Verbinde Databricks Genie mit Microsoft Agent 365

Verwenden Sie diesen Leitfaden, um einen Databricks-Arbeitsbereich mit Microsoft Agent 365 zu verbinden. Nachdem Sie eine Verbindung hergestellt haben, synchronisiert Agent 365 die Genie-Agenten des Arbeitsbereichs in das Microsoft 365-Agentenregister und sammelt deren Gesprächsaktivitäten für die Observability.

Note

Databricks benannte Genie-Spaces in Genie-Agenten um. Einige Databricks-APIs und Dokumentationen verwenden weiterhin den Begriff Genie Space.

Funktionsweise der Verbindung

Agent 365 meldet sich als Databricks-Serviceprinzipal mit OAuth Machine-to-Machine (M2M)-Authentifizierung in den Arbeitsbereich ein. Die Verbindung verwendet folgende Werte:

Verbindungsfeld Databricks-Wert Wo finde ich sie?
Workspace-URL Die URL des Arbeitsbereichs mit nur dem Scheme und dem Host Hol dir die URL des Arbeitsbereichs
Client-ID Die Anwendungs-ID des Service-Principals Erstellen eines Service Principal
Geheimer Clientschlüssel Ein OAuth-Geheimnis für den Dienstprinzipal Generiere ein OAuth-Secret

Mit diesen Zugangsdaten kann Agent 365:

  • Listet die Genie-Agenten auf, auf die der Dienstprinzipal zugreifen kann, und liest deren Daten.
  • Liest die Genie-Konversationen und Nachrichten jedes synchronisierten Agenten, wenn Collect agent observability data ausgewählt ist, und zeigt die Aktivität auf der Activity-Registerkarte des Agenten an.

Agent 365 stellt Genie-Agenten keine Fragen, führt keine SQL-Abfragen aus und ändert keine Genie-Agenten. Die einzige Ausnahme ist, wenn ein Administrator einen synchronisierten Agenten in Agent 365 entfernt und der Service Principal über die Berechtigung Can Manage für den Genie-Agenten verfügt. In diesem Fall bringt Agent 365 den Genie-Agenten in den Papierkorb in Databricks.

Bevor Sie anfangen

  • Bestätigen Sie, dass der Agent 365 KI-Administrator Verbindungen im Microsoft 365 Admin Center herstellen kann.
  • Identifizieren Sie den Databricks-Arbeitsbereich, der die Genie-Agenten enthält, die Sie synchronisieren möchten. Jede Verbindung deckt einen Arbeitsbereich ab.
  • Bitten Sie einen Databricks-Workspace-Administrator, die in diesem Artikel aufgeführten Databricks-Schritte durchzuführen. Workspace-Administratoren können Service-Principals erstellen, OAuth-Geheimnisse generieren und Genie-Agenten teilen.
  • Bestätigen Sie, dass Genie im Arbeitsbereich funktioniert.

Hol dir die URL des Arbeitsbereichs

  1. Melden Sie sich im Databricks-Arbeitsbereich an.

  2. Kopieren Sie die URL aus der Adressleiste des Browsers.

  3. Behalte nur das Schema und den Host. Entfernen Sie jeden Pfad oder jeden Query-String, wie /genie oder ?o=1234567890123456.

    Screenshot eines Databricks-Arbeitsbereichs, geöffnet im Browser, mit der URL des Arbeitsbereichs in der Adressleiste.

Das Format der Workspace-URL hängt von der Cloud ab, die den Workspace hostet:

Wolke Beispiel-URL für den Arbeitsbereich
AWS https://dbc-a1b2c3d4-e5f6.cloud.databricks.com
Azure https://adb-1234567890123456.7.azuredatabricks.net
Google Cloud https://1234567890123456.7.gcp.databricks.com

Kontoadministratoren können die URL des Arbeitsbereichs auch in der Databricks-Kontokonsole unter Arbeitsbereichen finden.

Erstellen eines Serviceprincipals

Erstelle einen eigenen Service Principal für Agent 365, damit du seinen Zugriff unabhängig von anderen Integrationen auditieren und widerrufen kannst.

  1. Im Databricks-Arbeitsbereich wählen Sie Ihren Benutzernamen in der oberen Leiste aus und wählen Sie dann Einstellungen.

  2. Wählen Sie "Identität" und "Zugriff" aus. Wählen Sie neben Service principalsVerwalten aus.

  3. Wählen Sie Dienstprinzipal hinzufügen aus.

    Screenshot der Service Principals-Seite in den Databricks-Arbeitsbereichseinstellungen mit dem Button

  4. Erstelle einen neuen Service Principal mit einem beschreibenden Namen, wie zum Beispiel agent365-connector. Wählen Sie in Azure Databricks Neu hinzufügen und dann Von Databricks verwaltet.

  5. Aktivieren Sie die Databricks SQL-Zugriffsberechtigung und die Workspace-Zugriffsberechtigung. Agent 365 benötigt keinen Endbenutzerzugriff. Aktivieren Sie den Admin-Zugriff nur, wenn Sie sich entscheiden, den Service-Principal zum Workspace-Admin zu machen.

    Du kannst Entitlements festlegen, wenn du den Service Principal hinzufügst, oder später auf der Registerkarte Konfigurationen des Service Principals.

  6. Öffnen Sie den Service Principal und kopieren Sie dessen Anwendungs-ID. Verwenden Sie diesen Wert als Client-ID für die Verbindung.

    Screenshot der Seite zu den Details des Service Principals in Databricks, die die Anwendungs-ID im Konfigurations-Tab zeigt.

Weitere Informationen finden Sie unter Verwalten von Dienstprinzipalen.

Generiere ein OAuth-Geheimnis

  1. Auf der Seite mit den Details des Service-Prinzipals wählen Sie den Reiter Geheimnisse und wählen Sie dann Geheimnis generieren.

    Screenshot des Secrets-Tabs eines Databricks-Service-Prinzipals mit der Schaltfläche „Secret generieren“.

  2. In Lebenszeit (Tage) geben Sie ein, wie lange das Secret gültig ist. Das Maximum beträgt 730 Tage.

  3. Unter Scope wählen Sie Other APIs, Add scope und dann all-apis.

    Screenshot des Dialogs

  4. Wählen Sie "Generieren" aus.

  5. Kopiere das Geheimnis und die Client-ID und wähle dann Fertig aus.

Important

Databricks zeigt das Secret nur einmal. Bewahren Sie es an einem sicheren Ort auf und teilen Sie es nicht per E-Mail, Chat oder in Support-Anfragen. Wenn du das Secret verlierst, erstelle ein neues. Die Client-ID ist dieselbe wie die Application ID des Service-Principals.

Der Dialog markiert all-apis als nicht empfohlen. Die Rechte des Service-Prinzipals und die Genie-Agenten-Berechtigungen beschränken weiterhin, was Agent 365 lesen kann. Notieren Sie das Ablaufdatum des Secrets, damit Sie es vor Ablauf rotieren können.

Geben Sie dem Service-Principal Zugang zu Genie-Agenten

Agent 365 synchronisiert und überwacht nur die Genie-Agenten, auf die der Service-Principal zugreifen kann. Wählen Sie eine der folgenden Optionen aus.

Genie-Agenten für den Service Principal freigeben

Diese Option wird empfohlen, da sie nur den von Ihnen gewählten Genie-Agenten Zugang gewährt.

  1. Im Databricks-Arbeitsbereich wählen Sie in der Seitenleiste Genie Agents aus und öffnen Sie dann einen Genie-Agenten.
  2. Wählen Sie Teilen.
  3. Gib den Namen des Service-Principals ein, wähle Hinzufügen und setze dann die Berechtigungsebene. Um Aktivitäten zu sammeln, wählen Sie Can Manage.
  4. Wiederholen Sie diese Schritte für jeden Genie-Agenten, den Sie synchronisieren möchten.

Die Berechtigungsstufe bestimmt, was Agent 365 tun kann:

Berechtigung Was Agent 365 tun kann
Kann anzeigen Synchronisieren Sie den Agenten mit seinem Namen, seiner Beschreibung sowie der Cloud und Region des Arbeitsbereichs.
Darf bearbeiten Lesen Sie auch die Anweisungen und Datenquellen des Agenten, die als Anweisungen und Wissensquellen des Agenten erscheinen.
Kann verwalten Lesen Sie außerdem die Freigabedetails des Agenten, sammeln Sie Gesprächsaktivitäten von allen Benutzern des Agenten und legen Sie den Agenten in den Papierkorb, wenn ein Administrator ihn in Agent 365 entfernt.

Aktivität erfordert Kann verwalten. Databricks gibt die Konversationen aller Nutzer eines Genie-Agenten nur an Principals zurück, die die Can Manage-Berechtigung besitzen. Mit einer niedrigeren Berechtigung synchronisiert der Agent, aber es erscheint keine Aktivität.

Tip

Genie-Agenten erben Berechtigungen aus ihrem Workspace-Ordner. Um mehrere Genie-Agenten gleichzeitig zu teilen, bewahren Sie sie in einem Ordner auf und teilen Sie den Ordner mit dem Service-Principal.

Nachdem Sie einen Genie-Agenten geteilt haben, kann es ein oder zwei Minuten dauern, bis der Dienstprinzipal ihn auflisten kann.

Machen Sie den Service Principal zum Workspace-Administrator

Um jeden Genie-Agent im Arbeitsbereich abzudecken, einschließlich später erstellter Genie-Agenten, aktivieren Sie den Admin-Zugang für den Service-Principal, anstatt die Genie-Agenten einzeln zu teilen.

Caution

Workspace-Administratoren haben die vollständige administrative Kontrolle über den Workspace, einschließlich der Berechtigung Can Manage für jeden Genie-Agenten. Nutzen Sie diese Option nur, wenn die Sicherheitsrichtlinie Ihrer Organisation dies zulässt.

  1. Wählen Sie auf der Seite mit den Details des Service Principals den Reiter Konfigurationen aus.
  2. Wählen Sie Admin-Zugriff aus, und wählen Sie dann Aktualisieren aus. Databricks fügt den Service-Principal zur Workspace-Gruppe admins hinzu.
  3. Um zu bestätigen, gehe zu Einstellungen>Identität und Zugriff. Wählen Sie neben Gruppen, Verwalten aus. Öffnen Sie die Admins-Gruppe und prüfen Sie, ob der Service Principal im Mitglieder-Tab aufgeführt ist.

Berechtigungsänderungen können ein paar Minuten dauern, bis sie angewendet werden.

Erstellen der Verbindung

  1. Öffnen Sie das Microsoft 365 Admin Center.

  2. Wählen Sie Agents:>Alle Agents.

  3. Wählen Sie unter Connected Platforms"Verwalten" aus.

  4. Wählen Sie +Verbinden sie eine Plattform aus.

  5. Geben Sie einen Namen und eine Beschreibung für die Verbindung ein.

  6. Unter Externe Plattform wählen Sie Databricks Genie aus. Die Authentifizierungsmethode ist OAuth (Service Principal).

  7. Geben Sie die URL des Arbeitsbereichs, die Client-ID und das Client-Geheimnis ein.

  8. Stellen Sie sicher, dass Collect Agent Observability-Daten ausgewählt ist.

  9. Wählen Sie "Authentifizierung überprüfen" aus.

  10. Wenn Verbindung erfolgreich verifiziert erscheint, wähle Speichern aus.

    Screenshot der Databricks Genie-Verbindungseinstellungen im Microsoft 365 Admin Center, wobei die Arbeitsbereich-URL, die Client-ID und das Clientgeheimnis eingegeben sind, eine Meldung „Verbindung erfolgreich überprüft“ angezeigt wird und die Option zum Sammeln von Agenten-Observabilitätsdaten ausgewählt ist.

Die Verifizierung bestätigt, dass Agent 365 sich im Arbeitsbereich anmelden und Genie-Agenten auflisten kann. Der Vorgang ist trotzdem erfolgreich, auch wenn der Service-Principal noch keinen Zugriff auf Genie-Agenten hat.

Agenten synchronisieren

Wenn du die Verbindung speicherst, öffnet sich der Detailbereich, und die erste Synchronisation wird gestartet. Wenn die Synchronisation abgeschlossen ist, wird im Bereich **Sync angezeigt

Screenshot einer Databricks-Genie-Verbindung im Microsoft 365 Admin Center, mit Sync abgeschlossen und der Liste der synchronisierten Genie-Agenten.

Agent 365 synchronisiert jeden Genie-Agenten, auf den der Service Principal zugreifen kann. Synchronisierte Agenten erscheinen in der Microsoft 365-Agentenregistry. Um sie zu finden, gehe zu Agents>Alle Agents und filtere Platform nach Databricks Genie. Sie erscheinen auch in einem Databricks-Genie-Cluster auf der Agenten-Karte.

Um zu synchronisieren, nachdem du weitere Genie-Agenten erstellt oder geteilt hast, öffne die Verbindung und wähle Agenten synchronisieren aus.

Aktivität überprüfen

  1. In Databricks öffne einen synchronisierten Genie-Agenten und stelle ihm ein paar Fragen. Überspringen Sie diesen Schritt, wenn der Agent bereits aktuelle Konversationen hat.

  2. Im Microsoft 365 Admin Center öffnen Sie den Agenten aus der Liste „Synchronisierte Agents“ der Verbindung oder aus Agents>Alle Agenten.

  3. Wählen Sie den Reiter Aktivität. Wenn Aktivitäten erfasst werden, werden unter Sitzungen eine oder mehrere Sitzungen angezeigt.

    Screenshot des Aktivitäts-Tabs eines synchronisierten Databricks Genie-Agenten im Microsoft 365 Admin Center, der Sitzungen, Ausnahmen, Agentenlaufzeit und eine Sitzungs-Über-Zeit-Grafik zeigt.

Die Aktivität kann nach einem Gespräch erst nach einiger Zeit erscheinen. Databricks stellt keine Microsoft Entra-Benutzeridentitäten bereit, daher wird bei aktive BenutzerN/A angezeigt. Für metrische Definitionen siehe Third-party agent observability (Frontier).

Zugriff erneuern oder entziehen

Um das Client-Geheimnis zu rotieren:

  1. Generiere in Databricks ein neues OAuth-Geheimnis für den Service Principal. Ein Service Principal kann bis zu fünf Geheimschlüssel haben, sodass du den neuen Geheimschlüssel erstellen kannst, bevor du den alten löschst.
  2. Im Microsoft 365 Admin Center öffnen Sie die Verbindung und wählen Sie Bearbeiten. Gib das neue Client-Geheimnis ein, wähle Authentifizierung überprüfen und speichere dann die Verbindung.
  3. In Databricks löschen Sie das alte Geheimnis aus dem Secrets-Tab des Service-Prinzipals.

Zugriff widerrufen:

  • Um den Zugriff auf einen bestimmten Genie-Agenten zu verhindern, entferne den Service-Principal aus den Sharing-Einstellungen des Genie-Agenten.
  • Um jeglichen Zugriff zu stoppen, löschen Sie die OAuth-Geheimnisse des Service Principal oder entfernen Sie den Service Principal aus dem Arbeitsbereich.

Troubleshoot

Symptom Wahrscheinliche Ursache Resolution
Überprüfung der Authentifizierung schlägt fehl Die Client-ID oder das Secret ist falsch oder enthält zusätzliche Leerzeichen, das Secret ist abgelaufen oder wurde gelöscht, oder die URL des Arbeitsbereichs gehört zu einem anderen Arbeitsbereich Kopiere die Werte erneut, generiere bei Bedarf ein neues Geheimnis und gib die Workspace-URL nur mit Scheme und Host ein.
Die Verifikation gelingt, aber keine Agenten oder nur einige Agenten synchronisieren sich Der Dienstprinzipal kann nicht auf die Genie-Agenten zugreifen, oder die Agenten wurden vor wenigen Momenten freigegeben Teile die Genie-Agenten mit dem Service-Principal oder mache ihn zu einem Workspace-Administrator. Warte ein oder zwei Minuten und wähle dann Sync agents aus.
Agenten zeigen Anweisungen oder Wissensquellen nicht an Der Dienstprinzipal hat nur die Berechtigung Can View Gewähren Sie für den Genie-Agenten Kann bearbeiten oder Kann verwalten und synchronisieren Sie dann erneut.
Agenten synchronisieren, aber Aktivität zeigt keine Sitzungen an Collect Agent Observability-Daten ist deaktiviert, der Service Principal hat kein Can Manage, niemand hat den Agent genutzt oder die Verarbeitung ist noch im Gange Wählen Sie auf der Verbindung Beobachtbarkeitsdaten des Agenten erfassen aus, gewähren Sie Kann verwalten, interagieren Sie mit dem Agenten und überprüfen Sie später erneut.
Genie-Agenten sind in Databricks nicht verfügbar Partnergestützte KI-Funktionen sind für das Konto oder den Arbeitsbereich deaktiviert Bitten Sie einen Databricks-Kontoadministrator, Partner-gestützte KI-Funktionen zu aktivieren.
Das Client-Secret ist verloren Databricks zeigt ein Geheimnis nur einmal an Generiere ein neues Secret und aktualisiere die Verbindung.

Teste die Zugangsdaten außerhalb von Agent 365

Wenn die Verifizierung weiterhin fehlschlägt, kann ein Databricks-Administrator die Zugangsdaten direkt testen. Setzen Sie die Umgebungsvariablen DATABRICKS_CLIENT_ID und DATABRICKS_CLIENT_SECRET und fordern Sie dann ein Zugriffstoken aus dem Arbeitsbereich an. Ersetzen Sie <workspace-host> durch den Host der Workspace-URL.

curl --request POST "https://<workspace-host>/oidc/v1/token" \
  --user "$DATABRICKS_CLIENT_ID:$DATABRICKS_CLIENT_SECRET" \
  --data "grant_type=client_credentials&scope=all-apis"

Eine erfolgreiche Antwort ist ein JSON-Objekt, das einen access_token Wert und ein token_type von Bearerenthält. Um zu überprüfen, auf welche Genie-Agenten der Service-Principal zugreifen kann, setzen Sie die DATABRICKS_TOKEN Umgebungsvariable auf den Wert access_token und listen Sie dann die Genie-Agenten auf:

curl --request GET "https://<workspace-host>/api/2.0/genie/spaces" \
  --header "Authorization: Bearer $DATABRICKS_TOKEN"

Speichere oder teile das Zugangstoken nicht.

Für Verbindungsprobleme, die nicht spezifisch für Databricks Genie sind, siehe Troubleshoot connected platforms.

  • Zuletzt aktualisiert um