自動アイデンティティ管理準備報告書

自動アイデンティティ管理準備レポートは、アカウント管理者がAzure DatabricksとIDプロバイダー(IdP)間の外部IDおよびグループメンバーシップの乖離を特定し解決するのに役立ちます。 自動アイデンティティ管理はアイデンティティフェデレーテッドワークスペース内でのみ機能するため、Databricksはアカウント内のすべてのワークスペース間でアイデンティティフェデレーションを有効にすることを推奨しています。

自動 ID 管理の概要については、「 自動 ID 管理」を参照してください。 既存アカウントの移行については、「Microsoft Entra IDによる自動ID管理への移行」をご覧ください。

相違について

自動アイデンティティ管理にはアイデンティティフェデレーテッドワークスペースが必要です。 externalIdを使って、Azure Databricksユーザーやグループを直接IDプロバイダーにリンクします。具体的にはMicrosoft Entra IDのオブジェクトIDやOktaのユーザーIDやグループIDです。

欠落または誤った externalId 値はメタデータ同期を破り、重複したアイデンティティを生み出します。 Azure Databricksのグループメンバーシップは編集可能であるため、IDプロバイダーとの同期がずれてSCIMプロビジョニングをオフにすると問題を引き起こすことがあります。

報告書が検出した問題点

このレポートは、Azure Databricksでプロビジョニングされた外部IDとあなたのアイデンティティプロバイダーに対応していないIDの発見に役立ちます。 また、Azure Databricksとアイデンティティプロバイダーのグループメンバーシップ間の差異も検出します。 以下の例は、レポートが検出し解決するのに役立つ問題を示しています。

製品内に重複したアイデンティティが現れます

同じ名前の2つのIDが異なるソースでAzure Databricksの管理UIに現れた場合、通常は外部IDの設定ミスが原因です。 管理者のUIや共有ダイアログには、1アカウントIDと1IDプロバイダーIDの両方が表示されます。

この問題を解決するには、以下のエラーカテゴリーを修正してください:

• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP
• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH
• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

アイデンティティプロバイダーのグループメンバー数がAzure Databricksのカウントと一致しません

Azure DatabricksのUIは、アイデンティティプロバイダーからのメンバー数を表示します。 このカウントは、Azure Databricksグループに存在し、アイデンティティプロバイダーには存在しないメンバーを除外しています。ただし、それらのメンバーシップは依然として権限を付与しています。

この問題を解決するために、以下のエラーカテゴリを修正してください:

• AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

アイデンティティプロバイダーグループのプロビジョニングが失敗した場合

アイデンティティプロバイダーグループをインポートすると、そのグループがすでにAzure Databricksに存在しているというエラーが出ることがあります。 既存のアカウントグループは通常、名前を保留します。なぜならAzure Databricksは一意のグループ名を強制するためです。

この問題を解決するために、以下のエラーカテゴリを修正してください:

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Azure Databricksのユーザーまたはサービスプリンシパルの表示名がアイデンティティプロバイダーと一致しません

ユーザーやサービスプリンシパルの一意な名前(ユーザーのユーザー名やサービスプリンシパルのアプリケーションID)はアイデンティティプロバイダーのアイデンティティと一致しますが、その表示名は異なります。 自動 ID 管理では一意の名前で照合されるため、次回の同期時に Azure Databricks の表示名は ID プロバイダーの値で上書きされます。 このカテゴリはユーザーおよびサービスプリンシパルのみに適用されます。 グループの表示名の不一致は確認されません。

この問題を解決するために、以下のエラーカテゴリを修正してください:

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_DISPLAY_NAME_MISMATCH

準備状況レポートを実行

1. Azure Databricksアカウントコンソールにアカウント管理者としてログインしてください。
2. セキュリティ>アイデンティティプロバイダーの設定に進みます。
3. アイデンティティ管理セクションで新しいスキャンを開始します。 自動ID管理が有効かどうかに関わらずスキャンを開始できます。
4. スキャン処理が終わるのを待ちましょう。 これには口座の規模によって数分から数時間かかることもあります。
5. スキャンが完了したら、同じセクションでスキャン結果を開きます。

スキャンが完了した後、新しいスキャンをリクエストできます。 単一の校長を再確認するには、その校長の 「更新 」をクリックしてください。 問題を解決した後は、誤設定リストにはプリンシパルが表示されなくなります。

また、スキャン結果全体や単一カテゴリーの結果のCSVをダウンロードすることも可能です。 CSVの読み方については 「レポート出力の解釈 」を参照してください。

レポートの出力を解釈する

CSVエクスポートには以下の列が含まれています:

• principalId: Azure Databricks 内部 ID です。
• principalType: プリンシパル ID のプリンシパルの種類。 ユーザー、グループ、またはサービス プリンシパルを指定できます。
• category:主IDの誤差カテゴリ。 詳細は「 エラーカテゴリーおよび修復」 を参照してください。
• localPrincipalExternalId: Azure Databricksに保存されている、プロビジョニングされたAzure Databricksプリンシパルの外部ID。
• localPrincipalName: Azure Databricks に保存されている、プロビジョニングされた Azure Databricks プリンシパルのユーザー名、アプリケーション ID、またはグループ名。
• idpPrincipalExternalId: 特定のプリンシパルに対してアイデンティティプロバイダーに保存されている外部ID。
• idpPrincipalName: 特定のプリンシパルに対して、アイデンティティプロバイダーに保存されているユーザー名、アプリケーションID、またはグループ名。
• localPrincipalDisplayName: Azure Databricks に保存されている表示名は、プロビジョニングされたAzure Databricks principalのためです。
• idpPrincipalDisplayName: 特定のプリンシパルに対して識別プロバイダーに保存される表示名。
• localMembersWithExternalId:外部IDを持ちながらアイデンティティプロバイダーグループに属していないグループメンバーのセミコロン分離された内部ID。
• localMembersWithoutExternalId: Azure Databricksにのみ存在し外部IDを持たないグループメンバーのセミコロン分離された内部ID。
• hasMoreLocalMembersWithExternalId: CSVで記載されているメンバー数よりも localMembersWithExternalId が多いかどうか。
• hasMoreLocalMembersWithoutExternalId: CSVで記載されているメンバー数よりも localMembersWithoutExternalId が多いかどうか。
• failureReason校長のスキャンが失敗した理由だ。

エラーカテゴリーと是正

レポートは以下のエラーカテゴリーに分類されます。 各カテゴリーはエラーの意味と解決方法を説明しています。 影響を受ける各プリンシパルを、カテゴリに対応する解決策を使用して修正します。

プリンシパルの外部IDを更新してください

externalIdを更新するには、アカウントSCIM APIを使ってください。 完全なリクエスト形式については、 Account SCIM v2.1 APIリファレンスを参照してください。

プリンシパルタイプの PATCH リクエストをエンドポイントに送ります:

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/<Users|Groups|ServicePrincipals>/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": "<new-external-id>"
    }
  ]
}

グループの外部IDを削除してください

グループの externalId を削除するには、Account SCIM APIを使います。 値を空の文字列に設定します。

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/Groups/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": ""
    }
  ]
}

その他のリソース