Looker (Google Cloud Core) 的用户身份验证方法

如需安全地控制对 Looker (Google Cloud Core) 实例及其数据的访问权限，您可以通过各种身份提供方对用户进行身份验证。这些方法可帮助您将 Looker (Google Cloud Core) 集成到现有的身份管理系统中，确保经过授权的用户可以访问 Looker (Google Cloud Core)。

主要身份验证方法

创建 Looker (Google Cloud Core) 实例时，您可以选择以下一种 主要身份验证方法：

  • Google OAuth（默认）： 使用 Google 账号（例如 Google Workspace 或 Cloud Identity）对用户进行身份验证。
  • 员工身份联合： 使用外部企业身份提供方 (IdP)（例如 Microsoft Entra ID、Okta 或 PingIdentity）对用户进行身份验证，而无需您为每个用户管理 Google 账号。

为什么要在创建实例期间选择主要身份验证方法

与 SAML 或 OpenID Connect 等应用内身份验证方法不同，Google OAuth 和员工身份联合直接与 Google Cloud 基础架构级别的 Identity and Access Management (IAM) 集成。

出于以下原因，您需要在创建实例期间选择主要身份验证方法：

  • IAM 访问权限控制： Google Cloud 为实例预配专用身份验证凭据，并验证用户是否具有所需的 IAM 权限（例如 roles/looker.instanceUser），然后才允许他们访问实例。
  • 初始管理员访问权限（引导）： 创建新实例时，应用内不存在任何用户或第三方 IdP 设置。主要身份验证方法允许管理员首次登录以设置实例和配置权限。
  • 备份访问权限（紧急情况）： 如果您稍后配置了应用内 SAML 或 OpenID Connect，并且该配置遇到问题（例如证书过期或网络配置错误），则主要身份验证方法会提供安全备份，以便管理员仍可以登录并解决问题。

应用内身份验证方法

创建 Looker (Google Cloud Core) 实例后，您可以选择从 Looker 管理员设置中配置应用内身份验证。不过，如需使用应用内身份验证方法，您必须选择 Google OAuth 作为实例的主要身份验证方法。以下应用内身份验证方法可用：

后续步骤