Migrieren zur automatischen Identitätsverwaltung mit Microsoft Entra ID

Auf dieser Seite wird beschrieben, wie Sie ein Azure Databricks Konto zur automatischen Identitätsverwaltung mit Microsoft Entra ID migrieren.

Eine Übersicht über die automatische Identitätsverwaltung finden Sie unter "Automatische Identitätsverwaltung".

Voraussetzungen

Vergewissern Sie sich vor dem Aktivieren der automatischen Identitätsverwaltung, dass Ihre Umgebung die folgenden Anforderungen erfüllt.

Rollen und Zuständigkeiten

Was bleibt gleich

Wenn Sie die automatische Identitätsverwaltung aktivieren, bleiben die folgenden Schritte erhalten:

• SCIM-synchronisierte Gruppenmitgliedschaften: Die automatische Identitätsverwaltung entfernt keine Gruppenmitgliedschaften, die ursprünglich von SCIM synchronisiert wurden. Dies ist beabsichtigt, um das Unterbrechen von Aufträgen und Berechtigungen zu vermeiden, die von diesen Mitgliedschaften abhängen.
• Vorhandene Berechtigungen: Arbeitsbereichs- und Unity Catalog-Berechtigungen werden weiterhin für dieselben Prinzipale aufgelöst.
• Aktive Sitzungen: Die automatische Identitätsverwaltung erzwingt keine Benutzeranmeldungen oder unterbricht laufende Sitzungen.
• Ausgeführte Aufträge: Dienstprinzipale, die mit aktuellen Anmeldeinformationen authentifiziert wurden, funktionieren weiterhin.
• Arbeitsbereichslokale Gruppen: Die automatische Identitätsverwaltung verwaltet nur Identitäten auf Kontoebene. Arbeitsbereichslokale Gruppen funktionieren weiterhin, werden jedoch nicht aus Microsoft Entra ID synchronisiert.
• Nur in Databricks vorhandene Dienstprinzipale: Dienstprinzipale, die nicht in Microsoft Entra ID registriert sind, sind nicht betroffen.

Migrieren ohne vorhandene SCIM-Bereitstellung

Verwenden Sie diesen Pfad, wenn Ihr Azure Databricks Konto keine SCIM-Bereitstellung auf Kontoebene aufweist. Dies ist der einfachste Migrationspfad.

1. Überprüfen Sie Automatisierungen, die über den Anzeigenamen auf Dienstprinzipale verweisen.

   Wenn die automatische Identitätsverwaltung aktiviert ist, behandelt Azure Databricks Microsoft Entra ID als autorisierende Quelle und überschreibt benutzerdefinierte Dienstprinzipalanzeigenamen mit denen aus Microsoft Entra ID. Um fehlerhafte Workflows zu verhindern, aktualisieren Sie alle Automatisierungen (z. B. Terraform-Konfigurationen oder Skripts) so, dass auf Dienstprinzipale anhand ihrer Anwendungs-ID anstelle des Anzeigenamens verwiesen wird.

2. Automatische Identitätsverwaltung aktivieren:

   1. Melden Sie sich als Kontoadministrator bei der Kontokonsole an.
   2. Klicken Sie auf Sicherheit.
   3. Schalten Sie auf der Registerkarte "Benutzerbereitstellung" die Option "Automatische Identitätsverwaltung" auf "Aktiviert" um.
   4. Warten Sie 5 bis 10 Minuten, bis die Änderung wirksam wird.

3. (Optional) Konfigurieren Sie die Kontozugriffsverweigerungsliste. Verwenden Sie die Sperrliste für den Kontozugriff, um bestimmten Microsoft-Entra-ID-Identitäten den Zugriff auf Ihr Azure-Databricks-Konto zu verwehren. Weitere Informationen finden Sie unter Verweigern des Zugriffs von Identitäten auf Ihr Konto.

4. (Optional) Benachrichtigen von Arbeitsbereichsadministratoren. Teilen Sie die Übersicht über die automatische Identitätsverwaltung mit Arbeitsbereichsadministratoren, damit sie die erwarteten Verhaltensänderungen verstehen, einschließlich just-in-time-Bereitstellung.

Führen Sie nach dem Aktivieren der automatischen Identitätsverwaltung die Überprüfungsschritte aus.

Von bestehender SCIM-Bereitstellung migrieren

Verwenden Sie diesen Pfad, wenn Ihr Azure Databricks Konto derzeit die SCIM-Bereitstellung auf Kontoebene verwendet. Databricks empfiehlt, die automatische Identitätsverwaltung zusammen mit Ihrer vorhandenen SCIM-Bereitstellung zu aktivieren und beide parallel auszuführen. Sie können SCIM nach der Überprüfung deaktivieren, dass die automatische Identitätsverwaltung ordnungsgemäß funktioniert.

Was ändert sich, wenn Sie die automatische Identitätsverwaltung aktivieren

Vorbereiten der Migration

1. Führen Sie das Vorbereitungsskript zur Aktivierung der automatischen Identitätsverwaltung aus der Databricks Knowledge Base aus.

   Dieses Skript identifiziert und behebt Nichtübereinstimmungen bei externen IDs zwischen Azure Databricks und Microsoft Entra ID und ermittelt, welche Arbeitsbereiche identitätsföderiert sind.

   Note

   Die automatische Identitätsverwaltung verwendet den Microsoft Entra ID objectId als autorisierenden Link zum Synchronisieren von Identitäten. Wenn die externalId eines Prinzipals in Azure Databricks nicht mit der objectId in Microsoft Entra ID übereinstimmt, erstellt die automatische Identitätsverwaltung möglicherweise einen doppelten Prinzipal. Führen Sie das Erkennungsskript aus, bevor Sie die automatische Identitätsverwaltung aktivieren, um etwaige Abweichungen zu identifizieren und zu beheben.

2. Überprüfen Sie Automatisierungen, die über den Anzeigenamen auf Dienstprinzipale verweisen.

   Wenn die automatische Identitätsverwaltung aktiviert ist, behandelt Azure Databricks Microsoft Entra ID als autorisierende Quelle und überschreibt benutzerdefinierte Dienstprinzipalanzeigenamen mit denen aus Microsoft Entra ID. Um fehlerhafte Workflows zu verhindern, aktualisieren Sie alle Automatisierungen (z. B. Terraform-Konfigurationen oder Skripts) so, dass auf Dienstprinzipale anhand ihrer Anwendungs-ID anstelle des Anzeigenamens verwiesen wird.

3. (Optional) Konfigurieren Sie die Kontozugriffsverweigerungsliste. Weitere Informationen finden Sie unter Verweigern des Zugriffs von Identitäten auf Ihr Konto.

4. (Optional) Benachrichtigen von Arbeitsbereichsadministratoren. Teilen Sie die Übersicht über die automatische Identitätsverwaltung mit Arbeitsbereichsadministratoren, damit sie die erwarteten Verhaltensänderungen verstehen, einschließlich just-in-time-Bereitstellung.

Aktivieren der automatischen Identitätsverwaltung

1. Melden Sie sich als Kontoadministrator bei der Kontokonsole an.
2. Klicken Sie auf Sicherheit.
3. Schalten Sie auf der Registerkarte "Benutzerbereitstellung" die Option "Automatische Identitätsverwaltung" auf "Aktiviert" um.
4. Warten Sie 5 bis 10 Minuten, bis die Änderung wirksam wird.

Automatische Identitätsverwaltung und SCIM-Bereitstellung werden parallel ausgeführt, während beide aktiv sind. SCIM verwaltet weiterhin Identitäten, die ursprünglich bereitgestellt wurden. Nachdem Sie die automatische Identitätsverwaltung überprüft haben, können Sie SCIM deaktivieren. Siehe Deaktivieren der SCIM-Bereitstellung.

Überprüfen der automatischen Identitätsverwaltung

Überprüfen Sie nach dem Aktivieren der automatischen Identitätsverwaltung, ob sie Identitäten ordnungsgemäß synchronisiert.

Testen nach Rolle

Lassen Sie die folgenden Tests von einem repräsentativen Benutzer jeder Rolle durchführen.

Kontoadministrator

1. Bereitstellen eines Benutzers über die Kontokonsole:

   1. Gehen Sie zu Kontokonsole > Benutzerverwaltung > Benutzer und klicken Sie auf Benutzer hinzufügen.
   2. Suchen nach einem Benutzer in Microsoft Entra ID, der in Azure Databricks nicht bereitgestellt wurde
   3. Wählen Sie den Benutzer aus, und klicken Sie auf "Benutzer hinzufügen".
   4. Vergewissern Sie sich, dass der Benutzer in Azure Databricks mit dem Status Active angezeigt wird.

2. Bereitstellen einer Gruppe über die Kontokonsole:

   1. Wechseln Sie zu Benutzerverwaltungsgruppen > der Kontokonsole>, und klicken Sie auf "Gruppe hinzufügen".
   2. Suchen Sie in Microsoft Entra ID nach einer Gruppe, die in Azure Databricks nicht bereitgestellt wurde.
   3. Bestätigen Sie, dass die Gruppe in Azure Databricks angezeigt wird. Gruppenmitglieder werden bei der Anmeldung Just-In-Time bereitgestellt.

3. Arbeitsbereichzugriff überprüfen:

   1. Weisen Sie die Gruppe aus dem vorherigen Schritt einem Arbeitsbereich zu.
   2. Lassen Sie ein Mitglied dieser Gruppe sich am Arbeitsbereich authentifizieren.
   3. Vergewissern Sie sich, dass die Authentifizierung erfolgreich ist und dass der Benutzer in Azure Databricks bereitgestellt und dem Arbeitsbereich hinzugefügt wird.

Arbeitsbereichsadministrator

1. Einen Benutzer aus dem Arbeitsbereich bereitstellen:

   1. Wechseln Sie zu "Einstellungenidentität" > und "Zugriff verwalten > " , und klicken Sie auf "Benutzer hinzufügen".
   2. Suchen Sie nach einem Benutzer in Microsoft Entra ID, der in Azure Databricks nicht bereitgestellt wurde.
   3. Bestätigen Sie, dass der Benutzer mit dem Status "Aktiv" angezeigt wird.

2. Bereitstellen einer Gruppe aus dem Arbeitsbereich:

   1. Öffnen Sie eine Arbeitsbereichsressource, z. B. eine Abfrage oder ein Dashboard, und klicken Sie auf "Freigeben".
   2. Suchen Sie in Microsoft Entra ID nach einer Gruppe, die in Azure Databricks nicht bereitgestellt wurde, und geben Sie die Ressource für diese Gruppe frei.
   3. Vergewissern Sie sich, dass die Gruppe in Azure Databricks bereitgestellt wird.
   4. Lassen Sie Mitglieder dieser Gruppe sich für den Arbeitsbereich authentifizieren und überprüfen, ob sie auf die freigegebene Ressource zugreifen können.

Überprüfen der automatischen Identitätsverwaltung in Überwachungsprotokollen

Fragen Sie die system.access.audit Tabelle ab, um zu bestätigen, dass die automatische Identitätsverwaltung aktiv ist. Eine Nicht-Null-Zählung für Ereignisse wie add, addPrincipalToGroup, createGroupund updateUser bestätigt, dass Identitäten synchronisiert werden.

SELECT action_name, count(*) AS n
FROM system.access.audit
WHERE request_params.endpoint = 'autoUserCreation'
  AND event_time > current_timestamp() - INTERVAL 2 DAYS
GROUP BY action_name
ORDER BY n DESC;

Weitere Informationen zu Automatischen Identitätsverwaltungsüberwachungsereignissen finden Sie unter "Automatische Identitätsverwaltungsereignisse überwachen".

Deaktivieren der automatischen Identitätsverwaltung

Schritte zum Deaktivieren der automatischen Identitätsverwaltung finden Sie unter Deaktivieren der automatischen Identitätsverwaltung.

Wenn Sie die automatische Identitätsverwaltung nach der Migration von SCIM deaktivieren:

• Identitäten, die von der automatischen Identitätsverwaltung erstellt werden, bleiben in Azure Databricks, werden aber nicht mehr mit Microsoft Entra ID synchronisiert.
• Gruppenmitgliedschaften, die von der automatischen Identitätsverwaltung synchronisiert wurden, werden nicht mehr zum Auflösen von Berechtigungen verwendet. Benutzer, die zuvor Berechtigungen über diese Gruppenmitgliedschaften geerbt haben, verlieren den Zugriff.
• Benutzer, die sich bei Azure Databricks authentifiziert haben, während die automatische Identitätsverwaltung aktiv war, können weiterhin auf Dashboards zugreifen, die sie zuvor angezeigt haben, aber ihre Gruppenmitgliedschaften werden von Microsoft Entra ID nicht aktualisiert.
• Benutzer, die nie auf Azure Databricks zugreifen können, können nach dem Deaktivieren der automatischen Identitätsverwaltung nicht darauf zugreifen, auch wenn sie einer zugewiesenen Gruppe in Microsoft Entra ID angehören.

Databricks empfiehlt, die SCIM-Bereitstellung einzurichten, bevor die automatische Identitätsverwaltung deaktiviert wird. Siehe Configure SCIM-Bereitstellung mit Microsoft Entra ID (Azure Active Directory).

Deaktivieren der SCIM-Bereitstellung

Nach der Überprüfung der automatischen Identitätsverwaltung können Sie optional die SCIM-Bereitstellung deaktivieren. Deaktivieren Sie SCIM erst nach der Bestätigung, dass alle folgenden Bedingungen in Ihrer Umgebung erfüllt sind:

• Keine geschachtelten Gruppen: Ihre Identitätsstruktur basiert nicht auf geschachtelten Gruppenmitgliedschaften in Microsoft Entra ID.
• Abgleich externer IDs: Gruppen wurden mithilfe der SCIM-Connector-App aus Microsoft Entra ID repliziert, sodass die externalId-Werte in Azure Databricks den entsprechenden Microsoft Entra ID-objectId-Werten entsprechen. Verwenden Sie das Customer Instance Discovery Script, um alle Konflikte zu identifizieren und zu beheben.
• Keine lokalen Änderungen an Gruppenmitgliedschaften: Gruppenmitgliedschaften wurden nur über SCIM verwaltet und in Azure Databricks nicht manuell geändert. Das Customer Instance Discovery Script kann lokal geänderte Mitgliedschaften erkennen.

Wenn Ihre Umgebung nicht alle diese Bedingungen erfüllt, empfiehlt Databricks, die SCIM-Bereitstellung und die automatische Identitätsverwaltung parallel auszuführen.

Bekannte Einschränkungen nach dem Deaktivieren von SCIM

Dauerhafte SCIM-synchronisierte Gruppenmitgliedschaften

Gruppenmitgliedschaften, die von SCIM synchronisiert wurden, bleiben nach dem Deaktivieren von SCIM erhalten. Wenn beispielsweise eine untergeordnete Gruppe C in Microsoft Entra ID unter der übergeordneten Gruppe P geschachtelt ist und die C-zu-P-Beziehung später in Microsoft Entra ID entfernt wird, erbt der Benutzer möglicherweise weiterhin Berechtigungen von P, da die Mitgliedschaft in Azure Databricks verbleibt. Databricks empfiehlt, direkte Gruppenmitgliedschaften aus externen Gruppen zu bereinigen, bevor SCIM deaktiviert wird.

Umgebungen mit geschachtelten Gruppenstrukturen

Für Umgebungen, die geschachtelte Gruppenstrukturen verwenden, empfiehlt Databricks, die SCIM-Bereitstellung zusammen mit der automatischen Identitätsverwaltung auszuführen, um geschachtelte Gruppenmitgliedschaften synchron zu halten.

Manuell geänderte Gruppenmitgliedschaften

Wenn Gruppenmitgliedschaften in Azure Databricks manuell bearbeitet wurden, werden diese Mitgliedschaften nicht mit Microsoft Entra ID synchronisiert, nachdem Sie SCIM deaktiviert haben und im Laufe der Zeit veraltet werden. Befolgen Sie die Anweisungen im Skript für die automatische Identitätsverwaltungsaktivierung aus der Databricks Knowledge Base , um manuell geänderte Gruppenmitgliedschaften zu identifizieren und zu beheben, bevor Sie SCIM deaktivieren.

Überlegungen zur Migration

Geschachtelte Gruppen müssen einem Arbeitsbereich explizit zugewiesen werden.

Bei Verwendung geschachtelter Microsoft Entra ID-Gruppen sind untergeordnete Gruppen nicht automatisch für die Ressourcenfreigabe innerhalb eines Arbeitsbereichs verfügbar. Um einer untergeordneten Gruppe Berechtigungen für Arbeitsbereichsobjekte wie Notizbücher oder Abfragen zu erteilen, müssen Sie diese untergeordnete Gruppe direkt dem Arbeitsbereich zuweisen, auch wenn die übergeordnete Gruppe bereits zugewiesen ist.

Wenn beispielsweise die übergeordnete Gruppe P die untergeordnete Gruppe C enthält und nur P dem Arbeitsbereich zugewiesen ist, können C erst dann Berechtigungen für Arbeitsbereichsressourcen erteilt werden, wenn C selbst ebenfalls zugewiesen ist.

Gruppenmitglieder werden Just-In-Time bereitgestellt

Im Gegensatz zu SCIM synchronisiert die automatische Identitätsverwaltung gruppenmitgliedschaften nicht proaktiv mit Azure Databricks. Gruppenmitglieder werden bereitgestellt, wenn sie aktivitäten in Azure Databricks haben (z. B. durch Anmeldung), oder wenn ein Kontoadministrator oder Arbeitsbereichsadministrator sie explizit hinzufügt.

Gelöschte Benutzer werden nicht sofort deaktiviert

Wenn ein Benutzer aus Microsoft Entra ID gelöscht wird, wird er weiterhin als aktiv in Azure Databricks angezeigt. Sie können sich nicht anmelden, aber ihr Status wird nicht automatisch aktualisiert.

Änderungen an E-Mail-Adressen erstellen neue Benutzer

Wenn sich die E-Mail-Adresse eines Benutzers in Microsoft Entra ID ändert (z. B. wird alice@example.comalice-new@example.com), erstellt die automatische Identitätsverwaltung einen neuen Benutzer in Azure Databricks statt den vorhandenen Datensatz zu aktualisieren. Dies entspricht dem aktuellen SCIM-Verhalten. Wenden Sie sich für Änderungen an E-Mail-Adressen an den Databricks-Support.

DIE SCIM-API gibt keine Mitglieder zurück, die über die automatische Identitätsverwaltung bereitgestellt werden.

Die SCIM-GET /groups/{id}-API gibt nur Gruppenmitglieder zurück, die über die Azure Databricks UI oder SCIM bereitgestellt werden. Es werden keine Benutzer zurückgegeben, die über die automatische Identitätsverwaltung oder Benutzer bereitgestellt wurden, die in Microsoft Entra ID vorhanden sind, aber noch nicht in Azure Databricks bereitgestellt wurden.

Unity-Katalogberechtigungen erfordern bereitgestellte Identitäten

Die Berechtigungserteilung von APIs im Unity-Katalog kann nicht auf Identitäten verweisen, die noch nicht in Azure Databricks bereitgestellt wurden. Bevor Sie einer Identität Berechtigungen erteilen, stellen Sie sie über die resolveByExternalId API bereit. Nachdem die Identität bereitgestellt wurde, können Sie wie gewohnt Berechtigungen erteilen.

Funktionen, die einen Prinzipal namentlich referenzieren, wie is_account_group_member(), setzen ebenfalls voraus, dass der Prinzipal zuerst provisioniert wird.

Lokale Gruppen im Arbeitsbereich werden nicht von der automatischen Identitätsverwaltung verwaltet.

Die automatische Identitätsverwaltung verwaltet keine arbeitsbereichslokalen Gruppen. Lokale Gruppen im Arbeitsbereich und ihre zugewiesenen Berechtigungen funktionieren weiterhin, aber Aktualisierungen der Mitgliedschaften müssen außerhalb der automatischen Identitätsverwaltung verwaltet werden.

Databricks empfiehlt die Migration von Arbeitsbereich-lokalen Gruppen zu Gruppen auf Kontoebene, sodass die automatische Identitätsverwaltung ihre Mitgliedschaften verwalten kann. Siehe Migrieren arbeitsbereichslokaler Gruppen zu Kontogruppen.