Mitarbeiteridentitätsföderation für die Nutzerauthentifizierung von Looker (Google Cloud Core) verwenden

Mit der Mitarbeiteridentitätsföderation können Sie einen externen Identitätsanbieter (Identity Provider, IdP) verwenden, um Nutzer und Nutzergruppen in einer Looker-Instanz (Google Cloud Core) zu authentifizieren. Durch die Verwendung der Mitarbeiteridentitätsföderation können Nutzer in Ihrer Organisation Single Sign-On (SSO) verwenden, um auf Looker (Google Cloud Core) zuzugreifen, ohne dass Sie für jeden Nutzer Google-Konten (Cloud Identity- oder Google Workspace-Konten) bereitstellen oder synchronisieren müssen.

Die Mitarbeiteridentitätsföderation unterstützt externe IdPs, die OpenID Connect (OIDC) oder SAML 2.0, z. B. Microsoft Entra ID (ehemals Azure AD), Okta und PingIdentity verwenden.

Während der Vorschau der Funktion werden nur Looker-Instanzen (Google Cloud Core) unterstützt, die öffentliche sichere Verbindungen verwenden.

Funktionsweise der Mitarbeiteridentitätsföderation mit Looker (Google Cloud Core)

Wenn Sie die Mitarbeiteridentitätsföderation für eine Looker-Instanz (Google Cloud Core) konfigurieren, geschieht Folgendes:

  1. Authentifizierung:Ein Nutzer ruft die URL Ihrer Looker-Instanz (Google Cloud Core) auf. Wenn die Einstellung Anmeldeseite umgehen aktiviert ist, wird der Nutzer automatisch zum Google Cloud Anmeldeportal (https://auth.cloud.google/authorize) weitergeleitet, das ihn zur Authentifizierung an Ihren externen IdP weiterleitet.
  2. Token-Austausch: Nachdem sich der Nutzer bei Ihrem IdP authentifiziert hat, gibt Ihr IdP eine Authentifizierungsbestätigung an den Google Cloud Security Token Service (STS) zurück. STS tauscht die Bestätigung gegen ein föderiertes Zugriffstoken und ein ID-Token ein.
  3. Autorisierung:Looker (Google Cloud Core) prüft, ob das föderierte Hauptkonto die erforderliche IAM-Berechtigung (Identity and Access Management) (looker.instances.login) für die Instanz hat.
  4. Bereitstellung und Rollenzuweisung:Looker (Google Cloud Core) erstellt das Nutzerkonto bei der ersten Anmeldung (Just-in-time-Bereitstellung) und wendet Zuordnungen von Gruppen zu Rollen und Nutzerattribute an, die auf den Ansprüchen basieren, die von Ihrem IdP empfangen werden.

Hinweis

Bevor Sie die Mitarbeiteridentitätsföderation für Looker (Google Cloud Core) konfigurieren, prüfen Sie, ob Sie die folgenden Rollen und Konfigurationen haben:

Erforderliche IAM-Rollen

Zum Konfigurieren der Mitarbeiteridentitätsföderation und zum Erstellen von Looker-Instanzen (Google Cloud Core) benötigen Sie die folgenden Rollen:

Erforderliche APIs

Aktivieren Sie die folgenden APIs in Ihrem Google Cloud Projekt:

Schritt 1: Mitarbeiteridentitätspool und ‑anbieter einrichten

Mitarbeiteridentitätspools und ‑anbieter werden auf der Google Cloud Organisationsebene und nicht auf Projektebene erstellt.

Führen Sie die folgenden Schritte aus, um einen Mitarbeiteridentitätspool und ‑anbieter einzurichten:

  1. Erstellen Sie einen Mitarbeiteridentitätspool. Folgen Sie dazu der Anleitung auf der Dokumentationsseite Mitarbeiteridentitätsföderation konfigurieren .
  2. Erstellen Sie einen Anbieter für den Mitarbeiteridentitätspool für Ihren OIDC- oder SAML 2.0-IdP:
    • Informationen zu OIDC-Anbietern finden Sie unter OIDC-Mitarbeiteridentität sföderation konfigurieren.
    • Informationen zu SAML-Anbietern finden Sie unter SAML 2.0-Mitarbeiteridentität sföderation konfigurieren.
    • Definieren Sie die folgenden Attributzuordnungen sofort bei der Erstellung des Anbieters:
      • E‑Mail:Ordnen Sie den E‑Mail-Anspruch Ihres IdP google.email zu. Diese Zuordnung ist für die Nutzeridentifizierung erforderlich. Wenn sie fehlt, schlägt die Authentifizierung fehl.
      • Vor- und Nachname:Ordnen Sie die Ansprüche für den Vornamen und Nachnamen Ihres IdP attribute.given_name (Vorname) und attribute.family_name (Nachname) zu. Diese Zuordnungen sind erforderlich , um Looker-Nutzerprofile zu füllen. Wenn sie fehlen, schlägt die Authentifizierung fehl.

  3. Optional können Sie auch die folgenden Attributzuordnungen konfigurieren:

    • Gruppen:Ordnen Sie den Gruppenanspruch Ihres IdP (z. B. assertion.groups) google.groups zu. Diese Zuordnung ist erforderlich, wenn Sie die Gruppen spiegelung aktivieren und IdP-Gruppen Looker-Rollen zuordnen möchten. Achten Sie bei OIDC-Anbietern darauf, dass in Ihrer Anbieterkonfiguration auch der Bereich groups angefordert wird, wenn Ihr IdP dies erfordert. Weitere Informationen finden Sie unter Mitarbeiteridentitätsföderation für IdP-spezifische Anforderungen konfigurieren.
    • Benutzerdefinierte Attribute: Ordnen Sie benutzerdefinierte IdP-Ansprüche attribute.<attribute_name> zu. Sie können diese zugeordneten Attribute in Looker (Google Cloud Core) verwenden, um Datenbankverbindungen zu parametrisieren und Filter für den Datenzugriff auf Zeilenebene anzuwenden.

Erweiterte Sitzungsdauer und Hintergrundsynchronisierung konfigurieren

Führen Sie die folgenden Schritte aus, um ununterbrochene Browsersitzungen, lange geplante Auslieferungen, API-Schlüsselzugriff für Nutzer und Connector-Integrationen zu unterstützen:

  1. Konfigurieren Sie die Hintergrundsynchronisierung von Attributen für Ihren Anbieter für Mitarbeiteridentitätspools , damit Google Cloud Nutzerattribute und Gruppenmitgliedschaften regelmäßig im Hintergrund aktualisiert werden können:
    • Für OIDC-Anbieter: Konfigurieren Sie entweder den OIDC-Autorisierungscode Vorgang mit dem offline_access Bereich (der Aktualisierungstokens verwendet, um Nutzerattribute und Gruppenmitgliedschaften regelmäßig zu aktualisieren) oder die SCIM 2.0-Bereitstellung. Wenn Nutzer einer großen Anzahl von Gruppen angehören, die die Größenbeschränkungen für OIDC-Tokens überschreiten, konfigurieren Sie die SCIM 2.0-Bereitstellung, um Gruppenmitgliedschaften mitzu synchronisieren Google Cloud.
    • Für SAML-Anbieter: Konfigurieren Sie die SCIM 2.0-Bereitstellung für Ihren Anbieter für Mitarbeiteridentitätspools. Da SAML-Bestätigungen keine Aktualisierungstokens nativ bereitstellen, ist SCIM 2.0 erforderlich, um geplante Offline-Auslieferungen und ‑Benachrichtigungen zu aktivieren.

  2. Konfigurieren Sie mit Cloud-Bindungen von Access Context Manager eine Richtlinie für die erweiterte Sitzungsdauer für Ihren Mitarbeiteridentitätspool und legen Sie die Richtlinie auf 90 Tage (7.776.000 Sekunden) fest.

    Mit dieser Richtlinie wird die maximale Sitzungsdauer und die Gültigkeit des Aktualisierungstokens auf 90 Tage festgelegt. Wenn keine Richtlinie für die erweiterte Sitzungsdauer konfiguriert ist oder auf eine kürzere Dauer festgelegt ist, hat die Gültigkeit des Aktualisierungstokens des Mitarbeiteridentitätspools Vorrang vor den Einstellungen für die Sitzungsdauer von Looker, was dazu führt, dass für Browsersitzungen, Offline-Zeitpläne, API-Schlüssel für Nutzer und verbundene Anwendungen eine erneute Authentifizierung erforderlich ist, wenn das Aktualisierungstoken abläuft.

Schritt 2: IAM-Berechtigungen für Mitarbeiterhauptkonten gewähren

Damit sich Mitarbeiter in Ihrer Looker-Instanz (Google Cloud Core) anmelden können, gewähren Sie Ihren Mitarbeiterhauptkonten oder ‑gruppen die IAM-Rolle Looker-Instanznutzer (roles/looker.instanceUser) oder Looker-Administrator (roles/looker.admin).

Sie können einzelnen Nutzern, ganzen Gruppen oder allen Hauptkonten in einem Mitarbeiteridentitätspool Rollen zuweisen. Verwenden Sie dazu die folgenden Hauptkonto-IDs:

  • Einzelner Mitarbeiter : 

    principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_ID

  • Mitarbeitergruppe : 

    principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID

  • Alle Hauptkonten in einem Mitarbeiteridentitätspool : 

    principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/*

Weitere Informationen zum Zuweisen von IAM-Rollen finden Sie auf der Dokumentationsseite Zugriffssteuerung mit IAM für Looker (Google Cloud Core).

Schritt 3: Mitarbeiteridentitätsföderation als primäre Authentifizierungsmethode auswählen

Sie können die Mitarbeiteridentitätsföderation als primäre Authentifizierungsmethode auswählen, wenn Sie eine neue Looker-Instanz (Google Cloud Core) erstellen oder eine vorhandene Instanz bearbeiten.

Bei der Instanzerstellung

Wenn Sie eine neue Looker-Instanz (Google Cloud Core) erstellen, können Sie die Mitarbeiteridentitätsföderation als primäre Authentifizierungsmethode auswählen:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Looker (Google Cloud Core) auf.

    Zu Looker (Google Cloud Core)

  2. Klicken Sie auf INSTANZ ERSTELLEN.
  3. Konfigurieren Sie den Instanznamen, die Region und die Edition wie in der Dokumentation zum Erstellen von Instanzen beschrieben, die öffentliche sichere Verbindungen, Private Service Connect-Verbindungen oder Verbindungen für den Zugriff auf private Dienste verwenden.
  4. Wählen Sie im Abschnitt Authentifizierung die Option Mitarbeiteridentitätsföderation (SAML/OIDC) als primäre Authentifizierungsmethode aus.
  5. Klicken Sie auf Erstellen.

Wenn Sie OAuth als sekundäre Authentifizierungsmethode festlegen möchten, bearbeiten Sie die Instanzkonfiguration, nachdem die Instanz erstellt wurde.

Beim Bearbeiten einer vorhandenen Instanz

Wenn Sie eine vorhandene Looker-Instanz (Google Cloud Core) haben, können Sie die Instanzkonfiguration bearbeiten, um die Mitarbeiteridentitätsföderation als primäre Authentifizierungsmethode auszuwählen oder OAuth als sekundäre Authentifizierungsmethode festzulegen:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Looker (Google Cloud Core) auf.

    Zu Looker (Google Cloud Core)

  2. Klicken Sie auf den Namen der Instanz, die Sie bearbeiten möchten.
  3. Klicken Sie auf dem Tab Details der Instanz auf Bearbeiten.
  4. Wählen Sie im Abschnitt Authentifizierung die Option Mitarbeiteridentitätsföderation (SAML/OIDC) als primäre Authentifizierungsmethode aus.
  5. Optional: Aktivieren Sie die Option Sekundäres OAuth aktivieren, um OAuth als sekundäre Authentifizierungsmethode zuzulassen.
  6. Klicken Sie auf Speichern.

Schritt 4: Einstellungen für die Mitarbeiteridentität in Looker konfigurieren

Nachdem Ihre Looker-Instanz (Google Cloud Core) erstellt wurde, kann ein Administrator im Looker-Adminbereich auf der Seite Mitarbeiterauthentifizierung Zuordnungen von Nutzerattributen, die Gruppenspiegelung und Anmeldeoptionen konfigurieren.

  1. Melden Sie sich mit einem Konto mit der Looker-Rolle Administrator in Ihrer Looker-Instanz (Google Cloud Core) an.
  2. Wählen Sie im linken Navigationsmenü Admin > Authentifizierung > Mitarbeiteridentität aus.
  3. Konfigurieren Sie die Einstellungen, die in den folgenden Abschnitten beschrieben werden.

Weitere Informationen zu den folgenden Einstellungen finden Sie in der Dokumentation auf der Seite Mitarbeiterauthentifizierung.

Nutzerkonten zusammenführen

Wählen Sie im Feld Nutzer zusammenführen mit die Authentifizierungssysteme aus, aus denen vorhandene Nutzerkonten zusammengeführt werden sollen, wenn sich ein Nutzer zum ersten Mal mit der Mitarbeiteridentitätsföderation anmeldet.

Folgende Systeme werden für das Zusammenführen unterstützt:

  • Google
  • SAML
  • OIDC

Anmeldeseite umgehen

Mit der Option Anmeldeseite umgehen wird gesteuert, ob nicht authentifizierte Nutzer automatisch zum SSO-Portal Ihres Unternehmens weitergeleitet werden:

  • Aktiviert (Standard) : Wenn Nutzer die URL Ihrer Instanz aufrufen, werden sie automatisch zum Anmeldebildschirm Ihres IdP weitergeleitet, ohne die Looker-Anmeldeseite zu sehen.
  • Deaktiviert:Nutzer sehen die Looker-Anmeldeseite und können zwischen den verfügbaren Authentifizierungsoptionen wählen.

Klicken Sie auf Konfiguration speichern , um Ihre Einstellungen anzuwenden.

Zuordnung von Nutzerattributen

Ordnen Sie Ansprüche aus Ihrer IdP-Bestätigung Looker-Nutzerattributen zu. Nutzerattribute können für viele Dinge verwendet werden, z. B. zum Parametrisieren von Datenbankverbindungen und zum Anwenden von Sicherheitsfiltern auf Zeilenebene.

  • Ordnen Sie im Abschnitt Attributzuordnung Google-Mitarbeiterattribute entsprechenden Looker-Nutzerattributen zu (z. B. attribute.department einem department Nutzerattribut in Looker).

Gruppen und Rollen

Sie können Nutzerrollen über die Gruppenspiegelung oder Standardrollenzuweisungen verwalten:

  • Gruppen vom IdP spiegeln:Wenn diese Einstellung aktiviert ist, erstellt Looker (Google Cloud Core) Looker-Gruppen, die Gruppen spiegeln, die in der IdP-Tokenbestätigung übergeben werden.
    • Ordnen Sie in der Tabelle Gruppenzuordnung externe IdP-Gruppennamen Looker-Gruppen zu und weisen Sie entsprechende Looker-Rollen zu (z. B. Betrachter, Nutzer oder Entwickler).
  • Standardrolle für neue Nutzer:Wenn die Gruppenspiegelung nicht verwendet wird oder kein Nutzer zugeordnet werden kann, geben Sie die Standardrolle an, die neuen Nutzern bei der ersten Anmeldung gewährt werden soll.
  • Standardgruppe für neue Nutzer:Wenn die Gruppenspiegelung nicht verwendet wird oder kein Nutzer zugeordnet werden kann, geben Sie die Standardgruppe an, die neuen Nutzern zugewiesen werden soll.

Sitzungsverwaltung und Tokengültigkeit

Nutzersitzungen und ‑tokens in Looker (Google Cloud Core) unterliegen der Sitzungsdauer und der Gültigkeit des Aktualisierungstokens, die in Ihrer Richtlinie für den Mitarbeiteridentitätspool konfiguriert sind (z. B. eine Richtlinie für die erweiterte Sitzungsdauer):

  • Browsersitzungen: Looker Einstellungen für die Sitzungsdauer unterstützen Sitzungen von bis zu 30 Tagen, wenn persistente Sitzungen verwendet werden. Die Gültigkeit des Aktualisierungstokens des Mitarbeiteridentitätspools hat jedoch Vorrang, wenn sie kürzer ist als die in Looker konfigurierte Sitzungsdauer. Wenn das Aktualisierungstoken abläuft, muss sich der Nutzer noch einmal anmelden. Wir empfehlen, in Ihrer Richtlinie für die erweiterte Sitzungsdauer eine Gültigkeit des Aktualisierungstokens von 90 Tagen festzulegen.
  • Geplante Auslieferungen und Benachrichtigungen (Offline-Jobs) : Hintergrundjobs werden so lange ausgeführt, wie der Zeitplaninhaber ein aktives IdP-Token hat. Wenn sich ein Zeitplan- oder Benachrichtigungsersteller länger als 90 Tage (oder die in der Sitzungsrichtlinie Ihres Mitarbeiteridentitätspools konfigurierte Dauer) nicht in der Instanz anmeldet, läuft seine Offline-Sitzung ab und geplante Auslieferungen oder Benachrichtigungen, die diesem Nutzer gehören, werden pausiert. Um pausierte Zeitpläne oder Benachrichtigungen fortzusetzen, muss sich der Inhaber in der Instanz anmelden oder ein Administrator muss die Zeitplaninhaberschaft zuweisen.
  • Looker-OAuth-Server und ‑Connectors:Integrationen, die den Looker-OAuth-Server verwenden (z. B. Data Studio, Connected Sheets und Drittanbieter-Connectors), verwenden ein Aktualisierungstoken mit einer Gültigkeit von 30 Tagen (oder ein Aktualisierungstoken ohne Ablaufdatum in Data Studio). Wenn die Sitzungsdauer des Mitarbeiteridentitätspools auf weniger als 90 Tage festgelegt ist, müssen sich Nutzer möglicherweise noch einmal bei Looker authentifizieren, wenn die Sitzungsdauer abläuft.
  • API-Schlüssel für Nutzer:API-Zugriffstokens, die von API-Schlüsseln für Nutzer generiert werden, sind 1 Stunde lang gültig und erfordern eine aktive IdP-Sitzung des Nutzers. Wenn die IdP-Sitzung des Nutzers abläuft (alle 90 Tage oder basierend auf der Sitzungsdauer des Mitarbeiteridentitätspools), muss sich der Nutzer noch einmal in der Instanz anmelden, um seine API-Schlüssel weiter verwenden zu können.
  • API-Schlüssel für Dienstkonten:Die Sitzungsrichtlinien für Mitarbeiteridentitätspools haben keine Auswirkungen auf API-Zugriffstokens für Dienstkonten.

Nächste Schritte