Настройка подготовки SCIM с помощью идентификатора Microsoft Entra (Azure Active Directory)

В этой статье описывается, как set организовать учетную запись Azure Databricks с помощью идентификационной системы Microsoft Entra.

Databricks рекомендует подготовить пользователей, субъектов-служб и групп на уровне учетной записи и управлять назначением пользователей и групп рабочим областям в Azure Databricks. Чтобы управлять назначением пользователей рабочим областям, необходимо включить рабочие области для федерации удостоверений.

Примечание.

Метод настройки подготовки не связан с настройкой проверки подлинности и условного доступа для рабочих областей или учетных записей Azure Databricks. Проверка подлинности для Azure Databricks выполняется автоматически с помощью идентификатора Microsoft Entra с помощью потока протокола OpenID Connect. Вы настраиваете условный доступ, который позволяет создавать правила, требующие многофакторной проверки подлинности или ограничения учетных данных для входа в локальные сети на уровне службы.

Подготовка удостоверений в учетной записи Azure Databricks с помощью идентификатора Microsoft Entra

Вы можете sync пользователей и групп на уровне учетной записи из клиента идентификатора Microsoft Entra в Azure Databricks с помощью соединителя подготовки SCIM.

Внимание

Если у вас уже есть соединители SCIM, которые sync удостоверения непосредственно в рабочие области, необходимо отключить эти соединители SCIM при включении соединителя SCIM на уровне учетной записи. См раздел Миграция подготовки SCIM на уровне рабочей области на уровень учетной записи.

Требования

• Учетная запись Azure Databricks должна иметь план Premium.
• У вас должна быть роль администратора облачных приложений в идентификаторе Microsoft Entra.
• Учетная запись идентификатора Microsoft Entra должна быть учетной записью выпуска Premium для подготовки групп. Пользователи подготовки доступны для любого выпуска Идентификатора Microsoft Entra.
• Вы должны быть администратором учетных записей в Azure Databricks.

Примечание.

Чтобы включить консоль учетной записи и установить первого администратора учетной записи, см. статью "Установка первого администратора учетной записи".

Шаг 1. Настройка Azure Databricks

1. Войдите в консоль учетной записи Azure Databricks с правами администратора учетных записей Azure Databricks.
2. Нажмите кнопку "Параметры".
3. Щелкните Подготовка пользователей.
4. Щелкните Setдля предоставления доступа пользователям.

Скопируйте маркер SCIM и URL-адрес SCIM учетной записи. Вы будете использовать их для настройки приложения Идентификатора Microsoft Entra.

Примечание.

Маркер SCIM ограничен API /api/2.1/accounts/{account_id}/scim/v2/ SCIM учетной записи и не может использоваться для проверки подлинности в других REST API Databricks.

Шаг 2. Настройка корпоративного приложения

В этих инструкциях показано, как создать корпоративное приложение на портале Azure и использовать это приложение для подготовки. Если у вас есть существующее приложение, можно изменить его, чтобы автоматизировать подготовку SCIM с помощью Microsoft Graph. Благодаря этому можно не использовать отдельное приложение подготовки на портале Azure.

Выполните следующие действия, чтобы включить идентификатор Microsoft Entra для sync пользователей и групп в учетную запись Azure Databricks. Эта конфигурация отличается от конфигураций, которые вы создали для назначения sync пользователям и группам для работы с рабочими областями.

1. В портал Azure перейдите к > Microsoft Entra ID.
2. Щелкните + Создать приложение над приложением list. Под добавьте из галереи, найдите и выполните поиск по selectсоединителю SCIM для Azure Databricks.
3. Введите Имя приложения и нажмите Добавить.
4. В меню Управление выберите Подготовка.
5. Set режим настройки в автоматический режим.
6. Set URL-адрес конечной точки API SCIM url-адрес SCIM учетной записи, скопированный ранее.
7. Set секретный токен для SCIM-токена Azure Databricks, который вы создали ранее.
8. Щелкните «Тест соединения» и дождитесь сообщения, которое подтверждает, что credentials авторизованы для включения провизирования.
9. Нажмите кнопку Сохранить.

Шаг 3. Назначение пользователей и групп для приложения

Пользователи и группы, назначенные приложению SCIM, будут подготовлены в учетной записи Azure Databricks. Если у вас есть рабочие области Azure Databricks, Databricks рекомендует добавить всех существующих пользователей и группы в этих рабочих областях в приложение SCIM.

Примечание.

Идентификатор Microsoft Entra не поддерживает автоматическую подготовку субъектов-служб в Azure Databricks. Вы можете добавить субъекты-службы в учетную запись Azure Databricks после управления субъектами-службами в вашей учетной записи.

Идентификатор Microsoft Entra не поддерживает автоматическую подготовку вложенных групп в Azure Databricks. Идентификатор Microsoft Entra может читать и подготавливать пользователей, которые являются непосредственными членами явно назначенной группы. Чтобы обойти это ограничение, следует явно назначить (или другим способом указать область) группы, содержащие пользователей, которых нужно подготовить. Дополнительные сведения см. в этом разделе «Вопросы и ответы».

1. Перейдите к разделу "Управление свойствами>".
2. Set для выполнения задачи требуется до No. Databricks рекомендует этот параметр, который позволяет всем пользователям входить в учетную запись Azure Databricks.
3. См. раздел Управление >подготовкой.
4. Чтобы начать синхронизацию пользователей и групп Microsoft Entra ID с Azure Databricks, set переключите статус подготовки на Вкл.
5. Нажмите кнопку Сохранить.
6. Перейдите в раздел Управление >пользователями и группами.
7. Щелкните Добавитьпользователя или группы, select пользователей и групп и нажмите кнопку Назначить.
8. Подождите несколько минут, а затем проверьте существуют ли пользователи и группы в учетной записи Azure Databricks.

Пользователи и группы, которых вы добавляете и назначаете, будут автоматически подключены к учетной записи Azure Databricks, когда Microsoft Entra ID запланирует следующий sync.

Примечание.

Если вы remove пользователя из приложения SCIM уровня учетной записи, этот пользователь деактивирован из учетной записи и из рабочих областей независимо от того, включена ли функция федерации удостоверений.

Советы по подготовке

• Пользователи и группы, существующие в учетной записи Azure Databricks до включения предоставления, проявляют следующую модель поведения при предоставлении sync:
  • Пользователи и группы объединяются, если они также существуют в идентификаторе Microsoft Entra.
  • Пользователи и группы игнорируются, если они не существуют в идентификаторе Microsoft Entra. Пользователи, которые не существуют в идентификаторе Microsoft Entra, не могут войти в Azure Databricks.
• Отдельно назначенные пользователям разрешения, дублирующиеся членством в группе, остаются даже после удаления членства в группе для пользователя.
• Непосредственное удаление пользователей из учетной записи Azure Databricks с помощью консоли учетной записи имеет следующие последствия:
  • Удаленный пользователь теряет доступ к этой учетной записи Azure Databricks и всем рабочим областям в учетной записи.
  • Удаленный пользователь не будет синхронизироваться повторно с помощью подготовки идентификатора Microsoft Entra, даже если они остаются в корпоративном приложении.
• Начальный идентификатор Microsoft Entra ID sync активируется сразу после включения управления доступом. Последующие операции синхронизации активируются каждые 20-40 минут в зависимости от числа пользователей и групп в приложении. См . сводный отчет о подготовке в документации по идентификатору Microsoft Entra.
• Вы не можете update адрес электронной почты пользователя Azure Databricks.
• Нельзя sync вложенные группы или основные принципы службы Microsoft Entra ID из приложения SCIM-контактора подготовки в Azure Databricks. Databricks рекомендует использовать корпоративное приложение для sync пользователей и групп и управления вложенными группами и субъектами-службами в Azure Databricks. Однако можно также использовать поставщик Databricks Terraform или пользовательские сценарии, предназначенные для API SCIM Azure Databricks, для sync вложенных групп или представителей службы Microsoft Entra ID.
• Обновления имен групп в идентификаторе Microsoft Entra не sync в Azure Databricks.
• parameters,userName и emails.value должны соответствовать друг другу. Несоответствие может привести к отказу Azure Databricks отклонить запросы на создание пользователей из приложения SCIM идентификатора Microsoft Entra ID. В таких случаях, как внешние пользователи или псевдонимы электронной почты, может потребоваться изменить сопоставление SCIM по умолчанию корпоративного приложения для использования userPrincipalName , а не mail.

(Необязательно) Автоматизация подготовки с помощью Microsoft Graph

Microsoft Graph включает библиотеки проверки подлинности и авторизации, которые можно интегрировать в приложение для автоматизации подготовки пользователей и групп в учетной записи Azure Databricks или рабочих областей, а не для настройки приложения соединителя подготовки SCIM.

1. Следуйте инструкциям по регистрации приложения с использованием Microsoft Graph. Запишите идентификатор приложения и идентификатор арендатора для приложения.
2. Перейдите на страницу обзора приложений. На этой странице:
   1. Настройте секрет клиента для приложения и запишите секретный код.
   2. Grant для приложения следующие разрешения:
      • Application.ReadWrite.All
      • Application.ReadWrite.OwnedBy
3. Попросите администратора Microsoft Entra ID дать согласие администратора grant.
4. Update код приложения, чтобы добавить поддержкуMicrosoft Graph.

Устранение неполадок

Пользователи и группы не sync

• Если вы используете приложение соединителя подготовки SCIM для Azure Databricks:
  • В консоли учетной записи убедитесь, что маркер SCIM Azure Databricks, используемый для set подготовки, по-прежнему действителен.
• Не пытайтесь использовать sync вложенные группы, которые не поддерживаются автоматической настройкой Microsoft Entra ID. Дополнительные сведения см. в этом разделе «Вопросы и ответы».

Субъекты-службы идентификатора Microsoft Entra не sync

• Приложение соединителя подготовки SCIM для Azure Databricks не поддерживает синхронизацию субъектов-служб.

После первоначального события syncпользователи и группы перестают синхронизироваться.

Если вы используете приложение соединителя подготовки SCIM Для Azure Databricks: после первоначального идентификатор Microsoft Entra не сразу после изменения назначений пользователей или групп. Она назначает sync с приложением после задержки, которая зависит от количества пользователей и групп. Чтобы запросить немедленную sync, перейдите в раздел Управление > применения для корпоративного приложения и selectОчистить текущее состояние и перезапустить синхронизацию.

Недоступен диапазон IP-адресов службы подготовки Microsoft Entra ID

Служба подготовки идентификаторов Microsoft Entra работает в определенных диапазонах IP-адресов. Если необходимо ограничить доступ к сети, необходимо разрешить трафик из IP-адресов для AzureActiveDirectory в файле диапазонов IP-адресов и тегов служб Azure — общедоступное облако. Скачайте с сайта загрузки Майкрософт. Дополнительные сведения см. в разделе Диапазоны IP-адресов.