管理员设置 - Workforce 身份验证

预览版

此功能受服务专用条款中“通用服务条款”部分所载“非正式版产品条款”及生成式 AI 预览版产品附加条款的约束。非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅 发布阶段说明。

注意： 如需就此预览版功能提供反馈或报告问题，请发送 详细电子邮件至 [e-mail]。

您可以在管理员 菜单的身份验证 部分中找到 Workforce 身份验证 页面，该页面可让您配置 Looker (Google Cloud Core)，以使用员工身份联合对用户进行身份验证。如需设置身份验证，您需要配置用户属性映射、将 Workforce 群组关联到 Looker 角色，以及管理登录选项。

在功能预览期间，仅支持使用公共安全连接的 Looker (Google Cloud Core) 实例。

准备工作

在 Looker 管理控制台中配置 Workforce 身份设置之前，请确保您已完成以下设置 步骤，如 Google Cloud使用 Workforce 身份联合进行 Looker (Google Cloud Core) 用户 身份验证文档页面中所述：

• 在您的组织中设置员工身份池和提供方 在您的 Google Cloud 组织中。
• 向 Workforce 主账号授予 Identity and Access Management (IAM) 权限 以允许用户登录。
• 在创建实例期间或通过修改现有实例， 选择 Workforce 身份联合作为主要身份验证方法。

所需角色

仅当满足以下条件时，Looker 才会显示管理员 菜单的身份验证 部分中的 Workforce 身份验证 页面：

• 您拥有管理员 角色。
• 您的 Looker (Google Cloud Core) 实例配置为使用 Workforce 身份联合作为主要身份验证方法。

将 Workforce 身份联合用户合并到 Looker (Google Cloud Core) 账号

在使用以下方式合并用户 字段中，指定用于将首次 Workforce 身份联合登录合并到现有用户账号的方法。您可以合并来自以下系统的用户：

• Google
• SAML
• OIDC

对于新实例，Google 是标准合并选项。如果您的实例之前已配置 SAML 或 OIDC，Looker (Google Cloud Core) 会自动将这些现有配置作为合并来源，以确保用户正确关联到其现有的 Looker (Google Cloud Core) 个人资料。

当用户首次通过 Workforce 身份联合登录时，使用以下方式合并用户 会查找具有匹配电子邮件地址的账号，以便将用户连接到其现有账号。如果用户没有现有账号，系统会创建一个新的用户账号。

多个合并来源

如果您有多个身份验证系统，则可以在使用以下方式合并用户 字段中指定多个系统进行合并。Looker (Google Cloud Core) 将按照列出的系统顺序查找用户。 例如，假设您使用 Google OAuth 创建了一些用户，然后启用了 OIDC，现在您想使用 SAML。Looker 会先按 Google OAuth 合并，然后再按 OIDC 合并。

用户登录行为

绕过登录页面 设置用于控制未经身份验证的用户是看到 Looker 登录页面，还是自动重定向到您的身份提供方 (IdP) 进行身份验证。

• 已启用（默认） ：当未经身份验证的用户导航到 Looker (Google Cloud Core) 实例网址时，他们会绕过 Looker 登录 页面，并立即重定向到您的企业 IdP 登录门户进行身份验证。通过身份验证后，他们会返回到请求的 Looker 页面。
• 已停用 ：当未经身份验证的用户导航到您的实例网址时，他们会看到 Looker 登录 页面。用户必须选择身份验证选项，才能使用其 IdP 启动登录。如果您已配置辅助 Google OAuth，并且希望用户选择其登录方法，此选项非常有用。

如需更改此设置，请在登录行为 下启用或停用绕过登录页面 开关。

**提示**： 如需了解 Workforce 身份联合如何影响用户会话时长、持久会话和离线后台作业，请参阅Looker (Google Cloud Core) 中的会话时长和身份提供方政策以及会话管理和令牌有效期。

用户属性设置

您可以将从 Workforce IdP 传递的声明和属性与 Looker 用户属性配对，以便在登录时自动填充用户值（例如，使数据库连接特定于用户）。

将 Workforce 身份联合属性与 Looker 用户属性配对

如需将 Workforce 身份属性与 Looker 用户属性配对，请完成以下步骤：

1. 在 Workforce 身份验证 页面上的用户属性设置 部分中，点击管理配对 。
2. 在声明 字段中，输入在 Workforce 身份池中配置的属性或声明名称（例如 google.display_name 或自定义 attribute.NAME 映射）。您只能输入每个声明名称一次。
3. 在 Looker 用户属性 字段中，选择一个或多个 Looker 用户属性以与声明关联。
4. 可选：如果用户需要此声明的值才能登录，请选择必需 。
5. 点击添加配对 以添加更多属性对。
6. 如需移除属性配对，请点击配对行旁边的 删除 图标。
7. 点击 关闭 图标以退出侧边栏，
8. 只有在完成验证、在主页面上提交并点击保存 以应用更改后，配对才会保存或更新。

群组和角色

您可以在用户登录时向其分配 Looker 群组和 角色，方法是指定默认值或镜像在 IdP 中定义的群组。

默认群组和角色

当群组镜像处于停用状态（默认设置）时，您可以为新 Workforce 用户首次登录时设置默认群组和角色：

• 新用户群组 ：输入新用户首次登录时要分配给他们的 Looker 群组。
• 新用户角色 ：输入新用户首次登录时要分配给他们的 Looker 角色。

这些默认群组和角色适用于新用户首次登录，如果之后被移除，则不会重新应用。

镜像群组

镜像群组 是 Looker 自动创建并与 IdP 中的外部 Workforce 群组同步的 Looker 群组（在群组 页面上管理）。

如需根据 Workforce 身份提供方的群组自动创建和同步 Looker 群组，请开启镜像 Workforce 群组 。默认情况下，此选项处于停用状态。

如需配置镜像群组，请完成以下步骤：

1. 开启镜像 Workforce 群组 。
2. 点击管理群组 以打开侧边栏。
3. 点击添加映射 并配置以下各项：
   • Looker 群组名称 ：输入 Looker (Google Cloud Core) 的群组 页面上镜像群组的显示名称。
   • Workforce 群组 ID ：输入在 Workforce 令牌中传递的群组标识符（例如，来自 IdP 的群组名称或安全标识符）。
   • 角色 ：选择一个或多个 Looker 角色以分配给此群组的成员。
4. 如需移除群组映射，请点击映射行旁边的 删除 图标。
5. 点击 关闭 图标，然后点击 保存。

添加或修改群组映射不会对现有用户生效。仅在登录过程中评估群组映射。

当 OAuth 是辅助身份验证方法时

重要提示 ：我们建议您仅为主身份验证方法启用群组镜像，而不要为备用 OAuth 身份验证启用群组镜像。

如果您已启用备用 Google OAuth 身份验证，请仅为主身份验证方法启用群组镜像。如果您同时为主身份验证方法和辅助身份验证方法启用群组镜像，则会发生以下行为：

• 如果用户已合并身份，则无论用于登录的实际身份验证方法是什么，群组镜像都会匹配主身份验证方法。
• 如果用户没有合并身份，则群组镜像将匹配用于登录的身份验证方法。

修改镜像群组

如果您修改镜像群组映射，则群组的配置会发生变化，但 Looker 群组本身保持不变。例如：

• 更改 Looker 群组名称 会更改 Looker (Google Cloud Core) 群组 页面上群组的显示名称，而不会更改分配的角色或成员。
• 更改 Workforce 群组 ID 会更改映射到该 Looker 群组的外部 Workforce 群组。Looker 群组的成员会在下次登录时根据新外部 Workforce 群组中的成员资格重新分配。

对镜像群组映射所做的任何修改都会在用户下次登录 Looker (Google Cloud Core) 时应用于用户。

高级角色管理

启用镜像 Workforce 群组 后，您可以配置以下选项来控制角色和群组分配：

• 禁止为单个 Workforce 用户直接授予角色 ：启用此选项后，Workforce 用户只能通过群组成员资格获得角色。任何直接分配的角色都会在下次登录时被移除。
• 禁止直接加入非 Workforce 群组 ：启用此选项后，无法将 Workforce 用户手动添加到内置（非镜像）Looker 群组。之前分配给内置群组的任何用户都会在下次登录时从这些群组中移除。如果允许镜像群组成为内置 Looker 群组的成员，Workforce 用户可能会保留在任何父 Looker 群组中的成员资格。
• 禁止从非 Workforce 群组继承角色 ：启用此选项后，镜像群组的成员不会从父内置群组继承角色。之前从父内置群组继承角色的任何用户都会在下次登录时失去这些角色。
• 身份验证需要角色 ：启用此选项后，用户必须至少拥有一个分配的角色才能登录。如果停用此选项，没有角色的用户可以登录，但无法查看内容或执行操作。

注意 ：开启限制性更强的设置会导致用户失去直接在 Looker (Google Cloud Core) 中配置的群组成员资格或分配的角色。这些用户下次登录 Looker (Google Cloud Core) 时，会失去群组成员资格或分配的角色。

停用镜像群组

如果您关闭镜像 Workforce 群组，则会发生以下行为：

• 没有用户的镜像 Looker 群组会立即从您的实例中删除。
• 有用户的镜像 Looker 群组会被标记为孤立群组，如果 31 天内没有成员登录，则会被删除。
• IdP 中的外部 Workforce 群组不受影响。

测试用户身份验证

点击测试 按钮以测试您的设置。测试会将您重定向到服务器，并打开一个浏览器标签页。该标签页会显示以下信息：

• Looker 是否能够与服务器通信并进行验证。
• Looker 从服务器获取的名称。您需要验证服务器是否返回了正确的结果。
• 用于显示信息查找方式的跟踪记录。如果信息不正确，请使用跟踪记录进行问题排查。如果您需要更多详细信息，可以阅读原始 XML 服务器文件。

注意： 请仔细阅读测试结果，因为即使部分测试失败，其他部分也可能会成功。

提示：

• 您可以随时运行此测试，即使 Workforce 身份联合仅部分配置也是如此。在配置期间运行测试有助于了解哪些参数需要配置。
• 测试使用在 Workforce 身份 页面上输入的设置，即使这些设置尚未保存也是如此。测试不会影响或更改该页面上的任何设置。
• 在测试期间，Looker 使用 Workforce 身份联合 RelayState 参数将信息传递给 IdP。IdP 应将此 RelayState 值原封不动地返回给 Looker。

注意： 在点击更新设置之前，请务必验证所有测试是否都通过了。保存不正确的 Workforce 身份联合配置信息可能会导致您和其他人无法访问 Looker。

保存并应用设置

输入完信息且所有测试都通过后，选择我已验证 Workforce 配置 ，然后点击更新设置 进行保存。

后续步骤

• 为用户准备 Looker (Google Cloud Core) 实例
• 在 Looker (Google Cloud Core) 中管理用户