Looker 提供双重身份验证 (2FA) 作为额外的安全层，以保护可通过 Looker 访问的数据。启用 2FA 后，每位登录的用户都必须使用其移动设备生成的动态验证码进行身份验证。无法仅为部分用户启用 2FA。
通过管理菜单的身份验证部分中的双重身份验证页面，您可以启用和配置 2FA。
从 Looker 26.22 开始，对于所有使用邮箱和密码进行身份验证且未在提前选择停用窗口期间选择退出的新 Looker（原版）实例和现有 Looker（原版）实例，系统会默认启用 2FA。管理员仍拥有完整控制权，可在管理员 > 身份验证 > 双重下管理或停用双重身份验证。
使用双重身份验证
以下是设置和使用 2FA 的简要工作流程。本文档稍后将介绍时间同步要求，这是 2FA 正常运行所必需的。
管理员在 Looker 的管理员设置中启用 2FA（或从 Looker 26.22 开始，默认启用 2FA）。
个人用户在其移动设备上安装 Google 身份验证器（iPhone 版或 Android 应用）或任何兼容的第三方 TOTP 身份验证器应用。
首次登录时，用户的电脑屏幕上会显示一张二维码图片和一段手动文本代码。用户可以使用其身份验证器应用扫描二维码，也可以在应用中输入手动文本代码。
完成此步骤后，用户将能够为 Looker 生成身份验证密钥。
在后续登录 Looker 时，用户需要在提交用户名和密码后输入身份验证密钥。
如果用户启用这是一台受信任的计算机选项，则密钥会在 30 天内对登录浏览器进行身份验证。在此期间，用户可以仅使用用户名和密码登录。Looker 要求每位用户每 30 天使用其身份验证器应用重新对浏览器进行身份验证。
时间同步要求
身份验证器应用会生成基于时间的令牌，这些令牌需要 Looker 服务器与每个移动设备之间的时间同步才能正常运行。如果 Looker 服务器和移动设备未同步，可能会导致移动设备用户无法通过 2FA 进行身份验证。如需同步时间源，请至少执行以下一项操作：
将移动设备设置为与网络自动同步时间。
对于客户托管的 Looker 部署，请确保 NTP 已在服务器上运行并配置。如果服务器是在 AWS 上预配的，您可能需要在 AWS 网络 ACL 中明确允许 NTP。
Looker 管理员可以在 Looker 管理控制台中设置允许的最大时间偏移，该值定义了服务器与移动设备之间允许的时间差。如果移动设备的时间设置与实际时间相差超过允许的偏差，身份验证密钥将无法正常工作。默认值为 90 秒。
正在重置双重身份验证
如果用户需要重置其 2FA（例如，如果他们有新的移动设备）：
在 Looker 的管理部分的用户页面中，点击用户所在行右侧的修改，以修改用户的账号信息。
在双重身份验证密钥部分中，点击重置，让 Looker 在用户下次尝试登录 Looker 实例时提示用户重新扫描二维码或使用身份验证器应用输入手动文本代码。
注意事项
配置双重身份验证时，请注意以下事项：
双重身份验证仅适用于 Looker（原始版本）。它不适用于 Looker (Google Cloud Core)，后者依赖于 Google Cloud IAM 或外部身份提供方进行多重身份验证。
双重身份验证不会影响 Looker API 的使用。
双重身份验证不会影响通过外部系统（例如 LDAP、SAML、Google OAuth 或 OpenID Connect）进行的身份验证。2FA 确实会影响与这些系统搭配使用的任何备用登录凭证。