Google OAuth für die Nutzerauthentifizierung in Looker (Google Cloud Core) verwenden

Google OAuth wird in Verbindung mit Identity and Access Management (IAM) verwendet, um Looker (Google Cloud Core)-Nutzer zu authentifizieren.

Wenn Sie OAuth für die Authentifizierung verwenden, werden Nutzer in Looker (Google Cloud Core) über das OAuth 2.0-Protokoll authentifiziert. Sie können einen beliebigen OAuth 2.0-Client verwenden. Auf dieser Seite wird beispielsweise beschrieben, wie Sie die Authentifizierung für eine Looker (Google Cloud Core)-Instanz einrichten, indem Sie mit der Google Cloud -Console OAuth-Anmeldedaten erstellen.

Wenn eine andere Methode die primäre Form der Authentifizierung ist, ist Google OAuth standardmäßig die Backup-Authentifizierungsmethode.

Authentifizierung und Autorisierung mit OAuth und IAM

In Kombination mit OAuth bieten IAM-Rollen für Looker (Google Cloud Core) die folgenden Authentifizierungs- und Autorisierungsstufen für alle Looker (Google Cloud Core)-Instanzen in einem bestimmten Google Cloud -Projekt. Weisen Sie jedem Ihrer Hauptkonten eine der folgenden IAM-Rollen zu, je nachdem, welche Zugriffsebene Sie ihnen gewähren möchten:

IAM-Rolle Authentifizierung Autorisierung
Looker Instance User (roles/looker.instanceUser)

Kann sich bei Looker (Google Cloud Core)-Instanzen anmelden

 Bei der ersten Anmeldung bei Looker (Google Cloud Core) wird die Standard-Looker-Rolle zugewiesen, die unter Rollen für neue Nutzer festgelegt ist.

In der Google Cloud Console kann nicht auf Looker (Google Cloud Core)-Ressourcen zugegriffen werden.
Looker-Betrachter (roles/looker.viewer) Kann sich in Looker (Google Cloud Core)-Instanzen anmelden Bei der ersten Anmeldung bei Looker (Google Cloud Core) wird die Standard-Looker-Rolle zugewiesen, die unter Rollen für neue Nutzer festgelegt ist.

Kann die Liste der Looker (Google Cloud Core)-Instanzen und Instanzdetails in der Google Cloud Console ansehen
Looker-Administrator (roles/looker.admin) Kann sich in Looker (Google Cloud Core)-Instanzen anmelden Bei der ersten Anmeldung bei Looker (Google Cloud Core) wird die Standard-Looker-Rolle zugewiesen, die unter Rollen für neue Nutzer festgelegt ist.

Bei jeder Anmeldung in Looker (Google Cloud Core) mit primärem OAuth oder Backup-OAuth und jedes Mal, wenn der Nutzer einen Aufruf an die Looker API sendet, wird diese Rolle (oder eine benutzerdefinierte Rolle mit der Berechtigung looker.instances.update) auch der Rolle Administrator über IAM in der Instanz zugewiesen.

Die Rolle Admin via IAM enthält alle Berechtigungen und Funktionen der Looker-Rolle Admin. Diese Rolle kann in der Looker (Google Cloud Core)-Instanz nicht entfernt oder neu zugewiesen werden. Wenn Sie die Rolle Admin via IAM entfernen möchten, weisen Sie dem Hauptkonto eine andere IAM-Rolle als „Looker Admin“ (roles/looker.admin) zu. Änderungen an IAM-Rollen werden automatisch mit der Looker (Google Cloud Core)-Instanz synchronisiert, auch wenn sich der Nutzer nach der Änderung mit einem Drittanbieter-Identitätsanbieter anmeldet. Weitere Informationen finden Sie im Abschnitt Looker-Administratorrolle im Vergleich zur Looker-Administratorrolle über IAM.

Solange das OAuth-Aktualisierungstoken eines Nutzers gültig ist, wird die Rolle des Nutzers in Looker (Google Cloud Core) als Administrator über IAM angezeigt, auch wenn sich dieser Nutzer später mit einem Drittanbieter-Identitätsanbieter anmeldet. Wenn das OAuth-Aktualisierungstoken abläuft oder widerrufen wird, muss sich der Nutzer noch einmal über OAuth in der Instanz anmelden, um die Rolle Administrator über IAM wiederzuerlangen.

Kann alle administrativen Aufgaben für Looker (Google Cloud Core) in der Google Cloud Console ausführen

Außerdem können sich Nutzerkonten mit der Rolle owner für ein Projekt in allen Looker (Google Cloud Core)-Instanzen in diesem Projekt anmelden und diese verwalten. Diesen Nutzern wird die Looker-Rolle Admin zugewiesen.

Wenn die vordefinierten Rollen nicht die gewünschten Berechtigungen bieten, können Sie auch eigene benutzerdefinierte Rollen erstellen.

Looker (Google Cloud Core)-Konten werden bei der ersten Anmeldung bei einer Looker (Google Cloud Core)-Instanz erstellt.

Looker-Administratorrolle im Vergleich zur Looker-Administratorrolle über IAM

In einer Looker (Google Cloud Core)-Instanz gibt es zwei Rollen, die den Berechtigungssatz für Administratoren verwenden und dieselben Administratorberechtigungen innerhalb der Instanz gewähren. In der folgenden Tabelle sind die Ähnlichkeiten und Unterschiede zwischen den beiden Rollen zusammengefasst.

Attribut Looker-Administratorrolle Admin über IAM-Looker-Rolle
Zuverlässige Quelle Von einem anderen Administrator in der Looker (Google Cloud Core)-Instanz gewährt Direkt mit der IAM-Rolle „Looker Admin“ verknüpft
Kann innerhalb einer Looker (Google Cloud Core)-Instanz hinzugefügt oder entfernt werden? Ja Nein
Kann mit IAM hinzugefügt oder entfernt werden? Nein Ja
Berechtigungen in Looker (Google Cloud Core) Alle Berechtigungen Alle Berechtigungen
Berechtigungen in der Google Cloud Console Keine Vollständiger Zugriff auf alle Looker (Google Cloud Core)-Ressourcen
Rollenvalidierung Kontinuierlich innerhalb der Looker (Google Cloud Core)-Instanz Bei jeder Anmeldung in der Looker (Google Cloud Core)-Instanz und bei jedem Looker API-Aufruf.

Es kann einige Minuten dauern, bis Änderungen an einer Rolle mit IAM übernommen werden.
Umfang Einzelne Looker (Google Cloud Core)-Instanz Alle Looker (Google Cloud Core)-Instanzen in einem Google Cloud -Projekt

Ein Nutzer kann sowohl die Looker-Rolle Admin als auch die Looker-Rolle Admin via IAM haben. Wenn Sie Administratorberechtigungen widerrufen möchten, müssen Sie daher sowohl die IAM-Rolle als auch die Rolle Admin in der Looker (Google Cloud Core)-Instanz entfernen.

OAuth in der Looker (Google Cloud Core)-Instanz konfigurieren

In der Looker (Google Cloud Core)-Instanz können Sie auf der Seite Google-Authentifizierung im Abschnitt Authentifizierung des Menüs Admin einige Google OAuth-Einstellungen konfigurieren. Sie müssen die Looker-Rolle Admin haben.

Nutzerkonten zusammenführen

Geben Sie im Feld Nutzer zusammenführen mit die Methode an, die zum Zusammenführen einer erstmaligen OAuth-Anmeldung mit einem bestehenden Nutzerkonto verwendet werden soll. Wenn sich ein Nutzer zum ersten Mal über OAuth anmeldet, wird mit dieser Option eine Verbindung zu seinem bestehenden Konto hergestellt, indem das Konto mit einer übereinstimmenden E‑Mail-Adresse gesucht wird. Wenn für den Nutzer kein Konto vorhanden ist, wird ein neues Nutzerkonto erstellt.

Sie können Nutzer aus den folgenden Systemen zusammenführen:

  • SAML
  • OIDC

Wenn Sie mehr als ein System haben, können Sie in diesem Feld mehrere Systeme angeben, die zusammengeführt werden sollen. Looker (Google Cloud Core) sucht nach Nutzern aus den aufgeführten Systemen in der Reihenfolge, in der die Systeme angegeben sind. Wenn Sie beispielsweise zuerst einige Nutzer mit OIDC erstellt und später SAML verwendet haben, sucht Looker (Google Cloud Core) beim ersten Anmeldeversuch eines Nutzers mit OAuth zuerst nach dem Nutzer mit OIDC. Wenn keine Übereinstimmung für den Nutzer mit OIDC gefunden wird, sucht Looker (Google Cloud Core) nach dem Nutzer mit SAML.

Wenn Sie nicht möchten, dass Nutzer in Looker (Google Cloud Core) zusammengeführt werden, lassen Sie dieses Feld leer.

Migration zwischen OIDC-Identitätsanbietern

Wenn Sie von einem OIDC-Identitätsanbieter zu einem anderen migrieren (z. B. von PingFederate zu Okta), gilt die Option zum Zusammenführen von Konten, die unter Nutzerkonten zusammenführen beschrieben wird, nicht. Die Zusammenführung ist nur möglich, wenn Sie zwischen verschiedenen Authentifizierungstypen wechseln, z. B. von SAML zu OIDC.

Looker (Google Cloud Core) verwendet die sub-Anforderung aus der OIDC-Nutzlast, um das Nutzerattribut oidc_user_id zu füllen, das OIDC-Nutzerkonten eindeutig identifiziert. Damit Looker (Google Cloud Core) während einer OIDC-Migration keine doppelten Nutzerkonten generiert, konfigurieren Sie Ihren neuen OIDC-Identitätsanbieter so, dass die in der OIDC-Nutzlast gesendete sub-Anforderung mit der oidc_user_id übereinstimmt, die von Ihrem vorherigen Anbieter festgelegt wurde. Die sub-Anforderung sollte beispielsweise die E-Mail-Adresse des Nutzers anstelle einer neu generierten UUID enthalten.

Wenn es nicht möglich ist, identische sub-Ansprüche beim neuen Identitätsanbieter beizubehalten, werden neue Nutzerkonten erstellt. In diesem Szenario können Sie die Looker API verwenden, um favorisierte Inhalte abzurufen und Zeitpläne von den vorherigen Benutzerkonten den neuen Benutzerkonten zuzuweisen, bevor Sie die vorherigen Konten löschen.

Google-Gruppen spiegeln

Wenn Sie Google Groups verwalten, kann Looker (Google Cloud Core) Looker-Gruppen erstellen, die die Mitgliedschaft Ihrer Google Groups widerspiegeln. Das bedeutet, dass Sie Nutzer nicht direkt in Looker (Google Cloud Core) einrichten müssen, sondern den Nutzerzugriff über die Mitgliedschaft in den Google-Gruppen verwalten können. Außerdem können Looker-Gruppen verwendet werden, um Gruppenmitgliedern Rollen zuzuweisen, Zugriffssteuerungen für Inhalte festzulegen, den Zugriff auf Funktionen und Daten zu steuern und Nutzerattribute zuzuweisen.

Damit die Gruppenspiegelung richtig funktioniert, müssen Nutzer die Berechtigung VIEW_MEMBERSHIP haben. Damit können sie die Mitgliedschaft der Google-Gruppen sehen, denen sie angehören. Wenn Sie diese Berechtigung in den Einstellungen der Google Groups-Benutzeroberfläche erteilen möchten, legen Sie im Feld Wer darf die Mitgliederliste sehen? die Option Gruppenmitglieder fest.

Die gespiegelten Looker-Gruppen (und alle zugehörigen Rollen und Zugriffsrechte) werden neuen Nutzern bei der ersten Anmeldung bei der Looker (Google Cloud Core)-Instanz zugewiesen. Die Gruppen werden nicht auf bereits vorhandene Nutzer angewendet und sie werden nicht erneut angewendet, wenn sie nach der ersten Anmeldung des Nutzers aus dem Konto eines Nutzers in Looker (Google Cloud Core) entfernt werden.

Die Looker-Rolle Admin via IAM, die Nutzern mit der Rolle Looker Admin im IAM-System automatisch zugewiesen wird, überschreibt die Gruppenspiegelung. Nutzern mit der Rolle Looker-Administrator im IAM-System wird automatisch die Rolle Administrator über IAM in Looker (Google Cloud Core) zugewiesen, unabhängig davon, in welchen Gruppen sie Mitglied sind. Außerdem werden diese Nutzer gespiegelten Gruppen zugewiesen und erhalten Rollen und Zugriff über den standardmäßigen Spiegelungsprozess.

Wir empfehlen, die Gruppenspiegelung nur für die primäre Authentifizierungsmethode für Looker (Google Cloud Core) zu aktivieren. Wenn Sie OAuth als Backup-Authentifizierungsmethode verwenden, aktivieren Sie die Gruppenspiegelung für OAuth nicht. Wenn Sie die Gruppenspiegelung sowohl für die primäre als auch für die sekundäre Authentifizierungsmethode aktivieren, gilt Folgendes:

  • Wenn ein Nutzer Identitäten zusammengeführt hat, wird bei der Gruppenspiegelung die primäre Authentifizierungsmethode verwendet, unabhängig von der tatsächlich für die Anmeldung verwendeten Authentifizierungsmethode.
  • Wenn ein Nutzer keine zusammengeführten Identitäten hat, wird bei der Gruppenspiegelung die Authentifizierungsmethode verwendet, die für die Anmeldung verwendet wurde.

Spiegelgruppen aktivieren

So aktivieren Sie die Gruppenspiegelung:

  1. Aktivieren Sie in der Google Cloud Console die Cloud Identity API im Google Cloud -Projekt, das Ihren OAuth-Client enthält. Sie benötigen die IAM-Rolle Service Usage-Administrator (roles/serviceusage.serviceUsageAdmin), um APIs zu aktivieren.

    API aktivieren

  2. Aktualisieren Sie in der Google Cloud Console den Zustimmungsbildschirm des OAuth-Clients, um den https://www.googleapis.com/auth/cloud-identity.groups.readonly-Bereich hinzuzufügen. Sie benötigen die IAM-Berechtigung clientauthconfig.clients.update, um Bereiche hinzuzufügen. Führen Sie die folgenden Schritte aus, um den Zustimmungsbildschirm zu aktualisieren:

    • Rufen Sie den OAuth-Client auf.
    • Wählen Sie die Seite Datenzugriff aus.
    • Klicken Sie auf den Button Bereiche hinzufügen oder entfernen. Dadurch wird der Bereich Ausgewählte Bereiche aktualisieren geöffnet.
    • Suchen Sie den Bereich https://www.googleapis.com/auth/cloud-identity.groups.readonly und klicken Sie das Kästchen daneben an.
    • Klicken Sie auf den Button Aktualisieren, um den Bereich hinzuzufügen.

    • Schließen Sie den Bereich und klicken Sie auf der Seite Datenzugriff auf Speichern, um den Bereich zu speichern.

  3. Aktivieren Sie in der Looker-Instanz (Google Cloud Core) auf der Seite Google-Authentifizierung die Option Google-Gruppen spiegeln. Diese Einstellung ist standardmäßig deaktiviert. Füllen Sie die folgenden Felder aus:

    • Geben Sie im Feld Looker-Gruppenname einen Namen für die Looker-Gruppe ein. Dieser Name wird in Looker (Google Cloud Core) auf der Seite Gruppen angezeigt.
    • Geben Sie im Feld Google Group ID den Namen oder die E-Mail-Adresse der Google-Gruppe ein, die Sie spiegeln möchten.
    • Geben Sie im Feld Rolle die Looker-Rolle(n) ein, die Sie den Mitgliedern dieser Gruppe zuweisen möchten.

In Looker (Google Cloud Core) wird für jede Google-Gruppe, die der Seite Google-Authentifizierung hinzugefügt wird, eine Looker-Gruppe erstellt. Sie können diese Looker-Gruppen in Looker (Google Cloud Core) auf der Seite Gruppen aufrufen.

Gespiegelte Gruppen bearbeiten

Wenn Sie Änderungen an der Mitgliedschaft einer Google-Gruppe vornehmen, werden diese Änderungen automatisch auf die Mitgliedschaft der gespiegelten Looker-Gruppe übertragen und bei der nächsten Anmeldung jedes Nutzers validiert.

Wenn Sie auf der Seite Google-Authentifizierung die Felder Benutzerdefinierter Name oder Rolle bearbeiten, die einer Gruppe zugewiesen sind, ändert sich dadurch, wie der Name der gespiegelten Looker-Gruppe auf der Seite Gruppen von Looker (Google Cloud Core) angezeigt wird, oder die der Gruppe zugewiesenen Rollen. Die Gruppenmitglieder werden dadurch jedoch nicht geändert.

Wenn Sie den Namen oder die E-Mail-Adresse im Feld Google-Gruppen-ID auf der Seite Google-Authentifizierung in die ID einer neuen Google-Gruppe ändern, werden die Mitglieder der gespiegelten Looker-Gruppe in die Mitglieder der neuen Google-Gruppe geändert. Der Gruppenname und die Rollen bleiben jedoch wie auf der Seite Google-Authentifizierung definiert erhalten.

Alle Änderungen, die an einer gespiegelten Gruppe vorgenommen werden, werden auf die Nutzer dieser Gruppe angewendet, wenn sie sich das nächste Mal in Looker (Google Cloud Core) anmelden.

Gespiegelte Gruppen deaktivieren

Wenn Sie das Spiegeln Ihrer Google-Gruppen in Looker (Google Cloud Core) beenden möchten, deaktivieren Sie auf der Seite Google-Authentifizierung der Looker (Google Cloud Core)-Instanz die Ein/Aus-Schaltfläche Google-Gruppen spiegeln. Wenn Sie die Einstellung deaktivieren, passiert Folgendes:

  • Spiegelgruppen ohne Nutzer werden sofort gelöscht.
  • Alle gespiegelten Google-Gruppen, die Nutzer enthalten, werden als verwaist markiert. Wenn sich innerhalb von 31 Tagen keine Nutzer dieser Gruppe anmelden, wird die Gruppe gelöscht. Nutzer können nicht mehr zu verwaisten Google-Gruppen hinzugefügt oder daraus entfernt werden.

Erweiterte Rollenverwaltung

Wenn die Ein/Aus-Schaltfläche Google Groups spiegeln aktiviert ist, werden auf der Seite Google-Authentifizierung die Einstellungen für Erweiterte Rollenverwaltung angezeigt. Mit den Optionen in diesem Abschnitt wird festgelegt, wie viel Flexibilität Looker-Administratoren bei der Konfiguration von Looker-Gruppen und ‑Nutzern haben, die von Google gespiegelt wurden.

Wenn Sie möchten, dass Ihre Looker-Gruppen- und Nutzerkonfiguration genau mit Ihrer Google Groups-Konfiguration übereinstimmt, aktivieren Sie alle Optionen für die erweiterte Rollenverwaltung. Wenn alle Optionen aktiviert sind, können Looker-Administratoren die Mitgliedschaften in gespiegelten Gruppen nicht ändern und Nutzern nur über Google-Gruppen Rollen zuweisen.

Wenn Sie Ihre Gruppen in Looker (Google Cloud Core) flexibler anpassen möchten, deaktivieren Sie diese Optionen. Ihre Looker-Gruppen (Google Cloud Core) spiegeln weiterhin Ihre Google Groups-Konfiguration wider. Sie können jedoch zusätzliche Gruppen- und Nutzerverwaltungsaufgaben in Looker (Google Cloud Core) ausführen, z. B. Google-Nutzer zu Looker-Gruppen hinzufügen oder Google-Nutzern direkt Looker-Rollen zuweisen.

Bei Looker (Google Cloud Core)-Instanzen sind diese Optionen standardmäßig deaktiviert.

Der Abschnitt Erweiterte Rollenverwaltung enthält die folgenden Optionen:

  • Verhindern, dass einzelne Google-Nutzer direkte Rollen erhalten: Wenn Sie diese Option aktivieren, können Looker-Administratoren Google-Nutzern keine Looker-Rollen direkt zuweisen. Google-Nutzer erhalten Rollen nur über ihre Gruppenmitgliedschaften. Wenn Google-Nutzer Mitglied in integrierten (nicht gespiegelten) Looker-Gruppen sein dürfen, können sie ihre Rollen weiterhin sowohl von gespiegelten Google-Gruppen als auch von integrierten Looker-Gruppen übernehmen. Allen Google-Nutzern, denen zuvor Rollen direkt zugewiesen wurden, werden diese Rollen bei der nächsten Anmeldung entzogen.

    Wenn diese Option deaktiviert ist, können Looker-Administratoren Google-Nutzern in der Looker (Google Cloud Core)-Instanz direkt Looker-Rollen zuweisen.

  • Direkte Mitgliedschaft in nicht von Google verwalteten Gruppen verhindern: Mit dieser Option wird verhindert, dass Looker-Administratoren Mitglieder gespiegelter Gruppen direkt zu integrierten Looker-Gruppen hinzufügen, die nicht Teil der Konfiguration der gespiegelten Gruppe auf der Seite Google-Authentifizierung sind.

    Wenn diese Option ausgewählt ist, werden alle Google-Nutzer, die zuvor integrierten Looker-Gruppen zugewiesen waren, bei der nächsten Anmeldung aus diesen Gruppen entfernt.

    Wenn diese Option deaktiviert ist, können Looker-Administratoren Google-Nutzer direkt zu integrierten Looker-Gruppen hinzufügen.

  • Übernahme von Rollen aus nicht von Google verwalteten Gruppen verhindern: Mit dieser Option wird verhindert, dass Mitglieder gespiegelter Gruppen Rollen aus integrierten Looker-Gruppen übernehmen. Wenn gespiegelte Google-Gruppen Mitglieder von integrierten Looker-Gruppen sein dürfen, können Google-Nutzer die Mitgliedschaft in allen integrierten Looker-Gruppen behalten. Alle Google-Nutzer, die zuvor Rollen von einer integrierten Looker-Gruppe übernommen haben, verlieren diese Rollen bei der nächsten Anmeldung.

    Wenn diese Option deaktiviert ist, erben gespiegelte Gruppen oder Google-Nutzer, die als Mitglieder einer integrierten Looker-Gruppe hinzugefügt werden, die Rollen, die der integrierten Looker-Gruppe zugewiesen sind.

  • Auth Requires Role (Authentifizierung erfordert Rolle): Wenn diese Option aktiviert ist, muss Google-Nutzern eine Looker-Rolle zugewiesen sein. Google-Nutzer, denen keine Rolle zugewiesen ist, können sich überhaupt nicht in Looker (Google Cloud Core) anmelden.

    Wenn diese Option deaktiviert ist, können sich Google-Nutzer bei Looker (Google Cloud Core) authentifizieren, auch wenn ihnen keine Rolle zugewiesen ist. Einem Nutzer ohne zugewiesene Rolle werden in Looker (Google Cloud Core) keine Daten angezeigt und er kann keine Aktionen ausführen. Er kann sich jedoch in Looker (Google Cloud Core) anmelden.

Standard-Looker-Rolle festlegen

Wenn die Option Google Groups spiegeln deaktiviert ist, wird die Einstellung Rollen für neue Nutzer auf der Seite Google-Authentifizierung angezeigt. Mit dieser Einstellung können Sie die Standard-Looker-Rolle festlegen, die Nutzerkonten mit der IAM-Rolle „Looker Instance User“ (roles/looker.instanceUser) oder „Looker Viewer“ (roles/looker.viewer) bei der ersten Anmeldung in einer Looker (Google Cloud Core)-Instanz zugewiesen wird. So legen Sie eine Standardrolle fest:

  1. Rufen Sie im Menü Verwaltung im Bereich Authentifizierung die Seite Google-Authentifizierung auf.
  2. Wählen Sie in der Einstellung Rollen für neue Nutzer die Rolle aus, die Sie allen neuen Nutzern standardmäßig zuweisen möchten. Die Einstellung enthält eine Liste aller Standardrollen und benutzerdefinierten Rollen in der Looker (Google Cloud Core)-Instanz.

Administratorrollen können keine Standardrollen sein. Nutzerkonten mit der IAM-Rolle „Looker Admin“ (roles/looker.admin) erhalten bei der ersten Anmeldung zusätzlich zu der in der Einstellung Rollen für neue Nutzer ausgewählten Rolle die Looker-Rolle Admin über IAM.

Wenn Sie die Ein/Aus-Schaltfläche Google-Gruppen spiegeln aktivieren, nachdem Sie die Einstellung Rollen für neue Nutzer angepasst haben, werden die Rollen, die Nutzern über die Einstellung Rollen für neue Nutzer zugewiesen sind, bei der nächsten Anmeldung entfernt und durch die Rollen ersetzt, die über die Einstellung Google-Gruppen spiegeln zugewiesen sind.

Nutzerauthentifizierung testen

Klicken Sie auf die Schaltfläche Google-Authentifizierung testen, um Ihre Einstellungen zu testen. Bei Tests werden Sie zum OAuth-Server von Google weitergeleitet und es wird ein Browsertab geöffnet. Auf dem Tab werden die folgenden Informationen angezeigt:

  • Ob Looker (Google Cloud Core) mit dem Server kommunizieren und die Validierung durchführen konnte.
  • Die Nutzerinformationen, die Looker (Google Cloud Core) vom Server erhält. Sie müssen überprüfen, ob der Server die richtigen Ergebnisse zurückgibt.
  • Ein Trace, der zeigt, wie die Informationen gefunden wurden. Verwenden Sie den Trace zur Fehlerbehebung, wenn die Informationen falsch sind. Wenn Sie weitere Informationen benötigen, können Sie die XML-Serverdatei im Rohformat lesen.
  • Sowohl die decodierte als auch die Rohversion des empfangenen ID-Tokens. Damit lassen sich Nutzerdetails und die Google-Konfiguration bestätigen.

Speichern und Einstellungen anwenden

Wenn Sie alle Informationen eingegeben haben und die Tests erfolgreich waren, setzen Sie ein Häkchen bei Ich habe die obige Konfiguration bestätigt und möchte sie global anwenden und klicken Sie auf Senden, um die Änderungen zu speichern.

Nutzer zu einer Looker (Google Cloud Core)-Instanz hinzufügen

Nachdem eine Looker (Google Cloud Core)-Instanz erstellt wurde, können Nutzer über IAM hinzugefügt werden. So fügen Sie Nutzer hinzu:

  1. Sie benötigen die Rolle Project IAM Admin oder eine andere Rolle, mit der Sie den IAM-Zugriff verwalten können.

  2. Rufen Sie das Google Cloud Console-Projekt auf, in dem sich die Looker (Google Cloud Core)-Instanz befindet.

  3. Rufen Sie in der Google Cloud Console den Bereich IAM & Verwaltung > IAM auf.

  4. Wählen Sie Zugriff gewähren aus.

  5. Fügen Sie im Abschnitt Hauptkonten hinzufügen eines oder mehrere der folgenden Elemente hinzu:

    • E-Mail-Adresse des Google-Kontos
    • Eine Google-Gruppe
    • Eine Google Workspace-Domain

  6. Wählen Sie im Abschnitt Rollen zuweisen eine der vordefinierten IAM-Rollen für Looker (Google Cloud Core) oder eine benutzerdefinierte Rolle aus, die Sie hinzugefügt haben.

  7. Klicken Sie auf Speichern.

  8. Teilen Sie neuen Looker (Google Cloud Core)-Nutzern mit, dass ihnen Zugriff gewährt wurde, und leiten Sie sie zur URL der Instanz weiter. Dort können sie sich in der Instanz anmelden. Dann werden ihre Konten erstellt. Es werden keine automatisierten Mitteilungen gesendet.

Wenn Sie die IAM-Rolle eines Nutzers ändern, wird die IAM-Rolle innerhalb weniger Minuten auf die Looker (Google Cloud Core)-Instanz übertragen. Wenn ein Looker-Nutzerkonto vorhanden ist, bleibt die Looker-Rolle dieses Nutzers unverändert.

Alle Nutzer müssen gemäß den oben beschriebenen IAM-Schritten bereitgestellt werden. Eine Ausnahme: Sie können Dienstkonten nur für die Looker API in der Looker (Google Cloud Core)-Instanz erstellen.

Mit OAuth in Looker (Google Cloud Core) anmelden

Wenn sich Nutzer zum ersten Mal anmelden, werden sie aufgefordert, sich mit ihrem Google-Konto anzumelden. Jeder Nutzer sollte dasselbe Konto verwenden, das der Looker-Administrator im Feld Hauptkonten hinzufügen angegeben hat, als er ihm Zugriff gewährt hat. Nutzer sehen den OAuth-Zustimmungsbildschirm, der beim Erstellen des OAuth-Clients konfiguriert wurde. Nachdem Nutzer dem Zustimmungsbildschirm zugestimmt haben, werden ihre Konten in der Looker-Instanz (Google Cloud Core) erstellt und sie werden angemeldet.

Danach werden Nutzer automatisch in Looker (Google Cloud Core) angemeldet, es sei denn, ihre Autorisierung läuft ab oder wird vom Nutzer widerrufen. In diesen Fällen wird Nutzern der OAuth-Zustimmungsbildschirm noch einmal angezeigt und sie werden um ihre Einwilligung zur Autorisierung gebeten.

Einigen Nutzern werden möglicherweise API-Anmeldedaten zugewiesen, mit denen sie ein API-Zugriffstoken abrufen können. Wenn die Autorisierung für diese Nutzer abläuft oder widerrufen wird, funktionieren ihre API-Anmeldedaten nicht mehr. Auch alle aktuellen API-Zugriffstokens funktionieren dann nicht mehr. Um das Problem zu beheben, muss der Nutzer seine Anmeldedaten neu autorisieren, indem er sich für jede betroffene Looker (Google Cloud Core)-Instanz wieder in der Looker (Google Cloud Core)-Benutzeroberfläche anmeldet. Alternativ können Sie reine API-Dienstkonten verwenden, um einen Fehler bei der Autorisierung von Anmeldedaten für API-Zugriffstokens zu vermeiden.

OAuth-Zugriff auf Looker (Google Cloud Core) entfernen

Wenn Sie eine Rolle haben, mit der Sie den IAM-Zugriff verwalten können, können Sie den Zugriff auf eine Looker (Google Cloud Core)-Instanz entfernen, indem Sie die IAM-Rolle widerrufen, die den Zugriff gewährt hat. Wenn Sie die IAM-Rolle eines Nutzerkontos entfernen, wird diese Änderung innerhalb weniger Minuten auf die Looker (Google Cloud Core)-Instanz übertragen. Der Nutzer kann sich nicht mehr bei der Instanz authentifizieren. Das Nutzerkonto wird jedoch auf der Seite Nutzer weiterhin als aktiv angezeigt. Wenn Sie das Nutzerkonto von der Seite Nutzer entfernen möchten, löschen Sie den Nutzer in der Looker (Google Cloud Core)-Instanz.

OAuth als Backup-Authentifizierungsmethode verwenden

Wenn Sie eine andere Authentifizierungsmethode verwenden, z. B. die Workforce Identity-Föderation, SAML oder OpenID Connect (OIDC), können Sie Google OAuth als sekundäre oder Backup-Authentifizierungsmethode konfigurieren. Durch diese Konfiguration wird sichergestellt, dass sich Nutzer und Administratoren weiterhin mit Google-Konten authentifizieren können, wenn sie nicht auf den primären Identitätsanbieter zugreifen können.

OAuth als Backup für SAML oder OIDC einrichten

OAuth ist die Backup-Authentifizierungsmethode, wenn SAML oder OIDC die primäre Authentifizierungsmethode ist.

Wenn Sie OAuth als Backup-Methode einrichten möchten, gewähren Sie jedem Looker (Google Cloud Core)-Nutzer die entsprechende IAM-Rolle, um sich in der Instanz anzumelden.

OAuth als sekundäre Methode für die Workforce Identity-Föderation einrichten

OAuth kann optional als sekundäre Authentifizierungsmethode für die Mitarbeiteridentitätsföderation eingerichtet werden. Wenn Sie OAuth als sekundäre Authentifizierungsmethode einrichten möchten, bearbeiten Sie die Instanz, um die Einstellung Sekundäres OAuth aktivieren zu aktivieren.

Mit OAuth anmelden

Nachdem die Sicherungsmethode eingerichtet wurde, können Nutzer so darauf zugreifen:

  1. Wählen Sie auf der Anmeldeseite Mit Google authentifizieren aus.
  2. Es wird ein Dialogfeld zur Bestätigung der Google-Authentifizierung angezeigt. Wählen Sie im Dialogfeld Bestätigen aus.

Nutzer können sich dann mit ihren Google-Konten anmelden. Bei der ersten Anmeldung mit OAuth werden sie aufgefordert, den OAuth-Zustimmungsbildschirm zu akzeptieren, der bei der Erstellung der Instanz eingerichtet wurde.

Nächste Schritte