Impostazioni amministratore - Autenticazione Google

Nota: la configurazione dell'autenticazione Google in Looker (Google Cloud core) è descritta nelle pagine di documentazione Creare credenziali di autorizzazione OAuth per un'istanza di Looker (Google Cloud core) e Utilizzare OAuth di Google per l'autenticazione utente di Looker (Google Cloud core).

La pagina Autenticazione Google nella sezione Autenticazione del menu Amministrazione ti consente di configurare OAuth di Google lato Looker.

Nota: per accedere a tutte le pagine di amministrazione di Looker, devi disporre del ruolo Amministratore. Se disponi di un'autorizzazione che attiva solo alcune parti del riquadro Amministrazione, ad esempio manage_schedules o manage_themes, ma non disponi del ruolo Amministratore, Looker potrebbe non visualizzare la pagina o le pagine descritte in questo articolo nel riquadro Amministrazione. Inoltre, l'autorizzazione see_admin concede l'autorizzazione di sola lettura alla maggior parte (ma non a tutte) delle pagine Amministrazione. Per saperne di più, consulta la descrizione di see_admin.

Panoramica delle funzioni

Looker può eseguire l'autenticazione utilizzando OAuth di Google per gli utenti che hanno account registrati con Google Workspace.

• Le organizzazioni che utilizzano Google Workspace possono autenticare gli utenti di Looker che dispongono di Account Google.
• Gli utenti accedono a Looker autenticandosi con il proprio Account Google.
• I nuovi Account Google hanno automaticamente accesso a Looker. Non è necessario invitare separatamente gli utenti a Looker. Imposti il ruolo predefinito per i nuovi utenti, che può limitare il loro accesso a funzionalità e dati.
• Quando è attivata, Looker autentica gli utenti solo con OAuth di Google a meno che non sia selezionata l'opzione "Accesso alternativo" (vedi la sezione seguente su Abilitazione degli accessi via email quando l'autenticazione Google è attivata).
• Nella barra di navigazione viene visualizzato l'avatar di Google di un utente anziché il simbolo utente standard.

Avviso: i seguenti comportamenti potrebbero influire sulla tua decisione di utilizzare OAuth di Google:

• Quando attivi OAuth di Google, l'istanza di Looker può unire gli account utente esistenti con il dominio registrato da Google, ma solo per gli account il cui indirizzo email corrisponde al dominio. Tutti gli altri account non amministrativi non potranno più accedere.
• Tutti gli utenti del dominio specificato ottengono l'accesso all'istanza di Looker.
• Per impostazione predefinita, le autorizzazioni per i nuovi utenti Google sono impostate sull'accesso di base per un elenco specificato di modelli (che, facoltativamente, può essere l'accesso a zero modelli). Le autorizzazioni possono essere aggiornate da un amministratore dopo la creazione dell'account.
• I nuovi account Looker che si autenticano utilizzando OAuth di Google non possono passare all'autenticazione tramite password, anche se OAuth è disattivato per l'istanza di Looker.

Requisiti preliminari

L'utilizzo di OAuth di Google richiede quanto segue:

• Un account Google Workspace per l'organizzazione.
• Un dominio controllato dall'organizzazione e registrato all'account Google Workspace.
• Utenti con indirizzi email nel dominio associato all'Account Google.
• Ogni utente deve avere un account utente gestito in Google Workspace. Per trovare ed eseguire la migrazione di utenti con account utente non gestiti, utilizza lo Strumento di trasferimento per gli utenti non gestiti.

Attivazione dell'autenticazione con OAuth di Google

L'abilitazione dell'autenticazione con OAuth di Google richiede che un amministratore esegua dei passaggi sia lato Google sia lato Looker, come descritto nelle sezioni seguenti.

Configurazione da parte di Google

I passaggi per attivare OAuth di Google lato Google sono descritti in questa sezione. La descrizione generica di questi passaggi è disponibile nella pagina di assistenza Google sulla configurazione di OAuth 2.0. Puoi anche consultare la documentazione della guida della console Google Cloud.

1. Vai alla console Google Cloud.

2. Fai clic sulla Freccia giù nel menu a discesa Seleziona un progetto. Nel menu a discesa potresti vedere il nome di un progetto esistente. Fai clic sulla Freccia giù, indipendentemente da ciò, per accedere all'opzione per creare un nuovo progetto.

3. Nella pagina Seleziona un progetto, fai clic su Nuovo progetto.

   Google mostra la pagina Nuovo progetto.

4. Compila le informazioni nella pagina Nuovo progetto e fai clic su Crea.

   Al termine della creazione del nuovo progetto, Google ti reindirizza alla console Google Cloud e ti mostra il nuovo progetto.

5. Nel menu a sinistra, seleziona API e servizi > Credenziali.

6. Nella pagina Credenziali, fai clic sul pulsante Crea credenziali e seleziona ID client OAuth dal menu a discesa.

   Google mostra la pagina Crea ID client OAuth.

7. Google richiede di configurare una schermata per il consenso OAuth, che consente agli utenti di scegliere come concedere l'accesso ai propri dati privati e fornisce un link ai Termini di servizio e alle Norme sulla privacy della tua organizzazione. Fai clic su Configura schermata di consenso. Se hai configurato il consenso OAuth per un progetto precedente, non vedrai questa opzione e puoi andare al passaggio 13.

   Google mostra la pagina Schermata per il consenso OAuth.

8. Inserisci il dominio della tua istanza Looker nel campo Domini autorizzati. Ad esempio, se Looker ospita la tua istanza all'indirizzo https://mycompany.looker.com, il dominio è looker.com. Per i deployment di Looker ospitati dal cliente, inserisci il dominio su cui ospiti Looker.

9. Configura la schermata per il consenso OAuth e fai clic su Salva e continua.

   Nota: per informazioni sulla configurazione della schermata di consenso OAuth di Google, consulta la pagina di assistenza Google Configurare OAuth 2.0.

10. Nella pagina Ambiti, fai clic su Salva e continua. Non è richiesta alcuna configurazione aggiuntiva dell'ambito.

11. Nella pagina Riepilogo, fai clic su Torna alla dashboard.

    Google ti reindirizza alla pagina Crea ID client OAuth.

12. In Tipo di applicazione, seleziona Applicazione web.

13. Nel campo Nome, inserisci un nome per l'ID client OAuth.

14. Nel campo Origini JavaScript autorizzate, inserisci l'URL dell'istanza di Looker, incluso https://. Ad esempio:

    • Se la tua istanza è ospitata da Looker: https://mycompany.looker.com
    • Se hai un'istanza di Looker ospitata dal cliente: https://looker.mycompany.com
    • Se la tua istanza Looker richiede un numero di porta: https://looker.mycompany.com:9999

15. Nel campo URI di reindirizzamento autorizzati, inserisci l'URL dell'istanza Looker, seguito da /oauth2callback. Ad esempio: https://mycompany.looker.com/oauth2callback o https://looker.mycompany.com:9999/oauth2callback.

16. Fai clic su Crea.

17. Copia i valori di ID client e client secret, che ti serviranno per configurare Looker.

Configurazione lato Looker

Per attivare OAuth di Google lato Looker, segui questi passaggi.

1. Nell'applicazione Looker, dopo aver eseguito l'accesso come amministratore, fai clic sul menu a discesa Amministrazione per aprire il menu Amministrazione.

2. Nel gruppo Autenticazione, fai clic su Google. Looker mostra la pagina Autenticazione Google.

3. Fai clic su Attivato per visualizzare e modificare le impostazioni di OAuth di Google. (questa operazione non attiva immediatamente l'autenticazione Google; dovrai confermare la tua scelta in un secondo momento).

4. Inserisci le impostazioni di Google Auth.

   • ID client e client secret: copia e incolla questi valori dalla pagina del client OAuth di Google, come descritto nelle istruzioni di configurazione di Google precedenti.
   • Domains: i nomi di dominio gestiti da Google della tua organizzazione. Qualsiasi utente Google del dominio specificato può accedere alla tua istanza Looker. Se controlli più domini Google, puoi inserirli separati da virgole.
   Avviso: inserisci solo i domini Google controllati dalla tua organizzazione. L'inserimento di qualsiasi altro dominio potrebbe consentire l'accesso agli utenti di un dominio che non controlli.

5. Inserisci Opzioni di migrazione, che controllano il comportamento dell'istanza di Looker durante la transizione a Google OAuth.

   • Accesso alternativo per gli amministratori: consente agli amministratori di continuare ad accedere con email e password, un'opzione di riserva utile in caso di problemi di configurazione di Google OAuth. Questa impostazione è consigliata ed è descritta in modo più dettagliato in Attivare gli accessi via email quando è attivato l'autenticazione Google.
   • Unione per email: consente a tutti gli utenti esistenti con indirizzi email nei domini specificati di utilizzare Google OAuth al successivo accesso. Questa impostazione è consigliata.
   • Ruoli per i nuovi utenti: specifica le funzionalità e l'accesso ai modelli di cui dispongono i nuovi utenti non amministratori. Questo elenco può essere aggiornato in un secondo momento. Se non viene compilato, i nuovi utenti autenticati da Google avranno funzionalità limitate all'interno della piattaforma Looker finché un amministratore non aggiungerà un ruolo al loro account. Poiché tutti gli utenti del tuo dominio Google potranno accedere a Looker, ti consigliamo di specificare un ruolo predefinito per i nuovi utenti che limiti l'accesso in modo appropriato.

6. Fai clic su Testa l'autenticazione Google per utilizzare le impostazioni correnti e tentare di autenticare il browser corrente in una nuova finestra. Questa azione non salva le impostazioni correnti né le applica all'istanza Looker.

   Se non hai eseguito l'accesso a Google, ti verrà chiesto di farlo e di dare il consenso all'utilizzo dei dati del tuo Account Google. Questo flusso utilizza le impostazioni personalizzate della schermata del consenso che hai utilizzato nella configurazione lato Google.

   Al termine dell'operazione, viene visualizzata la sezione Informazioni utente con il tuo nome, la tua email e il tuo dominio. La presenza di questa sezione Informazioni utente indica che l'utente verrà autenticato correttamente da Looker.

   In caso di errore, vengono visualizzate le descrizioni degli errori. Ecco alcuni problemi comuni:

   • ID client o client secret copiati in modo errato. Devono essere copiati e incollati con attenzione per intero.
   • L'utente non è nel dominio. Se visualizzi una sezione Informazioni sulla persona, ma non Informazioni utente, è probabile che l'utente non sia nel dominio specificato. Ciò indica che la persona si è autenticata correttamente su Google, ma non utilizza un Account Google che hai scelto di consentire nella tua istanza di Looker.
   • Un URL di Looker o un URL di reindirizzamento non è configurato correttamente in Google per la tua istanza di Looker.

7. Per salvare e applicare le modifiche, seleziona Ho verificato la configurazione sopra riportata e voglio attivarne l'applicazione a livello globale. Fai clic su Aggiorna.

Nota: dopo aver attivato l'autenticazione Google, gli utenti possono autenticarsi solo tramite OAuth di Google. Se non hai attivato l'impostazione Unisci per email per gli account esistenti, ogni nuovo accesso autenticato da Google crea un nuovo utente Looker. Gli accessi con indirizzo email e password esistenti non sono utilizzabili contemporaneamente all'autenticazione Google.

Suggerimenti

• Per provare il ciclo di autenticazione completo, puoi uscire da Google e vedere che Google ti chiede di accedere di nuovo quando provi ad accedere a Looker.

• In Google puoi fare clic su Account nel menu a discesa personale (accanto al tuo indirizzo email in alto a destra in una pagina di Google Workspace) per gestire il tuo account personale.

  In questa pagina di gestione è presente la scheda Sicurezza con una sezione Autorizzazioni account. Se fai clic su App e siti web Visualizza tutto, in qualità di utente puoi visualizzare e gestire i servizi e le app a cui hai concesso le autorizzazioni.

  Se fai clic sulle autorizzazioni di Looker che hai concesso per accedere, vengono visualizzati i dettagli che gli utenti vedono nella schermata di consenso che hai personalizzato in precedenza. Puoi anche fare clic su Revoca accesso in modo che la volta successiva che accedi a Looker (o testi l'autorizzazione), ti venga nuovamente richiesta la schermata del consenso. Puoi utilizzare questo flusso di lavoro per personalizzare la schermata del consenso e visualizzare ciò che vedranno gli utenti.

Risoluzione dei problemi

• Se il tentativo di accesso di un utente non va a buon fine, assicurati innanzitutto che l'utente abbia sia un nome che un cognome nei suoi Account Google. Se l'utente ha eliminato il proprio nome o cognome dal proprio Account Google, Looker potrebbe non essere in grado di autenticarlo con OAuth di Google.

• Se il tentativo di accesso di un utente non va a buon fine e Looker mostra un errore come User not in the authorized domain, controlla il campo hd della risposta JSON. Se il campo hd contiene un dominio, assicurati che sia registrato al tuo account Google Workspace. Se il campo hd è vuoto, utilizza lo Strumento di trasferimento per gli utenti non gestiti per invitare l'utente a convertire il proprio account in un account gestito all'interno del tuo dominio.

• Se il tentativo di accesso di un utente non va a buon fine, ma Looker non mostra un messaggio di errore, l'utente potrebbe aver modificato il nome del proprio account Google Workspace ed eliminato il nome o il cognome. In questa situazione, il nome dell'account Google Workspace potrebbe sembrare ancora completo nella Console di amministrazione, che potrebbe non mostrare le modifiche dell'utente. Per evitare questo problema, gli amministratori di Google Workspace possono disattivare l'opzione Consenti agli utenti di personalizzare questa impostazione.

Attivare gli accessi via email quando Google Auth è attivo

I nuovi Account Google hanno accesso automatico a Looker, quindi non è necessario aggiungere gli utenti del tuo dominio Google.

Per aggiungere un utente con un indirizzo email non presente nel tuo dominio Google:

1. Attiva l'opzione Accesso alternativo per amministratori e utenti specificati nella pagina di autenticazione di Google
2. Crea o modifica un ruolo utente esistente per aggiungere l'autorizzazione login_special_email
3. Vai ad Aggiungi utenti dal riquadro degli utenti (/admin/users/new).
4. Aggiungi gli indirizzi email che vuoi includere e i ruoli che questi utenti devono avere, che devono includere un ruolo con l'autorizzazione login_special_email
5. Questi utenti ora possono accedere utilizzando https://mycompany.looker.com/login/email (URL nascosto)

Nota: se un utente ha eseguito l'autenticazione nell'istanza di Looker utilizzando solo Google, puoi attivare l'accesso alternativo solo utilizzando l'API Looker. Per scoprire come attivare l'accesso alternativo utilizzando l'API Looker, consulta la pagina della documentazione Attivare l'opzione di accesso alternativo.

Disattivazione di Google Auth dopo averlo abilitato

Se vuoi disattivare l'autenticazione Google per la tua istanza di Looker dopo che è già stata attivata, tieni presente quanto segue:

• Gli utenti creati prima dell'aggiunta di Google Authentication e che hanno già configurato un normale nome utente e una password email continueranno a funzionare.
• Gli utenti creati dopo l'aggiunta dell'autenticazione Google non potranno più accedere. Sebbene i loro account esistano ancora, non hanno modo di accedervi e sono di fatto orfani.

Per questo motivo, ti consigliamo di evitare questo percorso. Se devi seguire questa strada, potrebbe esserci un metodo per correggere gli account orfani utilizzando l'API Looker. Contatta l'assistenza di Looker per ulteriori indicazioni.