Looker には、Looker を介してアクセス可能なデータを保護するために、追加のセキュリティ レイヤとして 2 要素認証（2FA）が用意されています。2FA を有効にすると、ログインするすべてのユーザーは、モバイル デバイスで生成されたワンタイム コードを使用して認証を行う必要があります。一部のユーザーに対して 2 要素認証 を有効にするオプションはありません。
[管理者] メニューの [認証] セクションにある [2 要素認証] ページでは、2 要素認証を有効にして構成できます。
Looker 26.22 以降、メールとパスワードによる認証を使用し、事前のオプトアウト期間中にオプトアウトしなかったすべての新規および既存の Looker（オリジナル）インスタンスで、2FA がデフォルトで有効になります。管理者は、[管理者] > [認証] > [2 要素] で 2 要素認証を管理または無効にするための完全な管理権限を保持します。
2 要素認証の使用
2 要素認証を設定して使用するためのワークフローの概要は次のとおりです。2 要素認証の正常な動作に必要な時刻同期の要件については、このドキュメントの後半で説明します。
管理者が Looker の管理設定で 2 要素認証を有効にします（または、Looker 26.22 以降では 2 要素認証がデフォルトで有効になっています）。
個々のユーザーが、Google 認証システム（iPhone アプリまたは Android アプリ）または互換性のあるサードパーティ製の TOTP 認証システム アプリをモバイル デバイスにインストールします。
ユーザーが初めてログインすると、パソコンの画面に QR コードの画像と手動テキストコードが表示されます。ユーザーは、認証システム アプリで QR コードをスキャンするか、アプリに手動でテキストコードを入力します。
この手順を完了すると、ユーザーは Looker の認証キーを生成できるようになります。
Looker への以降のログインでは、ユーザーはユーザー名とパスワードを送信した後に認証キーを入力する必要があります。
ユーザーが [このコンピューターは信頼できます] オプションを有効にすると、キーはログイン ブラウザを 30 日間認証します。この期間、ユーザーは、このユーザー名とパスワードだけでログインできます。Looker では、30 日ごとに各ユーザーが認証システム アプリでブラウザを再認証する必要があります。
時刻同期の要件
認証システム アプリは時間ベーストークンを生成します。これには、トークンを動作させるために Looker サーバーと各モバイル デバイスとの間で時刻を同期する必要があります。Looker サーバーとモバイル デバイスが同期されていない場合、モバイル デバイス ユーザーが 2 要素認証で認証できないことがあります。時刻ソースを同期するには、次の少なくとも 1 つを行います。
モバイル デバイスとネットワークの自動時刻同期を設定します。
セルフホスト型 Looker デプロイメントの場合は、NTP がサーバー上で実行および構成されていることを確認します。サーバーが AWS でプロビジョニングされている場合は、AWS ネットワーク ACL で NTP を明示的に許可する必要がある場合があります。
Looker 管理者は、Looker の [管理パネル] で時間のずれの最大許容値を設定できます。これにより、サーバーとモバイル デバイスの間で許容される差異を定義できます。モバイル デバイスの時間設定が許容されたずれを超えている場合、認証キーは機能しません。デフォルト値は 30 秒です。
2 要素認証をリセットする
2 段階認証をリセットする必要がある場合（新しいモバイル デバイスなど）は:
Looker の [管理] セクションにある [ユーザー] ページで、ユーザーの列の右側にある [編集] をクリックして、ユーザーのアカウント情報を編集します。
[二要素シークレット] セクションで、[リセット] をクリックします。これにより、ユーザーが次に Looker インスタンスにログインしようとすると、Looker は認証システムアプリで QR コードを再スキャンするか、手動テキストコードを入力するようユーザーに促します。
考慮事項
2 要素認証プロセスを構成する際は、次の点を考慮してください。
2 要素認証は Looker（オリジナル）にのみ適用されます。これは、多要素認証に Google Cloud IAM または外部 ID プロバイダを使用する Looker（Google Cloud コア）には適用されません。
2 要素認証は Looker API の使用に影響しません。
2 要素認証は、LDAP、SAML、Google OAuth、OpenID Connect などの外部システムを介した認証には影響しません。2 要素認証は、これらのシステムで使用している代替ログイン認証情報に影響します。