Résoudre les problèmes de comptes en double lors du changement d'adresse e-mail

Ce guide vous aide à résoudre les problèmes liés aux comptes utilisateur en double créés par Looker lorsque l'adresse e-mail principale d'un utilisateur existant est modifiée dans votre fournisseur d'identité (IdP), tel qu'Azure Active Directory (Azure AD).

Avant de commencer à résoudre les problèmes, vous devez déterminer si votre instance est une instance Looker (version initiale) (hébergée ou auto-hébergée) ou une instance Looker (Google Cloud Core), car elles sont compatibles avec différentes options de fusion des utilisateurs :

  • Looker (version initiale) : compatible avec les identifiants locaux (adresse e-mail et mot de passe) . Cette option vous permet de fusionner des utilisateurs en faisant correspondre les adresses e-mail lorsque des identifiants IdP uniques sont modifiés.
  • Looker (Google Cloud Core) : non compatible avec la connexion locale par adresse e-mail et mot de passe ni avec les identifiants d'adresse e-mail. Par conséquent, vous ne pouvez pas fusionner des utilisateurs à l'aide de l'option d'identifiants d'adresse e-mail et de mot de passe dans Looker (Google Cloud Core).

Instances Looker (version initiale)

Utilisez l'arbre de décision suivant pour résoudre les problèmes liés aux modifications d'adresse e-mail sur les instances Looker (version initiale) :

Les sections suivantes décrivent plus en détail les scénarios de l'arbre.

Configurer les paramètres du fournisseur d'identité

Pour éviter les comptes en double lorsque les adresses e-mail des utilisateurs sont modifiées, vous pouvez configurer votre IdP afin qu'il affirme un identifiant unique immuable :

  1. Dans votre IdP (tel qu'Azure AD), recherchez les paramètres de mappage d'identifiant unique (par exemple, l'attribut Unique User Identifier (Name ID) pour SAML ou la revendication sub pour OIDC).
  2. Configurez cet attribut pour qu'il soit mappé à un attribut utilisateur immuable (tel qu'un ID d'employé ou un UUID de base de données) au lieu d'une adresse e-mail modifiable.
  3. Enregistrez les configurations. Étant donné que l'identifiant unique reste constant lorsque l'adresse e-mail est modifiée, Looker reconnaît l'utilisateur existant et met automatiquement à jour son adresse e-mail lors de sa prochaine connexion sans créer de compte en double.

Éviter les doublons

Si vous utilisez une adresse e-mail modifiable comme identifiant unique dans Looker (version initiale) et que vous ne pouvez pas la remplacer par un attribut immuable, vous devez suivre ces étapes pour configurer Looker afin de fusionner les utilisateurs en fonction de la correspondance des adresses e-mail :

  1. Dans le panneau d'administration de Looker, accédez à Admin > SAML ou Admin > OpenID Connect.
  2. Accédez à l'option Merge Users Using (Fusionner les utilisateurs à l'aide de) et cochez la case Looker Email/Password (Adresse e-mail/Mot de passe Looker).
  3. Avant que l'utilisateur ne se connecte avec sa nouvelle adresse e-mail, vous devez créer des identifiants d'adresse e-mail Looker sur son compte utilisateur existant qui correspondent à la nouvelle adresse e-mail. Utilisez le point de terminaison de l'API Looker create_user_credentials_email: POST /api/4.0/users/<var>USER_ID</var>/credentials_email Spécifiez la nouvelle adresse e-mail dans le corps de la requête.
  4. Demandez à l'utilisateur de se connecter. Looker fera correspondre la nouvelle adresse e-mail déclarée par l'IdP avec les identifiants d'adresse e-mail précréés et fusionnera les comptes.

Supprimer les doublons

Si l'adresse e-mail a déjà été modifiée et que des comptes utilisateur en double existent, procédez comme suit pour les supprimer et les fusionner :

  1. Dans le panneau d'administration de Looker, accédez à Admin > Users (Admin > Utilisateurs) et identifiez le compte d'origine de l'utilisateur et le compte en double.
  2. Déterminez si le compte en double contient du contenu généré par l'utilisateur ou des planifications que vous devez conserver. Si c'est le cas, suivez les étapes de la section Migrer le contenu en double.
  3. Dans les paramètres SAML ou OIDC de Looker, vérifiez que l'option Merge Users Using (Fusionner les utilisateurs à l'aide de) est activée pour Looker Email/Password (Adresse e-mail/Mot de passe Looker).
  4. Supprimez le compte utilisateur en double.
  5. Dans l'API Looker, créez des identifiants d'adresse e-mail Looker sur le compte utilisateur d'origine qui utilise la nouvelle adresse e-mail : POST /api/4.0/users/<var>USER_ID</var>/credentials_email
  6. Demandez à l'utilisateur de se connecter à l'aide de SAML ou d'OIDC. Looker fusionnera ses identifiants de connexion dans le compte utilisateur d'origine.

Migrer le contenu en double

Si le compte en double contient du contenu généré par l'utilisateur, des éléments de dossier personnel, des Looks, des tableaux de bord ou des planifications, vous pouvez les migrer vers le compte d'origine avant de supprimer le doublon :

  1. Utilisez l'API Looker pour récupérer la liste du contenu et des planifications associés à l'ID utilisateur en double.
  2. Appelez les points de terminaison de mise à jour (tels que update_dashboard, update_look ou update_schedule_plan) pour remplacer le propriétaire de ces ressources par l'ID utilisateur d'origine.
  3. Vous pouvez également utiliser des outils tels que le pack d'administration Open Source Looker pour effectuer des migrations groupées de contenu utilisateur.
  4. Une fois le contenu transféré, supprimez le compte utilisateur en double.

Instances Looker (Google Cloud Core)

Looker (Google Cloud Core) n'est pas compatible avec les identifiants d'adresse e-mail ni avec la fusion par adresse e-mail et mot de passe. Utilisez l'arbre de décision suivant pour gérer les modifications d'adresse e-mail dans Looker (Google Cloud Core) :

Les sections suivantes décrivent plus en détail les scénarios de l'arbre.

Étapes préalables à la migration

Si vous vous préparez à migrer d'une instance Looker (version initiale) vers Looker (Google Cloud Core), vous devez d'abord suivre ces étapes pour convertir les utilisateurs en une méthode d'authentification compatible avec Core (telle que Google OAuth) :

  1. Activez Google OAuth sur votre instance Looker (version initiale).
  2. Activez l'option Merge Users Using (Fusionner les utilisateurs à l'aide de) avec l'option Looker Email/Password (Adresse e-mail/Mot de passe Looker) activée dans les paramètres Google OAuth.
  3. Demandez à tous les utilisateurs de se connecter à l'aide de Google OAuth sur l'instance Looker (version initiale) pour fusionner leurs comptes avant la migration.
  4. Effectuez la migration vers Looker (Google Cloud Core).

Étapes post-migration

Si la migration vers Looker (Google Cloud Core) est terminée et que des comptes en double existent toujours, effectuez l'une des tâches suivantes :

  • Si l'instance Looker (version initiale) est toujours accessible: Contactez l'assistance Google Cloud pour restaurer l'instance, effectuez les étapes de fusion Google OAuth sur l'instance d'origine, puis effectuez à nouveau la migration vers Looker (Google Cloud Core).
  • Si l'instance Looker (version initiale) n'est pas accessible : vous devez migrer manuellement le contenu généré par l'utilisateur à l'aide de scripts d'API Looker depuis les anciens comptes des utilisateurs vers leurs nouveaux comptes, puis supprimer les anciens comptes ou les comptes en double.

Dernière vérification et assistance

Si vous ne parvenez toujours pas à résoudre le problème des comptes en double, contactez l'assistance.