Automatischer Bericht zur Bereitschaftsbereitschaft des Identitätsmanagements

Der automatische Bericht zur Bereitschaft zur Identitätsverwaltung hilft Kontoadministratoren, Abweichungen zwischen externen ID- und Gruppenmitgliedschaften zwischen Azure Databricks und Ihrem Identitätsanbieter (IdP) zu identifizieren und zu lösen. Da die automatische Identitätsverwaltung nur innerhalb identitätsföderierter Arbeitsbereiche funktioniert, empfiehlt Databricks, die Identitätsfederation über alle Arbeitsbereiche des Kontos hinweg zu aktivieren.

Eine Übersicht über die automatische Identitätsverwaltung finden Sie unter "Automatische Identitätsverwaltung". Um ein bestehendes Konto zu migrieren, siehe Migrate to automatic identity management with Microsoft Entra ID.

Über Abweichungen

Automatische Identitätsverwaltung erfordert einen identitätsföderierten Arbeitsbereich. Es nutzt eine externalId Verbindung, um Azure Databricks-Benutzer und -Gruppen direkt mit Ihrem Identitätsanbieter zu verknüpfen, insbesondere die Objekt-ID in Microsoft Entra ID oder die Benutzer-ID oder Gruppen-ID in Okta.

Fehlende oder falsche externalId Werte brechen Metadaten-Synchronisationen ab und erzeugen doppelte Identitäten. Da Azure Databricks-Gruppenmitgliedschaften bearbeitbar sind, können sie auch aus dem Takt mit Ihrem Identitätsanbieter driften und zu Komplikationen führen, wenn die SCIM-Bereitstellung deaktiviert wird.

Note

Der Bereitschaftsbericht ist nur für Kontoadministratoren verfügbar.

Probleme, die der Bericht erkennt

Der Bericht hilft Ihnen, Identitäten zu erkennen, die in Azure Databricks bereitgestellt wurden, deren externe IDs keinen entsprechenden Treffer in Ihrem Identitätsanbieter haben. Es erkennt außerdem Abweichungen zwischen Azure Databricks und Gruppenmitgliedschaften von Identitätsanbietern. Die folgenden Beispiele zeigen Probleme, die der Bericht Ihnen hilft, zu erkennen und zu lösen.

Doppelte Identitäten erscheinen im Produkt

Wenn zwei Identitäten mit demselben Namen, aber unterschiedlichen Quellen in den Azure Databricks Admin-UIs erscheinen, ist meist eine falsch konfigurierte externe ID die Ursache. Eine Kontoidentität und eine Identitätsanbieter-Identität erscheinen beide in Admin-UIs und Sharing-Dialogen.

Um dieses Problem zu lösen, beheben Sie die folgenden Fehlerkategorien:

  • AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP
  • AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH
  • AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Die Anzahl der Gruppenmitglieder im Identitätsanbieter stimmt nicht mit der Anzahl in Azure Databricks überein

Die Azure Databricks UIs zeigen die Mitgliederzahl des Identitätsanbieters an. Die Zählung schließt Mitglieder aus, die zwar in der Azure Databricks-Gruppe existieren, aber nicht im Identitätsanbieter, obwohl diese Mitgliedschaften weiterhin Berechtigungen gewähren.

Um dieses Problem zu beheben, beheben Sie die folgende Fehlerkategorie:

  • AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

Die Bereitstellung einer Identitätsanbietergruppe schlägt fehl

Wenn Sie eine Identitätsanbietergruppe importieren, könnten Sie einen Fehler erhalten, dass die Gruppe bereits in Azure Databricks existiert. Eine bestehende Kontogruppe reserviert in der Regel den Namen, da Azure Databricks eindeutige Gruppennamen erzwingt.

Um dieses Problem zu beheben, beheben Sie die folgende Fehlerkategorie:

  • AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Ein Benutzer- oder Service Principal-Anzeigename in Azure Databricks stimmt nicht mit dem Identitätsanbieter überein

Der eindeutige Name eines Benutzers oder Service Principals (der Benutzername eines Benutzers oder die Anwendungs-ID eines Service Principal) entspricht der Identität eines Identitätsanbieters, aber der Anzeigename unterscheidet sich. Da die automatische Identitätsverwaltung mit dem eindeutigen Namen übereinstimmt, überschreibt die nächste Synchronisation den Azure Databricks-Anzeigenamen mit dem Wert Ihres Identitätsanbieters. Diese Kategorie gilt nur für Nutzer und Dienstprinzipalen. Gruppen werden nicht auf Abweichungen bei den Anzeigenamen überprüft.

Um dieses Problem zu beheben, beheben Sie die folgende Fehlerkategorie:

  • AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_DISPLAY_NAME_MISMATCH

Führe den Bereitschaftsbericht aus

  1. Melden Sie sich als Kontoadministrator in der Azure Databricks-Kontokonsole an.
  2. Gehen Sie zu Sicherheit>Einrichtung des Identitätsanbieters.
  3. Im Bereich Identitätsverwaltung starten Sie einen neuen Scan. Du kannst einen Scan starten, unabhängig davon, ob automatische Identitätsverwaltung aktiviert ist oder nicht.
  4. Warte, bis der Scan fertig ist. Das kann je nach Größe Ihres Kontos von wenigen Minuten bis zu mehreren Stunden dauern.
  5. Wenn der Scan abgeschlossen ist, öffnen Sie die Scanergebnisse im selben Abschnitt.

Nachdem ein Scan abgeschlossen ist, können Sie einen neuen Scan anfordern. Um einen einzelnen Prinzipal erneut zu prüfen, klicken Sie beim Prinzipal auf Aktualisieren. Nachdem Sie das Problem behoben haben, wird der Prinzipal nicht mehr in der Liste der Fehlkonfigurationen angezeigt.

Sie können auch eine CSV der gesamten Scanergebnisse oder der Ergebnisse einer einzelnen Kategorie herunterladen. Siehe Interpret the Report output, um zu sehen, wie man das CSV liest.

Interpretieren Sie die Berichtsausgabe

Der CSV-Export enthält folgende Spalten:

  • principalId: Die interne ID von Azure Databricks.
  • principalType: Der Typ des Schulleiters für die Principal-ID. Dies kann ein Benutzer, eine Gruppe oder ein Dienstprinzipal sein.
  • category: Die Fehlerkategorie für die Haupt-ID. Weitere Informationen finden Sie unter Fehlerkategorien und Sanierung .
  • localPrincipalExternalId: Die externe ID, die in Azure Databricks für den bereitgestellten Azure Databricks-Prinzipal gespeichert wird.
  • localPrincipalName: Der Benutzername, die Anwendungs-ID oder der Gruppenname, der in Azure Databricks für den bereitgestellten Azure Databricks Principal gespeichert ist.
  • idpPrincipalExternalId: Die externe ID, die im Identitätsanbieter für einen bestimmten Hauptmann gespeichert ist.
  • idpPrincipalName: Der Benutzername, Anwendungs-ID oder Gruppenname, der im Identitätsanbieter für einen bestimmten Hauptverantwortlichen gespeichert ist.
  • localPrincipalDisplayName: Der Anzeigenname, der in Azure Databricks für den bereitgestellten Azure Databricks-Prinzipal gespeichert wird.
  • idpPrincipalDisplayName: Der Anzeigename, der im Identitätsanbieter für einen bestimmten Prinzipal gespeichert ist.
  • localMembersWithExternalId: Semikolon-getrennte interne IDs von Gruppenmitgliedern, die eine externe ID haben, aber keine Mitglieder der Identitätsanbietergruppe sind.
  • localMembersWithoutExternalId: Semikolon-getrennte interne IDs von Gruppenmitgliedern, die nur in Azure Databricks existieren und keine externe ID haben.
  • hasMoreLocalMembersWithExternalId: Ob es mehr localMembersWithExternalId Mitglieder gibt, als im CSV angegeben sind.
  • hasMoreLocalMembersWithoutExternalId: Ob es mehr localMembersWithoutExternalId Mitglieder gibt, als im CSV angegeben sind.
  • failureReason: Der Grund, warum der Scan des Schulleiters fehlschlug.

Fehlerkategorien und Behebung

Der Bericht gruppiert Probleme in die folgenden Fehlerkategorien. Jede Kategorie erklärt, was der Fehler bedeutet und wie man ihn behebt. Beheben Sie Probleme eines jeden betroffenen Prinzipals mithilfe der Lösung für die jeweilige Kategorie.

AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP

Für die bereitgestellte Identität ist eine externe ID festgelegt, aber sie entspricht keiner Identität desselben Typs im Identitätsanbieter. Der externalId ist falsch konfiguriert.

So beheben Sie das Problem:

  1. Aktualisieren Sie das externalId auf einen gültigen Wert oder entfernen Sie es. Wenn du ein neues externalId festlegst, stelle sicher, dass keine andere Identität es verwendet. Siehe Die externe ID für einen Prinzipal aktualisieren oder Die externe ID für eine Gruppe entfernen.
  2. Um zu bestimmen, welche externalId verwendet werden soll, siehe die AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH Kategorie.

Falls das Problem nicht behoben ist: Wenn die externalId mit einer Identität des Identitätsanbieters verknüpft werden soll, werden möglicherweise doppelte Identitäten angezeigt: eine mit einer falschen externalId und eine vom Identitätsanbieter.

AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH

Die Azure Databricks-Identität hat eine externe ID, die einer Identität mit einem anderen eindeutigen Namen im Identitätsanbieter zugeordnet wird.

So beheben Sie das Problem:

  • Benutzer und Service Principals: Aktualisieren Sie den Benutzernamen von Azure Databricks. Erstellen Sie ein Support-Ticket, um die Änderung zu beantragen.
  • Gruppen: Überprüfen Sie, ob Kontogruppen den Gruppennamen reservieren (Azure Databricks erzwingt eindeutige Gruppennamen). Wenn ja, benennen Sie die Kontogruppe um, damit die externe Gruppe den Namen beanspruchen kann.

Falls das Problem ungelöst bleibt: Wenn Nutzer sich anmelden, wird dadurch häufig ein zweiter Nutzer mit demselben externalId, aber einem anderen Benutzernamen erstellt. Bei Gruppen kann die externe Gruppe ihren Namen oft nicht mit ihrem Identitätsanbieter-Gegenstück synchronisieren.

AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Die Azure Databricks-Identität weist eine eindeutige Namensübereinstimmung mit der Identität eines Identitätsanbieters auf, aber externalId stimmt nicht überein.

Um das Problem zu lösen, aktualisieren Sie in den meisten Fällen die Azure Databricks externalId so, dass sie mit der Identität des Identitätsanbieters übereinstimmen. Bestätigen Sie, dass dies für Ihre Einrichtung korrekt ist, denn es kann je nach Identitätsanbieter und lokalen Daten variieren. Nutzen Sie das Feld idpPrincipalExternalId, um die zu verwendende externalId zu finden, und folgen Sie dann den Anweisungen zum Aktualisieren der externen ID für einen Prinzipal.

Wenn das Problem nicht behoben wird: Möglicherweise werden doppelte Identitäten angezeigt: eine mit einem falschen oder fehlenden externalId und eine vom Identitätsanbieter. Auch die Bereitstellung einer Identitätsanbietergruppe mit demselben Namen kann scheitern, da eine Kontogruppe den Namen bereits verwendet (Azure Databricks erzwingt eindeutige Gruppennamen).

AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_DISPLAY_NAME_MISMATCH

Ein Azure Databricks-Benutzer oder Service Principal weist eine eindeutige Namensübereinstimmung mit einer Identität eines Identitätsanbieters auf, jedoch unterscheidet sich der Anzeigename. Der eindeutige Name ist der Benutzername eines Benutzers oder die Anwendungs-ID eines Service-Prinzipals. Da die automatische Identitätsverwaltung mit dem eindeutigen Namen übereinstimmt, wird der Name des Identitätsanbieters als Wahrheitsquelle behandelt. Diese Kategorie gilt nur für Nutzer und Dienstprinzipalen. Gruppen werden nicht auf Abweichungen bei den Anzeigenamen überprüft.

Um das Problem zu lösen, überprüfen Sie, ob der Anzeigename in Ihrem Identitätsanbieter korrekt ist. Wenn Sie den Anzeigenamen von Azure Databricks behalten möchten, aktualisieren Sie den Benutzer oder Service Principal in Ihrem Identitätsanbieter vor der nächsten Synchronisierung.

Wenn nicht gelöst: Die nächste Synchronisation überschreibt den Azure Databricks-Anzeigenamen mit dem Wert des Identitätsanbieters. Das ist störend, wenn man sich zum Beispiel auf den Anzeigenamen stützt, zum Beispiel bei Automatisierungen, die darauf verweisen.

AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

Die Azure Databricks-Gruppe umfasst Mitglieder mit oder ohne externalId, die keine entsprechende Mitgliedschaft im Identitätsanbieter haben.

Um das zu lösen, machen Sie den Identitätsanbieter zur Wahrheitsquelle: Databricks empfiehlt, lokal hinzugefügte Mitglieder mit SCIM aus der Gruppe zu entfernen. Wenn ein Mitglied zur Gruppe gehört, erstelle das Mitglied im Identitätsanbieter und füge es der Identitätsanbietergruppe hinzu. Siehe in der Ausgabe die Felder localMembersWithExternalId und localMembersWithoutExternalId für die betroffenen Mitglieder.

Falls nicht behoben: Mitglieder erben Berechtigungen von der Gruppe des Identitätsanbieters, werden jedoch im Identitätsanbieter nicht angezeigt, was die Überprüfung der Berechtigungen erschwert. Die Mitgliederzahlen in der Benutzeroberfläche spiegeln nur Mitglieder der Identitätsanbieter wider, daher werden diese Mitglieder ausgeschlossen.

Aktualisiere die externe ID eines Hauptverantwortlichen

Um den externalId zu aktualisieren, verwenden Sie die Account-SCIM-API. Für das vollständige Anfrageformat siehe Account SCIM v2.1 API-Referenz.

Tip

Protokolliere die API-Aufrufe, die du machst, damit du Änderungen rückgängig machen kannst, falls während des Prozesses Probleme auftreten.

Senden Sie eine PATCH Anfrage an den Endpunkt für den Haupttyp:

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/<Users|Groups|ServicePrincipals>/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": "<new-external-id>"
    }
  ]
}

Entfernen Sie die externe ID für eine Gruppe

Um externalId für eine Gruppe zu entfernen, verwenden Sie die Account-SCIM-API. Legen Sie den Wert auf eine leere Zeichenfolge fest.

Note

Azure Databricks unterstützt diese Operation derzeit nur für Gruppen.

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/Groups/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": ""
    }
  ]
}

Weitere Ressourcen

Resource Description
Automatische Identitätsverwaltung Überblick über das automatische Identitätsmanagement und wie es Identitäten ohne SCIM synchronisiert.
Migration zur automatischen Identitätsverwaltung mit Microsoft Entra ID Migration eines bestehenden Kontos zur automatischen Identitätsverwaltung.
  • Zuletzt aktualisiert um