Migreren naar automatisch identiteitsbeheer met Microsoft Entra ID

Op deze pagina wordt beschreven hoe u een Azure Databricks-account migreert naar automatisch identiteitsbeheer met Microsoft Entra ID.

Zie Automatisch identiteitsbeheer voor een overzicht van automatisch identiteitsbeheer.

Voorwaarden

Voordat u automatisch identiteitsbeheer inschakelt, moet u controleren of uw omgeving voldoet aan de volgende vereisten.

Rollen en verantwoordelijkheden

Wat hetzelfde blijft

Wanneer u automatisch identiteitsbeheer inschakelt, blijft het volgende behouden:

• Met SCIM gesynchroniseerde groepslidmaatschappen: Automatisch identiteitsbeheer verwijdert geen groepslidmaatschappen die oorspronkelijk zijn gesynchroniseerd door SCIM. Dit is standaard bedoeld om te voorkomen dat taken en machtigingen worden onderbroken die afhankelijk zijn van die lidmaatschappen.
• Bestaande machtigingen: machtigingen voor werkruimten en Unity Catalog blijven nog steeds toegewezen aan dezelfde beveiligingsprincipals.
• Actieve sessies: Automatisch identiteitsbeheer dwingt geen afmelding van gebruikers af of onderbreekt actieve sessies.
• Lopende taken: Service-principals die met de huidige aanmeldingsgegevens zijn geauthenticeerd, blijven werken.
• Werkruimte-lokale groepen: Automatisch identiteitsbeheer beheert alleen identiteiten op accountniveau. Werkruimte-lokale groepen blijven werken, maar worden niet gesynchroniseerd vanuit Microsoft Entra ID.
• Alleen Databricks-service-principals: Service-principals die niet zijn geregistreerd in Microsoft Entra ID worden niet beïnvloed.

Migreren zonder bestaande SCIM-inrichting

Gebruik dit pad als uw Azure Databricks account geen SCIM-inrichting op accountniveau heeft. Dit is het eenvoudigste migratiepad.

1. Controleer automatiseringen die verwijzen naar service principals op basis van de weergavenaam.

   Wanneer automatisch identiteitsbeheer is ingeschakeld, behandelt Azure Databricks Microsoft Entra ID als gezaghebbende bron en overschrijft aangepaste weergavenamen van service-principals met weergavenamen van Microsoft Entra ID. Als u niet-werkende werkstromen wilt voorkomen, moet u automatisering (zoals Terraform-configuraties of scripts) bijwerken om te verwijzen naar service-principals op basis van hun toepassings-id in plaats van de weergavenaam.

2. Automatisch identiteitsbeheer inschakelen:

   1. Meld u als accountbeheerder aan bij de accountconsole.
   2. Klik op Beveiliging.
   3. Schakel op het tabblad Gebruikersinrichtingautomatisch identiteitsbeheer in op Ingeschakeld.
   4. Wacht 5 tot 10 minuten voordat de wijziging is doorgevoerd.

3. (Optioneel) Configureer de toegangsweigeringlijst voor accounttoegang. Gebruik de blokkeerlijst voor accounttoegang om specifieke Microsoft Entra ID-identiteiten van toegang tot uw Azure Databricks-account uit te sluiten. Zie Toegang tot identiteiten weigeren voor uw account.

4. (Optioneel) Informeer werkruimtebeheerders. Deel het overzicht van automatisch identiteitsbeheer met werkruimtebeheerders, zodat ze inzicht hebben in de verwachte gedragswijzigingen, waaronder Just-In-Time-inrichting.

Nadat u automatisch identiteitsbeheer hebt ingeschakeld, voert u de validatiestappen uit.

Migreren van bestaande SCIM-inrichting

Gebruik dit pad als uw Azure Databricks account momenteel SCIM-inrichting op accountniveau gebruikt. Databricks raadt u aan om automatisch identiteitsbeheer in te schakelen naast uw bestaande SCIM-inrichting en beide parallel uit te voeren. U kunt SCIM uitschakelen nadat u hebt geverifieerd dat automatisch identiteitsbeheer correct werkt.

Welke wijzigingen worden er aangebracht wanneer u automatisch identiteitsbeheer inschakelt

Voorbereiden op migratie

1. Voer het automatische inschakelingsscript voor identiteitsbeheer uit vanuit de Databricks Knowledge Base.

   Dit script identificeert en verhelpt afwijkingen in externe ID's tussen Azure Databricks en Microsoft Entra ID, en bepaalt welke werkruimtes gebruikmaken van identiteitsfederatie.

   Note

   Automatisch identiteitsbeheer maakt gebruik van de Microsoft Entra ID objectId als gezaghebbende koppeling voor het synchroniseren van identiteiten. Als de externalId van een principal in Azure Databricks niet overeenkomt met de Microsoft Entra ID objectId, kan automatisch identiteitsbeheer een dubbele principal maken. Voer het detectiescript uit voordat u automatisch identiteitsbeheer inschakelt om eventuele niet-overeenkomende items te identificeren en op te lossen.

2. Controleer automatiseringen die verwijzen naar service principals op basis van de weergavenaam.

   Wanneer automatisch identiteitsbeheer is ingeschakeld, behandelt Azure Databricks Microsoft Entra ID als gezaghebbende bron en overschrijft aangepaste weergavenamen van service-principals met weergavenamen van Microsoft Entra ID. Als u niet-werkende werkstromen wilt voorkomen, moet u automatisering (zoals Terraform-configuraties of scripts) bijwerken om te verwijzen naar service-principals op basis van hun toepassings-id in plaats van de weergavenaam.

3. (Optioneel) Configureer de toegangsweigeringlijst voor accounttoegang. Zie Toegang tot identiteiten weigeren voor uw account.

4. (Optioneel) Informeer werkruimtebeheerders. Deel het overzicht van automatisch identiteitsbeheer met werkruimtebeheerders, zodat ze inzicht hebben in de verwachte gedragswijzigingen, waaronder Just-In-Time-inrichting.

Automatisch identiteitsbeheer inschakelen

1. Meld u als accountbeheerder aan bij de accountconsole.
2. Klik op Beveiliging.
3. Schakel op het tabblad Gebruikersinrichtingautomatisch identiteitsbeheer in op Ingeschakeld.
4. Wacht 5 tot 10 minuten voordat de wijziging is doorgevoerd.

Automatische identiteitsbeheer en SCIM-inrichting worden parallel uitgevoerd terwijl beide actief zijn. SCIM blijft de identiteiten beheren die het oorspronkelijk heeft ingericht. Nadat u automatisch identiteitsbeheer hebt gevalideerd, kunt u SCIM uitschakelen. Zie SCIM-inrichting uitschakelen.

Automatisch identiteitsbeheer valideren

Nadat u automatisch identiteitsbeheer hebt ingeschakeld, controleert u of identiteiten correct worden gesynchroniseerd.

Testen op rol

Laat een representatieve gebruiker van elke rol de volgende tests uitvoeren.

Accountbeheerder

1. Een gebruiker inrichten vanuit de accountconsole:

   1. Ga naar Accountconsole > Gebruikersbeheer > Gebruikers en klik op Gebruiker toevoegen.
   2. Een gebruiker zoeken in Microsoft Entra ID die niet is toegevoegd aan Azure Databricks
   3. Selecteer de gebruiker en klik op Gebruiker toevoegen.
   4. Controleer of de gebruiker wordt weergegeven in Azure Databricks met de status Active.

2. Een groep inrichten vanuit de accountconsole:

   1. Ga naar Gebruikersbeheergroepen > in de accountconsole > en klik op Groep toevoegen.
   2. Zoek naar een groep in Microsoft Entra ID die niet is ingericht in Azure Databricks.
   3. Controleer of de groep wordt weergegeven in Azure Databricks. Groepsleden worden op just-in-time-basis ingericht wanneer ze zich aanmelden.

3. Toegang tot werkruimte controleren:

   1. Wijs de groep uit de vorige stap toe aan een werkruimte.
   2. Laat een lid van die groep zich authenticeren voor de werkruimte.
   3. Controleer of de verificatie is geslaagd en of de gebruiker is ingericht in Azure Databricks en is toegevoegd aan de werkruimte.

Werkruimtebeheerder

1. Een gebruiker provisioneren vanuit de werkruimte:

   1. Ga naar Instellingen > voor identiteit en toegang > beheren van gebruikers en klik op Gebruiker toevoegen.
   2. Zoek naar een gebruiker in Microsoft Entra ID die nog niet is geprovisioneerd in Azure Databricks.
   3. Controleer of de gebruiker wordt weergegeven met de status Actief.

2. Een groep inrichten vanuit de werkruimte:

   1. Open een werkruimteasset, zoals een query of dashboard, en klik op Delen.
   2. Zoek naar een groep in Microsoft Entra ID die niet is ingericht in Azure Databricks en deel de asset met die groep.
   3. Controleer of de groep is ingericht in Azure Databricks.
   4. Laat leden van die groep zich aanmelden bij de werkruimte en controleren of ze toegang hebben tot het gedeelde item.

Automatisch identiteitsbeheer controleren in auditlogboeken

Voer een query uit op de system.access.audit tabel om te bevestigen dat automatisch identiteitsbeheer actief is. Een aantal groter dan nul voor gebeurtenissen zoals add, addPrincipalToGroup, createGroup en updateUser bevestigt dat identiteiten worden gesynchroniseerd.

SELECT action_name, count(*) AS n
FROM system.access.audit
WHERE request_params.endpoint = 'autoUserCreation'
  AND event_time > current_timestamp() - INTERVAL 2 DAYS
GROUP BY action_name
ORDER BY n DESC;

Zie Auditgebeurtenissen voor automatisch identiteitsbeheer voor meer informatie over auditgebeurtenissen voor automatisch identiteitsbeheer.

Automatisch identiteitsbeheer uitschakelen

Zie Automatische identiteitsbeheer uitschakelen voor stappen voor het uitschakelen van automatisch identiteitsbeheer.

Wanneer u automatisch identiteitsbeheer uitschakelt na de migratie vanuit SCIM:

• Identiteiten die zijn gemaakt door automatisch identiteitsbeheer, blijven in Azure Databricks, maar worden niet meer gesynchroniseerd met Microsoft Entra ID.
• Groepslidmaatschappen die zijn gesynchroniseerd door automatisch identiteitsbeheer, worden niet meer gebruikt om machtigingen op te lossen. Gebruikers die eerder machtigingen hebben overgenomen via deze groepslidmaatschappen, hebben geen toegang meer.
• Gebruikers die zijn geverifieerd bij Azure Databricks terwijl automatisch identiteitsbeheer actief was, kunnen nog steeds toegang krijgen tot dashboards die ze eerder hebben bekeken, maar hun groepslidmaatschappen worden niet vernieuwd vanaf Microsoft Entra ID.
• Gebruikers die nog nooit toegang hebben gekregen tot Azure Databricks hebben geen toegang nadat automatisch identiteitsbeheer is uitgeschakeld, zelfs als ze deel uitmaken van een toegewezen groep in Microsoft Entra ID.

Databricks raadt u aan SCIM-inrichting in te stellen voordat u automatisch identiteitsbeheer uitschakelt. Zie SCIM-inrichting configureren met Microsoft Entra ID (Azure Active Directory).

SCIM-provisioning uitschakelen

Na het valideren van automatisch identiteitsbeheer kunt u het inrichten van SCIM desgewenst uitschakelen. Schakel SCIM alleen uit nadat u hebt bevestigd dat aan alle volgende voorwaarden in uw omgeving is voldaan:

• Geen geneste groepen: Uw identiteitsstructuur is niet afhankelijk van geneste groepslidmaatschappen in Microsoft Entra ID.
• Uitlijning van externe ID’s: Groepen zijn vanuit Microsoft Entra ID gesynchroniseerd met de SCIM Connector-app, zodat de externalId-waarden in Azure Databricks overeenkomen met de bijbehorende Microsoft Entra ID-objectId-waarden. Gebruik het script voor het detecteren van klantinstanties om eventuele afwijkingen te identificeren en op te lossen.
• Geen lokale lidmaatschapswijzigingen: Groepslidmaatschappen zijn alleen beheerd via SCIM en zijn niet handmatig gewijzigd in Azure Databricks. Het detectiescript voor klantinstanties kan lokaal gewijzigde lidmaatschappen opsporen.

Als uw omgeving niet aan al deze voorwaarden voldoet, raadt Databricks aan om scim-inrichting en automatisch identiteitsbeheer parallel uit te voeren.

Bekende beperkingen na het uitschakelen van SCIM

Permanente groepslidmaatschappen die zijn gesynchroniseerd met SCIM

Groepslidmaatschappen die zijn gesynchroniseerd door SCIM, blijven behouden nadat SCIM is uitgeschakeld. Als een onderliggende groep C bijvoorbeeld is genest onder bovenliggende groep P in Microsoft Entra ID en de C-naar-P-relatie later wordt verwijderd in Microsoft Entra ID, kan de gebruiker nog steeds machtigingen overnemen van P omdat het lidmaatschap in Azure Databricks blijft. Databricks raadt aan om directe groepslidmaatschappen van externe groepen op te schonen voordat u SCIM uitschakelt.

Omgevingen met geneste groepsstructuren

Voor omgevingen die gebruikmaken van geneste groepsstructuren, raadt Databricks aan SCIM-inrichting naast automatisch identiteitsbeheer uit te voeren om geneste groepslidmaatschappen gesynchroniseerd te houden.

Groepslidmaatschappen handmatig gewijzigd

Als groepslidmaatschappen handmatig zijn bewerkt in Azure Databricks, worden deze lidmaatschappen niet gesynchroniseerd met Microsoft Entra ID nadat u SCIM hebt uitgeschakeld en na verloop van tijd verlopen. Volg de instructies in het prepscript voor automatisch identiteitsbeheer uit de Databricks Knowledge Base om handmatig gewijzigde groepslidmaatschappen te identificeren en op te lossen voordat u SCIM uitschakelt.

Overwegingen voor migratie

Geneste groepen moeten expliciet worden toegewezen aan een werkruimte

Wanneer u geneste Microsoft Entra ID-groepen gebruikt, zijn onderliggende groepen niet automatisch beschikbaar voor het delen van bronnen binnen een werkruimte. Als u een onderliggende groep machtigingen wilt verlenen voor werkruimteobjecten zoals notitieblokken of query's, moet u die onderliggende groep rechtstreeks toewijzen aan de werkruimte, zelfs als de bovenliggende groep al is toegewezen.

Als bovenliggende groep P bijvoorbeeld de onderliggende groep C bevat, en alleen P aan de werkruimte is toegewezen, kunnen er aan C geen machtigingen worden verleend voor werkruimtebronnen totdat C zelf ook is toegewezen.

Groepsleden worden op just-in-timebasis toegevoegd

In tegenstelling tot SCIM synchroniseert automatisch identiteitsbeheer niet proactief groepslidmaatschappen in Azure Databricks. Groepsleden worden ingericht wanneer ze activiteit hebben in Azure Databricks (bijvoorbeeld door zich aan te melden) of wanneer een accountbeheerder of werkruimtebeheerder deze expliciet toevoegt.

Verwijderde gebruikers worden niet onmiddellijk gedeactiveerd

Wanneer een gebruiker uit Microsoft Entra ID wordt verwijderd, blijft deze actief in Azure Databricks. Ze kunnen zich niet aanmelden, maar hun status wordt niet automatisch bijgewerkt.

Het wijzigen van een e-mailadres resulteert in nieuwe gebruikersaccounts

Als het e-mailadres van een gebruiker verandert in Microsoft Entra ID (bijvoorbeeld alice@example.com wordt alice-new@example.com), maakt automatisch identiteitsbeheer een nieuwe gebruiker in Azure Databricks in plaats van de bestaande record bij te werken. Dit is consistent met het huidige SCIM-gedrag. Neem contact op met databricks-ondersteuning voor wijzigingen in e-mailadressen.

SCIM-API geeft geen gebruikers terug die via automatisch identiteitsbeheer zijn toegewezen

De SCIM GET /groups/{id}-API geeft alleen groepsleden terug die via de Azure Databricks-gebruikersinterface of SCIM zijn toegevoegd. Er worden geen gebruikers geretourneerd die zijn ingericht via automatisch identiteitsbeheer of gebruikers die in Microsoft Entra ID bestaan, maar die nog niet zijn ingericht in Azure Databricks.

Voor Unity Catalog-machtigingen zijn ingerichte identiteiten vereist

Api's voor het verlenen van machtigingen in Unity Catalog kunnen niet verwijzen naar identiteiten die nog niet zijn ingericht in Azure Databricks. Voordat u machtigingen aan een identiteit verleent, moet u deze inrichten met behulp van de resolveByExternalId API. Nadat de identiteit is ingericht, kunt u op de gebruikelijke manier machtigingen verlenen.

Functies die naar een principal bij naam verwijzen, zoals is_account_group_member(), vereisen ook dat de principal eerst wordt ingericht.

Werkruimte-lokale groepen worden niet beheerd door automatisch identiteitsbeheer

Automatisch identiteitsbeheer beheert geen werkruimte-lokale groepen. Werkruimte-lokale groepen en hun toegewezen machtigingen blijven werken, maar lidmaatschapsupdates moeten buiten automatisch identiteitsbeheer worden afgehandeld.

Databricks raadt aan werkruimte-lokale groepen te migreren naar groepen op accountniveau, zodat automatisch identiteitsbeheer hun lidmaatschappen kan beheren. Zie Lokale werkruimtegroepen migreren naar accountgroepen.