Menggunakan Google OAuth untuk autentikasi pengguna Looker (Google Cloud core)

Catatan: Untuk mempelajari cara menyiapkan klien dan kredensial OAuth, lihat halaman dokumentasi Membuat klien dan kredensial OAuth untuk instance Looker (Google Cloud core).

Google OAuth digunakan bersama dengan Identity and Access Management (IAM) untuk mengautentikasi pengguna Looker (inti Google Cloud).

Saat menggunakan OAuth untuk autentikasi, Looker (inti Google Cloud) mengautentikasi pengguna melalui protokol OAuth 2.0. Anda dapat menggunakan klien OAuth 2.0 apa pun. Sebagai contoh, halaman ini akan memandu Anda melakukan langkah-langkah untuk menyiapkan autentikasi untuk instance Looker (Google Cloud core) menggunakan konsol Google Cloud untuk membuat kredensial OAuth.

Jika metode lain adalah bentuk autentikasi utama, Google OAuth secara default adalah metode autentikasi cadangan.

Autentikasi dan otorisasi dengan OAuth dan IAM

Jika digunakan dengan OAuth, peran IAM Looker (Google Cloud core) memberikan tingkat autentikasi dan otorisasi berikut untuk semua instance Looker (Google Cloud core) dalam project Google Cloud tertentu. Tetapkan salah satu peran IAM berikut ke setiap akun utama Anda, bergantung pada tingkat akses yang Anda inginkan:

Peran IAM	Autentikasi	Otorisasi
Looker Instance User (roles/looker.instanceUser)	Dapat login ke instance Looker (Google Cloud core)	Saat login pertama kali ke Looker (Google Cloud core), pengguna akan diberi kumpulan peran Looker default yang ditetapkan di Peran untuk pengguna baru. Tidak dapat mengakses resource Looker (Google Cloud core) di konsol Google Cloud .
Looker Viewer (roles/looker.viewer)	Dapat login ke instance Looker (Google Cloud core)	Saat login pertama kali ke Looker (Google Cloud core), pengguna akan diberi peran Looker default yang ditetapkan di Roles for new users. Dapat melihat daftar instance Looker (Google Cloud core) dan detail instance di Google Cloud konsol
Admin Looker (roles/looker.admin)	Dapat login ke instance Looker (Google Cloud core)	Saat login pertama kali ke Looker (Google Cloud core), pengguna akan diberi kumpulan peran Looker default yang ditetapkan di Peran untuk pengguna baru. Diverifikasi pada setiap login ke Looker (Google Cloud core) yang menggunakan OAuth utama atau OAuth cadangan dan setiap kali pengguna melakukan panggilan ke Looker API, peran ini (atau peran kustom yang mencakup izin looker.instances.update) juga memberikan peran Admin melalui IAM dalam instance. Peran Admin via IAM berisi semua izin dan kemampuan peran Looker Admin. Peran ini tidak dapat dihapus atau ditetapkan ulang dalam instance Looker (Google Cloud core). Untuk menghapus peran Admin melalui IAM, tetapkan ulang prinsipal ke peran IAM selain Admin Looker (roles/looker.admin). Perubahan pada peran IAM akan otomatis disinkronkan ke instance Looker (inti Google Cloud) meskipun pengguna login dengan penyedia identitas pihak ketiga setelah perubahan. Untuk mengetahui informasi selengkapnya, lihat bagian Peran Admin Looker versus peran Admin via IAM Looker. Selama token refresh OAuth pengguna valid, peran pengguna akan ditampilkan sebagai Admin via IAM dalam Looker (Google Cloud core), meskipun pengguna tersebut nantinya login dengan penyedia identitas pihak ketiga. Jika token refresh OAuth berakhir atau dicabut, pengguna harus menggunakan OAuth untuk login ke instance lagi guna mendapatkan kembali peran Admin via IAM. Dapat menjalankan semua tugas administratif untuk Looker (Google Cloud core) dalam Google Cloud konsol

Selain itu, akun pengguna dengan peran owner untuk sebuah project dapat login dan mengelola instance Looker (Google Cloud core) apa pun dalam project tersebut. Pengguna ini akan diberi peran Looker Admin.

Jika peran yang telah ditetapkan tidak memberikan sekumpulan izin yang Anda inginkan, Anda juga dapat membuat peran khusus sendiri.

Akun Looker (Google Cloud core) dibuat saat login pertama kali ke instance Looker (Google Cloud core).

Peran Admin Looker versus peran Admin melalui IAM Looker

Catatan: Dalam dokumentasi Looker, setiap referensi ke "admin Looker" atau "peran Looker Admin" juga berlaku untuk pengguna dengan peran Admin via IAM.

Ada dua peran dalam instance Looker (Google Cloud core) yang menggunakan Admin permission set dan memberikan hak istimewa admin yang sama dalam instance. Tabel berikut merangkum kesamaan dan perbedaan kedua peran tersebut.

Properti	Peran Admin Looker	Admin melalui peran IAM Looker
Sumber tepercaya	Diberikan oleh admin lain di instance Looker (Google Cloud core)	Terkait langsung dengan peran IAM Looker Admin
Dapat ditambahkan atau dihapus dalam instance Looker (Google Cloud core)?	Ya	Tidak
Dapat ditambahkan atau dihapus dengan IAM?	Tidak	Ya
Izin dalam Looker (Google Cloud core)	Semua izin	Semua izin
Izin dalam konsol Google Cloud	Tidak ada	Akses penuh ke semua resource Looker (Google Cloud core)
Validasi peran	Terus-menerus dalam instance Looker (Google Cloud core)	Saat setiap login ke instance Looker (Google Cloud core) dan setiap panggilan Looker API. Perubahan pada peran dengan IAM mungkin memerlukan waktu beberapa menit untuk diterapkan.
Cakupan	Instance Looker (Google Cloud core) individual	Semua instance Looker (Google Cloud core) dalam project Google Cloud

Pengguna dapat memiliki peran Looker Admin dan Admin melalui IAM. Oleh karena itu, jika Anda ingin mencabut hak istimewa admin, pastikan untuk menghapus peran IAM dan peran Admin dalam instance Looker (Google Cloud core).

Tips: Jika akun utama dengan peran IAM Admin Looker diberi peran IAM Admin Looker dan login ke instance sebelum Looker 25.4, akun utama tersebut akan memiliki peran Looker Admin dan peran Admin melalui IAM dalam instance Looker (inti Google Cloud) setelah upgrade ke Looker 25.4. Sebaiknya Anda menghapus peran Looker Admin untuk pengguna ini agar hak istimewa administrator dikelola hanya melalui konsol Google Cloud .

Mengonfigurasi OAuth dalam instance Looker (Google Cloud core)

Dalam instance Looker (Google Cloud core), halaman Google Authentication di bagian Authentication pada menu Admin memungkinkan Anda mengonfigurasi beberapa setelan Google OAuth. Anda harus memiliki peran Looker Admin.

Menggabungkan akun pengguna

Di kolom Merge Users Using, tentukan metode yang akan digunakan untuk menggabungkan login OAuth pertama kali ke akun pengguna yang ada. Saat pengguna login untuk pertama kalinya melalui OAuth, opsi ini akan menghubungkan pengguna ke akun yang sudah ada dengan menemukan akun yang memiliki alamat email yang cocok. Jika tidak ada akun untuk pengguna, akun pengguna baru akan dibuat.

Anda dapat menggabungkan pengguna dari sistem berikut:

• SAML
• OIDC

Jika memiliki lebih dari satu sistem, Anda dapat menentukan lebih dari satu sistem untuk digabungkan di kolom ini. Looker (Google Cloud core) akan mencari pengguna dari sistem yang tercantum sesuai urutan yang ditentukan sistem. Misalnya, jika Anda pertama kali membuat beberapa pengguna menggunakan OIDC, lalu menggunakan SAML, saat pengguna mencoba login dengan OAuth untuk pertama kalinya, Looker (Google Cloud core) akan mencari pengguna menggunakan OIDC terlebih dahulu, lalu, jika tidak menemukan kecocokan untuk pengguna dengan OIDC, Looker akan mencari pengguna menggunakan SAML.

Jika Anda tidak ingin Looker (Google Cloud core) menggabungkan pengguna, kosongkan kolom ini.

Bermigrasi antar-penyedia identitas OIDC

Saat Anda bermigrasi dari satu penyedia identitas OIDC ke penyedia identitas OIDC lainnya (misalnya, saat bertransisi dari PingFederate ke Okta), opsi penggabungan akun yang dijelaskan dalam Menggabungkan akun pengguna tidak berlaku. Penggabungan hanya berlaku saat Anda beralih di antara jenis autentikasi yang berbeda (seperti SAML ke OIDC).

Looker (inti Google Cloud) menggunakan klaim sub dari payload OIDC untuk mengisi atribut pengguna oidc_user_id, yang secara unik mengidentifikasi akun pengguna OIDC. Untuk mencegah Looker (Google Cloud core) membuat akun pengguna duplikat selama migrasi OIDC, konfigurasikan penyedia identitas OIDC baru Anda untuk memastikan bahwa klaim sub yang dikirim dalam payload OIDC cocok dengan oidc_user_id yang ditetapkan oleh penyedia sebelumnya (misalnya, klaim sub harus berisi alamat email pengguna, bukan UUID yang baru dibuat).

Jika klaim sub yang identik tidak dapat dipertahankan di penyedia identitas baru, akun pengguna baru akan dibuat. Dalam skenario ini, Anda dapat menggunakan Looker API untuk mengambil konten favorit dan menetapkan ulang jadwal dari akun pengguna sebelumnya ke akun pengguna baru sebelum Anda menghapus akun sebelumnya.

Peringatan: Saat klaim sub berubah selama migrasi OIDC, Looker (Google Cloud core) akan membuat identitas pengguna baru dan memperoleh nama cabang pengembangan Git pribadi baru dari ID internal pengguna baru. Perubahan ini membuat developer berisiko kehilangan perubahan LookML yang belum di-commit dan disimpan di cabang pribadi asli mereka. Jika mempertahankan klaim sub yang identik tidak memungkinkan, instruksikan developer untuk meng-commit dan mengirim semua perubahan dari cabang pribadi lama mereka dan menggabungkan perubahan yang diperlukan ke cabang produksi sebelum peralihan OIDC. Setelah migrasi, developer dapat beralih ke cabang pribadi baru mereka dan menarik kode produksi terbaru.

Mirror Google Grup

Catatan: Pencerminan grup Google OAuth tidak didukung untuk instance Looker (Google Cloud core) yang berada dalam mode yang mematuhi FIPS.

Jika Anda memiliki Google Grup terkelola, Looker (Google Cloud core) dapat membuat grup Looker yang mencerminkan keanggotaan Google Grup Anda. Artinya, Anda tidak perlu menyiapkan pengguna di Looker (Google Cloud core) secara langsung, tetapi dapat mengelola akses pengguna dengan mengelola keanggotaan Google Grup. Selain itu, grup Looker dapat digunakan untuk menetapkan peran kepada anggota grup, menetapkan kontrol akses konten, mengontrol akses fitur dan data, serta menetapkan atribut pengguna.

Agar pencerminan grup berfungsi dengan benar, pengguna harus memiliki izin VIEW_MEMBERSHIP, yang memungkinkan mereka melihat keanggotaan Google Grup tempat mereka bergabung. Untuk memberikan izin ini di setelan UI Google Grup, tetapkan kolom Yang dapat melihat anggota ke Anggota grup.

Grup Looker yang dicerminkan (dan peran serta akses terkait) diterapkan kepada pengguna baru saat login awal ke instance Looker (Google Cloud core). Grup tidak diterapkan ke pengguna yang sudah ada, dan grup tidak diterapkan kembali jika dihapus dari akun pengguna dalam Looker (inti Google Cloud) setelah login awal pengguna.

Peran Looker Admin melalui IAM, yang otomatis diberikan kepada pengguna yang memiliki peran Admin Looker dalam sistem IAM, menggantikan pencerminan grup. Pengguna dengan peran Looker Admin di sistem IAM akan otomatis diberi peran Admin via IAM dalam Looker (Google Cloud core), terlepas dari keanggotaan grup yang mereka miliki. Selain itu, pengguna ini akan ditetapkan ke grup yang dicerminkan dan menerima peran serta akses melalui proses pencerminan standar.

Sebaiknya aktifkan pencerminan grup hanya untuk metode autentikasi utama untuk Looker (Google Cloud core). Jika Anda menggunakan OAuth sebagai metode autentikasi cadangan, jangan aktifkan pencerminan grup untuk OAuth. Jika Anda mengaktifkan pencerminan grup untuk metode autentikasi utama dan sekunder, perilaku berikut akan terjadi:

• Jika pengguna telah menggabungkan identitas, pencerminan grup akan cocok dengan metode autentikasi utama, terlepas dari metode autentikasi sebenarnya yang digunakan untuk login.
• Jika pengguna tidak memiliki identitas gabungan, pencerminan grup akan mencocokkan metode autentikasi yang digunakan untuk login.

Langkah-langkah untuk mengaktifkan grup yang dicerminkan

Untuk mengaktifkan pencerminan grup, selesaikan langkah-langkah berikut:

1. Di konsol Google Cloud , aktifkan Cloud Identity API di project Google Cloud yang berisi klien OAuth Anda. Anda harus memiliki peran IAM Service Usage Admin (roles/serviceusage.serviceUsageAdmin) untuk mengaktifkan API.

   Mengaktifkan API

2. Di konsol Google Cloud , perbarui layar izin klien OAuth untuk menambahkan cakupan https://www.googleapis.com/auth/cloud-identity.groups.readonly. Anda harus memiliki izin IAM clientauthconfig.clients.update untuk menambahkan cakupan. Selesaikan langkah-langkah berikut untuk memperbarui layar izin:

   • Buka klien OAuth.
   • Pilih halaman Data Access.
   • Klik tombol Tambahkan atau hapus cakupan. Tindakan ini akan membuka panel Perbarui cakupan yang dipilih.
   • Temukan cakupan https://www.googleapis.com/auth/cloud-identity.groups.readonly, lalu centang kotak di sampingnya.
   • Klik tombol Update untuk menambahkan cakupan.

   • Tutup panel dan klik Simpan di halaman Akses Data untuk menyimpan cakupan.

     Perhatian: Jika kolom User Type di klien OAuth Anda ditetapkan ke External, Anda harus menyelesaikan verifikasi cakupan yang dibatasi untuk aplikasi OAuth. Sebelum aplikasi OAuth diverifikasi oleh Google, pengguna akan dapat login, tetapi mereka akan melihat pesan peringatan selama proses login. Hal ini karena Cloud Identity API adalah cakupan sensitif.

3. Di instance Looker (Google Cloud core), aktifkan tombol Mirror Google Groups di halaman Google Authentication. Tombol ini dinonaktifkan secara default. Lengkapi kolom berikut:

   • Di kolom Looker Group Name, tambahkan nama untuk grup Looker. Ini adalah nama yang akan muncul di halaman Grup dalam Looker (Google Cloud core).
   • Di kolom ID Grup Google, masukkan nama atau email Grup Google yang ingin Anda tiru.
   • Di kolom Peran, masukkan peran Looker yang ingin Anda tetapkan kepada anggota grup tersebut.

Looker (Google Cloud core) akan membuat satu grup Looker untuk setiap Grup Google yang ditambahkan ke halaman Google Authentication. Anda dapat melihat grup Looker tersebut di halaman Groups Looker (Google Cloud core).

Catatan: Looker (Google Cloud core) hanya mengambil keanggotaan grup langsung pengguna. Setiap pemetaan keanggotaan transitif atau hierarkis tidak akan berfungsi.

Mengedit grup yang dicerminkan

Saat Anda membuat perubahan pada keanggotaan Google Grup, perubahan tersebut akan otomatis diterapkan ke keanggotaan grup Looker yang diduplikasi dan divalidasi pada saat login berikutnya setiap pengguna.

Jika Anda mengedit kolom Custom name atau Role yang ditetapkan ke grup di halaman Google Authentication, tindakan ini akan mengubah tampilan nama grup Looker yang diduplikasi di halaman Groups Looker (Google Cloud core) atau peran yang ditetapkan ke grup, tetapi tidak mengubah anggota grup.

Jika Anda mengubah nama atau email di kolom Google Group ID di halaman Google Authentication menjadi ID grup Google baru, tindakan tersebut akan mengubah anggota grup Looker yang diduplikasi menjadi anggota grup Google baru, tetapi akan mempertahankan nama dan peran grup seperti yang ditentukan di halaman Google Authentication.

Setiap pengeditan yang dilakukan pada grup yang dicerminkan akan diterapkan kepada pengguna grup tersebut saat mereka login berikutnya ke Looker (Google Cloud core).

Menonaktifkan grup yang dicerminkan

Jika Anda ingin berhenti mencerminkan grup Google di Looker (Google Cloud core), nonaktifkan tombol Cerminkan Grup Google di halaman Autentikasi Google pada instance Looker (Google Cloud core). Menonaktifkan tombol akan menghasilkan perilaku berikut:

• Setiap grup Google pencerminan yang tidak memiliki pengguna akan segera dihapus.
• Grup Google duplikat yang tidak berisi pengguna akan ditandai sebagai tidak memiliki induk. Jika tidak ada pengguna grup ini yang login dalam waktu 31 hari, grup akan dihapus. Pengguna tidak lagi dapat ditambahkan ke atau dihapus dari grup Google yang tidak memiliki pemilik.

Pengelolaan peran lanjutan

Jika tombol Mirror Google Groups diaktifkan, halaman Google Authentication akan menampilkan setelan Advanced Role Management. Opsi di bagian ini menentukan seberapa besar fleksibilitas yang dimiliki admin Looker saat mengonfigurasi grup dan pengguna Looker yang telah disalin dari Google.

Jika Anda ingin konfigurasi grup dan pengguna Looker sama persis dengan konfigurasi Google Grup Anda, aktifkan semua opsi Pengelolaan Peran Lanjutan. Jika semua opsi diaktifkan, admin Looker tidak dapat mengubah keanggotaan grup yang dicerminkan dan hanya dapat menetapkan peran kepada pengguna melalui Google Grup.

Perhatian: Mengaktifkan setelan yang lebih ketat akan menyebabkan pengguna kehilangan keanggotaan grup atau peran yang ditetapkan yang dikonfigurasi langsung di Looker (Google Cloud core). Hal ini terjadi saat pengguna tersebut login ke Looker (Google Cloud core) pada lain waktu.

Jika Anda ingin memiliki fleksibilitas lebih untuk menyesuaikan grup dalam Looker (Google Cloud core), nonaktifkan opsi ini. Grup Looker (Google Cloud core) Anda akan tetap mencerminkan konfigurasi Google Grup, tetapi Anda dapat melakukan pengelolaan grup dan pengguna tambahan dalam Looker (Google Cloud core), seperti menambahkan pengguna Google ke grup Looker atau menetapkan peran Looker langsung kepada pengguna Google.

Untuk instance Looker (Google Cloud core), opsi ini dinonaktifkan secara default.

Bagian Pengelolaan Peran Lanjutan berisi opsi berikut:

• Mencegah pengguna Google individual menerima peran langsung: Mengaktifkan opsi ini akan mencegah admin Looker menetapkan peran Looker langsung kepada pengguna Google. Pengguna Google hanya akan menerima peran melalui keanggotaan grup mereka. Jika pengguna Google diizinkan menjadi anggota grup Looker bawaan (tidak dicerminkan), mereka masih dapat mewarisi peran mereka dari Google Grup yang dicerminkan dan dari grup Looker bawaan. Semua pengguna Google yang sebelumnya diberi peran secara langsung akan dihapus perannya saat mereka login berikutnya.

  Catatan: Peran Looker Admin via IAM, yang otomatis diberikan kepada pengguna yang memiliki peran IAM Looker Admin, akan menggantikan opsi Prevent individual Google users from receiving direct roles. Pengguna dengan peran IAM Admin Looker tetap memiliki peran Looker Admin melalui IAM, terlepas dari status opsi ini. Namun, mengaktifkan opsi ini akan mencegah admin Looker menetapkan peran secara langsung.

  Jika opsi ini nonaktif, admin Looker dapat menetapkan peran Looker secara langsung kepada pengguna Google dalam instance Looker (Google Cloud core).

• Prevent direct membership in non-Google groups: Opsi ini mencegah admin Looker menambahkan anggota grup yang dicerminkan secara langsung ke grup Looker bawaan yang bukan bagian dari konfigurasi grup yang dicerminkan di halaman Google Authentication.

  Jika opsi ini dipilih, semua pengguna Google yang sebelumnya ditetapkan ke grup Looker bawaan akan dihapus dari grup tersebut saat mereka login berikutnya.

  Jika opsi ini tidak dicentang, admin Looker dapat menambahkan pengguna Google langsung ke grup Looker bawaan.

• Mencegah Pewarisan Peran dari grup non-Google Grup: Opsi ini mencegah anggota grup yang dicerminkan mewarisi peran dari grup Looker bawaan. Jika Google Grup yang diduplikasi diizinkan menjadi anggota grup Looker bawaan, pengguna Google dapat mempertahankan keanggotaan di grup Looker bawaan mana pun. Semua pengguna Google yang sebelumnya mewarisi peran dari grup Looker bawaan akan kehilangan peran tersebut saat mereka login berikutnya.

  Jika opsi ini nonaktif, grup yang diduplikasi atau pengguna Google yang ditambahkan sebagai anggota grup Looker bawaan akan mewarisi peran yang ditetapkan ke grup Looker bawaan.

• Otentikasi Memerlukan Peran: Jika opsi ini aktif, pengguna Google harus memiliki peran Looker yang ditetapkan. Setiap pengguna Google yang tidak memiliki peran yang ditetapkan tidak akan dapat login ke Looker (Google Cloud core) sama sekali.

  Jika opsi ini nonaktif, pengguna Google dapat mengautentikasi ke Looker (inti Google Cloud) meskipun mereka tidak memiliki peran yang ditetapkan. Pengguna yang tidak diberi peran tidak akan dapat melihat data apa pun atau melakukan tindakan apa pun di Looker (Google Cloud core), tetapi mereka akan dapat login ke Looker (Google Cloud core).

Menetapkan peran Looker default

Catatan: Peran Looker default akan diberikan saat login pertama kali. Perubahan pada peran IAM pengguna setelah login pertama tidak akan mengubah atau menghapus peran Looker yang ditetapkan secara default.

Jika tombol Mirror Google Groups dinonaktifkan, setelan Peran untuk pengguna baru akan muncul di halaman Google Authentication. Setelan ini memungkinkan Anda menetapkan peran Looker default yang akan diberikan kepada akun pengguna dengan peran IAM Looker Instance User (roles/looker.instanceUser) atau peran IAM Looker Viewer (roles/looker.viewer) saat login pertama kali ke instance Looker (Google Cloud core). Untuk menetapkan peran default, ikuti langkah-langkah berikut:

1. Buka halaman Google Authenticator di bagian Autentikasi pada menu Admin.
2. Di setelan Roles for new users, pilih peran yang ingin Anda berikan kepada semua pengguna baru secara default. Setelan ini berisi daftar semua peran default dan peran kustom dalam instance Looker (Google Cloud Core).

Peran admin tidak dapat menjadi peran default. Akun pengguna dengan peran IAM Admin Looker (roles/looker.admin) akan diberi peran Looker Admin melalui IAM saat login pertama kali selain peran yang dipilih di setelan Peran untuk pengguna baru.

Jika Anda mengaktifkan tombol Cerminkan Google Grup setelah menyesuaikan setelan Peran untuk pengguna baru, peran yang ditetapkan kepada pengguna melalui setelan Peran untuk pengguna baru akan dihapus untuk pengguna saat login berikutnya dan diganti dengan peran yang ditetapkan melalui setelan Cerminkan Google Grup.

Menguji Autentikasi Pengguna

Klik tombol Test Google Authentication untuk menguji setelan Anda. Pengujian akan dialihkan ke server OAuth Google dan akan membuka tab browser. Tab ini menampilkan informasi berikut:

• Apakah Looker (Google Cloud core) dapat berkomunikasi dengan server dan melakukan validasi.
• Informasi pengguna yang diperoleh Looker (Google Cloud core) dari server. Anda perlu memvalidasi bahwa server menampilkan hasil yang tepat.
• Trace untuk menunjukkan cara info ditemukan. Gunakan pelacakan untuk memecahkan masalah jika informasinya salah. Jika memerlukan informasi tambahan, Anda dapat membaca file server XML mentah.
• Versi token ID yang didekode dan mentah yang diterima. Kredensial ini dapat digunakan untuk mengonfirmasi detail pengguna serta konfigurasi Google.

Menyimpan dan menerapkan setelan

Setelah Anda selesai memasukkan informasi dan semua pengujian lulus, centang kotak Saya telah mengonfirmasi konfigurasi di atas dan ingin mengaktifkan penerapannya secara global, lalu klik Kirim untuk menyimpan.

Menambahkan pengguna ke instance Looker (Google Cloud core)

Catatan: Akses ke instance Looker (Google Cloud core) diberikan melalui IAM. Namun, akun pengguna Looker tidak akan dibuat hingga pengguna menyetujui layar izin OAuth dan login ke instance.

Setelah instance Looker (Google Cloud core) dibuat, pengguna dapat ditambahkan melalui IAM. Untuk menambahkan pengguna, ikuti langkah-langkah berikut:

1. Pastikan Anda memiliki peran Project IAM Admin atau peran lain yang memungkinkan Anda mengelola akses IAM.

2. Buka project konsol Google Cloud tempat instance Looker (Google Cloud core) berada.

   Catatan: Peran IAM bersifat global dalam sebuah project. Jika ada lebih dari satu instance Looker (Google Cloud core) dalam sebuah project, peran IAM yang diberikan dalam project tersebut akan berlaku untuk semua instance Looker (Google Cloud core) yang ada di dalamnya.

3. Buka bagian IAM & Admin > IAM di konsol Google Cloud .

4. Pilih Grant Access.

5. Di bagian Add principals, tambahkan satu atau beberapa hal berikut:

   • Email Akun Google
   • Google Grup
   • Domain Google Workspace

6. Di bagian Assign roles, pilih salah satu peran IAM Looker (Google Cloud core) yang telah ditetapkan atau peran khusus yang telah Anda tambahkan.

7. Klik Simpan.

8. Memberi tahu pengguna baru Looker (Google Cloud core) bahwa akses telah diberikan dan mengarahkan mereka ke URL untuk instance. Dari sana, mereka dapat login ke instance, dan akun mereka akan dibuat. Tidak ada komunikasi otomatis yang akan dikirim.

Jika Anda mengubah peran IAM pengguna, peran IAM akan diterapkan ke instance Looker (Google Cloud core) dalam beberapa menit. Jika ada akun pengguna Looker yang sudah ada, peran Looker pengguna tersebut tidak akan berubah.

Semua pengguna harus disediakan oleh langkah-langkah IAM yang dijelaskan sebelumnya, dengan satu pengecualian: Anda dapat membuat akun layanan khusus Looker API dalam instance Looker (Google Cloud core).

Login ke Looker (Google Cloud core) dengan OAuth

Saat pertama kali login, pengguna akan diminta untuk login menggunakan Akun Google mereka. Setiap pengguna harus menggunakan akun yang sama dengan yang dicantumkan oleh admin Looker di kolom Add principals saat memberikan akses kepada mereka. Pengguna akan melihat layar izin OAuth yang dikonfigurasi selama pembuatan klien OAuth. Setelah pengguna menyetujui layar izin, akun mereka dalam instance Looker (Google Cloud core) akan dibuat dan mereka akan login.

Setelah itu, pengguna akan otomatis login ke Looker (Google Cloud core) kecuali jika otorisasi mereka berakhir atau dicabut oleh pengguna. Dalam skenario tersebut, pengguna akan melihat layar izin OAuth lagi dan diminta untuk menyetujui otorisasi.

Beberapa pengguna mungkin diberi kredensial API untuk digunakan dalam mengambil token akses API. Jika otorisasi untuk pengguna tersebut berakhir atau dicabut, kredensial API mereka akan berhenti berfungsi. Token akses API saat ini juga akan berhenti berfungsi. Untuk mengatasi masalah ini, pengguna harus mengotorisasi ulang kredensial mereka dengan login kembali ke UI Looker (inti Google Cloud) untuk setiap instance Looker (inti Google Cloud) yang terpengaruh. Atau, penggunaan akun layanan khusus API membantu menghindari kegagalan otorisasi kredensial untuk token akses API.

Menghapus akses OAuth ke Looker (Google Cloud core)

Penting: Sebaiknya akses ke instance Looker (Google Cloud core) dihapus menggunakan IAM, bukan dari dalam instance.

Jika memiliki peran yang memungkinkan Anda mengelola akses IAM, Anda dapat menghapus akses ke instance Looker (Google Cloud core) dengan mencabut peran IAM yang memberikan akses. Jika Anda menghapus peran IAM akun pengguna, perubahan tersebut akan diterapkan ke instance Looker (inti Google Cloud) dalam beberapa menit. Pengguna tidak akan dapat lagi melakukan autentikasi ke instance. Namun, akun pengguna akan tetap muncul sebagai aktif di halaman Pengguna. Untuk menghapus akun pengguna dari halaman Pengguna, hapus pengguna dalam instance Looker (Google Cloud core).

Menggunakan OAuth sebagai metode autentikasi cadangan

Jika Anda menggunakan metode autentikasi lain—seperti Workforce Identity Federation, SAML, atau OpenID Connect (OIDC)—Anda dapat mengonfigurasi Google OAuth sebagai metode autentikasi sekunder atau cadangan. Konfigurasi ini memastikan bahwa pengguna dan administrator tetap dapat melakukan autentikasi dengan Akun Google jika mereka tidak dapat mengakses penyedia identitas utama.

Menyiapkan OAuth sebagai cadangan untuk SAML atau OIDC

OAuth adalah metode autentikasi cadangan jika SAML atau OIDC adalah metode autentikasi utama.

Untuk menyiapkan OAuth sebagai metode cadangan, berikan peran IAM yang sesuai kepada setiap pengguna Looker (Google Cloud core) untuk login ke instance.

Menyiapkan OAuth sebagai metode sekunder untuk Workforce Identity Federation

OAuth dapat disiapkan sebagai metode autentikasi sekunder untuk Workforce Identity Federation. Untuk menyiapkan OAuth sebagai metode autentikasi sekunder, edit instance untuk mengaktifkan setelan Enable secondary OAuth.

Login dengan OAuth

Setelah metode cadangan disiapkan, pengguna dapat mengaksesnya melalui langkah-langkah berikut:

1. Pilih Autentikasi dengan Google di halaman login.
2. Dialog akan muncul untuk mengonfirmasi autentikasi Google. Pilih Konfirmasi dalam dialog.

Pengguna kemudian dapat login menggunakan Akun Google mereka. Saat pertama kali login dengan OAuth, pengguna akan diminta untuk menyetujui layar izin OAuth yang disiapkan selama pembuatan instance.

Langkah berikutnya

• Menghubungkan Looker (Google Cloud core) ke database Anda
• Mengonfigurasi instance Looker (Google Cloud core)
• Setelan admin Looker (Google Cloud core)
• Mengelola instance Looker (Google Cloud core) dari Konsol Google Cloud