Estás viendo la documentación de Looker 22.16. La documentación más reciente se puede encontrar aquí.

Autenticación LDAP

Nota: Si no ves la página LDAP en la sección Autenticación del menú Administrador, abre una solicitud de asistencia en el Centro de ayuda de Looker.

La página LDAP de la sección Authentication del menú Administrador le permite configurar Looker para autenticar usuarios con el protocolo ligero de acceso a directorios (LDAP). En esta página, se describe ese proceso y se incluyen instrucciones para vincular grupos LDAP a funciones y permisos de Looker.

Recuerda lo siguiente:

La autenticación de Looker usa la autenticación simple de LDAP. No se admite la autenticación anónima.
Debe crear una sola cuenta de usuario de LDAP que tenga privilegios de lectura para las entradas de usuario y las entradas de grupo que usará Looker.
Looker solo lee desde el directorio LDAP (sin escrituras).
Looker puede migrar cuentas existentes a LDAP con direcciones de correo electrónico.
El uso de la API de Looker no interactúa con la autenticación de LDAP.
Si el servidor LDAP restringe el tráfico IP, tendrás que agregar las direcciones IP de Looker a las listas de IP permitidas o a las reglas de tráfico entrantes del servidor LDAP.
LDAP anula la autenticación de dos factores. Si ya habilitaste la autenticación de dos factores, tus usuarios no verán las pantallas de acceso de autenticación de dos factores después de habilitar LDAP.

Ten cuidado si inhabilitas la autenticación LDAP

Si accedió a Looker con LDAP y desea inhabilitar la autenticación LDAP, primero asegúrese de realizar ambos pasos:

Asegúrate de tener otras credenciales para acceder.
Habilite la opción Acceso alternativo en la página de configuración de LDAP.

De lo contrario, puedes bloquearte a ti y a otros usuarios de Looker.

Cómo comenzar

Navegue a la página Autenticación de LDAP en la sección Administrador de Looker para ver las siguientes opciones de configuración.

Configura tu conexión

Looker admite el transporte y la encriptación con LDAP en los archivos claros y LDAP en TLS. Se recomienda usar LDAP por TLS. StartTLS y otros esquemas de encriptación no son compatibles.

Ingresa la información de tu Host y Puerto.
Seleccione la casilla junto a TLS si usa LDAP en TLS.
Si usas LDAP en TLS, Looker aplica de manera predeterminada la verificación del certificado de par. Si necesitas inhabilitar la verificación de certificados de apps similares, marca NoVerify.
Haz clic en Test Connection. Si se muestran errores, corrígelos antes de continuar.

Autenticación de la conexión

Looker requiere acceso a una cuenta de LDAP protegida con contraseña. La cuenta LDAP debe tener acceso de lectura a entradas de personas y a un nuevo conjunto de entradas de funciones. La cuenta LDAP de Looker no requiere acceso de escritura (ni acceso a ningún otro aspecto del directorio) y no importa en qué espacio de nombres se crea la cuenta.

Ingresa la Contraseña.
[Opcional] Selecciona la casilla de verificación Forzar sin paginación si tu proveedor de LDAP no proporciona resultados paginados. En algunos casos, esto puede ser útil si no recibes coincidencias cuando buscas usuarios, aunque no es la única solución para ese problema.
Haz clic en el botón Probar autenticación. Si se muestran errores, asegúrate de que la información de autenticación sea correcta. Si tus credenciales son válidas pero los errores continúan, comunícate con el administrador de LDAP de tu empresa.

Configuración de vinculación de usuarios

En los detalles de esta sección, se especifica cómo Looker encontrará usuarios en tu directorio, se vinculará para la autenticación y extraerá información del usuario.

Establecer el DN base, que es la base del árbol de búsqueda para todos los usuarios
[Opcional] Especifica una clase de objeto de usuario, que controla los tipos de resultados que Looker encontrará y mostrará. Esto es útil si el DN base es una combinación de tipos de objetos (personas, grupos, impresoras, etc.) y solo quieres mostrar entradas de un tipo.
Configure los atributos de acceso, que definen los atributos que utilizarán los usuarios para acceder. Deben ser únicos por usuario y algo que los usuarios conozcan como su ID dentro del sistema. Por ejemplo, puedes elegir un ID de usuario o una dirección de correo electrónico completa. Si agrega más de un atributo, Looker buscará en ambos para encontrar al usuario adecuado. Asegúrate de seleccionar los campos adecuados aquí. No podrás usar datos como tu nombre y apellido apenas tengas dos Jennifer Smiths, etcétera.
Especifique la Atribución de correo electrónico, Atribución de nombre y Atribución de apellido. Esta información le indica a Looker cómo asignar esos campos y extraer su información en el momento de acceder.
Establece la Atribución de ID, que indica un campo que Looker debe usar como ID único para los usuarios. Generalmente, este será uno de los campos de acceso.
De forma opcional, ingrese un filtro personalizado opcional, el cual le permite proporcionar filtros LDAP arbitrarios que se aplicarán cuando se busque un usuario que se vincule durante la autenticación LDAP. Esto es útil si desea filtrar conjuntos de registros de usuarios, como usuarios inhabilitados o usuarios que pertenecen a una organización diferente.

Ejemplo

En este ejemplo, la entrada ldiff del usuario demuestra cómo establecer la configuración correspondiente de Looker:

Entrada de usuario de Ldiff

dn: cn=mward,ou=People,dc=example,dc=com
objectClass: person
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: top
cn: mward
userpassword: normal
givenname: Marcus
telephonenumber: +1 408 555 5688
sn: Ward
mail: mward@example.com
ou: People

Configuración de Looker correspondiente

Base DN: ou=People,dc=looker,dc=com
User Object Class: person
Login Attrs: cn
Email Attr: mail
First Name Attr: givenname
Last Name Attr: sn
ID Attr: cn

Vincular los atributos de los usuarios de LDAP con los de Looker

De manera opcional, puedes usar los datos de tus atributos de usuario de LDAP para propagar automáticamente los valores en los atributos de usuario de Looker cuando un usuario acceda. Por ejemplo, si configuró LDAP para establecer conexiones específicas del usuario con su base de datos, puede vincular sus atributos de usuario LDAP con los atributos del usuario de Looker para hacer que sus conexiones de base de datos sean específicas del usuario en Looker.

Tenga en cuenta que el atributo LDAP debe ser un atributo de usuario y no de grupo.

Para vincular los atributos de usuario de LDAP con los atributos de usuario de Looker correspondientes, sigue estos pasos:

Ingrese el nombre del atributo de usuario de LDAP en el campo Atributo de usuario de LDAP y el nombre del atributo de usuario de Looker con el que desea sincronizarlo en el campo Atributos de usuario de Looker.
Marque Obligatorio si desea solicitar un valor de atributo LDAP para permitir que un usuario acceda.
Haga clic en + y repita estos pasos para agregar más pares de atributos.

Cómo probar la información del usuario

Ingresa las credenciales de un usuario de prueba y haz clic en el botón Probar la autenticación de usuarios. Looker intentará una secuencia de autenticación LDAP completa y mostrará el resultado. Si se realiza correctamente, Looker genera la información del usuario del directorio y algunos datos de seguimiento sobre el proceso de autenticación que pueden ayudar a resolver problemas de configuración.
Verifica que la autenticación se realice correctamente y que todos los campos se asignen correctamente. Por ejemplo, confirma que el campo first_name no contenga un valor que pertenezca a last_name.

Grupos y funciones

Puede configurar Looker para crear grupos que dupliquen sus grupos LDAP administrados externamente y, luego, puede asignar funciones de Looker a los usuarios según sus grupos LDAP duplicados. Cuando realizas cambios en tu membresía de grupos LDAP, estos se propagan automáticamente en la configuración de grupos de Looker.

La duplicación de grupos LDAP le permite usar su directorio LDAP definido de forma externa para administrar usuarios y grupos de Looker. Esto, a su vez, te permite administrar la membresía de tu grupo para varias herramientas de software como servicio (SaaS), como Looker, en un solo lugar.

Si activa la opción Duplicar grupos LDAP, Looker creará un grupo de Looker para cada grupo LDAP que se ingrese en el sistema. Esos grupos de Looker se pueden ver en la página Grupos de la sección Administrador de Looker. Los grupos se pueden usar para asignar funciones a los miembros del grupo, configurar controles de acceso a contenido y asignar atributos de usuario.

Funciones y grupos predeterminados

De forma predeterminada, el interruptor Duplicar grupos LDAP está desactivado. En este caso, puede establecer un grupo predeterminado para los usuarios nuevos de LDAP. En los campos Grupos de usuarios nuevos y Funciones de usuarios nuevos, ingresa los nombres de los grupos o las funciones de Looker a los que deseas asignar usuarios nuevos de Looker cuando acceden por primera vez a Looker:

Estos grupos y funciones se aplican a los usuarios nuevos durante el acceso inicial. Los grupos y las funciones no se aplican a usuarios preexistentes y no se vuelven a aplicar si se los quita de los usuarios después del primer acceso.

Si más adelante habilitas los grupos LDAP duplicados, se quitarán estos valores predeterminados para los usuarios en el próximo acceso y se reemplazarán por las funciones asignadas en la sección Duplicar grupos LDAP. Estas opciones predeterminadas ya no estarán disponibles ni asignadas, y se reemplazarán por la configuración de grupos duplicados.

Habilita grupos LDAP duplicados

Si eliges duplicar tus grupos LDAP en Looker, activa el interruptor Duplicar grupos LDAP. Looker muestra esta configuración:

Estrategia del Buscador de grupos: Elige una opción del menú desplegable para indicarle a Looker cómo encontrar los grupos de un usuario:

Los grupos tienen atributos de miembro: Esta es la opción más común. Cuando se busca un miembro del grupo, Looker solo mostrará los grupos a los que se asignó un usuario directamente. Por ejemplo, si un usuario es miembro del grupo Database-Admin y el grupo Database-Admin es miembro del grupo Engineering, un usuario solo obtendrá los permisos afiliados al grupo Database-Admin.
Los grupos tienen atributos de miembro (búsqueda profunda): Esta opción permite que los grupos sean miembros de otros grupos, lo que a veces se conoce como grupos anidados LDAP. Esto significa que un usuario puede tener los permisos de más de un grupo. Por ejemplo, si un usuario es miembro del grupo Administrador de base de datos y el grupo Administrador de base de datos es miembro del grupo de ingeniería, un usuario obtendrá los permisos de ambos grupos. Tenga en cuenta que algunos servidores LDAP (especialmente Microsoft Active Directory) admiten la ejecución automática de este tipo de búsqueda profunda, incluso cuando el emisor realiza una búsqueda superficial. Este puede ser otro método que puedes usar para realizar una búsqueda profunda.

DN base: Te permite restringir la búsqueda y puede ser igual al DN base especificado en la sección Configuración de vinculación de usuarios anterior.

Groupes Object Classes: Esta configuración es opcional. Como se indicó en la sección Configuración de vinculación de usuarios, esto permite que los resultados que muestra Looker estén restringidos a un tipo de objeto o a un conjunto de tipos en particular.

Atribución de miembro del grupo: El atributo que, para cada grupo, determina los objetos (en este caso, probablemente las personas) que son miembros.

Atribución de usuario del grupo: el nombre del atributo de usuario de LDAP cuyo valor buscaremos en las entradas del grupo para determinar si un usuario forma parte del grupo. El valor predeterminado es dn (lo que significa que dejarlo en blanco es lo mismo que establecerlo en dn), lo que hará que LDAP use el nombre completo completo, que es la string exacta que distingue entre mayúsculas y minúsculas que existiría en la búsqueda LDAP, para las entradas del grupo.

Nombre de grupo, funciones o DN preferido: Este conjunto de campos le permite asignar un nombre de grupo personalizado y una o más funciones asignadas al grupo LDAP correspondiente en Looker:

Ingrese el DN del grupo LDAP en el campo DN del grupo. Debe incluir el nombre completo completo, que es la string exacta que distingue entre mayúsculas y minúsculas que existiría en la búsqueda de LDAP. Los usuarios de LDAP que se incluyan en el grupo LDAP se agregarán al grupo duplicado en Looker.
Ingresa un nombre personalizado para el grupo duplicado en el campo Nombre personalizado. Este es el nombre que se mostrará en la página Grupos de la sección Administrador de Looker.
En el campo que está a la derecha del campo Nombre personalizado, seleccione una o más funciones de Looker que se asignarán a cada usuario del grupo.
Haz clic en + para agregar conjuntos de campos adicionales a fin de configurar grupos duplicados adicionales. Si tienes varios grupos configurados y deseas eliminar la configuración de un grupo, haz clic en la X junto al conjunto de campos de ese grupo.

Si editas un grupo duplicado que se haya configurado previamente en esta pantalla, la configuración del grupo cambiará, pero el grupo en sí permanecerá intacto. Por ejemplo, puedes cambiar el nombre personalizado de un grupo, lo que cambiaría la forma en que el grupo aparece en la página Grupos de Looker, pero no las funciones asignadas y los miembros del grupo. Si se cambia el DN de grupo, se conservarán el nombre y las funciones del grupo, pero los miembros del grupo se reasignarán en función de los usuarios que sean miembros del grupo LDAP externo que tenga el nuevo DN de grupo LDAP.

Si borras un grupo de esta página, ese grupo ya no se duplicará en Looker y sus miembros ya no tendrán las funciones de Looker asignadas a ese grupo.

Las ediciones que se realicen en un grupo duplicado se aplicarán a los usuarios de ese grupo la próxima vez que accedan a Looker.

Administración avanzada de funciones

Si habilitó el interruptor Duplicar grupos de LDAP, Looker mostrará esta configuración. Las opciones de esta sección determinan cuánta flexibilidad tienen los administradores de Looker para configurar los grupos de Looker y los usuarios que se duplicaron desde LDAP.

Por ejemplo, si desea que su grupo de Looker y la configuración del usuario coincidan estrictamente con la configuración de LDAP, active estas opciones. Cuando las tres primeras opciones están habilitadas, los administradores de Looker no pueden modificar la membresía de los grupos duplicados y solo pueden asignar funciones a los usuarios mediante grupos duplicados de LDAP.

Si desea tener más flexibilidad para personalizar aún más sus grupos en Looker, desactive estas opciones. Sus grupos de Looker seguirán reflejando su configuración de LDAP, pero usted podrá realizar tareas adicionales de administración de grupos y usuarios dentro de Looker, como agregar usuarios de LDAP a grupos específicos de Looker o asignar funciones de Looker directamente a los usuarios de LDAP.

Para las instancias nuevas de Looker o aquellas que no tienen grupos duplicados configurados previamente, estas opciones están desactivadas de forma predeterminada.

Para las instancias existentes de Looker que tienen configurados grupos duplicados, estas opciones están activadas de forma predeterminada.

La sección Administración avanzada de funciones contiene estas opciones:

Impedir que los usuarios individuales de LDAP reciban funciones directas: Activar esta opción evita que los administradores de Looker asignen funciones de Looker directamente a los usuarios de LDAP. Los usuarios de LDAP solo recibirán roles a través de sus membresías de grupo. Si se permite que los usuarios de LDAP formen parte de grupos de Looker nativos (no duplicados), pueden heredar sus funciones de los grupos LDAP duplicados y de grupos nativos de Looker. A los usuarios de LDAP a los que se les asignaron funciones anteriormente de forma directa, se les quitarán esas funciones la próxima vez que accedan.

Si esta opción está desactivada, los administradores de Looker pueden asignar funciones de Looker directamente a los usuarios de LDAP como si fueran usuarios configurados de forma nativa en Looker.

Impedir la membresía directa en grupos que no sean LDAP: Active esta opción para evitar que los administradores de Looker agreguen usuarios de LDAP directamente a los grupos nativos de Looker. Si se permite que los grupos LDAP duplicados sean miembros de grupos nativos de Looker, los usuarios de LDAP pueden conservar la membresía en cualquier grupo superior de Looker. Los usuarios de LDAP que se hayan asignado anteriormente a grupos nativos de Looker se quitarán de esos grupos la próxima vez que accedan.

Si esta opción está desactivada, los administradores de Looker pueden agregar usuarios de LDAP directamente a los grupos nativos de Looker.

Impedir la herencia de la función de grupos que no sean LDAP: Active esta opción para evitar que los miembros de grupos LDAP duplicados hereden funciones de grupos nativos de Looker. Cualquier usuario de LDAP que haya heredado funciones de un grupo de Looker superior perderá esas funciones la próxima vez que acceda.

Si esta opción está desactivada, los grupos LDAP duplicados o los usuarios de LDAP que se agreguen como miembros de un grupo nativo de Looker heredarán las funciones asignadas al grupo superior de Looker.

La autenticación requiere función: Si esta opción está activada, los usuarios de LDAP deben tener una función asignada. Los usuarios de LDAP que no tengan una función asignada no podrán acceder a Looker.

Si esta opción está desactivada, los usuarios de LDAP pueden autenticarse en Looker incluso si no tienen asignada ninguna función. Los usuarios que no tengan una función asignada no podrán ver ningún dato ni realizar ninguna acción en Looker, pero podrán acceder a Looker.

Opciones de integración y migración

Acceso alternativo para administradores y usuarios especificados

Permite un acceso alternativo basado en correo electrónico para los administradores y los usuarios con el permiso login_special_email (obtén más información sobre cómo configurar este permiso en la documentación de funciones). Esta opción aparecerá en la página de acceso de Looker si la activaste y el usuario tiene el permiso adecuado.
Esta opción es útil como resguardo durante la configuración de LDAP, si los problemas de configuración de LDAP ocurren más adelante o si necesita admitir algunos usuarios que no están en su directorio de LDAP.
Los accesos de correo electrónico y contraseña de Looker siempre están inhabilitados para los usuarios normales cuando LDAP está habilitado.

Combinar por correo electrónico

Esta opción permite que Looker combine por primera vez los usuarios de LDAP con sus cuentas de Looker existentes, según la dirección de correo electrónico.
Si Looker no puede encontrar una dirección de correo electrónico que coincida, se creará una cuenta nueva para el usuario.

Guardar y aplicar configuración

Una vez que hayas terminado de ingresar la información y de que todas las pruebas se hayan aprobado, marca la opción Confirmé la configuración anterior y quiero aplicarla en todo el mundo y haz clic en Actualizar configuración para guardarla.