Las empresas usan diferentes proveedores de OpenID Connect (OP) para coordinar con OpenID Connect (por ejemplo, Okta o OneLogin). Es posible que los términos que se usan en las siguientes instrucciones de configuración y en la IU de Looker no coincidan directamente con los que usa tu OP.
La página OpenID Connect de la sección Autenticación del menú Administrador te permite configurar Looker para autenticar a los usuarios con el protocolo OpenID Connect. En esta página, se describe ese proceso y se incluyen instrucciones para vincular grupos de OpenID Connect a roles y permisos de Looker.
Requisitos
Looker muestra la página OpenID Connect en la sección Autenticación del menú Administrador solo si se cumplen las siguientes condiciones:
- Tienes el rol de administrador.
- Tu instancia de Looker (original) está habilitada para usar OpenID Connect. Comunícate con tu ejecutivo de cuentas para habilitar OpenID Connect.
- Tu instancia de Looker (Google Cloud Core) usa Google OAuth como método de autenticación principal.
Si se cumplen estas condiciones y no ves la página OpenID Connect, abre una solicitud de asistencia para habilitar OpenID Connect en tu instancia.
Consideraciones de planificación
- Considera usar la opción Acceso alternativo para usuarios especificados para permitir que los administradores de Looker accedan a Looker sin OpenID Connect.
- No inhabilites la autenticación de OpenID Connect mientras hayas accedido a Looker con OpenID Connect, a menos que tengas configurado un acceso alternativo a la cuenta. De lo contrario, es posible que pierdas el acceso a la app.
- Looker puede migrar cuentas existentes a OpenID Connect con direcciones de correo electrónico que provengan de configuraciones actuales de correo electrónico y contraseña, LDAP, SAML o la autenticación de Google. Podrás configurar esto en el proceso de configuración.
- Looker solo admite la autenticación de OpenID Connect con el flujo de código de autorización de OpenID Connect. No se admiten otros flujos de código.
- La especificación de OpenID Connect incluye un mecanismo de descubrimiento opcional. Looker no admite este mecanismo, por lo que debes proporcionar URLs explícitas en la sección Configuración de autenticación de OpenID Connect, como se describe en Configura los parámetros de autenticación de OpenID Connect.
- Los siguientes son requisitos previos adicionales para habilitar OpenID Connect en una [instancia de Looker (Google Cloud Core) que usa conexiones privadas:
- El Cloud Router debe estar configurado para propagar correctamente las rutas de la red de VPC a la instancia de Looker (Google Cloud Core), por ejemplo, configurando rutas anunciadas personalizadas.
- Se debe configurar un grupo de extremos de red (NEG) de Internet para permitir que la instancia de conexiones privadas de Looker (Google Cloud Core) enrute el tráfico al proveedor de identidad externo.
Configura OpenID Connect
Para configurar la conexión entre Looker y OpenID Connect, realiza las siguientes tareas:
- Proporciona tu URL de Looker a tu proveedor de OpenID Connect (OP).
- Obtén la información necesaria de tu OP.
- Configura la autenticación de OpenID Connect en tu instancia de Looker.
Configura Looker en tu OP
Tu proveedor de OpenID Connect (OP) necesitará la URL de tu instancia de Looker. Es posible que tu OP lo llame URI de redireccionamiento o URI de redireccionamiento de acceso, entre otros nombres. En el sitio web de tu OP, proporciónale la URL en la que sueles acceder a tu instancia de Looker en un navegador, seguida de /openidconnect. Por ejemplo, https://instance_name.looker.com/openidconnect.
Obtén información de tu OP
Para configurar Looker para la autenticación de OpenID Connect, necesitas la siguiente información de tu OP:
- Un identificador y un secreto del cliente Por lo general, el OP las proporciona en su sitio web cuando configuras el URI de redireccionamiento.
- Durante el proceso de autenticación de OpenID Connect, Looker se conectará a tres extremos diferentes: un extremo de autenticación, un extremo de token de ID y un extremo de información del usuario. Necesitarás las URLs que usa tu OP para cada uno de estos extremos.
- Cada OP proporcionará información del usuario en conjuntos llamados permisos. Debes conocer los nombres de los permisos que usa tu OP. OpenID Connect requiere el permiso
openid, pero es probable que tu OP incluya otros permisos, comoemail,profileygroups. - En OpenID Connect, los atributos que almacenan datos de los usuarios se denominan reclamaciones. Debes saber qué reclamaciones pasa tu OP a Looker para proporcionar la información del usuario que deseas en tu instancia de Looker. Looker requiere reclamaciones que contengan información de correo electrónico y nombre, pero si tienes otros atributos de usuario, como la zona horaria o el departamento, Looker también necesitará identificar qué reclamaciones contienen esa información. Las declaraciones se pueden incluir en la respuesta del extremo de información del usuario o del extremo del token de ID. Looker puede asignar las reclamaciones que devuelve cualquiera de los extremos a los atributos de usuario de Looker.
Muchos OP proporcionan información sobre la configuración de OpenID Connect en forma de un documento de descubrimiento, lo que te permite recopilar parte o toda la información que necesitarás para configurar Looker para OpenID Connect. Si no tienes acceso a un documento de descubrimiento, debes obtener la información necesaria de tu OP o del equipo de autenticación interno.
La siguiente sección es un ejemplo de un documento de descubrimiento:
{
"issuer": "https://accounts.google.com",
"authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
"token_endpoint": "https://www.googleapis.com/oauth2/v4/token",
"userinfo_endpoint": "https://www.googleapis.com/oauth2/v3/userinfo",
"revocation_endpoint": "https://accounts.google.com/o/oauth2/revoke",
"jwks_uri": "https://www.googleapis.com/oauth2/v3/certs",
"response_types_supported": [
"code",
"token",
"id_token",
"code token"
"code id_token",
"token id_token",
"code token id_token",
"none"
],
"subject_types_supported": [
"public"
],
"id_token_signing_alg_values_supported": [
"RS256"
],
"scopes_supported": [
"openid",
"email",
"profile"
],
"token_endpoint_auth_methods_supported": [
"client_secret_post",
"client_secret_basic"
],
"claims_supported": [
"aud",
"email",
"email_verified",
"exp",
"family_name",
"given_name",
"iat",
"iss",
"locale",
"name",
"picture",
"sub"
],
Establece la configuración de autenticación de OpenID Connect
Para configurar la autenticación de OpenID Connect en tu instancia de Looker, selecciona OpenID Connect en la sección Autenticación del panel Administrador. En la página Autenticación de OpenID Connect, selecciona Configurar OpenID Connect.
Usa la información de configuración que obtuviste del documento de descubrimiento de tu OP, de tu OP o de tu equipo de autenticación interno para ingresar la configuración de conexión en los siguientes campos:
Identificador: Es el identificador de cliente único de tu instancia de Looker. El OP debe proporcionarlo.
Secreto: Es la clave secreto del cliente única para tu instancia de Looker. El OP debe proporcionarlo.
Emisor: Es la URL segura que identifica a tu OP.
Público: Es un identificador que le indica a tu OP quién es el cliente. Suele ser el mismo que el valor de tu Identificador, pero puede ser un valor diferente.
URL de autorización: Es la URL del OP en la que comienza la secuencia de autenticación. A menudo, se denomina authorization_endpoint en un documento de descubrimiento.
URL del token: Es la URL en la que Looker recupera un token de OAuth después de que se autoriza Looker. A menudo, se denomina token_endpoint en un documento de descubrimiento.
URL de información del usuario: Es la URL en la que Looker recuperará información detallada del usuario. A menudo, se denomina userinfo_endpoint en un documento de descubrimiento.
Permisos: Es una lista separada por comas de los permisos que usa el OP para proporcionar información del usuario a Looker. Debes incluir el permiso openid y cualquier otro que incluya la información que Looker requiere, como direcciones de correo electrónico, nombres de usuario y cualquier atributo de usuario configurado en tu instancia de Looker.
Configura los parámetros de los atributos de usuario
En esta sección, asignarás las reclamaciones de tu OP a los atributos de usuario de Looker.
En la sección Configuración de atributos del usuario, ingresa el nombre de la reclamación de tu OP que contiene la información correspondiente para cada campo. Esto le indica a Looker cómo asignar esas reclamaciones a la información del usuario de Looker en el momento de acceso. Looker no es específico sobre cómo se construyen las reclamaciones, solo es importante que la información de la reclamación que se ingresa aquí coincida con la forma en que se definen las reclamaciones en tu OP.
Reclamaciones estándar
Looker requiere información de nombre de usuario y correo electrónico para la autenticación del usuario. Ingresa la información de la reclamación correspondiente de tu OP en esta sección:
Reclamación de correo electrónico: Es la reclamación que usa tu OP para las direcciones de correo electrónico de los usuarios, como email.
Reclamación de nombre: Es la reclamación que usa tu OP para los nombres de los usuarios, como given_name.
Reclamación de apellido: Es la reclamación que usa tu OP para los apellidos de los usuarios, como family_name.
Ten en cuenta que algunos OP usan una sola reclamación para los nombres, en lugar de separar los nombres y los apellidos. Si este es el caso de tu OP, ingresa la reclamación que almacena los nombres en los campos Reclamación de nombre y Reclamación de apellido. Para cada usuario, Looker usará el contenido hasta el primer espacio como el nombre y todo lo que sigue como el apellido.
Combinaciones de atributos
De manera opcional, puedes usar los datos de tus reclamaciones de OpenID Connect para propagar automáticamente los valores en los atributos de usuario de Looker cuando un usuario accede. Por ejemplo, si configuraste OpenID Connect para establecer conexiones específicas del usuario con tu base de datos, puedes vincular tus reclamaciones de OpenID Connect con los atributos de usuario de Looker para hacer que tus conexiones de base de datos sean específicas del usuario en Looker.
Para vincular las reclamaciones con los atributos de usuario de Looker correspondientes o administrar las vinculaciones existentes, sigue estos pasos:
- En la sección Configuración de atributos del usuario, haz clic en el botón Administrar vinculaciones para abrir el panel lateral Administrar vinculaciones.
- En el campo Reclamación, ingresa la reclamación que quieres vincular, según la identificación de tu OP. Los nombres de las reclamaciones solo se pueden ingresar una vez en la lista. Si deseas asociar una reclamación de OpenID Connect con varios atributos de Looker, puedes ingresar varios atributos en el campo Atributos de usuario de Looker.
- En el campo Atributos de usuario de Looker, aparece una lista desplegable de los atributos de usuario de Looker para la instancia. Selecciona el nombre del atributo de usuario de Looker que quieres vincular con la reclamación de OpenID Connect. Se pueden seleccionar varios atributos de usuario de Looker. Se debe seleccionar al menos un atributo de usuario de Looker.
- Selecciona la casilla de verificación Obligatorio para bloquear los intentos de acceso de cualquier cuenta de usuario a la que le falte un valor en ese campo de reclamación.
- Haz clic en el botón Agregar vinculación para agregar otra fila de vinculación a la lista. Repite estos pasos para agregar más pares de declaraciones y atributos.
- A la derecha de cada fila de vinculación, hay un ícono de Quitar vinculación. Haz clic en este ícono para quitar una vinculación de atributos de tu instancia.
- Haz clic en el ícono de cierre para salir del panel lateral Administrar vinculaciones.
- Prueba tu configuración de OpenID Connect.
- Verifica la configuración de OpenID Connect y, en la parte inferior de la página Autenticación de OpenID Connect, selecciona la casilla de verificación Verifiqué la configuración de OpenID Connect.
- Haz clic en el botón Habilitar OpenID Connect o Actualizar la configuración de OpenID Connect para guardar tus vinculaciones de reclamaciones y atributos.
El panel lateral Administrar vinculaciones también incluye las siguientes herramientas:
- La barra de búsqueda y el menú de filtros de la lista de filtros. Usa estas herramientas para buscar las vinculaciones que ya se agregaron a tu instancia.
- El menú desplegable de paginación Display Usa este menú para mostrar 10, 25, 50 o 100 vinculaciones en cada página.
Reclamos anidados
Algunos OP pueden tener declaraciones "anidadas". Por ejemplo:
"zoneinfo": "America/Los Angeles",
"phone_number": "555-1235",
"address": {
"street_address": "1234 Main Street",
"locality": "Anyton",
"region": "IL",
"postal_code": "60609",
"country": "US"
},
En el ejemplo anterior, la reclamación locality está anidada dentro de la reclamación address. En el caso de las reclamaciones anidadas, especifica las reclamaciones superiores y las anidadas, separadas por una barra diagonal ( / ). Para configurar Looker para la reclamación locality en el ejemplo, ingresa address/locality.
Grupos y roles
Tienes la opción de que Looker cree grupos que reflejen tus grupos de OpenID Connect administrados de forma externa. Los grupos se pueden usar para establecer controles de acceso al contenido y asignar a los usuarios atributos de usuario que se basen en sus grupos de OpenID Connect replicados. Cuando realizas cambios en la pertenencia a un grupo de OpenID Connect, esos cambios se propagan automáticamente a la configuración del grupo de Looker.
La replicación de grupos de OpenID Connect te permite usar tu directorio de OpenID Connect definido de forma externa para administrar los grupos y usuarios de Looker. Esto, a su vez, te permite administrar la membresía de tu grupo para varias herramientas de software como servicio (SaaS), como Looker, en un solo lugar.
Si activas la opción Replicar grupos de OpenID Connect, Looker creará un grupo de Looker para cada grupo de OpenID Connect que se introduzca en el sistema. Esos grupos de Looker se pueden ver en la página Grupos de la sección Administrador de Looker.
Grupos y roles predeterminados
De forma predeterminada, el interruptor Replicar grupos de OpenID Connect está desactivado. En este caso, puedes establecer un grupo predeterminado para los usuarios nuevos de OpenID Connect. En los campos Grupos de usuarios nuevos y Roles de usuarios nuevos, ingresa los nombres de los grupos o roles de Looker a los que deseas asignar usuarios nuevos de Looker cuando accedan por primera vez a Looker:
Estos grupos y roles se aplican a los usuarios nuevos en su acceso inicial. No se aplican a los usuarios existentes y no se vuelven a aplicar si se quitan de los usuarios después de su acceso inicial.
Habilita la replicación de grupos de OpenID Connect
Si usas una instancia de Looker (Google Cloud Core), te recomendamos que habilites la duplicación de grupos solo para el método de autenticación principal y que no la habilites para la autenticación de OAuth de respaldo. Si habilitas la duplicación de grupos para los métodos de autenticación principal y secundario, se producirán los siguientes comportamientos:
- Si un usuario tiene identidades combinadas, la duplicación de grupos coincidirá con el método de autenticación principal, independientemente del método de autenticación real que se use para acceder.
- Si un usuario no tiene identidades combinadas, la duplicación de grupos coincidirá con el método de autenticación que se usó para acceder.
Pasos para habilitar los grupos duplicados
Para replicar tus grupos de OpenID Connect en Looker, activa el interruptor Replicar grupos de OpenID Connect. Looker muestra estos parámetros de configuración:
Reclamación de grupos: Ingresa la reclamación que usa tu OP para almacenar los nombres de los grupos. Luego, ingresa la información del grupo para configurar los grupos de OpenID Connect específicos que quieres duplicar en Looker en los campos Nombre del grupo/roles/nombre del grupo de OpenID Connect preferidos. Es un paso obligatorio para asignar los grupos de OpenID Connect a los grupos de Looker.
El botón Administrar grupos: Haz clic en este botón para abrir el panel lateral Administrar grupos, en el que puedes agregar, quitar o editar un grupo personalizado o los roles que se asignan al grupo en Looker. En el panel lateral Administrar grupos, se muestran los siguientes campos:
Un campo Nombre del grupo preferido Ingresa un nombre personalizado para el grupo duplicado en este campo. Este es el nombre que se mostrará en la página Grupos de la sección Administrador de Looker.
El campo Nombre del grupo de OpenID Connect. Ingresa el grupo de OpenID Connect en este campo. Los usuarios de OpenID Connect que se incluyan en el grupo de OpenID Connect se agregarán al grupo replicado en Looker.
Un campo Role En este campo, selecciona uno o más roles de Looker que se asignarán a cada usuario del grupo.
Un ícono de Quitar asignación. Haz clic en este ícono para quitar un grupo duplicado de tu instancia de Looker. Si borras un grupo, este ya no se reflejará en Looker y sus miembros ya no tendrán los roles en Looker que se les asignaron a través de ese grupo.
El panel lateral Administrar grupos también incluye las siguientes herramientas:
La barra de búsqueda y el menú de filtros de la lista de filtros. Usa estas herramientas para buscar los grupos que ya se agregaron a tu instancia.
El botón Agregar asignación. Haz clic en este botón para agregar un grupo personalizado a la instancia.
El menú desplegable de paginación Display Usa este menú para seleccionar cuántos grupos se mostrarán en cada página.
Cómo editar grupos duplicados
Si editas un grupo duplicado que se configuró anteriormente en esta pantalla, la configuración del grupo cambiará, pero el grupo en sí permanecerá intacto. Por ejemplo, puedes cambiar el nombre del grupo de Looker, lo que cambiaría la forma en que aparece el grupo en la página Grupos de Looker, pero no cambiaría los roles asignados ni los miembros del grupo. Si se cambia el nombre del grupo de OpenID Connect, se mantendrán el nombre y los roles del grupo, pero los miembros del grupo se reasignarán en función de los usuarios que sean miembros del grupo externo de OpenID Connect que tenga el nuevo nombre de grupo de OpenID Connect.
Las modificaciones que se realicen en un grupo duplicado se aplicarán a los usuarios de ese grupo la próxima vez que accedan a Looker.
Administración avanzada de roles
Si habilitaste el interruptor Replicar grupos de OpenID Connect, Looker mostrará estos parámetros de configuración. Las opciones de esta sección determinan cuánta flexibilidad tienen los administradores de Looker cuando configuran los grupos y usuarios de Looker que se replicaron desde OpenID Connect.
Por ejemplo, si quieres que la configuración de usuarios y grupos de Looker coincida estrictamente con la configuración de OpenID Connect, activa estas opciones. Cuando se habilitan las tres primeras opciones, los administradores de Looker no pueden modificar la pertenencia a grupos replicados y solo pueden asignar roles a los usuarios a través de grupos replicados de OpenID Connect.
Si quieres tener más flexibilidad para personalizar aún más tus grupos en Looker, desactiva estas opciones. Tus grupos de Looker seguirán reflejando tu configuración de OpenID Connect, pero podrás realizar una administración adicional de grupos y usuarios en Looker, como agregar usuarios de OpenID Connect a grupos específicos de Looker o asignar roles de Looker directamente a usuarios de OpenID Connect.
En el caso de las instancias de Looker nuevas o las que no tienen grupos duplicados configurados previamente, estas opciones están desactivadas de forma predeterminada.
En el caso de las instancias de Looker existentes que tienen grupos duplicados configurados, estas opciones están activadas de forma predeterminada.
La sección Administración avanzada de roles contiene las siguientes opciones:
Impedir que los usuarios individuales de OpenID Connect reciban roles directos: Activar esta opción impide que los administradores de Looker asignen roles de Looker directamente a los usuarios de OpenID Connect. Los usuarios de OpenID Connect recibirán roles solo a través de sus membresías de grupo. Si se permite que los usuarios de OpenID Connect pertenezcan a grupos de Looker integrados (no replicados), podrán heredar sus roles tanto de los grupos de OpenID Connect replicados como de los grupos de Looker integrados. A los usuarios de OpenID Connect a los que se les asignaron roles directamente se les quitarán esos roles la próxima vez que accedan.
Si esta opción está desactivada, los administradores de Looker pueden asignar roles de Looker directamente a los usuarios de OpenID Connect como si fueran usuarios que se configuraron directamente en Looker.
Impedir la pertenencia directa a grupos que no pertenecen a OpenID Connect: Si activas esta opción, los administradores de Looker no podrán agregar usuarios de OpenID Connect directamente a los grupos integrados de Looker. Si se permite que los grupos de OpenID Connect replicados sean miembros de grupos de Looker integrados, los usuarios de OpenID Connect pueden conservar la pertenencia a cualquier grupo de Looker superior. Los usuarios de OpenID Connect que se asignaron anteriormente a grupos integrados de Looker se quitarán de esos grupos la próxima vez que accedan.
Si esta opción está desactivada, los administradores de Looker pueden agregar usuarios de OpenID Connect directamente a los grupos integrados de Looker.
Impedir la herencia de roles de grupos que no pertenecen a OpenID Connect: Si activas esta opción, los miembros de los grupos de OpenID Connect replicados no heredarán roles de los grupos integrados de Looker. Los usuarios de OpenID Connect que hayan heredado roles de un grupo superior de Looker perderán esos roles la próxima vez que accedan.
Si esta opción está desactivada, los grupos de OpenID Connect replicados o los usuarios de OpenID Connect que se agreguen como miembros de un grupo integrado de Looker heredarán los roles asignados al grupo superior de Looker.
La autenticación requiere un rol: Si esta opción está activada, los usuarios de OpenID Connect deben tener un rol asignado. Los usuarios de OpenID Connect que no tengan un rol asignado no podrán acceder a Looker.
Si esta opción está desactivada, los usuarios de OpenID Connect pueden autenticarse en Looker incluso si no tienen un rol asignado. Un usuario sin un rol asignado no podrá ver ningún dato ni realizar ninguna acción en Looker, pero podrá acceder a Looker.
Inhabilitando la replicación de grupos de OpenID Connect
Si quieres dejar de replicar tus grupos de OpenID Connect en Looker, desactiva el interruptor Replicar grupos de OpenID Connect. Si desactivas el interruptor, se producirá el siguiente comportamiento:
- Cualquier grupo de OpenID Connect replicado que no tenga usuarios se borrará de inmediato.
- Cualquier grupo de OpenID Connect replicado que sí contenga usuarios se marcará como huérfano. Si ningún usuario de este grupo se conecta en un plazo de 31 días, se borrará el grupo. Ya no se pueden agregar ni quitar usuarios de los grupos huérfanos de OpenID Connect.
Configura las opciones de migración
Como se explica en esta sección, Looker recomienda que habilites el acceso alternativo y proporciones una estrategia de combinación para los usuarios existentes.
Acceso alternativo para usuarios especificados
Los accesos con correo electrónico y contraseña de Looker siempre están inhabilitados para los usuarios normales cuando se habilita la autenticación de OpenID Connect. La opción Acceso alternativo para usuarios especificados habilita el acceso alternativo basado en correo electrónico alternativo con /login/email para los administradores y los usuarios especificados con el permiso login_special_email.
El acceso alternativo es útil como resguardo durante la configuración de OpenID Connect en caso de que se produzcan problemas de configuración de OpenID Connect más adelante o si necesitas admitir a algunos usuarios que no tienen cuentas en tu directorio de OpenID Connect.
Especifica el método que se usa para combinar los usuarios de OpenID Connect con una cuenta de Looker
En el campo Combinar usuarios con, especifica el método que se usará para combinar un primer acceso de OpenID Connect con una cuenta de usuario existente. Puedes combinar usuarios de los siguientes sistemas:
- Correo electrónico y contraseña de Looker (no disponible para Looker (Google Cloud Core))
- LDAP (no disponible para Looker (Google Cloud Core))
- SAML
Si tienes varios sistemas de autenticación, puedes especificar más de un sistema para combinar en este campo. Looker buscará usuarios de los sistemas que se indican en el orden en que se especifican. Por ejemplo, supongamos que creaste algunos usuarios con el correo electrónico y la contraseña de Looker, luego habilitaste LDAP y ahora quieres usar OpenID Connect. En el ejemplo anterior, Looker combinaría primero por correo electrónico y contraseña, y, luego, por LDAP.
Cuando un usuario acceda por primera vez con OpenID Connect, esta opción lo conectará a su cuenta existente buscando la cuenta con una dirección de correo electrónico coincidente. Si no existe una cuenta para el usuario, se creará una nueva.
Para resolver el problema de las cuentas duplicadas, borra las cuentas de correo electrónico duplicadas que no se usen desde la IU de administración. Para otorgar acceso por correo electrónico a un usuario y mantener su misma cuenta de OpenID Connect, los administradores deben crear credenciales de correo electrónico directamente en la cuenta de OpenID Connect existente con la API de Looker, en lugar de crear una cuenta de usuario nueva independiente desde la IU de administración.
Cómo combinar usuarios cuando se usa Looker (Google Cloud Core)
Cuando usas Looker (Google Cloud Core) y OpenID Connect, la combinación funciona como se describe en la sección anterior. Sin embargo, solo es posible cuando se cumple una de las siguientes dos condiciones:
- Condición 1: Los usuarios se autentican en Looker (Google Cloud Core) con sus identidades de Google a través del protocolo OpenID Connect.
Condición 2: Antes de seleccionar la opción de combinación, completaste los siguientes dos pasos:
- Federar las identidades de los usuarios en Google Cloud con Cloud Identity.
- Configura la autenticación de OAuth como el método de autenticación alternativo con los usuarios federados.
Si la configuración no cumple con una de estas dos condiciones, la opción Combinar usuarios con no estará disponible.
Cuando se realice la combinación, Looker buscará registros de usuarios que compartan exactamente la misma dirección de correo electrónico.
Prueba la autenticación de usuarios
Mientras especificas esta configuración, haz clic en el botón Probar para probar tu configuración de OpenID Connect.
Las pruebas redireccionarán a los extremos y abrirán una nueva pestaña del navegador. En la pestaña, se muestra lo siguiente:
- Si Looker pudo comunicarse con los distintos extremos y validar
- Un seguimiento de la respuesta del extremo de autenticación
- La información del usuario que Looker obtiene del extremo de información del usuario
- Las versiones decodificada y sin procesar del token de ID recibido
Puedes usar esta prueba para verificar que la información recibida de los distintos extremos sea correcta y solucionar cualquier error.
Sugerencias:
- Puedes ejecutar esta prueba en cualquier momento, incluso si OpenID Connect está configurado de forma parcial. Ejecutar una prueba puede ser útil durante la configuración para ver qué parámetros necesitan configuración.
- La prueba usa la configuración ingresada en la página Autenticación de OpenID Connect, incluso si no se guardó. La prueba no afectará ni cambiará ninguno de los parámetros de configuración de esa página.
Guardar y aplicar la configuración
Cuando termines de ingresar tu información y todas las pruebas se hayan completado correctamente, selecciona Confirmé la configuración anterior y quiero habilitar su aplicación global y haz clic en Actualizar configuración para guardar los cambios.
Comportamiento de acceso de los usuarios
Cuando un usuario intenta acceder a una instancia de Looker con OpenID Connect (OIDC), Looker se abre en la página Acceder. El usuario debe hacer clic en el botón Autenticar para iniciar la autenticación a través de OIDC.
A diferencia de la autenticación de SAML, la autenticación de OpenID Connect no admite la función Omitir página de acceso. No hay ninguna opción en la IU de administración de Looker para omitir la página de acceso de los usuarios de OIDC, lo que significa que los usuarios deben hacer clic manualmente en Autenticar para iniciar el flujo de autenticación de OIDC.
Soluciona problemas
Para solucionar problemas de autenticación, consulta el panel Actividad del usuario en Actividad del sistema. Este panel tiene tarjetas que muestran los errores de acceso recientes y, además, incluye el método de autenticación que se usó, el mensaje de error que se devolvió y la hora del intento.
Soluciona problemas de OIDC en instancias de Looker (Google Cloud Core)
Si tienes problemas de conexión o de tiempo de espera cuando configuras o pruebas la autenticación de OIDC
en una instancia de Looker (Google Cloud Core) (como errores 504 Upstream
Request Timeout,
errores HttpClient:ConnectTimeoutError execution expired, rutas de red de salida controladas faltantes o errores de discrepancia de URI de redireccionamiento
engañosos), consulta
Soluciona problemas de redes de Looker (Google Cloud Core).