Utilizza la federazione delle identità per la forza lavoro per l'autenticazione degli utenti di Looker (Google Cloud core)

La federazione delle identità per la forza lavoro ti consente di utilizzare un provider di identità (IdP) esterno per autenticare utenti e gruppi di utenti in un'istanza di Looker (Google Cloud core). Utilizzando la federazione delle identità per la forza lavoro, gli utenti della tua organizzazione possono utilizzare il Single Sign-On (SSO) per accedere a Looker (Google Cloud core) senza che tu debba eseguire il provisioning o la sincronizzazione degli Account Google (account Cloud Identity o Google Workspace) per ogni utente.

La federazione delle identità per la forza lavoro supporta gli IdP esterni che utilizzano OpenID Connect (OIDC) o SAML 2.0, come Microsoft Entra ID (in precedenza Azure AD), Okta, PingIdentity e altri.

Durante l'anteprima della funzionalità, sono supportate solo le istanze di Looker (Google Cloud core) che utilizzano connessioni sicure pubbliche.

Come funziona la federazione delle identità per la forza lavoro con Looker (Google Cloud core)

Quando configuri la federazione delle identità per la forza lavoro per un'istanza di Looker (Google Cloud core), si verifica la seguente procedura:

  1. Autenticazione: un utente passa all'URL dell'istanza di Looker (Google Cloud core). Se l'impostazione Bypassa la pagina di accesso è abilitata, l'utente viene reindirizzato automaticamente al Google Cloud portale di accesso (https://auth.cloud.google/authorize), che lo reindirizza all' IdP esterno per l'autenticazione.
  2. Scambio di token: dopo che l'utente ha eseguito l'autenticazione con l'IdP, quest'ultimo restituisce un'asserzione di autenticazione a Google Cloud Security Token Service (STS). STS scambia l'asserzione con un token di accesso federato e un token ID.
  3. Autorizzazione: Looker (Google Cloud core) verifica che l'entità federata disponga dell'autorizzazione Identity and Access Management (IAM) richiesta (looker.instances.login) sull'istanza.
  4. Provisioning e assegnazione dei ruoli: Looker (Google Cloud core) crea l'account utente al primo accesso (provisioning Just-In-Time) e applica le mappature da gruppo a ruolo e gli attributi utente in base alle attestazioni che riceve dall'IdP.

Prima di iniziare

Prima di configurare la federazione delle identità per la forza lavoro per Looker (Google Cloud core), assicurati di disporre dei seguenti ruoli e configurazioni:

Ruoli IAM richiesti

Per configurare la federazione delle identità per la forza lavoro e creare istanze di Looker (Google Cloud core), devi disporre dei seguenti ruoli:

API obbligatorie

Abilita le seguenti API nel tuo Google Cloud progetto:

Passaggio 1: configura un pool e un provider di identità per la forza lavoro

I pool e i provider di identità per la forza lavoro vengono creati a livello di Google Cloud organizzazione, non di progetto.

Completa i seguenti passaggi per configurare un pool e un provider di identità per la forza lavoro:

  1. Crea un pool di identità per la forza lavoro seguendo le istruzioni riportate nella pagina della documentazione Configurare la federazione delle identità per la forza lavoro.
  2. Crea un provider di pool di identità per la forza lavoro per l'IdP OIDC o SAML 2.0:
    • Per i provider OIDC, consulta Configurare la federazione delle identità per la forza lavoro OIDC.
    • Per i provider SAML, consulta Configurare la federazione delle identità per la forza lavoro SAML 2.0.
    • Definisci immediatamente le seguenti mappature degli attributi durante la creazione del provider:
      • Email: mappa l'attestazione email dell'IdP a google.email. Questa mappatura è obbligatoria per l'identificazione dell'utente; l'autenticazione non riuscirà se questa mappatura non è presente.
      • Nome e cognome: mappa le attestazioni del nome e del cognome dell'IdP a attribute.given_name (nome) e attribute.family_name (cognome). Queste mappature sono obbligatorie per popolare i profili utente di Looker; l'autenticazione non riuscirà se queste mappature non sono presenti.

  3. (Facoltativo) Configura anche le seguenti mappature degli attributi:

    • Gruppi: mappa l'attestazione del gruppo dell'IdP (ad esempio assertion.groups) a google.groups. Questa mappatura è obbligatoria se prevedi di abilitare il mirroring dei gruppi e di mappare i gruppi IdP ai ruoli di Looker. Per i provider OIDC, assicurati che la configurazione del provider richieda anche l'ambito groups se l'IdP lo richiede (consulta Configurare la federazione delle identità per la forza lavoro per i requisiti specifici dell'IdP).
    • Attributi personalizzati: Mappa le attestazioni IdP personalizzate a attribute.<attribute_name>. Puoi utilizzare questi attributi mappati in Looker (Google Cloud core) per parametrizzare le connessioni al database e applicare filtri di accesso ai dati a livello di riga.

Configurare la durata estesa della sessione e la sincronizzazione in background

Per supportare sessioni del browser ininterrotte, consegne pianificate a lunga esecuzione, accesso con chiave API utente e integrazioni di connettori, completa i seguenti passaggi:

  1. Configura la sincronizzazione degli attributi in background nel provider del pool di forza lavoro in modo che Google Cloud possa aggiornare periodicamente gli attributi utente e le appartenenze ai gruppi in background:
    • Per i provider OIDC: configura il flusso del codice di autorizzazione OIDC con l'ambito offline_access (che utilizza i token di aggiornamento per aggiornare periodicamente gli attributi utente e le appartenenze ai gruppi) o il provisioning SCIM 2.0. Se gli utenti appartengono a un numero elevato di gruppi che superano i limiti di dimensione dei token OIDC, configura il provisioning SCIM 2.0 per sincronizzare le appartenenze ai gruppi con Google Cloud.
    • Per i provider SAML: Configura il provisioning SCIM 2.0 nel provider del pool di forza lavoro. Poiché le asserzioni SAML non forniscono token di aggiornamento in modo nativo, è necessario SCIM 2.0 per abilitare le consegne pianificate e gli avvisi offline.

  2. Configura una policy di durata estesa della sessione per il pool di forza lavoro utilizzando i binding cloud di Gestore contesto accesso e imposta la policy su 90 giorni (7.776.000 secondi).

    Questa policy imposta la durata massima della sessione e la validità del token di aggiornamento su 90 giorni. Se non è configurata una policy di durata estesa della sessione o se è impostata su una durata inferiore, la validità del token di aggiornamento del pool di forza lavoro ha la precedenza sulle impostazioni di durata della sessionedi Looker, causando la necessità di ripetere l'autenticazione per le sessioni del browser, le pianificazioni offline, le chiavi API utente e le applicazioni connesse alla scadenza del token di aggiornamento.

Passaggio 2: concedi le autorizzazioni IAM alle entità della forza lavoro

Per consentire agli utenti della forza lavoro di accedere all'istanza di Looker (Google Cloud core), concedi il ruolo IAM Utente istanza Looker (roles/looker.instanceUser) o Amministratore Looker (roles/looker.admin) alle entità o ai gruppi della forza lavoro.

Puoi concedere i ruoli a singoli utenti, a interi gruppi o a tutte le entità in un pool di forza lavoro utilizzando i seguenti identificatori di entità:

  • Singolo utente della forza lavoro: 

    principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_ID

  • Gruppo di forza lavoro: 

    principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID

  • Tutte le entità in un pool di forza lavoro: 

    principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/*

Per saperne di più sull'assegnazione dei ruoli IAM, consulta la pagina della documentazione Controllo dell'accesso a Looker (Google Cloud core) con IAM.

Passaggio 3: seleziona la federazione delle identità per la forza lavoro come metodo di autenticazione principale

Puoi selezionare la federazione delle identità per la forza lavoro come metodo di autenticazione principale quando crei una nuova istanza di Looker (Google Cloud core) o modificando un'istanza esistente.

Durante la creazione dell'istanza

Quando crei una nuova istanza di Looker (Google Cloud core), puoi selezionare la federazione delle identità per la forza lavoro come metodo di autenticazione principale:

console

  1. Nella console Google Cloud, vai alla pagina Looker (Google Cloud core).

    Vai a Looker (Google Cloud core)

  2. Fai clic su CREA ISTANZA.
  3. Completa la configurazione del nome, della regione e dell'edizione dell'istanza come descritto nella documentazione per la creazione di istanze che utilizzano connessioni sicure pubbliche, connessioni Private Service Connect o connessioni di accesso ai servizi privati.
  4. Nella sezione Autenticazione, seleziona Federazione delle identità per la forza lavoro (SAML/OIDC) come metodo di autenticazione principale.
  5. Fai clic su Crea.

Per impostare OAuth come metodo di autenticazione secondario, modifica la configurazione dell'istanza dopo averla creata.

Quando modifichi un'istanza esistente

Se hai un'istanza di Looker (Google Cloud core) esistente, puoi modificare la configurazione dell'istanza per selezionare la federazione delle identità per la forza lavoro come metodo di autenticazione principale o per impostare OAuth come metodo di autenticazione secondario:

console

  1. Nella console Google Cloud, vai alla pagina Looker (Google Cloud core).

    Vai a Looker (Google Cloud core)

  2. Fai clic sul nome dell'istanza che vuoi modificare.
  3. Nella scheda Dettagli dell'istanza, fai clic su Modifica.
  4. Nella sezione Autenticazione, seleziona Federazione delle identità per la forza lavoro (SAML/OIDC) come metodo di autenticazione principale.
  5. (Facoltativo) Per consentire l'utilizzo di OAuth come metodo di autenticazione secondario, attiva/disattiva l'opzione Abilita OAuth secondario.
  6. Fai clic su Salva.

Passaggio 4: configura le impostazioni di identità della forza lavoro in Looker

Dopo aver creato l'istanza di Looker (Google Cloud core), un amministratore può configurare le mappature degli attributi utente, il mirroring dei gruppi e le opzioni di accesso nella pagina Autenticazione della forza lavoro del pannello di amministrazione di Looker.

  1. Accedi all'istanza di Looker (Google Cloud core) con un account che dispone del ruolo Looker Amministratore.
  2. Nel menu di navigazione a sinistra, seleziona Amministratore > Autenticazione > Identità della forza lavoro.
  3. Configura le impostazioni descritte nelle sezioni seguenti.

Per saperne di più sulle seguenti impostazioni, consulta la documentazione della pagina Autenticazione della forza lavoro.

Unire gli account utente

Nel campo Unisci utenti utilizzando, seleziona i sistemi di autenticazione da cui devono essere uniti gli account utente esistenti quando un utente accede per la prima volta con la federazione delle identità per la forza lavoro.

I sistemi supportati per l'unione includono:

  • Google
  • SAML
  • OIDC

Bypassa la pagina di accesso

L'opzione Bypassa la pagina di accesso controlla se gli utenti non autenticati vengono reindirizzati automaticamente al portale SSO aziendale:

  • Abilitata (impostazione predefinita): quando gli utenti passano all'URL dell'istanza, vengono reindirizzati automaticamente alla schermata di accesso dell'IdP senza visualizzare la pagina di accesso di Looker.
  • Disabilitata: gli utenti visualizzano la pagina di accesso di Looker e possono scegliere tra le opzioni di autenticazione disponibili.

Fai clic su Salva configurazione per applicare le impostazioni.

Mappatura attributi utente

Mappa le attestazioni dell'asserzione IdP agli attributi utente di Looker. Gli attributi utente possono essere utilizzati per molte cose, ad esempio per parametrizzare le connessioni al database e applicare filtri di sicurezza a livello di riga.

  • Nella sezione Mappatura attributi, mappa gli attributi della forza lavoro di Google agli attributi utente di Looker corrispondenti (ad esempio, mappa attribute.department a un department attributo utente in Looker).

Gruppi e ruoli

Puoi gestire i ruoli utente tramite il mirroring dei gruppi o le assegnazioni di ruoli predefiniti:

  • Esegui il mirroring dei gruppi dall'IdP: quando questa impostazione è abilitata, Looker (Google Cloud core) crea gruppi Looker che eseguono il mirroring dei gruppi passati nell'asserzione del token IdP.
    • Nella tabella Mappatura gruppi , mappa i nomi dei gruppi IdP esterni ai gruppi Looker e assegna i ruoli Looker appropriati (ad esempio Visualizzatore, Utente o Sviluppatore).
  • Ruolo predefinito per i nuovi utenti: se il mirroring dei gruppi non viene utilizzato o non corrisponde a un utente, specifica il ruolo predefinito da concedere ai nuovi utenti al primo accesso.
  • Gruppo predefinito per i nuovi utenti: se il mirroring dei gruppi non viene utilizzato o non corrisponde a un utente, specifica il gruppo predefinito da assegnare ai nuovi utenti.

Gestione delle sessioni e validità dei token

Le sessioni e i token utente in Looker (Google Cloud core) sono regolati dalla durata della sessione e dalla validità del token di aggiornamento configurate nella policy del pool di identità per la forza lavoro (ad esempio una policy di durata estesa della sessione):

  • Sessioni del browser: le impostazioni di durata della sessione di Looker supportano sessioni fino a 30 giorni quando si utilizzano sessioni persistenti. Tuttavia, la validità del token di aggiornamento del pool di identità per la forza lavoro ha la precedenza se la sua validità è inferiore alla durata della sessione configurata in Looker. Quando il token di aggiornamento scade, l'utente deve accedere di nuovo. Ti consigliamo di impostare una validità del token di aggiornamento di 90 giorni nella policy di durata estesa della sessione.
  • Consegne pianificate e avvisi (job offline): i job in background vengono eseguiti finché il proprietario della pianificazione ha un token IdP attivo. Se un creatore di pianificazioni o avvisi non accede all'istanza per più di 90 giorni (o la durata configurata nella policy della sessione del pool di forza lavoro), la sessione offline scade e le consegne pianificate o gli avvisi di proprietà dell'utente vengono messi in pausa. Per riprendere le pianificazioni o gli avvisi in pausa, il proprietario deve accedere all'istanza oppure un amministratore deve assegnare la proprietà della pianificazione.
  • Server e connettori OAuth di Looker: le integrazioni che utilizzano il server OAuth di Looker (come Data Studio, Fogli collegati e connettori di terze parti) utilizzano un token di aggiornamento di 30 giorni (o un token di aggiornamento senza scadenza in Data Studio). Se la durata della sessione del pool di forza lavoro è impostata su meno di 90 giorni, gli utenti potrebbero dover eseguire di nuovo l'autenticazione con Looker alla scadenza della durata della sessione.
  • Chiavi API utente: i token di accesso API generati dalle chiavi API utente sono validi per 1 ora e richiedono una sessione IdP utente attiva. Se la sessione IdP dell'utente scade (ogni 90 giorni o in base alla durata della sessione del pool di forza lavoro), l'utente deve accedere di nuovo all'istanza per continuare a utilizzare le chiavi API.
  • Chiavi API dell'account di servizio: i token di accesso API dell'account di servizio non sono interessati dalle policy della sessione del pool di forza lavoro.

Passaggi successivi