Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Administratoreinstellungen – Google-Authentifizierung

Auf der Seite Google-Authentifizierung im Abschnitt Authentifizierung des Menüs Admin können Sie Google OAuth auf der Looker-Seite einrichten.

Funktionsübersicht

Looker kann die Authentifizierung mit Google OAuth für Nutzer durchführen, die Konten bei Google Workspace registriert haben.

Organisationen, die Google Workspace verwenden, können Looker-Nutzer authentifizieren, die Google-Konten haben.
Nutzer melden sich in Looker an, indem sie sich mit ihrem Google-Konto authentifizieren.
Neue Google-Konten erhalten automatisch Zugriff auf Looker. Sie müssen Nutzer nicht separat zu Looker einladen. Sie legen die Standardrolle für neue Nutzer fest, wodurch deren Zugriff auf Funktionen und Daten eingeschränkt werden kann.
Organisationen können die Spiegelung von Google-Gruppen konfigurieren, um Looker-Rollen und -Gruppen automatisch basierend auf der Mitgliedschaft in Google-Gruppen zuzuweisen.
Wenn diese Option aktiviert ist, authentifiziert Looker Nutzer nur mit Google OAuth, es sei denn, die Option „Alternative Anmeldung“ ist ausgewählt (siehe den folgenden Abschnitt E‑Mail-Anmeldungen aktivieren, während die Google-Authentifizierung aktiviert ist).
Der Google-Avatar eines Nutzers wird in der Navigationsleiste anstelle des Standardnutzersymbols angezeigt.

Wenn Sie Google OAuth aktivieren, kann die Looker-Instanz vorhandene Nutzerkonten mit der bei Google registrierten Domain zusammenführen. Dies ist jedoch nur für Konten möglich, deren E-Mail-Adresse mit der Domain übereinstimmt. Alle anderen Nicht-Administratorkonten können sich nicht mehr anmelden.
Alle Nutzer in der angegebenen Domain erhalten Zugriff auf die Looker-Instanz.
Die Berechtigungen für neue Google-Nutzer sind standardmäßig auf den einfachen Zugriff für eine bestimmte Liste von Modellen festgelegt. Optional kann auch der Zugriff auf null Modelle festgelegt werden. Berechtigungen können nach der Kontoerstellung von einem Administrator aktualisiert werden.
Neue Looker-Konten, die sich über Google OAuth authentifizieren, können nicht zur Passwortauthentifizierung wechseln, auch wenn OAuth für die Looker-Instanz deaktiviert ist.

Vorläufige Anforderungen

Für die Verwendung von Google OAuth ist Folgendes erforderlich:

Ein Google Workspace-Konto für die Organisation.
Eine Domain, die von der Organisation kontrolliert wird und für das Google Workspace-Konto registriert ist.
Nutzer mit E‑Mail-Adressen in der Domain, die mit dem Google-Konto verknüpft ist.
Jeder Nutzer muss ein verwaltetes Nutzerkonto in Google Workspace haben. Mit dem Übertragungstool für nicht verwaltete Nutzer können Sie Nutzer mit nicht verwalteten Nutzerkonten finden und migrieren.

Für die Verwendung der Spiegelung von Google-Gruppen gelten die folgenden zusätzlichen Anforderungen:

Im Google Cloud -Projekt, das Ihren OAuth-Client enthält, muss die Cloud Identity API (cloudidentity.googleapis.com) aktiviert sein.
Bei vom Kunden gehosteten Looker-Instanzen muss der Instanzhost ausgehenden Internetzugriff über HTTPS (cloudidentity.googleapis.com:443) haben.
Nutzer müssen die Berechtigung VIEW_MEMBERSHIP für die Google-Gruppen haben, zu denen sie gehören. Legen Sie in den Google Groups-Einstellungen das Feld Wer kann die Mitgliederliste sehen? auf Gruppenmitglieder fest.
Die Spiegelung von Google-Gruppen wird für Looker-Instanzen im FIPS-konformen Modus nicht unterstützt.

Authentifizierung mit Google OAuth aktivieren

Um die Authentifizierung mit Google OAuth zu aktivieren, muss ein Administrator sowohl auf der Google- als auch auf der Looker-Seite Schritte ausführen, wie in den folgenden Abschnitten beschrieben.

Einrichtung auf Google-Seite

In diesem Abschnitt werden die Schritte zum Aktivieren von Google OAuth auf der Google-Seite beschrieben. Eine allgemeine Beschreibung dieser Schritte finden Sie auf der Google-Supportseite OAuth 2.0 einrichten. Sie können auch die Google Cloud -Console-Hilfe lesen.

Rufen Sie die Google Cloud Console auf.
Klicken Sie im Drop-down-Menü Projekt auswählen auf den Abwärtspfeil. Möglicherweise wird im Drop-down-Menü der Name eines vorhandenen Projekts angezeigt. Klicken Sie trotzdem auf den Abwärtspfeil, um die Option zum Erstellen eines neuen Projekts aufzurufen.
Klicken Sie auf der Seite Projekt auswählen auf Neues Projekt.

In der Google Cloud Console wird die Seite Neues Projekt angezeigt.
Geben Sie die Informationen auf der Seite Neues Projekt ein und klicken Sie auf Erstellen.

Wenn die Google Cloud Console Ihr neues Projekt erstellt hat, werden Sie zur Google Cloud Console zurückgeleitet und Ihr neues Projekt wird angezeigt.
Optional: Wenn Sie die Spiegelung von Google-Gruppen verwenden möchten, aktivieren Sie die Cloud Identity API in Ihrem Projekt in Google Cloud . Wenn Sie diese API aktivieren, wird der Bereich https://www.googleapis.com/auth/cloud-identity.groups.readonly sichtbar, wenn Sie den OAuth-Zustimmungsbildschirm konfigurieren. Sie benötigen die IAM-Rolle (Identity and Access Management) Service Usage-Administrator (roles/serviceusage.serviceUsageAdmin), um APIs zu aktivieren.

API aktivieren
Wählen Sie im Menü auf der linken Seite APIs und Dienste > Anmeldedaten aus.
Klicken Sie auf der Seite Anmeldedaten auf den Button Anmeldedaten erstellen und wählen Sie im Drop-down-Menü OAuth-Client-ID aus.

In der Google Cloud Console wird die Seite OAuth-Client-ID erstellen angezeigt.
In der Google Cloud Konsole müssen Sie einen OAuth-Zustimmungsbildschirm konfigurieren. Dort können Nutzer festlegen, wie sie Zugriff auf ihre privaten Daten erteilen. Außerdem enthält er einen Link zu den Nutzungsbedingungen und der Datenschutzerklärung Ihrer Organisation. Klicken Sie auf Zustimmungsbildschirm konfigurieren. Wenn Sie die OAuth-Zustimmung für ein vorheriges Projekt konfiguriert haben, wird diese Option nicht angezeigt und Sie können mit Schritt 13 fortfahren.

In der Google Cloud Console wird die Seite OAuth-Zustimmungsbildschirm angezeigt.
Geben Sie die Domain Ihrer Looker-Instanz in das Feld Autorisierte Domains ein. Wenn Looker Ihre Instanz beispielsweise unter https://mycompany.looker.com hostet, lautet die Domain looker.com. Geben Sie bei von Kunden gehosteten Looker-Bereitstellungen die Domain ein, auf der Sie Looker hosten.
Konfigurieren Sie den OAuth-Zustimmungsbildschirm und klicken Sie auf Speichern und fortfahren.

Hinweis: Informationen zum Konfigurieren des OAuth-Zustimmungsbildschirms von Google finden Sie auf der Google Workspace-Seite OAuth konfigurieren.
Konfigurieren Sie auf der Seite Bereiche die Bereiche so:
- Wenn Sie die Spiegelung von Google-Gruppen verwenden möchten, klicken Sie auf Bereiche hinzufügen oder entfernen. Suchen Sie den Bereich https://www.googleapis.com/auth/cloud-identity.groups.readonly, klicken Sie das Kästchen daneben an und klicken Sie auf Aktualisieren. Wenn Sie diesen Bereich nicht sehen, prüfen Sie, ob Sie die Cloud Identity API in Ihrem Projekt inGoogle Cloud aktiviert haben.
- Wenn Sie die Spiegelung von Google-Gruppen nicht verwenden möchten, ist keine zusätzliche Bereichskonfiguration erforderlich.
Klicken Sie auf Speichern und fortfahren.

Achtung: Wenn das Feld Nutzertyp in Ihrem OAuth-Client auf Extern festgelegt ist, müssen Sie die Überprüfung des eingeschränkten Bereichs für die OAuth-Anwendung durchführen, wenn Sie den sensiblen Bereich https://www.googleapis.com/auth/cloud-identity.groups.readonly hinzufügen. Bis die OAuth-Anwendung von Google überprüft wurde, können sich Nutzer zwar anmelden, sehen aber während des Anmeldevorgangs eine Warnmeldung, da die Cloud Identity API ein sensibler Bereich ist.
Klicken Sie auf der Seite Zusammenfassung auf Zurück zum Dashboard.

In der Google Cloud Console werden Sie zur Seite OAuth-Client-ID erstellen zurückgeleitet.
Wählen Sie unter Anwendungstyp die Option Webanwendung aus.
Geben Sie im Feld Name einen Namen für Ihre OAuth-Client-ID ein.
Geben Sie im Feld Autorisierte JavaScript-Quellen die URL Ihrer Looker-Instanz ein, einschließlich https://. Beispiel:
- Wenn Looker Ihre Instanz hostet: https://mycompany.looker.com
- Wenn die Looker-Instanz vom Kunden gehostet wird: https://looker.mycompany.com
- Wenn die Looker-Instanz eine Portnummer erfordert: https://looker.mycompany.com:9999
Geben Sie im Feld Autorisierte Weiterleitungs-URIs die URL Ihrer Looker-Instanz ein, gefolgt von /oauth2callback. Beispiel: https://mycompany.looker.com/oauth2callback oder https://looker.mycompany.com:9999/oauth2callback.
Klicken Sie auf Erstellen.
Kopieren Sie die Werte für Ihre Client-ID und Ihren Clientschlüssel. Sie benötigen sie, um Looker zu konfigurieren.

Einrichtung in Looker

So aktivieren Sie Google OAuth in Looker:

Klicken Sie in der Looker-Anwendung, während Sie als Administrator angemeldet sind, auf das Drop-down-Menü Admin, um das Menü Admin zu öffnen.
Klicken Sie unter der Gruppe Authentifizierung auf Google. In Looker wird die Seite Google-Authentifizierung angezeigt.
Klicken Sie auf Aktiviert, um die Google OAuth-Einstellungen aufzurufen und zu bearbeiten. Dadurch wird die Google-Authentifizierung nicht sofort aktiviert. Du musst deine Auswahl später bestätigen.
Geben Sie Ihre Google Auth-Einstellungen ein.
- Client-ID und Clientschlüssel: Kopieren Sie diese Werte von der Google-Seite OAuth-Client und fügen Sie sie ein, wie in der vorherigen Google-Einrichtungsanleitung beschrieben.
- Domains: Die von Google verwalteten Domainnamen Ihrer Organisation. Jeder Google-Nutzer in der angegebenen Domain kann sich bei Ihrer Looker-Instanz anmelden. Wenn Sie mehrere Google-Domains verwalten, können Sie sie durch Kommas getrennt eingeben.
Warnung: Geben Sie nur Google-Domains ein, die von Ihrer Organisation verwaltet werden. Wenn Sie eine andere Domain eingeben, erhalten möglicherweise Nutzer einer Domain Zugriff, die Sie nicht kontrollieren.
Geben Sie Migrationsoptionen ein, die das Verhalten der Looker-Instanz während der Umstellung auf Google OAuth steuern.
- Alternative Anmeldung für Administratoren und bestimmte Nutzer: Administratoren und bestimmte Nutzer können sich weiterhin mit E‑Mail-Adresse und Passwort anmelden. Diese Einstellung aktiviert eine wichtige Fallback-Methode, um zu verhindern, dass Sie vollständig ausgesperrt werden, wenn das Google Cloud Projekt, das den Looker-OAuth-Client hostet, gelöscht oder deaktiviert wird (was auch nach der Wiederherstellung des Projekts zu einem 401-deleted_client-Fehler führen kann) oder wenn Google OAuth aus anderen Gründen fehlschlägt. Diese Einstellung wird dringend empfohlen und ist unter E‑Mail-Anmeldungen aktivieren, wenn die Google-Authentifizierung aktiviert ist näher beschrieben.
- Nutzer zusammenführen mit: Konvertiert vorhandene Nutzer, die E-Mail-Adressen in den angegebenen Domains haben, sodass sie bei ihrer nächsten Anmeldung Google OAuth verwenden (z. B. Looker-E-Mail/Passwort). Diese Einstellung wird empfohlen.
- Rollen für neue Nutzer: Gibt die Funktionen und den Modellzugriff an, die neue Nutzer ohne Administratorberechtigungen haben. Diese Liste kann später aktualisiert werden. Wenn Sie dieses Feld leer lassen, haben neue über Google authentifizierte Nutzer nur eingeschränkten Zugriff auf die Looker-Plattform, bis ein Administrator ihrem Konto eine Rolle hinzufügt. Da sich alle Nutzer in Ihrer Google-Domain in Looker anmelden können, sollten Sie eine Standardrolle für neue Nutzer festlegen, die den Zugriff entsprechend einschränkt.
Hinweis: Wenn Google Groups spiegeln aktiviert ist, wird die Einstellung Rollen für neue Nutzer ausgeblendet. Looker entfernt Rollen, die zuvor über Rollen für neue Nutzer zugewiesen wurden, bei der nächsten Anmeldung des jeweiligen Nutzers und ersetzt sie durch die Rollen, die über Google-Gruppen spiegeln zugewiesen wurden.
Konfigurieren Sie Gruppen und Rollen, um Google Groups optional in Looker-Gruppen zu spiegeln und Rollen automatisch zuzuweisen:

Wenn Sie verwaltete Google-Gruppen haben, kann Looker Looker-Gruppen erstellen, die die Mitgliedschaft Ihrer Google-Gruppen widerspiegeln. Das bedeutet, dass Sie Nutzer nicht direkt in Looker einrichten müssen, sondern den Nutzerzugriff über die Mitgliedschaft in den Google-Gruppen verwalten können. Darüber hinaus können Sie Looker-Gruppen verwenden, um Gruppenmitgliedern Rollen zuzuweisen, Zugriffssteuerungen für Inhalte festzulegen, den Zugriff auf Funktionen und Daten zu steuern und Nutzerattribute zuzuweisen.

Hinweis: Die Google OAuth-Gruppenspiegelung wird für Looker-Instanzen, die sich im FIPS-konformen Modus befinden, nicht unterstützt.
Achtung: Bei vom Kunden gehosteten Looker-Instanzen muss der Hostserver über HTTPS (cloudidentity.googleapis.com:443) ausgehenden Internetzugriff auf die Cloud Identity API haben. Vom Kunden gehostete Instanzen ohne ausgehenden Internetzugriff können die Google-Gruppenspiegelung nicht verwenden.

Damit die Gruppenspiegelung ordnungsgemäß funktioniert, müssen Nutzer die Berechtigung VIEW_MEMBERSHIP für die Google-Gruppen haben, zu denen sie gehören. Dadurch kann Looker ihre Gruppenmitgliedschaften bei der Anmeldung prüfen. Wenn Sie diese Berechtigung in den Google Groups-Einstellungen erteilen möchten, setzen Sie das Feld Wer darf die Mitgliederliste sehen? auf Gruppenmitglieder.

So aktivieren Sie die Gruppenspiegelung:
1. Aktivieren Sie die Option Google Groups spiegeln.
2. Klicken Sie auf Gruppen verwalten, um die Konfiguration der Gruppenzuordnung zu öffnen.
3. Füllen Sie für jede Google-Gruppe, die Sie spiegeln möchten, die folgenden Felder aus:
  - Name der Looker-Gruppe: Geben Sie einen Namen für die Looker-Gruppe ein. Dieser Name wird in Looker auf der Seite Gruppen angezeigt.
  - Google Groups-ID: Geben Sie den Namen oder die E-Mail-Adresse der Google-Gruppe ein, die gespiegelt werden soll.
  - Rollen: Wählen Sie eine oder mehrere Looker-Rollen aus, die Sie den Mitgliedern der Gruppe zuweisen möchten.
Looker erstellt für jede Google-Gruppe, die Sie der Konfiguration hinzufügen, eine Looker-Gruppe. Sie können diese Gruppen in Looker auf der Seite Gruppen aufrufen.

Hinweis: Looker ruft nur direkte Gruppenmitgliedschaften des Nutzers ab. Transitive oder hierarchische Gruppenmitgliedschaften funktionieren nicht.

Looker wendet die gespiegelten Looker-Gruppen (und alle zugehörigen Rollen und Zugriffsrechte) an, wenn sich Nutzer in der Looker-Instanz anmelden. Änderungen an Gruppenmitgliedschaften in Google Groups werden bei der nächsten Anmeldung des jeweiligen Nutzers aktualisiert.

Google-Gruppen spiegeln

Nachdem Sie die Spiegelung von Google-Gruppen konfiguriert haben, können Sie gespiegelte Gruppen bearbeiten oder deaktivieren und erweiterte Optionen für die Rollenverwaltung konfigurieren, wie in den folgenden Abschnitten beschrieben.

Gespiegelte Gruppen bearbeiten

Wenn Sie Änderungen an einer Google Groups-Mitgliedschaft vornehmen, werden diese Änderungen automatisch an die Mitgliedschaft der gespiegelten Looker-Gruppe weitergegeben und bei der nächsten Anmeldung des jeweiligen Nutzers validiert.

Wenn Sie den Looker-Gruppennamen oder die Rolle bearbeiten, die einer Gruppe auf der Seite Google-Authentifizierung zugewiesen ist, ändert sich die Darstellung der gespiegelten Gruppe auf der Seite Gruppen oder die der Gruppe zugewiesenen Rollen. Die Gruppenmitglieder ändern sich jedoch nicht.

Wenn Sie den Namen oder die E-Mail-Adresse im Feld Google-Gruppen-ID in eine neue Google-Gruppen-ID ändern, werden die Mitglieder der gespiegelten Looker-Gruppe in die Mitglieder der neuen Google-Gruppe geändert. Der Gruppenname und die Rollen, die auf der Seite Google-Authentifizierung definiert sind, bleiben dabei erhalten.

Looker wendet alle Änderungen, die Sie an einer gespiegelten Gruppe vornehmen, auf die Nutzer dieser Gruppe an, wenn sie sich das nächste Mal bei Looker anmelden.

Gespiegelte Gruppen deaktivieren

Wenn Sie die Spiegelung Ihrer Google-Gruppen in Looker beenden möchten, deaktivieren Sie auf der Seite Google-Authentifizierung die Option Google-Gruppen spiegeln. Wenn Sie die Option deaktivieren, hat das folgende Auswirkungen:

Gespiegelte Google-Gruppen ohne Nutzer werden sofort gelöscht.
Alle gespiegelten Google-Gruppen, die Nutzer enthalten, werden als verwaist markiert. Nutzer können verwaisten Gruppen nicht mehr hinzugefügt oder daraus entfernt werden. Wenn sich innerhalb von 31 Tagen keine Nutzer aus einer verwaisten Gruppe anmelden, wird die Gruppe gelöscht.

Erweiterte Rollenverwaltung

Wenn die Option Google-Gruppen spiegeln aktiviert ist, werden im Abschnitt Erweiterte Rollenverwaltung Optionen angezeigt, mit denen festgelegt wird, wie streng Looker-Administratoren Looker-Gruppen und Nutzer konfigurieren können, die von Google gespiegelt wurden.

Wenn die Konfiguration Ihrer Looker-Gruppen und -Nutzer genau mit der Konfiguration Ihrer Google-Gruppen übereinstimmen soll, wählen Sie alle Optionen für die erweiterte Rollenverwaltung aus. Wenn alle Optionen aktiviert sind, können Looker-Administratoren gespiegelte Gruppenmitgliedschaften nicht direkt ändern und Rollen nur über Google Groups zuweisen.

Wenn Sie mehr Flexibilität beim Anpassen von Gruppen in Looker wünschen, lassen Sie diese Optionen deaktiviert. Ihre Looker-Gruppen spiegeln weiterhin Ihre Google Groups-Konfiguration wider. Sie können jedoch in Looker zusätzliche Gruppen- und Nutzerverwaltungsaufgaben ausführen, z. B. Google-Nutzer zu integrierten Looker-Gruppen hinzufügen oder Google-Nutzern direkt Rollen zuweisen.

Der Abschnitt Erweiterte Rollenverwaltung enthält die folgenden Optionen:

Verhindern, dass einzelne Google-Nutzer direkte Rollen erhalten: Wenn Sie diese Option aktivieren, können Looker-Administratoren Google-Nutzern keine Looker-Rollen direkt zuweisen. Google-Nutzer erhalten Rollen nur über ihre Gruppenmitgliedschaften. Wenn Google-Nutzer Mitglied in integrierten (nicht gespiegelten) Looker-Gruppen sein dürfen, können sie weiterhin Rollen sowohl von gespiegelten Google-Gruppen als auch von integrierten Looker-Gruppen übernehmen. Bei allen Google-Nutzern, denen zuvor direkt Rollen zugewiesen wurden, werden diese Rollen bei der nächsten Anmeldung entfernt.

Achtung: Wenn Sie Verhindern, dass einzelne Google-Nutzer direkte Rollen erhalten auf einer Looker (Original)-Instanz aktivieren, verlieren alle Administratoren, die sich mit Google OAuth anmelden, ihre direkt zugewiesene Administratorrolle bei der nächsten Anmeldung, es sei denn, ihnen wird die Administratorrolle über eine gespiegelte Google-Gruppe zugewiesen oder sie melden sich über Alternative Anmeldung für Administratoren an. Bevor Sie diese Option aktivieren, müssen Sie eine Google-Gruppe für Administratoren der Rolle „Admin“ zuweisen oder prüfen, ob die alternative Anmeldung für Administratoren aktiviert ist.
Direkte Mitgliedschaft in nicht von Google verwalteten Gruppen verhindern: Mit dieser Option wird verhindert, dass Looker-Administratoren Mitglieder gespiegelter Gruppen direkt zu integrierten Looker-Gruppen hinzufügen, die nicht Teil der Konfiguration der gespiegelten Gruppe auf der Seite Google-Authentifizierung sind.

Wenn diese Option ausgewählt ist, werden alle Google-Nutzer, die zuvor integrierten Looker-Gruppen zugewiesen waren, bei der nächsten Anmeldung aus diesen Gruppen entfernt.

Wenn diese Option deaktiviert ist, können Looker-Administratoren Google-Nutzer direkt zu integrierten Looker-Gruppen hinzufügen.
Übernahme von Rollen aus nicht von Google verwalteten Gruppen verhindern: Mit dieser Option wird verhindert, dass Mitglieder gespiegelter Gruppen Rollen von integrierten Looker-Gruppen übernehmen. Wenn gespiegelte Google-Gruppen Mitglieder von integrierten Looker-Gruppen sein dürfen, können Google-Nutzer die Mitgliedschaft in integrierten Looker-Gruppen behalten. Google-Nutzer, die zuvor Rollen von einer integrierten Gruppe geerbt haben, verlieren diese Rollen jedoch bei der nächsten Anmeldung.

Wenn diese Option deaktiviert ist, erben gespiegelte Gruppen oder Google-Nutzer, die als Mitglieder einer integrierten Looker-Gruppe hinzugefügt werden, die dieser integrierten Gruppe zugewiesenen Rollen.
Auth Requires Role (Authentifizierung erfordert Rolle): Wenn diese Option aktiviert ist, müssen Google-Nutzer eine zugewiesene Looker-Rolle haben. Wenn diese Option aktiviert ist, müssen Google-Nutzer eine zugewiesene Looker-Rolle haben, um sich überhaupt in Looker anmelden zu können.

Wenn diese Option deaktiviert ist, können sich Google-Nutzer auch dann bei Looker authentifizieren, wenn ihnen keine Rolle zugewiesen ist. Ein Nutzer ohne zugewiesene Rolle kann in Looker keine Daten sehen oder Aktionen ausführen, sich aber anmelden.

Nutzerauthentifizierung testen

Klicken Sie auf Google-Authentifizierung testen, um die aktuellen Einstellungen zu verwenden und zu versuchen, den aktuellen Browser in einem neuen Fenster zu authentifizieren. Bei dieser Aktion werden die aktuellen Einstellungen nicht gespeichert oder auf die Looker-Instanz angewendet.

Wenn Sie nicht in Google angemeldet sind, werden Sie aufgefordert, sich anzumelden und Ihre Einwilligung zur Verwendung Ihrer Google-Kontoinformationen zu geben. In diesem Ablauf werden die benutzerdefinierten Einstellungen für den Zustimmungsbildschirm verwendet, die Sie bei der Einrichtung auf Google-Seite verwendet haben.

Wenn der Vorgang erfolgreich war, wird der Bereich Nutzerinformationen mit Ihrem Namen, Ihrer E-Mail-Adresse und Ihrer Domain sowie allen gespiegelten Google-Gruppen angezeigt, die für Ihr Konto erkannt wurden. Das Vorhandensein dieses Abschnitts User Info zeigt, dass dieser Nutzer von Looker erfolgreich authentifiziert wurde.

Bei einem Fehler werden Fehlerbeschreibungen angezeigt. Zu den häufigsten Problemen zählen folgende:
- Client-ID oder Clientschlüssel falsch kopiert. Diese müssen sorgfältig und vollständig kopiert und eingefügt werden.
- Der Nutzer befindet sich außerhalb der Domain. Wenn Sie den Bereich Personeninfo, aber nicht Nutzerinfo sehen, befindet sich der Nutzer wahrscheinlich nicht in der von Ihnen angegebenen Domain. Das bedeutet, dass sich die Person korrekt bei Google authentifiziert hat, aber kein Google-Konto verwendet, das Sie für Ihre Looker-Instanz zugelassen haben.
- Eine Looker-URL oder Weiterleitungs-URL ist in Google für Ihre Looker-Instanz nicht richtig eingerichtet.
- Wenn Google Groups nicht geladen werden, prüfen Sie, ob die Cloud Identity API in Ihrem Projekt in Google Cloud aktiviert ist, ob der Bereich https://www.googleapis.com/auth/cloud-identity.groups.readonly hinzugefügt wurde und ob der Nutzer die Berechtigungen VIEW_MEMBERSHIP für seine Google Groups hat.
Wählen Sie Ich habe die obige Konfiguration bestätigt und möchte sie global anwenden aus, um die Änderungen zu speichern und anzuwenden. Klicken Sie auf Aktualisieren.

Google-Authentifizierung mit der API konfigurieren

Administratoren können die Google-Authentifizierungseinstellungen und die Zuordnungen von Gruppenrollen programmatisch über die google_config-Endpunkte in der Looker API lesen und aktualisieren. Weitere Informationen finden Sie in der Looker API-Referenz.

Tipps

Wenn Sie den gesamten Authentifizierungszyklus testen möchten, können Sie sich von Google abmelden. Wenn Sie sich dann in Looker anmelden, werden Sie von Google aufgefordert, sich noch einmal anzumelden.
In Google können Sie im Drop-down-Menü „Persönlich“ (neben Ihrer E-Mail-Adresse oben rechts auf einer Google Workspace-Seite) auf Konto klicken, um Ihr persönliches Konto zu verwalten.

Auf dieser Verwaltungsseite gibt es den Tab Sicherheit mit dem Bereich Kontoberechtigungen. Wenn Sie auf Apps und Websites Alle ansehen klicken, können Sie die Dienste und Apps sehen und verwalten, denen Sie Berechtigungen erteilt haben.

Wenn Sie auf die Looker-Berechtigungen klicken, die Sie für die Anmeldung gewährt haben, werden die Details angezeigt, die Nutzer auf dem zuvor von Ihnen angepassten Zustimmungsbildschirm sehen. Sie können auch auf Zugriff widerrufen klicken, damit Sie bei der nächsten Anmeldung in Looker (oder beim Testen der Autorisierung) noch einmal den Zustimmungsbildschirm sehen. In diesem Workflow können Sie Ihren Zustimmungsbildschirm anpassen und sich ansehen, was Nutzer sehen werden.

Fehlerbehebung

Zur Behebung von Authentifizierungsproblemen können Sie das Dashboard „User Activity“ in „System Activity“ verwenden. Dieses Dashboard enthält Kacheln, auf denen die letzten fehlgeschlagenen Anmeldeversuche angezeigt werden, einschließlich der verwendeten Authentifizierungsmethode, der zurückgegebenen Fehlermeldung und der Uhrzeit des Versuchs.

Wenn der Anmeldeversuch eines Nutzers fehlschlägt, prüfen Sie zuerst, ob der Nutzer sowohl einen Vor- als auch einen Nachnamen in seinem Google-Konto angegeben hat. Wenn der Benutzer entweder seinen Vor- oder Nachnamen aus seinem Google-Konto gelöscht hat, kann Looker den Benutzer möglicherweise nicht mit Google OAuth authentifizieren.
Wenn der Anmeldeversuch eines Nutzers fehlschlägt und Looker einen Fehler wie User not in the authorized domain anzeigt, prüfen Sie das Feld hd der JSON-Antwort. Wenn das Feld hd eine Domain enthält, muss diese Domain in Ihrem Google Workspace-Konto registriert sein. Wenn das Feld hd leer ist, können Sie das Übertragungstool für nicht verwaltete Nutzer verwenden, um den Nutzer einzuladen, sein Konto in ein verwaltetes Konto innerhalb Ihrer Domain umzuwandeln.
Wenn der Anmeldeversuch eines Nutzers fehlschlägt, Looker aber keine Fehlermeldung anzeigt, hat der Nutzer möglicherweise den Namen seines Google Workspace-Kontos bearbeitet und entweder seinen Vor- oder Nachnamen gelöscht. In diesem Fall wird der Name des Google Workspace-Kontos in der Admin-Konsole möglicherweise weiterhin vollständig angezeigt, ohne die Änderungen des Nutzers. Um dieses Problem zu vermeiden, können Google Workspace-Administratoren die Option Nutzern erlauben, diese Einstellung anzupassen deaktivieren.
Wenn die Google-Authentifizierung den Fehler 401 deleted_client zurückgibt, bedeutet dies, dass das Google Cloud Projekt, in dem der Looker-OAuth-Client gehostet wird, gelöscht oder deaktiviert wurde. Auch wenn das Projekt Google Cloud anschließend wiederhergestellt wird, kann der OAuth-Client weiterhin mit dem Fehler deleted_client fehlschlagen, was zu einer vollständigen Sperrung der Anmeldung für alle Nutzer führt. Wenn die Google-Authentifizierung die einzige aktivierte Authentifizierungsmethode ist, wird durch diese Sperre auch Administratoren der Zugriff verwehrt.

Damit Sie sich im Falle einer Löschung oder eines Ausfalls des OAuth-Clients nicht vollständig aussperren, müssen Sie die Einstellung Alternative Anmeldung für Administratoren aktivieren. Diese Einstellung sorgt dafür, dass Administratoren eine Fallback-Log-in-Methode haben, um auf die Looker-Instanz zuzugreifen und die Authentifizierungseinstellungen zu aktualisieren.

E‑Mail-Anmeldungen aktivieren, während die Google-Authentifizierung aktiviert ist

Neue Google-Konten erhalten automatisch Zugriff auf Looker. Nutzer in Ihrer Google-Domain müssen also nicht hinzugefügt werden.

So fügen Sie einen Nutzer mit einer E-Mail-Adresse hinzu, die nicht in Ihrer Google-Domain enthalten ist:

Aktivieren Sie auf der Seite „Google Auth“ die Option Alternative Anmeldung für Administratoren und bestimmte Nutzer.
Erstellen Sie eine neue Nutzerrolle oder ändern Sie eine vorhandene, um die Berechtigung login_special_email hinzuzufügen.
Rufen Sie im Bereich „Nutzer“ (/admin/users/new) die Option Nutzer hinzufügen auf.
Fügen Sie die E‑Mail-Adressen hinzu, die Sie einbeziehen möchten, und die Rollen, die diese Nutzer haben sollen. Dazu muss eine Rolle mit der Berechtigung login_special_email gehören.
Diese Nutzer können sich jetzt über https://mycompany.looker.com/login/email (ausgeblendete URL) anmelden.

Google-Authentifizierung deaktivieren, nachdem sie aktiviert wurde

Wenn Sie die Google-Authentifizierung für Ihre Looker-Instanz deaktivieren möchten, nachdem sie bereits aktiviert wurde, sollten Sie Folgendes beachten:

Nutzer, die vor der Einführung der Google-Authentifizierung erstellt wurden und bereits eine normale E‑Mail-Anmeldung und ein Passwort eingerichtet haben, können sich weiterhin anmelden.
Nutzer, die nach dem Hinzufügen der Google-Authentifizierung erstellt wurden, können sich nicht mehr anmelden. Die Konten der Nutzer bleiben zwar bestehen, sie können jedoch nicht mehr darauf zugreifen. Die Konten sind also verwaist.

Daher empfehlen wir, diese Route zu vermeiden. Wenn Sie diesen Weg gehen müssen, gibt es möglicherweise eine Methode, die verwaisten Konten mithilfe der Looker API zu korrigieren. Wenden Sie sich an den Looker-Support, um weitere Unterstützung zu erhalten.