Looker proporciona la autenticación de dos factores (2FA) como una capa adicional de seguridad para proteger los datos a los que se puede acceder a través de Looker. Con la 2FA habilitada, cada usuario que acceda deberá autenticarse con un código de un solo uso generado por su dispositivo móvil. No hay ninguna opción para habilitar la 2FA para un subconjunto de usuarios.
La página Autenticación de dos factores de la sección Autenticación del menú Administrador te permite habilitar y configurar la 2FA.
A partir de Looker 26.22, la 2FA se habilita de forma predeterminada para todas las instancias nuevas y existentes de Looker (original) que usan la autenticación por correo electrónico y contraseña, y que no se inhabilitaron durante el período de inhabilitación anticipada. Los administradores conservan el control total para administrar o inhabilitar la 2FA en Administrador > Autenticación > Dos factores.
Usa la autenticación de dos factores
A continuación, se muestra el flujo de trabajo general para configurar y usar la 2FA. Los requisitos de sincronización de la hora, que son necesarios para el funcionamiento correcto de la 2FA, se describen más adelante en este documento.
El administrador habilita la 2FA en la configuración de administrador de Looker (o la 2FA se habilita de forma predeterminada a partir de Looker 26.22).
Los usuarios individuales instalan el Autenticador de Google (app para iPhone o app para Android) en sus dispositivos móviles o cualquier app de autenticación TOTP de terceros compatible.
Cuando acceda por primera vez, el usuario verá una imagen de un código QR y un código de texto manual en la pantalla de su computadora. El usuario puede escanear el código QR con su app de autenticación o ingresar el código de texto manual en su app.
Después de completar este paso, el usuario podrá generar claves de autenticación para Looker.
En los accesos posteriores a Looker, el usuario deberá ingresar una clave de autenticación después de enviar su nombre de usuario y contraseña.
Si un usuario habilita la opción Esta es una computadora de confianza, la llave autentica el navegador de acceso durante un período de 30 días. Durante este período, el usuario puede acceder solo con su nombre de usuario y contraseña. Cada 30 días, Looker requiere que cada usuario vuelva a autenticar el navegador con su app de autenticación.
Requisitos de sincronización de hora
Una app de autenticación produce tokens basados en el tiempo, que requieren sincronización de tiempo entre el servidor de Looker y cada dispositivo móvil para que los tokens funcionen. Si el servidor de Looker y un dispositivo móvil no están sincronizados, es posible que el usuario del dispositivo móvil no pueda autenticarse con la 2FA. Para sincronizar las fuentes de tiempo, realiza al menos una de las siguientes acciones:
Configura los dispositivos móviles para que se sincronicen automáticamente con la hora de la red.
En el caso de las implementaciones de Looker alojadas por el cliente, asegúrate de que el NTP se esté ejecutando y esté configurado en el servidor. Si el servidor se aprovisiona en AWS, es posible que debas permitir de forma explícita el NTP en la LCA de red de AWS.
Un administrador de Looker puede establecer el desvío temporal máximo permitido en el panel Administrador de Looker, que define cuánta diferencia se permite entre el servidor y los dispositivos móviles. Si el parámetro de configuración de hora de un dispositivo móvil se desvía más de lo permitido, las claves de autenticación no funcionarán. El valor predeterminado es 90 segundos.
Restableciendo la autenticación de dos factores
Si un usuario necesita restablecer su 2FA (por ejemplo, si tiene un dispositivo móvil nuevo), haz lo siguiente:
En la página Usuarios de la sección Administrador de Looker, haz clic en Editar en el lado derecho de la fila del usuario para editar la información de su cuenta.
En la sección Secreto de dos factores, haz clic en Restablecer para que Looker le solicite al usuario que vuelva a escanear un código QR o que ingrese el código de texto manual con una app de autenticación la próxima vez que intente acceder a la instancia de Looker.
Consideraciones
Cuando configures la autenticación de dos factores, ten en cuenta las siguientes consideraciones:
La autenticación de dos factores solo se aplica a Looker (original). No se aplica a Looker (Google Cloud Core), que depende de Google Cloud IAM o de proveedores de identidad externos para la autenticación de varios factores.
La autenticación de dos factores no afecta el uso de la API de Looker.
La autenticación de dos factores no afecta la autenticación a través de sistemas externos, como LDAP, SAML, Google OAuth o OpenID Connect. La 2FA afecta a las credenciales de acceso alternativas que se usan con estos sistemas.