O Looker oferece a autenticação de dois fatores (2FA) como uma camada extra de segurança para proteger os dados acessíveis pelo Looker. Com a 2FA ativada, todos os usuários que fizerem login precisarão se autenticar com um código único gerado pelo dispositivo móvel. Não é possível ativar a 2FA para um subconjunto de usuários.
A página Autenticação de dois fatores na seção Autenticação do menu Administrador permite ativar e configurar a 2FA.
A partir do Looker 26.22, a autenticação de dois fatores (2FA) será ativada por padrão em todas as instâncias novas e atuais do Looker (original) que usam autenticação por e-mail e senha e que não recusaram a ativação durante o período de desativação antecipada. Os administradores mantêm o controle total para gerenciar ou desativar a 2FA em Administrador > Autenticação > Dois fatores.
Usar a autenticação de dois fatores
Veja a seguir o fluxo de trabalho geral para configurar e usar a 2FA. Os requisitos de sincronização de horário, necessários para o funcionamento correto da 2FA, são descritos mais adiante neste documento.
O administrador ativa a 2FA nas configurações de administrador do Looker (ou a 2FA é ativada por padrão a partir do Looker 26.22).
Os usuários instalam o Google Authenticator (app para iPhone ou app para Android) nos dispositivos móveis ou qualquer app autenticador TOTP de terceiros compatível.
No primeiro login, o usuário vai ver uma imagem de um QR code e um código de texto manual na tela do computador. O usuário pode ler o QR code com o app autenticador ou inserir o código de texto manual no app.
Depois de concluir essa etapa, o usuário poderá gerar chaves de autenticação para o Looker.
Nos logins seguintes no Looker, o usuário precisará inserir uma chave de autenticação depois de enviar o nome de usuário e a senha.
Se um usuário ativar a opção Este é um computador confiável, a chave vai autenticar o navegador de login por um período de 30 dias. Durante esse período, o usuário pode fazer login apenas com o nome de usuário e a senha. A cada 30 dias, o Looker exige que cada usuário autentique novamente o navegador com o app autenticador.
Requisitos de sincronização de horário
Um app autenticador produz tokens baseados em tempo, que exigem sincronização de tempo entre o servidor do Looker e cada dispositivo móvel para que os tokens funcionem. Se o servidor do Looker e um dispositivo móvel não estiverem sincronizados, o usuário do dispositivo móvel não poderá se autenticar com a 2FA. Para sincronizar as fontes de horário, siga pelo menos um destes procedimentos:
Configure os dispositivos móveis para sincronização automática de horário com a rede.
Para implantações do Looker hospedadas pelo cliente, verifique se o NTP está em execução e configurado no servidor. Se o servidor for provisionado na AWS, talvez seja necessário permitir explicitamente o NTP na ACL de rede da AWS.
Um administrador do Looker pode definir o deslocamento máximo permitido no painel de admin do Looker Administrador, que define a diferença permitida entre o servidor e os dispositivos móveis. Se a configuração de horário de um dispositivo móvel estiver fora do desvio permitido, as chaves de autenticação não vão funcionar. O padrão é 90 segundos.
Como redefinir a autenticação de dois fatores
Se um usuário precisar redefinir a 2FA (por exemplo, se tiver um novo dispositivo móvel):
Na página Usuários na seção Administrador do Looker, clique em Editar no lado direito da linha do usuário para editar as informações da conta dele.
Na seção Segredo de dois fatores, clique em Redefinir para que o Looker solicite que o usuário leia novamente um QR code ou insira o código de texto manual com um app autenticador na próxima vez que tentar fazer login na instância do Looker.
Considerações
Ao configurar a autenticação de dois fatores, considere o seguinte:
A autenticação de dois fatores se aplica apenas ao Looker (original). Ele não se aplica ao Looker (Google Cloud Core), que depende do IAM ou de provedores de identidade externos para autenticação multifator. Google Cloud
A autenticação de dois fatores não afeta o uso da API Looker.
A autenticação de dois fatores não afeta a autenticação por sistemas externos, como LDAP, SAML, Google OAuth ou OpenID Connect. A 2FA afeta as credenciais de login alternativo usadas com esses sistemas.