Leia dados partilhados usando a federação Open ID Connect (OIDC) num fluxo U2M

Esta página descreve como os destinatários de dados podem usar uma aplicação 'utilizador-para-máquina' (U2M) (por exemplo, Power BI) para estabelecer acesso a partilhas OpenSharing criadas no Azure Databricks através da federação Open ID Connect (OIDC). O fluxo de autenticação "user-to-machine" (U2M) usa a federação OIDC, permitindo que JSON Web Tokens (JWTs) emitidos pelo IdP do destinatário sejam usados como tokens OAuth de curta duração autenticados pelo Azure Databricks. Este método de autenticação de compartilhamento de Databricks para acesso externo foi projetado para destinatários que não têm acesso a um espaço de trabalho Databricks com suporte ao Unity Catalog.

Na Federação OIDC, o IdP do destinatário é responsável por emitir tokens JWT e aplicar políticas de segurança, como a Autenticação Multi-Fator (MFA). Da mesma forma, o tempo de vida do token JWT é regido pelo IdP do destinatário. O Databricks não gera nem gerencia esses tokens. Ele apenas federa a autenticação ao IdP do destinatário e valida o JWT em relação à política de federação configurada do destinatário. Os provedores de dados também podem optar por federar a autenticação em seu próprio IdP ao compartilhar dados internamente com outros usuários ou departamentos dentro de sua organização.

A federação OIDC é uma alternativa à utilização de tokens portadores de longa duração emitidos pelo Azure Databricks para ligar destinatários não-Databricks a provedores. Ele permite um controle de acesso refinado, suporta MFA e reduz os riscos de segurança, eliminando a necessidade de os destinatários gerenciarem e protegerem credenciais compartilhadas. Para informações sobre o uso de tokens portadores para gerir a autenticação em partilhas, consulte Criar um objeto destinatário para utilizadores não-Databricks usando tokens portadores (Databricks-to-Open sharing).

Esta página destina-se a destinatários que utilizam aplicações "utilizador-a-máquina" (U2M) (por exemplo, Power BI ou Tableau). Para informações sobre como os fornecedores podem ativar a federação OIDC para destinatários no Azure Databricks, consulte Habilitar a federação Open ID Connect (OIDC) para destinatários OpenSharing. Para informações sobre o fluxo de Credenciais de Cliente OAuth "máquina-a-máquina" (M2M), consulte Ler dados partilhados usando a federação Open ID Connect (OIDC) num fluxo M2M.

Esta página explica como os destinatários de dados podem usar o seu próprio fornecedor de identidade (IdP) para aceder a partilhas OpenSharing criadas no Databricks.

Visão geral do fluxo de autenticação usuário-a-máquina (U2M) usando a federação de token OIDC

Para usar a federação de tokens OIDC para acessar dados compartilhados por um provedor Databricks, faça o seguinte:

1. Forneça ao provedor do Azure Databricks o IdP e as informações do usuário que ele solicitar.
2. Use a URL do portal de geração de perfil OIDC que o provedor envia para acessar um arquivo de perfil (Tableau) ou uma página de entrada OAuth (Power BI).

Obter os valores do campo de política OIDC do Entra ID

Se você, como destinatário, usar o Microsoft Entra ID como seu Provedor de Identidade, poderá obter as informações solicitadas pelo provedor seguindo estas instruções. Para outros IdPs, consulte a documentação deles.

• URL do emissor: Este é o emissor do token, especificado na iss declaração de tokens JWT OIDC. Para Entra ID é https://login.microsoftonline.com/{tenantId}/v2.0, substitua {tenantId} pelo seu ID de locatário Entra. Para saber como encontrar sua ID de locatário, consulte a documentação do Microsoft Entra ID.

• Reivindicação do Assunto: Refere-se ao campo na carga útil JWT que identifica a entidade (por exemplo, utilizador ou grupo) que acede aos dados. O campo específico usado depende do seu Provedor de Identidade (IdP) e do seu caso de uso. Por exemplo, no Microsoft Entra ID, você pode usar os seguintes valores para cenários U2M:

  • oid (ID do objeto): selecione quando um único usuário requer acesso.
  • groups: Selecione quando um grupo de usuários requer acesso.

  Para outros IdPs, consulte a documentação deles para determinar a reivindicação de assunto apropriada para seus requisitos específicos.

• Assunto: o identificador único da identidade que pode aceder aos dados partilhados.

  • Se você pretende compartilhar com um único usuário e escolher oid a reivindicação de assunto, então você deve encontrar a ID do objeto do usuário de acordo com a documentação do Microsoft Entra ID e usá-la como assunto.
  • Se escolheres grupos como a declaração de assunto, deverás encontrar o ID do objeto de grupo: no console do Entra ID, selecione grupos e procure o grupo. O ID do objeto é exibido na linha do grupo na lista. Para a reivindicação de grupos, no Console do Entra, selecione grupos e localize o ID do objeto do seu grupo.

• Público: para autenticação U2M, o destinatário não precisa desse valor. O provedor Databricks sempre usa a seguinte ID:

  64978f70-f6a6-4204-a29e-87d74bfea138

  Este é o ID para a aplicação cliente registada em OAuth Databricks published multi-tenant App(DeltaSharing) que os destinatários usam para aceder às partilhas do Databricks usando o Power BI e o Tableau.

Exemplos de valores para Entra ID

Estes são exemplos de configuração para partilha com um utilizador específico com ID de objeto 11111111-2222-3333-4444-555555555555 no locatário aaaaaaaa-bbbb-4ccc-dddd-eeeeeeeeeeee do Entra ID.

• Emitente: https://login.microsoftonline.com/aaaaaaaa-bbbb-4ccc-dddd-eeeeeeeeeeee/v2.0
• reivindicação de assunto: oid (ID de objeto de utilizador)
• Assunto: 11111111-2222-3333-4444-555555555555Documentação do Microsoft Entra ID
• Audiências: 64978f70-f6a6-4204-a29e-87d74bfea138 (Este é o ID do cliente do aplicativo multilocatário registrado pelo Databricks no Entra ID)

Estes são exemplos de configurações para partilha com um grupo específico com ID de objeto 66666666-2222-3333-4444-555555555555 no tenant do Entra ID aaaaaaaa-bbbb-4ccc-dddd-eeeeeeeeeeee

• Emitente: https://login.microsoftonline.com/aaaaaaaa-bbbb-4ccc-dddd-eeeeeeeeeeee/v2.0
• Reclamação do assunto: groups
• Assunto: 66666666-2222-3333-4444-555555555555 (Este é o ID do objeto do grupo, que pode ser encontrado no console do Entra ID. Você pode selecionar um grupo e encontrar o ID do objeto do seu grupo)
• Audiências: 64978f70-f6a6-4204-a29e-87d74bfea138 (Este é o ID do cliente do aplicativo multilocatário registrado pelo Databricks no Entra ID)

Para mais informações sobre aplicações U2M e as suas políticas de Federação OIDC, consulte Ler dados partilhados usando a federação Open ID Connect (OIDC) num fluxo U2M.

Acessar os dados compartilhados usando o Power BI

Depois que o provedor criar a política para você, ele compartilhará um link para o Portal OIDC Databricks, que pode ser aberto de qualquer lugar e acessado várias vezes. Este link não contém informações confidenciais.

Requisitos

O Power BI Desktop deve ser a versão 2.141.1253.0 (lançada em 31 de março de 2025) ou posterior.

Aceda ao compartilhamento

1. Vá para a URL do portal de perfil OIDC que o provedor Databricks compartilhou com você.

   Solicite o URL se ainda não o recebeu.

2. Na página do portal, selecione o bloco U2M e em Para usar no Power BI, copie o endpoint de serviço.

3. No Power BI, vá a Obter dados e procure por Delta Sharing, selecione OpenSharing e clique em Conectar.

4. No diálogo OpenSharing , cole a URL do endpoint de serviço no campo URL do servidor OpenSharing e clique em OK.

5. No diálogo de autenticação OpenSharing , certifique-se de que OAuth está selecionado na barra lateral e clique em Iniciar sessão.

   Você é levado para sua página de login do IdP. Inicie sessão como faz habitualmente.

6. Volte ao diálogo de autenticação OpenSharing e clique em Conectar.

7. No Navigator, os dados partilhados estão listados sob o URL OpenSharing.

Aprovar o aplicativo multilocatário

Para poder usar o aplicativo multilocatário publicado pelo Databricks (DeltaSharing), o administrador do locatário do Entra ID precisa abrir essa URL em seu navegador e entrar com a identidade de administrador para aprovar o uso: https://login.microsoftonline.com/{organization}/adminconsent?client_id=64978f70-f6a6-4204-a29e-87d74bfea138. Substitua {organization} pelo seu identificador de locatário do Azure. Esta é uma ação única, mais informações aqui: https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/grant-admin-consent?pivots=portal.

Acessar os dados compartilhados usando o Tableau

Para acessar o compartilhamento usando o Tableau:

1. Vá para a URL do portal de perfil OIDC que o provedor Databricks compartilhou com você.

   Solicite o URL se ainda não o recebeu.

2. Na página do portal, seleccione o mosaico U2M e, em Para usar no Tableau, descarregue o arquivo de perfil.

3. Encontre e copie o endpoint OpenSharing.

4. Abra o conector OAuth do Tableau OpenSharing para autenticar automaticamente com o seu IdP e inicie a página do conector.

5. Na página do conector, cole o URL do endpoint OpenSharing. O token do portador é pré-preenchido.

Para mais informações, consulte o readme do conector Tableau OpenSharing no Databricks Labs.