Paramètres d'administration – Authentification Google

Remarque :La configuration de l'authentification Google dans Looker (Google Cloud Core) est expliquée sur les pages Créer des identifiants d'autorisation OAuth pour une instance Looker (Google Cloud Core) et Utiliser l'authentification utilisateur Google OAuth pour Looker (Google Cloud Core).

La page Authentification Google de la section Authentification du menu Admin vous permet de configurer Google OAuth côté Looker.

Présentation des fonctionnalités

Looker peut procéder à l'authentification à l'aide de Google OAuth pour les utilisateurs disposant de comptes enregistrés auprès de Google Workspace.

• Les organisations qui utilisent Google Workspace peuvent authentifier les utilisateurs Looker qui possèdent un compte Google.
• Les utilisateurs se connectent à Looker en s'authentifiant avec leur compte Google.
• Les nouveaux comptes Google ont automatiquement accès à Looker. Il n'est pas nécessaire d'inviter séparément les utilisateurs sur Looker. Vous définissez le rôle par défaut des nouveaux utilisateurs, ce qui peut limiter leur accès aux fonctionnalités et aux données.
• Lorsque cette option est activée, Looker authentifie les utilisateurs uniquement avec Google OAuth, sauf si l'option "Autre connexion" est sélectionnée (consultez la section Activer les connexions par e-mail alors que l'authentification Google est activée).
• L'avatar Google de l'utilisateur apparaît dans la barre de navigation à la place du symbole d'utilisateur standard.

Avertissement : Les comportements suivants peuvent avoir une incidence sur votre décision d'utiliser Google OAuth.

• Lors de l'activation de Google OAuth, l'instance Looker peut fusionner des comptes utilisateur existants avec le domaine enregistré par Google, mais uniquement pour les comptes dont l'adresse e-mail correspond au domaine. Aucun autre compte non administrateur ne pourra se connecter.
• Tous les utilisateurs du domaine spécifié ont accès à l'instance Looker.
• Par défaut, les nouveaux utilisateurs Google disposent d'un accès de base pour une liste spécifiée de modèles (qui peuvent éventuellement n'avoir accès à aucun modèle). Les autorisations peuvent être modifiées par un administrateur après la création du compte.
• Les nouveaux comptes Looker qui s'authentifient à l'aide de Google OAuth ne peuvent pas passer à l'authentification par mot de passe, même si OAuth est désactivé pour l'instance Looker.

Exigences préliminaires

L'utilisation de Google OAuth nécessite les éléments suivants:

• Un compte Google Workspace pour l'organisation.
• Domaine contrôlé par l'organisation et enregistré dans le compte Google Workspace.
• Utilisateurs disposant d'adresses e-mail dans le domaine associé au compte Google.
• Chaque utilisateur doit disposer d'un compte utilisateur géré dans Google Workspace. Pour rechercher et migrer des utilisateurs disposant de comptes non gérés, utilisez l'outil de transfert pour les utilisateurs non gérés.

Activer l'authentification avec Google OAuth

L'activation de l'authentification avec Google OAuth nécessite qu'un administrateur effectue des étapes du côté de Google et du côté de Looker, comme décrit dans les sections suivantes.

Configuration côté Google

La procédure d'activation de Google OAuth côté Google est décrite dans cette section. Vous trouverez une description générique de ces étapes sur la page d'assistance Google Configurer OAuth 2.0. Vous pouvez également consulter la documentation d'aide de la console Google Cloud.

1. Accédez à Google Cloud Console.

2. Cliquez sur la flèche vers le bas dans le menu déroulant Sélectionner un projet. Le nom d'un projet existant peut s'afficher dans la liste déroulante. Cliquez quand même sur la flèche vers le bas pour accéder à l'option permettant de créer un projet.

3. Sur la page Sélectionner un projet, cliquez sur Nouveau projet.

   La page Nouveau projet s'affiche.

4. Renseignez les informations sur la page New Project (Nouveau projet), puis cliquez sur Create (Créer).

   Lorsque Google a terminé de créer votre projet, il vous renvoie à la console Google Cloud et l'affiche.

5. Dans le menu de gauche, sélectionnez API et services > Identifiants.

6. Sur la page Identifiants, cliquez sur le bouton Créer des identifiants, puis sélectionnez ID client OAuth dans le menu déroulant.

   La page Créer un ID client OAuth s'affiche.

7. Google exige que vous configuriez un écran de consentement OAuth, qui permet à vos utilisateurs de choisir comment accorder l'accès à leurs données privées et qui fournit un lien vers les conditions d'utilisation et les règles de confidentialité de votre organisation. Cliquez sur Configurer l'écran de consentement. (Si vous avez configuré le consentement OAuth pour un projet précédent, cette option ne s'affiche pas et vous pouvez passer à l'étape 13.)

   Google affiche la page de l'écran de consentement OAuth.

8. Saisissez le domaine de votre instance Looker dans le champ Domaines autorisés. Par exemple, si Looker héberge votre instance à l'adresse https://mycompany.looker.com, le domaine est looker.com. Pour les déploiements de Looker hébergés par un client, saisissez le domaine sur lequel vous hébergez Looker.

9. Configurez votre écran de consentement OAuth, puis cliquez sur Enregistrer et continuer.

   Remarque :Pour en savoir plus sur la configuration de l'écran de consentement OAuth de Google, consultez la page d'assistance Google Configurer OAuth 2.0.

10. Sur la page Champs d'application, cliquez sur Enregistrer et continuer. Aucune configuration supplémentaire du champ d'application n'est requise.

11. Sur la page Récapitulatif, cliquez sur Revenir au tableau de bord.

    Google vous redirige vers la page Créer un ID client OAuth.

12. Sous Type d'application, sélectionnez Application Web.

13. Dans le champ Nom, saisissez un nom pour votre ID client OAuth.

14. Dans le champ Origines JavaScript autorisées, saisissez l'URL de votre instance Looker, y compris https://. Exemple :

    • Si Looker héberge votre instance: https://mycompany.looker.com
    • Si vous disposez d'une instance Looker hébergée par un client: https://looker.mycompany.com
    • Si votre instance Looker nécessite un numéro de port: https://looker.mycompany.com:9999

15. Dans le champ URI de redirection autorisés, saisissez l'URL de votre instance Looker, suivie de /oauth2callback. Exemple : https://mycompany.looker.com/oauth2callback ou https://looker.mycompany.com:9999/oauth2callback.

16. Cliquez sur Créer.

17. Copiez les valeurs de votre ID client et de votre code secret du client. Vous en aurez besoin pour configurer Looker.

Configuration côté Looker

Pour activer Google OAuth côté Looker, procédez comme suit :

1. Dans l'application Looker, tout en étant connecté en tant qu'administrateur, cliquez sur la liste déroulante Admin pour ouvrir le menu Admin.

2. Dans le groupe Authentification, cliquez sur Google. Looker affiche la page Authentification Google.

3. Cliquez sur Activé pour afficher et modifier les paramètres Google OAuth. (L'authentification Google n'est pas activée immédiatement. Vous devrez confirmer votre choix ultérieurement.)

4. Saisissez vos paramètres d'authentification Google.

   • ID client et code secret du client : copiez et collez ces valeurs depuis la page du client OAuth de Google, comme indiqué dans les instructions de configuration Google précédentes.
   • Domaines : le ou les noms de domaine de votre organisation gérés par Google. Tout utilisateur Google du domaine donné peut se connecter à votre instance Looker. Si vous contrôlez plusieurs domaines Google, vous pouvez les saisir en les séparant par une virgule.
   Avertissement :Ne saisissez que des domaines Google contrôlés par votre organisation. Le fait de saisir un autre domaine pourrait ouvrir l'accès aux utilisateurs d'un domaine que vous ne contrôlez pas.

5. Saisissez Migration Options (Options de migration) qui contrôlent le comportement de l'instance Looker pendant la transition vers Google OAuth.

   • Autre adresse de connexion pour les administrateurs : les administrateurs peuvent continuer à se connecter avec une adresse e-mail et un mot de passe, ce qui peut s'avérer utile en cas de problème lors de la configuration de Google OAuth. Ce paramètre est recommandé et décrit plus en détail dans la section Activer les connexions par e-mail lorsque l'authentification Google est activée.
   • Fusionner par e-mail : cette option permet de convertir tous les utilisateurs existants dont l'adresse e-mail fait partie des domaines donnés afin qu'ils utilisent Google OAuth lors de leur prochaine connexion. Ce paramètre est recommandé.
   • Rôles pour les nouveaux utilisateurs : spécifiez les fonctionnalités et le modèle d'accès dont disposent les nouveaux utilisateurs (non administrateurs). Vous pourrez modifier cette liste ultérieurement. Si vous ne renseignez pas ce champ, les fonctionnalités des nouveaux utilisateurs authentifiés par Google seront limitées dans la plate-forme Looker jusqu'à ce qu'un administrateur ajoute un rôle à leur compte. Étant donné que tous les utilisateurs de votre domaine Google pourront se connecter à Looker, envisagez de spécifier un rôle par défaut pour les nouveaux utilisateurs, qui limite l'accès de manière appropriée.

6. Cliquez sur Tester l'authentification Google pour utiliser les paramètres actuels et tenter d'authentifier le navigateur actuel dans une nouvelle fenêtre. Cette action n'enregistre pas les paramètres actuels et ne les applique pas à l'instance Looker.

   Si vous n'êtes pas connecté à Google, vous êtes invité à le faire et vous êtes invité à autoriser l'utilisation des informations de votre compte Google. Cette procédure utilise les paramètres personnalisés de l'écran de consentement que vous avez définis dans la configuration côté Google.

   Si l'opération réussit, une section Informations sur l'utilisateur s'affiche. Elle contient votre nom, votre adresse e-mail et votre domaine. La présence de cette section User Info (Informations sur l'utilisateur) indique que cet utilisateur serait authentifié par Looker.

   En cas d'échec, une description de l'erreur s'affiche. Voici quelques problèmes courants:

   • Copie incorrecte de l'ID ou du code secret du client. Ceux-ci doivent être soigneusement copiés et collés dans leur intégralité.
   • L'utilisateur ne fait pas partie du domaine. Si la section Informations sur la personne apparaît, mais pas la section Informations sur l'utilisateur, il est probable que l'utilisateur ne fasse pas partie du domaine que vous avez spécifié. Cela indique que la personne s'est correctement authentifiée auprès de Google, mais qu'elle n'utilise pas un compte Google que vous avez choisi d'autoriser à accéder à votre instance Looker.
   • Une URL Looker ou de redirection n'est pas configurée correctement dans Google pour votre instance Looker.

7. Pour enregistrer et appliquer les modifications, cochez la case J'ai confirmé la configuration ci-dessus et je souhaite activer l'application globale. Cliquez sur Update (Mettre à jour).

Remarque :Une fois que vous avez activé l'authentification Google, les utilisateurs peuvent s'authentifier uniquement via Google OAuth. Si vous n'avez pas activé le paramètre Fusionner par e-mail pour les comptes existants, un nouvel utilisateur Looker est créé à chaque nouvelle connexion authentifiée par Google. Les connexions par e-mail et mot de passe existantes ne sont pas utilisables lorsque l'authentification Google est activée.

Conseils

• Pour tester le cycle d'authentification complet, vous pouvez vous déconnecter de Google. Vous verrez alors que Google vous invite à vous reconnecter lorsque vous essayez de vous connecter à Looker.

• Dans Google, vous pouvez cliquer sur Compte dans le menu déroulant personnel (à côté de votre adresse e-mail en haut à droite d'une page Google Workspace) pour gérer votre compte personnel.

  Cette page de gestion comporte un onglet Sécurité avec une section Autorisations au niveau du compte. Cliquez sur Applications et sites Web Tout afficher pour afficher et gérer les services et les applications pour lesquels vous avez accordé des autorisations.

  En cliquant sur les autorisations Looker que vous avez accordées pour vous connecter, vous affichez les détails que les utilisateurs voient sur l'écran de consentement que vous avez personnalisé précédemment. Vous pouvez également cliquer sur Révoquer l'accès. Ainsi, la prochaine fois que vous vous connecterez à Looker (ou que vous testerez l'autorisation), vous serez à nouveau invité à donner votre autorisation. Vous pouvez utiliser ce workflow pour personnaliser votre écran de consentement et voir ce que verront les utilisateurs.

Dépannage

• Si la tentative de connexion d'un utilisateur échoue, assurez-vous d'abord que l'utilisateur possède un prénom et un nom dans son compte Google. Si l'utilisateur a supprimé son prénom ou son nom de famille de son compte Google, Looker risque de ne pas pouvoir l'authentifier avec Google OAuth.

• Si la tentative de connexion d'un utilisateur échoue et que Looker affiche une erreur de type User not in the authorized domain, vérifiez le champ hd de la réponse JSON. Si le champ hd contient un domaine, assurez-vous que celui-ci est enregistré dans votre compte Google Workspace. Si le champ hd est vide, utilisez l'outil de transfert pour les utilisateurs non gérés pour inviter l'utilisateur à convertir son compte en compte géré dans votre domaine.

• Si la tentative de connexion d'un utilisateur échoue, mais que Looker n'affiche pas de message d'erreur, il se peut que l'utilisateur ait modifié le nom de son compte Google Workspace et supprimé son prénom ou son nom. Dans ce cas, le nom du compte Google Workspace peut toujours sembler complet dans la console d'administration, et les modifications de l'utilisateur ne sont pas toujours visibles. Pour éviter ce problème, les administrateurs Google Workspace peuvent désactiver l'option Autoriser les utilisateurs à personnaliser ce paramètre.

Activation des connexions par e-mail alors que Google Auth est activé

Les nouveaux comptes Google ont automatiquement accès à Looker. Il n'est donc pas nécessaire d'ajouter des utilisateurs appartenant à votre domaine Google.

Pour ajouter un utilisateur dont l'adresse e-mail ne fait pas partie de votre domaine Google:

1. Activez l'option Autre identifiant de connexion pour les administrateurs et les utilisateurs spécifiés sur la page d'authentification Google.
2. Créez ou modifiez un rôle utilisateur existant pour ajouter l'autorisation login_special_email
3. Accédez à Ajouter des utilisateurs dans le panneau des utilisateurs (/admin/users/new).
4. Ajoutez les adresses e-mail que vous souhaitez inclure, ainsi que les rôles que ces utilisateurs devraient avoir, qui doivent inclure un rôle disposant de l'autorisation login_special_email.
5. Ces utilisateurs peuvent désormais se connecter à l'aide de https://mycompany.looker.com/login/email (URL masquée)

Remarque :Si un utilisateur s'est authentifié sur l'instance Looker en utilisant uniquement Google, vous ne pouvez activer une connexion alternative qu'à l'aide de l'API Looker. Pour savoir comment activer une connexion alternative à l'aide de l'API Looker, consultez la page de documentation Activer l'option de connexion alternative.

Désactiver Google Auth une fois qu'elle a été activée

Si vous souhaitez désactiver l'authentification Google pour votre instance Looker après l'avoir activée, tenez compte des points suivants:

• Les comptes utilisateur créés avant l'ajout de l'authentification Google et ayant déjà défini une adresse e-mail et un mot de passe normaux continueront de fonctionner.
• Les utilisateurs créés après l'ajout de l'authentification Google ne pourront plus se connecter. Bien que leurs comptes existent toujours, ils ne peuvent plus y accéder, et leurs comptes sont devenus orphelins.

C'est pourquoi nous vous conseillons d'éviter cet itinéraire. Si vous devez suivre cette voie, il existe peut-être une méthode pour réparer les comptes orphelins à l'aide de l'API Looker. Contactez l'assistance Looker pour obtenir des conseils supplémentaires.