Identitätsattribut-Kontrollliste

Die Identity Attribute Control List ist eine Zulassungsliste auf Kontoebene, die festlegt, welche Identitätsattribute Benutzern in Ihrem Azure Databricks-Konto zugewiesen werden können. Kontoadministratoren aktivieren sie als Funktionsvorschau, um Attributschreibvorgänge über SCIM und automatische Identitätsverwaltung zu steuern.

Important

Dieses Feature befindet sich in der Betaversion. Kontoadministratoren können den Zugriff auf dieses Feature über die Seite " Vorschauen " der Kontokonsole verwalten. Siehe Verwalten von Vorschauen auf Kontoebene.

Die Attributkontrollliste wird über die Funktionsvorschau Identity Attribute Control List auf Kontoebene aktiviert, die standardmäßig deaktiviert ist. Ein Kontoadministrator aktiviert ihn über die Seite " Kontokonsole Vorschau" . Siehe Verwalten von Vorschauen auf Kontoebene.

Overview

Die Attributkontrollliste ist eine Zulassungsliste auf Kontoebene, die festlegt, welche der neun Identitätsattribute bei Benutzern in Ihrem Konto aus allen Schreibquellen geschrieben werden dürfen. Ein Kontoadministrator nutzt es, um zu steuern, welche Attribute auf Azure Databricks geschrieben werden können.

Die Liste gilt nur für Schreibvorgänge:

• Lesungen werden nie gefiltert. Ein zuvor gespeichertes Attribut bleibt auch nach Entfernung aus der Liste vollständig sichtbar.
• Entfernungen gespeicherter Werte sind immer erlaubt, sodass ein Administrator einen Wert jederzeit zurückziehen kann, einschließlich eines Attributs, das das Konto nicht mehr erlaubt.

Du musst die Vorschau nicht aktivieren, um Attribute über die SCIM-API zu schreiben. Durch das Aktivieren erhalten Sie Kontrolle darüber, welche Attribute beschrieben werden dürfen, und wenn die automatische Identitätsverwaltung aktiviert ist, werden die gespeicherten Attribute jedes Benutzers bei jeder Synchronisierung mit der Liste abgeglichen.

Aktivieren der Vorschau

Enrollment ist eine Funktionsvorschau auf Kontoebene mit der Bezeichnung Identity Attribute Control List, die auf der Seite Previews in der Kontokonsole aktiviert bzw. deaktiviert wird. Die Umschaltfläche ist standardmäßig deaktiviert.

1. Melden Sie sich als Kontoadministrator*in bei der Kontokonsole an.
2. Klicken Sie in der Randleiste auf "Vorschauen".
3. Aktivieren Sie die Umschaltfläche Kontrollliste für Identitätsattribute.

Das Aktivieren und Deaktivieren der Vorschau ändert nur, was zukünftige Schreibvorgänge tun dürfen. Es ändert nie rückwirkend Werte, die bereits bei deinen Nutzern gespeichert sind. Mit aktivierter automatischer Identitätsverwaltung stimmt die nächste Synchronisation die Nutzer mit der Liste ab, wodurch gespeicherte Daten entfernt werden können. Sehen Sie, wie die Durchsetzung funktioniert.

Konfigurieren Sie die Kontrollliste

Wenn dein Konto in der Vorschau registriert ist, konfigurierst du die Liste in der Kontokonsole.

1. Melden Sie sich als Kontoadministrator*in bei der Kontokonsole an.
2. Klicken Sie in der Randleiste auf "Sicherheit".
3. Klicken Sie auf "Benutzerbereitstellung".
4. Im Abschnitt Identitätsattribute konfigurieren klicken Sie auf Attribute verwalten.
5. Im Kontrollfenster 'Identität verwalten ' wähle das Kontrollkästchen für jedes Attribut aus, das du zulassen möchtest, und lösche das Kontrollkästchen für jedes Attribut, das du nicht zulassen möchtest.
6. Klicke auf Speichern.

Der Dialog zeigt alle neun Attribute als Kontrollkästchen (Titel, Benutzertyp, Ort, Region, Land, Kostenstelle, Organisation, Abteilung und Abteilung), wobei die aktuell erlaubten Attribute ausgewählt sind. Speichern ist deaktiviert, bis du eine Auswahl änderst.

Der Abschnitt "Identitätsattribute konfigurieren" ist nur sichtbar, wenn Ihr Konto in der Vorschau registriert ist. Wenn du es nicht siehst, ist die Vorschau für dein Konto nicht aktiviert.

Funktionsweise der Erzwingung

Die Kontrollliste wird nur auf Schreibvorgänge angewendet. Wie diese Durchsetzung funktioniert, hängt davon ab, ob Attribute über automatische Identitätsverwaltung oder SCIM geschrieben werden.

Mit automatischer Identitätsverwaltung

Automatische Identitätsverwaltung zieht Attribute von Ihrem Identitätsanbieter (IdP) in einem Zeitplan ab, und die Kontrollliste steuert diese Synchronisation. Das Verhalten unterscheidet sich stark, je nachdem, ob die Vorschau aktiviert ist.

Mit deaktivierter Vorschau berührt die automatische Identitätsverwaltung die Identitätsattribute nicht. Es synchronisiert sie nicht und löscht auch nichts, was bereits gespeichert ist. Attribute liegen außerhalb des Synchronisationsbereichs.

Mit aktivierter Vorschau stimmt jede Synchronisation den Benutzer mit der Kontrollliste ab:

• Nur Attribute, die sowohl im IdP als auch in der Kontrollliste festgelegt sind, werden synchronisiert.
• Ein Attribut, das nicht auf der Liste ist, wird vom Azure Databricks-Benutzer gelöscht, selbst wenn es einen zuvor über SCIM gesetzten Wert enthält.
• Ein Attribut, das zwar auf der Liste steht, aber im IdP fehlt oder leer ist, wird in Azure Databricks gelöscht, sodass die beiden im Einklang bleiben.
• Wenn die Kontrollliste leer ist, löscht die Synchronisation alle neun Attribute.

Eine Synchronisation erfolgt nicht sofort. Nachdem Sie die Vorschau umgeschaltet oder die Liste bearbeitet haben, lassen Sie ein paar Minuten ein, bevor die Änderung bei einem Nutzer angezeigt wird. Für die Synchronisationszeit siehe Identitätsattribute.

Wenn Sie versehentlich ein Attribut aus der Kontrollliste entfernen und die automatische Identitätsverwaltung den gespeicherten Wert von Ihren Benutzern löscht, können Sie wiederherstellen, indem Sie das Attribut wieder in die Kontrollliste aufnehmen und die automatische Identitätsverwaltung erneut synchronisieren lassen.

Mit SCIM

Die Vorschau muss nicht aktiviert sein, um Attribute über die SCIM-API zu verwalten, aber sie fügt die Kontrolle hinzu, welche Attribute geschrieben werden können, wenn sie aktiviert ist.

Mit aktivierter Vorschau wird das Einfügen oder Aktualisieren eines Attributs außerhalb der Liste über Konto-SCIM 2.1 mit 400 Bad Request und einem scimType von invalidValue abgelehnt, und detail benennt die betreffenden Attribute. Diese Ablehnung besitzt folgende Eigenschaften:

• Ein abgelehnter PATCH ist atomar. Wenn eine Operation ein Off-List-Attribut anvisiert, wird die gesamte Anfrage abgelehnt und keine der erlaubten Änderungen gelten. Die Validierung läuft, bevor der Benutzereintrag berührt wird.
• Nur geänderte Werte werden überprüft. Das erneute Senden eines Werts, der identisch mit dem gespeicherten ist, ist ein no-op und gilt sogar für ein Off-List-Attribut. Ein Connector kann nach der Eingrenzung der Liste weiterhin synchronisieren und beginnt erst zu versagen, wenn sich der Wert auf der IdP-Seite erneut ändert.
• Entfernen ist immer zulässig. Du kannst immer einen gespeicherten Wert löschen, auch für ein Attribut, das nicht mehr in der Liste steht.

Wenn automatische Identitätsverwaltung nicht aktiviert ist, löscht das Entfernen eines Attributs aus der Kontrollliste keine SCIM-synchronisierten Werte, die bereits bei Ihren Benutzern abgelegt sind. Das Eingrenzen der Liste stoppt zukünftige Schreibvorgänge, lässt aber gespeicherte Werte unverändert, bis jemand sie entfernt.

Bei Azure wird eine SCIM-basierte Verwaltung von Identitätsattributen nicht empfohlen. Kontaktieren Sie Ihr Kontoteam, wenn Sie Identitätsattribute mit SCIM verwenden möchten.

Einschränkungen

Die Attributkontrollliste hat in der Beta folgende Einschränkungen:

• Die Steuerungsliste kann nur in der Kontokonsole konfiguriert werden. Es gibt keine API, um es programmatisch zu konfigurieren.
• Die Kontrollliste steuert die Identitätsattribute nur bei Benutzern. Dienstprinzipale und Gruppen werden derzeit noch nicht unterstützt.