Lista di controllo degli attributi di identità

La Identity Attribute Control List è una lista di permessi a livello di account che determina quali attributi di identità possono essere scritti agli utenti nel tuo account Azure Databricks. Gli amministratori dell'account lo abilitano come funzionalità in anteprima per controllare la scrittura degli attributi in SCIM e nella gestione automatica delle identità.

La lista di controllo degli attributi è abilitata tramite l'anteprima della funzione Identity Attribute Control List a livello di account, che è disattivata di default. Un amministratore dell'account lo abilita dalla pagina Anteprime della console dell'account. Vedi Gestire le anteprime a livello di account.

Overview

La lista di controllo degli attributi è una lista di permessi a livello di account che decide quali dei nove attributi di identità possono essere scritti sugli utenti del tuo account, su tutte le fonti di scrittura. Un amministratore dell'account lo utilizza per controllare quali attributi possono essere scritti su Azure Databricks.

L'elenco viene applicato solo in scrittura:

• Le letture non vengono mai filtrate. Un attributo memorizzato in precedenza rimane completamente visibile anche dopo essere stato rimosso dalla lista.
• Le rimozioni di valori memorizzati sono sempre consentite, quindi un amministratore può sempre ritirare un valore, incluso per un attributo che l'account non consente più.

Non è necessario abilitare l'anteprima per scrivere gli attributi tramite l'API SCIM. Abilitandola si aggiunge il controllo su quali attributi possono essere scritti e, quando la gestione automatica dell'identità è attivata, riconcilia gli attributi memorizzati di ogni utente con la lista di ogni sincronizzazione.

Abilitare l'anteprima

L'iscrizione è un'anteprima di funzionalità a livello di account chiamata Identity Attribute Control List, attivata dalla pagina Preanteprime nella console dell'account. L'interruttore è disattivato per impostazione predefinita.

1. Accedere alla console dell'account come amministratore dell'account.
2. Nella barra laterale, clicca su Anteprime.
3. Attiva l'interruttore a levetta Identity Attribute Control List.

L'abilitazione e la disabilitazione dell'anteprima modificano solo ciò che le future operazioni di scrittura sono autorizzate a fare. Non altera mai retroattivamente i valori già memorizzati sui tuoi utenti. Tuttavia, con la gestione automatica dell'identità abilitata, la successiva sincronizzazione riconcilia gli utenti con la lista, che può rimuovere i dati memorizzati. Vedi come funziona l'applicazione della legge.

Configura la lista di controllo

Quando il tuo account è registrato nell'anteprima, configuri la lista nella console dell'account.

1. Accedere alla console dell'account come amministratore dell'account.
2. Nella barra laterale fare clic su Sicurezza.
3. Fare clic su Provisioning degli utenti.
4. Nella sezione Configura attributi dell'identità , clicca su Gestisci attributi.
5. Nella finestra di dialogo Gestisci l'elenco di controllo degli attributi dell'identità, seleziona la casella di controllo per ogni attributo che desideri consentire e deseleziona la casella di controllo per ogni attributo che desideri non consentire.
6. Fare clic su Salva.

Il dialogo presenta tutti e nove gli attributi come caselle di spunta (Titolo, Tipo Utente, Località, Regione, Paese, Centro Costi, Organizzazione, Divisione e Dipartimento), con gli attributi attualmente consentiti selezionati. Il salvataggio è disabilitato finché non cambi una selezione.

La sezione Configura attributi identità è visibile solo quando il tuo account è registrato nell'anteprima. Se non lo vedi, l'anteprima non è abilitata per il tuo account.

Funzionamento dell'applicazione

La lista di controllo viene applicata solo durante le scritture. Il modo in cui viene applicato tale controllo dipende dal fatto che gli attributi vengano scritti tramite la gestione automatizzata delle identità o tramite SCIM.

Con la gestione automatica dell'identità

La gestione automatica delle identità estrae gli attributi dal tuo provider di identità (IdP) a intervalli pianificati e l'elenco di controllo regola tale sincronizzazione. Il comportamento cambia radicalmente a seconda che l'anteprima sia abilitata oppure no.

Con l'anteprima disabilitata, la gestione automatica dell'identità non tocca gli attributi dell'identità. Non li sincronizza e non cancella nulla di ciò che è già memorizzato. Gli attributi sono fuori dall'ambito della sincronizzazione.

Con l'anteprima attivata, ogni sincronizzazione riconcilia l'utente con la lista di controllo:

• Solo gli attributi che sono impostati sia nell'IdP che nella lista di controllo sono sincronizzati.
• Un attributo non presente nell'elenco viene cancellato dall'utente di Azure Databricks, anche se contiene un valore impostato precedentemente tramite SCIM.
• Un attributo che è nella lista ma assente o svuotato nell'IdP viene cancellato in Azure Databricks, così i due restano sincronizzati.
• Se la lista di controllo è vuota, la sincronizzazione cancella tutti e nove gli attributi.

Una sincronizzazione non è istantanea. Dopo aver attivato l'anteprima o modificato la lista, aspetta qualche minuto prima che la modifica venga riflessa su un utente. Per la tempistica della sincronizzazione, vedi Attributi di identità.

Se rimuovi accidentalmente un attributo dalla lista di controllo e la gestione automatica dell'identità elimina il valore memorizzato dai tuoi utenti, puoi recuperare aggiungendo nuovamente l'attributo alla lista di controllo e lasciando che la gestione automatica dell'identità sincronizzi nuovamente l'identità.

Con SCIM

L'anteprima non deve essere abilitata per gestire gli attributi tramite l'API SCIM, ma aggiunge il controllo su quali attributi possono essere scritti quando attivati.

Con l'anteprima attivata, l'inserimento o l'aggiornamento di un attributo non incluso nell'elenco tramite SCIM 2.1 dell'account viene rifiutato con 400 Bad Request e un scimType di invalidValue, e detail indica i nomi degli attributi non validi. Questo rifiuto ha le seguenti proprietà:

• Un PATCH rifiutato è atomico. Se un'operazione prende di mira un attributo fuori lista, l'intera richiesta viene rifiutata e nessuna delle modifiche consentite si applica. La validazione viene eseguita prima che il record utente venga toccato.
• Vengono controllati solo i valori cambiati. Riinviare un valore identico a quello memorizzato è un no-op e passa anche per un attributo fuori lista. Un connettore può continuare a sincronizzarsi con successo dopo che hai restretto la lista, e iniziare a guastare solo quando il valore lato IdP cambia di nuovo.
• Le rimozioni sono sempre permesse. Puoi sempre cancellare un valore memorizzato, incluso per un attributo che non è più presente nella lista.

Quando la gestione automatica delle identità non è abilitata, rimuovere un attributo dalla lista di controllo non elimina i valori sincronizzati SCIM già memorizzati sui tuoi utenti. Restringere la lista blocca le scritture future ma lascia i valori memorizzati finché qualcuno non li rimuove.

Su Azure, la gestione degli attributi identità basata su SCIM non è raccomandata. Contatta il team del tuo account se hai bisogno di usare gli attributi di identità con SCIM.

Limitazioni

La lista di controllo degli attributi presenta le seguenti limitazioni in Beta:

• La lista di controllo può essere configurata solo nella console dell'account. Non esiste un'API per configurarlo in modo programmativo.
• La lista di controllo regola gli attributi di identità solo sugli utenti. I responsabili e i gruppi di servizio non sono ancora supportati.