Administratoreinstellungen – 2-Faktor-Authentifizierung

Looker bietet die 2-Faktor-Authentifizierung (2FA) als zusätzliche Sicherheitsebene zum Schutz von Daten, auf die über Looker zugegriffen werden kann. Wenn die 2FA aktiviert ist, muss sich jeder Nutzer, der sich anmeldet, mit einem einmaligen Code authentifizieren, der von seinem Mobilgerät generiert wird. Es gibt keine Möglichkeit, die 2FA für eine Teilmenge von Nutzern zu aktivieren.

Auf der Seite Zwei-Faktor-Authentifizierung im Abschnitt Authentifizierung des Menüs Admin können Sie die 2FA aktivieren und konfigurieren.

Ab Looker 26.22 ist die 2FA standardmäßig für alle neuen und vorhandenen Looker (Original)-Instanzen aktiviert, die die E‑Mail- und Passwortauthentifizierung verwenden und die sich nicht während des Zeitraums für die Vorab-Deaktivierung dagegen entschieden haben. Administratoren behalten die volle Kontrolle, um die 2FA unter Admin > Authentifizierung > Zwei-Faktor-Authentifizierung zu verwalten oder zu deaktivieren.

Hinweis: Wenn Sie eine Berechtigung haben, die Ihnen Zugriff auf bestimmte Seiten im Admin-Bereich gewährt, z. B. manage_schedules, manage_themes oder see_admin, aber nicht die Administratorrolle haben, sind die hier beschriebenen Seiten im Admin-Bereich möglicherweise nicht für Sie sichtbar.

2‑Faktor-Authentifizierung verwenden

Im Folgenden finden Sie den allgemeinen Workflow zum Einrichten und Verwenden der 2FA. Die Anforderungen an die Zeitsynchronisierung, die für den korrekten Betrieb der 2FA erforderlich sind, werden später in diesem Dokument beschrieben.

1. Der Administrator aktiviert die 2FA in den Administratoreinstellungen von Looker (oder die 2FA ist ab Looker 26.22 standardmäßig aktiviert).

   Hinweis: Wenn Sie die 2FA aktivieren, werden alle Nutzer, die in Looker angemeldet sind, abgemeldet und müssen sich mit der 2FA wieder anmelden.

2. Die einzelnen Nutzer installieren Google Authenticator (iPhone-App oder Android-App) oder eine kompatible TOTP-Authentifizierungs-App eines Drittanbieters auf ihren Mobilgeräten.

3. Bei der ersten Anmeldung wird dem Nutzer auf dem Computerbildschirm ein QR-Code und ein manueller Textcode angezeigt. Der Nutzer kann entweder den QR-Code mit seiner Authentifizierungs-App scannen oder den Textcode manuell in die App eingeben.

   

   Danach kann er Authentifizierungsschlüssel für Looker generieren.

   

4. Bei nachfolgenden Anmeldungen bei Looker muss der Benutzer nach Eingabe seines Benutzernamens und Passworts einen Authentifizierungsschlüssel eingeben.

   

   Wenn ein Nutzer die Option Dies ist ein vertrauenswürdiger Computer aktiviert, authentifiziert der Schlüssel den Browser für die Anmeldung für einen Zeitraum von 30 Tagen. Während dieses Zeitraums kann sich der Nutzer nur mit Nutzernamen und Passwort anmelden. Looker verlangt von jedem Benutzer, dass er den Browser alle 30 Tage mit seiner Authentifizierungs-App neu authentifiziert.

Anforderungen an die Zeitsynchronisierung

Eine Authentifizierungs-App generiert zeitlich begrenzte Tokens, die eine Zeitsynchronisierung zwischen dem Looker-Server und jedem Mobilgerät erfordern, damit die Tokens funktionieren. Wenn der Looker-Server und ein Mobilgerät nicht synchronisiert sind, kann sich der Nutzer des Mobilgeräts möglicherweise nicht mit der 2FA authentifizieren. Führen Sie mindestens einen der folgenden Schritte aus, um Zeitquellen zu synchronisieren:

• Richten Sie Mobilgeräte für die automatische Zeitsynchronisierung mit dem Netzwerk ein.

• Achten Sie bei von Kunden gehosteten Looker-Bereitstellungen darauf, dass NTP auf dem Server ausgeführt und konfiguriert ist. Wenn der Server auf AWS bereitgestellt wird, müssen Sie NTP möglicherweise explizit in der AWS-Netzwerk-ACL zulassen.

• Ein Looker-Administrator kann im Looker-Admin-Bereich die maximal zulässige Zeitverschiebung festlegen. Damit wird definiert, wie groß der Unterschied zwischen dem Server und den Mobilgeräten sein darf. Wenn die Zeiteinstellung eines Mobilgeräts um mehr als die zulässige Abweichung abweicht, funktionieren die Authentifizierungsschlüssel nicht. Der Standardwert beträgt 90 Sekunden.

2-Faktor-Authentifizierung zurücksetzen

Wenn die 2FA eines Nutzers zurückgesetzt werden muss (z. B. wenn er ein neues Mobilgerät hat):

1. Klicken Sie in Looker im Bereich Admin auf der Seite Nutzer rechts neben der Zeile des Nutzers auf Bearbeiten, um die Kontoinformationen des Nutzers zu bearbeiten.

2. Klicken Sie im Abschnitt Two-Factor Secret auf Reset, damit Looker den Benutzer auffordert, einen QR-Code neu zu scannen oder den manuellen Textcode mit einer Authentifizierungs-App einzugeben, wenn er sich das nächste Mal bei der Looker-Instanz anmeldet.

Hinweise

Beachten Sie beim Konfigurieren der 2-Faktor-Authentifizierung Folgendes:

• Die 2-Faktor-Authentifizierung gilt nur für Looker (Original). Sie gilt nicht für Looker (Google Cloud Core), da dort für die Multi-Faktor-Authentifizierung Google Cloud IAM oder externe Identitätsanbieter verwendet werden.

• Die 2-Faktor-Authentifizierung hat keine Auswirkungen auf die Verwendung der Looker API.

• Die 2-Faktor-Authentifizierung hat keine Auswirkungen auf die Authentifizierung über externe Systeme wie LDAP, SAML, Google OAuth oder OpenID Connect. Die 2FA wirkt sich auf alle alternativen Anmeldedaten aus, die mit diesen Systemen verwendet werden.