Rapporto automatico sulla prontezza della gestione dell'identità

Il rapporto di prontezza automatica per la gestione dell'identità aiuta gli amministratori di account a identificare e risolvere divergenze di ID esterni e appartenenza ai gruppi tra Azure Databricks e il tuo fornitore di identità (IdP). Poiché la gestione automatica dell'identità funziona solo all'interno degli spazi di lavoro fedelati per identità, Databricks raccomanda di abilitare la federazione dell'identità su tutti gli spazi di lavoro dell'account.

Per una panoramica della gestione automatica delle identità, vedere Gestione automatica delle identità. Per migrare un account esistente, vedi Migra alla gestione automatica dell'identità con Microsoft Entra ID.

Informazioni sulle divergenze

La gestione automatica dell'identità richiede uno spazio di lavoro federato per identità. Utilizza un externalId link per collegare direttamente gli utenti e i gruppi di Azure Databricks al tuo fornitore di identità, in particolare all'ID dell'oggetto in Microsoft Entra ID o all'ID utente o di gruppo in Okta.

Valori mancanti o errati externalId rompono le sincronizzazioni dei metadati e creano identità duplicate. Poiché le appartenenze ai gruppi di Azure Databricks sono modificabili, possono anche dissincronizzarsi con il tuo provider di identità e causare complicazioni se il provisioning SCIM viene disattivato.

Questioni rilevate dal rapporto

Il report ti aiuta a scoprire identità fornite in Azure Databricks i cui ID esterni non hanno una corrispondenza corrispondente nel tuo provider di identità. Rileva inoltre divergenze tra Azure Databricks e appartenenza a gruppi di fornitori di identità. Gli esempi seguenti mostrano problemi che il report ti aiuta a individuare e risolvere.

Identità duplicate appaiono nel prodotto

Quando due identità con lo stesso nome ma fonti diverse appaiono nelle interfacce amministrative di Azure Databricks, di solito è un ID esterno configurato in modo errato. Un'identità account e una identità di fornitore di identità appaiono entrambe nelle interfacce di amministrazione e nei dialoghi di condivisione.

Per risolvere questo problema, correggere le seguenti categorie di errore:

• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP
• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH
• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Il conteggio dei membri del gruppo nel provider di identità non corrisponde a quello di Azure Databricks

Le interfacce utente di Azure Databricks mostrano il numero dei membri proveniente dal provider di identità. Il conteggio esclude i membri che esistono nel gruppo Azure Databricks ma non nel fornitore di identità, anche se tali appartenenze concedono comunque permessi.

Per risolvere questo problema, correggi la seguente categoria di errore:

• AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

Il provisioning di un gruppo di provider di identità fallisce

Quando importi un gruppo di provider di identità, potresti ricevere un errore che indica che il gruppo esiste già in Azure Databricks. Un gruppo di account esistente di solito riserva il nome, perché Azure Databricks impone nomi di gruppo unici.

Per risolvere questo problema, correggi la seguente categoria di errore:

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Un nome visualizzato utente o principale di servizio in Azure Databricks non corrisponde al fornitore di identità

Il nome univoco di un utente o di un principale di servizio (il nome utente di un utente, o l'ID applicazione di un principale di servizio) corrisponde all'identità di un fornitore di identità, ma il suo nome visualizzato differisce. Poiché la gestione automatica dell'identità corrisponde al nome univoco, la sincronizzazione successiva sovrascrive il nome visualizzato di Azure Databricks con il valore del tuo fornitore di identità. Questa categoria si applica solo agli utenti e ai principali del servizio. I gruppi non vengono controllati per divergenze di nome di visualizzazione.

Per risolvere questo problema, correggi la seguente categoria di errore:

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_DISPLAY_NAME_MISMATCH

Esegui il rapporto di prontezza

1. Accedi alla console account di Azure Databricks come amministratore d'account.
2. Vai su Sicurezza>.
3. Nella sezione Gestione dell'identità , avvia una nuova scansione. Puoi avviare una scansione indipendentemente dal fatto che la gestione automatica dell'identità sia abilitata o meno.
4. Aspetta che la scansione finisca di elaborazione. Questo può richiedere da pochi minuti a diverse ore, a seconda della dimensione del tuo account.
5. Quando la scansione è completata, apri i risultati della scansione nella stessa sezione.

Dopo il completamento della scansione, puoi richiedere una nuova scansione. Per ricontrollare un singolo principal, fare clic su Aggiorna sul principal. Dopo aver risolto il problema, il principale non appare più nella lista delle configurazioni errate.

Puoi anche scaricare un CSV dell'intero risultato della scansione o dei risultati di una singola categoria. Vedi Interpretare l'output del report per come leggere il CSV.

Interpreta l'output del rapporto

L'esportazione CSV contiene le seguenti colonne:

• principalId: L'ID interno di Azure Databricks.
• principalType: Il tipo di principal per l'ID principal. Può trattarsi di un utente, un gruppo o un'entità servizio.
• category: La categoria di errore per l'ID principale. Vedi Categorie di errore e bonifica per maggiori informazioni.
• localPrincipalExternalId: L'ID esterno memorizzato in Azure Databricks per il principale Azure Databricks provisionato.
• localPrincipalName: Il nome utente, l'ID dell'applicazione o il nome del gruppo memorizzato in Azure Databricks per il principale Azure Databricks provisionato.
• idpPrincipalExternalId: L'ID esterno memorizzato nel fornitore di identità per un dato principale.
• idpPrincipalName: Il nome utente, l'ID dell'applicazione o il nome del gruppo memorizzato nel provider di identità per una determinata entità.
• localPrincipalDisplayName: Il nome visualizzato memorizzato in Azure Databricks per il principale Azure Databricks provisionato.
• idpPrincipalDisplayName: Il nome visualizzato memorizzato nel provider di identità per una data entità.
• localMembersWithExternalId: ID interni separati a punto e virgola dei membri del gruppo che hanno un ID esterno ma non fanno parte del gruppo di fornitori di identità.
• localMembersWithoutExternalId: ID interni separati a punto e virgola dei membri del gruppo che esistono solo in Azure Databricks e non hanno ID esterno.
• hasMoreLocalMembersWithExternalId: Se ci sono più localMembersWithExternalId membri di quanti ne siano previsti nel CSV.
• hasMoreLocalMembersWithoutExternalId: Se ci sono più localMembersWithoutExternalId membri di quanti ne siano previsti nel CSV.
• failureReason: Il motivo per cui la scansione del preside è fallita.

Categorie di errori e bonifica

Il report raggruppa i problemi nelle categorie di errore qui sotto. Ogni categoria spiega cosa significa l'errore e come risolverlo. Correggi ogni entità interessata utilizzando la soluzione prevista per la relativa categoria.

Aggiorna l'ID esterno di un principale

Per aggiornare il externalId, usa l'API SCIM dell'account. Per il formato completo della richiesta, consulta il riferimento dell'API Account SCIM v2.1.

Invia una PATCH richiesta all'endpoint per il tipo principale:

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/<Users|Groups|ServicePrincipals>/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": "<new-external-id>"
    }
  ]
}

Rimuovere l'ID esterno per un gruppo

Per rimuovere il externalId per un gruppo, usa l'API Account SCIM. Impostare il valore su una stringa vuota.

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/Groups/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": ""
    }
  ]
}

Risorse aggiuntive