Paramètres Admin – Authentification à deux facteurs

Looker fournit une authentification à deux facteurs (2FA) comme couche de sécurité supplémentaire pour protéger les données accessibles via Looker. Lorsque l'A2F est activée, chaque utilisateur qui se connecte doit s'authentifier à l'aide d'un code à usage unique généré par son appareil mobile. Il n'est pas possible d'activer l'A2F pour un sous-ensemble d'utilisateurs.

La page Authentification à deux facteurs de la section Authentification du menu Admin vous permet d'activer et de configurer l'A2F.

À partir de Looker 26.22, l'A2F est activée par défaut pour toutes les instances Looker (original) nouvelles et existantes qui utilisent l'authentification par e-mail et mot de passe, et qui n'ont pas désactivé cette option pendant la période de désactivation anticipée. Les administrateurs conservent un contrôle total pour gérer ou désactiver l'A2F sous Admin > Authentication > Two-Factor (Admin > Authentification > À deux facteurs).

Remarque : Si vous disposez d'une autorisation qui vous permet d'accéder uniquement à certaines pages du panneau d'administration, comme manage_schedules, manage_themes ou see_admin, mais que vous ne disposez pas du rôle d'administrateur, il est possible que la ou les pages décrites ici ne soient pas visibles dans le panneau d'administration.

Utiliser l'authentification à deux facteurs

Voici le workflow général pour configurer et utiliser l'A2F. Les exigences de synchronisation temporelle, nécessaires au bon fonctionnement de l'A2F, sont décrites plus loin dans ce document.

1. L'administrateur active l'A2F dans les paramètres d'administration de Looker (ou l'A2F est activée par défaut à partir de Looker 26.22).

   Remarque : Lorsque vous activez l'A2F, tous les utilisateurs connectés à Looker sont déconnectés et doivent se reconnecter à l'aide de l'A2F.

2. Les utilisateurs installent Google Authenticator (application iPhone ou application Android) sur leur appareil mobile ou toute autre application d'authentification TOTP tierce compatible.

3. Lors de sa première connexion, l'utilisateur verra s'afficher sur l'écran de son ordinateur l'image d'un QR code et un code textuel manuel. L'utilisateur peut scanner le QR code avec son application d'authentification ou saisir manuellement le code textuel dans son application.

   

   Une fois cette étape terminée, l'utilisateur pourra générer des clés d'authentification pour Looker.

   

4. Lors des connexions ultérieures à Looker, l'utilisateur devra saisir une clé d'authentification après avoir envoyé son nom d'utilisateur et son mot de passe.

   

   Si un utilisateur active l'option Je fais confiance à cet ordinateur, la clé authentifie le navigateur de connexion pendant une période de 30 jours. Pendant ce délai, l'utilisateur peut se connecter uniquement avec son nom d'utilisateur et son mot de passe. Tous les 30 jours, Looker demande à chaque utilisateur de réauthentifier le navigateur avec son application d'authentification.

Exigences de synchronisation horaire

Une application d'authentification produit des mots de passe à usage unique basés sur le temps, qui nécessitent une synchronisation temporelle entre le serveur Looker et chaque appareil mobile pour que les mots de passe à usage unique basés sur le temps fonctionnent. Si le serveur Looker et un appareil mobile ne sont pas synchronisés, l'utilisateur de l'appareil mobile peut ne pas pouvoir s'authentifier avec l'A2F. Pour synchroniser les sources de temps, effectuez au moins l'une des opérations suivantes :

• Configurez les appareils mobiles pour qu'ils synchronisent automatiquement l'heure avec le réseau.

• Pour les déploiements Looker hébergés par le client, assurez-vous que le protocole NTP est en cours d'exécution et configuré sur le serveur. Si le serveur est provisionné sur AWS, vous devrez peut-être autoriser explicitement NTP dans la LCA du réseau AWS.

• Un administrateur Looker peut définir la dérive temporelle maximale autorisée dans le panneau d'administration Admin de Looker, qui définit la différence autorisée entre le serveur et les appareils mobiles. Si le paramètre d'heure d'un appareil mobile est décalé de plus que la dérive autorisée, les clés d'authentification ne fonctionneront pas. La valeur par défaut est de 90 secondes.

Réinitialisation de l'authentification à deux facteurs

Si un utilisateur doit réinitialiser son A2F (par exemple, s'il a un nouvel appareil mobile) :

1. Sur la page Utilisateurs de la section Admin de Looker, cliquez sur Modifier à droite de la ligne de l'utilisateur pour modifier les informations de son compte.

2. Dans la section Secret d'authentification à deux facteurs, cliquez sur Réinitialiser pour que Looker invite l'utilisateur à scanner à nouveau un QR code ou à saisir le code textuel manuel avec une application d'authentification lors de sa prochaine tentative de connexion à l'instance Looker.

Remarques

Lorsque vous configurez l'authentification à deux facteurs, tenez compte des points suivants :

• L'authentification à deux facteurs ne s'applique qu'à Looker (original). Elle ne s'applique pas à Looker (Google Cloud Core), qui s'appuie sur Google Cloud IAM ou des fournisseurs d'identité externes pour l'authentification multifacteur.

• L'authentification à deux facteurs n'affecte pas l'utilisation de l'API Looker.

• L'authentification à deux facteurs n'affecte pas l'authentification via des systèmes externes tels que LDAP, SAML, Google OAuth ou OpenID Connect. L'A2F affecte les identifiants de connexion alternatifs utilisés avec ces systèmes.