ב-Looker יש אימות דו-שלבי (2FA) כשכבת אבטחה נוספת להגנה על נתונים שנגישים דרך Looker. כשהאימות הדו-שלבי מופעל, כל משתמש שמתחבר צריך לבצע אימות באמצעות קוד חד-פעמי שנוצר במכשיר הנייד שלו. אי אפשר להפעיל אימות דו-שלבי רק לחלק מהמשתמשים.
בדף אימות דו-שלבי בקטע אימות בתפריט אדמין אפשר להפעיל ולהגדיר 2FA.
החל מגרסה 26.22 של Looker, אימות דו-שלבי מופעל כברירת מחדל בכל המופעים החדשים והקיימים של Looker (המקורי) שמשתמשים באימות באמצעות אימייל וסיסמה, ושלא ביטלו את ההצטרפות במהלך חלון הזמן לביטול ההצטרפות מראש. לאדמינים יש שליטה מלאה על ניהול או השבתה של האימות הדו-שלבי בקטע אדמין > אימות > אימות דו-שלבי.
שימוש באימות דו-שלבי
בהמשך מפורט תהליך העבודה הכללי להגדרה ולשימוש באימות דו-שלבי. בהמשך המאמר מתוארות הדרישות לסנכרון זמן, שנדרשות כדי שאימות דו-שלבי יפעל בצורה תקינה.
האדמין מפעיל את האימות הדו-שלבי בהגדרות האדמין של Looker (או שהאימות הדו-שלבי מופעל כברירת מחדל החל מגרסה 26.22 של Looker).
משתמשים פרטיים מתקינים את מאמת החשבונות של Google (אפליקציה לאייפון או אפליקציה ל-Android) במכשירים הניידים שלהם, או כל אפליקציה תואמת של צד שלישי לאימות TOTP.
בכניסה הראשונה, המשתמש יראה תמונה של קוד QR וקוד טקסט ידני במסך המחשב. המשתמש יכול לסרוק את קוד ה-QR באמצעות האפליקציה לאימות חשבונות או להזין את קוד הטקסט באופן ידני באפליקציה.
אחרי השלמת השלב הזה, המשתמש יוכל ליצור מפתחות אימות ל-Looker.
בכניסות הבאות ל-Looker, המשתמש יצטרך להזין מפתח אימות אחרי שישלח את שם המשתמש והסיסמה שלו.
אם משתמש מפעיל את האפשרות זהו מחשב מהימן, המפתח מאמת את הדפדפן שבו בוצעה ההתחברות למשך 30 יום. במהלך התקופה הזו, המשתמש יכול להתחבר באמצעות שם משתמש וסיסמה בלבד. כל 30 יום, Looker דורשת מכל משתמש לאמת מחדש את הדפדפן באמצעות האפליקציה לאימות חשבונות.
דרישות לסנכרון זמן
אפליקציית מאמת החשבונות מייצרת טוקנים מבוססי-זמן, שדורשים סנכרון זמן בין שרת Looker לבין כל מכשיר נייד כדי שהטוקנים יפעלו. אם שרת Looker והמכשיר הנייד לא מסונכרנים, יכול להיות שהמשתמש במכשיר הנייד לא יוכל לבצע אימות באמצעות 2FA. כדי לסנכרן את מקורות הזמן, מבצעים לפחות אחת מהפעולות הבאות:
להגדיר במכשירים ניידים סנכרון זמן אוטומטי עם הרשת.
בפריסות של Looker באירוח בצד הלקוח, צריך לוודא ש-NTP פועל ומוגדר בשרת. אם השרת מוקצה ב-AWS, יכול להיות שתצטרכו לאפשר במפורש את NTP ב-AWS Network ACL.
אדמין ב-Looker יכול להגדיר את סטיית הזמן המקסימלית המותרת בחלונית Admin ב-Looker, שמגדירה את ההפרש המותר בין השרת לבין המכשירים הניידים. אם הגדרת הזמן במכשיר נייד שגויה ביותר מהסטייה המותרת, מפתחות האימות לא יפעלו. ברירת המחדל היא 90 שניות.
איפוס האימות הדו-שלבי
אם משתמש צריך לאפס את האימות הדו-שלבי (לדוגמה, אם יש לו מכשיר נייד חדש):
בדף Users שבקטע Admin ב-Looker, לוחצים על Edit בצד שמאל של שורת המשתמש כדי לערוך את פרטי החשבון של המשתמש.
בקטע Two-Factor Secret, לוחצים על Reset כדי לגרום ל-Looker לבקש מהמשתמש לסרוק מחדש קוד QR או להזין את קוד הטקסט הידני באמצעות אפליקציה לאימות חשבונות בפעם הבאה שהוא ינסה להתחבר למכונה של Looker.
לתשומת ליבכם
כשמגדירים אימות דו-שלבי, חשוב לזכור את הדברים הבאים:
האימות הדו-שלבי חל רק על Looker (original). היא לא חלה על Looker (Google Cloud core), שמסתמך על Google Cloud IAM או על ספקי זהויות חיצוניים לאימות רב-שלבי.
אימות דו-שלבי לא משפיע על השימוש ב-Looker API.
אימות דו-שלבי לא משפיע על האימות דרך מערכות חיצוניות כמו LDAP, SAML, Google OAuth או OpenID Connect. אימות דו-שלבי משפיע על פרטי כניסה חלופיים שמשמשים במערכות האלה.