Looker fournit l'authentification à deux facteurs (2FA) en tant que couche de sécurité supplémentaire pour protéger les données accessibles via Looker. Lorsque la validation en deux étapes est activée, chaque utilisateur qui se connecte doit s'authentifier à l'aide d'un code à usage unique généré par son appareil mobile. Il n'est pas possible d'activer l'authentification à deux facteurs pour un sous-ensemble d'utilisateurs.
La page Authentification à deux facteurs de la section Authentification du menu Administration vous permet d'activer et de configurer l'authentification à deux facteurs.
Utiliser l'authentification à deux facteurs
Voici un aperçu du workflow de haut niveau pour configurer et utiliser l'authentification à deux facteurs. Veuillez noter les exigences de synchronisation de l'horloge, qui sont nécessaires au bon fonctionnement de l'authentification à deux facteurs.
L'administrateur active l'authentification à deux facteurs dans les paramètres d'administration de Looker.
Lorsque vous activez l'authentification 2FA, tous les utilisateurs connectés à Looker sont déconnectés et doivent se reconnecter à l'aide de l'authentification 2FA.
Les utilisateurs individuels installent l'application iPhone ou l'application Android Google Authenticator sur leur appareil mobile.
Lors de la première connexion, un utilisateur voit une image de code QR s'afficher sur l'écran de son ordinateur. Il doit la scanner avec son téléphone à l'aide de l'application Google Authenticator.
Si l'utilisateur ne peut pas scanner de code QR avec son téléphone, il peut également générer un code texte qu'il peut saisir sur son téléphone.
Une fois cette étape terminée, les utilisateurs pourront générer des clés d'authentification pour Looker.
Lors des connexions ultérieures à Looker, l'utilisateur devra saisir une clé d'authentification après avoir saisi son nom d'utilisateur et son mot de passe.
Si un utilisateur active l'option Cet ordinateur est approuvé, la clé authentifie le navigateur de connexion pendant une période de 30 jours. Pendant cette période, l'utilisateur peut se connecter avec son nom d'utilisateur et son mot de passe uniquement. Tous les 30 jours, Looker demande à chaque utilisateur de réauthentifier le navigateur avec Google Authenticator.
Conditions requises pour la synchronisation horaire
Google Authenticator génère des jetons basés sur le temps, qui nécessitent une synchronisation temporelle entre le serveur Looker et chaque appareil mobile pour fonctionner. Si le serveur Looker et un appareil mobile ne sont pas synchronisés, l'utilisateur de l'appareil mobile ne pourra peut-être pas s'authentifier avec l'authentification à deux facteurs. Pour synchroniser les sources de temps:
- Configurez les appareils mobiles pour qu'ils synchronisent automatiquement l'heure avec le réseau.
- Pour les déploiements de Looker hébergés par un client, assurez-vous que NTP est en cours d'exécution et configuré sur le serveur. Si le serveur est provisionné sur AWS, vous devrez peut-être autoriser explicitement NTP dans la LCA réseau AWS.
- Un administrateur Looker peut définir la dérive temporelle maximale autorisée dans le panneau Admin de Looker. Cette valeur définit la différence autorisée entre le serveur et les appareils mobiles. Si le paramètre de l'heure d'un appareil mobile est décalé de plus que la dérive autorisée, les clés d'authentification ne fonctionneront pas. La valeur par défaut est de 90 secondes.
Réinitialiser l'authentification à deux facteurs
Si un utilisateur doit réinitialiser l'authentification à deux facteurs (par exemple, s'il a un nouvel appareil mobile):
- Sur la page Utilisateurs de la section Administration de Looker, cliquez sur Modifier à droite de la ligne de l'utilisateur pour modifier les informations de son compte.
- Dans la section Secret à deux facteurs, cliquez sur Réinitialiser. Looker invite alors l'utilisateur à scanner à nouveau un code QR avec l'application Google Authenticator lors de la tentative suivante de connexion à l'instance Looker.
Remarques
Lorsque vous configurez l'authentification à deux facteurs, tenez compte des points suivants:
- L'authentification à deux facteurs n'a aucune incidence sur l'utilisation de l'API Looker.
- L'authentification à deux facteurs n'a aucune incidence sur l'authentification via des systèmes externes tels que LDAP, SAML, Google OAuth ou OpenID Connect. L'authentification 2FA affecte les identifiants de connexion alternatifs utilisés avec ces systèmes.