Eseguire la migrazione alla gestione automatica delle identità con Microsoft Entra ID

Questa pagina descrive come eseguire la migrazione di un account Azure Databricks alla gestione automatica delle identità con Microsoft Entra ID.

Per una panoramica della gestione automatica delle identità, vedere Gestione automatica delle identità.

Prerequisiti

Prima di abilitare la gestione automatica delle identità, verificare che l'ambiente soddisfi i requisiti seguenti.

Ruoli e responsabilità

Cosa rimane lo stesso

Quando si abilita la gestione automatica delle identità, vengono mantenute le operazioni seguenti:

• Appartenenze ai gruppi sincronizzate con SCIM: la gestione automatica delle identità non rimuove le appartenenze ai gruppi originariamente sincronizzate da SCIM. Questa operazione è progettata per evitare l'interruzione di processi e autorizzazioni che dipendono da tali appartenenze.
• Autorizzazioni esistenti: le autorizzazioni dell'area di lavoro e di Unity Catalog continuano a fare riferimento agli stessi principal.
• Sessioni attive: la gestione automatica delle identità non forza gli accessi utente o interrompe le sessioni in esecuzione.
• Processi in esecuzione: le entità servizio autenticate con le credenziali correnti continuano a operare.
• Gruppi locali dell'area di lavoro: la gestione automatica delle identità gestisce solo le identità a livello di account. I gruppi locali dell'area di lavoro continuano a funzionare, ma non vengono sincronizzati da Microsoft Entra ID.
• Service principal solo di Databricks: i service principal non registrati in Microsoft Entra ID rimangono invariati.

Eseguire la migrazione senza provisioning SCIM esistente

Usa questo percorso se il tuo account Azure Databricks non dispone del provisioning SCIM a livello di account. Questo è il percorso di migrazione più semplice.

1. Verifica le automazioni che fanno riferimento alle entità servizio tramite il nome visualizzato.

   Quando la gestione automatica delle identità è abilitata, Azure Databricks considera Microsoft Entra ID come fonte autorevole e sovrascrive i nomi visualizzati personalizzati delle entità servizio con quelli di Microsoft Entra ID. Per evitare flussi di lavoro interrotti, aggiornare qualsiasi automazione (ad esempio configurazioni o script di Terraform) per fare riferimento alle entità servizio in base all'ID applicazione anziché al nome visualizzato.

2. Abilitare la gestione automatica delle identità:

   1. Come amministratore dell'account, accedere alla console dell'account.
   2. Fare clic su Sicurezza.
   3. Nella scheda Provisioning degli utenti, imposta Gestione automatica delle identità su Abilitato.
   4. Attendere da 5 a 10 minuti perché la modifica venga propagata.

3. (Facoltativo) Configurare l'elenco di blocco dell'accesso all'account. Usare l'elenco di blocco per l'accesso all'account per impedire a specifiche identità di Microsoft Entra ID di accedere all'account Azure Databricks. Vedi Negare alle identità l'accesso all'account.

4. (Facoltativo) Inviare una notifica agli amministratori dell'area di lavoro. Condividere la panoramica della gestione automatica delle identità con gli amministratori dell'area di lavoro in modo che comprendano le modifiche di comportamento previste, incluso il provisioning JIT.

Dopo aver abilitato la gestione automatica delle identità, completare i passaggi di convalida.

Eseguire la migrazione dal provisioning SCIM esistente

Usa questo percorso se l'account Azure Databricks usa attualmente il provisioning SCIM a livello di account. Databricks consiglia di abilitare la gestione automatica delle identità insieme al provisioning SCIM esistente ed eseguire entrambi in parallelo. È possibile disabilitare SCIM dopo la convalida del corretto funzionamento della gestione automatica delle identità.

Modifiche apportate quando si abilita la gestione automatica delle identità

Preparare la migrazione

1. Eseguire lo script di preparazione per l'abilitazione della gestione automatica delle identità dalla Knowledge Base di Databricks.

   Questo script identifica e risolve i disallineamenti degli ID esterni tra Azure Databricks e Microsoft Entra ID e individua quali aree di lavoro sono abilitate alla federazione delle identità.

   Note

   La gestione automatica delle identità usa l'Microsoft Entra ID objectId come collegamento autorevole per la sincronizzazione delle identità. Se il externalId di un'entità in Azure Databricks non corrisponde al relativo ID di Microsoft Entra objectId, la gestione automatica delle identità può creare un'entità duplicata. Eseguire lo script di individuazione prima di abilitare la gestione automatica delle identità per identificare e correggere eventuali mancate corrispondenze.

2. Verifica le automazioni che fanno riferimento alle entità servizio tramite il nome visualizzato.

   Quando la gestione automatica delle identità è abilitata, Azure Databricks considera Microsoft Entra ID come fonte autorevole e sovrascrive i nomi visualizzati personalizzati delle entità servizio con quelli di Microsoft Entra ID. Per evitare flussi di lavoro interrotti, aggiornare qualsiasi automazione (ad esempio configurazioni o script di Terraform) per fare riferimento alle entità servizio in base all'ID applicazione anziché al nome visualizzato.

3. (Facoltativo) Configurare l'elenco di blocco dell'accesso all'account. Vedi Negare alle identità l'accesso all'account.

4. (Facoltativo) Inviare una notifica agli amministratori dell'area di lavoro. Condividere la panoramica della gestione automatica delle identità con gli amministratori dell'area di lavoro in modo che comprendano le modifiche di comportamento previste, incluso il provisioning JIT.

Abilitare la gestione automatica delle identità

1. Come amministratore dell'account, accedere alla console dell'account.
2. Fare clic su Sicurezza.
3. Nella scheda Provisioning degli utenti, imposta Gestione automatica delle identità su Abilitato.
4. Attendere da 5 a 10 minuti perché la modifica venga propagata.

La gestione automatica delle identità e il provisioning SCIM vengono eseguiti in parallelo quando entrambi sono attivi. SCIM continua a gestire le identità di cui ha originariamente effettuato il provisioning. Dopo aver convalidato la gestione automatica delle identità, è possibile disabilitare SCIM. Vedere Disabilitare il provisioning SCIM.

Convalidare la gestione automatica delle identità

Dopo aver abilitato la gestione automatica delle identità, verificare che le identità siano sincronizzate correttamente.

Test per ruolo

Chiedere a un utente rappresentativo di ogni ruolo di eseguire i test seguenti.

Amministratore dell'account

1. Effettuare il provisioning di un utente dalla console dell'account:

   1. Vai a Console account > Gestione utenti > Utenti e fai clic su Aggiungi utente.
   2. Cercare un utente in Microsoft Entra ID di cui non è stato effettuato il provisioning in Azure Databricks
   3. Selezionare l'utente e fare clic su Aggiungi utente.
   4. Verificare che l'utente venga visualizzato in Azure Databricks con lo stato Active.

2. Effettuare il provisioning di un gruppo dalla console dell'account:

   1. Passare a Gruppi di gestione > utenti della console > account e fare clic su Aggiungi gruppo.
   2. Cerca un gruppo in Microsoft Entra ID che non è stato sottoposto a provisioning in Azure Databricks.
   3. Verificare che il gruppo venga visualizzato in Azure Databricks. I membri del gruppo vengono provisionati solo quando effettuano l'accesso.

3. Verificare l'accesso all'area di lavoro:

   1. Assegnare il gruppo dal passaggio precedente a un'area di lavoro.
   2. Chiedere a un membro del gruppo di eseguire l'autenticazione nell'area di lavoro.
   3. Confermare che l'autenticazione riesca e che venga effettuato il provisioning dell'utente in Azure Databricks e che l'utente venga aggiunto all'area di lavoro.

Amministratore dell'area di lavoro

1. Effettuare il provisioning di un utente dall'area di lavoro:

   1. Passare a Impostazioni > Identità e Accesso > Gestisci utenti e fare clic su Aggiungi utente.
   2. Cercare un utente in Microsoft Entra ID di cui non è stato eseguito il provisioning in Azure Databricks.
   3. Verificare che l'utente venga visualizzato con lo stato Attivo.

2. Effettuare il provisioning di un gruppo dall'area di lavoro:

   1. Aprire un asset dell'area di lavoro, ad esempio una query o un dashboard, e fare clic su Condividi.
   2. Cercare un gruppo in Microsoft Entra ID di cui non è stato eseguito il provisioning in Azure Databricks e condividere l'asset con tale gruppo.
   3. Verificare che sia stato effettuato il provisioning del gruppo in Azure Databricks.
   4. Chiedere ai membri del gruppo di eseguire l'autenticazione nell'area di lavoro e verificare che possano accedere all'asset condiviso.

Verificare la gestione automatica delle identità nei log di controllo

Eseguire una query sulla system.access.audit tabella per verificare che la gestione automatica delle identità sia attiva. Un conteggio diverso da zero di eventi come add, addPrincipalToGroup, createGroup e updateUser conferma che le identità vengono sincronizzate.

SELECT action_name, count(*) AS n
FROM system.access.audit
WHERE request_params.endpoint = 'autoUserCreation'
  AND event_time > current_timestamp() - INTERVAL 2 DAYS
GROUP BY action_name
ORDER BY n DESC;

Per altre informazioni sugli eventi di controllo automatico della gestione delle identità, vedere Controllare gli eventi di gestione automatica delle identità.

Disabilitare la gestione automatica delle identità

Per i passaggi per disabilitare la gestione automatica delle identità, vedere Disabilitare la gestione automatica delle identità.

Quando si disabilita la gestione automatica delle identità dopo la migrazione da SCIM:

• Le identità create dalla gestione automatica delle identità rimangono in Azure Databricks, ma non vengono più sincronizzate con Microsoft Entra ID.
• Le appartenenze ai gruppi sincronizzate dalla gestione automatica delle identità non vengono più usate per risolvere le autorizzazioni. Gli utenti che in precedenza hanno ereditato le autorizzazioni tramite tali appartenenze ai gruppi perdono l'accesso.
• Gli utenti autenticati per Azure Databricks mentre la gestione automatica delle identità era attiva possono continuare ad accedere ai dashboard visualizzati in precedenza, ma le appartenenze ai gruppi non vengono aggiornate da Microsoft Entra ID.
• Gli utenti che non hanno mai eseguito l'accesso Azure Databricks non possono accedervi dopo la disabilitazione della gestione automatica delle identità, anche se appartengono a un gruppo assegnato in Microsoft Entra ID.

Databricks consiglia di configurare il provisioning SCIM prima di disabilitare la gestione automatica delle identità. Vedere Configurare il provisioning SCIM usando Microsoft Entra ID (Azure Active Directory).

Disabilitare il provisioning SCIM

Dopo aver convalidato la gestione automatica delle identità, è possibile disabilitare facoltativamente il provisioning SCIM. Disabilitare SCIM solo dopo aver verificato che tutte le condizioni seguenti siano soddisfatte nell'ambiente:

• No gruppi annidati: la struttura di identità non si basa sulle appartenenze ai gruppi annidati in Microsoft Entra ID.
• Allineamento dell'ID esterno: i gruppi sono stati replicati da Microsoft Entra ID tramite l'app connettore SCIM, quindi i valori externalId in Azure Databricks corrispondono ai valori objectId corrispondenti in Microsoft Entra ID. Usare lo script di individuazione dell'istanza del cliente per identificare e risolvere eventuali mancate corrispondenze.
• No modifiche all'appartenenza locale: le appartenenze ai gruppi sono state gestite solo tramite SCIM e non sono state modificate manualmente in Azure Databricks. Lo script di individuazione dell'istanza del cliente può rilevare le appartenenze modificate localmente.

Se l'ambiente non soddisfa tutte queste condizioni, Databricks consiglia di continuare a eseguire il provisioning SCIM e la gestione automatica delle identità in parallelo.

Limitazioni note dopo la disabilitazione di SCIM

Appartenenze a gruppi sincronizzati SCIM persistenti

Le appartenenze ai gruppi sincronizzate da SCIM vengono mantenute dopo la disabilitazione di SCIM. Ad esempio, se un gruppo figlio C è annidato nel gruppo padre P in Microsoft Entra ID e la relazione da C a P viene rimossa in seguito in Microsoft Entra ID, l'utente può comunque ereditare le autorizzazioni da P perché l'appartenenza rimane in Azure Databricks. Databricks consiglia di pulire le appartenenze dirette ai gruppi da gruppi esterni prima di disabilitare SCIM.

Ambienti con strutture di gruppo annidate

Per gli ambienti che usano strutture di gruppo annidate, Databricks consiglia di continuare a eseguire il provisioning SCIM insieme alla gestione automatica delle identità per mantenere sincronizzate le appartenenze ai gruppi annidati.

Appartenenze ai gruppi modificate manualmente

Se le appartenenze ai gruppi sono state modificate manualmente in Azure Databricks, tali appartenenze non vengono sincronizzate con Microsoft Entra ID dopo aver disabilitato SCIM e potrebbero diventare non aggiornati nel tempo. Seguire le istruzioni riportate nello script di preparazione dell'abilitazione della gestione delle identità automatica dalla Knowledge Base di Databricks per identificare e correggere le appartenenze ai gruppi modificate manualmente prima di disabilitare SCIM.

Considerazioni sulla migrazione

I gruppi annidati devono essere assegnati in modo esplicito a un'area di lavoro

Quando si usano gruppi di Microsoft Entra ID annidati, i gruppi figlio non sono automaticamente disponibili per la condivisione delle risorse all'interno di un'area di lavoro. Per concedere a un gruppo figlio le autorizzazioni per gli oggetti dell'area di lavoro, ad esempio notebook o query, è necessario assegnare il gruppo figlio direttamente all'area di lavoro, anche se il relativo gruppo padre è già assegnato.

Ad esempio, se il gruppo padre P contiene il gruppo figlio C e solo P viene assegnato all'area di lavoro, non è possibile concedere autorizzazioni per le risorse dell'area di lavoro finché non viene assegnato anche C.

Il provisioning dei membri del gruppo viene effettuato in base al just-in-time

A differenza di SCIM, la gestione automatica delle identità non sincronizza in modo proattivo le appartenenze ai gruppi in Azure Databricks. Il provisioning dei membri del gruppo avviene quando sono attivi in Azure Databricks (ad esempio, accedendo) o quando un amministratore dell'account o dell'area di lavoro li aggiunge esplicitamente.

Gli utenti eliminati non vengono disattivati immediatamente

Quando un utente viene eliminato da Microsoft Entra ID, continuano a essere visualizzati come attivi in Azure Databricks. Non possono accedere, ma lo stato non viene aggiornato automaticamente.

Le modifiche all'indirizzo di posta elettronica creano nuovi utenti

Se l'indirizzo di posta elettronica di un utente cambia in Microsoft Entra ID (ad esempio, alice@example.com diventa alice-new@example.com), la gestione automatica delle identità crea un nuovo utente in Azure Databricks anziché aggiornare il record esistente. Questo comportamento è coerente con il comportamento SCIM corrente. Per le modifiche all'indirizzo di posta elettronica, contattare il supporto tecnico di Databricks.

L'API SCIM non restituisce i membri di cui è stato effettuato il provisioning tramite la gestione automatica delle identità

L'API SCIM GET /groups/{id} restituisce solo i membri del gruppo di cui è stato effettuato il provisioning tramite l'interfaccia utente Azure Databricks o SCIM. Non restituisce gli utenti di cui è stato effettuato il provisioning tramite la gestione automatica delle identità o gli utenti esistenti in Microsoft Entra ID ma non sono ancora stati sottoposti a provisioning in Azure Databricks.

Le autorizzazioni del catalogo Unity richiedono identità di cui è stato effettuato il provisioning

Le API di concessione delle autorizzazioni del catalogo Unity non possono fare riferimento a identità di cui non è ancora stato effettuato il provisioning in Azure Databricks. Prima di concedere le autorizzazioni a un'identità, effettuarne il provisioning usando l'APIresolveByExternalId. Una volta effettuato il provisioning dell'identità, è possibile concedere le autorizzazioni come di consueto.

Le funzioni che fanno riferimento a un'entità in base al nome, ad esempio is_account_group_member(), richiedono anche il provisioning dell'entità per primo.

I gruppi locali dell'area di lavoro non vengono gestiti dalla gestione automatica delle identità

La gestione automatica delle identità non gestisce i gruppi locali dell'area di lavoro. I gruppi locali dell'area di lavoro e le autorizzazioni assegnate continuano a funzionare, ma gli aggiornamenti delle appartenenze devono essere gestiti all'esterno della gestione automatica delle identità.

Databricks consiglia di eseguire la migrazione di gruppi locali dell'area di lavoro a gruppi a livello di account in modo che la gestione automatica delle identità possa gestire le appartenenze. Vedi Migrare i gruppi locali del workspace ai gruppi dell'account.