Paramètres d'administration : authentification LDAP

Remarque :Les instances Looker (Google Cloud Core) n'incluent pas cette page.

La page LDAP de la section Authentification du menu Administration vous permet de configurer Looker pour authentifier les utilisateurs avec le protocole LDAP (Lightweight Directory Access Protocol). Cette page décrit ce processus et inclut des instructions pour associer des groupes LDAP aux rôles et autorisations Looker.

Conditions requises

Looker n'affiche la page LDAP dans la section Authentification du menu Administration que si les conditions suivantes sont remplies:

• Votre instance Looker n'est pas une instance Looker (Google Cloud Core).
• Vous disposez du rôle Administrateur.
• Votre instance Looker est configurée pour utiliser LDAP.

Si ces conditions sont remplies et que la page LDAP ne s'affiche pas, déposez une demande d'assistance pour activer LDAP sur votre instance.

Remarques

Tenez compte des points suivants lorsque vous configurez l'authentification LDAP sur votre instance Looker:

• L'authentification Looker utilise l'authentification "simple" de LDAP. L'authentification anonyme n'est pas disponible.
• Vous devez créer un seul compte utilisateur LDAP disposant de droits de lecture sur les entrées utilisateur et les entrées de groupe qui seront utilisées par Looker.
• Looker ne lit que l'annuaire LDAP (pas d'écritures).
• Looker peut migrer les comptes existants vers LDAP à l'aide d'adresses e-mail.
• L'utilisation de l'API Looker n'interagit pas avec l'authentification LDAP.
• Si votre serveur LDAP restreint le trafic IP, vous devez ajouter les adresses IP de Looker à la liste autorisée ou aux règles de trafic entrant de votre serveur LDAP.
• LDAP remplace l'authentification à deux facteurs. Si vous avez déjà activé l'authentification à deux facteurs, vos utilisateurs ne verront plus les écrans de connexion à l'authentification à deux facteurs une fois que vous aurez activé LDAP.

Soyez prudent si vous désactivez l'authentification LDAP

Si vous êtes connecté à Looker à l'aide de LDAP et que vous souhaitez désactiver l'authentification LDAP, veillez à suivre les deux étapes suivantes:

• Assurez-vous de disposer d'autres identifiants pour vous connecter.
• Activez l'option Connexion alternative sur la page de configuration LDAP.

Sinon, vous risquez de vous verrouiller vous-même et d'autres utilisateurs de Looker.

Premiers pas

Accédez à la page Authentification LDAP dans la section Administration de Looker pour afficher les options de configuration suivantes.

Configurer votre connexion

Looker prend en charge le transport et le chiffrement avec LDAP en texte clair et LDAP sur TLS. Nous vous recommandons vivement d'utiliser LDAP sur TLS. StartTLS et d'autres schémas de chiffrement ne sont pas acceptés.

1. Saisissez les informations sur l'hôte et le port.
2. Cochez la case à côté de TLS si vous utilisez LDAP sur TLS.
3. Si vous utilisez LDAP sur TLS, Looker applique la vérification des certificats de pair par défaut. Si vous devez désactiver la validation des certificats d'émetteur, cochez No Verify (Aucune validation).
4. Cliquez sur Test Connection (Tester la connexion). Si des erreurs s'affichent, corrigez-les avant de continuer.

Authentification de la connexion

Looker nécessite l'accès à un compte LDAP protégé par mot de passe. Le compte LDAP doit disposer d'un accès en lecture aux entrées de personnes et à un nouvel ensemble d'entrées de rôles. Le compte LDAP Looker ne nécessite pas d'accès en écriture (ni à aucun autre aspect du répertoire), et l'espace de noms dans lequel le compte est créé n'a aucune importance.

1. Saisissez le mot de passe.
2. [Facultatif] Cochez la case Forcer l'absence de pagination si votre fournisseur LDAP ne fournit pas de résultats paginés. Dans certains cas, cela peut vous aider si vous ne trouvez aucune correspondance lorsque vous recherchez des utilisateurs, mais ce n'est pas la seule solution à ce problème.
3. Cliquez sur le bouton Tester l'authentification. Si des erreurs s'affichent, assurez-vous que vos informations d'authentification sont correctes. Si vos identifiants sont valides, mais que les erreurs persistent, contactez l'administrateur LDAP de votre entreprise.

Paramètres de liaison utilisateur

Les informations de cette section indiquent comment Looker trouvera les utilisateurs dans votre annuaire, les liera pour l'authentification et extraira leurs informations.

1. Définissez le nom unique de base, qui est la base de l'arborescence de recherche pour tous les utilisateurs.
2. [Facultatif] Spécifiez une classe d'objet utilisateur, qui contrôle les types de résultats que Looker trouvera et renverra. Cette option est utile si le nom distinctif de base est un mélange de types d'objets (personnes, groupes, imprimantes, etc.) et que vous ne souhaitez renvoyer que des entrées d'un seul type.
3. Définissez les attributs de connexion, qui définissent le ou les attributs que vos utilisateurs utiliseront pour se connecter. Ils doivent être uniques pour chaque utilisateur et être connus de vos utilisateurs en tant qu'identifiant dans votre système. Vous pouvez par exemple choisir un ID utilisateur ou une adresse e-mail complète. Si vous ajoutez plusieurs attributs, Looker les recherche tous les deux pour trouver l'utilisateur approprié. Évitez d'utiliser des formats pouvant entraîner des comptes en double, tels que le prénom et le nom.
4. Spécifiez les attributs Email Attr (Attribut d'adresse e-mail), First Name Attr (Attribut de prénom) et Last Name Attr (Attribut de nom). Ces informations indiquent à Looker comment mapper ces champs et en extraire les informations lors de la connexion.
5. Définissez ID Attr, qui indique un champ que Looker utilise comme identifiant unique pour les utilisateurs. Il s'agit généralement de l'un des champs de connexion.
6. (Facultatif) Saisissez un filtre personnalisé facultatif, qui vous permet de fournir des filtres LDAP arbitraires qui seront appliqués lors de la recherche d'un utilisateur à lier lors de l'authentification LDAP. Cette option est utile si vous souhaitez filtrer des ensembles d'enregistrements utilisateur, tels que les utilisateurs désactivés ou ceux appartenant à une autre organisation.

Exemple

Cet exemple d'entrée utilisateur ldiff montre comment définir les paramètres Looker correspondants:

Entrée utilisateur Ldiff

dn: cn=mward,ou=People,dc=example,dc=com
objectClass: person
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: top
cn: mward
userpassword: normal
givenname: Marcus
telephonenumber: [phone]
sn: Ward
mail: [e-mail]
ou: People

Paramètres Looker correspondants

Base DN: ou=People,dc=looker,dc=com
User Object Class: person
Login Attrs: cn
Email Attr: mail
First Name Attr: givenname
Last Name Attr: sn
ID Attr: cn

Associer des attributs utilisateur LDAP à des attributs utilisateur Looker

Vous pouvez éventuellement utiliser les données de vos attributs utilisateur LDAP pour renseigner automatiquement les valeurs des attributs utilisateur Looker lorsqu'un utilisateur se connecte. Par exemple, si vous avez configuré LDAP pour établir des connexions spécifiques à l'utilisateur à votre base de données, vous pouvez associer vos attributs utilisateur LDAP à vos attributs utilisateur Looker pour rendre vos connexions à la base de données spécifiques à l'utilisateur dans Looker.

Notez que l'attribut LDAP doit être un attribut utilisateur, et non un attribut de groupe.

Pour associer des attributs utilisateur LDAP à des attributs utilisateur Looker correspondants:

1. Saisissez le nom de l'attribut utilisateur LDAP dans le champ LDAP User Attribute (Attribut utilisateur LDAP) et le nom de l'attribut utilisateur Looker avec lequel vous souhaitez l'associer dans le champ Looker User Attributes (Attributs utilisateur Looker).
2. Cochez Obligatoire si vous souhaitez exiger une valeur d'attribut LDAP pour autoriser un utilisateur à se connecter.
3. Cliquez sur + et répétez ces étapes pour ajouter d'autres paires d'attributs.

Informations sur l'utilisateur test

1. Saisissez les identifiants d'un utilisateur test, puis cliquez sur le bouton Tester l'authentification des utilisateurs. Looker tente une séquence d'authentification LDAP complète et affiche le résultat. Si l'opération réussit, Looker affiche les informations utilisateur du répertoire, ainsi que des informations de trace sur le processus d'authentification, qui peuvent aider à résoudre les problèmes de configuration.
2. Vérifiez que l'authentification a réussi et que tous les champs sont mappés correctement. Par exemple, vérifiez que le champ first_name ne contient pas de valeur appartenant à last_name.

Remarque :Vous pouvez tester n'importe quel utilisateur de votre système en saisissant uniquement l'ID utilisateur, en omettant le mot de passe utilisateur, puis en cliquant sur Tester les informations utilisateur. Cela permet de tester le mappage, mais pas l'authentification.

Groupes et rôles

Vous pouvez configurer Looker pour créer des groupes qui reflètent vos groupes LDAP gérés en externe, puis attribuer des rôles Looker aux utilisateurs en fonction de leurs groupes LDAP miroirs. Lorsque vous modifiez votre appartenance à un groupe LDAP, ces modifications sont automatiquement propagées dans la configuration du groupe Looker.

La duplication des groupes LDAP vous permet d'utiliser votre annuaire LDAP défini en externe pour gérer les groupes et les utilisateurs Looker. Vous pouvez ainsi gérer votre appartenance à des groupes pour plusieurs outils SaaS (Software as a Service), tels que Looker, au même endroit.

Si vous activez Mirror LDAP Groups (Refléter les groupes LDAP), Looker créera un groupe Looker pour chaque groupe LDAP introduit dans le système. Vous pouvez consulter ces groupes Looker sur la page Groupes de la section Administration de Looker. Les groupes peuvent être utilisés pour attribuer des rôles aux membres du groupe, définir des contrôles d'accès aux contenus et attribuer des attributs utilisateur.

Groupes et rôles par défaut

Par défaut, le bouton Refléter les groupes LDAP est désactivé. Dans ce cas, vous pouvez définir un groupe par défaut pour les nouveaux utilisateurs LDAP. Dans les champs Nouveaux groupes d'utilisateurs et Nouveaux rôles d'utilisateurs, saisissez le nom des groupes ou des rôles Looker auxquels vous souhaitez attribuer de nouveaux utilisateurs Looker lorsqu'ils se connectent pour la première fois à Looker.

Ces groupes et rôles sont appliqués aux nouveaux utilisateurs lors de leur première connexion. Les groupes et les rôles ne sont pas appliqués aux utilisateurs existants, et ils ne sont pas réappliqués s'ils sont supprimés après la connexion initiale des utilisateurs.

Si vous activez ultérieurement les groupes LDAP miroirs, ces valeurs par défaut seront supprimées pour les utilisateurs lors de leur prochaine connexion et remplacées par les rôles attribués dans la section Miroir des groupes LDAP. Ces options par défaut ne seront plus disponibles ni attribuées, et elles seront entièrement remplacées par la configuration des groupes miroirs.

Activer les groupes LDAP miroir

Si vous choisissez de dupliquer vos groupes LDAP dans Looker, activez l'option Dupliquer les groupes LDAP. Looker affiche les paramètres suivants:

Stratégie de recherche de groupes: sélectionnez une option dans le menu déroulant pour indiquer à Looker comment trouver les groupes d'un utilisateur:

• Les groupes ont des attributs de membres: il s'agit de l'option la plus courante. Lorsque vous recherchez un membre d'un groupe, Looker ne renvoie que les groupes auxquels un utilisateur est directement attribué. Par exemple, si un utilisateur est membre du groupe "Database-Admin" et que ce groupe est membre du groupe "Engineering", il ne recevra que les autorisations associées au groupe "Database-Admin".

• Les groupes ont des attributs de membres (recherche approfondie): cette option permet aux groupes d'être membres d'autres groupes, ce qui est parfois appelé groupes imbriqués LDAP. Autrement dit, un utilisateur peut disposer des autorisations de plusieurs groupes. Par exemple, si un utilisateur est membre du groupe "Database-Admin" et que ce groupe est membre du groupe "Engineering", il dispose des autorisations associées à ces deux groupes. Certains serveurs LDAP (en particulier Microsoft Active Directory) permettent d'exécuter automatiquement ce type de recherche approfondie, même lorsque l'appelant effectue ce qui semble être une recherche superficielle. Il s'agit peut-être d'une autre méthode que vous pouvez utiliser pour effectuer une recherche approfondie.

Base DN (Nom distinctif de base) : vous permet d'affiner la recherche. Il peut être identique au Base DN spécifié dans la section User Binding Settings (Paramètres de liaison utilisateur) de cette page de documentation.

Classe(s) d'objets des groupes: ce paramètre est facultatif. Comme indiqué dans la section Paramètres de liaison utilisateur, cela permet de limiter les résultats renvoyés par Looker à un type d'objet ou un ensemble de types particuliers.

Group Member Attr (Attribut de membre du groupe) : attribut qui, pour chaque groupe, détermine les objets (dans ce cas, probablement les personnes) qui en sont membres.

Group User Attr (Attribut utilisateur du groupe) : nom de l'attribut utilisateur LDAP dont nous rechercherons la valeur dans les entrées de groupe pour déterminer si un utilisateur fait partie du groupe. La valeur par défaut est dn (laisser ce champ vide revient à définir la valeur sur dn). LDAP utilisera alors le nom distinctif complet, qui correspond à la chaîne exacte sensible à la casse qui existerait dans la recherche LDAP elle-même, pour rechercher des entrées de groupe.

Nom/Rôles/Nom distinctif du groupe préféré: cet ensemble de champs vous permet d'attribuer un nom de groupe personnalisé et un ou plusieurs rôles au groupe LDAP correspondant dans Looker.

1. Saisissez le DN du groupe LDAP dans le champ DN du groupe. Il doit inclure le nom distinctif complet, qui est la chaîne exacte sensible à la casse qui existerait dans la recherche LDAP elle-même. Les utilisateurs LDAP inclus dans le groupe LDAP seront ajoutés au groupe dupliqué dans Looker.

2. Saisissez un nom personnalisé pour le groupe dupliqué dans le champ Custom Name (Nom personnalisé). Il s'agit du nom qui s'affichera sur la page Groupes de la section Administration de Looker.

3. Dans le champ à droite du champ Nom personnalisé, sélectionnez un ou plusieurs rôles Looker qui seront attribués à chaque utilisateur du groupe.

4. Cliquez sur + pour ajouter des ensembles de champs afin de configurer d'autres groupes miroirs. Si vous avez configuré plusieurs groupes et que vous souhaitez supprimer la configuration d'un groupe, cliquez sur X à côté de l'ensemble de champs de ce groupe.

Si vous modifiez un groupe miroir précédemment configuré dans cet écran, sa configuration changera, mais le groupe lui-même restera intact. Par exemple, vous pouvez modifier le nom personnalisé d'un groupe, ce qui changera son apparence sur la page Groupes de Looker, mais pas les rôles attribués ni les membres du groupe. Si vous modifiez le DN de groupe, le nom et les rôles du groupe resteront inchangés, mais les membres du groupe seront réaffectés en fonction des utilisateurs qui sont membres du groupe LDAP externe qui possède le nouveau DN de groupe LDAP.

Si vous supprimez un groupe de cette page, il ne sera plus dupliqué dans Looker, et les rôles qui lui étaient attribués dans Looker ne seront plus attribués à ses membres via ce groupe.

Toutes les modifications apportées à un groupe miroir seront appliquées aux utilisateurs de ce groupe lors de leur prochaine connexion à Looker.

Gestion avancée des rôles

Si vous avez activé le bouton Refléter les groupes LDAP, Looker affiche ces paramètres. Les options de cette section déterminent le niveau de flexibilité des administrateurs Looker lors de la configuration des groupes et des utilisateurs Looker clonés à partir de Looker.

Par exemple, si vous souhaitez que la configuration de votre groupe Looker et de vos utilisateurs corresponde strictement à votre configuration LDAP, activez ces options. Lorsque les trois premières options sont activées, les administrateurs Looker ne peuvent pas modifier l'appartenance aux groupes miroirs et ne peuvent attribuer des rôles aux utilisateurs que via des groupes miroirs LDAP.

Si vous souhaitez avoir plus de flexibilité pour personnaliser davantage vos groupes dans Looker, désactivez ces options. Vos groupes Looker continueront de refléter votre configuration LDAP, mais vous pourrez gérer davantage de groupes et d'utilisateurs dans Looker, par exemple en ajoutant des utilisateurs LDAP à des groupes Looker ou en attribuant des rôles Looker directement à des utilisateurs LDAP.

Pour les nouvelles instances Looker ou les instances Looker qui ne disposent pas de groupes miroirs configurés précédemment, ces options sont désactivées par défaut.

Pour les instances Looker existantes qui ont configuré des groupes en miroir, ces options sont activées par défaut.

Remarque :Si vous activez des paramètres plus restrictifs, les utilisateurs perdront leur appartenance à un groupe ou les rôles qui leur ont été attribués directement dans Looker. Cela se produit la prochaine fois que ces utilisateurs se connectent à Looker.

La section Gestion avancée des rôles contient les options suivantes:

Empêcher les utilisateurs LDAP individuels de recevoir des rôles directs: si vous activez cette option, les administrateurs Looker ne pourront plus attribuer des rôles Looker directement aux utilisateurs LDAP. Les utilisateurs LDAP ne recevront des rôles que via les groupes dont ils sont membres. Si les utilisateurs LDAP sont autorisés à faire partie de groupes Looker intégrés (non clonés), ils peuvent toujours hériter de leurs rôles à la fois des groupes LDAP clonés et des groupes Looker intégrés. Les rôles attribués directement aux utilisateurs LDAP seront supprimés lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent attribuer des rôles Looker directement aux utilisateurs LDAP comme s'il s'agissait d'utilisateurs configurés directement dans Looker.

Empêcher l'adhésion directe à des groupes autres que LDAP: si vous activez cette option, les administrateurs Looker ne pourront plus ajouter d'utilisateurs LDAP directement à des groupes Looker intégrés. Si les groupes LDAP miroirs sont autorisés à être membres de groupes Looker intégrés, les utilisateurs LDAP peuvent conserver leur appartenance à tous les groupes Looker parent. Tous les utilisateurs LDAP qui étaient auparavant affectés à des groupes Looker intégrés seront supprimés de ces groupes lors de leur prochaine connexion.

Si cette option est désactivée, les administrateurs Looker peuvent ajouter des utilisateurs LDAP directement à des groupes Looker intégrés.

Empêcher l'héritage de rôles à partir de groupes non LDAP: si vous activez cette option, les membres des groupes LDAP miroirs ne peuvent pas hériter de rôles à partir de groupes Looker intégrés. Tous les utilisateurs LDAP qui héritaient auparavant de rôles d'un groupe Looker parent perdront ces rôles lors de leur prochaine connexion.

Si cette option est désactivée, les groupes LDAP ou les utilisateurs LDAP miroirs ajoutés en tant que membres d'un groupe Looker intégré hériteront des rôles attribués au groupe Looker parent.

Authentification nécessitant un rôle: si cette option est activée, un rôle doit être attribué aux utilisateurs LDAP. Les utilisateurs LDAP auxquels aucun rôle n'est attribué ne pourront pas se connecter à Looker.

Si cette option est désactivée, les utilisateurs LDAP peuvent s'authentifier auprès de Looker même s'ils n'ont aucun rôle attribué. Un utilisateur sans rôle attribué ne pourra voir aucune donnée ni effectuer aucune action dans Looker, mais pourra se connecter à Looker.

Désactiver les groupes LDAP miroirs

Si vous ne souhaitez plus du tout dupliquer vos groupes LDAP dans Looker, désactivez l'option Dupliquer les groupes LDAP. Tous les groupes LDAP miroirs vides seront supprimés.

Les groupes LDAP miroir non vides resteront disponibles pour la gestion de contenu et la création de rôles. Toutefois, vous ne pouvez pas ajouter ni supprimer d'utilisateurs dans des groupes LDAP miroirs.

Options de migration et d'intégration

Important :Looker vous recommande d'activer les deux options de migration et d'intégration.

Connexion alternative pour les administrateurs et les utilisateurs spécifiés

• Autorisez une autre adresse e-mail de connexion pour les administrateurs et les utilisateurs disposant de l'autorisation login_special_email (pour en savoir plus sur la configuration de cette autorisation, consultez la documentation sur les rôles). Cette option s'affiche sur la page de connexion de Looker si vous l'avez activée et que l'utilisateur dispose de l'autorisation appropriée.
• Cette option est utile en cas de problème de configuration LDAP ultérieur ou si vous devez prendre en charge certains utilisateurs qui ne figurent pas dans votre annuaire LDAP.
• Les connexions par e-mail et mot de passe Looker sont toujours désactivées pour les utilisateurs standards lorsque LDAP est activé.

Remarque :Si un utilisateur s'est authentifié à l'instance Looker uniquement à l'aide de LDAP, vous ne pouvez activer une autre méthode de connexion qu'à l'aide de l'API Looker. Pour savoir comment activer une autre méthode de connexion à l'aide de l'API Looker, consultez la page de documentation Activer l'option de connexion alternative.

Fusionner par e-mail

• Cette option permet à Looker de fusionner les utilisateurs LDAP pour la première fois avec leurs comptes Looker existants, en fonction de leur adresse e-mail.
• Si Looker ne trouve pas d'adresse e-mail correspondante, un nouveau compte sera créé pour l'utilisateur.

Enregistrer et appliquer les paramètres

Important :Veillez à tester minutieusement vos paramètres avant de les confirmer. Nous vous recommandons également d'activer l'option de connexion alternative jusqu'à ce que vous ayez vérifié que ces paramètres fonctionnent comme prévu. Sinon, vous risquez de vous verrouiller vous-même et d'autres utilisateurs de Looker.

Une fois que vous avez saisi vos informations et que tous les tests sont réussis, cochez la case J'ai confirmé la configuration ci-dessus et je souhaite l'appliquer globalement, puis cliquez sur Mettre à jour les paramètres pour enregistrer.