Usa OAuth de Google para la autenticación de usuarios de Looker (Google Cloud Core)

Nota: Para aprender a configurar un cliente y credenciales de OAuth, consulta la página de documentación Crea un cliente y credenciales de OAuth para una instancia de Looker (Google Cloud core).

Google OAuth se usa junto con Identity and Access Management (IAM) para autenticar a los usuarios de Looker (Google Cloud Core).

Cuando se usa OAuth para la autenticación, Looker (Google Cloud Core) autentica a los usuarios a través del protocolo OAuth 2.0. Puedes usar cualquier cliente de OAuth 2.0. Como ejemplo, en esta página, se explican los pasos para configurar la autenticación de una instancia de Looker (Google Cloud Core) con la Google Cloud consola para crear credenciales de OAuth.

Si otro método es la forma principal de autenticación, Google OAuth será, de forma predeterminada, el método de autenticación alternativo.

Autenticación y autorización con OAuth y la IAM

Cuando se usan con OAuth, los roles de IAM de Looker (Google Cloud Core) proporcionan los siguientes niveles de autenticación y autorización para todas las instancias de Looker (Google Cloud Core) dentro de un proyecto de Google Cloud determinado. Asigna uno de los siguientes roles de IAM a cada una de tus principales, según los niveles de acceso que quieras que tengan:

Rol de IAM	Autenticación	Autorización
Usuario de la instancia de Looker (roles/looker.instanceUser)	Puede acceder a las instancias de Looker (Google Cloud Core)	En el primer acceso a Looker (Google Cloud Core), se otorga el conjunto de roles predeterminado de Looker establecido en Roles para usuarios nuevos. No se puede acceder a los recursos de Looker (Google Cloud Core) en la consola de Google Cloud .
Visualizador de Looker (roles/looker.viewer)	Puede acceder a las instancias de Looker (Google Cloud Core)	Cuando acceden por primera vez a Looker (Google Cloud Core), se les otorga el rol predeterminado de Looker establecido en Roles para usuarios nuevos. Puede ver la lista de instancias de Looker (Google Cloud Core) y los detalles de las instancias en la consola de Google Cloud .
Administrador de Looker (roles/looker.admin)	Puede acceder a las instancias de Looker (Google Cloud Core)	Cuando acceden por primera vez a Looker (Google Cloud Core), se les otorga el rol predeterminado de Looker establecido en Roles para usuarios nuevos. Este rol (o un rol personalizado que incluya el permiso looker.instances.update) se verifica en cada acceso a Looker (Google Cloud Core) que use OAuth principal o OAuth de copia de seguridad y cada vez que el usuario realice una llamada a la API de Looker. Además, otorga el rol de administrador a través de IAM dentro de la instancia. El rol de administrador a través de IAM contiene todos los permisos y las capacidades del rol de Looker de administrador. Este rol no se puede quitar ni reasignar dentro de la instancia de Looker (Google Cloud Core). Para quitar el rol de Administrador a través de IAM, vuelve a asignar la principal a un rol de IAM que no sea Administrador de Looker (roles/looker.admin). Los cambios en los roles de IAM se sincronizan automáticamente con la instancia de Looker (Google Cloud Core), incluso si el usuario accede con un proveedor de identidad de terceros después del cambio. Para obtener más información, consulta la sección Rol de administrador de Looker en comparación con el rol de administrador a través de IAM de Looker. Siempre que el token de actualización de OAuth de un usuario sea válido, su rol se mostrará como Administrador a través de IAM en Looker (Google Cloud Core), incluso si ese usuario accede más tarde con un proveedor de identidad de terceros. Si el token de actualización de OAuth vence o se revoca, el usuario debe volver a acceder a la instancia con OAuth para recuperar el rol de administrador a través de IAM. Puede realizar todas las tareas administrativas de Looker (Google Cloud Core) en la consola de Google Cloud .

Además, las cuentas de usuario con el rol de owner para un proyecto pueden acceder a cualquier instancia de Looker (Google Cloud Core) dentro de ese proyecto y administrarla. A estos usuarios se les otorgará el rol de administrador de Looker.

Si los roles predefinidos no proporcionan el conjunto de permisos que deseas, también puedes crear tus propios roles personalizados.

Las cuentas de Looker (Google Cloud Core) se crean en el momento del primer acceso a una instancia de Looker (Google Cloud Core).

Rol de administrador de Looker en comparación con el rol de administrador de Looker a través de IAM

Nota: En la documentación de Looker, todas las referencias a "administrador de Looker" o al "rol de administrador de Looker" también se aplican a los usuarios con el rol de administrador a través de IAM.

Existen dos roles dentro de una instancia de Looker (Google Cloud Core) que usan el conjunto de permisos de administrador y otorgan los mismos privilegios de administrador dentro de la instancia. En la siguiente tabla, se resumen las similitudes y diferencias de los dos roles.

Propiedad	Rol de administrador de Looker	Rol de administrador a través de IAM de Looker
Fuente confiable	Otro administrador de la instancia de Looker (Google Cloud Core) otorgó el acceso.	Vinculado directamente al rol de IAM de administrador de Looker
¿Se puede agregar o quitar dentro de una instancia de Looker (Google Cloud Core)?	Sí	No
¿Se puede agregar o quitar con IAM?	No	Sí
Permisos en Looker (Google Cloud Core)	Todos los permisos	Todos los permisos
Permisos en la consola de Google Cloud	Ninguno	Acceso completo a todos los recursos de Looker (Google Cloud Core)
Validación de roles	De forma continua dentro de la instancia de Looker (Google Cloud Core)	Cada vez que se accede a la instancia de Looker (Google Cloud Core) y cada vez que se llama a la API de Looker. Los cambios en un rol con IAM pueden tardar varios minutos en propagarse.
Alcance	Instancia individual de Looker (Google Cloud Core)	Todas las instancias de Looker (Google Cloud Core) dentro de un proyecto de Google Cloud

Un usuario puede tener los roles de Looker Administrador y Administrador a través de IAM. Por lo tanto, si quieres revocar los privilegios de administrador, asegúrate de quitar el rol de IAM y el rol de administrador dentro de la instancia de Looker (Google Cloud Core).

Nota: Si a una principal con el rol de IAM de administrador de Looker se le asignó el rol de IAM de administrador de Looker y accedió a una instancia antes de Looker 25.4, esa principal tendrá el rol de Looker de administrador y el rol de administrador a través de IAM en la instancia de Looker (Google Cloud Core) después de la actualización a Looker 25.4. Te recomendamos que quites el rol de administrador de Looker para estos usuarios, de modo que los privilegios de administrador se gestionen únicamente a través de la consola de Google Cloud .

Configura OAuth en la instancia de Looker (Google Cloud Core)

Dentro de la instancia de Looker (Google Cloud Core), la página Autenticación de Google en la sección Autenticación del menú Administrador te permite establecer algunos parámetros de configuración de OAuth de Google. Debes tener el rol de administrador de Looker.

Cómo combinar cuentas de usuario

En el campo Combinar usuarios con, especifica el método que se usará para combinar un primer acceso de OAuth con una cuenta de usuario existente. Cuando un usuario accede por primera vez a través de OAuth, esta opción lo conectará a su cuenta existente buscando la cuenta con una dirección de correo electrónico coincidente. Si no existe una cuenta para el usuario, se creará una cuenta de usuario nueva.

Puedes combinar usuarios de los siguientes sistemas:

• SAML
• OIDC

Si tienes más de un sistema implementado, puedes especificar más de un sistema para combinar en este campo. Looker (Google Cloud Core) buscará usuarios de los sistemas de la lista en el orden en que se especifican los sistemas. Por ejemplo, si primero creaste algunos usuarios con OIDC y, luego, usaste SAML, cuando un usuario intente acceder con OAuth por primera vez, Looker (Google Cloud Core) primero buscará al usuario con OIDC y, luego, si no encuentra una coincidencia para el usuario con OIDC, buscará al usuario con SAML.

Si no quieres que Looker (Google Cloud Core) combine usuarios, deja este campo en blanco.

Migración entre proveedores de identidad de OIDC

Cuando migras de un proveedor de identidad de OIDC a otro (por ejemplo, cuando realizas la transición de PingFederate a Okta), no se aplica la opción de combinación de cuentas que se describe en Combina cuentas de usuario. La combinación solo se aplica cuando realizas la transición entre diferentes tipos de autenticación (como SAML a OIDC).

Looker (Google Cloud Core) usa la reclamación sub de la carga útil de OIDC para propagar el atributo de usuario oidc_user_id, que identifica de forma inequívoca las cuentas de usuario de OIDC. Para evitar que Looker (Google Cloud Core) genere cuentas de usuario duplicadas durante una migración de OIDC, configura tu nuevo proveedor de identidad de OIDC para asegurarte de que la reclamación sub que se envía en la carga útil de OIDC coincida con el oidc_user_id que estableció tu proveedor anterior (por ejemplo, la reclamación sub debe contener la dirección de correo electrónico del usuario en lugar de un UUID generado recientemente).

Si no es posible mantener las mismas declaraciones de sub en el nuevo proveedor de identidad, se crearán cuentas de usuario nuevas. En este caso, puedes usar la API de Looker para recuperar el contenido favorito y reasignar los programas de las cuentas de usuario anteriores a las nuevas antes de borrar las cuentas anteriores.

Advertencia: Cuando la reclamación sub cambia durante una migración de OIDC, Looker (Google Cloud core) crea una nueva identidad de usuario y deriva un nuevo nombre de rama de desarrollo de Git personal a partir del ID interno del usuario nuevo. Este cambio pone a los desarrolladores en riesgo de perder los cambios de LookML no confirmados que se almacenan en sus ramas personales originales. Si no es posible mantener reclamos de sub idénticos, indícales a los desarrolladores que confirmen y envíen todos los cambios de sus ramas personales anteriores, y que combinen los cambios necesarios en la rama de producción antes del cambio a OIDC. Después de la migración, los desarrolladores pueden cambiarse a sus nuevas ramas personales y extraer el código de producción más reciente.

Replicar Grupos de Google

Nota: La duplicación de grupos de OAuth de Google no es compatible con las instancias de Looker (Google Cloud Core) que están en modo compatible con FIPS.

Si administras Grupos de Google, Looker (Google Cloud Core) puede crear grupos de Looker que reflejen la membresía de tus Grupos de Google. Esto significa que no tienes que configurar usuarios en Looker (Google Cloud Core) directamente, sino que puedes administrar el acceso de los usuarios administrando la membresía de los Grupos de Google. Además, los grupos de Looker se pueden usar para asignar roles a los miembros del grupo, establecer controles de acceso al contenido, controlar el acceso a funciones y datos, y asignar atributos de usuario.

Para que la duplicación de grupos funcione correctamente, los usuarios deben tener el permiso VIEW_MEMBERSHIP, que les permite ver la membresía de los Grupos de Google a los que pertenecen. Para otorgar este permiso en la configuración de la IU de Grupos de Google, establece el campo Quién puede ver los miembros en Miembros del grupo.

Los grupos de Looker duplicados (y cualquier rol y acceso asociados) se aplican a los usuarios nuevos en su acceso inicial a la instancia de Looker (Google Cloud Core). Los grupos no se aplican a los usuarios existentes y no se vuelven a aplicar si se quitan de la cuenta de un usuario en Looker (Google Cloud Core) después de que el usuario accede por primera vez.

El rol de Looker Administrador a través de IAM, que se otorga automáticamente a los usuarios que tienen el rol de Administrador de Looker en el sistema de IAM, anula la duplicación de grupos. A los usuarios con el rol de administrador de Looker en el sistema de IAM se les asigna automáticamente el rol de administrador a través de IAM en Looker (Google Cloud Core), independientemente de las membresías de grupo que tengan. Además, estos usuarios se asignarán a grupos duplicados y recibirán roles y acceso a través del proceso de duplicación estándar.

Te recomendamos que habilites la duplicación de grupos solo para el método de autenticación principal de Looker (Google Cloud Core). Si usas OAuth como método de autenticación alternativo, no habilites la duplicación de grupos para OAuth. Si habilitas la duplicación de grupos para los métodos de autenticación principal y secundario, se producirán los siguientes comportamientos:

• Si un usuario tiene identidades combinadas, la duplicación de grupos coincidirá con el método de autenticación principal, independientemente del método de autenticación real que se use para acceder.
• Si un usuario no tiene identidades combinadas, la duplicación de grupos coincidirá con el método de autenticación que se usó para acceder.

Pasos para habilitar los grupos duplicados

Para habilitar la duplicación de grupos, completa los siguientes pasos:

1. En la consola de Google Cloud , habilita la API de Cloud Identity en el proyecto de Google Cloud que contiene tu cliente de OAuth. Debes tener el rol de IAM de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin) para habilitar las APIs.

   Habilitar la API

2. En la consola de Google Cloud , actualiza la pantalla de consentimiento del cliente de OAuth para agregar el permisohttps://www.googleapis.com/auth/cloud-identity.groups.readonly. Debes tener el permiso de IAM clientauthconfig.clients.update para agregar permisos. Para actualizar la pantalla de consentimiento, completa los siguientes pasos:

   • Navega al cliente de OAuth.
   • Elige la página Acceso a los datos.
   • Haz clic en el botón Agregar o quitar permisos. Se abrirá un panel Actualizar los permisos seleccionados.
   • Busca el permiso https://www.googleapis.com/auth/cloud-identity.groups.readonly y selecciona la casilla de verificación junto a él.
   • Haz clic en el botón Actualizar para agregar el alcance.

   • Cierra el panel y haz clic en Guardar en la página Acceso a los datos para guardar el alcance.

     Precaución: Si el campo Tipo de usuario de tu cliente de OAuth está configurado como Externo, debes completar la verificación de permisos restringidos para la app de OAuth. Hasta que Google verifique la app de OAuth, los usuarios podrán acceder, pero verán un mensaje de advertencia durante el proceso de acceso. Esto se debe a que la API de Cloud Identity es un permiso sensible.

3. En la instancia de Looker (Google Cloud Core), habilita el botón de activación Mirror Google Groups en la página Google Authentication. Este botón de activación está inhabilitado de forma predeterminada. Completa los siguientes campos:

   • En el campo Nombre del grupo de Looker, agrega un nombre para el grupo de Looker. Este es el nombre que aparecerá en la página Grupos en Looker (Google Cloud Core).
   • En el campo ID del Grupo de Google, ingresa el nombre o correo electrónico del Grupo de Google que deseas duplicar.
   • En el campo Rol, ingresa el rol o los roles de Looker que quieras asignar a los miembros de ese grupo.

Looker (Google Cloud Core) creará un grupo de Looker para cada Grupo de Google que se agregue a la página Autenticación de Google. Puedes ver esos grupos de Looker en la página Grupos de Looker (Google Cloud Core).

Nota: Looker (Google Cloud Core) solo recupera las membresías de grupos directas del usuario. No funcionará ninguna membresía transitiva o jerárquica asignada.

Cómo editar grupos replicados

Cuando realizas cambios en la membresía de un grupo de Google, esos cambios se propagan automáticamente a la membresía del grupo de Looker duplicado y se validan en el momento del próximo acceso de cada usuario.

Si editas los campos Nombre personalizado o Rol que se asignan a un grupo en la página Autenticación de Google, esto cambia la forma en que aparece el nombre del grupo de Looker duplicado en la página Grupos de Looker (Google Cloud Core) o los roles asignados al grupo, pero no cambia los miembros del grupo.

Si cambias el nombre o el correo electrónico en el campo ID del Grupo de Google de la página Autenticación de Google por el ID de un Grupo de Google nuevo, se cambiarán los miembros del grupo de Looker duplicado por los miembros del Grupo de Google nuevo, pero se mantendrán el nombre y los roles del grupo como se definen en la página Autenticación de Google.

Cualquier modificación que se realice en un grupo duplicado se aplicará a los usuarios de ese grupo la próxima vez que accedan a Looker (Google Cloud Core).

Cómo inhabilitar grupos duplicados

Si deseas dejar de duplicar tus grupos de Google en Looker (Google Cloud Core), inhabilita el botón de activación Duplicar grupos de Google en la página Autenticación de Google de la instancia de Looker (Google Cloud Core). Inhabilitar el botón de activación genera el siguiente comportamiento:

• Cualquier grupo de Google duplicado que no tenga usuarios se borrará de inmediato.
• Cualquier grupo de Google duplicado que sí contenga usuarios se marcará como huérfano. Si ningún usuario de este grupo se conecta en un plazo de 31 días, se borrará el grupo. Ya no se pueden agregar ni quitar usuarios de los grupos de Google huérfanos.

Administración avanzada de roles

Si el botón de activación Duplicar grupos de Google está habilitado, la página Autenticación de Google muestra la configuración de Administración avanzada de roles. Las opciones de esta sección determinan cuánta flexibilidad tienen los administradores de Looker cuando configuran los grupos y usuarios de Looker que se reflejaron desde Google.

Si deseas que la configuración de usuarios y grupos de Looker coincida estrictamente con la configuración de Google Groups, activa todas las opciones de Administración avanzada de roles. Cuando todas las opciones están habilitadas, los administradores de Looker no pueden modificar las membresías de grupos replicados y solo pueden asignar roles a los usuarios a través de Grupos de Google.

Precaución: Si activas parámetros de configuración más restrictivos, los usuarios perderán la pertenencia a grupos o los roles asignados que se configuraron directamente en Looker (Google Cloud Core). Esto ocurrirá la próxima vez que esos usuarios accedan a Looker (Google Cloud Core).

Si quieres tener más flexibilidad para personalizar tus grupos en Looker (Google Cloud Core), desactiva estas opciones. Tus grupos de Looker (Google Cloud Core) seguirán reflejando la configuración de tus Grupos de Google, pero podrás realizar tareas adicionales de administración de grupos y usuarios en Looker (Google Cloud Core), como agregar usuarios de Google a grupos de Looker o asignar roles de Looker directamente a usuarios de Google.

En el caso de la instancia de Looker (Google Cloud Core), estas opciones están desactivadas de forma predeterminada.

La sección Administración avanzada de roles contiene las siguientes opciones:

• Impedir que los usuarios individuales de Google reciban roles directos: Si activas esta opción, los administradores de Looker no podrán asignar roles de Looker directamente a los usuarios de Google. Los usuarios de Google recibirán roles solo a través de sus pertenencias a grupos. Si se permite que los usuarios de Google pertenezcan a grupos de Looker integrados (no replicados), estos podrán heredar sus roles tanto de los Grupos de Google replicados como de los grupos de Looker integrados. A los usuarios de Google a los que se les asignaron roles directamente, se les quitarán esos roles cuando vuelvan a acceder.

  Nota: El rol de Looker Administrador a través de IAM, que se otorga automáticamente a los usuarios que tienen el rol de IAM Administrador de Looker, anula la opción Impedir que los usuarios individuales de Google reciban roles directos. Los usuarios con el rol de IAM de administrador de Looker conservan el rol de Looker de administrador a través de IAM, independientemente del estado de esta opción. Sin embargo, si habilitas esta opción, los administradores de Looker no podrán asignar roles directamente.

  Si esta opción está desactivada, los administradores de Looker pueden asignar roles de Looker directamente a los usuarios de Google dentro de la instancia de Looker (Google Cloud Core).

• Impedir la pertenencia directa a grupos que no pertenecen a Google: Esta opción impide que los administradores de Looker agreguen miembros de grupos duplicados directamente a grupos integrados de Looker que no forman parte de la configuración del grupo duplicado en la página Autenticación de Google.

  Si se selecciona esta opción, los usuarios de Google que se hayan asignado previamente a grupos integrados de Looker se quitarán de esos grupos cuando vuelvan a acceder.

  Si esta opción no está marcada, los administradores de Looker pueden agregar usuarios de Google directamente a los grupos integrados de Looker.

• Evitar la herencia de roles de grupos que no son de Google: Esta opción evita que los miembros de los grupos duplicados hereden roles de los grupos integrados de Looker. Si se permite que los Grupos de Google replicados sean miembros de grupos integrados de Looker, los usuarios de Google pueden conservar la membresía en cualquier grupo integrado de Looker. Los usuarios de Google que anteriormente heredaron roles de un grupo integrado de Looker perderán esos roles la próxima vez que accedan.

  Si esta opción está desactivada, los grupos duplicados o los usuarios de Google que se agreguen como miembros de un grupo integrado de Looker heredarán los roles asignados al grupo integrado de Looker.

• La autenticación requiere un rol: Si esta opción está activada, los usuarios de Google deben tener asignado un rol de Looker. Los usuarios de Google que no tengan un rol asignado no podrán acceder a Looker (Google Cloud Core).

  Si esta opción está desactivada, los usuarios de Google pueden autenticarse en Looker (Google Cloud Core) incluso si no tienen ningún rol asignado. Un usuario sin un rol asignado no podrá ver ningún dato ni realizar ninguna acción en Looker (Google Cloud Core), pero podrá acceder a Looker (Google Cloud Core).

Establece un rol de Looker predeterminado

Nota: El rol predeterminado de Looker se otorgará cuando se acceda por primera vez. Los cambios en el rol de IAM del usuario después del primer acceso no cambiarán ni quitarán el rol de Looker que se asignó de forma predeterminada.

Si el botón de activación Duplicar Grupos de Google está inhabilitado, el parámetro de configuración Roles para usuarios nuevos aparecerá en la página Autenticación de Google. Este parámetro de configuración te permite establecer el rol de Looker predeterminado que se otorgará a las cuentas de usuario con el rol de IAM de Usuario de instancia de Looker (roles/looker.instanceUser) o el rol de IAM de Visualizador de Looker (roles/looker.viewer) cuando accedan por primera vez a una instancia de Looker (Google Cloud Core). Para establecer un rol predeterminado, sigue estos pasos:

1. Navega a la página Autenticación de Google en la sección Autenticación del menú Administrador.
2. En el parámetro de configuración Roles para usuarios nuevos, selecciona el rol que deseas otorgar a todos los usuarios nuevos de forma predeterminada. El parámetro de configuración contiene una lista de todos los roles predeterminados y roles personalizados dentro de la instancia de Looker (Google Cloud Core).

Los roles de administrador no pueden ser roles predeterminados. A las cuentas de usuario con un rol de IAM de administrador de Looker (roles/looker.admin) se les otorgará el rol de Looker de administrador a través de IAM cuando accedan por primera vez, además del rol que se selecciona en el parámetro de configuración Roles para usuarios nuevos.

Si habilitas el botón de activación Duplicar Grupos de Google después de personalizar el parámetro de configuración Roles para usuarios nuevos, los roles que se asignen a los usuarios a través del parámetro de configuración Roles para usuarios nuevos se quitarán cuando vuelvan a acceder y se reemplazarán por los roles asignados a través del parámetro de configuración Duplicar Grupos de Google.

Probar la autenticación de usuarios

Haz clic en el botón Probar la autenticación de Google para probar tu configuración. Las pruebas redireccionarán al servidor de OAuth de Google y abrirán una pestaña del navegador. En la pestaña, se muestra la siguiente información:

• Indica si Looker (Google Cloud Core) pudo comunicarse con el servidor y realizar la validación.
• La información del usuario que Looker (Google Cloud Core) obtiene del servidor. Debes validar que el servidor devuelva los resultados adecuados.
• Un registro de seguimiento para mostrar cómo se encontró la información Usa el registro para solucionar problemas si la información es incorrecta. Si necesitas información adicional, puedes leer el archivo XML sin procesar del servidor.
• Las versiones decodificada y sin procesar del token de ID recibido. Se pueden usar para confirmar los detalles del usuario y la configuración de Google.

Cómo guardar y aplicar la configuración

Cuando termines de ingresar la información y todas las pruebas se hayan completado correctamente, selecciona la casilla de verificación Confirmé la configuración anterior y quiero habilitar su aplicación global y haz clic en Enviar para guardar.

Cómo agregar usuarios a una instancia de Looker (Google Cloud Core)

Nota: El acceso a la instancia de Looker (Google Cloud Core) se otorga a través de IAM. Sin embargo, las cuentas de usuario de Looker no se crean hasta que los usuarios aceptan la pantalla de consentimiento de OAuth y acceden a la instancia.

Una vez que se crea una instancia de Looker (Google Cloud Core), se pueden agregar usuarios a través de IAM. Para agregar usuarios, sigue estos pasos:

1. Asegúrate de tener el rol de administrador de IAM del proyecto o otro rol que te permita administrar el acceso de IAM.

2. Navega al proyecto de la consola de Google Cloud en el que reside la instancia de Looker (Google Cloud Core).

   Nota: Los roles de IAM son globales dentro de un proyecto. Si hay más de una instancia de Looker (Google Cloud Core) en un proyecto, los roles de IAM que se otorgan en ese proyecto se aplicarán a todas las instancias de Looker (Google Cloud Core) que residan allí.

3. Navega a la sección IAM y administración > IAM de la consola de Google Cloud .

4. Selecciona Otorgar acceso.

5. En la sección Agregar principales, agrega una o más de las siguientes opciones:

   • Un correo electrónico de la Cuenta de Google
   • Un Grupo de Google
   • Un dominio de Google Workspace

6. En la sección Asignar roles, selecciona uno de los roles de IAM predefinidos de Looker (Google Cloud Core) o un rol personalizado que hayas agregado.

7. Haz clic en Guardar.

8. Comunica a los usuarios nuevos de Looker (Google Cloud Core) que se les otorgó acceso y dirígelos a la URL de la instancia. Desde allí, pueden acceder a la instancia, momento en el que se crearán sus cuentas. No se enviará ninguna comunicación automatizada.

Si cambias el rol de IAM de un usuario, este se propaga a la instancia de Looker (Google Cloud Core) en unos minutos. Si hay una cuenta de usuario de Looker existente, el rol de Looker de ese usuario no cambia.

Todos los usuarios se deben aprovisionar con los pasos de IAM descritos anteriormente, con una excepción: puedes crear cuentas de servicio solo para la API de Looker dentro de la instancia de Looker (Google Cloud Core).

Accede a Looker (Google Cloud core) con OAuth

La primera vez que los usuarios acceden, se les solicita que accedan con su Cuenta de Google. Cada usuario debe usar la misma cuenta que el administrador de Looker indicó en el campo Agregar principales cuando le otorgó acceso. Los usuarios verán la pantalla de consentimiento de OAuth que se configuró durante la creación del cliente de OAuth. Después de que los usuarios aceptan la pantalla de consentimiento, se crean sus cuentas en la instancia de Looker (Google Cloud Core) y se accede a ellas.

Después de eso, los usuarios accederán automáticamente a Looker (Google Cloud Core), a menos que su autorización venza o el usuario la revoque. En esos casos, los usuarios volverán a ver la pantalla de consentimiento de OAuth y se les pedirá que den su consentimiento para la autorización.

Es posible que a algunos usuarios se les asignen credenciales de API para recuperar un token de acceso a la API. Si la autorización de esos usuarios vence o se revoca, sus credenciales de API dejarán de funcionar. Los tokens de acceso a la API actuales también dejarán de funcionar. Para resolver el problema, el usuario debe volver a autorizar sus credenciales accediendo nuevamente a la IU de Looker (Google Cloud Core) para cada instancia de Looker (Google Cloud Core) afectada. Como alternativa, el uso de cuentas de servicio solo para APIs ayuda a evitar un error de autorización de credenciales para los tokens de acceso a la API.

Cómo quitar el acceso de OAuth a Looker (Google Cloud Core)

Importante: Se recomienda quitar el acceso a una instancia de Looker (Google Cloud Core) con IAM en lugar de hacerlo desde la instancia.

Si tienes un rol que te permite administrar el acceso a IAM, puedes quitar el acceso a una instancia de Looker (Google Cloud Core) revocando el rol de IAM que otorgó el acceso. Si quitas el rol de IAM de una cuenta de usuario, ese cambio se propaga a la instancia de Looker (Google Cloud Core) en unos minutos. El usuario ya no podrá autenticarse en la instancia. Sin embargo, la cuenta de usuario seguirá apareciendo como activa en la página Usuarios. Para quitar la cuenta de usuario de la página Usuarios, borra el usuario dentro de la instancia de Looker (Google Cloud Core).

Cómo usar OAuth como método de autenticación alternativo

Si usas otro método de autenticación, como la federación de identidades de personal, SAML o OpenID Connect (OIDC), puedes configurar Google OAuth como un método de autenticación secundario o de copia de seguridad. Esta configuración garantiza que los usuarios y administradores puedan autenticarse con Cuentas de Google si no pueden acceder al proveedor de identidad principal.

Configura OAuth como copia de seguridad para SAML o OIDC

OAuth es el método de autenticación alternativo cuando SAML o OIDC son los métodos de autenticación principales.

Para configurar un OAuth como método de copia de seguridad, otorga a cada usuario de Looker (Google Cloud Core) el rol de IAM adecuado para acceder a la instancia.

Configura OAuth como el método secundario para la federación de identidades de personal

De manera opcional, se puede configurar OAuth como el método de autenticación secundario para la federación de identidades de personal. Para configurar OAuth como el método de autenticación secundario, edita la instancia para habilitar el parámetro de configuración Habilitar OAuth secundario.

Accede con OAuth

Una vez que se configura el método alternativo, los usuarios pueden acceder a él siguiendo estos pasos:

1. Selecciona Autentica con Google en la página de acceso.
2. Aparecerá un diálogo para confirmar la autenticación de Google. Selecciona Confirmar en el diálogo.

Luego, los usuarios pueden acceder con sus Cuentas de Google. Cuando accedan por primera vez con OAuth, se les solicitará que acepten la pantalla de consentimiento de OAuth que se configuró durante la creación de la instancia.

¿Qué sigue?

• Conecta Looker (Google Cloud Core) a tu base de datos
• Configura una instancia de Looker (Google Cloud core)
• Configuración de administrador de Looker (Google Cloud Core)
• Administra una instancia de Looker (Google Cloud Core) desde la consola de Google Cloud