Identity Attribute Control Listは、Azure Databricksアカウント内のユーザーにどのID属性を書き込めるかを管理するアカウントレベルの許可リストです。 アカウント管理者は、SCIMや自動アイデンティティ管理を制御するための機能プレビューとして機能を有効にします。
Important
この機能は ベータ版です。 アカウント管理者は、アカウント コンソール の [プレビュー ] ページからこの機能へのアクセスを管理できます。 アカウント レベルのプレビューの管理を参照してください。
属性コントロールリストはアカウントレベルの Identity Attribute Control List 機能プレビューで有効化されますが、デフォルトではオフです。 アカウント管理者は、アカウント コンソールの [プレビュー ] ページから有効にします。 アカウント レベルのプレビューの管理を参照してください。
Overview
属性コントロールリストはアカウント レベルの許可リストであり、すべての書き込み元にわたって、アカウント内のユーザーに対して 9 つのアイデンティティ属性のうちどの属性の書き込みを許可するかを決定します。 アカウント管理者は、どの属性をAzure Databricksに書き込めるかを制御するために使っています。
このリストは 書き込みにのみ適用されます:
- リードは決してフィルタリングされません。 以前に保存された属性は、リストから削除された後も完全に見えるままです。
- 保存値の削除は常に許可されているため、管理者はアカウントで許可されていない属性を含め、いつでも値を廃止できます。
SCIM APIを通じて属性を書くのにプレビューを有効にする必要はありません。 有効化すると、どの属性を書き込めるかの制御が加わり、自動アイデンティティ管理が有効になると、各ユーザーの保存された属性を同期時にリストと照合します。
プレビューを有効にする
登録は「 Identity Attribute Control List」というアカウントレベルの機能プレビューで、アカウントコンソールの プレビュー ページから切り替えられます。 トグルは既定ではオフになっています。
- アカウント管理者として、アカウント コンソールにログインします。
- サイドバーで[ プレビュー]をクリックします。
- Identity Attribute Control Listのトグルをオンにしてください。
プレビューの有効化・無効化は、今後の書き込みで許可される動作のみを変更します。 ユーザーに既に保存されている値を遡って変更することは決してありません。 しかし、自動ID管理を有効にすると、次の同期でユーザーとリストが照合され、保存されたデータが削除されます。 適用の仕組みをご覧ください。
コントロールリストの設定
アカウントがプレビューに登録されたら、アカウントコンソールでリストを設定します。
- アカウント管理者として、アカウント コンソールにログインします。
- サイドバーで[ セキュリティ]をクリックします。
- [ ユーザー プロビジョニング] をクリックします。
- 「 Configure identity attributes」 セクションで 「Manage attributes」をクリックします。
- 「 Manage identity attribute control list 」ダイアログで、許可したい各属性のチェックボックスを選択し、無効化したい属性のチェックボックスをクリアします。
- 保存 をクリックします。
ダイアログでは、9つの属性すべてがチェックボックスとして表示され(タイトル、ユーザータイプ、地域、地域、国、コストセンター、組織、部門、部門)、現在許可されている属性が選択されています。 セーブは 選択を変更するまで無効にします。
「 Configure identity attributes 」セクションは、アカウントがプレビューに登録されている時のみ表示されます。 もし見当たらなければ、あなたのアカウントでプレビューが有効になっていません。
強制のしくみ
制御リストは書き込み時のみ強制されます。 その強制の挙動は、属性が自動アイデンティティ管理で書かれているかSCIMで書かれるかによって異なります。
自動アイデンティティ管理を用いる
自動アイデンティティ管理は、アイデンティティプロバイダー(IdP)からスケジュール的に属性を取得し、コントロールリストがその同期を管理します。プレビューを有効にするかどうかによって挙動は大きく異なります。
プレビューを無効にすると、自動ID管理はID属性には触れません。 同期はできず、すでに保存されているものもクリアされません。 属性は同期の範囲外です。
プレビューを有効にすると、各同期はユーザーとコントロールリストの照合を行います:
- IdPとコントロールリストの両方に設定されている属性のみが同期されます。
- リストにない属性は、たとえ以前SCIMで設定された値を保持していたとしても、Azure Databricksユーザーからは削除されます。
- リストに載っているがIdPに欠けている、または空になっている属性はAzure Databricksでクリアされるため、両者は連携を保ちます。
- コントロールリストが 空の場合、同期によって9つの属性すべてが消去されます。
同期は瞬時に行われるものではありません。 プレビューを切り替えたりリストを編集したりした後、数分間変更がユーザーに反映されるまで待ちましょう。 同期タイミングについては、 Identity attributesを参照してください。
もし誤ってコントロールリストから属性を削除し、自動アイデンティティ管理がユーザーの保存値を削除した場合、その属性をコントロールリストに再追加し、自動アイデンティティ管理で再度同期させることで回復できます。
SCIMと共に
プレビューはSCIM APIを通じて属性を管理するために有効化する必要はありませんが、有効化されたときにどの属性を書けるかの制御が加わります。
プレビューが有効の場合、アカウントSCIM 2.1を通じたオフリスト属性の挿入や更新は、400 Bad RequestとinvalidValuescimTypeで却下され、detailは問題となる属性を名付けます。 このリジェクションは以下の性質を持ちます:
- 拒否されたパッチはアトミックです。 オフリスト属性を対象とした操作があれば、リクエスト全体が却下され、許可された変更は一切適用されません。 検証はユーザーレコードに触れる前に実行されます。
- 変更された数値のみがチェックされます。 保存されている値と同一の値を再送信しても、何も行われず、リスト外の属性であっても渡されます。 コネクターはリストを絞った後も正常に同期し続け、IdP側の値が変わったときにだけ失敗し始めます。
- 削除は常に許可されています。 リストにもうない属性を含め、保存された値をいつでも消去できます。
自動アイデンティティ管理が有効 でない場合 、コントロールリストから属性を削除しても、すでにユーザーに保存されているSCIM同期値は削除されません。 リストを絞ることで将来の書き込みは止まりますが、誰かが削除するまで保存値はそのままにします。
Azureでは、識別情報のSCIMベースの管理は推奨されません。 SCIMでID属性を使う必要がある場合は、アカウントチームに連絡してください。
Limitations
属性制御リストにはベータ版での以下の制限があります:
- コントロールリストはアカウントコンソールでのみ設定可能です。 プログラム的に設定するAPIはありません。
- コントロールリストはユーザーのみの識別属性を管理します。 サービスプリンシパルやグループはまだサポートされていません。