הגדרות אדמין – אימות Google

הדף Google Authentication בקטע Authentication בתפריט Admin מאפשר להגדיר את Google OAuth בצד של Looker.

סקירה כללית של התכונות

Looker יכול לבצע אימות באמצעות Google OAuth למשתמשים שיש להם חשבונות שרשומים ב-Google Workspace.

  • ארגונים שמשתמשים ב-Google Workspace יכולים לאמת משתמשי Looker שיש להם חשבונות Google.
  • המשתמשים נכנסים ל-Looker באמצעות אימות עם חשבון Google שלהם.
  • חשבונות Google חדשים מקבלים גישה ל-Looker באופן אוטומטי. אין צורך להזמין משתמשים ל-Looker בנפרד. אתם מגדירים את תפקיד ברירת המחדל למשתמשים חדשים, שיכול להגביל את הגישה שלהם לפונקציונליות ולנתונים.
  • ארגונים יכולים להגדיר סנכרון עם קבוצות Google כדי להקצות באופן אוטומטי תפקידים וקבוצות ב-Looker על סמך החברות בקבוצות Google.
  • כשהאפשרות הזו מופעלת, Looker מאמת משתמשים רק באמצעות Google OAuth, אלא אם האפשרות "התחברות חלופית" נבחרה (ראו את הקטע הבא בנושא הפעלת התחברות באמצעות אימייל כשאימות Google מופעל).
  • הדמות של המשתמש ב-Google מופיעה בסרגל הניווט במקום סמל המשתמש הרגיל.
  • כשמפעילים את Google OAuth, המכונה של Looker יכולה למזג חשבונות משתמשים קיימים עם הדומיין שרשום ב-Google, אבל רק חשבונות שכתובת האימייל שלהם תואמת לדומיין. כל שאר החשבונות שאינם חשבונות אדמין יאבדו את היכולת להיכנס.
  • כל המשתמשים בדומיין שצוין מקבלים גישה למכונה של Looker.
  • כברירת מחדל, משתמשי Google חדשים מקבלים גישה בסיסית לרשימה מסוימת של מודלים (שיכולה גם להיות גישה לאפס מודלים). אחרי יצירת החשבון, אדמין יכול לעדכן את ההרשאות.
  • בחשבונות Looker חדשים שמאומתים באמצעות Google OAuth, אי אפשר לעבור לאימות באמצעות סיסמה, גם אם OAuth מושבת במכונה של Looker.

דרישות מקדימות

כדי להשתמש ב-Google OAuth, צריך:

כדי להשתמש בסנכרון קבוצות Google, צריך לעמוד בדרישות הנוספות הבאות:

  • בפרויקט ב- Google Cloud שכולל את לקוח ה-OAuth, צריך להפעיל את Cloud Identity API (cloudidentity.googleapis.com).
  • במכונות של Looker באירוח בצד הלקוח, למארח המכונה צריכה להיות גישה לאינטרנט דרך HTTPS (cloudidentity.googleapis.com:443).
  • למשתמשים צריכה להיות ההרשאה VIEW_MEMBERSHIP בקבוצות Google שהם שייכים אליהן. בהגדרות של קבוצות Google, מגדירים את השדה מי יכול לראות את רשימת החברים לאפשרות חברי הקבוצה.
  • סנכרון קבוצות Google לא נתמך במכונות של Looker שנמצאות במצב תואם FIPS.

הפעלת אימות באמצעות Google OAuth

כדי להפעיל אימות באמצעות Google OAuth, אדמין צריך לבצע שלבים גם בצד של Google וגם בצד של Looker, כפי שמתואר בקטעים הבאים.

הגדרה בצד של Google

בקטע הזה מוסבר איך להפעיל את Google OAuth בצד של Google. התיאור הכללי של השלבים האלה מופיע בדף התמיכה של Google בנושא הגדרת OAuth 2.0. אפשר גם לעיין במסמכי העזרה שלGoogle Cloud Console.

  1. נכנסים לGoogle Cloud מסוף.

  2. לוחצים על החץ למטה בתפריט הנפתח בחירת פרויקט. יכול להיות שבתפריט הנפתח יופיע שם של פרויקט קיים. בכל מקרה, לוחצים על החץ למטה כדי לעבור לאפשרות של יצירת פרויקט חדש.

  3. בדף Select a project, לוחצים על New Project.

    הדף New Project מופיע במסוף Google Cloud .

  4. ממלאים את הפרטים בדף New Project ולוחצים על Create.

    בסיום יצירת הפרויקט החדש במסוף Google Cloud , Google תחזיר אתכם למסוף Google Cloud ותציג את הפרויקט החדש.

  5. אופציונלי: אם אתם מתכננים להשתמש בסנכרון קבוצות Google, הפעילו את Cloud Identity API בפרויקט ב- Google Cloud . אחרי שמפעילים את ה-API הזה, ההיקף https://www.googleapis.com/auth/cloud-identity.groups.readonly מופיע כשמגדירים את מסך ההסכמה ל-OAuth. כדי להפעיל ממשקי API, צריך להיות לכם התפקיד אדמין של שימוש בשירות (roles/serviceusage.serviceUsageAdmin) בניהול זהויות והרשאות גישה (IAM).

    הפעלת ה-API

  6. בתפריט הימני, לוחצים על APIs & Services > Credentials.

  7. בדף Credentials, לוחצים על הכפתור Create credentials ובוחרים באפשרות מזהה לקוח OAuth בתפריט הנפתח.

    במסוף Google Cloud מוצג הדף יצירת מזהה לקוח OAuth.

  8. במסוף Google Cloud צריך להגדיר מסך הסכמה ל-OAuth, שמאפשר למשתמשים לבחור איך לתת גישה למידע הפרטי שלהם, ומספק קישור לתנאים ולהגבלות ולמדיניות הפרטיות של הארגון. לוחצים על Configure consent screen. (אם הגדרתם הסכמה ל-OAuth בפרויקט קודם, האפשרות הזו לא תופיע ותוכלו לדלג לשלב 13).

    במסוף Google Cloud מופיע הדף מסך הסכמה ל-OAuth.

  9. בשדה Authorized domains, מזינים את הדומיין של המכונה של Looker. לדוגמה, אם המכונה שלכם מתארחת ב-Looker בכתובת https://mycompany.looker.com, הדומיין הוא looker.com. בפריסות של Looker באירוח בצד הלקוח, מזינים את הדומיין שבו מארחים את Looker.

  10. מגדירים את מסך ההסכמה ל-OAuth ולוחצים על שמירה והמשך.

  11. בדף Scopes, מגדירים את ההיקפים באופן הבא:

    • אם אתם מתכננים להשתמש בסנכרון קבוצות Google, לחצו על הוספה או הסרה של היקפי הרשאות. מוצאים את ההיקף https://www.googleapis.com/auth/cloud-identity.groups.readonly, מסמנים את התיבה שלצידו ולוחצים על עדכון. אם ההיקף הזה לא מופיע, צריך לוודא שהפעלתם את Cloud Identity API בפרויקט ב-Google Cloud .
    • אם אתם לא מתכננים להשתמש בסנכרון של קבוצות Google, אתם לא צריכים להגדיר היקף נוסף.

    לוחצים על שמירה והמשך.

  12. בדף Summary, לוחצים על Back to Dashboard.

    במסוף Google Cloud חוזרים לדף Create OAuth client ID.

  13. בקטע Application type, בוחרים באפשרות Web application.

  14. בשדה Name, מזינים שם למזהה הלקוח ב-OAuth.

  15. בשדה Authorized JavaScript origins, מזינים את כתובת ה-URL של המכונה של Looker, כולל https://. לדוגמה:

    • אם המכונה מתארחת ב-Looker: ‏https://mycompany.looker.com
    • אם יש לכם מכונה של Looker שמתארחת בצד הלקוח: https://looker.mycompany.com
    • אם המכונה של Looker דורשת מספר יציאה: https://looker.mycompany.com:9999

  16. בשדה Authorized redirect URIs, מזינים את כתובת ה-URL של המכונה של Looker, ואחריה את /oauth2callback. לדוגמה: https://mycompany.looker.com/oauth2callback או https://looker.mycompany.com:9999/oauth2callback.

  17. לוחצים על יצירה.

  18. מעתיקים את הערכים של מזהה הלקוח וסוד הלקוח – תצטרכו אותם כדי להגדיר את Looker.

הגדרה בצד של Looker

כדי להפעיל את Google OAuth ב-Looker, פועלים לפי השלבים הבאים.

  1. באפליקציית Looker, כשהאדמין מחובר, לוחצים על התפריט הנפתח Admin כדי לפתוח את התפריט Admin.

  2. בקטע Authentication, לוחצים על Google. ‫Looker מציג את הדף Google Authentication.

  3. לוחצים על מופעל כדי להציג ולערוך את הגדרות Google OAuth. (הפעולה הזו לא מפעילה מיד את האימות של Google. צריך לאשר את הבחירה מאוחר יותר).

  4. מזינים את ההגדרות של Google Auth.

    • מזהה לקוח וסוד לקוח – מעתיקים ומדביקים את הערכים האלה מהדף לקוח OAuth של Google, כמו שמוסבר בהוראות הקודמות להגדרה ב-Google.
    • דומיינים – שמות הדומיינים של הארגון שמנוהלים על ידי Google. כל משתמש Google בדומיין הנתון יכול להיכנס למכונה של Looker. אם אתם מנהלים כמה דומיינים של Google, אתם יכולים להזין אותם ולהפריד ביניהם באמצעות פסיקים.

  5. מזינים את Migration Options, שקובעות את ההתנהגות של המכונה של Looker במהלך המעבר ל-Google OAuth.

    • התחברות חלופית לאדמינים ולמשתמשים ספציפיים – מאפשרת לאדמינים ולמשתמשים ספציפיים להמשיך להתחבר באמצעות כתובת אימייל וסיסמה. ההגדרה הזו מאפשרת שיטת גיבוי קריטית כדי למנוע נעילה מוחלטת אם Google Cloud הפרויקט שמארח את לקוח OAuth של Looker נמחק או מושבת (מה שיכול לגרום לשגיאה ‎401 deleted_client גם אחרי שחזור הפרויקט), או אם Google OAuth נכשל מסיבות אחרות. מומלץ מאוד להשתמש בהגדרה הזו, והיא מתוארת בפירוט במאמר הפעלת התחברות באמצעות אימייל כשאימות Google מופעל.
    • מיזוג משתמשים באמצעות – המרת משתמשים קיימים שיש להם כתובות אימייל בדומיינים שצוינו, כך שישתמשו ב-Google OAuth בכניסה הבאה שלהם (למשל אימייל/סיסמה של Looker). מומלץ להשתמש בהגדרה הזו.
    • תפקידים למשתמשים חדשים – מציינים את הפונקציונליות ואת הגישה למודלים שיש למשתמשים חדשים שאין להם הרשאת אדמין. אפשר לעדכן את הרשימה הזו מאוחר יותר. אם משאירים את השדה הזה ריק, למשתמשים חדשים שמאומתים באמצעות Google תהיה פונקציונליות מוגבלת בפלטפורמת Looker עד שאדמין יוסיף תפקיד לחשבון שלהם. כל המשתמשים בדומיין של Google יוכלו להיכנס ל-Looker, לכן כדאי להגדיר תפקיד ברירת מחדל למשתמשים חדשים שמגביל את הגישה בצורה מתאימה.

  6. מגדירים את Groups & Roles (קבוצות ותפקידים) כדי לשקף את קבוצות Google בקבוצות Looker ולהקצות תפקידים באופן אוטומטי:

    אם יש לכם קבוצות Google מנוהלות, Looker יכול ליצור קבוצות Looker שמשקפות את החברות בקבוצות Google שלכם. המשמעות היא שאתם לא צריכים להגדיר משתמשים ב-Looker באופן ישיר, אלא יכולים לנהל את הגישה של המשתמשים על ידי ניהול החברות בקבוצות Google. בנוסף, אתם יכולים להשתמש בקבוצות ב-Looker כדי להקצות תפקידים לחברי הקבוצה, להגדיר בקרת גישה לתוכן, לשלוט בגישה לתכונות ולנתונים ולהקצות מאפייני משתמשים.

    כדי שסנכרון הקבוצות יפעל כמו שצריך, למשתמשים צריכה להיות הרשאת VIEW_MEMBERSHIP בקבוצות Google שהם שייכים אליהן. ההרשאה הזו מאפשרת ל-Looker לבדוק את החברויות שלהם בקבוצות בזמן הכניסה. כדי לתת את ההרשאה הזו בהגדרות של קבוצות Google, צריך להגדיר את השדה מי יכול לראות את רשימת החברים לערך חברי הקבוצה.

    כדי להפעיל סנכרון קבוצות, מבצעים את השלבים הבאים:

    1. מפעילים את המתג סנכרון קבוצות Google.
    2. לוחצים על ניהול קבוצות כדי לפתוח את הגדרת מיפוי הקבוצות.
    3. ממלאים את השדות הבאים לכל קבוצה ב-Google שרוצים לסנכרן:

    Looker יוצרת קבוצה אחת ב-Looker לכל קבוצה ב-Google שאתם מוסיפים להגדרות. אפשר לראות את הקבוצות האלה בדף Groups ב-Looker.

    ‫Looker מחיל את הקבוצות המשוכפלות של Looker (וכל התפקידים והגישה המשויכים) כשהמשתמשים נכנסים למכונה של Looker. שינויים בחברויות בקבוצות ב-Google Groups מתעדכנים בכל פעם שמשתמש מתחבר.

שיקוף של קבוצות Google

אחרי שמגדירים סנכרון של קבוצות Google, אפשר לערוך או להשבית את הקבוצות המסונכרנות, ולהגדיר אפשרויות מתקדמות לניהול תפקידים, כמו שמתואר בקטעים הבאים.

עריכת קבוצות מסונכרנות

כשאתם מבצעים שינויים בחברות בקבוצה ב-Google, השינויים האלה מועברים באופן אוטומטי לחברות בקבוצת Looker המקבילה, ומאומתים בפעם הבאה שכל משתמש מתחבר.

אם עורכים את שם הקבוצה ב-Looker או את התפקיד שהוקצה לקבוצה בדף אימות Google, השינוי משפיע על האופן שבו הקבוצה המועתקת מופיעה בדף קבוצות או על התפקידים שהוקצו לקבוצה, אבל לא משנה את חברי הקבוצה.

אם משנים את השם או את כתובת האימייל בשדה Google Group ID למזהה חדש של קבוצה ב-Google, החברים בקבוצה המקבילה ב-Looker משתנים לחברים בקבוצה החדשה ב-Google, אבל השם והתפקידים של הקבוצה שמוגדרים בדף Google Authentication נשארים ללא שינוי.

‫Looker מחיל את כל השינויים שאתם מבצעים בקבוצה משוכפלת על המשתמשים בקבוצה הזו בפעם הבאה שהם נכנסים ל-Looker.

השבתת קבוצות משוכפלות

אם רוצים להפסיק את הסנכרון של קבוצות Google ב-Looker, משביתים את המתג סנכרון קבוצות Google בדף אימות באמצעות חשבון Google. אם משביתים את המתג, זה מה שקורה:

  • כל קבוצה ב-Google מסונכרנת שאין בה משתמשים נמחקת באופן מיידי.
  • כל קבוצה ב-Google שמשקפת קבוצה ב-Active Directory ומכילה משתמשים מסומנת כקבוצה ללא הורה. אי אפשר יותר להוסיף משתמשים לקבוצות מיותמות או להסיר אותם מהן. אם אף משתמש מקבוצה מיותמת לא מתחבר תוך 31 ימים, הקבוצה נמחקת.

ניהול תפקידים מתקדם

אם המתג סנכרון קבוצות Google מופעל, בקטע ניהול תפקידים מתקדם מוצגות אפשרויות שקובעות את מידת ההקפדה שבה אדמינים ב-Looker יכולים להגדיר קבוצות ומשתמשים ב-Looker שסונכרנו מ-Google.

אם אתם רוצים שהגדרות הקבוצות והמשתמשים ב-Looker יהיו זהות להגדרות בקבוצות Google, בחרו את כל האפשרויות של ניהול תפקידים מתקדם. כשהאפשרויות האלה מופעלות, אדמינים ב-Looker לא יכולים לשנות ישירות את החברויות בקבוצות המועתקות, והם יכולים להקצות תפקידים למשתמשים רק דרך קבוצות Google.

אם אתם רוצים יותר גמישות בהתאמה אישית של קבוצות ב-Looker, אל תסמנו את האפשרויות האלה. הקבוצות ב-Looker עדיין ישקפו את ההגדרות של קבוצות Google, אבל תוכלו לבצע פעולות נוספות של ניהול קבוצות ומשתמשים ב-Looker, כמו הוספת משתמשי Google לקבוצות מובנות ב-Looker או הקצאת תפקידים ישירות למשתמשי Google.

בקטע ניהול תפקידים מתקדם יש את האפשרויות הבאות:

  • מניעת הקצאה של תפקידים ישירים למשתמשי Google ספציפיים: הפעלת האפשרות הזו מונעת מאדמינים ב-Looker להקצות תפקידים ב-Looker ישירות למשתמשי Google. משתמשי Google מקבלים תפקידים רק דרך החברויות שלהם בקבוצות. אם משתמשי Google יכולים להיות חברים בקבוצות מובנות (לא מסונכרנות) של Looker, הם עדיין יכולים לקבל בירושה תפקידים גם מקבוצות Google מסונכרנות וגם מקבוצות מובנות של Looker. אם יש משתמשי Google שהוקצו להם תפקידים ישירות, התפקידים האלה יוסרו בפעם הבאה שהם יתחברו.

  • מניעת חברות ישירה בקבוצות שאינן של Google: האפשרות הזו מונעת מאדמינים ב-Looker להוסיף חברים בקבוצות משוכפלות ישירות לקבוצות מובנות ב-Looker שלא נכללות בהגדרת הקבוצה המשוכפלת בדף אימות Google.

    אם האפשרות הזו נבחרת, כל משתמשי Google שהוקצו בעבר לקבוצות מובנות של Looker יוסרו מהקבוצות האלה בפעם הבאה שהם יתחברו.

    אם האפשרות הזו לא מסומנת, אדמינים ב-Looker יכולים להוסיף משתמשי Google ישירות לקבוצות מובנות ב-Looker.

  • מניעת ירושה של תפקידים מקבוצות שאינן של Google: האפשרות הזו מונעת מחברים בקבוצות משוכפלות לרשת תפקידים מקבוצות מובנות של Looker. אם קבוצות Google מסונכרנות יכולות להיות חברות בקבוצות מובנות של Looker, משתמשי Google יכולים להישאר חברים בקבוצות מובנות של Looker, אבל כל משתמשי Google שירשו בעבר תפקידים מקבוצה מובנית יאבדו את התפקידים האלה בכניסה הבאה שלהם.

    אם האפשרות הזו לא מסומנת, קבוצות משתקפות או משתמשי Google שנוספו כחברים בקבוצה מובנית של Looker יקבלו בירושה את התפקידים שהוקצו לקבוצה המובנית הזו.

  • Auth Requires Role: אם האפשרות הזו מופעלת, למשתמשי Google צריך להיות תפקיד מוקצה ב-Looker. אם האפשרות הזו מופעלת, Looker דורש שלמשתמשי Google יוקצה תפקיד ב-Looker כדי להיכנס ל-Looker.

    אם האפשרות הזו לא מסומנת, משתמשי Google יכולים לאמת את הזהות שלהם ב-Looker גם אם לא הוקצה להם תפקיד. משתמש שלא הוקצה לו תפקיד לא יוכל לראות נתונים או לבצע פעולות ב-Looker, אבל הוא יוכל להיכנס לחשבון.

אימות משתמשים לבדיקה

  1. לוחצים על Test Google Authentication כדי להשתמש בהגדרות הנוכחיות ולנסות לאמת את הדפדפן הנוכחי בחלון חדש. הפעולה הזו לא שומרת את ההגדרות הנוכחיות ולא מחילה אותן על המכונה של Looker.

    אם אתם לא מחוברים ל-Google, תתבקשו להיכנס לחשבון ולאשר את השימוש בפרטי החשבון שלכם ב-Google. בתהליך הזה משתמשים בהגדרות המותאמות אישית של מסך ההסכמה שבהן השתמשתם בהגדרה בצד של Google.

    אם הבדיקה תצליח, יוצג הקטע User Info (פרטי המשתמש) עם השם, כתובת האימייל והדומיין שלכם, וגם כל קבוצה ב-Google שמשוכפלת בחשבון שלכם. הקטע User Info מראה שהמשתמש הזה יאומת בהצלחה על ידי Looker.

    אם הפעולה נכשלת, מופיעים תיאורים של השגיאות. הנה כמה בעיות נפוצות:

    • העתקה שגויה של מזהה הלקוח או סוד הלקוח. צריך להעתיק ולהדביק את הקודים האלה במלואם ובזהירות.
    • המשתמש נמצא מחוץ לדומיין. אם מופיע הקטע פרטים אישיים, אבל לא מופיע הקטע פרטי משתמש, כנראה שהמשתמש לא נמצא בדומיין שציינתם. זה מראה שהמשתמש אימת את עצמו ב-Google בצורה נכונה, אבל הוא לא משתמש בחשבון Google שבחרתם לאפשר לו להיכנס למכונה של Looker.
    • כתובת ה-URL של Looker או כתובת ה-URL להפניה אוטומטית לא מוגדרת בצורה נכונה ב-Google בשביל המופע של Looker.
    • אם קבוצות Google לא נטענות, צריך לוודא ש-Cloud Identity API מופעל בפרויקט Google Cloud , שהיקף ההרשאות https://www.googleapis.com/auth/cloud-identity.groups.readonly נוסף, ושלמשתמש יש הרשאות VIEW_MEMBERSHIP בקבוצות Google שלו.

  2. כדי לשמור ולהחיל את השינויים, בוחרים באפשרות אישרתי את ההגדרות שלמעלה ואני רוצה להחיל אותן באופן גלובלי. לוחצים על עדכון.

הגדרת אימות של Google באמצעות ה-API

אדמינים יכולים לקרוא ולעדכן את הגדרות האימות של Google ואת מיפויי התפקידים בקבוצות באופן פרוגרמטי באמצעות נקודות הקצה (endpoints) של google_config ב-Looker API. מידע נוסף זמין במאמרי העזרה של Looker API.

טיפים

  • כדי להתנסות במחזור האימות המלא, אתם יכולים להתנתק מ-Google ולראות ש-Google מבקשת מכם להיכנס שוב כשאתם מנסים להיכנס ל-Looker.

  • ב-Google, אתם יכולים ללחוץ על חשבון בתפריט הנפתח האישי (לצד כתובת האימייל שלכם בפינה השמאלית העליונה של דף Google Workspace) כדי לנהל את החשבון האישי שלכם.

    בדף הניהול הזה יש כרטיסייה בשם אבטחה עם קטע בשם הרשאות בחשבון. לחיצה על אפליקציות ואתרים הצגת הכול מאפשרת לכם (כמשתמשים) לראות ולנהל את השירותים והאפליקציות שנתתם להם הרשאות.

    לחיצה על ההרשאות של Looker שהענקתם כדי להתחבר מציגה את הפרטים שהמשתמשים רואים במסך ההסכמה שהתאמתם אישית קודם לכן. אפשר גם ללחוץ על ביטול הגישה כדי שבפעם הבאה שתיכנסו ל-Looker (או תבדקו את ההרשאה) תתבקשו שוב לאשר את מסך ההסכמה. אתם יכולים להשתמש בתהליך העבודה הזה כדי להתאים אישית את מסך ההסכמה ולראות מה המשתמשים יראו.

פתרון בעיות

כדי לפתור בעיות אימות, אפשר לבדוק את מרכז הבקרה לפעילות המשתמשים בפעילות המערכת. בלוח הבקרה הזה יש משבצות שבהן מוצגים ניסיונות ההתחברות האחרונים שנכשלו, כולל שיטת האימות שבה השתמשו, הודעת השגיאה שהוחזרה וזמן הניסיון.

  • אם משתמש לא מצליח להיכנס לחשבון, קודם כל צריך לוודא שבחשבון Google שלו מוגדרים שם פרטי ושם משפחה. אם המשתמש מחק את השם הפרטי או את שם המשפחה שלו מחשבון Google, יכול להיות ש-Looker לא יוכל לאמת את המשתמש באמצעות Google OAuth.

  • אם ניסיון הכניסה של משתמש נכשל ומוצגת ב-Looker שגיאה כמו User not in the authorized domain, צריך לבדוק את השדה hd בתגובת ה-JSON. אם השדה hd מכיל דומיין, צריך לוודא שהדומיין רשום בחשבון Google Workspace. אם השדה hd ריק, אפשר להשתמש בכלי ההעברה לחשבונות לא מנוהלים כדי להזמין את המשתמש להמיר את החשבון שלו לחשבון מנוהל בדומיין שלך.

  • אם ניסיון הכניסה של משתמש נכשל, אבל Looker לא מציג הודעת שגיאה, יכול להיות שהמשתמש ערך את שם החשבון שלו ב-Google Workspace ומחק את השם הפרטי או את שם המשפחה שלו. במצב כזה, יכול להיות ששם החשבון ב-Google Workspace עדיין ייראה שלם במסוף Admin, ולא יופיעו בו השינויים שהמשתמש ביצע. כדי למנוע את הבעיה הזו, אדמינים ב-Google Workspace יכולים להשבית את האפשרות המשתמשים יכולים להתאים אישית את ההגדרה הזו.

  • אם האימות של Google מחזיר שגיאת 401 deleted_client, זה אומר שהפרויקט Google Cloud שמארח את לקוח Looker OAuth נמחק או הושבת. גם אם הפרויקט ב- Google Cloud ישוחזר לאחר מכן, יכול להיות שלקוח ה-OAuth ימשיך להיכשל עם השגיאה deleted_client, וכתוצאה מכך כל המשתמשים לא יוכלו להתחבר. אם אימות Google הוא שיטת האימות היחידה שמופעלת, הנעילה הזו מונעת גישה גם לאדמינים.

    כדי למנוע נעילה מוחלטת במקרה של מחיקה או כשל של לקוח OAuth, צריך להפעיל את ההגדרה התחברות חלופית לאדמינים. ההגדרה הזו מבטיחה שלאדמינים תהיה שיטת כניסה חלופית כדי לגשת למכונה של Looker ולעדכן את הגדרות האימות.

הפעלת התחברות באמצעות אימייל כשמופעל אימות של Google

חשבונות Google חדשים מקבלים גישה ל-Looker באופן אוטומטי, כך שאין צורך להוסיף משתמשים שנמצאים בדומיין של Google.

כדי להוסיף משתמש עם כתובת אימייל שלא נמצאת בדומיין של Google:

  1. מפעילים את האפשרות Alternate login for admins and specified users (התחברות חלופית לאדמינים ולמשתמשים שצוינו) בדף Google Auth.
  2. יוצרים תפקיד משתמש חדש או משנים תפקיד קיים כדי להוסיף את ההרשאה login_special_email
  3. עוברים אל הוספת משתמשים מחלונית המשתמשים (‎/admin/users/new)
  4. מוסיפים את כתובות האימייל שרוצים לכלול ואת התפקידים שצריכים להיות למשתמשים האלה, שחייבים לכלול תפקיד עם ההרשאה login_special_email.
  5. המשתמשים האלה יכולים עכשיו להיכנס באמצעות https://mycompany.looker.com/login/email (כתובת URL מוסתרת)

השבתת Google Auth אחרי שהיא הופעלה

אם אתם רוצים להשבית את האימות של Google במופע של Looker אחרי שכבר הפעלתם אותו, יש כמה דברים שצריך להביא בחשבון:

  • משתמשים שנוצרו לפני שהוספתם את מאמת חשבונות של Google, וכבר הגדירו התחברות רגילה באמצעות אימייל וסיסמה, עדיין יוכלו להתחבר.
  • משתמשים שנוצרו אחרי שהוספתם את מאמת החשבונות של Google לא יוכלו יותר להיכנס לחשבון. החשבונות שלהם עדיין קיימים, אבל אין להם דרך לגשת אליהם, והחשבונות שלהם למעשה נותרו ללא בעלים.

לכן אנחנו ממליצים להימנע מהמסלול הזה. אם אתם חייבים לעשות את זה, יכול להיות שתוכלו לתקן את החשבונות היתומים באמצעות Looker API. לקבלת הנחיות נוספות, אפשר לפנות לתמיכה של Looker.