Menggunakan Workforce Identity Federation untuk autentikasi pengguna Looker (Google Cloud core)

Workforce Identity Federation memungkinkan Anda menggunakan penyedia identitas (IdP) eksternal untuk mengautentikasi pengguna dan grup pengguna ke instance Looker (Google Cloud core). Dengan menggunakan Workforce Identity Federation, pengguna di organisasi Anda dapat menggunakan single sign-on (SSO) untuk mengakses Looker (Google Cloud core) tanpa mengharuskan Anda menyediakan atau menyinkronkan Akun Google (akun Cloud Identity atau Google Workspace) untuk setiap pengguna.

Workforce Identity Federation mendukung IdP eksternal yang menggunakan OpenID Connect (OIDC) atau SAML 2.0, seperti Microsoft Entra ID (sebelumnya Azure AD), Okta, PingIdentity, dan lainnya.

Selama pratinjau fitur, hanya instance Looker (Google Cloud core) yang menggunakan koneksi aman publik yang didukung.

Cara kerja Workforce Identity Federation dengan Looker (Google Cloud core)

Saat Anda mengonfigurasi Workforce Identity Federation untuk instance Looker (Google Cloud core), proses berikut akan terjadi:

  1. Autentikasi: Pengguna membuka URL instance Looker (Google Cloud core) Anda. Jika setelan Bypass login page diaktifkan, pengguna akan otomatis dialihkan ke Google Cloud portal login (https://auth.cloud.google/authorize), yang akan mengalihkan pengguna ke IdP eksternal Anda untuk autentikasi.
  2. Pertukaran token: Setelah pengguna melakukan autentikasi dengan IdP Anda, IdP Anda akan menampilkan pernyataan autentikasi ke Google Cloud Security Token Service (STS). STS menukarkan pernyataan tersebut dengan token akses gabungan dan token ID.
  3. Otorisasi: Looker (Google Cloud core) memverifikasi bahwa akun utama gabungan memiliki izin Identity and Access Management (IAM) yang diperlukan (looker.instances.login) di instance.
  4. Penyediaan dan penetapan peran: Looker (Google Cloud core) membuat akun pengguna saat login pertama kali (penyediaan tepat waktu) dan menerapkan pemetaan grup ke peran dan atribut pengguna yang didasarkan pada klaim yang diterimanya dari IdP Anda.

Sebelum memulai

Sebelum mengonfigurasi Workforce Identity Federation untuk Looker (Google Cloud core), pastikan Anda memiliki peran dan konfigurasi berikut:

Peran IAM yang diperlukan

Untuk mengonfigurasi Workforce Identity Federation dan membuat instance Looker (Google Cloud core), Anda memerlukan peran berikut:

API yang diperlukan

Aktifkan API berikut di project Google Cloud Anda:

Langkah 1: Menyiapkan workforce identity pool dan penyedia

Workforce identity pool dan penyedia dibuat di tingkat Google Cloud organisasi, bukan tingkat project.

Selesaikan langkah-langkah berikut untuk menyiapkan workforce identity pool dan penyedia:

  1. Buat workforce identity pool dengan mengikuti petunjuk di halaman dokumentasi Mengonfigurasi Workforce Identity Federation.
  2. Buat penyedia workforce identity pool untuk IdP OIDC atau SAML 2.0 Anda:
    • Untuk penyedia OIDC, lihat Mengonfigurasi workforce identity federation OIDC.
    • Untuk penyedia SAML, lihat Mengonfigurasi workforce identity SAML 2.0 federation.
    • Tentukan pemetaan atribut berikut segera selama pembuatan penyedia:
      • Email: Petakan klaim email IdP Anda ke google.email. Pemetaan ini diperlukan untuk identifikasi pengguna; autentikasi akan gagal jika pemetaan ini tidak ada.
      • Nama depan dan nama belakang: Petakan klaim nama panggilan dan nama keluarga IdP Anda ke attribute.given_name (nama depan) dan attribute.family_name (nama belakang). Pemetaan ini diperlukan untuk mengisi profil pengguna Looker; autentikasi akan gagal jika pemetaan ini tidak ada.

  3. Secara opsional, konfigurasikan pemetaan atribut berikut juga:

    • Grup: Petakan klaim grup IdP Anda (misalnya, assertion.groups) ke google.groups. Pemetaan ini diperlukan jika Anda berencana mengaktifkan pencerminan grup dan memetakan grup IdP ke peran Looker. Untuk penyedia OIDC, pastikan konfigurasi penyedia Anda juga meminta cakupan groups jika IdP Anda memerlukannya (lihat Mengonfigurasi Workforce Identity Federation untuk persyaratan khusus IdP).
    • Atribut kustom: Petakan klaim IdP kustom ke attribute.<attribute_name>. Anda dapat menggunakan atribut yang dipetakan ini di Looker (Google Cloud core) untuk membuat parameter koneksi database dan menerapkan filter akses data tingkat baris.

Mengonfigurasi durasi sesi yang diperpanjang dan sinkronisasi latar belakang

Untuk mendukung sesi browser tanpa gangguan, pengiriman terjadwal yang berjalan lama, akses kunci API pengguna, dan integrasi konektor, selesaikan langkah-langkah berikut:

  1. Konfigurasikan sinkronisasi atribut latar belakang pada penyedia workforce pool Anda so Google Cloud dapat secara berkala memperbarui atribut pengguna dan keanggotaan grup di latar belakang:
    • Untuk penyedia OIDC: Konfigurasikan alur Kode Otorisasi OIDC dengan cakupan offline_access (yang menggunakan token refresh untuk memperbarui atribut pengguna dan keanggotaan grup secara berkala) atau penyediaan SCIM 2.0. Jika pengguna tergabung dalam sejumlah besar grup yang melebihi batas ukuran token OIDC konfigurasikan penyediaan SCIM 2.0 untuk menyinkronkan keanggotaan grup ke Google Cloud.
    • Untuk penyedia SAML: Konfigurasikan penyediaan SCIM 2.0 pada penyedia workforce pool Anda. Karena pernyataan SAML tidak menyediakan token refresh secara native, SCIM 2.0 diperlukan untuk mengaktifkan pengiriman dan pemberitahuan terjadwal offline.

  2. Konfigurasikan kebijakan durasi sesi yang diperpanjang untuk workforce pool Anda menggunakan binding cloud Access Context Manager, dan tetapkan kebijakan ke 90 hari (7.776.000 detik).

    Kebijakan ini menetapkan durasi sesi maksimum dan validitas token refresh ke 90 hari. Jika kebijakan durasi sesi yang diperpanjang tidak dikonfigurasi atau ditetapkan ke durasi yang lebih singkat, validitas token refresh workforce pool akan diprioritaskan daripada setelan durasi sesi Looker, sehingga sesi browser, jadwal offline, kunci API pengguna, dan aplikasi terhubung akan memerlukan autentikasi ulang saat token refresh berakhir masa berlakunya.

Langkah 2: Memberikan izin IAM kepada akun utama tenaga kerja

Agar pengguna tenaga kerja dapat login ke instance Looker (Google Cloud core) Anda, berikan peran IAM Pengguna Instance Looker (roles/looker.instanceUser) atau Admin Looker (roles/looker.admin) kepada akun utama atau grup tenaga kerja Anda.

Anda dapat memberikan peran kepada pengguna individu, seluruh grup, atau semua akun utama di workforce pool menggunakan ID utama berikut:

  • Pengguna tenaga kerja tunggal: 

    principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_ID

  • Grup tenaga kerja: 

    principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID

  • Semua akun utama di workforce pool: 

    principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/*

Untuk mengetahui informasi selengkapnya tentang cara menetapkan peran IAM, lihat halaman dokumentasi Kontrol akses Looker (Google Cloud core) dengan IAM.

Langkah 3: Memilih Workforce Identity Federation sebagai metode autentikasi utama

Anda dapat memilih Workforce Identity Federation sebagai metode autentikasi utama saat membuat instance Looker (Google Cloud core) baru atau dengan mengedit instance yang sudah ada.

Selama pembuatan instance

Saat membuat instance Looker (Google Cloud core) baru, Anda dapat memilih Workforce Identity Federation sebagai metode autentikasi utama:

console

  1. Di konsol Google Cloud, buka halaman Looker (Google Cloud core).

    Buka Looker (Google Cloud core)

  2. Klik CREATE INSTANCE.
  3. Selesaikan konfigurasi nama instance, region, dan edisi seperti yang dijelaskan dalam dokumentasi untuk membuat instance yang menggunakan koneksi aman publik, koneksi Private Service Connect, atau koneksi akses layanan pribadi.
  4. Di bagian Authentication, pilih Workforce Identity Federation (SAML/OIDC) sebagai metode autentikasi utama.
  5. Klik Create.

Untuk menetapkan OAuth sebagai metode autentikasi sekunder, edit konfigurasi instance setelah instance dibuat.

Saat mengedit instance yang sudah ada

Jika memiliki instance Looker (Google Cloud core) yang sudah ada, Anda dapat mengedit konfigurasi instance untuk memilih Workforce Identity Federation sebagai metode autentikasi utama atau menetapkan OAuth sebagai metode autentikasi sekunder:

console

  1. Di konsol Google Cloud, buka halaman Looker (Google Cloud core).

    Buka Looker (Google Cloud core)

  2. Klik nama instance yang ingin Anda edit.
  3. Di tab Details instance, klik Edit.
  4. Di bagian Authentication, pilih Workforce Identity Federation (SAML/OIDC) sebagai metode autentikasi utama.
  5. (Opsional) Untuk mengizinkan OAuth sebagai metode autentikasi sekunder, aktifkan tombol Enable Secondary OAuth.
  6. Klik Save.

Langkah 4: Mengonfigurasi setelan Workforce Identity di Looker

Setelah instance Looker (Google Cloud core) Anda dibuat, administrator dapat mengonfigurasi pemetaan atribut pengguna, pencerminan grup, dan opsi login di halaman Workforce authentication panel Admin Looker.

  1. Login ke instance Looker (Google Cloud core) Anda dengan akun yang memiliki peran Looker Admin.
  2. Di menu navigasi sebelah kiri, pilih Admin > Authentication > Workforce Identity.
  3. Konfigurasikan setelan yang dijelaskan di bagian berikut.

Lihat dokumentasi halaman Workforce authentication untuk mengetahui informasi selengkapnya tentang setelan berikut.

Menggabungkan akun pengguna

Di kolom Merge Users Using, pilih sistem autentikasi tempat akun pengguna yang ada harus digabungkan saat pengguna login untuk pertama kalinya dengan Workforce Identity Federation.

Sistem yang didukung untuk penggabungan mencakup hal berikut:

  • Google
  • SAML
  • OIDC

Bypass login page

Opsi Bypass login page mengontrol apakah pengguna yang tidak diautentikasi akan otomatis dialihkan ke portal SSO perusahaan Anda:

  • Diaktifkan (default): Saat pengguna membuka URL instance Anda, mereka akan otomatis dialihkan ke layar login IdP Anda tanpa melihat halaman login Looker.
  • Dinonaktifkan: Pengguna akan melihat halaman login Looker dan dapat memilih di antara opsi autentikasi yang tersedia.

Klik Save Configuration untuk menerapkan setelan Anda.

Pemetaan atribut pengguna

Petakan klaim dari pernyataan IdP Anda ke atribut pengguna Looker. Atribut pengguna dapat digunakan untuk berbagai hal, seperti membuat parameter koneksi database dan menerapkan filter keamanan tingkat baris.

  • Di bagian Attribute Mapping, petakan atribut tenaga kerja Google ke atribut pengguna Looker yang sesuai (misalnya, memetakan attribute.department ke atribut pengguna department di Looker).

Grup dan peran

Anda dapat mengelola peran pengguna melalui pencerminan grup atau penetapan peran default:

  • Mirror groups from IdP: Jika setelan ini diaktifkan, Looker (Google Cloud core) akan membuat grup Looker yang mencerminkan grup yang diteruskan dalam pernyataan token IdP.
    • Di tabel Group Mapping, petakan nama grup IdP eksternal ke grup Looker dan tetapkan peran Looker yang sesuai (seperti Viewer, User, atau Developer).
  • Default new user role: Jika pencerminan grup tidak digunakan atau tidak cocok dengan pengguna, tentukan peran default yang akan diberikan kepada pengguna baru saat login pertama kali.
  • Default new user group: Jika pencerminan grup tidak digunakan atau tidak cocok dengan pengguna, tentukan grup default yang akan ditetapkan kepada pengguna baru.

Pengelolaan sesi dan validitas token

Sesi dan token pengguna di Looker (Google Cloud core) diatur oleh durasi sesi dan validitas token refresh yang dikonfigurasi dalam kebijakan workforce identity pool Anda (seperti kebijakan durasi sesi yang diperpanjang):

  • Sesi browser: Setelan durasi sesi Looker mendukung sesi hingga 30 hari saat menggunakan sesi persisten. Namun, validitas token refresh workforce identity pool akan diprioritaskan jika validitasnya kurang dari durasi sesi yang dikonfigurasi di Looker. Saat token refresh berakhir masa berlakunya, pengguna harus login lagi. Sebaiknya tetapkan validitas token refresh 90 hari dalam kebijakan durasi sesi yang diperpanjang.
  • Pengiriman dan pemberitahuan terjadwal (tugas offline): Tugas latar belakang berjalan selama pemilik jadwal memiliki token IdP aktif. Jika pembuat jadwal atau pemberitahuan tidak login ke instance selama lebih dari 90 hari (atau durasi yang dikonfigurasi dalam kebijakan sesi workforce pool Anda), sesi offline-nya akan berakhir, dan pengiriman atau pemberitahuan terjadwal yang dimiliki oleh pengguna tersebut akan dijeda. Untuk melanjutkan jadwal atau pemberitahuan yang dijeda, pemilik harus login ke instance, atau administrator harus menetapkan kepemilikan jadwal.
  • Server dan konektor OAuth Looker: Integrasi yang menggunakan server OAuth Looker (seperti Data Studio, Connected Sheets, dan konektor pihak ketiga) menggunakan token refresh 30 hari (atau token refresh yang tidak berlaku di Data Studio). Jika durasi sesi workforce pool ditetapkan kurang dari 90 hari, pengguna mungkin perlu melakukan autentikasi ulang dengan Looker saat durasi sesi berakhir.
  • Kunci API pengguna: Token akses API yang dibuat oleh kunci API pengguna berlaku selama 1 jam dan memerlukan sesi IdP pengguna yang aktif. Jika sesi IdP pengguna berakhir masa berlakunya (setiap 90 hari atau berdasarkan durasi sesi workforce pool), pengguna harus login ke instance lagi untuk terus menggunakan kunci API-nya.
  • Kunci API akun layanan: Token akses API akun layanan tidak terpengaruh oleh kebijakan sesi workforce pool.

Langkah berikutnya