Looker（Google Cloud コア）のユーザー認証方法

Looker（Google Cloud コア）インスタンスとそのデータへのアクセスを安全に制御するには、さまざまな ID プロバイダを使用してユーザーを認証します。これらの方法を使用すると、Looker（Google Cloud コア）を既存の ID 管理システムに統合し、承認されたユーザーが Looker（Google Cloud コア）にアクセスできるようにします。

プライマリ認証方法

Looker（Google Cloud コア）インスタンスを作成するときに、次のプライマリ認証方法 のいずれかを選択します。

  • Google OAuth（デフォルト）: Google アカウント（Google Workspace や Cloud Identity など）を使用してユーザーを認証します。
  • Workforce Identity 連携: 外部エンタープライズ ID プロバイダ（Microsoft Entra ID、Okta、PingIdentity など）を使用してユーザーを認証します。ユーザーごとに Google アカウントを管理する必要はありません。

インスタンスの作成時にプライマリ認証方法を選択する理由

SAML や OpenID Connect などのアプリ内認証方法とは異なり、Google OAuth と Workforce Identity 連携は、インフラストラクチャ Google Cloud レベルで Identity and Access Management（IAM）と直接統合されます。

インスタンスの作成時にプライマリ認証方法を選択する必要がある理由は次のとおりです。

  • IAM アクセス制御: Google Cloud インスタンス専用の認証情報がプロビジョニングされ、ユーザーがインスタンスにアクセスする前に、必要な IAM 権限（roles/looker.instanceUser など）があることが確認されます。
  • 最初の管理者アクセス（ブートストラップ）: 新しいインスタンスが作成されたとき、アプリケーション内にユーザーやサードパーティの IdP 設定は存在しません。プライマリ認証方法を使用すると、管理者は初めてログインしてインスタンスを設定し、権限を構成できます。
  • バックアップ アクセス（ブレークグラス）: 後でアプリ内 SAML または OpenID Connect を構成し、その構成で問題（証明書の有効期限切れやネットワークの構成ミスなど）が発生した場合、プライマリ認証方法で安全なバックアップが提供されるため、管理者はログインして問題を修正できます。

アプリ内認証方法

Looker（Google Cloud コア）インスタンスを作成したら、必要に応じて Looker 管理設定からアプリ内認証を構成できます。ただし、アプリ内認証方法を使用するには、インスタンスのプライマリ認証方法として Google OAuth を選択する必要があります。次のアプリ内認証方法を使用できます。

次のステップ