Migrowanie do automatycznego zarządzania tożsamościami przy użyciu Microsoft Entra ID

Na tej stronie opisano sposób migrowania konta Azure Databricks do automatycznego zarządzania tożsamościami przy użyciu Microsoft Entra ID.

Aby zapoznać się z omówieniem automatycznego zarządzania tożsamościami, zobacz Automatyczne zarządzanie tożsamościami.

Warunki wstępne

Przed włączeniem automatycznego zarządzania tożsamością poupewnij się, że Twoje środowisko spełnia następujące wymagania:

• Poziom Premium lub Enterprise: Automatyczne zarządzanie tożsamością nie jest dostępne na kontach Standard Tier. Aby sprawdzić swój poziom, przejdź do konsoli > konta, ustawienia > konta Poziom subskrypcji.
• Pojedynczy tenant Microsoft Entra ID: Automatyczne zarządzanie tożsamością nie obsługuje tożsamości między tenantami. Wszyscy użytkownicy, grupy i nazwy główne usług muszą należeć do jednego dzierżawcy Microsoft Entra ID. Środowiska z tożsamościami międzytenantowymi muszą nadal korzystać z aprowizacji SCIM.
• Federacja tożsamości włączona w co najmniej jednym obszarze roboczym: Automatyczne zarządzanie tożsamością wymaga co najmniej jednego obszaru roboczego z federacją tożsamości. Obszary robocze inne niż federacyjne nadal działają, ale nie używają automatycznego zarządzania tożsamościami. Aby to sprawdzić, w konsoli konta otwórz Workspaces i poszukaj oznaczenia Federacja tożsamości. Aby ją włączyć, zobacz Włączanie federacji tożsamości.
• Rola administratora konta: Tylko administratorzy kont mogą włączyć automatyczne zarządzanie tożsamością. Aby sprawdzić swoją rolę, przejdź do Account console > User Management i popewnij, że Twój chip roli pokazuje administratora konta.

Co pozostaje takie same

Po włączeniu automatycznego zarządzania tożsamościami są zachowywane następujące elementy:

• Członkostwa w grupach zsynchronizowanych przez program SCIM: automatyczne zarządzanie tożsamościami nie powoduje usunięcia członkostwa w grupach, które zostały pierwotnie zsynchronizowane przez program SCIM. Ma to na celu uniknięcie przerwania zadań i uprawnień, które zależą od tych członkostw.
• Istniejące uprawnienia: uprawnienia obszaru roboczego i Unity Catalog nadal są przypisywane do tych samych podmiotów.
• Aktywne sesje: Automatyczne zarządzanie tożsamościami nie wymusza wylogowania użytkowników ani przerywa uruchamiania sesji.
• Uruchomione zadania: jednostki usługi uwierzytelnione przy użyciu bieżących poświadczeń nadal działają.
• Grupy lokalne w obszarze roboczym: automatyczne zarządzanie tożsamościami obejmuje tylko tożsamości na poziomie konta. Grupy lokalne obszaru roboczego nadal działają, ale nie są synchronizowane z Microsoft Entra ID.
• Nazwy główne usługi tylko w Databricks: nazwy główne usługi niezarejestrowane w Microsoft Entra ID pozostają bez zmian.

Migrowanie bez istniejącej aprowizacji SCIM

Użyj tej ścieżki, jeśli konto Azure Databricks nie ma aprowizacji SCIM na poziomie konta. Jest to najprostsza ścieżka migracji.

1. Przeanalizuj automatyzacje odwołujące się do nazw głównych usług według nazwy wyświetlanej.

   Po włączeniu automatycznego zarządzania tożsamościami usługa Azure Databricks traktuje Microsoft Entra ID jako źródło nadrzędne i zastępuje niestandardowe nazwy wyświetlane nazw głównych usług nazwami z Microsoft Entra ID. Aby zapobiec uszkodzonym przepływom pracy, zaktualizuj wszelkie automatyzacje (takie jak konfiguracje lub skrypty programu Terraform), aby odwoływać się do jednostek usługi według ich identyfikatora aplikacji zamiast nazwy wyświetlanej.

2. Włącz automatyczne zarządzanie tożsamościami:

   1. Jako administrator konta zaloguj się do konsoli konta.
   2. Kliknij pozycję Zabezpieczenia.
   3. Na zakładce ustawień dostawcy tożsamości , w sekcji Zarządzanie tożsamością, przełącz Automatyczne zarządzanie tożsamością na Włączone.
   4. Poczekaj 5 do 10 minut na propagację zmiany.

3. (Opcjonalnie) Skonfiguruj listę odmowy dostępu do konta. Użyj listy blokad dostępu do konta, aby zablokować określonym tożsamościom Microsoft Entra ID dostęp do konta Azure Databricks. Zobacz Odmowa dostępu tożsamości do konta.

4. (Opcjonalnie) Konfiguruj filtry widoczności grup. Użyj filtrów widoczności grup, aby kontrolować, które grupy Microsoft Entra ID są widoczne w wyszukiwarce katalogów i selektorach grup w usłudze Azure Databricks. Zobacz które grupy są widoczne na Twoim koncie.

5. (Opcjonalnie) Powiadamianie administratorów obszaru roboczego. Udostępnij przegląd automatycznego zarządzania tożsamościami administratorom przestrzeni roboczej, aby mogli zrozumieć oczekiwane zmiany w działaniu, w tym aprowizację Just-in-Time.

Po włączeniu automatycznego zarządzania tożsamościami wykonaj kroki weryfikacji.

Migrowanie z istniejącej aprowizacji SCIM

Użyj tej ścieżki, jeśli twoje konto Azure Databricks używa obecnie aprowizacji SCIM na poziomie konta. Databricks zaleca włączenie automatycznego zarządzania tożsamościami obok istniejącego aprowizowania SCIM oraz równoległe uruchomienie obu tych funkcji. Po zweryfikowaniu, czy automatyczne zarządzanie tożsamościami działa prawidłowo, możesz wyłączyć funkcję SCIM.

Co się zmienia po włączeniu automatycznego zarządzania tożsamościami

Przygotowanie do migracji

1. Uruchom raport gotowości do automatycznego zarządzania tożsamością.

   Raport gotowości identyfikuje niezgodności dotyczące zewnętrznych identyfikatorów i członkostwa w grupach między usługami Azure Databricks i Microsoft Entra ID oraz pomaga je rozwiązać, a także wskazuje, które obszary robocze są objęte federacją tożsamości.

   Note

   Automatyczne zarządzanie tożsamościami używa Microsoft Entra ID objectId jako linku autorytatywnego do synchronizowania tożsamości. Jeśli identyfikator externalId głównego w Azure Databricks nie odpowiada jego Microsoft Entra IDobjectId, tożsamości mogą pojawić się wielokrotnie w produkcie, a synchronizacja oparta na zewnętrznych ID może zawiódć. Uruchom raport gotowości przed włączeniem automatycznego zarządzania tożsamością, aby zidentyfikować i rozwiązać te błędy konfiguracyjne. Pełną listę błędów konfiguracji i ich wpływu można znaleźć w sekcji Kategorie błędów i naprawa.

2. Przeanalizuj automatyzacje odwołujące się do nazw głównych usług według nazwy wyświetlanej.

   Po włączeniu automatycznego zarządzania tożsamościami usługa Azure Databricks traktuje Microsoft Entra ID jako źródło nadrzędne i zastępuje niestandardowe nazwy wyświetlane nazw głównych usług nazwami z Microsoft Entra ID. Aby zapobiec uszkodzonym przepływom pracy, zaktualizuj wszelkie automatyzacje (takie jak konfiguracje lub skrypty programu Terraform), aby odwoływać się do jednostek usługi według ich identyfikatora aplikacji zamiast nazwy wyświetlanej.

3. (Opcjonalnie) Skonfiguruj listę odmowy dostępu do konta. Zobacz Odmowa dostępu tożsamości do konta.

4. (Opcjonalnie) Konfiguruj filtry widoczności grup. Zobacz które grupy są widoczne na Twoim koncie.

5. (Opcjonalnie) Powiadamianie administratorów obszaru roboczego. Udostępnij przegląd automatycznego zarządzania tożsamościami administratorom przestrzeni roboczej, aby mogli zrozumieć oczekiwane zmiany w działaniu, w tym aprowizację Just-in-Time.

Włączanie automatycznego zarządzania tożsamościami

1. Jako administrator konta zaloguj się do konsoli konta.
2. Kliknij pozycję Zabezpieczenia.
3. Na zakładce ustawień dostawcy tożsamości , w sekcji Zarządzanie tożsamością, przełącz Automatyczne zarządzanie tożsamością na Włączone.
4. Poczekaj 5 do 10 minut na propagację zmiany.

Automatyczne zarządzanie tożsamościami i aprowizowanie SCIM są uruchamiane równolegle, gdy oba są aktywne. Program SCIM nadal zarządza tożsamościami, które pierwotnie aprowizował. Po zweryfikowaniu automatycznego zarządzania tożsamościami można wyłączyć program SCIM. Zobacz Wyłącz aprowizację SCIM.

Weryfikowanie automatycznego zarządzania tożsamościami

Po włączeniu automatycznego zarządzania tożsamościami sprawdź, czy prawidłowo synchronizuje tożsamości.

Testowanie według roli

Należy zlecić przedstawicielowi każdej roli przeprowadzenie następujących testów.

Administrator konta

1. Dodaj użytkownika z poziomu konsoli konta:

   1. Przejdź do Konsola konta > Zarządzanie użytkownikami > Użytkownicy i kliknij Dodaj użytkownika.
   2. Wyszukaj użytkownika w Microsoft Entra ID, który nie został aprowizowany w Azure Databricks
   3. Wybierz użytkownika i kliknij pozycję Dodaj użytkownika.
   4. Upewnij się, że użytkownik jest wyświetlany w Azure Databricks ze stanem Active.

2. Utwórz grupę w konsoli konta:

   1. Przejdź do konsoli > konta Grupy zarządzania użytkownikami > i kliknij przycisk Dodaj grupę.
   2. Wyszukaj grupę w Microsoft Entra ID, która nie została udostępniona w Azure Databricks.
   3. Upewnij się, że grupa jest wyświetlana w Azure Databricks. Członkowie grupy są aprowizowani na zasadzie just in time podczas logowania.

3. Sprawdź dostęp do obszaru roboczego:

   1. Przypisz grupę z poprzedniego kroku do obszaru roboczego.
   2. Poproś członka tej grupy o uwierzytelnienie się w obszarze roboczym.
   3. Upewnij się, że uwierzytelnianie powiedzie się i że użytkownik jest aprowizowany w Azure Databricks i dodany do obszaru roboczego.

Administrator obszaru roboczego

1. Dodaj użytkownika w obszarze roboczym:

   1. Przejdź do pozycji Ustawienia > Tożsamość i dostęp > Zarządzaj użytkownikami , a następnie kliknij pozycję Dodaj użytkownika.
   2. Wyszukaj użytkownika w usłudze Microsoft Entra ID, który nie został aprowizowany w Azure Databricks.
   3. Upewnij się, że użytkownik jest wyświetlany ze stanem Aktywne.

2. Utwórz grupę z obszaru roboczego:

   1. Otwórz zasób obszaru roboczego, taki jak zapytanie lub panel, i kliknij Udostępnij.
   2. Wyszukaj grupę w Microsoft Entra ID, która nie została jeszcze aprowizowana w usłudze Azure Databricks, i udostępnij zasób tej grupie.
   3. Upewnij się, że grupa jest aprowizowana w Azure Databricks.
   4. Członkowie tej grupy uwierzytelniają się w obszarze roboczym i sprawdzają, czy mają dostęp do udostępnionego zasobu.

Weryfikowanie automatycznego zarządzania tożsamościami w dziennikach inspekcji

Wykonaj zapytanie do tabeli system.access.audit, aby potwierdzić, że automatyczne zarządzanie identyfikatorami jest aktywne. Niezerowa liczba zdarzeń, takich jak add, addPrincipalToGroup, createGroup i updateUser, potwierdza, że tożsamości są synchronizowane.

SELECT action_name, count(*) AS n
FROM system.access.audit
WHERE request_params.endpoint = 'autoUserCreation'
  AND event_time > current_timestamp() - INTERVAL 2 DAYS
GROUP BY action_name
ORDER BY n DESC;

Aby uzyskać więcej informacji na temat zdarzeń inspekcji automatycznego zarządzania tożsamościami, zobacz Inspekcja zdarzeń automatycznego zarządzania tożsamościami.

Wyłącz automatyczne zarządzanie tożsamością

Aby uzyskać instrukcje wyłączania automatycznego zarządzania tożsamościami, zobacz Wyłączanie automatycznego zarządzania tożsamościami.

Po wyłączeniu automatycznego zarządzania tożsamościami po przeprowadzeniu migracji z programu SCIM:

• Tożsamości utworzone przez automatyczne zarządzanie tożsamościami pozostają w Azure Databricks, ale nie są już synchronizowane z Microsoft Entra ID.
• Członkostwa w grupach, które zostały zsynchronizowane przez automatyczne zarządzanie tożsamościami, nie są już używane do rozpoznawania uprawnień. Użytkownicy, którzy wcześniej dziedziczyli uprawnienia za pośrednictwem tych członkostwa w grupach, utracą dostęp.
• Użytkownicy, którzy uwierzytelnili się w usłudze Azure Databricks, gdy było włączone automatyczne zarządzanie tożsamościami, mogą nadal mieć dostęp do pulpitów nawigacyjnych, które wcześniej przeglądali, ale ich członkostwo w grupach nie jest odświeżane na podstawie danych z Microsoft Entra ID.
• Użytkownicy, którzy nigdy nie uzyskiwali dostępu Azure Databricks nie mogą uzyskać do niego dostępu po wyłączeniu automatycznego zarządzania tożsamościami, nawet jeśli należą do przypisanej grupy w Microsoft Entra ID.

Databricks zaleca skonfigurowanie SCIM przed wyłączeniem automatycznego zarządzania tożsamościami. Zobacz Konfigurowanie aprowizacji SCIM przy użyciu Microsoft Entra ID (Azure Active Directory).

Wyłącz aprowizację SCIM

Po zweryfikowaniu automatycznego zarządzania tożsamościami możesz opcjonalnie wyłączyć aprowizację SCIM. Wyłącz program SCIM dopiero po potwierdzeniu, że wszystkie następujące warunki są spełnione w danym środowisku:

• Brak grup zagnieżdżonych: Twoja struktura tożsamości nie opiera się na zagnieżdżonym członkostwie w grupach w usłudze Microsoft Entra ID.
• Dopasowanie identyfikatora zewnętrznego: Grupy zostały zreplikowane z Microsoft Entra ID za pomocą aplikacji SCIM Connector, więc wartości externalId w usłudze Azure Databricks odpowiadają odpowiednim wartościom objectId w Microsoft Entra ID. Uruchom raport gotowości do automatycznego zarządzania tożsamością , aby zidentyfikować wszelkie niedopasowania.
• Nie modyfikacji członkostwa lokalnego: członkostwa w grupach były zarządzane tylko za pośrednictwem protokołu SCIM i nie zostały ręcznie zmodyfikowane w Azure Databricks. Raport gotowości może wykrywać lokalnie zmodyfikowane członkostwa.

Jeśli Twoje środowisko nie spełnia wszystkich tych warunków, Databricks zaleca dalsze równoległe uruchamianie aprowizacji SCIM i automatycznego zarządzania tożsamościami.

Znane ograniczenia po wyłączeniu programu SCIM

Trwałe członkostwa w grupach zsynchronizowanych przez protokół SCIM

Członkostwa w grupach, które zostały zsynchronizowane przez program SCIM, są utrwalane po wyłączeniu programu SCIM. Jeśli na przykład grupa podrzędna C jest zagnieżdżona w grupie nadrzędnej P w Microsoft Entra ID, a relacja między grupami C i P zostanie później usunięta w Microsoft Entra ID, użytkownik może nadal dziedziczyć uprawnienia z grupy P, ponieważ członkostwo nadal istnieje w usłudze Azure Databricks. Databricks zaleca usunięcie bezpośrednich członkostw z grup zewnętrznych przed wyłączeniem SCIM.

Środowiska ze strukturami grup zagnieżdżonych

W przypadku środowisk korzystających ze struktur zagnieżdżonych grup Databricks zaleca dalsze uruchamianie aprowizacji SCIM wraz z automatycznym zarządzaniem tożsamościami, aby utrzymać synchronizację członkostwa w zagnieżdżonych grupach.

Ręcznie zmodyfikowane członkostwa w grupach

Jeśli członkostwo w grupach zostało ręcznie edytowane w Azure Databricks, te członkostwa nie są synchronizowane z Microsoft Entra ID po wyłączeniu SCIM i mogą stać się nieaktualne w czasie. Gdy automatyczne zarządzanie tożsamościami jest włączone, Microsoft Entra ID jest głównym źródłem informacji o członkostwie w grupach, dlatego Databricks zaleca usunięcie wszelkich lokalnie zmodyfikowanych członkostw. Uruchom raport gotowości do automatycznego zarządzania tożsamością , aby zidentyfikować te członkostwa przed wyłączeniem SCIM.

Zagadnienia dotyczące migracji

Grupy zagnieżdżone muszą być jawnie przypisane do obszaru roboczego

W przypadku używania zagnieżdżonych grup Microsoft Entra ID, grupy podrzędne nie są automatycznie dostępne na potrzeby udostępniania zasobów w obszarze roboczym. Aby przyznać grupie podrzędnej uprawnienia do obiektów obszaru roboczego, takich jak notatniki lub zapytania, należy przypisać tę grupę podrzędną bezpośrednio do obszaru roboczego, nawet jeśli jej grupa nadrzędna jest już przypisana.

Jeśli na przykład grupa nadrzędna P zawiera grupę podrzędną C, a tylko P jest przypisana do obszaru roboczego, nie można udzielić uprawnień C do zasobów obszaru roboczego, dopóki sam C nie zostanie również przypisany.

Członkowie grupy są aprowizowani na zasadzie just in time

W przeciwieństwie do programu SCIM automatyczne zarządzanie tożsamościami nie synchronizuje członkostwa grup w Azure Databricks. Członkowie grupy są udostępniani, gdy wykazują aktywność w usłudze Azure Databricks (na przykład logując się) lub gdy administrator konta albo administrator obszaru roboczego wyraźnie ich doda.

Usunięci użytkownicy nie są natychmiast dezaktywowani

Gdy użytkownik zostanie usunięty z Microsoft Entra ID, będzie nadal wyświetlany jako aktywny w Azure Databricks. Nie mogą się zalogować, ale ich stan nie jest automatycznie aktualizowany.

Zmiany adresów e-mail tworzą nowych użytkowników

Jeśli adres e-mail użytkownika zmieni się w Microsoft Entra ID (na przykład alice@example.com stanie się alice-new@example.com), automatyczne zarządzanie tożsamościami tworzy nowego użytkownika w Azure Databricks zamiast aktualizować istniejący rekord. Jest to zgodne z bieżącym zachowaniem SCIM. W przypadku zmian adresu e-mail skontaktuj się z pomocą techniczną usługi Databricks.

Interfejs API SCIM nie zwraca członków obsługiwanych w ramach automatycznego zarządzania tożsamościami

Interfejs API SCIM GET /groups/{id} zwraca tylko członków grupy udostępnionych za pośrednictwem interfejsu użytkownika Azure Databricks lub SCIM. Nie zwraca użytkowników, którzy zostali aprowizowani za pomocą automatycznego zarządzania tożsamością, ani użytkowników, którzy istnieją w Microsoft Entra ID, ale nie zostali jeszcze aprowizowani w usłudze Azure Databricks.

Uprawnienia usługi Unity Catalog wymagają udostępnionych tożsamości

Interfejsy API do przyznawania uprawnień w Unity Catalog nie mogą odwoływać się do tożsamości, które nie zostały jeszcze udostępnione w Azure Databricks. Przed przyznaniem uprawnień do tożsamości, należy ją udostępnić, odczytując odpowiadający mu zasób tożsamości zewnętrznej: użytkownika zewnętrznego, grupę zewnętrzną lub zewnętrzne API głównej usługi . Odczyt zasobu powoduje ustalenie tożsamości na podstawie danych z Microsoft Entra ID i aprowizowanie jej w usłudze Azure Databricks. Po aprowizowaniu tożsamości możesz nadać uprawnienia jak zwykle.

Funkcje odwołujące się do podmiotu zabezpieczeń według nazwy, takie jak is_account_group_member(), również wymagają, aby podmiot zabezpieczeń był najpierw aprowizowany.

Grupy lokalne obszaru roboczego nie są zarządzane przez automatyczne zarządzanie tożsamościami

Automatyczne zarządzanie tożsamościami nie zarządza grupami lokalnymi obszaru roboczego. Grupy lokalne obszaru roboczego i przypisane im uprawnienia nadal działają, ale aktualizacje członkostwa muszą być obsługiwane poza automatycznym zarządzaniem tożsamościami.

Databricks zaleca migrowanie grup lokalnych obszaru roboczego do grup na poziomie konta, aby automatyczne zarządzanie tożsamościami mogło zarządzać ich członkostwem. Zobacz Migrowanie grup lokalnych w przestrzeni roboczej do grup kont.