Utilizzare OAuth di Google per l'autenticazione degli utenti di Looker (Google Cloud core)

Nota: per scoprire come configurare un client OAuth e le credenziali, consulta la pagina della documentazione Crea un client OAuth e le credenziali per un'istanza di Looker (Google Cloud core).

Google OAuth viene utilizzato insieme a Identity and Access Management (IAM) per autenticare gli utenti di Looker (Google Cloud core).

Quando utilizzi OAuth per l'autenticazione, Looker (Google Cloud core) autentica gli utenti tramite il protocollo OAuth 2.0. Puoi utilizzare qualsiasi client OAuth 2.0. A titolo di esempio, questa pagina illustra i passaggi per configurare l'autenticazione per un'istanza di Looker (Google Cloud core) utilizzando la console Google Cloud per creare credenziali OAuth.

Se un altro metodo è la forma principale di autenticazione, Google OAuth è per impostazione predefinita il metodo di autenticazione di backup.

Autenticazione e autorizzazione con OAuth e IAM

Se utilizzati con OAuth, i ruoli IAM di Looker (Google Cloud core) forniscono i seguenti livelli di autenticazione e autorizzazione per tutte le istanze di Looker (Google Cloud core) all'interno di un determinato progetto Google Cloud . Assegna uno dei seguenti ruoli IAM a ciascuna delle tue entità, a seconda dei livelli di accesso che vuoi concedere:

Ruolo IAM	Autenticazione	Autorizzazione
Looker Instance User (roles/looker.instanceUser)	Può accedere alle istanze di Looker (Google Cloud core)	Al primo accesso a Looker (Google Cloud core), viene concesso il ruolo Looker predefinito impostato in Ruoli per i nuovi utenti. Non può accedere alle risorse di Looker (Google Cloud core) nella console Google Cloud .
Visualizzatore Looker (roles/looker.viewer)	Può accedere alle istanze di Looker (Google Cloud core)	Al primo accesso a Looker (Google Cloud core), viene concesso il ruolo Looker predefinito impostato in Ruoli per i nuovi utenti. Può visualizzare l'elenco delle istanze di Looker (Google Cloud core) e i dettagli delle istanze nella console Google Cloud
Looker Admin (roles/looker.admin)	Può accedere alle istanze di Looker (Google Cloud core)	Al primo accesso a Looker (Google Cloud core), viene concesso il set di ruoli Looker predefinito impostato in Ruoli per i nuovi utenti. Verificato a ogni accesso a Looker (Google Cloud core) che utilizza OAuth principale o OAuth di backup e ogni volta che l'utente effettua una chiamata all'API Looker, questo ruolo (o un ruolo personalizzato che include l'autorizzazione looker.instances.update) concede anche il ruolo Amministratore tramite IAM all'interno dell'istanza. Il ruolo Amministratore tramite IAM contiene tutte le autorizzazioni e le funzionalità del ruolo Looker Amministratore. Questo ruolo non può essere rimosso o riassegnato all'interno dell'istanza di Looker (Google Cloud core). Per rimuovere il ruolo Amministratore tramite IAM, riassegna l'entità a un ruolo IAM diverso da Amministratore di Looker (roles/looker.admin). Le modifiche ai ruoli IAM vengono sincronizzate automaticamente con l'istanza di Looker (Google Cloud core) anche se l'utente accede con un provider di identità di terze parti dopo la modifica. Per saperne di più, consulta la sezione Ruolo di amministratore di Looker e ruolo di amministratore tramite IAM di Looker. Finché il token di aggiornamento OAuth di un utente è valido, il ruolo dell'utente viene visualizzato come Amministratore tramite IAM all'interno di Looker (Google Cloud core), anche se l'utente accede in un secondo momento con un provider di identità di terze parti. Se il token di aggiornamento OAuth scade o viene revocato, l'utente deve utilizzare OAuth per accedere nuovamente all'istanza e riottenere il ruolo Amministratore tramite IAM. Può eseguire tutte le attività amministrative per Looker (Google Cloud core) all'interno della console Google Cloud

Inoltre, gli account utente con il ruolo owner per un progetto possono accedere e amministrare qualsiasi istanza di Looker (Google Cloud core) all'interno di quel progetto. A questi utenti verrà assegnato il ruolo Looker Admin.

Se i ruoli predefiniti non forniscono l'insieme di autorizzazioni che ti interessa, puoi anche creare ruoli personalizzati.

Gli account Looker (Google Cloud core) vengono creati al momento del primo accesso a un'istanza di Looker (Google Cloud core).

Ruolo di amministratore di Looker e ruolo di amministratore tramite IAM di Looker

Nota: nella documentazione di Looker, tutti i riferimenti ad "Amministratore di Looker" o "Ruolo di amministratore di Looker" si applicano anche agli utenti con il ruolo Amministratore tramite IAM.

Esistono due ruoli all'interno di un'istanza di Looker (Google Cloud core) che utilizzano il set di autorizzazioni Amministratore e conferiscono gli stessi privilegi amministrativi all'interno dell'istanza. La seguente tabella riassume le somiglianze e le differenze tra i due ruoli.

Proprietà	Ruolo amministratore di Looker	Ruolo di amministratore tramite IAM di Looker
Fonte autorevole	Concesso da un altro amministratore nell'istanza di Looker (Google Cloud core)	Collegato direttamente al ruolo IAM Amministratore di Looker
Possono essere aggiunti o rimossi all'interno di un'istanza di Looker (Google Cloud core)?	Sì	No
Possono essere aggiunti o rimossi con IAM?	No	Sì
Autorizzazioni in Looker (Google Cloud core)	Tutte le autorizzazioni	Tutte le autorizzazioni
Autorizzazioni nella console Google Cloud	Nessuno	Accesso completo a tutte le risorse di Looker (Google Cloud core)
Convalida dei ruoli	Continuamente all'interno dell'istanza di Looker (Google Cloud core)	A ogni accesso all'istanza di Looker (Google Cloud core) e a ogni chiamata all'API Looker. La propagazione delle modifiche a un ruolo con IAM potrebbe richiedere diversi minuti.
Ambito	Singola istanza di Looker (Google Cloud core)	Tutte le istanze di Looker (Google Cloud core) all'interno di un progetto Google Cloud

Un utente può avere sia il ruolo Amministratore sia il ruolo Amministratore tramite IAM di Looker. Pertanto, se vuoi revocare i privilegi amministrativi, assicurati di rimuovere sia il ruolo IAM sia il ruolo Amministratore all'interno dell'istanza di Looker (Google Cloud core).

Suggerimento: se a un'entità con il ruolo IAM Amministratore di Looker è stato assegnato il ruolo IAM Amministratore di Looker e ha eseguito l'accesso a un'istanza prima di Looker 25.4, questa entità ha sia il ruolo Looker Amministratore sia il ruolo Amministratore tramite IAM all'interno dell'istanza di Looker (Google Cloud core) dopo l'upgrade a Looker 25.4. Ti consigliamo di rimuovere il ruolo Amministratore di Looker per questi utenti in modo che i privilegi amministrativi vengano gestiti esclusivamente tramite la Google Cloud console.

Configurazione di OAuth nell'istanza di Looker (Google Cloud core)

All'interno dell'istanza di Looker (Google Cloud core), la pagina Autenticazione Google nella sezione Autenticazione del menu Amministratore ti consente di configurare alcune impostazioni di Google OAuth. Devi disporre del ruolo Looker Admin.

Unire gli account utente

Nel campo Unisci utenti utilizzando, specifica il metodo da utilizzare per unire un primo accesso OAuth a un account utente esistente. Quando un utente accede per la prima volta tramite OAuth, questa opzione lo connette al suo account esistente trovando l'account con un indirizzo email corrispondente. Se non esiste un account per l'utente, ne verrà creato uno nuovo.

Puoi unire gli utenti dei seguenti sistemi:

• SAML
• OIDC

Se hai più di un sistema, puoi specificare più di un sistema in base al quale eseguire l'unione in questo campo. Looker (Google Cloud core) cercherà gli utenti nei sistemi elencati nell'ordine in cui sono specificati. Ad esempio, se prima hai creato alcuni utenti utilizzando OIDC e poi hai utilizzato SAML, quando un utente tenta di accedere con OAuth per la prima volta, Looker (Google Cloud core) cerca prima l'utente utilizzando OIDC e poi, se non trova una corrispondenza per l'utente con OIDC, lo cerca utilizzando SAML.

Se non vuoi che Looker (Google Cloud core) unisca gli utenti, lascia vuoto questo campo.

Migrazione tra provider di identità OIDC

Quando esegui la migrazione da un provider di identità OIDC a un altro (ad esempio, quando passi da PingFederate a Okta), l'opzione di unione degli account descritta in Unisci gli account utente non si applica. L'unione si applica solo quando esegui la transizione tra tipi di autenticazione diversi (ad esempio da SAML a OIDC).

Looker (Google Cloud core) utilizza l'attestazione sub del payload OIDC per compilare l'attributo utente oidc_user_id, che identifica in modo univoco gli account utente OIDC. Per evitare che Looker (Google Cloud core) generi account utente duplicati durante una migrazione OIDC, configura il nuovo provider di identità OIDC in modo che l'attestazione sub inviata nel payload OIDC corrisponda all'oidc_user_id stabilito dal provider precedente (ad esempio, l'attestazione sub deve contenere l'indirizzo email dell'utente anziché un UUID appena generato).

Se non è possibile mantenere le stesse attestazioni sub nel nuovo provider di identità, verranno creati nuovi account utente. In questo scenario, puoi utilizzare l'API Looker per recuperare i contenuti preferiti e riassegnare le pianificazioni dai precedenti account utente ai nuovi account utente prima di eliminare i precedenti account.

Avviso :quando l'attestazione sub cambia durante una migrazione OIDC, Looker (Google Cloud core) crea una nuova identità utente e deriva un nuovo nome di ramo di sviluppo Git personale dal nuovo ID interno dell'utente. Questa modifica mette gli sviluppatori a rischio di perdere le modifiche LookML non sottoposte a commit archiviate nei loro branch personali originali. Se non è possibile mantenere le rivendicazioni sub identiche, chiedi agli sviluppatori di eseguire il commit e il push di tutte le modifiche dai vecchi rami personali e di unire le modifiche richieste nel ramo di produzione prima del passaggio a OIDC. Dopo la migrazione, gli sviluppatori possono passare ai nuovi branch personali ed eseguire il pull del codice di produzione più recente.

Esegui il mirroring dei gruppi Google

Nota :il mirroring dei gruppi Google OAuth non è supportato per le istanze di Looker (Google Cloud core) in modalità conforme a FIPS.

Se hai gestito Google Gruppi, Looker (Google Cloud core) può creare gruppi Looker che rispecchiano l'appartenenza ai tuoi gruppi Google. Ciò significa che non devi configurare gli utenti direttamente in Looker (Google Cloud core), ma puoi gestire l'accesso degli utenti gestendo l'appartenenza ai gruppi Google. Inoltre, i gruppi di Looker possono essere utilizzati per assegnare ruoli ai membri del gruppo, impostare controlli di accesso ai contenuti, controllare l'accesso a funzionalità e dati e assegnare attributi utente.

Affinché il mirroring dei gruppi funzioni correttamente, gli utenti devono disporre dell'autorizzazione VIEW_MEMBERSHIP, che consente loro di visualizzare l'appartenenza ai gruppi Google a cui appartengono. Per concedere questa autorizzazione nelle impostazioni dell'interfaccia utente di Google Gruppi, imposta il campo Chi può visualizzare i membri su Membri del gruppo.

I gruppi di Looker sottoposti a mirroring (e tutti i ruoli e gli accessi associati) vengono applicati ai nuovi utenti al loro primo accesso all'istanza di Looker (Google Cloud core). I gruppi non vengono applicati agli utenti esistenti e non vengono riapplicati se vengono rimossi dall'account di un utente in Looker (Google Cloud core) dopo l'accesso iniziale dell'utente.

Il ruolo Looker Amministratore tramite IAM, che viene concesso automaticamente agli utenti con il ruolo Amministratore di Looker nel sistema IAM, esegue l'override del mirroring dei gruppi. Agli utenti con il ruolo Amministratore di Looker nel sistema IAM viene assegnato automaticamente il ruolo Amministratore tramite IAM all'interno di Looker (Google Cloud core), indipendentemente dalle iscrizioni ai gruppi di cui dispongono. Inoltre, questi utenti verranno assegnati a gruppi sottoposti a mirroring e riceveranno ruoli e accesso tramite la procedura di mirroring standard.

Ti consigliamo di attivare il mirroring dei gruppi solo per il metodo di autenticazione principale di Looker (Google Cloud core). Se utilizzi OAuth come metodo di autenticazione di backup, non attivare il mirroring dei gruppi per OAuth. Se attivi il mirroring dei gruppi sia per il metodo di autenticazione principale sia per quello secondario, si verificheranno i seguenti comportamenti:

• Se un utente ha identità unite, il mirroring dei gruppi corrisponderà al metodo di autenticazione principale, indipendentemente dal metodo di autenticazione effettivo utilizzato per accedere.
• Se un utente non ha identità unite, il mirroring dei gruppi corrisponderà al metodo di autenticazione utilizzato per accedere.

Procedura per attivare i gruppi di mirroring

Per attivare il mirroring di gruppo, completa i seguenti passaggi:

1. Nella console Google Cloud , abilita l'API Cloud Identity nel progetto Google Cloud che contiene il tuo client OAuth. Per abilitare le API, devi disporre del ruolo IAM Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin).

   Abilita l'API

2. Nella console Google Cloud , aggiorna la schermata per il consenso del client OAuth per aggiungere l'ambito https://www.googleapis.com/auth/cloud-identity.groups.readonly. Per aggiungere ambiti, devi disporre dell'autorizzazione IAM clientauthconfig.clients.update. Completa i seguenti passaggi per aggiornare la schermata per il consenso:

   • Vai al client OAuth.
   • Scegli la pagina Accesso ai dati.
   • Fai clic sul pulsante Aggiungi o rimuovi ambiti. Si aprirà il riquadro Aggiorna gli ambiti selezionati.
   • Trova l'ambito https://www.googleapis.com/auth/cloud-identity.groups.readonly e seleziona la casella di controllo accanto.
   • Fai clic sul pulsante Aggiorna per aggiungere l'ambito.

   • Chiudi il riquadro e fai clic su Salva nella pagina Accesso ai dati per salvare l'ambito.

     Attenzione :se il campo Tipo di utente nel client OAuth è impostato su Esterno, devi completare la verifica dell'ambito con limitazioni per l'app OAuth. Finché l'app OAuth non viene verificata da Google, gli utenti potranno accedere, ma visualizzeranno un messaggio di avviso durante la procedura di accesso. Ciò è dovuto al fatto che l'API Cloud Identity è un ambito sensibile.

3. Nell'istanza di Looker (Google Cloud core), attiva l'opzione Mirroring di Google Gruppi nella pagina Autenticazione Google. Questo pulsante è disattivato per impostazione predefinita. Completa i seguenti campi:

   • Nel campo Nome gruppo Looker, aggiungi un nome per il gruppo di Looker. Questo è il nome che verrà visualizzato nella pagina Gruppi all'interno di Looker (Google Cloud core).
   • Nel campo ID gruppo Google, inserisci il nome o l'indirizzo email del gruppo Google di cui vuoi eseguire il mirroring.
   • Nel campo Ruolo, inserisci il ruolo o i ruoli di Looker che vuoi assegnare ai membri del gruppo.

Looker (Google Cloud core) creerà un gruppo Looker per ogni gruppo Google aggiunto alla pagina Autenticazione Google. Puoi visualizzare questi gruppi Looker nella pagina Gruppi di Looker (Google Cloud core).

Nota: Looker (Google Cloud core) recupera solo le iscrizioni dirette ai gruppi dell'utente. Le appartenenze transitive o gerarchiche mappate non funzioneranno.

Modifica dei gruppi sottoposti a mirroring

Quando apporti modifiche all'iscrizione a un gruppo Google, queste vengono propagate automaticamente all'iscrizione al gruppo Looker sottoposto a mirroring e convalidate al successivo accesso di ogni utente.

Se modifichi i campi Nome personalizzato o Ruolo assegnati a un gruppo nella pagina Autenticazione Google, cambia il modo in cui viene visualizzato il nome del gruppo Looker sottoposto a mirroring nella pagina Gruppi di Looker (Google Cloud core) o i ruoli assegnati al gruppo, ma non i membri del gruppo.

Se modifichi il nome o l'indirizzo email nel campo ID gruppo Google nella pagina Autenticazione Google con l'ID di un nuovo gruppo Google, i membri del gruppo Looker sottoposto a mirroring vengono modificati con i membri del nuovo gruppo Google, ma il nome e i ruoli del gruppo vengono mantenuti come definiti nella pagina Autenticazione Google.

Le modifiche apportate a un gruppo sottoposto a mirroring verranno applicate agli utenti di quel gruppo al successivo accesso a Looker (Google Cloud core).

Disattivazione dei gruppi di mirroring

Se vuoi interrompere il mirroring dei tuoi gruppi Google in Looker (Google Cloud core), disattiva l'opzione Mirroring di Google Gruppi nella pagina Autenticazione Google dell'istanza di Looker (Google Cloud core). La disattivazione del pulsante di attivazione/disattivazione comporta il seguente comportamento:

• Qualsiasi gruppo Google mirror senza utenti viene eliminato immediatamente.
• Qualsiasi gruppo Google di mirroring che contiene utenti viene contrassegnato come orfano. Se nessun utente di questo gruppo esegue l'accesso entro 31 giorni, il gruppo viene eliminato. Non è più possibile aggiungere o rimuovere utenti dai gruppi Google orfani.

Gestione avanzata dei ruoli

Se l'opzione Mirror Google Groups (Esegui il mirroring di Google Gruppi) è attiva, la pagina Google Authentication (Autenticazione Google) mostra le impostazioni Advanced Role Management (Gestione avanzata dei ruoli). Le opzioni di questa sezione determinano il livello di flessibilità di cui dispongono gli amministratori di Looker durante la configurazione dei gruppi e degli utenti di Looker di cui è stato eseguito il mirroring da Google.

Se vuoi che la configurazione di gruppi e utenti di Looker corrisponda esattamente a quella di Google Gruppi, attiva tutte le opzioni di Gestione avanzata dei ruoli. Quando tutte le opzioni sono abilitate, gli amministratori di Looker non possono modificare le iscrizioni ai gruppi di cui è stato eseguito il mirroring e possono assegnare ruoli agli utenti solo tramite Google Gruppi.

Attenzione: l'attivazione di impostazioni più restrittive comporterà la perdita dell'appartenenza al gruppo o dei ruoli assegnati configurati direttamente in Looker (Google Cloud core). Questo avviene al successivo accesso degli utenti a Looker (Google Cloud core).

Se vuoi avere maggiore flessibilità per personalizzare i tuoi gruppi in Looker (Google Cloud core), disattiva queste opzioni. I tuoi gruppi Looker (Google Cloud core) continueranno a rispecchiare la configurazione di Google Gruppi, ma potrai eseguire ulteriori operazioni di gestione di gruppi e utenti in Looker (Google Cloud core), ad esempio aggiungere utenti Google ai gruppi Looker o assegnare ruoli Looker direttamente agli utenti Google.

Per l'istanza di Looker (Google Cloud core), queste opzioni sono disattivate per impostazione predefinita.

La sezione Gestione avanzata dei ruoli contiene le seguenti opzioni:

• Impedisci ai singoli utenti Google di ricevere ruoli diretti: se attivi questa opzione, gli amministratori di Looker non possono assegnare ruoli di Looker direttamente agli utenti Google. Gli utenti Google riceveranno i ruoli solo tramite le iscrizioni ai gruppi. Se agli utenti Google è consentita l'iscrizione a gruppi Looker integrati (non sottoposti a mirroring), possono comunque ereditare i ruoli sia dai gruppi Google sottoposti a mirroring sia dai gruppi Looker integrati. I ruoli assegnati direttamente in precedenza agli utenti Google verranno rimossi al successivo accesso.

  Nota: il ruolo di Looker Amministratore tramite IAM, che viene concesso automaticamente agli utenti con il ruolo IAM Amministratore di Looker, sostituisce l'opzione Impedisci ai singoli utenti Google di ricevere ruoli diretti. Gli utenti con il ruolo IAM Amministratore di Looker mantengono il ruolo di Looker Amministratore tramite IAM indipendentemente dallo stato di questa opzione. Tuttavia, l'attivazione di questa opzione impedisce agli amministratori di Looker di assegnare direttamente qualsiasi ruolo.

  Se questa opzione è disattivata, gli amministratori di Looker possono assegnare ruoli Looker direttamente agli utenti Google all'interno dell'istanza di Looker (Google Cloud core).

• Impedisci l'iscrizione diretta ai gruppi non Google: questa opzione impedisce agli amministratori di Looker di aggiungere membri di gruppi sottoposti a mirroring direttamente ai gruppi Looker integrati che non fanno parte della configurazione del gruppo sottoposto a mirroring nella pagina Autenticazione Google.

  Se questa opzione è selezionata, tutti gli utenti Google precedentemente assegnati ai gruppi Looker integrati verranno rimossi da questi gruppi al successivo accesso.

  Se questa opzione è deselezionata, gli amministratori di Looker possono aggiungere utenti Google direttamente ai gruppi Looker integrati.

• Impedisci l'ereditarietà dei ruoli dai gruppi non Google: questa opzione impedisce ai membri dei gruppi sottoposti a mirroring di ereditare i ruoli dai gruppi Looker integrati. Se i gruppi Google di cui è stato eseguito il mirroring possono essere membri di gruppi Looker integrati, gli utenti Google possono mantenere l'iscrizione a qualsiasi gruppo Looker integrato. Gli utenti Google che in precedenza hanno ereditato ruoli da un gruppo Looker integrato perderanno questi ruoli al successivo accesso.

  Se questa opzione è disattivata, i gruppi sottoposti a mirroring o gli utenti Google aggiunti come membri di un gruppo Looker integrato erediteranno i ruoli assegnati al gruppo Looker integrato.

• L'autenticazione richiede un ruolo: se questa opzione è attiva, agli utenti Google deve essere assegnato un ruolo Looker. Gli utenti Google a cui non è stato assegnato un ruolo non potranno accedere a Looker (Google Cloud core).

  Se questa opzione è disattivata, gli utenti Google possono autenticarsi in Looker (Google Cloud core) anche se non hanno alcun ruolo assegnato. Un utente a cui non è stato assegnato alcun ruolo non potrà visualizzare dati o eseguire azioni in Looker (Google Cloud core), ma potrà accedere a Looker (Google Cloud core).

Impostare un ruolo Looker predefinito

Nota: il ruolo Looker predefinito verrà concesso al primo accesso. Le modifiche al ruolo IAM dell'utente dopo il primo accesso non cambieranno né rimuoveranno il ruolo Looker assegnato per impostazione predefinita.

Se l'opzione Mirror Google Groups (Esegui il mirroring di Google Gruppi) è disattivata, l'impostazione Roles for new users (Ruoli per i nuovi utenti) viene visualizzata nella pagina Google Authentication (Autenticazione Google). Questa impostazione ti consente di impostare il ruolo Looker predefinito che verrà concesso agli account utente con il ruolo IAM Utente istanza Looker (roles/looker.instanceUser) o il ruolo IAM Visualizzatore Looker (roles/looker.viewer) al primo accesso a un'istanza di Looker (Google Cloud core). Per impostare un ruolo predefinito:

1. Vai alla pagina Google Authenticator nella sezione Autenticazione del menu Amministrazione.
2. Nell'impostazione Ruoli per i nuovi utenti, seleziona il ruolo che vuoi concedere a tutti i nuovi utenti per impostazione predefinita. L'impostazione contiene un elenco di tutti i ruoli predefiniti e personalizzati all'interno dell'istanza di Looker (Google Cloud core).

I ruoli di amministratore non possono essere ruoli predefiniti. Agli account utente con un ruolo IAM Amministratore di Looker (roles/looker.admin) verrà concesso il ruolo di Looker Amministratore tramite IAM al primo accesso, oltre al ruolo selezionato nell'impostazione Ruoli per i nuovi utenti.

Se attivi l'opzione Mirroring di Google Gruppi dopo aver personalizzato l'impostazione Ruoli per i nuovi utenti, i ruoli assegnati agli utenti tramite l'impostazione Ruoli per i nuovi utenti verranno rimossi per gli utenti al successivo accesso e sostituiti dai ruoli assegnati tramite l'impostazione Mirroring di Google Gruppi.

Testa l'autenticazione utente

Fai clic sul pulsante Test Google Authentication (Verifica autenticazione Google) per verificare le impostazioni. I test reindirizzeranno al server OAuth di Google e apriranno una scheda del browser. La scheda mostra le seguenti informazioni:

• Indica se Looker (Google Cloud core) è stato in grado di comunicare con il server e convalidare.
• Le informazioni utente che Looker (Google Cloud core) riceve dal server. Devi verificare che il server restituisca i risultati corretti.
• Una traccia per mostrare come sono state trovate le informazioni. Utilizza la traccia per risolvere i problemi se le informazioni non sono corrette. Se hai bisogno di ulteriori informazioni, puoi leggere il file XML non elaborato del server.
• Sono state ricevute sia la versione decodificata che quella non elaborata del token ID. Questi possono essere utilizzati per confermare i dettagli dell'utente e la configurazione di Google.

Salva e applica le impostazioni

Una volta inserite le informazioni e superati tutti i test, seleziona la casella di controllo Ho confermato la configurazione riportata sopra e voglio abilitarne l'applicazione a livello globale e fai clic su Invia per salvare.

Aggiunta di utenti a un'istanza di Looker (Google Cloud core)

Nota :l'accesso all'istanza di Looker (Google Cloud core) viene concesso tramite IAM. Tuttavia, gli account utente di Looker non vengono creati finché gli utenti non accettano la schermata per il consenso OAuth e non accedono all'istanza.

Una volta creata un'istanza di Looker (Google Cloud core), gli utenti possono essere aggiunti tramite IAM. Per aggiungere utenti, segui questi passaggi:

1. Assicurati di disporre del ruolo Project IAM Admin o di un altro ruolo che ti consenta di gestire l'accesso IAM.

2. Vai al progetto della console Google Cloud in cui si trova l'istanza di Looker (Google Cloud core).

   Nota: i ruoli IAM sono globali all'interno di un progetto. Se in un progetto è presente più di un'istanza di Looker (Google Cloud core), i ruoli IAM concessi all'interno del progetto verranno applicati a tutte le istanze di Looker (Google Cloud core) presenti.

3. Vai alla sezione IAM e amministrazione > IAM della console Google Cloud .

4. Seleziona Concedi l'accesso.

5. Nella sezione Aggiungi entità, aggiungi uno o più dei seguenti elementi:

   • Un indirizzo email dell'Account Google
   • Un gruppo Google
   • Un dominio Google Workspace

6. Nella sezione Assegna i ruoli, seleziona uno dei ruoli IAM di Looker (Google Cloud core) predefiniti o un ruolo personalizzato che hai aggiunto.

7. Fai clic su Salva.

8. Comunica ai nuovi utenti di Looker (Google Cloud core) che l'accesso è stato concesso e indirizzali all'URL dell'istanza. Da qui, possono accedere all'istanza e i loro account verranno creati. Non verrà inviata alcuna comunicazione automatica.

Se modifichi il ruolo IAM di un utente, questo viene propagato all'istanza di Looker (Google Cloud core) entro pochi minuti. Se esiste un account utente Looker, il ruolo Looker dell'utente rimane invariato.

Il provisioning di tutti gli utenti deve essere eseguito tramite i passaggi IAM descritti in precedenza, con un'eccezione: puoi creare service account solo per l'API Looker all'interno dell'istanza di Looker (Google Cloud core).

Accedere a Looker (Google Cloud core) con OAuth

La prima volta che gli utenti accedono, viene chiesto loro di accedere utilizzando il proprio Account Google. Ogni utente deve utilizzare lo stesso account indicato dall'amministratore di Looker nel campo Aggiungi entità quando concede l'accesso. Gli utenti visualizzeranno la schermata per il consenso OAuth configurata durante la creazione del client OAuth. Dopo che gli utenti accettano la schermata del consenso, vengono creati i loro account all'interno dell'istanza di Looker (Google Cloud core) e viene eseguito l'accesso.

Dopodiché, gli utenti saranno automaticamente connessi a Looker (Google Cloud core), a meno che la loro autorizzazione scada o venga revocata dall'utente. In questi scenari, gli utenti visualizzeranno di nuovo la schermata per il consenso OAuth e verrà chiesto loro di acconsentire all'autorizzazione.

Ad alcuni utenti potrebbero essere assegnate credenziali API da utilizzare per recuperare un token di accesso API. Se l'autorizzazione per questi utenti scade o viene revocata, le loro credenziali API smettono di funzionare. Anche gli eventuali token di accesso all'API attuali smetteranno di funzionare. Per risolvere il problema, l'utente deve riautorizzare le proprie credenziali accedendo di nuovo all'interfaccia utente di Looker (Google Cloud core) per ogni istanza di Looker (Google Cloud core) interessata. In alternativa, l'utilizzo di service account solo per API consente di evitare un errore di autorizzazione delle credenziali per i token di accesso all'API.

Rimozione dell'accesso OAuth a Looker (Google Cloud core)

Importante: è consigliabile rimuovere l'accesso a un'istanza di Looker (Google Cloud core) utilizzando IAM anziché dall'interno dell'istanza.

Se hai un ruolo che ti consente di gestire l'accesso IAM, puoi rimuovere l'accesso a un'istanza di Looker (Google Cloud core) revocando il ruolo IAM che ha concesso l'accesso. Se rimuovi il ruolo IAM di un account utente, la modifica viene propagata all'istanza di Looker (Google Cloud core) entro pochi minuti. L'utente non potrà più autenticarsi all'istanza. Tuttavia, l'account utente continuerà a essere visualizzato come attivo nella pagina Utenti. Per rimuovere l'account utente dalla pagina Utenti, elimina l'utente all'interno dell'istanza di Looker (Google Cloud core).

Utilizzo di OAuth come metodo di autenticazione di backup

Se utilizzi un altro metodo di autenticazione, ad esempio la federazione delle identità per la forza lavoro, SAML o OpenID Connect (OIDC), puoi configurare Google OAuth come metodo di autenticazione secondario o di backup. Questa configurazione garantisce che gli utenti e gli amministratori possano comunque autenticarsi con gli Account Google se non riescono ad accedere al provider di identità principale.

Configurare OAuth come backup per SAML o OIDC

OAuth è il metodo di autenticazione di backup quando SAML o OIDC è il metodo di autenticazione principale.

Per configurare OAuth come metodo di backup, concedi a ogni utente di Looker (Google Cloud core) il ruolo IAM appropriato per accedere all'istanza.

Configura OAuth come metodo secondario per la federazione delle identità della forza lavoro

Se vuoi, puoi configurare OAuth come metodo di autenticazione secondario per la federazione delle identità per la forza lavoro. Per configurare OAuth come metodo di autenticazione secondario, modifica l'istanza per attivare l'impostazione Abilita OAuth secondario.

Accesso con OAuth

Una volta configurato il metodo di backup, gli utenti possono accedervi seguendo questi passaggi:

1. Seleziona Autenticati con Google nella pagina di accesso.
2. Viene visualizzata una finestra di dialogo per confermare l'autenticazione di Google. Seleziona Conferma nella finestra di dialogo.

Gli utenti possono quindi accedere utilizzando i propri Account Google. Al primo accesso con OAuth, verrà chiesto di accettare la schermata per il consenso OAuth configurata durante la creazione dell'istanza.

Passaggi successivi

• Connetti Looker (Google Cloud core) al tuo database
• Configura un'istanza di Looker (Google Cloud core)
• Impostazioni amministratore di Looker (Google Cloud core)
• Amministra un'istanza di Looker (Google Cloud core) dalla console Google Cloud