Rapport automatique de préparation à la gestion des identités

Le rapport de préparation à la gestion automatique des identités aide les administrateurs de compte à identifier et résoudre les divergences d’identification externe et d’appartenance à des groupes entre Azure Databricks et votre fournisseur d’identité (IdP). Parce que la gestion automatique des identités ne fonctionne que dans les espaces de travail fédérés par identité, Databricks recommande d’activer la fédération d’identité dans tous les espaces de travail du compte.

Pour obtenir une vue d’ensemble de la gestion automatique des identités, consultez Gestion automatique des identités. Pour migrer un compte existant, voir Migrer vers la gestion automatique d’identité avec Microsoft Entra ID.

À propos des divergences

La gestion automatique des identités nécessite un espace de travail fédéré d’identité. Il utilise un externalId pour lier directement les utilisateurs et groupes d’Azure Databricks à votre fournisseur d’identité, en particulier l’ID d’objet dans Microsoft Entra ID ou l’ID utilisateur ou l’ID de groupe dans Okta.

Des valeurs manquantes ou incorrectes externalId brisent les synchronisations des métadonnées et créent des identités dupliquées. Comme les adhésions aux groupes Azure Databricks sont modifiables, elles peuvent aussi se désynchroniser avec votre fournisseur d’identité et causer des complications si le provisionnement SCIM est désactivé.

Problèmes détectés par le rapport

Le rapport vous aide à découvrir les identités provisionnées dans Azure Databricks dont les identifiants externes n'ont pas de correspondance correspondante à votre fournisseur d'identité. Il détecte également les divergences entre Azure Databricks et les appartenances aux groupes de fournisseurs d’identité. Les exemples suivants montrent des problèmes que le rapport vous aide à détecter et à résoudre.

Des identités en double apparaissent dans le produit

Lorsque deux identités portant le même nom mais des sources différentes apparaissent dans les interfaces d’administration Azure Databricks, un identifiant externe mal configuré en est généralement la cause. Un seul compte et un fournisseur d’identité apparaissent tous deux dans les interfaces d’administration et les dialogues de partage.

Pour résoudre ce problème, corrigez les catégories d’erreur suivantes :

• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP
• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH
• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Le nombre de membres du groupe dans le fournisseur d'identité ne correspond pas à celui d'Azure Databricks

Les interfaces Azure Databricks affichent le nombre de membres provenant du fournisseur d’identité. Le décompte exclut les membres existant dans le groupe Azure Databricks mais pas dans le fournisseur d’identité, même si ces adhésions accordent toujours des permissions.

Pour résoudre ce problème, corrigez la catégorie d’erreur suivante :

• AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

Le provisionnement d’un groupe de fournisseurs d’identité échoue

Lorsque vous importez un groupe de fournisseur d’identité, vous pouvez recevoir une erreur indiquant que le groupe existe déjà dans Azure Databricks. Un groupe de comptes existant réserve généralement ce nom, car Azure Databricks impose des noms de groupes uniques.

Pour résoudre ce problème, corrigez la catégorie d’erreur suivante :

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Un nom d'affichage utilisateur ou principal de service dans Azure Databricks ne correspond pas au fournisseur d'identité

Le nom unique d’un utilisateur ou d’un principal de service (le nom d’utilisateur d’un utilisateur, ou l’ID d’application d’un principal de service) correspond à l’identité d’un fournisseur d’identité, mais son nom d’affichage diffère. Comme la gestion automatique des identités s’appuie sur le nom unique pour effectuer la correspondance, la synchronisation suivante remplace le nom d’affichage dans Azure Databricks par la valeur issue de votre fournisseur d’identité. Cette catégorie s’applique uniquement aux utilisateurs et aux principaux de service. Les groupes ne sont pas vérifiés pour la divergence des noms affichés.

Pour résoudre ce problème, corrigez la catégorie d’erreur suivante :

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_DISPLAY_NAME_MISMATCH

Un utilisateur ou un principal de service est désactivé ou réactivé par une synchronisation automatique de gestion d’identité

Le nom unique d'un utilisateur ou d'un principal de service correspond à l'identité d'un fournisseur d'identité, mais son statut actif diffère : il est actif dans Azure Databricks et inactif dans le fournisseur d'identité, ou inactif dans Azure Databricks et actif dans le fournisseur d'identité. Comme la gestion automatique des identités synchronise le statut de votre fournisseur d’identité, la synchronisation suivante désactive ou réactive l’identité Azure Databricks pour qu’elle corresponde. Cette catégorie s’applique uniquement aux utilisateurs et aux principaux de service. Les groupes ne sont pas vérifiés pour la divergence de statut.

Pour résoudre ce problème, examinez la catégorie d’erreur suivante :

• AIM_MISCONFIGURATION_CATEGORY_STATUS_MISMATCH

Exécutez le rapport de préparation

1. Connectez-vous à la console de compte Azure Databricks en tant qu’administrateur de compte.
2. Accédez à Sécurité>.
3. Dans la section Gestion d’identité , lancez un nouveau scan. Vous pouvez lancer un scan que la gestion automatique d’identité soit activée ou non.
4. Attendez que le scan termine le traitement. Cela peut prendre de quelques minutes à plusieurs heures, selon la taille de votre compte.
5. Une fois l’analyse terminée, ouvrez les résultats de l’analyse dans la même section.

Après la fin de l’examen, vous pouvez demander un nouveau scan. Pour vérifier de nouveau un seul principal, cliquez sur Actualiser pour ce principal. Après avoir résolu le problème, le principal n’apparaît plus dans la liste des erreurs de configuration.

Vous pouvez également télécharger un CSV de l’ensemble des résultats du scan ou des résultats d’une seule catégorie. Voir Interpréter la sortie du rapport pour savoir comment lire le CSV.

Interpréter la sortie du rapport

L’export CSV contient les colonnes suivantes :

• principalId: Identifiant interne d’Azure Databricks.
• principalType : le type d’ID de principal. Il peut s’agir d’un utilisateur, d’un groupe ou d’un principal de service.
• category: La catégorie d’erreur pour l’ID principal. Voir Catégories d’erreur et correction pour plus d’informations.
• localPrincipalExternalId: L’identifiant externe stocké dans Azure Databricks pour le principal Azure Databricks provisionné.
• localPrincipalName: Le nom d’utilisateur, l’identifiant d’application ou le nom de groupe stocké dans Azure Databricks pour le principal Azure Databricks provisionné.
• idpPrincipalExternalId : Identifiant externe enregistré dans le fournisseur d’identité pour un principal donné.
• idpPrincipalName: Le nom d’utilisateur, l’identifiant de l’application ou le nom du groupe stocké dans le fournisseur d’identité pour un principal donné.
• localPrincipalDisplayName: Le nom d’affichage enregistré dans Azure Databricks pour le principal Azure Databricks provisionné.
• idpPrincipalDisplayName: Le nom d’affichage stocké dans le fournisseur d’identité pour un principal donné.
• localPrincipalStatus: Le statut du principal Azure Databricks provisionné, soit PRINCIPAL_STATUS_ACTIVE ou PRINCIPAL_STATUS_INACTIVE.
• idpPrincipalStatus: Le statut de l’identité correspondante du fournisseur d’identité, soit PRINCIPAL_STATUS_ACTIVE, soit PRINCIPAL_STATUS_INACTIVE.
• localMembersWithExternalId: IDs internes séparés en point-virgule des membres du groupe qui possèdent un ID externe mais ne font pas partie du groupe fournisseur d’identité.
• localMembersWithoutExternalId: IDs internes séparés en point-virgule des membres du groupe qui n’existent que dans Azure Databricks et n’ont pas d’ID externe.
• hasMoreLocalMembersWithExternalId: S’il y a plus localMembersWithExternalId de membres que ceux fournis dans le CSV.
• hasMoreLocalMembersWithoutExternalId: S’il y a plus localMembersWithoutExternalId de membres que ceux fournis dans le CSV.
• failureReason : la raison pour laquelle l’analyse du principal a échoué.

Catégories d’erreurs et correction

Le rapport regroupe les problèmes dans les catégories d’erreur ci-dessous. Chaque catégorie explique ce que signifie l’erreur et comment la résoudre. Corrigez chaque principal concerné à l’aide de la résolution correspondant à sa catégorie.

Mettre à jour l’ID externe d’un principal

Pour mettre à jour le externalId, utilisez l’API SCIM du compte. Pour le format complet de la requête, voir Account SCIM v2.1 API reference.

Envoyez une PATCH requête au point de terminaison pour le type principal :

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/<Users|Groups|ServicePrincipals>/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": "<new-external-id>"
    }
  ]
}

Supprimez l’identifiant externe d’un groupe

Pour supprimer le externalId pour un groupe, utilisez l’API SCIM du compte. Définissez la valeur sur une chaîne vide.

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/Groups/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": ""
    }
  ]
}

Ressources additionnelles