Looker bietet die Zwei-Faktor-Authentifizierung (2FA) als zusätzliche Sicherheitsebene zum Schutz von Daten, auf die über Looker zugegriffen werden kann. Wenn die Bestätigung in zwei Schritten aktiviert ist, muss sich jeder Nutzer, der sich anmeldet, mit einem Einmalcode authentifizieren, der von seinem Mobilgerät generiert wird. Es gibt keine Möglichkeit, die Bestätigung in zwei Schritten für eine Teilmenge von Nutzern zu aktivieren.
Auf der Seite Zwei-Faktor-Authentifizierung im Abschnitt Authentifizierung des Menüs Verwaltung können Sie die 2FA aktivieren und konfigurieren.
2-Faktor-Authentifizierung verwenden
Im Folgenden wird der allgemeine Workflow zum Einrichten und Verwenden der Bestätigung in zwei Schritten beschrieben. Beachten Sie die Anforderungen an die Zeitsynchronisierung, die für die korrekte Funktion der Bestätigung in zwei Schritten erforderlich sind.
Der Administrator aktiviert die Bestätigung in zwei Schritten in den Administratoreinstellungen von Looker.
Wenn Sie die Bestätigung in zwei Schritten aktivieren, werden alle Nutzer, die in Looker angemeldet sind, abgemeldet und müssen sich mit der Bestätigung in zwei Schritten wieder anmelden.
Einzelnutzer installieren die Google Authenticator App für iPhones oder die Google Authenticator App für Android auf ihren Mobilgeräten.
Bei der ersten Anmeldung wird dem Nutzer ein Bild mit einem QR-Code auf dem Computerbildschirm angezeigt, den er mit seinem Smartphone über die Google Authenticator App scannen muss.
Wenn der Nutzer keinen QR-Code mit seinem Smartphone scannen kann, kann er auch einen Textcode generieren, den er auf seinem Smartphone eingeben kann.
Danach können die Nutzer Authentifizierungsschlüssel für Looker generieren.
Bei nachfolgenden Anmeldungen in Looker muss der Nutzer nach dem Einreichen seines Nutzernamens und Passworts einen Authentifizierungsschlüssel eingeben.
Wenn ein Nutzer die Option Dies ist ein vertrauenswürdiger Computer aktiviert, authentifiziert der Schlüssel den Anmeldebrowser für einen Zeitraum von 30 Tagen. Während dieses Zeitraums kann sich der Nutzer nur mit Nutzernamen und Passwort anmelden. Alle 30 Tage muss sich jeder Nutzer in Looker mit Google Authenticator noch einmal authentifizieren.
Anforderungen an die Zeitsynchronisierung
Google Authenticator generiert zeitbasierte Tokens, für die eine Zeitsynchronisierung zwischen dem Looker-Server und jedem Mobilgerät erforderlich ist, damit die Tokens funktionieren. Wenn der Looker-Server und ein Mobilgerät nicht synchronisiert sind, kann der Nutzer des Mobilgeräts sich nicht mit der 2-Faktor-Authentifizierung authentifizieren. So synchronisieren Sie Zeitquellen:
- Richten Sie Mobilgeräte für die automatische Zeitsynchronisierung mit dem Netzwerk ein.
- Bei von Kunden gehosteten Looker-Bereitstellungen muss NTP auf dem Server ausgeführt und konfiguriert sein. Wenn der Server in AWS bereitgestellt wird, müssen Sie NTP möglicherweise in der AWS-Netzwerk-ACL explizit zulassen.
- Ein Looker-Administrator kann die maximal zulässige Zeitabweichung im Looker-Admin-Steuerfeld festlegen. Damit wird definiert, wie groß die Abweichung zwischen dem Server und Mobilgeräten sein darf. Wenn die Uhrzeit eines Mobilgeräts um mehr als die zulässige Abweichung abweicht, funktionieren Authentifizierungsschlüssel nicht. Der Standardwert beträgt 90 Sekunden.
2-Faktor-Authentifizierung zurücksetzen
Wenn ein Nutzer die Bestätigung in zwei Schritten zurücksetzen muss (z. B. wenn er ein neues Mobilgerät hat):
- Klicken Sie in Looker auf der Seite Nutzer im Bereich Verwaltung rechts neben dem Nutzer auf Bearbeiten, um die Kontoinformationen des Nutzers zu bearbeiten.
- Klicken Sie im Bereich Zwei-Faktor-Authentifizierung auf Zurücksetzen. Dadurch werden Nutzer in Looker aufgefordert, einen neuen QR-Code mit der Google Authenticator-App zu scannen, wenn sie sich das nächste Mal bei der Looker-Instanz anmelden.
Hinweise
Beachten Sie beim Konfigurieren der Bestätigung in zwei Schritten Folgendes:
- Die 2-Faktor-Authentifizierung hat keine Auswirkungen auf die Verwendung der Looker API.
- Die Zwei-Faktor-Authentifizierung hat keine Auswirkungen auf die Authentifizierung über externe Systeme wie LDAP, SAML, Google OAuth oder OpenID Connect. Die Bestätigung in zwei Schritten wirkt sich auf alle alternativen Anmeldedaten aus, die mit diesen Systemen verwendet werden.