管理員設定 - 雙重驗證

Looker 提供雙重驗證 (2FA) 機制，為 Looker 存取的資料多添一層安全防護。啟用雙重驗證後，每位使用者登入時，都必須使用行動裝置產生的一次性驗證碼進行驗證。您無法只為部分使用者啟用雙重驗證。

在「Admin」選單的「Authentication」部分，前往「Two-Factor Authentication」頁面，即可啟用及設定雙重驗證。

自 Looker 26.22 起，所有採用電子郵件和密碼驗證，且未在預先選擇不採用期間選擇不採用的新舊 Looker (原始) 執行個體，都會預設啟用雙重驗證。管理員仍保有完整控制權，可依序前往「管理」>「驗證」>「雙重驗證」，管理或停用雙重驗證。

使用雙重驗證

以下是設定及使用雙重驗證的概略工作流程。本文稍後會說明時間同步處理需求，這是雙重驗證正常運作的必要條件。

  1. 管理員在 Looker 的管理員設定中啟用雙重驗證 (自 Looker 26.22 版起，雙重驗證預設為啟用)。

  2. 個別使用者在行動裝置上安裝 Google Authenticator (iPhone 應用程式或 Android 應用程式)，或任何相容的第三方 TOTP 驗證器應用程式。

  3. 使用者首次登入時，電腦螢幕上會顯示 QR code 圖片和手動文字代碼。使用者可以使用驗證器應用程式掃描 QR code，或在應用程式中手動輸入文字代碼。

    完成這個步驟後，使用者就能產生 Looker 的驗證金鑰。

  4. 之後登入 Looker 時，使用者必須在提交使用者名稱和密碼後，輸入驗證金鑰。

    如果使用者啟用「這是一部受信任的電腦」選項，金鑰會驗證登入瀏覽器，效期為 30 天。在這段期間內，使用者只需輸入使用者名稱和密碼即可登入。Looker 會要求每位使用者每 30 天透過驗證器應用程式，重新驗證瀏覽器。

時間同步處理需求

驗證器應用程式會產生以時間為準的權杖，因此 Looker 伺服器和各個行動裝置之間必須同步時間，權杖才能運作。如果 Looker 伺服器和行動裝置未同步，行動裝置使用者可能無法透過雙重驗證進行驗證。如要同步處理時間來源，請至少執行下列其中一項操作：

  • 設定行動裝置，讓裝置自動與網路同步時間。

  • 如果是客戶託管的 Looker 部署項目，請確認伺服器已執行並設定 NTP。如果伺服器是在 AWS 上佈建，您可能需要在 AWS 網路 ACL 中明確允許 NTP。

  • Looker 管理員可以在 Looker「管理」面板中，設定允許的時間偏移上限，定義伺服器和行動裝置之間允許的時間差。如果行動裝置的時間設定與實際時間的差距超過允許範圍，驗證金鑰就無法運作。預設為 90 秒。

重設雙重驗證

如果使用者需要重設雙重驗證 (例如更換新的行動裝置)：

  1. 在 Looker「管理」部分的「使用者」頁面中，按一下使用者資料列右側的「編輯」，即可編輯使用者帳戶資訊。

  2. 在「Two-Factor Secret」部分，點選「Reset」，Looker 就會在使用者下次嘗試登入 Looker 執行個體時，提示他們重新掃描 QR code，或使用驗證器應用程式輸入手動文字代碼。

注意事項

設定雙重驗證時，請注意下列事項：

  • 雙重驗證僅適用於 Looker (原始版)。不適用於 Looker (Google Cloud Core)，因為後者仰賴 Google Cloud IAM 或外部身分提供者進行多重驗證。

  • 雙重驗證不會影響 Looker API 的使用。

  • 雙重驗證不會影響透過外部系統 (例如 LDAP、SAML、Google OAuth 或 OpenID Connect) 進行的驗證。雙重驗證會影響與這些系統搭配使用的任何備用登入憑證。