Informe automático de preparación para la gestión de identidades

El informe de preparación para la gestión automática de identidades ayuda a los administradores de cuentas a identificar y resolver divergencias externas de ID y membresía de grupo entre Azure Databricks y tu proveedor de identidad (IdP). Dado que la gestión automática de identidades solo funciona dentro de espacios de trabajo federados por identidad, Databricks recomienda habilitar la federación de identidades en todos los espacios de trabajo de la cuenta.

Para obtener información general sobre la administración automática de identidades, consulte Administración automática de identidades. Para migrar una cuenta existente, consulte Migrar a la gestión automática de identidades con Microsoft Entra ID.

Sobre las divergencias

La gestión automática de identidades requiere un espacio de trabajo federado por identidad. Utiliza un externalId para vincular directamente a los usuarios y grupos de Azure Databricks con tu proveedor de identidad, específicamente con el ID de objeto en Microsoft Entra ID o el ID de usuario o de grupo en Okta.

Los valores ausentes o incorrectos externalId rompen las sincronizaciones de metadatos y crean identidades duplicadas. Como las membresías de grupo de Azure Databricks son editables, también pueden desincronizarse con tu proveedor de identidad y causar complicaciones si se desactiva la provisión SCIM.

Nota:

El informe de preparación solo está disponible para administradores de cuentas.

Cuestiones que detecta el informe

El informe te ayuda a descubrir identidades provisionadas en Azure Databricks cuyos IDs externos no tienen una coincidencia correspondiente en tu proveedor de identidad. También detecta divergencias entre Azure Databricks y las membresías de grupos de proveedores de identidade. Los siguientes ejemplos muestran problemas que el informe te ayuda a detectar y resolver.

Las identidades duplicadas aparecen en el producto

Cuando aparecen dos identidades con el mismo nombre pero fuentes diferentes en las interfaces de administración de Azure Databricks, normalmente es una configuración incorrecta del ID externo. Tanto una identidad de cuenta como una identidad del proveedor de identidades aparecen en las interfaces de usuario de administración y en los cuadros de diálogo para compartir.

Para resolver este problema, corregir las siguientes categorías de error:

  • AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP
  • AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH
  • AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

El recuento de miembros del grupo en el proveedor de identidad no coincide con el recuento en Azure Databricks

Las interfaces de Azure Databricks muestran el número de miembros del proveedor de identidad. El recuento excluye a los miembros que existen en el grupo de Azure Databricks pero no en el proveedor de identidad, aunque esas membresías sigan otorgando permisos.

Para resolver este problema, corregir la siguiente categoría de error:

  • AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

La provisión de un grupo de proveedores de identidad falla

Cuando importas un grupo proveedor de identidad, podrías recibir un error de que el grupo ya existe en Azure Databricks. Un grupo de cuentas existente suele reservar el nombre, porque Azure Databricks impone nombres de grupo únicos.

Para resolver este problema, corregir la siguiente categoría de error:

  • AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Un nombre de usuario o principal de servicio en Azure Databricks no coincide con el proveedor de identidad

El nombre único de un usuario o del principal de servicio (el nombre de usuario de un usuario, o el ID de aplicación de un principal de servicio) coincide con la identidad de un proveedor de identidad, pero su nombre de visualización difiere. Como la gestión automática de identidad coincide con el nombre único, la siguiente sincronización sobrescribe el nombre de visualización de Azure Databricks con el valor de tu proveedor de identidad. Esta categoría se aplica únicamente a usuarios y responsables de servicio. No se comprueba si hay discrepancias en los nombres para mostrar de los grupos.

Para resolver este problema, corregir la siguiente categoría de error:

  • AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_DISPLAY_NAME_MISMATCH

Haz el informe de preparación

  1. Inicia sesión en la consola de cuentas de Azure Databricks como administrador de cuentas.
  2. Ve a Seguridad>.
  3. En la sección de Gestión de Identidad , inicia un nuevo escaneo. Puedes iniciar un escaneo independientemente de si la gestión automática de identidades está activada o no.
  4. Espera a que termine el procesamiento del escaneo. Esto puede llevar desde unos minutos hasta varias horas, dependiendo del tamaño de tu cuenta.
  5. Cuando el escaneo termina, al abrirlo se obtiene la misma sección.

Una vez completada la exploración, puedes solicitar una nueva exploración. Para volver a comprobar un único principio, haz clic en Actualizar en el principal. Una vez resuelto el problema, la entidad ya no aparecerá en la lista de configuraciones erróneas.

También puedes descargar un CSV con los resultados completos del escaneo o de los resultados de una sola categoría. Consulta Interpretar la salida del informe para saber cómo leer el CSV.

Interpreta la salida del informe

La exportación CSV contiene las siguientes columnas:

  • principalId: El ID interno de Azure Databricks.
  • principalType: El tipo de entidad correspondiente al ID de entidad. Puede ser un usuario, grupo o entidad de servicio.
  • category: La categoría de error del identificador principal. Consulta Categorías de errores y remediación para más información.
  • localPrincipalExternalId: El ID externo almacenado en Azure Databricks para el principal provisionado de Azure Databricks.
  • localPrincipalName: El nombre de usuario, ID de aplicación o nombre de grupo almacenado en Azure Databricks para el principal provisionado de Azure Databricks.
  • idpPrincipalExternalId: El ID externo almacenado en el proveedor de identidad para una entidad determinada.
  • idpPrincipalName: El nombre de usuario, ID de aplicación o nombre de grupo almacenado en el proveedor de identidad de un principal dado.
  • localPrincipalDisplayName: El nombre de visualización almacenado en Azure Databricks para el principal provisionado de Azure Databricks.
  • idpPrincipalDisplayName: El nombre de visualización almacenado en el proveedor de identidad para un principal dado.
  • localMembersWithExternalId: IDs internos separados por punto y coma de miembros del grupo que tienen un ID externo pero no pertenecen al grupo proveedor de identidad.
  • localMembersWithoutExternalId: IDs internos separados por punto y coma de los miembros del grupo que existen solo en Azure Databricks y no tienen ID externo.
  • hasMoreLocalMembersWithExternalId: Si hay más elementos localMembersWithExternalId de los incluidos en el CSV.
  • hasMoreLocalMembersWithoutExternalId: Si hay más elementos localMembersWithoutExternalId de los incluidos en el CSV.
  • failureReason: El motivo por el que falló el análisis de la entidad.

Categorías de errores y remediación

El informe agrupa los problemas en las categorías de error que aparecen a continuación. Cada categoría explica qué significa el error y cómo solucionarlo. Corrija cada entidad afectado siguiendo la solución correspondiente a su categoría.

AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP

La identidad aprovisionada tiene un ID externo establecido, pero no coincide con ninguna identidad del mismo tipo en el proveedor de identidad. El externalId tiene una configuración incorrecta.

Para resolver:

  1. Actualízalo externalId a un valor válido, o elimínalo. Si configuras una nueva externalId, asegúrate de que ninguna otra identidad la use. Consulte Actualizar el ID externo de un principal o Eliminar el ID externo de un grupo.
  2. Para determinar cuál externalId usar, consulta la AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH categoría.

Si no se resuelve: Si el externalId debe vincularse a una identidad de un proveedor de identidades, es posible que veas identidades duplicadas: una con un externalId incorrecto y otra del proveedor de identidades.

AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH

La identidad de Azure Databricks tiene un ID externo que se asigna a una identidad con un nombre único diferente en el proveedor de identidad.

Para resolver:

  • Usuarios y entidades de servicio: Actualizar el nombre de usuario de Azure Databricks. Abre un ticket de soporte para solicitar el cambio.
  • Grupos: Comprueba si algún grupo de cuentas reserva el nombre del grupo (Azure Databricks aplica nombres de grupo únicos). Si es así, cambia el nombre al grupo de cuentas para que el grupo externo pueda reclamar el nombre.

Si no se resuelve: Cuando los usuarios inician sesión, esto suele crear un segundo usuario con el mismo externalId nombre de usuario pero diferente. En los grupos, el grupo externo a menudo no puede sincronizar su nombre con su homólogo proveedor de identidad.

AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

La identidad de Azure Databricks tiene una única coincidencia de nombre con una identidad del proveedor de identidades, pero su externalId no coincide.

Para resolver, en la mayoría de los casos, actualiza Azure Databricks externalId para que coincida con la identidad del proveedor de identidad. Confirma que esto es correcto para tu configuración, porque puede variar según tu proveedor de identidad y los datos locales. Usa el idpPrincipalExternalId campo para encontrar el externalId que debes usar, luego sigue Actualizar el ID externo de un principal.

Si no se resuelve: Podrías ver identidades duplicadas: una con una incorrecta o faltante externalId y otra del proveedor de identidad. Aprovisionar un grupo proveedor de identidad con el mismo nombre también podría fallar, porque un grupo de cuentas ya usa ese nombre (Azure Databricks impone nombres de grupo únicos).

AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_DISPLAY_NAME_MISMATCH

Un usuario o entidad de servicio de Azure Databricks tiene una coincidencia de nombre única con una identidad del proveedor de identidad, pero su nombre para mostrar es diferente. El nombre único es el nombre de usuario de un usuario, o el ID de aplicación de un principal de servicio. Como la gestión automática de identidad coincide con el nombre único, trata el nombre de visualización del proveedor de identidad como la fuente de verdad. Esta categoría se aplica únicamente a usuarios y responsables de servicio. No se comprueba si hay discrepancias en los nombres para mostrar de los grupos.

Para resolverlo, confirma que el nombre visible en tu proveedor de identidad es correcto. Si quieres mantener el nombre de visualización de Azure Databricks, actualiza el usuario o el principal del servicio en tu proveedor de identidad antes de la siguiente sincronización.

Si no se resuelve: La siguiente sincronización sobrescribe el nombre de visualización de Azure Databricks con el valor del proveedor de identidad. Esto es disruptivo si dependes del nombre de visualización, por ejemplo, en automatizaciones que lo referencian.

AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

El grupo de Azure Databricks tiene miembros, con o sin externalId, que no tienen una membresía correspondiente en el proveedor de identidad.

Para resolverlo, haz que el proveedor de identidad sea la fuente de la verdad: Databricks recomienda eliminar miembros añadidos localmente del grupo usando SCIM. Si un miembro pertenece al grupo, créalo en el proveedor de identidad y añádelo al grupo de proveedores de identidad. Consulta los campos localMembersWithExternalId y localMembersWithoutExternalId en la salida para los miembros afectados.

Si no se resuelve: Los miembros heredan permisos del grupo proveedor de identidad pero no aparecen en el proveedor de identidad, lo que dificulta auditar permisos. El número de miembros en la interfaz refleja únicamente a los miembros proveedores de identidad, por lo que excluyen a estos miembros.

Actualizar el ID externo de un principal

Para actualizar el externalId, utiliza la API SCIM de la cuenta. Para el formato completo de la solicitud, consulte la referencia de la API Account SCIM v2.1.

Tip

Registra las llamadas a la API que hagas para poder revertir los cambios si surge algún problema durante el proceso.

Envíe una PATCH solicitud al punto de conexión para el tipo de entidad:

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/<Users|Groups|ServicePrincipals>/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": "<new-external-id>"
    }
  ]
}

Eliminar el ID externo de un grupo

Para eliminar el externalId para un grupo, utiliza la API SCIM de la cuenta. Establezca el valor en una cadena vacía.

Nota:

Azure Databricks actualmente soporta esta operación solo para grupos.

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/Groups/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": ""
    }
  ]
}

Recursos adicionales

Resource Description
Gestión automática de identidades Resumen de la gestión automática de identidades y cómo sincroniza las identidades sin SCIM.
Migrar a la gestión automática de identidades con Microsoft Entra ID Migra una cuenta existente a la gestión automática de identidad.
  • Se actualizó por última vez el