Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Impostazioni amministratore - Autenticazione Google

La pagina Google Authentication (Autenticazione Google) nella sezione Authentication (Autenticazione) del menu Admin (Amministratore) ti consente di configurare Google OAuth sul lato Looker.

Panoramica delle funzioni

Looker può eseguire l'autenticazione utilizzando Google OAuth per gli utenti che hanno account registrati con Google Workspace.

Le organizzazioni che utilizzano Google Workspace possono autenticare gli utenti di Looker che dispongono di Account Google.
Gli utenti accedono a Looker autenticandosi con il proprio Account Google.
I nuovi Account Google hanno automaticamente accesso a Looker. Non è necessario invitare separatamente gli utenti a Looker. Imposti il ruolo predefinito per i nuovi utenti, che può limitare il loro accesso a funzionalità e dati.
Le organizzazioni possono configurare il mirroring di Google Gruppi per assegnare automaticamente ruoli e gruppi di Looker in base all'appartenenza a Google Gruppi.
Se l'opzione è attiva, Looker autentica gli utenti solo con Google OAuth, a meno che non sia selezionata l'opzione "Accesso alternativo" (consulta la sezione seguente su come attivare gli accessi via email quando è attiva l'autenticazione Google).
Nella barra di navigazione viene visualizzato l'avatar Google di un utente anziché il simbolo utente standard.

Quando attivi Google OAuth, l'istanza di Looker può unire gli account utente esistenti con il dominio registrato su Google, ma solo per gli account il cui indirizzo email corrisponde al dominio. Tutti gli altri account non amministratore perderanno la possibilità di accedere.
Tutti gli utenti del dominio specificato ottengono l'accesso all'istanza di Looker.
Le autorizzazioni per i nuovi utenti Google sono impostate per impostazione predefinita sull'accesso di base a un elenco specificato di modelli (che potrebbe, facoltativamente, essere l'accesso a zero modelli). Le autorizzazioni possono essere aggiornate da un amministratore dopo la creazione dell'account.
I nuovi account Looker che eseguono l'autenticazione utilizzando Google OAuth non possono passare all'autenticazione tramite password, anche se OAuth è disattivato per l'istanza di Looker.

Requisiti preliminari

Per utilizzare Google OAuth, è necessario quanto segue:

Un account Google Workspace per l'organizzazione.
Un dominio controllato dall'organizzazione e registrato nell'account Google Workspace.
Utenti con indirizzi email nel dominio associato all'Account Google.
Ogni utente deve avere un account utente gestito in Google Workspace. Per trovare ed eseguire la migrazione di tutti gli utenti con account utente non gestiti, utilizza lo Strumento di trasferimento per gli utenti non gestiti.

Per utilizzare il mirroring di Google Gruppi, si applicano i seguenti requisiti aggiuntivi:

Nel progetto Google Cloud che contiene il tuo client OAuth, deve essere abilitata l'API Cloud Identity (cloudidentity.googleapis.com).
Per le istanze di Looker ospitate dal cliente, l'host dell'istanza deve avere accesso a internet in uscita tramite HTTPS (cloudidentity.googleapis.com:443).
Gli utenti devono disporre dell'autorizzazione VIEW_MEMBERSHIP per i gruppi Google a cui appartengono. Nelle impostazioni di Google Gruppi, imposta il campo Chi può visualizzare i membri su Membri del gruppo.
Il mirroring di Google Gruppi non è supportato per le istanze di Looker in modalità conforme a FIPS.

Abilitazione dell'autenticazione con Google OAuth

Per attivare l'autenticazione con Google OAuth, un amministratore deve eseguire i passaggi sia sul lato Google sia sul lato Looker, come descritto nelle sezioni seguenti.

Configurazione lato Google

I passaggi per attivare Google OAuth sul lato Google sono descritti in questa sezione. La descrizione generica di questi passaggi è disponibile nella pagina di assistenza Google sulla configurazione di OAuth 2.0. Puoi anche consultare la documentazione della Guida della consoleGoogle Cloud .

Vai alla consoleGoogle Cloud .
Fai clic sulla Freccia giù nel menu a discesa Seleziona un progetto. Nel menu a discesa potresti vedere il nome di un progetto esistente. Fai clic sulla Freccia giù per visualizzare l'opzione per creare un nuovo progetto.
Nella pagina Seleziona un progetto, fai clic su Nuovo progetto.

La console Google Cloud visualizza la pagina Nuovo progetto.
Compila le informazioni nella pagina Nuovo progetto e fai clic su Crea.

Al termine della creazione del nuovo progetto da parte della console Google Cloud , Google ti reindirizza alla console Google Cloud e mostra il nuovo progetto.
(Facoltativo) Se prevedi di utilizzare il mirroring di Google Gruppi, abilita l'API Cloud Identity nel tuo progetto Google Cloud . L'abilitazione di questa API rende visibile l'ambito https://www.googleapis.com/auth/cloud-identity.groups.readonly quando configuri la schermata per il consenso OAuth. Devi disporre del ruolo Identity and Access Management (IAM) Amministratore di Service Usage (roles/serviceusage.serviceUsageAdmin) per abilitare le API.

Abilita l'API
Nel menu a sinistra, seleziona API e servizi > Credenziali.
Nella pagina Credenziali, fai clic sul pulsante Crea credenziali e seleziona ID client OAuth dal menu a discesa.

La console Google Cloud mostra la pagina Crea ID client OAuth.
La console Google Cloud richiede la configurazione di una schermata per il consenso OAuth, che consente agli utenti di scegliere come concedere l'accesso ai propri dati privati e fornisce un link ai Termini di servizio e alle norme sulla privacy della tua organizzazione. Fai clic su Configura la schermata per il consenso. Se hai configurato il consenso OAuth per un progetto precedente, questa opzione non verrà visualizzata e potrai andare al passaggio 13.

Nella console Google Cloud viene visualizzata la pagina Schermata per il consenso OAuth.
Inserisci il dominio della tua istanza di Looker nel campo Domini autorizzati. Ad esempio, se Looker ospita la tua istanza all'indirizzo https://mycompany.looker.com, il dominio è looker.com. Per i deployment di Looker ospitati dal cliente, inserisci il dominio su cui ospiti Looker.
Configura la schermata per il consenso OAuth e fai clic su Salva e continua.

Nota: per informazioni sulla configurazione della schermata per il consenso OAuth di Google, consulta la pagina Configura OAuth di Google Workspace.
Nella pagina Ambiti, configura gli ambiti nel seguente modo:
- Se prevedi di utilizzare il mirroring di Google Gruppi, fai clic su Aggiungi o rimuovi ambiti. Individua l'ambito https://www.googleapis.com/auth/cloud-identity.groups.readonly, seleziona la casella di controllo accanto e fai clic su Aggiorna. Se non vedi questo ambito, verifica di aver abilitato l'API Cloud Identity nel tuo progettoGoogle Cloud .
- Se non prevedi di utilizzare il mirroring di Google Gruppi, non è necessaria alcuna configurazione aggiuntiva dell'ambito.
Fai clic su Salva e continua.

Attenzione: se il campo Tipo di utente nel client OAuth è impostato su Esterno, devi completare la verifica dell'ambito con restrizioni per l'app OAuth quando aggiungi l'ambito sensibile https://www.googleapis.com/auth/cloud-identity.groups.readonly. Fino a quando l'app OAuth non sarà stata verificata da Google, gli utenti potranno accedere, ma vedranno un messaggio di avviso durante la procedura di accesso perché l'API Cloud Identity è un ambito sensibile.
Nella pagina Riepilogo, fai clic su Torna alla dashboard.

La console Google Cloud ti riporta alla pagina Crea ID client OAuth.
In Tipo di applicazione, seleziona Applicazione web.
Nel campo Nome, inserisci un nome per l'ID client OAuth.
Nel campo Origini JavaScript autorizzate, inserisci l'URL dell'istanza di Looker, incluso https://. Ad esempio:
- Se Looker ospita la tua istanza: https://mycompany.looker.com
- Se hai un'istanza di Looker ospitata dal cliente: https://looker.mycompany.com
- Se l'istanza di Looker richiede un numero di porta: https://looker.mycompany.com:9999
Nel campo URI di reindirizzamento autorizzati, inserisci l'URL dell'istanza di Looker, seguito da /oauth2callback. Ad esempio: https://mycompany.looker.com/oauth2callback o https://looker.mycompany.com:9999/oauth2callback.
Fai clic su Crea.
Copia i valori di ID client e client secret, che ti serviranno per configurare Looker.

Configurazione lato Looker

Per attivare Google OAuth sul lato Looker, segui questi passaggi.

Nell'applicazione Looker, dopo aver eseguito l'accesso come amministratore, fai clic sul menu a discesa Admin (Amministratore) per aprire il menu Admin (Amministratore).
Nel gruppo Authentication (Autenticazione), fai clic su Google. Looker visualizza la pagina Google Authentication (Autenticazione Google).
Fai clic su Attivato per visualizzare e modificare le impostazioni di Google OAuth. In questo modo l'autenticazione di Google non viene attivata immediatamente; devi confermare la tua scelta in un secondo momento.
Inserisci le impostazioni di Google Auth.
- ID client e client secret: copia e incolla questi valori dalla pagina Client OAuth di Google, come descritto nelle istruzioni di configurazione di Google precedenti.
- Domini: i nomi di dominio della tua organizzazione gestiti da Google. Qualsiasi utente Google nel dominio specificato può accedere alla tua istanza di Looker. Se controlli più domini Google, puoi inserirli separati da virgole.
Avviso: inserisci solo i domini Google controllati dalla tua organizzazione. L'inserimento di un altro dominio potrebbe aprire l'accesso agli utenti di un dominio che non controlli.
Inserisci le Opzioni di migrazione, che controllano il comportamento dell'istanza di Looker durante la transizione a Google OAuth.
- Accesso alternativo per amministratori e utenti specificati: consente agli amministratori e agli utenti specificati di continuare ad accedere con email e password. Questa impostazione attiva un metodo di riserva fondamentale per impedire un blocco completo se il progetto Google Cloud che ospita il client OAuth di Looker viene eliminato o disattivato (il che può comportare un errore 401 deleted_client anche dopo il ripristino del progetto) o se Google OAuth non va a buon fine per altri motivi. Questa impostazione è vivamente consigliata ed è descritta in dettaglio nella sezione Attivazione degli accessi via email quando è attiva l'autenticazione Google.
- Unisci gli utenti utilizzando: converte gli utenti esistenti che hanno indirizzi email nei Domini specificati per utilizzare Google OAuth al prossimo accesso (ad esempio Email/password di Looker). Questa impostazione è consigliata.
- Ruoli per i nuovi utenti: specifica le funzionalità e l'accesso ai modelli di cui dispongono i nuovi utenti non amministratori. Questo elenco può essere aggiornato in un secondo momento. Se questo campo viene lasciato vuoto, i nuovi utenti autenticati da Google avranno funzionalità limitate all'interno della piattaforma Looker finché un amministratore non aggiunge un ruolo al loro account. Poiché tutti gli utenti del tuo dominio Google potranno accedere a Looker, ti consigliamo di specificare un ruolo predefinito per i nuovi utenti che limiti l'accesso in modo appropriato.
Nota: quando l'opzione Mirror Google Groups è attiva, l'impostazione Ruoli per i nuovi utenti è nascosta. Looker rimuove i ruoli assegnati in precedenza tramite Ruoli per i nuovi utenti al successivo accesso di ogni utente e li sostituisce con i ruoli assegnati tramite Mirroring di Google Gruppi.
Configura Gruppi e ruoli per eseguire facoltativamente il mirroring di Google Gruppi in gruppi di Looker e assegnare i ruoli automaticamente:

Se hai Google Gruppi gestiti, Looker può creare gruppi di Looker che rispecchiano l'iscrizione ai tuoi Google Gruppi, il che significa che non devi configurare gli utenti direttamente in Looker, ma puoi gestire l'accesso degli utenti gestendo l'iscrizione ai Google Gruppi. Inoltre, puoi utilizzare i gruppi di Looker per assegnare ruoli ai membri del gruppo, impostare controlli di accesso ai contenuti, controllare l'accesso a funzionalità e dati e assegnare attributi utente.

Nota: Il mirroring del gruppo Google OAuth non è supportato per le istanze Looker che sono in modalità conforme a FIPS.
Attenzione: Per le istanze Looker ospitate dal cliente, il server host deve avere accesso a Internet in uscita all'API Cloud Identity tramite HTTPS (cloudidentity.googleapis.com:443). Le istanze ospitate dal cliente senza accesso a Internet in uscita non possono utilizzare il mirroring del gruppo Google.

Affinché il mirroring dei gruppi funzioni correttamente, gli utenti devono disporre dell'autorizzazione VIEW_MEMBERSHIP per i gruppi Google a cui appartengono, che consente a Looker di verificare le loro iscrizioni ai gruppi al momento dell'accesso. Per concedere questa autorizzazione nelle impostazioni di Google Gruppi, imposta il campo Chi può visualizzare i membri su Membri del gruppo.

Per attivare il mirroring dei gruppi, segui questi passaggi:
1. Attiva l'opzione Mirroring di Google Gruppi.
2. Fai clic su Gestisci gruppi per aprire la configurazione della mappatura dei gruppi.
3. Completa i seguenti campi per ogni gruppo Google di cui vuoi eseguire il mirroring:
  - Nome gruppo Looker: inserisci un nome per il gruppo di Looker. Questo nome viene visualizzato nella pagina Gruppi di Looker.
  - ID gruppo Google: inserisci il nome o l'indirizzo email del gruppo Google di cui eseguire il mirroring.
  - Ruoli: seleziona uno o più ruoli di Looker da assegnare ai membri del gruppo.
Looker crea un gruppo Looker per ogni gruppo Google che aggiungi alla configurazione. Puoi visualizzare questi gruppi nella pagina Groups (Gruppi) di Looker.

Nota: Looker recupera solo le iscrizioni dirette ai gruppi dell'utente. Le iscrizioni a gruppi transitivi o gerarchici non funzioneranno.

Looker applica i gruppi di Looker sottoposti a mirroring (e tutti i ruoli e gli accessi associati) quando gli utenti accedono all'istanza di Looker. Le modifiche alle iscrizioni ai gruppi in Google Gruppi vengono aggiornate al successivo accesso di ogni utente.

Esegui il mirroring dei gruppi Google

Dopo aver configurato il mirroring dei gruppi Google, puoi modificare o disattivare i gruppi sottoposti a mirroring e configurare le opzioni di gestione avanzata dei ruoli, come descritto nelle sezioni seguenti.

Modifica dei gruppi sottoposti a mirroring

Quando apporti modifiche all'elenco dei membri di un gruppo Google, queste vengono propagate automaticamente all'elenco dei membri del gruppo Looker sottoposto a mirroring e convalidate al successivo accesso di ogni utente.

Se modifichi il Nome gruppo Looker o il Ruolo assegnato a un gruppo nella pagina Autenticazione Google, cambia l'aspetto del gruppo sottoposto a mirroring nella pagina Gruppi o i ruoli assegnati al gruppo, ma non i membri del gruppo.

Se modifichi il nome o l'indirizzo email nel campo ID gruppo Google con un nuovo ID gruppo Google, i membri del gruppo Looker sottoposto a mirroring vengono modificati con i membri del nuovo gruppo Google, mantenendo il nome e i ruoli del gruppo definiti nella pagina Autenticazione Google.

Looker applica le modifiche apportate a un gruppo sottoposto a mirroring agli utenti di quel gruppo al successivo accesso a Looker.

Disattivazione dei gruppi sottoposti a mirroring

Se vuoi interrompere il mirroring dei tuoi gruppi Google in Looker, disattiva l'opzione Esegui il mirroring di Google Gruppi nella pagina Autenticazione Google. La disattivazione del pulsante di attivazione/disattivazione comporta il seguente comportamento:

Qualsiasi gruppo Google sottoposto a mirroring senza utenti viene eliminato immediatamente.
Qualsiasi gruppo Google sottoposto a mirroring che non contiene utenti viene contrassegnato come orfano. Non è più possibile aggiungere o rimuovere utenti dai gruppi orfani. Se nessun utente di un gruppo orfano accede entro 31 giorni, il gruppo viene eliminato.

Gestione avanzata dei ruoli

Se l'opzione Mirror Google Groups (Esegui il mirroring di Google Gruppi) è attiva, la sezione Advanced Role Management (Gestione avanzata dei ruoli) mostra le opzioni che determinano il livello di rigore con cui gli amministratori di Looker possono configurare i gruppi e gli utenti di Looker di cui è stato eseguito il mirroring da Google.

Se vuoi che la configurazione dei gruppi e degli utenti di Looker corrisponda esattamente alla configurazione di Google Gruppi, seleziona tutte le opzioni di Gestione avanzata dei ruoli. Quando tutte le opzioni sono abilitate, gli amministratori di Looker non possono modificare direttamente le iscrizioni ai gruppi sottoposti a mirroring e possono assegnare ruoli agli utenti solo tramite Google Gruppi.

Se vuoi una maggiore flessibilità per personalizzare i gruppi all'interno di Looker, lascia deselezionate queste opzioni. I tuoi gruppi di Looker continueranno a rispecchiare la configurazione di Google Gruppi, ma potrai eseguire ulteriori operazioni di gestione di gruppi e utenti in Looker, ad esempio aggiungere utenti Google ai gruppi di Looker integrati o assegnare ruoli direttamente agli utenti Google.

La sezione Gestione avanzata dei ruoli contiene le seguenti opzioni:

Impedisci ai singoli utenti Google di ricevere ruoli diretti: l'attivazione di questa opzione impedisce agli amministratori di Looker di assegnare ruoli di Looker direttamente agli utenti Google. Gli utenti Google ricevono i ruoli solo tramite le iscrizioni ai gruppi. Se agli utenti Google è consentita l'iscrizione a gruppi Looker integrati (non sottoposti a mirroring), possono comunque ereditare i ruoli sia dai gruppi Google di cui è stato eseguito il mirroring sia dai gruppi Looker integrati. A tutti gli utenti Google a cui erano stati assegnati direttamente dei ruoli in precedenza, questi ruoli verranno rimossi al successivo accesso.

Attenzione: se attivi Impedisci ai singoli utenti Google di ricevere ruoli diretti su un'istanza di Looker (originale), qualsiasi amministratore che accede con Google OAuth perderà il ruolo di amministratore assegnato direttamente al successivo accesso, a meno che non gli venga concesso il ruolo di amministratore tramite un gruppo Google con mirroring o non acceda utilizzando l'accesso alternativo per gli amministratori. Prima di attivare questa opzione, mappa un gruppo Google di amministratori al ruolo Amministratore o verifica che l'accesso alternativo per gli amministratori sia abilitato.
Impedisci l'iscrizione diretta ai gruppi non Google: questa opzione impedisce agli amministratori di Looker di aggiungere membri di gruppi sottoposti a mirroring direttamente ai gruppi Looker integrati che non fanno parte della configurazione del gruppo sottoposto a mirroring nella pagina Google Authentication.

Se questa opzione è selezionata, tutti gli utenti Google precedentemente assegnati ai gruppi Looker integrati verranno rimossi da questi gruppi al successivo accesso.

Se questa opzione è deselezionata, gli amministratori di Looker possono aggiungere gli utenti Google direttamente ai gruppi integrati di Looker.
Impedisci l'ereditarietà dei ruoli dai gruppi non Google: questa opzione impedisce ai membri dei gruppi sottoposti a mirroring di ereditare i ruoli dai gruppi Looker integrati. Se i gruppi Google di cui è stato eseguito il mirroring possono essere membri di gruppi Looker integrati, gli utenti Google possono mantenere l'iscrizione ai gruppi Looker integrati, ma tutti gli utenti Google che in precedenza hanno ereditato i ruoli da un gruppo integrato perderanno questi ruoli al successivo accesso.

Se questa opzione non è selezionata, i gruppi sottoposti a mirroring o gli utenti Google aggiunti come membri di un gruppo Looker integrato erediteranno i ruoli assegnati a quel gruppo integrato.
Auth Requires Role (L'autenticazione richiede un ruolo): se questa opzione è attiva, agli utenti Google deve essere assegnato un ruolo Looker. Se questa opzione è attiva, Looker richiede che agli utenti Google sia assegnato un ruolo Looker per poter accedere a Looker.

Se questa opzione non è selezionata, gli utenti Google possono autenticarsi su Looker anche se non hanno un ruolo assegnato. Un utente a cui non è stato assegnato alcun ruolo non potrà visualizzare i dati o eseguire azioni in Looker, ma potrà accedere.

Testa l'autenticazione utente

Fai clic su Test Google Authentication (Testa l'autenticazione Google) per utilizzare le impostazioni correnti e tentare di autenticare il browser corrente in una nuova finestra. Questa azione non salva le impostazioni correnti né le applica all'istanza di Looker.

Se non hai eseguito l'accesso a Google, ti verrà chiesto di farlo e di fornire il consenso all'utilizzo dei dati del tuo Account Google. Questo flusso utilizza le impostazioni personalizzate della schermata per il consenso che hai utilizzato nella configurazione lato Google.

In caso di esito positivo, viene visualizzata una sezione User Info (Informazioni utente) con il tuo nome, l'indirizzo email e il dominio, insieme a tutti i gruppi Google di cui è stato eseguito il mirroring rilevati per il tuo account. La presenza di questa sezione Informazioni utente indica che questo utente verrà autenticato correttamente da Looker.

In caso di errore, vengono visualizzate le descrizioni degli errori. Alcuni problemi comuni includono:
- ID client o client secret copiati in modo errato. Questi devono essere copiati e incollati con attenzione e per intero.
- L'utente è esterno al dominio. Se vedi una sezione Informazioni sulla persona, ma non Informazioni sull'utente, è probabile che l'utente non si trovi nel dominio specificato. Ciò dimostra che la persona si è autenticata correttamente su Google, ma non utilizza un Account Google che hai scelto di consentire nella tua istanza di Looker.
- Un URL di Looker o un URL di reindirizzamento non è configurato correttamente in Google per la tua istanza di Looker.
- Se i gruppi Google non vengono caricati, verifica che l'API Cloud Identity sia abilitata nel tuo progetto Google Cloud , che sia stato aggiunto l'ambito https://www.googleapis.com/auth/cloud-identity.groups.readonly e che l'utente disponga delle autorizzazioni VIEW_MEMBERSHIP per i propri gruppi Google.
Per salvare e applicare le modifiche, seleziona Ho confermato la configurazione riportata sopra e voglio abilitarne l'applicazione a livello globale. Fai clic su Aggiorna.

Configurazione dell'autenticazione Google utilizzando l'API

Gli amministratori possono leggere e aggiornare le impostazioni di autenticazione di Google e le mappature dei ruoli dei gruppi in modo programmatico utilizzando gli endpoint google_config nell'API Looker. Per saperne di più, consulta il Riferimento API Looker.

Suggerimenti

Per sperimentare il ciclo di autenticazione completo, puoi uscire da Google e vedere che Google ti chiede di accedere di nuovo quando tenti di accedere a Looker.
In Google puoi fare clic su Account nel menu a discesa personale (accanto al tuo indirizzo email in alto a destra in una pagina di Google Workspace) per gestire il tuo account personale.

In questa pagina di gestione è presente una scheda Sicurezza con una sezione Autorizzazioni account. Se fai clic su App e siti web Visualizza tutto, puoi (in qualità di utente) visualizzare e gestire i servizi e le app a cui hai concesso le autorizzazioni.

Se fai clic sulle autorizzazioni di Looker che hai concesso per accedere, vengono visualizzati i dettagli che gli utenti vedono nella schermata per il consenso che hai personalizzato in precedenza. Puoi anche fare clic su Revoca accesso in modo che al successivo accesso a Looker (o al test di autorizzazione) venga visualizzata nuovamente la schermata per il consenso. Puoi utilizzare questo workflow per personalizzare la schermata per il consenso e visualizzare ciò che vedranno gli utenti.

Risoluzione dei problemi

Per risolvere i problemi di autenticazione, controlla la dashboard Attività utente in Attività di sistema. Questa dashboard contiene riquadri che mostrano gli errori di accesso recenti e include il metodo di autenticazione utilizzato, il messaggio di errore restituito e l'ora del tentativo.

Se il tentativo di accesso di un utente non va a buon fine, assicurati innanzitutto che l'utente abbia sia un nome sia un cognome nei suoi Account Google. Se l'utente ha eliminato il nome o il cognome dal proprio Account Google, Looker potrebbe non essere in grado di autenticarlo con OAuth di Google.
Se il tentativo di accesso di un utente non va a buon fine e Looker visualizza un errore come User not in the authorized domain, controlla il campo hd della risposta JSON. Se il campo hd contiene un dominio, assicurati che il dominio sia registrato nel tuo account Google Workspace. Se il campo hd è vuoto, utilizza lo Strumento di trasferimento per gli utenti non gestiti per invitare l'utente a convertire il proprio account in un account gestito all'interno del tuo dominio.
Se il tentativo di accesso di un utente non va a buon fine, ma Looker non visualizza un messaggio di errore, l'utente potrebbe aver modificato il nome del proprio account Google Workspace ed eliminato il nome o il cognome. In questo caso, il nome dell'account Google Workspace potrebbe comunque apparire completo nella Console di amministrazione, che potrebbe non mostrare le modifiche dell'utente. Per evitare questo problema, gli amministratori di Google Workspace possono disattivare l'opzione Consenti agli utenti di personalizzare questa impostazione.
Se l'autenticazione di Google restituisce un errore 401 deleted_client, significa che il progetto Google Cloud che ospita il client OAuth di Looker è stato eliminato o disattivato. Anche se il progetto Google Cloud viene successivamente ripristinato, il client OAuth potrebbe continuare a non funzionare con l'errore deleted_client, causando un blocco completo dell'accesso per tutti gli utenti. Se l'autenticazione Google è l'unico metodo di autenticazione abilitato, questo blocco impedisce l'accesso anche agli amministratori.

Per evitare il blocco completo in caso di eliminazione o errore del client OAuth, devi attivare l'impostazione Accesso alternativo per gli amministratori. Questa impostazione garantisce che gli amministratori dispongano di un metodo di accesso di riserva per accedere all'istanza di Looker e aggiornare le impostazioni di autenticazione.

Attivazione degli accessi via email con l'autenticazione Google abilitata

I nuovi Account Google ottengono automaticamente l'accesso a Looker, quindi non è necessario aggiungere utenti che si trovano nel tuo dominio Google.

Per aggiungere un utente con un indirizzo email che non appartiene al tuo dominio Google:

Attiva l'opzione Accesso alternativo per amministratori e utenti specificati nella pagina Google Auth.
Crea o modifica un ruolo utente esistente per aggiungere l'autorizzazione login_special_email
Vai ad Aggiungi utenti dal riquadro Utenti (/admin/users/new).
Aggiungi gli indirizzi email che vuoi includere e i ruoli che devono avere questi utenti, che devono includere un ruolo con l'autorizzazione login_special_email
Questi utenti possono ora accedere utilizzando https://mycompany.looker.com/login/email (URL nascosto)

Disattivazione dell'autenticazione Google dopo l'attivazione

Se vuoi disattivare l'autenticazione Google per la tua istanza di Looker dopo averla già attivata, devi tenere presente alcuni aspetti:

Gli utenti creati prima dell'aggiunta dell'autenticazione Google e che hanno già configurato un accesso normale con email e password continueranno a funzionare.
Gli utenti creati dopo l'aggiunta dell'autenticazione Google non potranno più accedere. Anche se i loro account esistono ancora, non hanno modo di accedervi e i loro account sono di fatto orfani.

Per questo motivo, ti consigliamo di evitare questo percorso. Se devi seguire questa strada, potrebbe esserci un metodo per correggere gli account orfani utilizzando l'API Looker. Contatta l'assistenza di Looker per ulteriori indicazioni.