Setelan admin - Autentikasi Google

Catatan: Penyiapan autentikasi Google di Looker (Google Cloud core) dibahas di halaman dokumentasi Menggunakan Google OAuth untuk autentikasi pengguna Looker (Google Cloud core).

Halaman Google Authentication di bagian Authentication pada menu Admin memungkinkan Anda menyiapkan Google OAuth di sisi Looker.

Catatan: Jika Anda memiliki izin yang hanya memberikan akses ke halaman tertentu di panel Admin, seperti manage_schedules, manage_themes, atau see_admin, tetapi Anda tidak memiliki Peran admin, halaman yang dijelaskan di sini mungkin tidak terlihat oleh Anda di panel Admin.

Ringkasan fitur

Looker dapat melakukan autentikasi menggunakan Google OAuth untuk pengguna yang memiliki akun yang terdaftar di Google Workspace.

• Organisasi yang menggunakan Google Workspace dapat mengautentikasi pengguna Looker yang memiliki Akun Google.
• Pengguna login ke Looker dengan melakukan autentikasi menggunakan Akun Google mereka.
• Akun Google baru akan otomatis mendapatkan akses ke Looker. Tidak perlu mengundang pengguna ke Looker secara terpisah. Anda menetapkan peran default untuk pengguna baru, yang dapat membatasi akses mereka ke fungsi dan data.
• Organisasi dapat mengonfigurasi pencerminan Google Grup untuk otomatis menetapkan peran dan grup Looker berdasarkan keanggotaan Google Grup.
• Jika diaktifkan, Looker akan mengautentikasi pengguna hanya dengan Google OAuth kecuali jika opsi "login alternatif" dipilih (lihat bagian berikut tentang Mengaktifkan login email saat Google Auth diaktifkan).
• Avatar Google pengguna muncul di menu navigasi, bukan simbol pengguna standar.

Peringatan: Perilaku berikut dapat memengaruhi keputusan Anda untuk menggunakan Google OAuth:

• Saat mengaktifkan Google OAuth, instance Looker dapat menggabungkan akun pengguna yang ada dengan domain yang terdaftar di Google, tetapi hanya untuk akun yang alamat emailnya cocok dengan domain tersebut. Semua akun non-admin lainnya akan kehilangan kemampuan untuk login.
• Semua pengguna di domain yang ditentukan akan mendapatkan akses ke instance Looker.
• Izin untuk pengguna Google baru ditetapkan secara default ke akses dasar untuk daftar model tertentu (yang dapat, secara opsional, berupa akses ke nol model). Izin dapat diperbarui oleh admin setelah pembuatan akun.
• Akun Looker baru yang melakukan autentikasi menggunakan Google OAuth tidak dapat beralih ke autentikasi sandi, meskipun OAuth dinonaktifkan untuk instance Looker.

Persyaratan awal

Penggunaan Google OAuth memerlukan hal berikut:

• Akun Google Workspace untuk organisasi.
• Domain yang dikontrol oleh organisasi dan didaftarkan ke akun Google Workspace Google.
• Pengguna dengan alamat email di domain yang terkait dengan Akun Google.
• Setiap pengguna harus memiliki akun pengguna terkelola di Google Workspace. Untuk menemukan dan memigrasikan pengguna dengan akun pengguna yang tidak dikelola, gunakan Alat transfer untuk pengguna yang tidak dikelola.

Untuk menggunakan pencerminan Google Grup, persyaratan tambahan berikut berlaku:

• Dalam project Google Cloud yang berisi klien OAuth Anda, Cloud Identity API (cloudidentity.googleapis.com) harus diaktifkan.
• Untuk instance Looker yang dihosting pelanggan, host instance harus memiliki akses internet keluar melalui HTTPS (cloudidentity.googleapis.com:443).
• Pengguna harus memiliki izin VIEW_MEMBERSHIP di Google Grup tempat mereka bergabung. Di setelan Google Grup, tetapkan kolom Siapa yang dapat melihat anggota ke Anggota grup.
• Pencerminan Google Grup tidak didukung untuk instance Looker yang berada dalam mode yang mematuhi FIPS.

Mengaktifkan autentikasi dengan Google OAuth

Mengaktifkan autentikasi dengan Google OAuth mengharuskan administrator melakukan langkah-langkah di sisi Google dan di sisi Looker, seperti yang dijelaskan di bagian berikut.

Penyiapan di sisi Google

Langkah-langkah untuk mengaktifkan Google OAuth di sisi Google dijelaskan di bagian ini. Deskripsi umum langkah-langkah ini ada di halaman dukungan Google tentang menyiapkan OAuth 2.0. Anda juga dapat membaca dokumentasi Bantuan konsolGoogle Cloud .

1. Buka Google Cloud console.

2. Klik panah bawah di drop-down Select a project. Anda mungkin melihat nama project yang ada di menu drop-down; klik panah bawah, dan Anda akan diarahkan ke opsi untuk membuat project baru.

3. Di halaman Select a project, klik New Project.

   Konsol Google Cloud menampilkan halaman New Project.

4. Isi informasi di halaman New Project, lalu klik Create.

   Setelah konsol Google Cloud selesai membuat project baru, Google akan mengembalikan Anda ke konsol Google Cloud dan menampilkan project baru Anda.

5. Opsional: Jika Anda berencana menggunakan pencerminan Google Grup, aktifkan Cloud Identity API di project Google Cloud Anda. Mengaktifkan API ini akan membuat cakupan https://www.googleapis.com/auth/cloud-identity.groups.readonly terlihat saat Anda mengonfigurasi layar izin OAuth. Anda harus memiliki peran Identity and Access Management (IAM) Service Usage Admin (roles/serviceusage.serviceUsageAdmin) untuk mengaktifkan API.

   Mengaktifkan API

6. Di menu kiri, pilih APIs & Services > Credentials.

7. Di halaman Credentials, klik tombol Create credentials, lalu pilih OAuth client ID dari menu drop-down.

   Konsol Google Cloud akan menampilkan halaman Create OAuth client ID.

8. Konsol Google Cloud mengharuskan Anda mengonfigurasi layar izin OAuth, yang memungkinkan pengguna memilih cara memberikan akses ke data pribadi mereka dan menyediakan link ke persyaratan layanan dan kebijakan privasi organisasi Anda. Klik Konfigurasi layar izin. (Jika Anda telah mengonfigurasi izin OAuth untuk project sebelumnya, Anda tidak akan melihat opsi ini, dan Anda dapat langsung melanjutkan ke langkah 13.)

   Konsol Google Cloud akan menampilkan halaman layar izin OAuth.

9. Masukkan domain instance Looker Anda di kolom Authorized domains. Misalnya, jika Looker menghosting instance Anda di https://mycompany.looker.com, domainnya adalah looker.com. Untuk deployment Looker yang dihosting pelanggan, masukkan domain tempat Anda menghosting Looker.

10. Konfigurasi layar izin OAuth Anda, lalu klik Save and Continue.

    Catatan: Untuk mengetahui informasi tentang cara mengonfigurasi layar izin OAuth Google, lihat halaman Mengonfigurasi OAuth Google Workspace.

11. Di halaman Scopes, konfigurasikan cakupan sebagai berikut:

    • Jika Anda berencana menggunakan pencerminan Google Grup, klik Add or remove scopes. Temukan cakupan https://www.googleapis.com/auth/cloud-identity.groups.readonly, centang kotak di sampingnya, lalu klik Update. Jika Anda tidak melihat cakupan ini, pastikan Anda telah mengaktifkan Cloud Identity API di projectGoogle Cloud Anda.
    • Jika Anda tidak berencana menggunakan pencerminan Google Grup, Anda tidak perlu melakukan konfigurasi cakupan tambahan.

    Klik Simpan dan Lanjutkan.

    Perhatian: Jika kolom User Type di klien OAuth Anda ditetapkan ke External, Anda harus menyelesaikan verifikasi cakupan yang dibatasi untuk aplikasi OAuth saat menambahkan cakupan https://www.googleapis.com/auth/cloud-identity.groups.readonly yang sensitif. Sebelum aplikasi OAuth diverifikasi oleh Google, pengguna akan dapat login, tetapi mereka akan melihat pesan peringatan selama proses login karena Cloud Identity API adalah cakupan sensitif.

12. Pada halaman Ringkasan, klik Kembali ke Dasbor.

    Konsol Google Cloud akan mengembalikan Anda ke halaman Create OAuth client ID.

13. Di bagian Jenis aplikasi, pilih aplikasi web.

14. Di kolom Name, masukkan nama untuk client ID OAuth Anda.

15. Di kolom Authorized JavaScript origins, masukkan URL ke instance Looker Anda, termasuk https://. Contoh:

    • Jika Looker menghosting instance Anda: https://mycompany.looker.com
    • Jika Anda memiliki instance Looker yang dihosting pelanggan: https://looker.mycompany.com
    • Jika instance Looker Anda memerlukan nomor port: https://looker.mycompany.com:9999

16. Di kolom Authorized redirect URIs, masukkan URL ke instance Looker Anda, diikuti dengan /oauth2callback. Misalnya: https://mycompany.looker.com/oauth2callback atau https://looker.mycompany.com:9999/oauth2callback.

17. Klik Create.

18. Salin nilai client ID dan rahasia klien Anda — Anda akan memerlukannya untuk mengonfigurasi Looker.

Penyiapan di sisi Looker

Untuk mengaktifkan Google OAuth di sisi Looker, ikuti langkah-langkah berikut.

1. Dari aplikasi Looker, saat login sebagai administrator, klik drop-down Admin untuk membuka menu Admin.

2. Di bagian grup Authentication, klik Google. Looker akan menampilkan halaman Google Authentication.

3. Klik Enabled untuk menampilkan dan mengedit setelan Google OAuth. (Tindakan ini tidak langsung mengaktifkan autentikasi Google; Anda harus mengonfirmasi pilihan Anda nanti).

4. Masukkan Setelan Google Auth Anda.

   • Client ID dan Rahasia Klien - Salin dan tempel nilai ini dari halaman klien OAuth Google, seperti yang dibahas dalam petunjuk penyiapan Google sebelumnya.
   • Domain - Nama domain organisasi Anda yang dikelola Google. Setiap pengguna Google di domain yang ditentukan dapat login ke instance Looker Anda. Jika Anda mengontrol beberapa domain Google, Anda dapat memasukkannya dengan dipisahkan koma.
   Peringatan: Hanya masukkan domain Google yang dikontrol oleh organisasi Anda. Memasukkan domain lain dapat membuka akses ke pengguna domain yang tidak Anda kontrol.

5. Masukkan Migration Options, yang mengontrol perilaku instance Looker selama transisi ke Google OAuth.

   • Login alternatif untuk admin dan pengguna tertentu - Memungkinkan administrator dan pengguna tertentu terus login dengan email dan sandi. Setelan ini mengaktifkan metode penggantian penting untuk mencegah penguncian total jika Google Cloud project yang menghosting klien OAuth Looker dihapus atau dinonaktifkan (yang dapat menyebabkan error 401 deleted_client bahkan setelah pemulihan project), atau jika Google OAuth gagal karena alasan lain. Setelan ini sangat direkomendasikan dan dijelaskan lebih lanjut di Mengaktifkan login email saat Google Auth diaktifkan.
   • Merge Users Using - Mengonversi pengguna yang ada yang memiliki alamat email di Domain yang ditentukan untuk menggunakan Google OAuth saat login berikutnya (seperti Looker Email/Password). Setelan ini direkomendasikan.
   • Peran untuk pengguna baru - Menentukan fungsi dan akses model yang dimiliki pengguna baru non-admin. Daftar ini dapat diperbarui nanti. Jika dibiarkan kosong, pengguna baru yang diautentikasi Google akan memiliki fungsi terbatas di dalam platform Looker hingga admin menambahkan peran ke akun mereka. Karena semua pengguna dalam domain Google Anda akan dapat login ke Looker, pertimbangkan untuk menentukan peran default bagi pengguna baru yang membatasi akses dengan tepat.
   Catatan: Jika Mirror Google Groups diaktifkan, setelan Peran untuk pengguna baru akan disembunyikan. Looker akan menghapus peran yang sebelumnya ditetapkan oleh Roles for new users pada login berikutnya dari setiap pengguna dan menggantinya dengan peran yang ditetapkan melalui Mirror Google Groups.

6. Konfigurasikan Groups & Roles untuk mencerminkan Google Grup ke grup Looker secara opsional dan menetapkan peran secara otomatis:

   Jika Anda memiliki Google Grup terkelola, Looker dapat membuat grup Looker yang mencerminkan keanggotaan Google Grup Anda, yang berarti Anda tidak perlu menyiapkan pengguna di Looker secara langsung, tetapi dapat mengelola akses pengguna dengan mengelola keanggotaan Google Grup. Selain itu, Anda dapat menggunakan grup Looker untuk menetapkan peran kepada anggota grup, menetapkan kontrol akses konten, mengontrol akses fitur dan data, serta menetapkan atribut pengguna.

   Catatan: Pencerminan grup Google OAuth tidak didukung untuk instance Looker yang dalam mode yang mematuhi FIPS.
   Perhatian: Untuk instance Looker yang dihosting pelanggan, server host harus memiliki akses internet keluar ke Cloud Identity API melalui HTTPS (cloudidentity.googleapis.com:443). Instance yang dihosting pelanggan tanpa akses internet keluar tidak dapat menggunakan pencerminan Google Grup.

   Agar pencerminan grup berfungsi dengan benar, pengguna harus memiliki izin VIEW_MEMBERSHIP di Google Grup tempat mereka tergabung, yang memungkinkan Looker memeriksa keanggotaan grup mereka saat login. Untuk memberikan izin ini di setelan Google Grup, tetapkan kolom Siapa yang dapat melihat anggota ke Anggota grup.

   Untuk mengaktifkan pencerminan grup, ikuti langkah-langkah berikut:

   1. Aktifkan tombol Mirror Google Groups.
   2. Klik Manage Groups untuk membuka konfigurasi pemetaan grup.
   3. Lengkapi kolom berikut untuk setiap Grup Google yang ingin Anda duplikasi:
      • Looker Group Name: Masukkan nama untuk grup Looker. Nama ini akan muncul di halaman Groups dalam Looker.
      • ID Google Grup: Masukkan nama atau alamat email Google Grup yang akan diduplikasi.
      • Roles: Pilih satu atau beberapa peran Looker untuk ditetapkan kepada anggota grup.

   Looker membuat satu grup Looker untuk setiap Grup Google yang Anda tambahkan ke konfigurasi. Anda dapat melihat grup tersebut di halaman Grup di Looker.

   Catatan: Looker hanya mengambil keanggotaan grup langsung pengguna. Keanggotaan grup transitif atau hierarkis tidak akan berfungsi.

   Looker menerapkan grup Looker yang diduplikasi (dan peran serta akses terkait) saat pengguna login ke instance Looker. Perubahan pada keanggotaan grup di Google Grup diperbarui saat setiap pengguna login berikutnya.

Mirror Google Grup

Setelah mengonfigurasi pencerminan Google Grup, Anda dapat mengedit atau menonaktifkan grup yang dicerminkan, dan mengonfigurasi opsi pengelolaan peran lanjutan seperti yang dijelaskan di bagian berikut.

Mengedit grup yang diduplikasi

Saat Anda membuat perubahan pada keanggotaan Google Grup, perubahan tersebut akan otomatis diterapkan ke keanggotaan grup Looker yang diduplikasi dan divalidasi pada saat login berikutnya setiap pengguna.

Jika Anda mengedit Nama Grup Looker atau Peran yang ditetapkan ke grup di halaman Google Authentication, tindakan ini akan mengubah tampilan grup yang diduplikasi di halaman Grup atau peran yang ditetapkan ke grup, tetapi tidak mengubah anggota grup.

Jika Anda mengubah nama atau email di kolom Google Group ID ke ID Google Grup baru, tindakan ini akan mengubah anggota grup Looker yang diduplikasi menjadi anggota Google Grup baru, sekaligus mempertahankan nama grup dan peran yang ditentukan di halaman Google Authentication.

Looker menerapkan setiap pengeditan yang Anda buat pada grup yang diduplikasi ke pengguna grup tersebut saat mereka login ke Looker pada waktu berikutnya.

Menonaktifkan grup yang diduplikasi

Jika Anda ingin berhenti mencerminkan Google Grup dalam Looker, nonaktifkan tombol Mirror Google Groups di halaman Google Authentication. Menonaktifkan tombol akan menghasilkan perilaku berikut:

• Setiap grup Google yang dicerminkan tanpa pengguna akan segera dihapus.
• Setiap grup Google yang dicerminkan dan berisi pengguna akan ditandai sebagai tanpa induk. Pengguna tidak dapat lagi ditambahkan ke atau dihapus dari grup tanpa pemilik. Jika tidak ada pengguna dari grup tanpa induk yang login dalam waktu 31 hari, grup tersebut akan dihapus.

Pengelolaan peran lanjutan

Jika tombol Mirror Google Groups diaktifkan, bagian Advanced Role Management akan menampilkan opsi yang menentukan seberapa ketat admin Looker dapat mengonfigurasi grup dan pengguna Looker yang telah dicerminkan dari Google.

Jika Anda ingin konfigurasi grup dan pengguna Looker sama persis dengan konfigurasi Google Grup, pilih semua opsi Advanced Role Management. Jika semua opsi diaktifkan, admin Looker tidak dapat mengubah keanggotaan grup yang diduplikasi secara langsung dan hanya dapat menetapkan peran kepada pengguna melalui Google Grup.

Perhatian: Mengaktifkan setelan yang lebih ketat akan menyebabkan pengguna kehilangan keanggotaan grup atau peran yang ditetapkan yang dikonfigurasi langsung di Looker. Hal ini terjadi saat pengguna tersebut login ke Looker pada lain waktu.

Jika Anda menginginkan fleksibilitas lebih untuk menyesuaikan grup dalam Looker, hapus centang pada opsi ini. Grup Looker Anda akan tetap mencerminkan konfigurasi Google Grup, tetapi Anda dapat melakukan pengelolaan grup dan pengguna tambahan dalam Looker, seperti menambahkan pengguna Google ke grup Looker bawaan atau menetapkan peran langsung kepada pengguna Google.

Bagian Advanced Role Management berisi opsi berikut:

• Mencegah pengguna Google individual menerima peran langsung: Mengaktifkan opsi ini akan mencegah admin Looker menetapkan peran Looker langsung kepada pengguna Google. Pengguna Google hanya menerima peran melalui keanggotaan grup mereka. Jika pengguna Google diizinkan menjadi anggota grup Looker bawaan (tidak diduplikasi), mereka masih dapat mewarisi peran dari Google Grup yang diduplikasi dan grup Looker bawaan. Setiap pengguna Google yang sebelumnya diberi peran secara langsung akan kehilangan peran tersebut saat login berikutnya.

  Perhatian: Jika Anda mengaktifkan Prevent individual Google users from receiving direct roles di instance Looker (orisinal), setiap administrator yang login dengan Google OAuth akan kehilangan peran Admin yang ditetapkan langsung saat login berikutnya, kecuali jika mereka diberi peran Admin melalui Google Grup yang diduplikasi, atau login menggunakan Alternate login for admins. Sebelum mengaktifkan opsi ini, petakan Grup Google admin ke peran Admin, atau pastikan Login alternatif untuk admin diaktifkan.

• Prevent direct membership in non-Google groups: Opsi ini mencegah admin Looker menambahkan anggota grup yang diduplikasi secara langsung ke grup Looker bawaan yang bukan bagian dari konfigurasi grup yang diduplikasi di halaman Google Authentication.

  Jika opsi ini dipilih, semua pengguna Google yang sebelumnya ditetapkan ke grup Looker bawaan akan dihapus dari grup tersebut saat mereka login berikutnya.

  Jika opsi ini tidak dicentang, admin Looker dapat menambahkan pengguna Google secara langsung ke grup Looker bawaan.

• Mencegah pewarisan peran dari grup non-Google: Opsi ini mencegah anggota grup yang diduplikasi mewarisi peran dari grup Looker bawaan. Jika Grup Google yang diduplikasi diizinkan menjadi anggota grup Looker bawaan, pengguna Google dapat mempertahankan keanggotaan di grup Looker bawaan, tetapi pengguna Google yang sebelumnya mewarisi peran dari grup bawaan akan kehilangan peran tersebut saat login berikutnya.

  Jika opsi ini tidak dicentang, grup yang diduplikasi atau pengguna Google yang ditambahkan sebagai anggota grup Looker bawaan akan mewarisi peran yang ditetapkan ke grup bawaan tersebut.

• Auth Requires Role: Jika opsi ini diaktifkan, pengguna Google harus memiliki peran Looker yang ditetapkan. Jika opsi ini diaktifkan, Looker mengharuskan pengguna Google memiliki peran Looker yang ditetapkan agar dapat login ke Looker.

  Jika opsi ini tidak dicentang, pengguna Google dapat melakukan autentikasi ke Looker meskipun mereka tidak memiliki peran yang ditetapkan. Pengguna yang tidak memiliki peran yang ditetapkan tidak akan dapat melihat data atau melakukan tindakan di Looker, tetapi mereka akan dapat login.

Menguji Autentikasi Pengguna

1. Klik Uji Autentikasi Google untuk menggunakan setelan saat ini dan mencoba mengautentikasi browser saat ini di jendela baru. Tindakan ini tidak menyimpan setelan saat ini atau menerapkannya ke instance Looker.

   Jika Anda tidak login ke Google, Anda akan diminta untuk login dan dimintai izin untuk menggunakan informasi Akun Google Anda. Alur ini menggunakan setelan Layar izin kustom yang Anda gunakan dalam penyiapan di sisi Google.

   Setelah berhasil, bagian User Info akan ditampilkan dengan nama, email, dan domain Anda, beserta Google Grup yang diduplikasi yang terdeteksi untuk akun Anda. Keberadaan bagian User Info ini menunjukkan bahwa pengguna ini akan berhasil diautentikasi oleh Looker.

   Jika gagal, deskripsi error akan muncul. Beberapa masalah umum meliputi:

   • Client ID atau Rahasia Klien salah disalin. Kode ini harus disalin dan ditempel dengan cermat secara lengkap.
   • Pengguna berada di luar domain. Jika Anda melihat bagian Info Pribadi, tetapi tidak ada Info Pengguna, mungkin karena pengguna tidak berada di domain yang Anda tentukan. Hal ini menunjukkan bahwa orang tersebut telah mengautentikasi dirinya ke Google dengan benar, tetapi tidak menggunakan Akun Google yang telah Anda pilih untuk diizinkan masuk ke instance Looker Anda.
   • URL Looker atau URL pengalihan tidak disiapkan dengan benar di Google untuk instance Looker Anda.
   • Jika Google Grup gagal dimuat, pastikan Cloud Identity API diaktifkan di project Google Cloud Anda, cakupan https://www.googleapis.com/auth/cloud-identity.groups.readonly telah ditambahkan, dan pengguna memiliki izin VIEW_MEMBERSHIP di Google Grup mereka.

2. Untuk menyimpan dan menerapkan perubahan, pilih Saya telah mengonfirmasi konfigurasi di atas dan ingin mengaktifkan penerapannya secara global. Klik Perbarui.

Catatan: Setelah Anda mengaktifkan autentikasi Google, pengguna hanya dapat melakukan autentikasi melalui Google OAuth. Jika Anda tidak mengaktifkan setelan Merge by email untuk akun yang ada, setiap login baru yang diautentikasi Google akan membuat pengguna Looker baru. Login email dan sandi yang ada tidak dapat digunakan bersamaan dengan autentikasi Google yang diaktifkan.

Mengonfigurasi autentikasi Google menggunakan API

Administrator dapat membaca dan memperbarui setelan autentikasi Google dan pemetaan peran grup secara terprogram menggunakan endpoint google_config di Looker API. Untuk mengetahui informasi selengkapnya, lihat referensi Looker API.

Tips

• Untuk bereksperimen dengan siklus autentikasi lengkap, Anda dapat logout dari Google dan melihat bahwa Google menampilkan dialog Google untuk login lagi saat Anda mencoba login ke Looker.

• Di Google, Anda dapat mengklik Akun di menu drop-down pribadi (di samping alamat email Anda di kanan atas halaman Google Workspace) untuk mengelola akun pribadi Anda.

  Di halaman pengelolaan tersebut, ada tab Keamanan dengan bagian Izin Akun. Dengan mengklik Aplikasi dan situs Lihat semua, Anda (sebagai pengguna) dapat melihat dan mengelola layanan dan aplikasi yang telah Anda beri izin.

  Mengklik izin Looker yang Anda berikan untuk login akan menampilkan detail yang dilihat pengguna di layar izin yang Anda sesuaikan sebelumnya. Anda juga dapat mengklik Revoke access sehingga saat berikutnya Anda login ke Looker (atau menguji otorisasi), Anda akan diminta lagi dengan layar izin. Anda dapat menggunakan alur kerja ini untuk membantu Anda menyesuaikan layar izin dan melihat apa yang akan dilihat pengguna.

Pemecahan masalah

Untuk membantu memecahkan masalah autentikasi, periksa dasbor Aktivitas Pengguna di Aktivitas Sistem. Dasbor ini memiliki ubin yang menampilkan kegagalan login terbaru dan mencakup metode autentikasi yang digunakan, pesan error yang ditampilkan, dan waktu upaya login.

• Jika upaya pengguna untuk login gagal, pastikan terlebih dahulu bahwa pengguna memiliki nama depan dan nama belakang di Akun Google-nya. Jika pengguna telah menghapus nama depan atau nama belakangnya dari Akun Google-nya, Looker mungkin tidak dapat mengautentikasi pengguna dengan Google OAuth.

• Jika upaya pengguna untuk login gagal, dan Looker menampilkan error seperti User not in the authorized domain, periksa kolom hd dari respons JSON. Jika kolom hd berisi domain, pastikan domain tersebut terdaftar ke akun Google Workspace Anda. Jika kolom hd kosong, gunakan Alat transfer untuk pengguna yang tidak dikelola guna mengundang pengguna mengonversi akunnya menjadi akun terkelola dalam domain Anda.

• Jika upaya pengguna untuk login gagal, tetapi Looker tidak menampilkan pesan error, pengguna mungkin telah mengedit nama akun Google Workspace Google mereka dan menghapus nama depan atau nama belakang mereka. Dalam situasi ini, nama akun Google Workspace mungkin masih terlihat lengkap di konsol Admin, yang mungkin tidak menampilkan hasil edit pengguna. Untuk mencegah masalah ini, admin Google Workspace dapat menonaktifkan opsi Izinkan pengguna menyesuaikan setelan ini.

• Jika autentikasi Google menampilkan error 401 deleted_client, error ini menunjukkan bahwa project Google Cloud yang menghosting klien OAuth Looker telah dihapus atau dinonaktifkan. Meskipun project Google Cloud kemudian dipulihkan, klien OAuth mungkin terus gagal dengan error deleted_client, sehingga semua pengguna tidak dapat login sama sekali. Jika autentikasi Google adalah satu-satunya metode autentikasi yang diaktifkan, penguncian ini akan mencegah akses bahkan untuk administrator.

  Untuk mencegah penguncian total jika terjadi penghapusan atau kegagalan klien OAuth, Anda harus mengaktifkan setelan Login alternatif untuk admin. Setelan ini memastikan bahwa administrator memiliki metode login pengganti untuk mengakses instance Looker dan memperbarui setelan autentikasi.

Mengaktifkan login email saat Google Auth diaktifkan

Akun Google baru akan otomatis mendapatkan akses ke Looker, sehingga Anda tidak perlu menambahkan pengguna yang ada di Google Domain Anda.

Untuk menambahkan pengguna dengan alamat email yang tidak ada di Google Domain Anda:

1. Aktifkan opsi Login alternatif untuk admin dan pengguna tertentu di halaman Google Auth
2. Buat atau ubah peran pengguna yang ada untuk menambahkan izin login_special_email
3. Buka Tambahkan Pengguna dari panel pengguna (/admin/users/new)
4. Tambahkan alamat email yang ingin Anda sertakan, dan peran yang harus dimiliki pengguna tersebut, yang harus menyertakan peran dengan izin login_special_email
5. Pengguna tersebut kini dapat login menggunakan https://mycompany.looker.com/login/email (URL tersembunyi)

Catatan: Jika pengguna telah melakukan autentikasi ke instance Looker hanya menggunakan Google, Anda dapat mengaktifkan login alternatif hanya dengan menggunakan Looker API. Untuk mempelajari cara mengaktifkan login alternatif menggunakan Looker API, lihat halaman dokumentasi Mengaktifkan opsi login alternatif.

Menonaktifkan Google Auth setelah diaktifkan

Jika Anda ingin menonaktifkan Google Authentication untuk instance Looker setelah diaktifkan, ada beberapa hal yang perlu dipertimbangkan:

• Pengguna yang dibuat sebelum Google Authentication ditambahkan, dan telah menyiapkan login email dan sandi normal, akan tetap berfungsi.
• Pengguna yang dibuat setelah Autentikasi Google ditambahkan tidak akan dapat login lagi. Meskipun akun mereka masih ada, mereka tidak dapat mengaksesnya, dan akun mereka menjadi tidak aktif.

Oleh karena itu, sebaiknya hindari rute ini. Jika Anda harus menggunakan jalur ini, mungkin ada metode untuk memperbaiki akun tanpa induk menggunakan Looker API. Hubungi Dukungan Looker untuk mendapatkan panduan tambahan.