管理員設定 - 工作團隊驗證

在「管理」選單的「驗證」部分，點選「工作團隊驗證」頁面，即可設定 Looker (Google Cloud Core)，使用員工身分聯盟驗證使用者。如要設定驗證，請設定使用者屬性對應、將工作團隊群組連結至 Looker 角色，以及管理登入選項。

功能預先發布期間，僅支援使用公開安全連線的 Looker (Google Cloud Core) 執行個體。

事前準備

在 Looker 管理面板設定員工身分之前，請務必按照「使用員工身分聯盟進行 Looker (Google Cloud Core) 使用者驗證」說明文件頁面的指示，在 Google Cloud完成下列設定步驟：

必要的角色

只有在符合下列條件時，Looker 才會在「Admin」(管理) 選單的「Authentication」(驗證) 部分顯示「Workforce Authentication」(員工驗證) 頁面：

將員工身分聯盟使用者合併至 Looker (Google Cloud Core) 帳戶

在「合併使用者」欄位中，指定要用來將首次員工身分聯盟登入作業與現有使用者帳戶合併的方法。您可以合併下列系統的使用者：

  • Google
  • SAML
  • OIDC

對於新執行個體，Google 是標準的合併選項。如果執行個體先前已設定 SAML 或 OIDC，Looker (Google Cloud Core) 會自動將這些現有設定納入合併來源，確保使用者正確連結至現有的 Looker (Google Cloud Core) 設定檔。

使用者首次透過 Workforce Identity Federation 登入時，「使用以下方式合併使用者」會尋找電子郵件地址相符的帳戶，並將使用者連結至現有帳戶。如果使用者沒有現有帳戶，系統會建立新的使用者帳戶。

多個合併來源

如果您有多個驗證系統，可以在「Merge Users Using」(合併使用者依據) 欄位中指定多個系統。Looker (Google Cloud Core) 會按照指定順序，從列出的系統中查詢使用者。舉例來說，假設您使用 Google OAuth 建立了一些使用者，然後啟用 OIDC，現在想改用 SAML。Looker 會先透過 Google OAuth 合併，然後再透過 OIDC 合併。

使用者登入行為

「略過登入頁面」設定可控管未經驗證的使用者會看到 Looker 登入頁面，還是自動重新導向至識別資訊提供者 (IdP) 進行驗證。

  • 啟用 (預設)：未經驗證的使用者前往 Looker (Google Cloud Core) 執行個體網址時，會略過 Looker「登入」頁面，直接重新導向至企業 IdP 登入入口網站進行驗證。通過驗證後，使用者會返回要求的 Looker 頁面。
  • 已停用：未經驗證的使用者前往執行個體網址時，會看到 Looker 的「登入」頁面。使用者必須選取驗證選項，才能透過 IdP 啟動登入程序。如果您已設定次要 Google OAuth，並希望使用者選擇登入方式，這個選項就非常實用。

如要變更這項設定，請啟用或停用「登入行為」下方的「略過登入頁面」切換鈕。

使用者屬性設定

您可以將員工 IdP 傳遞的憑證和屬性，與 Looker 使用者屬性配對，以便在登入時自動填入使用者值 (例如讓資料庫連線專屬於使用者)。

配對員工身分聯盟屬性和 Looker 使用者屬性

如要將員工身分屬性與 Looker 使用者屬性配對，請完成下列步驟：

  1. 在「員工驗證」頁面的「使用者屬性設定」部分，按一下「管理配對」。
  2. 在「Claim」(聲明) 欄位中，輸入在員工身分集區中設定的屬性或聲明名稱 (例如 google.display_name 或自訂 attribute.NAME 對應)。每個著作權聲明名稱只能輸入一次。
  3. 在「Looker 使用者屬性」欄位中，選取要與權杖建立關聯的一或多個 Looker 使用者屬性。
  4. 選用：如果使用者必須提供這項憑證的值才能登入，請選取「必填」。
  5. 按一下「新增配對」，即可新增更多屬性組合。
  6. 如要移除屬性配對，請按一下配對列旁的「刪除」圖示 。
  7. 按一下「關閉」圖示 即可關閉側邊面板。
  8. 必須完成驗證程序、從主頁面提交，並點選「儲存」套用變更，配對才會儲存或更新。

群組和角色

登入後，您可以指派 Looker 群組和角色給工作團隊使用者，方法是指定預設值，或是鏡像處理 IdP 中定義的群組。

預設群組和角色

如果停用群組鏡像功能 (預設設定)，您可以為首次登入的新員工使用者設定預設群組和角色：

  • 新使用者群組：輸入要指派給首次登入新使用者的 Looker 群組。
  • 新使用者角色：輸入要指派給新使用者的 Looker 角色，以便在他們首次登入時套用。

這些預設群組和角色會在使用者首次登入時套用，如果之後移除，就不會再次套用。

鏡像群組

鏡像群組是 Looker 群組 (在「群組」頁面管理)，由 Looker 自動建立，並與 IdP 的外部員工群組同步。

如要根據員工身分識別資訊提供者的群組，自動建立及同步處理 Looker 群組，請開啟「Mirror Workforce Groups」。這項選項預設為停用。

如要設定鏡像群組，請完成下列步驟：

  1. 開啟「Mirror Workforce Groups」(鏡像工作團隊群組)。
  2. 按一下「管理群組」開啟側邊面板。
  3. 按一下「新增對應」，然後進行下列設定：
    • Looker 群組名稱：在 Looker (Google Cloud Core) 的「群組」頁面，輸入鏡像群組的顯示名稱。
    • 工作團隊群組 ID：輸入工作團隊權杖中傳遞的群組 ID (例如 IdP 中的群組名稱或安全 ID)。
    • 角色：選取一或多個 Looker 角色，指派給這個群組的成員。
  4. 如要移除群組對應，請按一下對應列旁邊的「刪除」 圖示。
  5. 按一下「關閉」圖示 ，然後點選「儲存」。

新增或修改群組對應項目，不會套用至既有的使用者。系統只會在登入過程中評估群組對應關係。

OAuth 是次要驗證方式

如果您已啟用備用 Google OAuth 驗證，請僅為主要驗證方式啟用群組鏡像功能。如果您為主要和次要驗證方法啟用群組鏡像功能，會發生下列行為：

  • 如果使用者已合併身分，無論實際登入時使用的驗證方式為何，群組鏡像都會比對主要驗證方式。
  • 如果使用者沒有合併的身分，群組鏡像會比對用於登入的驗證方式。

編輯鏡像群組

如果編輯鏡像群組對應，群組的設定會變更，但 Looker 群組本身不會受到影響。例如：

  • 變更「Looker 群組名稱」後，Looker (Google Cloud Core)「群組」頁面上的群組顯示名稱會隨之變更，但指派的角色或成員不會改變。
  • 變更工作團隊群組 ID，會變更對應至該 Looker 群組的外部工作團隊群組。Looker 群組成員下次登入時，系統會根據新外部工作團隊群組的成員資格，重新指派成員。

下次登入 Looker (Google Cloud Core) 時，系統會將對應的鏡像群組對應套用至使用者。

進階角色管理

啟用「Mirror Workforce Groups」後，您可以設定下列選項，控管角色和群組指派作業：

  • 禁止個別工作團隊使用者取得直接角色：啟用這個選項後，工作團隊使用者只能透過群組成員身分取得角色。下次登入時，系統會移除所有直接指派的角色。
  • 禁止非工作團隊群組直接取得成員資格：啟用這個選項後，您就無法手動將工作團隊使用者新增至內建 (非鏡像) Looker 群組。先前獲派至內建群組的使用者，下次登入時會從這些群組中移除。如果允許鏡像群組成為內建 Looker 群組的成員，工作團隊使用者可能會保留任何上層 Looker 群組的成員資格。
  • 禁止從非工作團隊群組繼承角色：啟用這個選項後，鏡像群組的成員不會從上層內建群組繼承角色。先前從上層內建群組繼承角色的使用者，下次登入時會失去這些角色。
  • Auth Requires Role：啟用這個選項後，使用者必須至少獲派一個角色才能登入。如果停用這個選項，沒有角色的使用者可以登入，但無法查看內容或執行操作。

停用鏡像群組

如果關閉「鏡像工作團隊群組」，會發生以下情況：

  • 系統會立即從執行個體中刪除沒有使用者的鏡像 Looker 群組。
  • 含有使用者的鏡像 Looker 群組會標示為孤立群組，如果沒有成員登入，系統會在 31 天後刪除。
  • IdP 中的外部工作團隊群組不會受到影響。

測試使用者驗證機制

按一下「測試」按鈕，測試設定。測試會重新導向至伺服器，並開啟瀏覽器分頁。這個分頁會顯示下列資訊：

  • Looker 是否能與伺服器通訊並驗證。
  • Looker 從伺服器取得的名稱。您必須驗證伺服器是否傳回正確結果。
  • 追蹤記錄，顯示資訊的搜尋方式。如果資訊有誤，請使用追蹤記錄排解問題。如需其他詳細資料，可以讀取原始 XML 伺服器檔案。

提示：

  • 即使員工身分聯盟僅完成部分設定，您還是可以隨時執行這項測試。在設定期間執行測試，有助於瞭解需要設定哪些參數。
  • 測試會使用「Workforce Identity」(員工身分) 頁面中輸入的設定，即使這些設定尚未儲存也一樣。測試不會影響或變更該頁面上的任何設定。
  • 測試期間，Looker 會使用員工身分聯盟 RelayState 參數，將資訊傳遞至 IdP。IdP 應將這個 RelayState 值原封不動傳回 Looker。

儲存並套用設定

輸入完資訊且測試全部通過後，請選取「我已驗證 Workforce 設定」，然後按一下「更新設定」儲存。

後續步驟