Paramètres d'administration – Authentification LDAP

Remarque:Les instances Looker (Google Cloud Core) n'incluent pas cette page.

Remarque:Si la page LDAP n'apparaît pas dans la section Authentification du menu Admin et que vous n'utilisez pas d'instance Looker (Google Cloud Core), ouvrez une demande d'assistance.

La page LDAP de la section Authentication (Authentification) du menu Admin vous permet de configurer Looker pour authentifier les utilisateurs avec le protocole LDAP (Lightweight Directory Access Protocol). Cette page décrit ce processus et inclut des instructions pour associer des groupes LDAP à des rôles et autorisations Looker.

Voici quelques points à retenir :

• L'authentification Looker utilise l'authentification "simple" de LDAP. L'authentification anonyme n'est pas prise en charge.
• Vous devez créer un seul compte utilisateur LDAP disposant de droits de lecture sur les entrées utilisateur et sur toutes les entrées de groupe qui seront utilisées par Looker.
• Looker lit uniquement à partir de l'annuaire LDAP (pas d'écriture).
• Looker peut migrer des comptes existants vers LDAP à l'aide d'adresses e-mail.
• L'utilisation de l'API Looker n'interagit pas avec l'authentification LDAP.
• Si votre serveur LDAP limite le trafic IP, vous devrez ajouter les adresses IP de Looker à la liste d'autorisation d'adresses IP ou aux règles de trafic entrant de votre serveur LDAP.
• LDAP remplace l'authentification à deux facteurs. Si vous avez déjà activé l'authentification à deux facteurs, vos utilisateurs ne verront pas les écrans de connexion avec authentification à deux facteurs après l'activation de LDAP.

Soyez prudent si vous désactivez l'authentification LDAP

Si vous êtes connecté à Looker à l'aide de LDAP et que vous souhaitez désactiver l'authentification LDAP, veillez d'abord à effectuer les deux opérations suivantes:

• Assurez-vous de disposer d'autres identifiants pour vous connecter.
• Activez l'option Autre connexion sur la page de configuration LDAP.

Sinon, vous pourriez empêcher vos autres utilisateurs et vous-même d'accéder à Looker.

Premiers pas

Accédez à la page LDAP Authentication (Authentification LDAP) dans la section Admin de Looker pour consulter les options de configuration suivantes.

Configurer votre connexion

Looker prend en charge le transport et le cryptage avec LDAP en clair et LDAP sur TLS. Nous vous recommandons vivement d'utiliser LDAP sur TLS. StartTLS et d'autres schémas de chiffrement ne sont pas compatibles.

1. Saisissez les informations concernant l'hôte et le port.
2. Cochez la case TLS si vous utilisez LDAP sur TLS.
3. Si vous utilisez LDAP sur TLS, Looker applique par défaut la vérification des certificats de pairs. Si vous devez désactiver la vérification des certificats de pairs, cochez Aucune vérification.
4. Cliquez sur Test Connection (Tester la connexion). Si des erreurs sont détectées, corrigez-les avant de continuer.

Authentification de la connexion

Looker requiert l'accès à un compte LDAP protégé par mot de passe. Le compte LDAP doit disposer d'un accès en lecture aux entrées de personnes et à un nouvel ensemble d'entrées de rôles. Le compte LDAP Looker ne nécessite pas d'accès en écriture (ni d'accès à d'autres aspects de l'annuaire), et l'espace de noms dans lequel le compte est créé n'a pas d'importance.

1. Saisissez le mot de passe.
2. [Facultatif] Cochez la case Forcer la non-pagination si votre fournisseur LDAP ne fournit pas de résultats paginés. Dans certains cas, cela peut être utile si vous n'obtenez aucune correspondance lorsque vous recherchez des utilisateurs, même si ce n'est pas la seule solution à ce type de problème.
3. Cliquez sur le bouton Test Authentication (Tester l'authentification). Si des erreurs sont détectées, vérifiez que vos informations d'authentification sont correctes. Si vos identifiants sont valides, mais que les erreurs persistent, contactez l'administrateur LDAP de votre entreprise.

Paramètres de liaison utilisateur

Les détails de cette section indiquent comment Looker recherchera les utilisateurs dans votre annuaire, les associera pour l'authentification et en extrait les informations.

1. Définissez le nom distinctif de base, qui correspond à la base de l'arborescence de recherche pour tous les utilisateurs.
2. [Facultatif] Spécifiez une classe d'objet utilisateur qui contrôle les types de résultats que Looker peut trouver et renvoyer. Cela est utile si le nom distinctif de base est une combinaison de types d'objets (personnes, groupes, imprimantes, etc.) et que vous ne souhaitez renvoyer qu'un seul type d'entrées.
3. Définissez les Attrs de connexion, qui définissent le ou les attributs que vos utilisateurs utiliseront pour se connecter. Il doit s'agir d'un identifiant unique pour chaque utilisateur et d'un identifiant dans votre système. Par exemple, vous pouvez choisir un ID utilisateur ou une adresse e-mail complète. Si vous ajoutez plusieurs attributs, Looker les recherche dans les deux afin de trouver l'utilisateur approprié. Évitez d'utiliser des formats qui pourraient entraîner la création de comptes en double, tels que le prénom et le nom.
4. Renseignez les champs Email Attr (Attr e-mail), First Name Attr et Last Name Attr. Ces informations indiquent à Looker comment mapper ces champs et extraire leurs informations lors de la connexion.
5. Définissez le Attr ID, qui indique un champ utilisé par Looker comme identifiant unique pour les utilisateurs. Il s'agit généralement de l'un des champs de connexion.
6. Vous pouvez également saisir un filtre personnalisé facultatif, qui vous permet de fournir des filtres LDAP arbitraires appliqués lors de la recherche d'un utilisateur à lier lors de l'authentification LDAP. Cette fonctionnalité est utile si vous souhaitez filtrer des ensembles d'enregistrements utilisateur, tels que des utilisateurs désactivés ou appartenant à une organisation différente.

Exemple

Cet exemple d'entrée utilisateur ldiff montre comment définir les paramètres Looker correspondants:

Entrée utilisateur Ldiff

dn: cn=mward,ou=People,dc=example,dc=com
objectClass: person
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: top
cn: mward
userpassword: normal
givenname: Marcus
telephonenumber: [phone]
sn: Ward
mail: [e-mail]
ou: People

Paramètres Looker correspondants

Base DN: ou=People,dc=looker,dc=com
User Object Class: person
Login Attrs: cn
Email Attr: mail
First Name Attr: givenname
Last Name Attr: sn
ID Attr: cn

Associer les attributs utilisateur LDAP aux attributs utilisateur Looker

Vous pouvez éventuellement utiliser les données de vos attributs utilisateur LDAP pour renseigner automatiquement les valeurs des attributs utilisateur Looker lorsqu'un utilisateur se connecte. Par exemple, si vous avez configuré LDAP pour établir des connexions spécifiques à l'utilisateur avec votre base de données, vous pouvez associer vos attributs utilisateur LDAP aux attributs utilisateur Looker pour rendre vos connexions à la base de données spécifiques à l'utilisateur dans Looker.

Notez que l'attribut LDAP doit être un attribut utilisateur et non un attribut de groupe.

Pour associer des attributs utilisateur LDAP aux attributs utilisateur Looker correspondants:

1. Saisissez le nom de l'attribut utilisateur LDAP dans le champ Attribut utilisateur LDAP et le nom de l'attribut utilisateur Looker avec lequel vous souhaitez l'associer dans le champ Attributs utilisateur Looker.
2. Cochez la case Required si vous souhaitez exiger une valeur d'attribut LDAP pour permettre à un utilisateur de se connecter.
3. Cliquez sur +, puis répétez ces étapes pour ajouter d'autres paires d'attributs.

Tester les informations sur les utilisateurs

1. Saisissez les identifiants d'un utilisateur test, puis cliquez sur le bouton Tester l'authentification des utilisateurs. Looker tentera une séquence d'authentification LDAP complète et affichera le résultat. En cas de réussite, Looker affiche les informations utilisateur à partir du répertoire, ainsi que des informations de trace sur le processus d'authentification, qui peuvent aider à résoudre les problèmes de configuration.
2. Vérifiez que l'authentification réussit et que tous les champs sont correctement mappés. Vérifiez par exemple que le champ first_name ne contient pas de valeur appartenant à last_name.

Remarque :Vous pouvez tester n'importe quel utilisateur de votre système en saisissant uniquement l'ID utilisateur, en omettant le mot de passe utilisateur, puis en cliquant sur Tester les informations sur l'utilisateur. Cela testera le mappage, mais pas l'authentification.

Groupes et rôles

Vous pouvez configurer Looker pour créer des groupes reflétant vos groupes LDAP gérés en externe, puis attribuer des rôles Looker aux utilisateurs en fonction de leurs groupes LDAP en miroir. Lorsque vous apportez des modifications à votre appartenance à un groupe LDAP, ces modifications sont automatiquement propagées dans la configuration du groupe Looker.

La mise en miroir de groupes LDAP vous permet d'utiliser votre annuaire LDAP défini en externe pour gérer les groupes et les utilisateurs Looker. Vous pouvez ainsi gérer votre appartenance à un groupe pour plusieurs outils Software as a Service (SaaS), tels que Looker, depuis un seul et même endroit.

Si vous activez Dupliquer les groupes LDAP, Looker créera un groupe Looker pour chaque groupe LDAP introduit dans le système. Ces groupes Looker sont visibles sur la page Groupes de la section Admin de Looker. Les groupes permettent d'attribuer des rôles aux membres d'un groupe, de définir le contrôle des accès au contenu et d'attribuer des attributs utilisateur.

Groupes et rôles par défaut

L'option Dupliquer les groupes LDAP est désactivée par défaut. Dans ce cas, vous pouvez définir un groupe par défaut pour les nouveaux utilisateurs LDAP. Dans les champs Nouveaux groupes d'utilisateurs et Nouveaux rôles utilisateur, saisissez les noms des groupes ou rôles Looker auxquels vous souhaitez attribuer de nouveaux utilisateurs Looker lors de leur première connexion à Looker.

Ces groupes et rôles sont appliqués aux nouveaux utilisateurs lors de leur première connexion. Les groupes et les rôles ne s'appliquent pas aux utilisateurs préexistants et ne sont pas réappliqués s'ils sont supprimés des utilisateurs après leur première connexion.

Si vous activez ultérieurement les groupes LDAP en miroir, ces valeurs par défaut seront supprimées pour les utilisateurs à la prochaine connexion et remplacées par les rôles attribués dans la section Dupliquer les groupes LDAP. Ces options par défaut ne seront plus disponibles ni attribuées, et elles seront entièrement remplacées par la configuration des groupes dupliqués.

Activer les groupes LDAP en miroir

Si vous choisissez de dupliquer vos groupes LDAP dans Looker, activez l'option Dupliquer les groupes LDAP. Looker affiche les paramètres suivants:

Stratégie de l'outil de recherche de groupes: choisissez une option dans la liste déroulante pour indiquer à Looker comment trouver les groupes d'un utilisateur:

• Les groupes possèdent des attributs de membre: il s'agit de l'option la plus courante. Lorsque vous recherchez un membre d'un groupe, Looker n'affiche que les groupes auxquels l'utilisateur est directement affecté. Par exemple, si un utilisateur est membre du groupe "Database-Admin" et que ce groupe est membre du groupe "Engineering", un utilisateur n'obtiendra que les autorisations affiliées au groupe "Database-Admin".

• Les groupes possèdent des attributs de membre (recherche approfondie): cette option permet aux groupes d'être membres d'autres groupes. On parle parfois de groupes LDAP imbriqués. Cela signifie qu'un utilisateur peut disposer des autorisations de plusieurs groupes. Par exemple, si un utilisateur est membre du groupe "Database-Admin" et que le groupe "Database-Admin" est membre du groupe "Ingénierie", un utilisateur obtiendra les autorisations associées aux deux groupes. Certains serveurs LDAP (en particulier Microsoft Active Directory) prennent en charge l'exécution automatique de ce type de recherche approfondie, même lorsque l'appelant effectue une recherche qui semble superficielle. C'est peut-être une autre méthode que vous pouvez utiliser pour effectuer une recherche approfondie.

Base DN (Nom distinctif de base) : vous permet d'affiner la recherche. Il peut correspondre au nom distinctif de base spécifié dans la section User Binding Settings de cette page de documentation.

Classes d'objets Groupes: ce paramètre est facultatif. Comme indiqué dans la section Paramètres de liaison utilisateur, cela permet de limiter les résultats renvoyés par Looker à un type d'objet ou à un ensemble de types particulier.

Group Member Attr (Attr de membre de groupe) : l'attribut qui, pour chaque groupe, détermine les objets (dans ce cas, probablement les personnes) qui sont membres.

Group User Attr: nom de l'attribut utilisateur LDAP dont la valeur sera recherchée dans les entrées du groupe pour déterminer si un utilisateur fait partie du groupe. La valeur par défaut est dn (le laisser vide revient à le définir sur dn), ce qui fait que LDAP utilise le nom distinctif complet, qui est la chaîne sensible à la casse exacte qui existerait dans la recherche LDAP elle-même, pour rechercher les entrées de groupe.

Preferred Group Name/Roles/Group DN (Nom de groupe/Rôles/Nom distinctif de groupe privilégié) : cet ensemble de champs vous permet d'attribuer un nom de groupe personnalisé et un ou plusieurs rôles attribués au groupe LDAP correspondant dans Looker.

1. Saisissez le nom distinctif du groupe LDAP dans le champ Group DN (Nom distinctif du groupe). Il doit inclure le nom distinctif complet, qui correspond exactement à la chaîne sensible à la casse qui existerait dans la recherche LDAP elle-même. Les utilisateurs LDAP inclus dans le groupe LDAP seront ajoutés au groupe en miroir dans Looker.

2. Saisissez un nom personnalisé pour le groupe en miroir dans le champ Nom personnalisé. Ce nom sera affiché sur la page Groupes de la section Admin de Looker.

3. Dans le champ situé à droite du champ Nom personnalisé, sélectionnez un ou plusieurs rôles Looker qui seront attribués à chaque utilisateur du groupe.

4. Cliquez sur + pour ajouter d'autres ensembles de champs et configurer d'autres groupes en miroir. Si plusieurs groupes sont configurés et que vous souhaitez supprimer la configuration d'un groupe, cliquez sur X à côté de l'ensemble des champs de ce groupe.

Si vous modifiez un groupe en miroir précédemment configuré dans cet écran, sa configuration change, mais le groupe lui-même reste intact. Par exemple, vous pouvez modifier le nom personnalisé d'un groupe, ce qui modifie l'affichage du groupe sur la page Groupes de Looker, mais pas les rôles attribués ni les membres du groupe. Si vous modifiez le nom distinctif du groupe, le nom et les rôles du groupe seront conservés, mais les membres seront réattribués en fonction des utilisateurs membres du groupe LDAP externe portant le nouveau nom distinctif du groupe LDAP.

Si vous supprimez un groupe sur cette page, ce groupe ne sera plus dupliqué dans Looker et ses membres n'auront plus les rôles dans Looker qui leur sont attribués via ce groupe.

Toute modification apportée à un groupe en miroir sera appliquée aux utilisateurs de ce groupe lors de leur prochaine connexion à Looker.

Gestion avancée des rôles

Si vous avez activé l'option Dupliquer les groupes LDAP, Looker affiche ces paramètres. Les options de cette section déterminent le degré de flexibilité dont disposent les administrateurs Looker lorsqu'ils configurent les groupes et les utilisateurs Looker dupliqués depuis Looker.

Par exemple, si vous souhaitez que votre configuration de groupe et d'utilisateur Looker corresponde strictement à votre configuration LDAP, activez ces options. Lorsque les trois premières options sont activées, les administrateurs Looker ne peuvent pas modifier l'appartenance aux groupes en miroir et ne peuvent attribuer des rôles aux utilisateurs que via des groupes en miroir LDAP.

Si vous souhaitez avoir plus de flexibilité pour personnaliser davantage vos groupes dans Looker, désactivez ces options. Vos groupes Looker refléteront toujours votre configuration LDAP, mais vous pourrez effectuer d'autres tâches de gestion des groupes et des utilisateurs dans Looker, par exemple en ajoutant des utilisateurs LDAP à des groupes Looker ou en attribuant des rôles Looker directement aux utilisateurs LDAP.

Pour les nouvelles instances Looker ou les instances Looker pour lesquelles aucun groupe en miroir n'a été configuré précédemment, ces options sont désactivées par défaut.

Pour les instances Looker existantes qui ont configuré des groupes en miroir, ces options sont activées par défaut.

Remarque :Si vous activez des paramètres plus restrictifs, les utilisateurs perdront leur appartenance à un groupe ou les rôles qui leur ont été attribués qui ont été configurés directement dans Looker. Cela se produit la prochaine fois que ces utilisateurs se connectent à Looker.

La section Gestion avancée des rôles contient les options suivantes:

Empêcher les utilisateurs LDAP individuels de recevoir des rôles directs: l'activation de cette option empêche les administrateurs Looker d'attribuer des rôles Looker directement aux utilisateurs LDAP. Les utilisateurs LDAP n'obtiendront des rôles que via leur appartenance à un groupe. Si les utilisateurs LDAP sont autorisés à appartenir à des groupes Looker intégrés (non mis en miroir), ils peuvent toujours hériter de leurs rôles à la fois à partir de groupes LDAP en miroir et de groupes Looker intégrés. Les utilisateurs LDAP auxquels des rôles ont été attribués directement seront supprimés lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent attribuer les rôles Looker directement aux utilisateurs LDAP comme s'ils avaient été configurés directement dans Looker.

Empêcher l'appartenance directe aux groupes non-LDAP: l'activation de cette option empêche les administrateurs Looker d'ajouter directement des utilisateurs LDAP aux groupes Looker intégrés. Si les groupes LDAP en miroir sont autorisés à être membres de groupes Looker intégrés, les utilisateurs LDAP peuvent conserver leur appartenance à n'importe quel groupe Looker parent. Tous les utilisateurs LDAP précédemment affectés à des groupes Looker intégrés seront supprimés de ces groupes lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent ajouter des utilisateurs LDAP directement aux groupes Looker intégrés.

Empêcher l'héritage des rôles des groupes non LDAP: activer cette option empêche les membres de groupes LDAP en miroir d'hériter des rôles des groupes Looker intégrés. Tous les utilisateurs LDAP ayant précédemment hérité des rôles d'un groupe Looker parent perdront ces rôles lors de leur prochaine connexion.

Si cette option est désactivée, les groupes LDAP en miroir ou les utilisateurs LDAP ajoutés en tant que membres d'un groupe Looker intégré héritent des rôles attribués au groupe Looker parent.

Authentification requise par un rôle: si cette option est activée, un rôle doit être attribué aux utilisateurs LDAP. Les utilisateurs LDAP auxquels aucun rôle n'a été attribué ne pourront pas se connecter à Looker.

Si cette option est désactivée, les utilisateurs LDAP peuvent s'authentifier auprès de Looker même s'ils ne disposent d'aucun rôle. Un utilisateur auquel aucun rôle n'a été attribué ne pourra consulter aucune donnée ni effectuer d'action dans Looker, mais il pourra se connecter à Looker.

Désactivation des groupes LDAP en miroir

Si vous souhaitez arrêter de dupliquer vos groupes LDAP dans Looker, désactivez l'option Dupliquer les groupes LDAP. Tous les groupes LDAP en miroir vides seront supprimés.

Les groupes LDAP en miroir non vides resteront disponibles pour la gestion de contenu et la création de rôles. Toutefois, il est impossible d'ajouter des utilisateurs à des groupes LDAP ou d'en supprimer.

Options de migration et d'intégration

Important :Looker vous recommande d'activer les deux options de migration et d'intégration.

Autre connexion pour les administrateurs et les utilisateurs spécifiés

• Autorisez une autre connexion par adresse e-mail pour les administrateurs et les utilisateurs disposant de l'autorisation login_special_email (pour en savoir plus sur la configuration de cette autorisation, consultez la documentation sur les rôles). Cette option apparaît sur la page de connexion de Looker si vous l'avez activée et que l'utilisateur dispose de l'autorisation appropriée.
• Cette option est utile comme solution de secours lors de la configuration LDAP, si des problèmes de configuration LDAP surviennent ultérieurement ou si vous devez prendre en charge des utilisateurs qui ne figurent pas dans votre annuaire LDAP.
• Les connexions Looker par e-mail et mot de passe sont toujours désactivées pour les utilisateurs standards lorsque LDAP est activé.

Remarque :Si un utilisateur s'est authentifié sur l'instance Looker en utilisant uniquement LDAP, vous ne pouvez activer une connexion alternative qu'à l'aide de l'API Looker. Pour savoir comment activer une connexion alternative à l'aide de l'API Looker, consultez la page de documentation Activer une autre option de connexion.

Fusionner par e-mail

• Cette option permet à Looker de fusionner les nouveaux utilisateurs LDAP avec leurs comptes Looker existants, en fonction de leur adresse e-mail.
• Si Looker ne trouve pas d'adresse e-mail correspondante, un compte est créé pour l'utilisateur.

Enregistrer et appliquer les paramètres

Important :Veillez à tester soigneusement vos paramètres avant de les confirmer. Nous vous conseillons également d'activer l'autre option de connexion tant que vous n'avez pas vérifié que ces paramètres fonctionnent comme prévu. Sinon, vous pourriez empêcher vos autres utilisateurs et vous-même d'accéder à Looker.

Une fois que vous avez saisi vos informations et que tous les tests sont concluants, cochez la case J'ai confirmé la configuration ci-dessus et je souhaite activer l'application globale, puis cliquez sur Mettre à jour les paramètres pour enregistrer.