Looker는 Looker를 통해 액세스할 수 있는 데이터를 보호하기 위한 추가 보안 레이어로 2단계 인증(2FA)을 제공합니다. 2FA를 사용 설정하면 로그인하는 모든 사용자는 모바일 기기에서 생성된 일회용 코드로 인증해야 합니다. 일부 사용자에게 2FA를 사용 설정하는 옵션은 없습니다.
관리 메뉴의 인증 섹션에 있는 2단계 인증 페이지에서 2FA를 사용 설정하고 구성할 수 있습니다.
Looker 26.22부터 이메일 및 비밀번호 인증을 사용하고 사전 선택 해제 기간 동안 선택 해제하지 않은 모든 신규 및 기존 Looker(원본) 인스턴스에 2FA가 기본적으로 사용 설정됩니다. 관리자는 관리 > 인증 > 2단계 인증에서 2단계 인증을 관리하거나 사용 중지할 수 있는 모든 권한을 보유합니다.
2단계 인증 사용
다음은 2FA 설정 및 사용에 대한 개괄적인 워크플로입니다. 2FA의 올바른 작동에 필요한 시간 동기화 요구사항은 이 문서의 뒷부분에서 설명합니다.
관리자가 Looker의 관리자 설정에서 2FA를 사용 설정합니다(또는 Looker 26.22부터 2FA가 기본적으로 사용 설정됨).
개별 사용자는 휴대기기에 Google OTP(iPhone 앱 또는 Android 앱) 또는 호환되는 서드 파티 TOTP OTP 앱을 설치합니다.
처음 로그인하면 사용자의 컴퓨터 화면에 QR 코드 사진과 수동 텍스트 코드가 표시됩니다. 사용자는 OTP 앱으로 QR 코드를 스캔하거나 앱에 수동 텍스트 코드를 입력할 수 있습니다.
이 단계를 완료하면 사용자가 Looker용 인증 키를 생성할 수 있습니다.
이후 Looker에 로그인할 때 사용자는 사용자 이름과 비밀번호를 제출한 후 인증 키를 입력해야 합니다.
사용자가 신뢰할 수 있는 컴퓨터 옵션을 사용 설정하면 생성된 키가 30일 동안 로그인 브라우저를 인증합니다. 이 기간 동안 사용자는 사용자 이름과 비밀번호만으로 로그인할 수 있습니다. Looker를 사용하는 각 사용자는 30일마다 OTP 앱으로 브라우저를 다시 인증해야 합니다.
시간 동기화 요구사항
OTP 앱은 시간 기반 토큰을 생성하며, 이 토큰이 작동하려면 Looker 서버와 각 휴대기기 간에 시간 동기화가 되어야 합니다. Looker 서버와 모바일 기기가 동기화되지 않은 경우 모바일 기기 사용자가 2FA로 인증하지 못할 수 있습니다. 시간 소스를 동기화하려면 다음 중 하나 이상을 수행합니다.
모바일 기기에 네트워크와 자동 시간 동기화를 설정합니다.
고객 호스팅 Looker 배포의 경우 NTP가 서버에서 실행되고 구성되어 있는지 확인합니다. 서버가 AWS에 프로비저닝된 경우 AWS 네트워크 ACL에서 NTP를 명시적으로 허용해야 할 수 있습니다.
Looker 관리자는 Looker 관리 패널에서 서버와 모바일 기기 간에 허용되는 차이를 정의하는 최대 허용 시간 드리프트를 설정할 수 있습니다. 모바일 기기의 시간 설정이 허용된 드리프트를 초과하여 설정되어 있으면 인증 키가 작동하지 않습니다. 기본값은 90초입니다.
2단계 인증 재설정
사용자가 2FA를 재설정해야 하는 경우(예: 새 모바일 기기가 있는 경우):
Looker의 관리 섹션에 있는 사용자 페이지에서 사용자 행 오른쪽에 있는 수정을 클릭하여 사용자 계정 정보를 수정합니다.
2단계 보안 비밀 섹션에서 재설정을 클릭하면 Looker에서 사용자에게 QR 코드를 다시 스캔하거나 다음번에 Looker 인스턴스에 로그인을 시도할 때 OTP 앱으로 수동 텍스트 코드를 입력하라는 메시지가 표시됩니다.
고려사항
2단계 인증을 구성할 때는 다음 사항에 유의하세요.
2단계 인증은 Looker(원본)에만 적용됩니다. 다중 인증에 Google Cloud IAM 또는 외부 ID 공급업체를 사용하는 Looker(Google Cloud 핵심 서비스)에는 적용되지 않습니다.
2단계 인증은 Looker API 사용에 영향을 미치지 않습니다.
2단계 인증은 LDAP, SAML, Google OAuth 또는 OpenID Connect와 같은 외부 시스템을 통한 인증에 영향을 미치지 않습니다. 2FA는 이러한 시스템에서 사용되는 대체 로그인 사용자 인증 정보에는 영향을 줍니다.