Usa la federación de identidades de personal para la autenticación de usuarios de Looker (Google Cloud Core)

La federación de identidades de personal te permite usar un proveedor de identidad externo (IdP) para autenticar a usuarios y grupos de usuarios en una instancia de Looker (Google Cloud Core). Si usas la federación de identidades de personal, los usuarios de tu organización pueden usar el inicio de sesión único (SSO) para acceder a Looker (Google Cloud Core) sin que tengas que aprovisionar ni sincronizar Cuentas de Google (cuentas de Cloud Identity o Google Workspace) para cada usuario.

La federación de identidades de personal admite IdPs externos que usan OpenID Connect (OIDC) o SAML 2.0, como Microsoft Entra ID (antes Azure AD), Okta, PingIdentity y otros.

Durante la vista previa de la función, solo se admiten las instancias de Looker (Google Cloud Core) que usan conexiones seguras públicas.

Cómo funciona la federación de identidades de personal con Looker (Google Cloud Core)

Cuando configuras la federación de identidades de personal para una instancia de Looker (Google Cloud Core), se produce el siguiente proceso:

  1. Autenticación: Un usuario navega a la URL de tu instancia de Looker (Google Cloud Core). Si el parámetro de configuración Omitir la página de acceso está habilitado, el usuario se redirecciona automáticamente al Google Cloud portal de acceso (https://auth.cloud.google/authorize), que lo redirecciona a tu IdP externo para la autenticación.
  2. Intercambio de tokens: Después de que el usuario se autentica con tu IdP, este muestra una aserción de autenticación al Google Cloud servicio de tokens de seguridad (STS). STS intercambia la aserción por un token de acceso federado y un token de ID.
  3. Autorización: Looker (Google Cloud Core) verifica que la entidad de seguridad federada tenga el permiso de Identity and Access Management (IAM) (looker.instances.login) requerido en la instancia.
  4. Aprovisionamiento y asignación de roles: Looker (Google Cloud Core) crea la cuenta de usuario en el primer acceso (aprovisionamiento justo a tiempo) y aplica asignaciones de grupo a rol y atributos de usuario que se basan en las reclamaciones que recibe de tu IdP.

Antes de comenzar

Antes de configurar la federación de identidades de personal para Looker (Google Cloud Core), asegúrate de tener los siguientes roles y configuraciones:

Roles de IAM obligatorios

Para configurar la federación de identidades de personal y crear instancias de Looker (Google Cloud Core), necesitas los siguientes roles:

APIs requeridas

Habilita las siguientes APIs en tu Google Cloud proyecto:

Paso 1: Configura un proveedor y un grupo de identidades de personal

Los proveedores y grupos de identidades de personal se crean a nivel de la Google Cloud organización, no del proyecto.

Sigue estos pasos para configurar un proveedor y un grupo de identidades de personal:

  1. Para crear un grupo de identidades de personal, sigue las instrucciones de la página de documentación Configura la federación de identidades de personal.
  2. Crea un proveedor de grupos de identidades de personal para tu IdP de OIDC o SAML 2.0:
    • Para los proveedores de OIDC, consulta Configura la federación de identidades de personal de OIDC.
    • Para los proveedores de SAML, consulta Configura la federación de identidades de personal de SAML 2.0.
    • Define las siguientes asignaciones de atributos de inmediato durante la creación del proveedor:
      • Correo electrónico: Asigna la reclamación de correo electrónico de tu IdP a google.email. Esta asignación es obligatoria para la identificación del usuario. La autenticación fallará si falta esta asignación.
      • Nombre y apellido: Asigna las reclamaciones de nombre y apellido de tu IdP a attribute.given_name (nombre) y attribute.family_name (apellido). Estas asignaciones son obligatorias para propagar los perfiles de usuario de Looker. La autenticación fallará si faltan estas asignaciones.

  3. De manera opcional, también puedes configurar las siguientes asignaciones de atributos:

    • Grupos: Asigna la reclamación de grupo de tu IdP (por ejemplo, assertion.groups) a google.groups. Esta asignación es obligatoria si planeas habilitar la duplicación de grupos y asignar grupos de IdP a roles de Looker. Para los proveedores de OIDC, asegúrate de que la configuración de tu proveedor también solicite el alcance groups si tu IdP lo requiere (consulta Configura la federación de identidades de personal para conocer los requisitos específicos del IdP).
    • Atributos personalizados: Asigna reclamaciones de IdP personalizadas a attribute.<attribute_name>. Puedes usar estos atributos asignados en Looker (Google Cloud Core) para parametrizar las conexiones de bases de datos y aplicar filtros de acceso a datos a nivel de la fila.

Configura la duración extendida de la sesión y la sincronización en segundo plano

Para admitir sesiones de navegador ininterrumpidas, entregas programadas de larga duración, acceso a claves de API de usuario e integraciones de conectores, sigue estos pasos:

  1. Configura la sincronización de atributos en segundo plano en tu grupo de personal proveedor para que Google Cloud pueda actualizar periódicamente los atributos de usuario y las membresías de grupos en segundo plano:
    • Para proveedores de OIDC: Configura el flujo de código de autorización de OIDC con el alcance offline_access (que usa tokens de actualización para actualizar periódicamente los atributos de usuario y las membresías de grupos) o el aprovisionamiento de SCIM 2.0. Si los usuarios pertenecen a una gran cantidad de grupos que superan los límites de tamaño de tokens de OIDC, configura el aprovisionamiento de SCIM 2.0 para sincronizar las membresías de grupos con Google Cloud.
    • Para proveedores de SAML: Configura el aprovisionamiento de SCIM 2.0 en tu proveedor de grupos de personal. Debido a que las aserciones de SAML no proporcionan tokens de actualización de forma nativa, se requiere SCIM 2.0 para habilitar las alertas y las entregas programadas sin conexión.

  2. Configura una política de duración extendida de la sesión para tu grupo de personal con vinculaciones de la nube de Access Context Manager y establece la política en 90 días (7,776,000 segundos).

    Esta política establece la duración máxima de la sesión y la validez del token de actualización en 90 días. Si no se configura una política de duración extendida de la sesión o se establece en una duración más corta, la validez del token de actualización del grupo de personal tiene prioridad sobre la configuración de duración de la sesión de Looker, lo que hace que las sesiones del navegador, las programaciones sin conexión, las claves de API de usuario y las aplicaciones conectadas requieran una reautenticación cuando venza el token de actualización.

Paso 2: Otorga permisos de IAM a las entidades de seguridad de personal

Para permitir que los usuarios de personal accedan a tu instancia de Looker (Google Cloud Core), otorga el rol de IAM de usuario de instancia de Looker (roles/looker.instanceUser) o administrador de Looker (roles/looker.admin) a tus entidades de seguridad o grupos de personal.

Puedes otorgar roles a usuarios individuales, grupos completos o todas las entidades de seguridad en un grupo de personal con los siguientes identificadores principales:

  • Usuario único de personal: 

    principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_ID

  • Grupo de personal: 

    principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID

  • Todas las entidades de seguridad en un grupo de personal: 

    principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/*

Para obtener más información sobre cómo asignar roles de IAM, consulta la página de documentación Control de acceso de Looker (Google Cloud Core) con IAM.

Paso 3: Selecciona la federación de identidades de personal como tu método de autenticación principal

Puedes seleccionar la federación de identidades de personal como el método de autenticación principal cuando creas una instancia nueva de Looker (Google Cloud Core) o cuando editas una existente.

Durante la creación de la instancia

Cuando crees una instancia nueva de Looker (Google Cloud Core), puedes seleccionar la federación de identidades de personal como el método de autenticación principal:

Console

  1. En la consola de Google Cloud, ve a la página Looker (Google Cloud Core).

    Ir a Looker (Google Cloud Core)

  2. Haz clic en CREAR INSTANCIA.
  3. Completa la configuración del nombre, la región y la edición de la instancia como se describe en la documentación para crear instancias que usan conexiones seguras públicas, conexiones de Private Service Connect o conexiones de acceso privado a servicios.
  4. En la sección Autenticación, selecciona Federación de identidades de personal (SAML/OIDC) como el método de autenticación principal.
  5. Haz clic en Crear.

Para establecer OAuth como método de autenticación secundario, edita la configuración de la instancia después de crearla.

Cuando editas una instancia existente

Si tienes una instancia existente de Looker (Google Cloud Core), puedes editar la configuración de la instancia para seleccionar la federación de identidades de personal como el método de autenticación principal o para establecer OAuth como el método de autenticación secundario:

Console

  1. En la consola de Google Cloud, ve a la página Looker (Google Cloud Core).

    Ir a Looker (Google Cloud Core)

  2. Haz clic en el nombre de la instancia que deseas editar.
  3. En la pestaña Detalles de la instancia, haz clic en Editar.
  4. En la sección Autenticación, selecciona Federación de identidades de personal (SAML/OIDC) como el método de autenticación principal.
  5. (Opcional) Para permitir OAuth como método de autenticación secundario, habilita el botón de activación Habilitar OAuth secundario.
  6. Haz clic en Guardar.

Paso 4: Configura los parámetros de configuración de Workforce Identity en Looker

Después de crear tu instancia de Looker (Google Cloud Core), un administrador puede configurar las asignaciones de atributos de usuario, la duplicación de grupos y las opciones de acceso en la página Autenticación de personal del panel de administración de Looker.

  1. Accede a tu instancia de Looker (Google Cloud Core) con una cuenta que tenga el rol de administrador de Looker.
  2. En el menú de navegación de la izquierda, selecciona Administrador > Autenticación > Workforce Identity.
  3. Configura los parámetros que se describen en las siguientes secciones.

Consulta la documentación de la página Autenticación de personal para obtener más información sobre los siguientes parámetros de configuración.

Combinar cuentas de usuario

En el campo Combinar usuarios con, selecciona los sistemas de autenticación desde los que se deben combinar las cuentas de usuario existentes cuando un usuario accede por primera vez con la federación de identidades de personal.

Entre los sistemas admitidos para la combinación, se incluyen los siguientes:

  • Google
  • SAML
  • OIDC

Omitir la página de acceso

La opción Omitir la página de acceso controla si los usuarios no autenticados se redireccionan automáticamente a tu portal de SSO empresarial:

  • Habilitado (predeterminado): Cuando los usuarios navegan a la URL de tu instancia, se redireccionan automáticamente a la pantalla de acceso de tu IdP sin ver la página de acceso de Looker.
  • Inhabilitado: Los usuarios ven la página de acceso de Looker y pueden elegir entre las opciones de autenticación disponibles.

Haz clic en Guardar configuración para aplicar la configuración.

Asignación de atributos de usuario

Asigna reclamaciones de tu aserción de IdP a atributos de usuario de Looker. Los atributos de usuario se pueden usar para muchas cosas, como parametrizar conexiones de bases de datos y aplicar filtros de seguridad a nivel de la fila.

  • En la sección Asignación de atributos, asigna atributos de personal de Google a los atributos de usuario de Looker correspondientes (por ejemplo, asigna attribute.department a un atributo de usuario department en Looker).

Grupos y roles

Puedes administrar los roles de usuario a través de la duplicación de grupos o las asignaciones de roles predeterminadas:

  • Duplicar grupos del IdP: Cuando se habilita este parámetro de configuración, Looker (Google Cloud Core) crea grupos de Looker que duplican los grupos que se pasan en la aserción de token del IdP.
    • En la tabla Asignación de grupos , asigna nombres de grupos de IdP externos a grupos de Looker y asigna los roles de Looker adecuados (como visualizador, usuario o desarrollador).
  • Rol de usuario nuevo predeterminado: Si no se usa la duplicación de grupos o no coincide con un usuario, especifica el rol predeterminado que se otorgará a los usuarios nuevos en el primer acceso.
  • Grupo de usuarios nuevos predeterminado: Si no se usa la duplicación de grupos o no coincide con un usuario, especifica el grupo predeterminado que se asignará a los usuarios nuevos.

Administración de sesiones y validez de tokens

Las sesiones y los tokens de usuario en Looker (Google Cloud Core) se rigen por la duración de la sesión y la validez del token de actualización que se configuran en la política de tu grupo de identidades de personal (como una política de duración extendida de la sesión):

  • Sesiones del navegador: Looker La configuración de duración de la sesión admite sesiones de hasta 30 días cuando se usan sesiones persistentes. Sin embargo, la validez del token de actualización del grupo de identidades de personal tiene prioridad si su validez es menor que la duración de la sesión configurada en Looker. Cuando venza el token de actualización, el usuario deberá acceder de nuevo. Te recomendamos que establezcas una validez de token de actualización de 90 días en tu política de duración extendida de la sesión.
  • Alertas y entregas programadas (trabajos sin conexión): Los trabajos en segundo plano se ejecutan mientras el propietario de la programación tenga un token de IdP activo. Si un creador de alertas o programaciones no accede a la instancia durante más de 90 días (o la duración configurada en la política de sesión de tu grupo de personal), su sesión sin conexión vence y se pausan las alertas o las entregas programadas que pertenecen a ese usuario. Para reanudar las alertas o las programaciones pausadas, el propietario debe acceder a la instancia, o un administrador debe asignar la propiedad de la programación.
  • Servidor y conectores de OAuth de Looker: Las integraciones que usan el servidor de OAuth de Looker (como Data Studio, Hojas conectadas y conectores de terceros) usan un token de actualización de 30 días (o un token de actualización que no vence en Data Studio). Si la duración de la sesión del grupo de personal se establece en menos de 90 días, es posible que los usuarios deban volver a autenticarse con Looker cuando venza la duración de la sesión.
  • Claves de API de usuario: Los tokens de acceso a la API que generan las claves de API de usuario son válidos por 1 hora y requieren una sesión de IdP de usuario activa. Si vence la sesión de IdP del usuario (cada 90 días o según la duración de la sesión del grupo de personal), el usuario debe acceder a la instancia nuevamente para seguir usando sus claves de API.
  • Claves de API de cuenta de servicio: Las políticas de sesión del grupo de personal no afectan los tokens de acceso a la API de la cuenta de servicio.

¿Qué sigue?