Relatório automático de prontidão para gestão de identidade

O relatório de prontidão para gestão automática de identidades ajuda os administradores de contas a identificar e resolver divergências externas de ID e de pertença a grupos entre o Azure Databricks e o seu fornecedor de identidade (IdP). Como a gestão automática de identidades só funciona dentro de espaços de trabalho federados por identidade, a Databricks recomenda permitir a federação de identidade em todos os espaços de trabalho da conta.

Para uma visão geral da gestão automática de identidades, veja Gestão automática de identidade. Para migrar uma conta existente, consulte Migrar para gestão automática de identidades com Microsoft Entra ID.

Sobre divergências

A gestão automática de identidades requer uma área de trabalho com identidades federadas. Utiliza um externalId para ligar utilizadores e grupos do Azure Databricks diretamente ao seu fornecedor de identidade, especificamente ao ID do objeto no Microsoft Entra ID ou ao ID do utilizador ou do grupo no Okta.

Valores em falta ou incorretos externalId quebram as sincronizações de metadados e criam identidades duplicadas. Como as associações a grupos no Azure Databricks são editáveis, também podem ficar dessincronizadas com o seu fornecedor de identidade e causar complicações se o aprovisionamento SCIM estiver desativado.

Questões que o relatório deteta

O relatório ajuda-o a descobrir identidades provisionadas no Azure Databricks cujos IDs externos não têm correspondência correspondente no seu fornecedor de identidade. Também deteta divergências entre o Azure Databricks e as pertenças a grupos de fornecedores de identidade. Os exemplos seguintes mostram questões que o relatório ajuda a detetar e resolver.

Identidades duplicadas aparecem no produto

Quando duas identidades com o mesmo nome mas fontes diferentes aparecem nas interfaces de administração do Azure Databricks, normalmente é um ID externo mal configurado. Uma identidade de conta e uma identidade de fornecedor de identidade aparecem ambas nas interfaces de administração e nos diálogos de partilha.

Para resolver este problema, corrigir as seguintes categorias de erro:

• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_NOT_IN_IDP
• AIM_MISCONFIGURATION_CATEGORY_EXTERNAL_ID_MATCH_NAME_MISMATCH
• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

A contagem de membros do grupo no fornecedor de identidade não corresponde à contagem no Azure Databricks

As interfaces de utilizador do Azure Databricks apresentam o número de membros do provedor de identidade. A contagem exclui membros que existem no grupo Azure Databricks mas não no fornecedor de identidade, embora essas associações ainda concedam permissões.

Para resolver este problema, corrigir a seguinte categoria de erro:

• AIM_MISCONFIGURATION_CATEGORY_GROUP_HAS_LOCAL_MEMBERS

A provisão de um grupo de fornecedores de identidade falha

Quando importas um grupo de fornecedores de identidade, podes receber um erro de que o grupo já existe no Azure Databricks. Um grupo de contas existente normalmente reserva o nome, porque o Azure Databricks impõe nomes de grupos únicos.

Para resolver este problema, corrigir a seguinte categoria de erro:

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_EXTERNAL_ID_MISMATCH

O nome a apresentar de um utilizador ou de uma entidade principal de serviço no Azure Databricks não corresponde ao fornecedor de identidade

O nome único de um utilizador ou principal de serviço (o nome de utilizador de um utilizador, ou o ID de aplicação de um principal de serviço) corresponde à identidade de um fornecedor de identidade, mas o seu nome de exibição difere. Como a gestão automática de identidades faz a correspondência com base no nome exclusivo, a sincronização seguinte substitui o nome a apresentar do Azure Databricks pelo valor do seu fornecedor de identidade. Esta categoria aplica-se apenas a utilizadores e principais de serviço. Os grupos não são verificados para detetar divergências no nome a apresentar.

Para resolver este problema, corrigir a seguinte categoria de erro:

• AIM_MISCONFIGURATION_CATEGORY_NAME_MATCH_DISPLAY_NAME_MISMATCH

Um utilizador ou principal de serviço é desativado ou reativado por uma sincronização automática de gestão de identidade

O nome único de um utilizador ou principal de serviço corresponde à identidade de um fornecedor de identidade, mas o seu estado ativo difere: está ativo no Azure Databricks e inativo no fornecedor de identidade, ou inativo no Azure Databricks e ativo no fornecedor de identidade. Como a gestão automática de identidade sincroniza o estado a partir do seu fornecedor de identidade, a próxima sincronização desativa ou reativa a identidade do Azure Databricks em conformidade. Esta categoria aplica-se apenas a utilizadores e principais de serviço. Os grupos não são verificados relativamente a divergências de estado.

Para resolver este problema, reveja a seguinte categoria de erro:

• AIM_MISCONFIGURATION_CATEGORY_STATUS_MISMATCH

Gerar o relatório de preparação

1. Inicie sessão na consola de contas do Azure Databricks como administrador de conta.
2. Vá a Segurança>.
3. Na secção Gestão de Identidades, inicie uma nova análise. Pode iniciar uma análise independentemente de estar ativada a gestão automática de identidades.
4. Aguarde até a digitalização terminar de ser processada. Isto pode demorar de alguns minutos a várias horas, dependendo do tamanho da sua conta.
5. Quando a análise estiver concluída, abra os resultados da análise na mesma secção.

Depois de concluir a digitalização, pode pedir uma nova digitalização. Para verificar novamente um único princípio, clique em Atualizar no princípio. Depois de resolver o problema, a entidade principal deixa de aparecer na lista de configurações incorretas.

Também pode descarregar um CSV com os resultados completos da análise ou dos resultados de uma única categoria. Consulte Interpretar a saída do relatório para saber como ler o CSV.

Interpretar o resultado do relatório

A exportação CSV contém as seguintes colunas:

• principalId: O ID interno do Azure Databricks.
• principalType: O tipo de principal para o principal ID. Pode ser um usuário, grupo ou entidade de serviço.
• category: A categoria de erro para o ID principal. Consulte Categorias de erro e remediação para mais informações.
• localPrincipalExternalId: O ID externo armazenado no Azure Databricks para o principal provisionado do Azure Databricks.
• localPrincipalName: O nome de utilizador, identificador da aplicação ou nome do grupo armazenado no Azure Databricks para o principal Azure Databricks provisionado.
• idpPrincipalExternalId: O ID externo armazenado no fornecedor de identidades relativo a um determinado principal.
• idpPrincipalName: O nome de utilizador, ID da aplicação ou nome do grupo armazenado no fornecedor de identidade para um determinado principal.
• localPrincipalDisplayName: O nome de exibição armazenado no Azure Databricks para o principal Azure Databricks provisionado.
• idpPrincipalDisplayName: O nome de exibição armazenado no fornecedor de identidade para um dado principal.
• localPrincipalStatus: O estado da identidade do Azure Databricks aprovisionada, seja PRINCIPAL_STATUS_ACTIVE ou PRINCIPAL_STATUS_INACTIVE.
• idpPrincipalStatus: O estado da identidade do fornecedor de identidade correspondente, seja PRINCIPAL_STATUS_ACTIVE ou PRINCIPAL_STATUS_INACTIVE.
• localMembersWithExternalId: IDs internos separados por ponto e vírgula dos membros do grupo que têm um ID externo mas não pertencem ao grupo de fornecedores de identidade.
• localMembersWithoutExternalId: IDs internos separados por ponto e vírgula dos membros do grupo que existem apenas no Azure Databricks e não têm ID externo.
• hasMoreLocalMembersWithExternalId: Se há mais localMembersWithExternalId membros do que o indicado no CSV.
• hasMoreLocalMembersWithoutExternalId: Se há mais localMembersWithoutExternalId membros do que o indicado no CSV.
• failureReason: A razão pela qual a análise do diretor falhou.

Categorias de erro e remediação

O relatório agrupa os problemas nas categorias de erro abaixo. Cada categoria explica o que significa o erro e como resolvê-lo. Fixe cada principal afetado usando a resolução da sua categoria.

Atualize o ID externo de um principal

Para atualizar externalId, utilize a API SCIM da conta. Para o formato completo do pedido, consulte Referência da API Account SCIM v2.1.

Envie um PATCH pedido ao endpoint para o tipo principal:

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/<Users|Groups|ServicePrincipals>/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": "<new-external-id>"
    }
  ]
}

Remover o ID externo de um grupo

Para remover o externalId de um grupo, utilize a API SCIM da conta. Defina o valor para uma cadeia vazia.

PATCH https://<account-console-url>/api/2.1/accounts/<account-id>/scim/v2/Groups/<databricks-id>

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "externalId",
      "value": ""
    }
  ]
}

Recursos adicionais