Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

Looker (Google Cloud 핵심 서비스) 사용자 인증에 직원 ID 제휴 사용

직원 ID 제휴를 사용하면 외부 ID 공급업체 (IdP)를 통해 Looker (Google Cloud 핵심 서비스) 인스턴스에 사용자 및 사용자 그룹을 인증할 수 있습니다. 직원 ID 제휴를 사용하면 조직의 사용자가 모든 사용자에 대해 Google 계정 (Cloud ID 또는 Google Workspace 계정)을 프로비저닝하거나 동기화하지 않고도 싱글 사인온 (SSO)을 사용하여 Looker (Google Cloud 핵심 서비스)에 액세스할 수 있습니다.

직원 ID 제휴는 Microsoft Entra ID(이전의 Azure AD), Okta, PingIdentity 등과 같이 OpenID Connect (OIDC) 또는 SAML 2.0을 사용하는 외부 IdP를 지원합니다.

기능 미리보기 중에는 공개 보안 연결을 사용하는 Looker (Google Cloud 핵심 서비스) 인스턴스만 지원됩니다.

직원 ID 제휴가 Looker (Google Cloud 핵심 서비스)에서 작동하는 방식

Looker (Google Cloud 핵심 서비스) 인스턴스에 직원 ID 제휴를 구성하면 다음 프로세스가 발생합니다.

인증: 사용자가 Looker (Google Cloud 핵심 서비스) 인스턴스 URL로 이동합니다. 로그인 페이지 우회 설정이 사용 설정된 경우 사용자는 자동으로 인증을 위해 사용자를 외부 IdP로 리디렉션하는 Google Cloud 로그인 포털 (https://auth.cloud.google/authorize)로 리디렉션됩니다.
토큰 교환: 사용자가 IdP로 인증한 후 IdP는 인증 어설션을 Google Cloud 보안 토큰 서비스 (STS)로 반환합니다. STS는 어설션을 제휴 액세스 토큰 및 ID 토큰으로 교환합니다.
승인: Looker (Google Cloud 핵심 서비스)는 제휴 주 구성원에 인스턴스에 필요한 Identity and Access Management (IAM) 권한(looker.instances.login)이 있는지 확인합니다.
프로비저닝 및 역할 할당: Looker (Google Cloud 핵심 서비스)는 첫 번째 로그인 시 사용자 계정을 만들고 (JIT 프로비저닝) IdP에서 수신하는 클레임을 기반으로 그룹-역할 매핑 및 사용자 속성을 적용합니다.

시작하기 전에

Looker (Google Cloud 핵심 서비스)에 직원 ID 제휴를 구성하기 전에 다음 역할 및 구성이 있는지 확인합니다.

필요한 IAM 역할

직원 ID 제휴를 구성하고 Looker (Google Cloud 핵심 서비스) 인스턴스를 만들려면 다음 역할이 필요합니다.

IAM 직원 풀 관리자 (roles/iam.workforcePoolAdmin): 직원 풀 및 공급업체를 만들고 관리하려면 조직 Google Cloud 에 필요합니다.
Looker 관리자 (roles/looker.admin): Looker (Google Cloud 핵심 서비스) 인스턴스를 만들고 관리하려면 Google Cloud 프로젝트에 필요합니다.
프로젝트 IAM 관리자 (roles/resourcemanager.projectIamAdmin): 직원 주 구성원에게 IAM 역할을 부여하려면 프로젝트 Google Cloud 에 필요합니다.

필수 API

Google Cloud 프로젝트에서 다음 API를 사용 설정합니다.

Identity and Access Management API (iam.googleapis.com)

Identity and Access Management API 사용 설정
보안 토큰 서비스 API (sts.googleapis.com)

보안 토큰 서비스 API 사용 설정
Cloud Resource Manager API (cloudresourcemanager.googleapis.com)

Cloud Resource Manager API 사용 설정
Looker (Google Cloud 핵심 서비스) API (looker.googleapis.com)

Looker (Google Cloud 핵심 서비스) API 사용 설정

1단계: 직원 ID 풀 및 공급업체 설정

직원 ID 풀 및 공급업체는 프로젝트 수준이 아닌 Google Cloud 조직 수준에서 생성됩니다.

다음 단계에 따라 직원 ID 풀 및 공급업체를 설정합니다.

직원 ID 제휴 구성 직원 ID 제휴 구성 문서 페이지의 안내에 따라 직원 ID 풀을 만듭니다.
OIDC 또는 SAML 2.0 IdP의 직원 ID 풀 공급업체를 만듭니다.
- OIDC 공급업체의 경우 OIDC 직원 ID 제휴 구성을 참조하세요.
- SAML 공급업체의 경우 SAML 2.0 직원 ID 제휴 구성을 참조하세요.
- 공급업체 생성 중에 다음 속성 매핑을 즉시 정의합니다.
  - 이메일: IdP의 이메일 클레임을 google.email에 매핑합니다. 이 매핑은 사용자 식별에 필수 입니다. 이 매핑이 없으면 인증이 실패합니다.
  - 이름 및 성: IdP의 이름 및 성 클레임을 attribute.given_name (이름) 및 attribute.family_name (성)에 매핑합니다. 이 매핑은 Looker 사용자 프로필을 채우는 데 필수 입니다. 이 매핑이 없으면 인증이 실패합니다.
선택적으로 다음 속성 매핑도 구성합니다.
- 그룹: IdP의 그룹 클레임 (예: assertion.groups)을 google.groups에 매핑합니다. 그룹 미러링을 사용 설정하고 IdP 그룹을 Looker 역할에 매핑하려는 경우 이 매핑이 필요합니다. OIDC 공급업체의 경우 IdP에 필요한 경우 공급업체 구성에서 groups 범위도 요청해야 합니다 (IdP별 요구사항에 맞게 직원 ID 제휴 구성 참조).
- 맞춤 속성: 커스텀 IdP 클레임을 attribute.<attribute_name>에 매핑합니다. Looker (Google Cloud 핵심 서비스)에서 이러한 매핑된 속성을 사용하여 데이터베이스 연결을 매개변수화하고 행 수준 데이터 액세스 필터를 적용할 수 있습니다.
도움말: 원활한 설정을 보장하고 나중에 공급업체 구성을 다시 수정할 필요가 없도록 하려면 공급업체 생성 중에 속성 매핑을 즉시 정의하는 것이 좋습니다.

확장된 세션 길이 및 백그라운드 동기화 구성

중단 없는 브라우저 세션, 장기 실행 예약된 전송, 사용자 API 키 액세스, 커넥터 통합을 지원하려면 다음 단계를 완료하세요.

직원 풀 공급업체에서 백그라운드 속성 동기화를 구성하여 Google Cloud 백그라운드에서 사용자 속성 및 그룹 멤버십을 주기적으로 새로고침합니다.
- OIDC 프로바이더의 경우: offline_access 범위 (갱신 토큰을 사용하여 사용자 속성 및 그룹 멤버십을 주기적으로 새로고침함)가 포함된 OIDC 승인 코드 플로우 또는 SCIM 2.0 프로비저닝을 구성합니다. 사용자가 OIDC 토큰 크기 한도를 초과하는 많은 그룹에 속해 있는 경우 SCIM 2.0 프로비저닝 을 구성하여 그룹 멤버십을 동기화합니다 Google Cloud.
- SAML 공급업체의 경우: 직원 풀 공급업체에서 SCIM 2.0 프로비저닝 을 구성합니다. SAML 어설션은 갱신 토큰을 기본적으로 제공하지 않으므로 오프라인 예약된 전송 및 알림을 사용 설정하려면 SCIM 2.0이 필요합니다.
액세스 컨텍스트 관리자 클라우드 결합을 사용하여 직원 풀의 확장된 세션 길이 정책 을 구성하고 정책을 90일 (7,776,000초)로 설정합니다.

이 정책은 최대 세션 시간과 갱신 토큰 유효성을 90일로 설정합니다. 확장된 세션 길이 정책이 구성되지 않았거나 더 짧은 기간으로 설정된 경우 직원 풀 갱신 토큰 유효성이 Looker의 세션 시간 설정보다 우선하므로 갱신 토큰이 만료되면 브라우저 세션, 오프라인 일정, 사용자 API 키, 연결된 애플리케이션에 재인증이 필요합니다.

2단계: 직원 주 구성원에게 IAM 권한 부여

직원 사용자가 Looker (Google Cloud 핵심 서비스) 인스턴스에 로그인하도록 하려면 직원 주 구성원 또는 그룹에 Looker 인스턴스 사용자 (roles/looker.instanceUser) 또는 Looker 관리자 (roles/looker.admin) IAM 역할을 부여합니다.

다음 주 구성원 식별자를 사용하여 개별 사용자, 전체 그룹 또는 직원 풀의 모든 주 구성원에게 역할을 부여할 수 있습니다.

단일 직원 사용자:

principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/SUBJECT_ID

직원 그룹:

principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID

직원 풀의 모든 주 구성원:

principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/*

IAM 역할 할당에 대한 자세한 내용은 IAM을 사용한 Looker (Google Cloud 핵심 서비스) 액세스 제어 문서 페이지를 참조하세요.

3단계: 직원 ID 제휴를 기본 인증 방법으로 선택

새 Looker (Google Cloud 핵심 서비스) 인스턴스를 만들 때 또는 기존 인스턴스를 수정하여 직원 ID 제휴를 기본 인증 방법으로 선택할 수 있습니다.

인스턴스 생성 중

새 Looker (Google Cloud 핵심 서비스) 인스턴스를 만들 때 직원 ID 제휴를 기본 인증 방법으로 선택할 수 있습니다.

콘솔

Google Cloud 콘솔에서 Looker (Google Cloud 핵심 서비스) 페이지로 이동합니다.
Looker (Google Cloud 핵심 서비스)로 이동
인스턴스 만들기 를 클릭합니다.
공개 보안 연결, Private Service Connect 연결 또는 비공개 서비스 액세스 연결을 사용하는 인스턴스 만들기 문서에 설명된 대로 인스턴스 이름, 리전, 버전 구성을 완료합니다.
인증 섹션에서 직원 ID 제휴 (SAML/OIDC) 를 기본 인증 방법으로 선택합니다.
만들기 를 클릭합니다.

OAuth를 보조 인증 방법으로 설정하려면 인스턴스가 생성된 후 인스턴스 구성을 수정합니다.

기존 인스턴스 수정 시

기존 Looker (Google Cloud 핵심 서비스) 인스턴스가 있는 경우 인스턴스 구성을 수정하여 직원 ID 제휴를 기본 인증 방법으로 선택하거나 OAuth를 보조 인증 방법으로 설정할 수 있습니다.

콘솔

Google Cloud 콘솔에서 Looker (Google Cloud 핵심 서비스) 페이지로 이동합니다.
Looker (Google Cloud 핵심 서비스)로 이동
수정하려는 인스턴스의 이름을 클릭합니다.
인스턴스 세부정보 탭에서 수정 을 클릭합니다.
인증 섹션에서 직원 ID 제휴 (SAML/OIDC) 를 기본 인증 방법으로 선택합니다.
(선택사항) 보조 인증 방법으로 OAuth를 허용하려면 보조 OAuth 사용 설정 전환 버튼을 사용 설정합니다.
저장 을 클릭합니다.

4단계: Looker에서 직원 ID 설정 구성

Looker (Google Cloud 핵심 서비스) 인스턴스가 생성되면 관리자는 Looker 관리자 패널의 직원 인증 페이지 내에서 사용자 속성 매핑, 그룹 미러링, 로그인 옵션을 구성할 수 있습니다.

관리자 Looker 역할이 있는 계정으로 Looker (Google Cloud 핵심 서비스) 인스턴스에 로그인합니다.
왼쪽 탐색 메뉴에서 관리자 > 인증 > 직원 ID 를 선택합니다.
다음 섹션에 설명된 설정을 구성합니다.

다음 설정에 대한 자세한 내용은 직원 인증 페이지 문서를 참조하세요.

사용자 계정 병합

사용자 사용 병합 필드에서 사용자가 직원 ID 제휴로 처음 로그인할 때 기존 사용자 계정을 병합해야 하는 인증 시스템을 선택합니다.

병합을 위해 지원되는 시스템은 다음과 같습니다.

Google
SAML
OIDC

로그인 페이지 우회

로그인 페이지 우회 옵션은 인증되지 않은 사용자가 기업 SSO 포털로 자동 리디렉션되는지 여부를 제어합니다.

사용 설정됨 (기본값): 사용자가 인스턴스 URL로 이동하면 Looker 로그인 페이지가 표시되지 않고 IdP 로그인 화면으로 자동 리디렉션됩니다.
사용 중지됨: 사용자에게 Looker 로그인 페이지가 표시되고 사용 가능한 인증 옵션 중에서 선택할 수 있습니다.

구성 저장 을 클릭하여 설정을 적용합니다.

사용자 속성 매핑

IdP 어설션의 클레임을 Looker 사용자 속성에 매핑합니다. 사용자 속성은 데이터베이스 연결을 매개변수화하고 행 수준 보안 필터를 적용하는 등 다양한 용도로 사용할 수 있습니다.

속성 매핑 섹션에서 Google 직원 속성을 해당 Looker 사용자 속성에 매핑합니다 (예: Looker에서 attribute.department를 department 사용자 속성에 매핑).

그룹 및 역할

그룹 미러링 또는 기본 역할 할당을 통해 사용자 역할을 관리할 수 있습니다.

IdP의 미러 그룹: 이 설정이 사용 설정되면 Looker (Google Cloud 핵심 서비스)는 IdP 토큰 어설션에 전달되는 그룹을 미러링하는 Looker 그룹을 만듭니다.
- 그룹 매핑 표에서 외부 IdP 그룹 이름을 Looker 그룹에 매핑하고 적절한 Looker 역할 (예: 뷰어, 사용자 또는 개발자)을 할당합니다.
신규 사용자 기본 역할: 그룹 미러링이 사용되지 않거나 사용자와 일치하지 않는 경우 처음 로그인 시 신규 사용자에게 부여할 기본 역할을 지정합니다.
신규 사용자 기본 그룹: 그룹 미러링이 사용되지 않거나 사용자와 일치하지 않는 경우 신규 사용자에게 할당할 기본 그룹을 지정합니다.

세션 관리 및 토큰 유효성

Looker (Google Cloud 핵심 서비스)의 사용자 세션 및 토큰은 직원 ID 풀 정책 (예: 확장된 세션 길이 정책)에 구성된 세션 시간 및 갱신 토큰 유효성에 의거하여 관리됩니다.

브라우저 세션: Looker 세션 시간 설정 은 영구 세션을 사용하는 경우 최대 30일의 세션을 지원합니다. 하지만 유효성이 Looker에 구성된 세션 시간보다 짧은 경우 직원 ID 풀의 갱신 토큰 유효성이 우선합니다. 갱신 토큰이 만료되면 사용자가 다시 로그인해야 합니다. 확장된 세션 길이 정책에서 90일의 갱신 토큰 유효성을 설정하는 것이 좋습니다.
예약된 전송 및 알림 (오프라인 작업): 백그라운드 작업은 일정 소유자에게 활성 IdP 토큰이 있는 한 실행됩니다. 일정 또는 알림 작성자가 90일 이상 (또는 직원 풀 세션 정책에 구성된 기간) 인스턴스에 로그인하지 않으면 오프라인 세션이 만료되고 해당 사용자가 소유한 예약된 전송 또는 알림이 일시중지됩니다. 일시중지된 일정 또는 알림을 재개하려면 소유자가 인스턴스에 로그인하거나 관리자가 일정 소유권을 할당해야 합니다.
Looker OAuth 서버 및 커넥터: Looker OAuth 서버 (예: 데이터 스튜디오, Connected Sheets, 서드 파티 커넥터)를 사용하는 통합은 30일 갱신 토큰 (또는 데이터 스튜디오의 만료되지 않는 갱신 토큰)을 사용합니다. 직원 풀 세션 시간이 90일 미만으로 설정된 경우 세션 시간이 만료되면 사용자가 Looker로 다시 인증해야 할 수 있습니다.
사용자 API 키: 사용자 API 키로 생성된 API 액세스 토큰은 1시간 동안 유효하며 활성 사용자 IdP 세션이 필요합니다. 사용자의 IdP 세션이 만료되면 (90일마다 또는 직원 풀 세션 시간에 따라) 사용자가 API 키를 계속 사용하려면 인스턴스에 다시 로그인해야 합니다.
서비스 계정 API 키: 서비스 계정 API 액세스 토큰은 직원 풀 세션 정책의 영향을 받지 않습니다.