Looker fornisce l'autenticazione a due fattori (2FA) come livello di sicurezza aggiuntivo per proteggere i dati accessibili tramite Looker. Con l'autenticazione a due fattori (2FA) attivata, ogni utente connesso deve autenticarsi con un codice una tantum generato dal proprio dispositivo mobile. Non è possibile attivare l'autenticazione a due fattori per un sottoinsieme di utenti.
La pagina Autenticazione a due fattori nella sezione Autenticazione del menu Amministratore consente di attivare e configurare l'autenticazione a due fattori.
A partire da Looker 26.22, l'autenticazione a due fattori è abilitata per impostazione predefinita per tutte le istanze di Looker (originale) nuove ed esistenti che utilizzano l'autenticazione tramite email e password e che non hanno eseguito la disattivazione durante la finestra di disattivazione anticipata. Gli amministratori mantengono il pieno controllo per gestire o disattivare l'autenticazione a due fattori in Amministrazione > Autenticazione > Autenticazione a due fattori.
Utilizzo dell'autenticazione a due fattori
Di seguito è riportato il flusso di lavoro generale per la configurazione e l'utilizzo dell'autenticazione a due fattori. I requisiti di sincronizzazione dell'ora, necessari per il corretto funzionamento dell'autenticazione a due fattori, sono descritti più avanti in questo documento.
L'amministratore attiva l'autenticazione a due fattori nelle impostazioni di amministrazione di Looker (oppure l'autenticazione a due fattori è attiva per impostazione predefinita a partire da Looker 26.22).
I singoli utenti installano Google Authenticator (app per iPhone o app per Android) sui propri dispositivi mobili o su qualsiasi app di autenticazione TOTP di terze parti compatibile.
Al primo accesso, l'utente vedrà l'immagine di un codice QR e un codice di testo manuale sullo schermo del computer. L'utente può scansionare il codice QR con l'app di autenticazione o inserire il codice di testo manuale nell'app.
Dopo aver completato questo passaggio, l'utente potrà generare chiavi di autenticazione per Looker.
Per gli accessi successivi a Looker, l'utente dovrà inserire una chiave di autenticazione dopo aver inviato il nome utente e la password.
Se un utente attiva l'opzione Questo è un computer attendibile, il token autentica il browser di accesso per un periodo di 30 giorni. Durante questo periodo, l'utente può accedere solo con nome utente e password. Ogni 30 giorni, Looker richiede a ogni utente di autenticare nuovamente il browser con la propria app di autenticazione.
Requisiti di sincronizzazione dell'ora
Un'app di autenticazione produce token time-based, che richiedono la sincronizzazione dell'ora tra il server Looker e ogni dispositivo mobile affinché i token funzionino. Se il server Looker e un dispositivo mobile non sono sincronizzati, l'utente del dispositivo mobile potrebbe non essere in grado di eseguire l'autenticazione con l'autenticazione a due fattori. Per sincronizzare le origini ora, esegui almeno una delle seguenti operazioni:
Imposta i dispositivi mobili per la sincronizzazione automatica dell'ora con la rete.
Per i deployment di Looker ospitati dal cliente, assicurati che NTP sia in esecuzione e configurato sul server. Se il provisioning del server viene eseguito su AWS, potrebbe essere necessario consentire esplicitamente NTP nell'ACL di rete AWS.
Un amministratore di Looker può impostare la deviazione temporale massima consentita nel pannello di amministrazione Amministratore di Looker, che definisce la differenza consentita tra il server e i dispositivi mobili. Se l'impostazione dell'ora di un dispositivo mobile è disattivata per un periodo superiore alla deviazione consentita, le chiavi di autenticazione non funzioneranno. Il valore predefinito è 90 secondi.
Reimpostazione dell'autenticazione a due fattori
Se un utente deve reimpostare l'autenticazione a due fattori (ad esempio, se ha un nuovo dispositivo mobile):
Nella pagina Utenti della sezione Amministratore di Looker, fai clic su Modifica sul lato destro della riga dell'utente per modificare i dati dell'account utente.
Nella sezione Two-Factor Secret (Secret a due fattori), fai clic su Reset (Reimposta) per fare in modo che Looker chieda all'utente di scansionare nuovamente un codice QR o di inserire il codice di testo manuale con un'app di autenticazione al successivo tentativo di accesso all'istanza di Looker.
Considerazioni
Durante la configurazione dell'autenticazione a due fattori, tieni presente quanto segue:
L'autenticazione a due fattori si applica solo a Looker (originale). Non si applica a Looker (Google Cloud core), che si basa su IAM Google Cloud o su provider di identità esterni per l'autenticazione a più fattori.
L'autenticazione a due fattori non influisce sull'utilizzo dell'API Looker.
L'autenticazione a due fattori non influisce sull'autenticazione tramite sistemi esterni come LDAP, SAML, Google OAuth o OpenID Connect. La 2FA influisce sulle credenziali di accesso alternative utilizzate con questi sistemi.