Relatório automático de prontidão para gerenciamento de identidade

O relatório de prontidão para gerenciamento automático de identidade ajuda os administradores de contas a identificar e resolver divergências externas de ID e de pertença a grupos entre o Azure Databricks e seu provedor de identidade (IdP). Como o gerenciamento automático de identidades funciona apenas dentro de espaços de trabalho federados por identidade, o Databricks recomenda habilitar a federação de identidades em todos os espaços de trabalho da conta.

Para obter uma visão geral do gerenciamento automático de identidades, consulte Gerenciamento automático de identidade. Para migrar uma conta existente, veja Migrar para gerenciamento automático de identidade com Microsoft Entra ID.

Sobre divergências

O gerenciamento automático de identidade requer um espaço de trabalho federado por identidade. Ele usa um externalId para vincular usuários e grupos do Azure Databricks diretamente ao seu provedor de identidade, especificamente ao ID do objeto no Microsoft Entra ID ou ao ID do usuário ou do grupo no Okta.

Valores ausentes ou incorretos externalId quebram as sincronizações de metadados e criam identidades duplicadas. Como as associações a grupos no Azure Databricks são editáveis, elas também podem ficar fora de sincronização com seu provedor de identidade e causar complicações se o provisionamento por SCIM estiver desativado.

Questões detectadas pelo relatório

O relatório ajuda você a descobrir identidades provisionadas no Azure Databricks cujos IDs externos não têm correspondência correspondente no seu provedor de identidade. Também detecta divergências entre o Azure Databricks e as associações a grupos de provedores de identidade. Os exemplos a seguir mostram questões que o relatório ajuda você a detectar e resolver.

Identidades duplicadas aparecem no produto

Quando duas identidades com o mesmo nome, mas fontes diferentes, aparecem nas interfaces administrativas do Azure Databricks, geralmente é um ID externo mal configurado. Uma identidade de conta e uma identidade de provedor de identidade aparecem em interfaces administrativas e diálogos de compartilhamento.

Para resolver esse problema, corrija as seguintes categorias de erro:

• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP
• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH
• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

A contagem de membros do grupo no provedor de identidade não corresponde à contagem no Azure Databricks

As interfaces do usuário do Azure Databricks mostram o número de membros do provedor de identidade. A contagem exclui membros que existem no grupo Azure Databricks, mas não no provedor de identidade, mesmo que essas associações ainda concedam permissões.

Para resolver esse problema, corrija a seguinte categoria de erro:

• AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

O provisionamento de um grupo de provedor de identidade falha

Quando você importa um grupo de provedor de identidade, pode receber um erro de que o grupo já existe no Azure Databricks. Um grupo de contas existente geralmente reserva o nome, porque o Azure Databricks impõe nomes de grupos únicos.

Para resolver esse problema, corrija a seguinte categoria de erro:

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

O nome de exibição de um usuário ou de uma entidade de serviço no Azure Databricks não corresponde ao provedor de identidade

O nome único de um usuário ou principal de serviço (o nome de usuário de um usuário, ou o ID de aplicação de um principal de serviço) corresponde à identidade de um provedor de identidade, mas seu nome de exibição difere. Como o gerenciamento automático de identidades faz a correspondência com base no nome exclusivo, a próxima sincronização substitui o nome de exibição do Azure Databricks pelo valor do seu provedor de identidade. Esta categoria se aplica apenas a usuários e principais de serviço. Grupos não são verificados quanto à divergência de nomes de exibição.

Para resolver esse problema, corrija a seguinte categoria de erro:

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_DISPLAY_NAME_MISMATCH

Um usuário ou principal de serviço é desativado ou reativado por uma sincronização automática de gerenciamento de identidade

O nome único de um usuário ou principal de serviço corresponde à identidade de um provedor de identidade, mas seu status ativo difere: ele está ativo no Azure Databricks e inativo no provedor de identidade, ou inativo no Azure Databricks e ativo no provedor de identidade. Como o gerenciamento automático de identidade sincroniza o status do seu provedor de identidade, a próxima sincronização desativa ou reativa a identidade do Azure Databricks para corresponder. Esta categoria se aplica apenas a usuários e principais de serviço. Grupos não são verificados quanto à divergência de status.

Para resolver esse problema, revise a seguinte categoria de erro:

• AIM_MISCONFIGURATION_CATEGORY_STATUS_MISMATCH

Execute o relatório de prontidão

1. Faça login no console de contas do Azure Databricks como administrador de conta.
2. Vá para Segurança>.
3. Na seção de gerenciamento de identidade , inicie uma nova varredura. Você pode iniciar uma varredura independentemente de o gerenciamento automático de identidades estar ativado.
4. Aguarde a digitalização terminar de ser processada. Isso pode levar de alguns minutos a várias horas, dependendo do tamanho da sua conta.
5. Quando a verificação estiver concluída, abra os resultados na mesma seção.

Após a varredura terminar, você pode solicitar uma nova varredura. Para verificar novamente um único princípio, clique em Atualizar no principal. Após resolver o problema, a entidade principal não aparecerá mais na lista de configurações incorretas.

Você também pode baixar um CSV com os resultados completos do escaneamento ou dos resultados de uma única categoria. Veja Interpretar a saída do relatório para saber como ler o CSV.

Interprete a saída do relatório

A exportação CSV contém as seguintes colunas:

• principalId: O ID interno do Azure Databricks.
• principalType: O tipo de principal para o principal ID. Isso pode ser um usuário, grupo ou entidade de serviço.
• category: A categoria de erro para o ID principal. Veja Categorias de erro e remediação para mais informações.
• localPrincipalExternalId: o ID externo armazenado no Azure Databricks para a entidade principal provisionada do Azure Databricks.
• localPrincipalName: O nome de usuário, ID da aplicação ou nome do grupo armazenado no Azure Databricks para o principal provisionado do Azure Databricks.
• idpPrincipalExternalId: O ID externo armazenado no provedor de identidade de um determinado principal.
• idpPrincipalName: O nome de usuário, ID da aplicação ou nome do grupo armazenado no provedor de identidade para um determinado principal.
• localPrincipalDisplayName: O nome de exibição armazenado no Azure Databricks para o principal provisionado do Azure Databricks.
• idpPrincipalDisplayName: O nome de exibição armazenado no provedor de identidade para um determinado principal.
• localPrincipalStatus: O status do principal provisionado do Azure Databricks, seja PRINCIPAL_STATUS_ACTIVE ou PRINCIPAL_STATUS_INACTIVE.
• idpPrincipalStatus: O status da identidade correspondente do provedor de identidade, seja PRINCIPAL_STATUS_ACTIVE ou PRINCIPAL_STATUS_INACTIVE.
• localMembersWithExternalId: IDs internos separados por ponto e vírgula de membros do grupo que possuem um ID externo, mas não pertencem ao grupo provedor de identidade.
• localMembersWithoutExternalId: IDs internos separados por ponto e vírgula dos membros do grupo que existem apenas no Azure Databricks e não possuem ID externo.
• hasMoreLocalMembersWithExternalId: Se há mais localMembersWithExternalId membros do que o fornecido no CSV.
• hasMoreLocalMembersWithoutExternalId: Se há mais localMembersWithoutExternalId membros do que o fornecido no CSV.
• failureReason: o motivo da falha na verificação da entidade principal.

Categorias de erro e remediação

O relatório agrupa os problemas nas categorias de erro abaixo. Cada categoria explica o que o erro significa e como resolvê-lo. Corrija cada entidade principal afetada usando a resolução para sua categoria.

Atualize o ID externo de um principal

Para atualizar o externalId, use a API SCIM da Conta. Para o formato completo da requisição, veja Referência da API Account SCIM v2.1.

Envie uma solicitação PATCH para o ponto de extremidade do tipo de entidade principal:

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/<Users|Groups|ServicePrincipals>/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": "<new-external-id>"
    }
  ]
}

Remova o ID externo de um grupo

Para remover o externalId de um grupo, use a API SCIM da conta. Defina o valor para uma cadeia vazia.

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/Groups/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": ""
    }
  ]
}

Recursos adicionais