Automatyczny raport gotowości zarządzania tożsamością

Raport gotowości automatycznego zarządzania tożsamościami pomaga administratorom kont identyfikować i rozwiązywać rozbieżności dotyczące zewnętrznych identyfikatorów i członkostwa w grupach między usługą Azure Databricks a twoim dostawcą tożsamości (IdP). Ponieważ automatyczne zarządzanie tożsamością działa tylko w obszarach roboczych objętych federacją tożsamości, Databricks zaleca włączenie federacji tożsamości we wszystkich obszarach roboczych na koncie.

Aby zapoznać się z omówieniem automatycznego zarządzania tożsamościami, zobacz Automatyczne zarządzanie tożsamościami. Aby przenieść istniejące konto, zobacz Migracja do automatycznego zarządzania tożsamością z Microsoft Entra ID.

O rozbieżnościach

Automatyczne zarządzanie tożsamością wymaga obszaru roboczego z federacją tożsamości. Wykorzystuje element externalId, aby bezpośrednio połączyć użytkowników i grupy usługi Azure Databricks z twoim dostawcą tożsamości, a konkretnie z identyfikatorem obiektu w usłudze Microsoft Entra ID lub z identyfikatorem użytkownika albo grupy w Okta.

Brakujące lub błędne externalId wartości zakłócają synchronizację metadanych i tworzą duplikaty tożsamości. Ponieważ członkostwo w grupach w usłudze Azure Databricks można edytować, może ono również utracić synchronizację z dostawcą tożsamości i powodować komplikacje, jeśli obsługa administracyjna SCIM jest wyłączona.

Problemy wykrywane przez raport

Raport pomaga odkryć tożsamości skonfigurowane w Azure Databricks, których zewnętrzne identyfikatory nie mają odpowiedniego dopasowania w Twoim dostawcy tożsamości. Wykrywa także rozbieżności między członkostwami w Azure Databricks a grupami dostawców tożsamości. Poniższe przykłady pokazują problemy, które raport pomaga wykryć i rozwiązać.

W produkcie pojawiają się duplikaty tożsamości

Gdy w interfejsach administratorskich Azure Databricks pojawiają się dwie tożsamości o tej samej nazwie, ale z różnymi źródłami, zwykle przyczyną jest błędnie skonfigurowany zewnętrzny identyfikator. Jedna tożsamość konta i jedna tożsamość dostawcy tożsamości pojawiają się zarówno w interfejsach administratora, jak i w oknach dialogowych udostępniania.

Aby rozwiązać ten problem, popraw następujące kategorie błędów:

• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP
• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH
• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Liczba członków grupy w dostawcy tożsamości nie pokrywa się z liczbą w Azure Databricks

Interfejsy użytkownika platformy Azure Databricks wyświetlają liczbę członków z dostawcy tożsamości. Liczba nie obejmuje członków należących do grupy Azure Databricks, ale nieistniejących u dostawcy tożsamości, mimo że takie członkostwo nadal przyznaje uprawnienia.

Aby rozwiązać ten problem, popraw następującą kategorię błędów:

• AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

Udostępnianie grupy dostawców tożsamości nie działa

Podczas importowania grupy dostawcy tożsamości może pojawić się błąd informujący, że grupa już istnieje w Azure Databricks. Istniejąca grupa kont zwykle zachowuje tę nazwę, ponieważ Azure Databricks wymusza unikalne nazwy grup.

Aby rozwiązać ten problem, popraw następującą kategorię błędów:

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

Uruchom raport gotowości

1. Zaloguj się do konsoli kont Azure Databricks jako administrator konta.
2. Przejdź do Zabezpieczenia>.
3. W sekcji zarządzania tożsamością rozpocznij nowy skan. Możesz rozpocząć skanowanie niezależnie od tego, czy automatyczne zarządzanie tożsamością jest włączone.
4. Poczekaj, aż przetwarzanie skanu się zakończy. Może to zająć od kilku minut do kilku godzin, w zależności od wielkości Twojego konta.
5. Po zakończeniu skanowania otwieraj wyniki skanowania w tej samej sekcji.

Po zakończeniu badania możesz poprosić o nowe. Aby ponownie sprawdzić pojedynczy podmiot zabezpieczeń, kliknij Odśwież przy tym podmiocie zabezpieczeń. Po rozwiązaniu tego problemu podmiot nie pojawia się już na liście błędnych konfiguracji.

Możesz także pobrać pliki CSV z całymi wynikami skanowania lub z wynikami jednej kategorii. Zobacz Interpretuj wyjście raportu , aby dowiedzieć się, jak czytać CSV.

Interpretuj wyniki raportu

Eksport CSV zawiera następujące kolumny:

• principalId: Wewnętrzny identyfikator Azure Databricks.
• principalType: Typ podmiotu dla identyfikatora głównego. Może to być użytkownik, grupa lub jednostka usługi.
• category: Kategoria błędu dla identyfikatora głównego. Więcej informacji znajdziesz w sekcji Kategorie błędów i sposoby naprawy.
• localPrincipalExternalId: Zewnętrzny identyfikator przechowywany w usłudze Azure Databricks dla aprowizowanej jednostki zabezpieczeń Azure Databricks.
• localPrincipalName: Nazwa użytkownika, identyfikator aplikacji lub nazwa grupy przechowywana w Azure Databricks dla zaplanowanego Azure Databricks principal.
• idpPrincipalExternalId: Zewnętrzny identyfikator przechowywany u dostawcy tożsamości dla danego podmiotu.
• idpPrincipalName: Nazwa użytkownika, identyfikator aplikacji lub nazwa grupy przechowywane u dostawcy tożsamości dla danego podmiotu.
• localMembersWithExternalId: Wewnętrzne identyfikatory członków grupy oddzielone średnikami, którzy mają zewnętrzny identyfikator, ale nie należą do grupy dostawcy tożsamości.
• localMembersWithoutExternalId: wewnętrzne identyfikatory członków grup oddzielone średnikami, które istnieją tylko w Azure Databricks i nie mają zewnętrznego ID.
• hasMoreLocalMembersWithExternalId: Czy liczba członków jest localMembersWithExternalId większa niż podana w CSV.
• hasMoreLocalMembersWithoutExternalId: Czy liczba członków jest localMembersWithoutExternalId większa niż podana w CSV.
• failureReason: Powód, dla którego badanie dyrektora się nie powiodło.

Kategorie błędów i rekultywacja

Raport dzieli problemy na poniższe kategorie błędów. Każda kategoria wyjaśnia, co oznacza dany błąd i jak go rozwiązać. Napraw każdy podmiot główny objęty problemem, stosując rozwiązanie odpowiednie dla jego kategorii.

Zaktualizuj zewnętrzny identyfikator dla zleceniodawcy

Aby zaktualizować externalId, użyj interfejsu Account SCIM. Pełny format żądań można znaleźć w artykule Account SCIM v2.1 API.

Wyślij PATCH żądanie do punktu końcowego dla typu głównego:

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/<Users|Groups|ServicePrincipals>/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": "<new-external-id>"
    }
  ]
}

Usuń zewnętrzny identyfikator grupy

Aby usunąć externalId dla grupy, użyj interfejsu API Account SCIM. Ustaw wartość na pusty ciąg znaków.

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/Groups/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": ""
    }
  ]
}

Dodatkowe zasoby