Paramètres d'administration - Authentification OpenID Connect

Les entreprises utilisent différents fournisseurs OpenID Connect (OP) pour se coordonner avec OpenID Connect (par exemple, Okta ou OneLogin). Les termes utilisés dans les instructions de configuration suivantes et dans l'interface utilisateur de Looker peuvent ne pas correspondre directement à ceux utilisés par votre fournisseur d'identité.

La page OpenID Connect de la section Authentification du menu "Admin" vous permet de configurer Looker pour authentifier les utilisateurs à l'aide du protocole OpenID Connect. Cette page décrit ce processus et explique comment associer des groupes OpenID Connect à des rôles et autorisations Looker.

Conditions requises

Looker n'affiche la page OpenID Connect dans la section Authentification du menu Admin que si les conditions suivantes sont remplies :

Si ces conditions sont remplies et que vous ne voyez pas la page OpenID Connect, envoyez une demande d'assistance pour activer OpenID Connect sur votre instance.

Considérations relatives à la planification

  • Envisagez d'utiliser l'option Méthode de connexion alternative pour les utilisateurs spécifiés pour permettre aux administrateurs Looker d'accéder à Looker sans OpenID Connect.
  • Ne désactivez pas l'authentification OpenID Connect lorsque vous êtes connecté à Looker à l'aide d'OpenID Connect, sauf si vous avez configuré un autre compte de connexion. Sinon, vous risquez de ne plus pouvoir accéder à l'application.
  • Looker peut migrer des comptes existants vers OpenID Connect à l'aide d'adresses e-mail provenant de configurations actuelles d'adresse e-mail et de mot de passe, de LDAP, de SAML ou de Google Auth. Vous pourrez configurer cela lors du processus de configuration.
  • Looker n'est compatible qu'avec l'authentification OpenID Connect utilisant le flux avec code d'autorisation d'OpenID Connect. Les autres flux de code ne sont pas acceptés.
  • La spécification OpenID Connect inclut un mécanisme de découverte facultatif. Looker n'est pas compatible avec ce mécanisme. Vous devez donc fournir des URL explicites dans la section Paramètres d'authentification OpenID Connect, comme décrit dans Configurer les paramètres d'authentification OpenID Connect.
  • Voici les conditions préalables supplémentaires pour activer OpenID Connect pour une instance Looker (Google Cloud Core) qui utilise des connexions privées :
    • Le routeur Cloud Router doit être configuré pour propager correctement les routes du réseau VPC vers l'instance Looker (Google Cloud Core) (par exemple, en configurant des routes annoncées personnalisées).
    • Un groupe de points de terminaison du réseau (NEG) Internet doit être configuré pour permettre à l'instance de connexions privées Looker (Google Cloud Core) d'acheminer le trafic vers le fournisseur d'identité externe.

Configurer OpenID Connect

Pour configurer la connexion entre Looker et OpenID Connect, procédez comme suit :

  1. Fournissez l'URL de votre instance Looker à votre fournisseur OpenID Connect (OP).
  2. Obtenez les informations requises auprès de votre OP.
  3. Configurez l'authentification OpenID Connect dans votre instance Looker.

Configurer Looker sur votre OP

Votre fournisseur OpenID Connect (OP) aura besoin de l'URL de votre instance Looker. Votre OP peut l'appeler URI de redirection ou URI de redirection de connexion, entre autres noms. Sur le site Web de votre fournisseur OpenID, indiquez l'URL que vous utilisez habituellement pour accéder à votre instance Looker dans un navigateur, suivie de /openidconnect. Par exemple, https://instance_name.looker.com/openidconnect.

Récupération des informations de votre OP

Pour configurer Looker pour l'authentification OpenID Connect, vous avez besoin des informations suivantes de votre OP :

  • Un identifiant client et un code secret du client. Elles sont généralement fournies par le fournisseur OpenID sur son site Web lorsque vous configurez l'URI de redirection.
  • Pendant le processus d'authentification OpenID Connect, Looker se connecte à trois points de terminaison différents : un point de terminaison d'authentification, un point de terminaison de jeton d'ID et un point de terminaison d'informations utilisateur. Vous aurez besoin des URL utilisées par votre OP pour chacun de ces points de terminaison.
  • Chaque OP fournit des informations utilisateur dans des ensembles appelés champs d'application. Vous devez connaître les noms des champs d'application utilisés par votre OP. OpenID Connect nécessite le champ d'application openid, mais votre OP inclura probablement d'autres champs d'application, tels que email, profile et groups.
  • Dans OpenID Connect, les attributs qui stockent les données utilisateur sont appelés revendications. Vous devez savoir quelles revendications votre OP transmet à Looker pour fournir les informations utilisateur que vous souhaitez sur votre instance Looker. Looker nécessite des revendications contenant des informations sur l'adresse e-mail et le nom. Toutefois, si vous disposez d'autres attributs utilisateur, tels que le fuseau horaire ou le service, Looker devra également identifier les revendications contenant ces informations. Les revendications peuvent être incluses dans la réponse du point de terminaison d'informations utilisateur ou du point de terminaison de jeton d'ID. Looker peut mapper les revendications renvoyées par l'un ou l'autre point de terminaison aux attributs utilisateur Looker.

De nombreux OP fournissent des informations sur la configuration d'OpenID Connect sous la forme d'un document de découverte, ce qui vous permet de rassembler tout ou partie des informations dont vous aurez besoin pour configurer Looker pour OpenID Connect. Si vous n'avez pas accès à un document de découverte, vous devez obtenir les informations nécessaires auprès de votre OP ou de votre équipe d'authentification interne.

La section suivante est tirée d'un exemple de document de découverte :

{
  "issuer": "https://accounts.google.com",
  "authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
  "token_endpoint": "https://www.googleapis.com/oauth2/v4/token",
  "userinfo_endpoint": "https://www.googleapis.com/oauth2/v3/userinfo",
  "revocation_endpoint": "https://accounts.google.com/o/oauth2/revoke",
  "jwks_uri": "https://www.googleapis.com/oauth2/v3/certs",
  "response_types_supported": [
    "code",
    "token",
    "id_token",
    "code token"
    "code id_token",
    "token id_token",
    "code token id_token",
    "none"
  ],
  "subject_types_supported": [
    "public"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "scopes_supported": [
    "openid",
    "email",
    "profile"
  ],
  "token_endpoint_auth_methods_supported": [
    "client_secret_post",
    "client_secret_basic"
  ],
  "claims_supported": [
    "aud",
    "email",
    "email_verified",
    "exp",
    "family_name",
    "given_name",
    "iat",
    "iss",
    "locale",
    "name",
    "picture",
    "sub"
  ],

Configurer les paramètres d'authentification OpenID Connect

Pour configurer l'authentification OpenID Connect pour votre instance Looker, sélectionnez OpenID Connect dans la section Authentification du panneau Admin. Sur la page Authentification OpenID Connect, sélectionnez Configurer OpenID Connect.

Utilisez les informations de configuration que vous avez obtenues à partir du document de découverte de votre OP, de votre OP ou de votre équipe d'authentification interne pour saisir les paramètres de connexion dans les champs suivants :

Identifiant : identifiant client unique de votre instance Looker. Cette information doit vous être fournie par votre opérateur.

Secret : code secret du client unique pour votre instance Looker. Cette information doit vous être fournie par votre opérateur.

Émetteur : URL sécurisée qui identifie votre OP.

Audience : identifiant indiquant à votre OP qui est le client. Il s'agit souvent de la même valeur que votre identifiant, mais il peut s'agir d'une valeur différente.

URL d'autorisation : URL du fournisseur OpenID où commence la séquence d'authentification. Souvent appelé authorization_endpoint dans un document de découverte.

URL du jeton : URL à laquelle Looker récupère un jeton OAuth une fois que Looker a été autorisé. Souvent appelé token_endpoint dans un document de découverte.

URL des informations sur l'utilisateur : URL à partir de laquelle Looker récupérera des informations détaillées sur l'utilisateur. Souvent appelé userinfo_endpoint dans un document de découverte.

Niveaux d'accès : liste des niveaux d'accès utilisés par le fournisseur OpenID pour fournir des informations utilisateur à Looker, séparés par une virgule. Vous devez inclure le champ d'application openid et tous les champs d'application qui incluent les informations requises par Looker, y compris les adresses e-mail, les noms d'utilisateur et tous les attributs utilisateur configurés sur votre instance Looker.

Configurer les paramètres liés aux attributs utilisateur

Dans cette section, vous allez mapper les revendications de votre OP aux attributs utilisateur Looker.

Dans la section User Attribute Settings (Paramètres des attributs utilisateur), saisissez le nom de la revendication de votre fournisseur OpenID qui contient les informations correspondantes pour chaque champ. Cela indique à Looker comment mapper ces revendications aux informations utilisateur Looker au moment de la connexion. Looker n'a pas d'exigences particulières concernant la construction des revendications. Il est simplement important que les informations de revendication saisies ici correspondent à la façon dont les revendications sont définies dans votre OP.

Revendications standards

Looker nécessite un nom d'utilisateur et une adresse e-mail pour l'authentification des utilisateurs. Dans cette section, saisissez les informations de revendication correspondantes de votre fournisseur OpenID :

Revendication d'adresse e-mail : revendication utilisée par votre OP pour les adresses e-mail des utilisateurs, par exemple email.

Revendication du prénom : revendication utilisée par votre OP pour les prénoms des utilisateurs, par exemple given_name.

Revendication du nom de famille : revendication utilisée par votre OP pour les noms de famille des utilisateurs, par exemple family_name.

Notez que certains fournisseurs OpenID utilisent une seule revendication pour les noms, au lieu de séparer le prénom et le nom de famille. Si c'est le cas de votre OP, saisissez la revendication qui stocke les noms dans les champs Revendication de prénom et Revendication de nom. Pour chaque utilisateur, Looker utilisera le contenu jusqu'au premier espace comme prénom et tout ce qui suit comme nom.

Associations d'attributs

Vous pouvez éventuellement utiliser les données de vos revendications OpenID Connect pour renseigner automatiquement les valeurs des attributs utilisateur Looker lorsqu'un utilisateur se connecte. Par exemple, si vous avez configuré OpenID Connect pour établir des connexions spécifiques à l'utilisateur avec votre base de données, vous pouvez associer vos revendications OpenID Connect à des attributs utilisateur Looker afin de rendre vos connexions à la base de données spécifiques à l'utilisateur dans Looker.

Pour associer des revendications aux attributs utilisateur Looker correspondants ou gérer les associations existantes, procédez comme suit :

  1. Dans la section Paramètres des attributs utilisateur, cliquez sur le bouton Gérer les associations pour ouvrir le panneau latéral Gérer les associations.
  2. Dans le champ Revendication, saisissez la revendication que vous souhaitez associer, telle qu'identifiée par votre OP. Les noms de revendication ne peuvent être saisis qu'une seule fois dans la liste. Si vous souhaitez associer une revendication OpenID Connect à plusieurs attributs Looker, vous pouvez saisir plusieurs attributs dans le champ Attributs utilisateur Looker.
  3. Dans le champ Attributs utilisateur Looker, une liste déroulante des attributs utilisateur Looker de l'instance s'affiche. Sélectionnez le nom de l'attribut utilisateur Looker que vous souhaitez associer à la revendication OpenID Connect. Vous pouvez sélectionner plusieurs attributs utilisateur Looker. Vous devez sélectionner au moins un attribut utilisateur Looker.
  4. Cochez la case Obligatoire pour bloquer les tentatives de connexion de tout compte utilisateur pour lequel il manque une valeur dans ce champ de revendication.
  5. Cliquez sur le bouton Ajouter une association pour ajouter une ligne d'association à la liste. Répétez ces étapes pour ajouter d'autres paires de revendications et d'attributs.
  6. À droite de chaque ligne d'association se trouve une icône Supprimer l'association. Cliquez sur cette icône pour supprimer une association d'attributs de votre instance.
  7. Cliquez sur l'icône Fermer  pour quitter le panneau latéral Gérer les associations.
  8. Testez votre configuration OpenID Connect.
  9. Vérifiez votre configuration OpenID Connect, puis, en bas de la page Authentification OpenID Connect, cochez la case J'ai vérifié la configuration OpenID Connect.
  10. Cliquez sur le bouton Activer OpenID Connect ou Mettre à jour les paramètres OpenID Connect pour enregistrer vos associations de revendications et d'attributs.

Le panneau latéral Gérer les associations inclut également les outils suivants :

  • Menu de filtres et barre de recherche Filtrer la liste. Utilisez ces outils pour rechercher les associations qui ont déjà été ajoutées à votre instance.
  • Menu déroulant de pagination Afficher. Utilisez ce menu pour afficher 10, 25, 50 ou 100 associations sur chaque page.

Revendications imbriquées

Certains fournisseurs OpenID peuvent avoir des revendications "imbriquées". Exemple :

"zoneinfo": "America/Los Angeles",
"phone_number": "555-1235",
"address": {
  "street_address": "1234 Main Street",
  "locality": "Anyton",
  "region": "IL",
  "postal_code": "60609",
  "country": "US"
},

Dans l'exemple précédent, la revendication locality est imbriquée dans la revendication address. Pour les revendications imbriquées, spécifiez les revendications parentes et imbriquées, séparées par une barre oblique ( /). Pour configurer Looker pour la revendication locality dans l'exemple, vous devez saisir address/locality.

Groupes et rôles

Vous pouvez demander à Looker de créer des groupes qui reflètent vos groupes OpenID Connect gérés en externe. Les groupes peuvent être utilisés pour définir des contrôles d'accès au contenu et attribuer aux utilisateurs des attributs utilisateur basés sur leurs groupes OpenID Connect dupliqués. Lorsque vous modifiez l'appartenance à un groupe OpenID Connect, ces modifications sont automatiquement propagées dans la configuration du groupe Looker.

La duplication des groupes OpenID Connect vous permet d'utiliser votre annuaire OpenID Connect défini en externe pour gérer les groupes et les utilisateurs Looker. Cela vous permet de gérer l'appartenance à un groupe pour plusieurs outils SaaS (Software as a Service), tels que Looker, au même endroit.

Si vous activez l'option Dupliquer les groupes OpenID Connect, Looker créera un groupe Looker pour chaque groupe OpenID Connect introduit dans le système. Ces groupes Looker sont visibles sur la page Groupes de la section Admin de Looker.

Groupes et rôles par défaut

Par défaut, le bouton Dupliquer les groupes OpenID Connect est désactivé. Dans ce cas, vous pouvez définir un groupe par défaut pour les nouveaux utilisateurs OpenID Connect. Dans les champs Nouveaux groupes d'utilisateurs et Nouveaux rôles utilisateur, saisissez les noms des groupes ou rôles Looker auxquels vous souhaitez attribuer les nouveaux utilisateurs Looker lors de leur première connexion à Looker :

Ces groupes et rôles sont appliqués aux nouveaux utilisateurs lors de leur première connexion. Ils ne sont pas appliqués aux utilisateurs existants, et ne sont pas appliqués une nouvelle fois s'ils sont supprimés après la première connexion.

Activer la duplication des groupes OpenID Connect

Si vous utilisez une instance Looker (Google Cloud Core), nous vous recommandons d'activer la mise en miroir des groupes uniquement pour la méthode d'authentification principale et de ne pas l'activer pour l'authentification OAuth de secours. Si vous activez la mise en miroir des groupes pour les méthodes d'authentification principale et secondaire, les comportements suivants se produisent :

  • Si un utilisateur a fusionné des identités, la mise en miroir des groupes correspondra à la méthode d'authentification principale, quelle que soit la méthode d'authentification réellement utilisée pour se connecter.
  • Si un utilisateur ne dispose pas d'identités fusionnées, la mise en miroir des groupes correspondra à la méthode d'authentification utilisée pour se connecter.

Étapes pour activer les groupes mis en miroir

Pour dupliquer vos groupes OpenID Connect dans Looker, activez l'option Dupliquer les groupes OpenID Connect. Looker affiche les paramètres suivants :

Revendication de groupes : saisissez la revendication que votre OP utilise pour stocker les noms de groupes. Ensuite, saisissez les informations sur le groupe pour configurer les groupes OpenID Connect spécifiques que vous souhaitez mettre en miroir dans Looker dans les champs Nom du groupe préféré/Rôles/Nom du groupe OpenID Connect. Il s'agit d'une étape obligatoire pour mapper les groupes OpenID Connect aux groupes Looker.

Bouton Gérer les groupes : cliquez sur ce bouton pour ouvrir le panneau latéral Gérer les groupes, dans lequel vous pouvez ajouter, supprimer ou modifier un groupe personnalisé ou les rôles attribués au groupe dans Looker. Le panneau latéral Gérer les groupes affiche les champs suivants :

  • Un champ Nom du groupe préféré. Saisissez un nom personnalisé pour le groupe dupliqué dans ce champ. Il s'agit du nom qui s'affichera sur la page Groupes de la section Admin de Looker.

  • Le champ Nom du groupe OpenID Connect. Saisissez le groupe OpenID Connect dans ce champ. Les utilisateurs OpenID Connect inclus dans le groupe OpenID Connect seront ajoutés au groupe dupliqué dans Looker.

  • Un champ Rôle. Dans ce champ, sélectionnez un ou plusieurs rôles Looker qui seront attribués à chaque utilisateur du groupe.

  • Icône Supprimer le mappage. Cliquez sur cette icône pour supprimer un groupe mis en miroir de votre instance Looker. Si vous supprimez un groupe, il ne sera plus mis en miroir dans Looker et ses membres ne disposeront plus des rôles qui leur ont été attribués dans Looker par le biais de ce groupe.

Le panneau latéral Gérer les groupes inclut également les outils suivants :

  • Menu de filtres et barre de recherche Filtrer la liste. Utilisez ces outils pour rechercher les groupes qui ont déjà été ajoutés à votre instance.

  • Le bouton Ajouter un mappage. Cliquez sur ce bouton pour ajouter un groupe personnalisé à l'instance.

  • Menu déroulant de pagination Afficher. Utilisez ce menu pour sélectionner le nombre de groupes à afficher sur chaque page.

Modifier des groupes dupliqués

Si vous modifiez un groupe mis en miroir qui a déjà été configuré sur cet écran, la configuration du groupe changera, mais le groupe lui-même restera intact. Par exemple, vous pouvez modifier le nom d'un groupe Looker, ce qui modifiera la façon dont le groupe apparaît sur la page Groupes de Looker, mais ne modifiera pas les rôles attribués ni les membres du groupe. Si vous modifiez le nom du groupe OpenID Connect, le nom et les rôles du groupe seront conservés, mais les membres du groupe seront réattribués en fonction des utilisateurs membres du groupe OpenID Connect externe qui porte le nouveau nom de groupe OpenID Connect.

Toute modification apportée à un groupe mis en miroir sera appliquée aux utilisateurs de ce groupe lors de leur prochaine connexion à Looker.

Gestion avancée des rôles

Si vous avez activé l'option Dupliquer les groupes OpenID Connect, Looker affiche ces paramètres. Les options de cette section déterminent la flexibilité dont disposent les administrateurs Looker lorsqu'ils configurent des groupes et des utilisateurs Looker dupliqués à partir d'OpenID Connect.

Par exemple, si vous souhaitez que la configuration de vos groupes et utilisateurs Looker corresponde strictement à votre configuration OpenID Connect, activez ces options. Lorsque les trois premières options sont activées, les administrateurs Looker ne peuvent pas modifier l'appartenance aux groupes dupliqués et ne peuvent attribuer des rôles aux utilisateurs que par le biais de groupes dupliqués OpenID Connect.

Si vous souhaitez personnaliser davantage vos groupes dans Looker, désactivez ces options. Vos groupes Looker refléteront toujours votre configuration OpenID Connect, mais vous pourrez effectuer des tâches supplémentaires de gestion des utilisateurs et des groupes dans Looker, comme ajouter des utilisateurs OpenID Connect à des groupes spécifiques à Looker ou attribuer des rôles Looker directement à des utilisateurs OpenID Connect.

Pour les nouvelles instances Looker ou les instances qui n'ont pas de groupes mis en miroir précédemment configurés, ces options sont désactivées par défaut.

Pour les instances Looker existantes pour lesquelles des groupes mis en miroir ont été configurés, ces options sont activées par défaut.

La section Gestion avancée des rôles contient les options suivantes :

Empêcher les utilisateurs OpenID Connect individuels de recevoir des rôles directs : l'activation de cette option empêche les administrateurs Looker d'attribuer des rôles Looker directement aux utilisateurs OpenID Connect. Les utilisateurs OpenID Connect ne recevront des rôles que via les groupes dont ils sont membres. Si les utilisateurs OpenID Connect sont autorisés à rejoindre des groupes Looker intégrés (non dupliqués), ils peuvent toujours hériter de leurs rôles à la fois des groupes OpenID Connect dupliqués et des groupes Looker intégrés. Les rôles qui ont été attribués directement à des utilisateurs OpenID Connect seront supprimés lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent attribuer des rôles Looker directement aux utilisateurs OpenID Connect, comme s'il s'agissait d'utilisateurs configurés directement dans Looker.

Empêcher l'adhésion directe à des groupes autres qu'OpenID Connect : l'activation de cette option empêche les administrateurs Looker d'ajouter des utilisateurs OpenID Connect directement à des groupes Looker intégrés. Si les groupes OpenID Connect dupliqués sont autorisés à être membres de groupes Looker intégrés, les utilisateurs OpenID Connect peuvent conserver leur appartenance à n'importe quel groupe Looker parent. Tous les utilisateurs OpenID Connect qui ont été précédemment attribués à des groupes Looker intégrés seront supprimés de ces groupes lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent ajouter des utilisateurs OpenID Connect directement aux groupes Looker intégrés.

Empêcher l'héritage des rôles depuis des groupes autres qu'OpenID Connect : l'activation de cette option empêche les membres des groupes OpenID Connect dupliqués d'hériter des rôles des groupes Looker intégrés. Tous les utilisateurs OpenID Connect qui ont précédemment hérité de rôles d'un groupe Looker parent perdront ces rôles lors de leur prochaine connexion.

Si cette option est désactivée, les groupes OpenID Connect dupliqués ou les utilisateurs OpenID Connect ajoutés en tant que membres d'un groupe Looker intégré hériteront des rôles attribués au groupe Looker parent.

L'authentification nécessite un rôle : si cette option est activée, les utilisateurs OpenID Connect doivent se voir attribuer un rôle. Les utilisateurs OpenID Connect auxquels aucun rôle n'est attribué ne pourront pas se connecter à Looker.

Si cette option est désactivée, les utilisateurs OpenID Connect peuvent s'authentifier auprès de Looker même si aucun rôle ne leur est attribué. Un utilisateur sans rôle attribué ne pourra pas voir de données ni effectuer d'actions dans Looker, mais il pourra s'y connecter.

Désactivation de la duplication des groupes OpenID Connect…

Si vous souhaitez arrêter de dupliquer vos groupes OpenID Connect dans Looker, désactivez l'option Dupliquer les groupes OpenID Connect. La désactivation de l'option entraîne le comportement suivant :

  • Tout groupe OpenID Connect dupliqué ne contenant aucun utilisateur est immédiatement supprimé.
  • Tout groupe OpenID Connect dupliqué qui contient des utilisateurs est marqué comme orphelin. Si aucun utilisateur de ce groupe ne se connecte dans un délai de 31 jours, le groupe est supprimé. Il n'est plus possible d'ajouter ni de supprimer des utilisateurs des groupes OpenID Connect orphelins.

Configurer les options de migration

Comme expliqué dans cette section, Looker vous recommande d'activer la méthode de connexion alternative et de fournir une stratégie de fusion pour les utilisateurs existants.

Méthode de connexion alternative pour les utilisateurs spécifiés

Les connexions Looker par combinaison adresse e-mail/mot de passe sont toujours désactivées pour les utilisateurs standards lorsque l'authentification OpenID Connect est activée. L'option Méthode de connexion alternative pour les utilisateurs spécifiés permet aux administrateurs et aux utilisateurs spécifiés disposant de l'autorisation login_special_email d'utiliser une méthode de connexion alternative basée sur l'e-mail secondaire avec /login/email.

La méthode de connexion alternative est utile comme solution de secours lors de la configuration d'OpenID Connect, si des problèmes de configuration OpenID Connect surviennent ultérieurement ou si vous devez assister des utilisateurs qui n'ont pas de compte dans votre annuaire OpenID Connect.

Spécifiez la méthode utilisée pour fusionner les utilisateurs OpenID Connect avec un compte Looker.

Dans le champ Fusionner les utilisateurs à l'aide de, spécifiez la méthode à utiliser pour fusionner une première connexion OpenID Connect avec un compte utilisateur existant. Vous pouvez fusionner des utilisateurs des systèmes suivants :

  • Adresse e-mail/Mot de passe Looker (non disponible pour Looker (Google Cloud Core))
  • Google
  • LDAP (non disponible pour Looker (Google Cloud Core))
  • SAML

Si vous avez mis en place plusieurs systèmes d'authentification, vous pouvez spécifier plusieurs systèmes de fusion dans ce champ. Looker recherche les utilisateurs dans les systèmes listés dans l'ordre spécifié. Par exemple, supposons que vous ayez créé des utilisateurs à l'aide de la combinaison adresse e-mail/mot de passe Looker, que vous ayez ensuite activé LDAP et que vous souhaitiez maintenant utiliser OpenID Connect. Dans l'exemple précédent, Looker fusionne d'abord par adresse e-mail et mot de passe, puis par LDAP.

Lorsqu'un utilisateur se connecte pour la première fois avec OpenID Connect, cette option le connecte à son compte existant en recherchant le compte correspondant à son adresse e-mail. S'il n'existe aucun compte pour l'utilisateur, un compte utilisateur sera créé.

Pour résoudre les problèmes de comptes en double, supprimez les comptes de messagerie en double inutilisés depuis l'interface administrateur. Pour accorder l'accès par e-mail à un utilisateur tout en conservant son compte OpenID Connect, les administrateurs doivent créer des identifiants de messagerie directement dans le compte OpenID Connect existant à l'aide de l'API Looker, plutôt que de créer un compte utilisateur distinct à partir de l'interface utilisateur d'administration.

Fusionner des utilisateurs lors de l'utilisation de Looker (Google Cloud Core)

Lorsque vous utilisez Looker (Google Cloud Core) et OpenID Connect, la fusion fonctionne comme décrit dans la section précédente. Toutefois, cela n'est possible que si l'une des deux conditions suivantes est remplie :

  • Condition 1 : les utilisateurs s'authentifient dans Looker (Google Cloud Core) à l'aide de leur identité Google via le protocole OpenID Connect.

  • Condition 2 : Avant de sélectionner l'option de fusion, vous avez effectué les deux étapes suivantes :

    1. Fédérer les identités des utilisateurs dans Google Cloud à l'aide de Cloud Identity.
    2. Configurez l'authentification OAuth comme méthode d'authentification de secours à l'aide des utilisateurs fédérés.

Si la configuration ne remplit pas l'une de ces deux conditions, l'option Fusionner les utilisateurs à l'aide de ne sera pas disponible.

Lors de la fusion, Looker recherche les enregistrements utilisateur qui partagent exactement la même adresse e-mail.

Tester l'authentification des utilisateurs

Lors de la spécification de cette configuration, cliquez sur le bouton Tester pour tester votre configuration OpenID Connect.

Les tests redirigeront vers les points de terminaison et ouvriront un nouvel onglet du navigateur. L'onglet affiche les informations suivantes :

  • Si Looker a pu communiquer avec les différents points de terminaison et valider
  • Une trace de la réponse du point de terminaison d'authentification
  • Informations utilisateur que Looker obtient à partir du point de terminaison d'informations utilisateur
  • Versions décodée et brute du jeton d'ID reçu

Vous pouvez utiliser ce test pour vérifier que les informations reçues des différents points de terminaison sont correctes et pour résoudre les erreurs.

Astuces :

  • Vous pouvez exécuter ce test à tout moment, même si OpenID Connect est partiellement configuré. L'exécution d'un test peut être utile lors de la configuration pour identifier les paramètres à configurer.
  • Le test utilise les paramètres saisis sur la page Authentification OpenID Connect, même s'ils n'ont pas été enregistrés. Le test n'aura aucune incidence sur les paramètres de cette page, qui resteront inchangés.

Enregistrer et appliquer les paramètres

Une fois que vous avez terminé de saisir vos informations et que tous les tests ont réussi, sélectionnez J'ai vérifié la configuration ci-dessus et je souhaite l'appliquer dans le monde entier, puis cliquez sur Mettre à jour les paramètres pour enregistrer.

Comportement de connexion des utilisateurs

Lorsqu'un utilisateur tente de se connecter à une instance Looker à l'aide d'OpenID Connect (OIDC), Looker ouvre la page Se connecter. L'utilisateur doit cliquer sur le bouton S'authentifier pour lancer l'authentification via OIDC.

Contrairement à l'authentification SAML, l'authentification OpenID Connect n'est pas compatible avec la fonctionnalité Ignorer la page de connexion. L'interface d'administration de Looker ne propose pas d'option permettant de contourner la page de connexion pour les utilisateurs OIDC. Les utilisateurs doivent donc cliquer manuellement sur S'authentifier pour lancer le flux d'authentification OIDC.

Dépannage

Pour résoudre les problèmes d'authentification, consultez le tableau de bord Activité des utilisateurs dans l'activité du système. Ce tableau de bord comporte des tuiles qui affichent les échecs de connexion récents, ainsi que la méthode d'authentification utilisée, le message d'erreur renvoyé et l'heure de la tentative.

Résoudre les problèmes liés à OIDC sur les instances Looker (Google Cloud Core)

Si vous rencontrez des problèmes de connexion ou de délai avant expiration lors de la configuration ou du test de l'authentification OIDC sur une instance Looker (Google Cloud Core) (par exemple, des erreurs 504 Upstream Request Timeout, des erreurs HttpClient:ConnectTimeoutError execution expired, des routes réseau de sortie contrôlées manquantes ou des erreurs de non-concordance d'URI de redirection trompeuses), consultez Résoudre les problèmes de réseau Looker (Google Cloud Core).