀에 구성된 속성 또는 클레임 이름 (예: google.display_name 또는 커스텀 attribute.NAME 매핑)을 입력합니다. 각 클레임 이름은 한 번만 입력할 수 있습니다.
  3. Looker 사용자 속성 필드에서 클레임과 연결할 Looker 사용자 속성을 하나 이상 선택합니다.
  4. 선택사항: 사용자가 로그인하려면 이 클레임의 값이 필요한 경우 필수 를 선택합니다.
  5. 페어링 추가 를 클릭하여 속성 쌍을 더 추가합니다.
  6. 속성 페어링을 삭제하려면 페어링 행 옆에 있는 삭제 아이콘을 클릭합니다.
  7. 닫기 아이콘을 클릭하여 측면 패널을 종료하고,
  8. 인증을 완료하고 기본 페이지에서 제출하고 저장 을 클릭하여 변경사항을 적용할 때까지 페어링이 저장되거나 업데이트되지 않습니다.

그룹 및 역할

기본값을 지정하거나 IdP에 정의된 그룹을 미러링하여 로그인 시 직원 사용자에게 Looker 그룹 및 역할을 할당할 수 있습니다.

기본 그룹 및 역할

그룹 미러링이 사용 중지된 경우(기본 설정) 새 직원 사용자가 처음 로그인할 때 기본 그룹 및 역할을 설정할 수 있습니다.

  • 신규 사용자 그룹: 신규 사용자가 처음 로그인할 때 할당할 Looker 그룹을 입력합니다.
  • 신규 사용자 역할: 신규 사용자가 처음 로그인할 때 할당할 Looker 역할을 입력합니다.

이러한 기본 그룹 및 역할은 신규 사용자가 처음 로그인할 때 적용되며 나중에 삭제되더라도 다시 적용되지 않습니다.

미러링된 그룹

미러링된 그룹 은 Looker가 자동으로 만들고 IdP의 외부 직원 그룹과 동기화하는 Looker 그룹 (그룹 페이지에서 관리)입니다.

직원 ID 제공업체의 그룹을 기반으로 Looker 그룹을 자동으로 만들고 동기화하려면 직원 그룹 미러링 을 사용 설정합니다. 기본적으로 이 옵션은 사용 중지되어 있습니다.

미러링된 그룹을 구성하려면 다음 단계를 완료하세요.

  1. 직원 그룹 미러링 을 사용 설정합니다.
  2. 그룹 관리 를 클릭하여 측면 패널을 엽니다.
  3. 매핑 추가 를 클릭하고 다음을 구성합니다.
    • Looker 그룹 이름: Looker (Google Cloud 핵심 서비스)의 그룹 페이지에 미러링된 그룹의 표시 이름을 입력합니다.
    • 직원 그룹 ID: 직원 토큰에 전달된 그룹 식별자 (예: IdP의 그룹 이름 또는 보안 식별자)를 입력합니다.
    • 역할: 이 그룹의 구성원에게 할당할 Looker 역할을 하나 이상 선택합니다.
  4. 그룹 매핑을 삭제하려면 매핑 행 옆에 있는 삭제 아이콘을 클릭합니다.
  5. 닫기 닫기 아이콘을 클릭하고 저장을 클릭합니다.

그룹 매핑을 추가하거나 수정해도 기존 사용자에게 적용되지 않습니다. 그룹 매핑은 로그인 프로세스 중에만 평가됩니다.

OAuth가 보조 인증 방법인 경우

백업 Google OAuth 인증을 사용 설정한 경우 기본 인증 방법에만 그룹 미러링을 사용 설정합니다. 기본 인증 방법과 보조 인증 방법 모두에 그룹 미러링을 사용 설정하면 다음과 같은 동작이 발생합니다.

  • 사용자가 ID를 병합한 경우 그룹 미러링은 로그인하는 데 사용되는 실제 인증 방법과 관계없이 기본 인증 방법과 일치합니다.
  • 사용자가 ID를 병합하지 않은 경우 그룹 미러링은 로그인하는 데 사용되는 인증 방법과 일치합니다.

미러링된 그룹 수정

미러링된 그룹 매핑을 수정하면 그룹 구성이 변경되지만 Looker 그룹 자체는 그대로 유지됩니다. 예를 들면 다음과 같습니다.

  • Looker 그룹 이름 을 변경하면 할당된 역할이나 구성원을 변경하지 않고 Looker (Google Cloud 핵심 서비스) 그룹 페이지에서 그룹의 표시 이름이 변경됩니다.
  • 직원 그룹 ID 를 변경하면 해당 Looker 그룹에 매핑되는 외부 직원 그룹이 변경됩니다. Looker 그룹의 구성원은 새 외부 직원 그룹의 멤버십을 기반으로 다음에 로그인할 때 다시 할당됩니다.

미러링된 그룹 매핑에 적용된 모든 수정사항은 다음에 Looker (Google Cloud 핵심 서비스)에 로그인할 때 사용자에게 적용됩니다.

고급 역할 관리

직원 그룹 미러링 을 사용 설정하면 다음 옵션을 구성하여 역할 및 그룹 할당을 제어할 수 있습니다.

  • 개별 직원 사용자가 직접 역할을 받지 못하도록 방지: 이 옵션을 사용 설정하면 직원 사용자는 그룹 멤버십을 통해서만 역할을 받을 수 있습니다. 직접 할당된 역할은 다음에 로그인할 때 삭제됩니다.
  • 직원 이외의 그룹에서 직접 멤버십 방지: 이 옵션을 사용 설정하면 직원 사용자를 기본 제공 (미러링되지 않은) Looker 그룹에 수동으로 추가할 수 없습니다. 이전에 기본 제공 그룹에 할당된 모든 사용자는 다음에 로그인할 때 이러한 그룹에서 삭제됩니다. 미러링된 그룹이 기본 제공 Looker 그룹의 구성원이 될 수 있으면 직원 사용자가 모든 상위 Looker 그룹에서 멤버십을 유지할 수 있습니다.
  • 직원 이외의 그룹에서 역할 상속 방지: 이 옵션을 사용 설정하면 미러링된 그룹의 구성원이 상위 기본 제공 그룹에서 역할을 상속하지 않습니다. 이전에 상위 기본 제공 그룹에서 역할을 상속한 모든 사용자는 다음에 로그인할 때 이러한 역할을 손실하게 됩니다.
  • 인증에 역할 필요: 이 옵션을 사용 설정하면 사용자가 로그인하려면 할당된 역할이 하나 이상 있어야 합니다. 이 옵션을 사용 중지하면 역할이 없는 사용자가 로그인할 수 있지만 콘텐츠를 보거나 작업을 수행할 수는 없습니다.

미러링된 그룹 사용 중지

직원 그룹 미러링을 사용 중지하면 다음과 같은 동작이 발생합니다.

  • 사용자가 없는 미러링된 Looker 그룹은 인스턴스에서 즉시 삭제됩니다.
  • 사용자가 있는 미러링된 Looker 그룹은 고아로 표시되며 구성원이 로그인하지 않으면 31일 후에 삭제됩니다.
  • IdP의 외부 직원 그룹은 영향을 받지 않습니다.

사용자 인증 테스트

테스트 버튼을 클릭하여 설정을 테스트합니다. 테스트가 서버로 리디렉션되고 브라우저 탭이 열립니다. 탭에 다음 정보가 표시됩니다.

  • Looker가 서버와 통신하고 유효성을 검사할 수 있는지 여부
  • Looker가 서버에서 가져오는 이름. 서버가 올바른 결과를 반환하는지 확인해야 합니다.
  • 정보를 어떻게 찾았는지 보여주는 trace. 정보가 잘못된 경우 trace를 사용하여 문제를 해결합니다. 자세한 내용이 필요한 경우 원시 XML 서버 파일을 읽을 수 있습니다.

도움말:

  • 직원 ID 제휴가 부분적으로 구성된 경우에도 언제든지 이 테스트를 실행할 수 있습니다. 구성 중에 테스트를 실행하면 구성이 필요한 파라미터를 확인할 수 있습니다.
  • 테스트에서는 이러한 설정이 저장되지 않은 경우에도 직원 ID 페이지에 입력된 설정을 사용합니다. 테스트는 해당 페이지의 설정에 영향을 주거나 설정을 변경하지 않습니다.
  • 테스트 중에 Looker가 직원 ID 제휴 RelayState 파라미터를 사용하여 IdP에 정보를 전달합니다. IdP는 수정되지 않은 Looker로 이 RelayState 값을 반환해야 합니다.

설정 저장 후 적용

정보 입력을 마쳤고 테스트가 모두 통과하면 직원 구성을 확인했습니다 를 선택하고 설정 업데이트 를 클릭하여 저장합니다.

다음 단계