LookerのGoogle認証を Test Google Authentication機能で検証してみた
投稿者：鈴木
こんにちは、日本情報通信の鈴木と申します。
BIツールを主に担当しており、Lookerに携わるようになってから早いことに約1年程経ちました。
Lookerはデフォルトではメールアドレスとパスワードでユーザ認証をしますが、SAML・LDAP・Google認証など使用することが可能です。
弊社はGoogleサービスとの連携が多いため、今回Google認証について検証してみました。
目次
- Google認証の概要
- 注意事項
- 前提
- 手順
- Google側の設定
- Looker側の設定
- 検証結果
- 最後に
1. Google認証の概要
LookerのGoogle認証とは、
とてもざっくりですが構成イメージは以下になります。
2. 注意事項
注意事項がいくつかあるので、Google認証を有効化する前にご確認ください。
3. 前提
本稿はGoogle認証を有効化しLookerインスタンスに適用した記事ではなく、「Test Google Authentication」というGoogle認証のテストを行える機能のみで検証しております。
実際に有効化した手順で検証していないことをご了承ください。
Google認証を有効にするには管理者がGoogle側とLooker側の両方で設定する必要があります。各環境で適切な権限を付与し、作業を行います。
今回は以下の権限で作業しております。
4．手順
1. Google側の設定
Google側でOAuthクライアントIDを作成する手順となります。
詳細な手順はこちらのSetting up OAuth 2.0を参照ください。
本稿ではOAuth同意画面は設定済みであることを前提とし、OAuth クライアントIDの作成から記載しています。
Googleのコンソール画面より [APIとサービス] > [認証情報] 画面に遷移し、認証情報を作成します。
OAuth クライアントIDは下記設定を入力し、作成します。
作成後にClient IDとClient Secretが表示されます。
Looker側での設定に必要なためコピーしておきます。（コピーし忘れた場合も後程OAuth画面から確認できます）
以上でGoogle側の設定は完了となります。
2. Looker側の設定
LookerのGoogle認証を有効にする手順となります。
Looker画面上部の [管理] > 認証の [Google] をクリックし、Google Authentication画面に遷移します。
[Enabled] をクリックし、設定値を入力します。（こちらのボタンを押してすぐに適用されることはありません）
Google側で作成したClient IDとClient Secretを貼り付けます。
Domainsには今回アクセスを許可するドメインを入力します。ここに入力するドメインは組織で管理されていることが必須であり、指定されたドメインのすべてのGoogleアカウントがLookerにログインすることができるようになります。
また、複数管理している場合はカンマ区切りで入力することが可能です。
次に、Lookerインスタンスの動作を制御するオプションを設定します。
オプション項目は基本的にはLookerは設定することを推奨しております。権限については任意のロールを選択します。
ここまでで設定が完了となります。
上記設定で問題ないことを確認し、認証のテストを行います。
[Test Google Authentication] をクリックします。（こちらのボタンもLookerインスタンスに適用されることはなく、あくまでテスト用のボタンのため安心ください）
※認証のテストには現在Googleにログインしている場合、ログインユーザが適用されます。Googleアカウントを選択したい場合は事前にログアウトをして作業することを推奨します。
認証に成功した場合、以下のように「successfully」が表示されます。
認証が失敗した場合、以下のように「Error」が表示されます。
エラーの原因についてはドキュメントに記載あるので参考にしてください。
LookerインスタンスにGoogle認証を適用させる場合、上記設定で問題ないことを確認し [Update] をクリックします。
※今回はUpdateは実施していないです
5. 検証結果
今回は、以下のGoogleアカウントを利用して検証を行いました。
※本来であれば、組織で管理されているがLookerインスタンスに登録されていないGoogleアカウントで検証を行いたかったのですが、テスト段階だとAdmin権限が付与されている必要があるため検証ができておりません。
検証結果は以下となります。
6. 最後に
検証結果は無事想定通りとなりました。調査するまではどのドメインも指定すれば認証に利用できると思っていましたが、今回の検証で利用できるアカウントは組織で管理されていることが必須であることがわかりました。
ただ、Google認証は他の認証方法（LDAP、SAML等）と比べて、設定が非常に簡単です。組織で管理されていないアカウントの場合は少しハードルが高いかもしれませんが、こちらの検証自体はとても簡単にできて何度も確認することができるためぜひ参考にしていただき、ご気軽に検証いただければと思います。
