Microsoft Entra ID 사용하여 자동 ID 관리로 마이그레이션

이 페이지에서는 Microsoft Entra ID 사용하여 Azure Databricks 계정을 자동 ID 관리로 마이그레이션하는 방법을 설명합니다.

자동 ID 관리에 대한 개요는 자동 ID 관리를 참조하세요.

필수 구성 요소

자동 신원 관리를 활성화하기 전에, 귀하의 환경이 다음 요구사항을 충족하는지 확인하세요:

프리미엄 또는 엔터프라이즈 등급: 표준 등급 계정에서는 자동 신원 관리가 지원되지 않습니다. 등급을 확인하려면 계정 콘솔 > 계정 설정 > 구독 등급으로 가세요.
단일 Microsoft Entra ID 테넌트: 자동 ID 관리는 교차 테넌트 ID를 지원하지 않습니다. 모든 사용자, 그룹 및 서비스 주체는 단일 Microsoft Entra ID 테넌트에 속해야 합니다. 테넌트 간 ID가 있는 환경은 SCIM 프로비전에 남아 있어야 합니다.
최소 하나의 작업 공간에서 신원 연합이 활성화됨: 자동 신원 관리는 최소 하나의 신원 연합 작업 공간이 필요합니다. 페더레이션되지 않은 작업 영역은 계속 작동하지만 자동 ID 관리는 사용하지 않습니다. 확인하려면 계정 콘솔에서 작업 공간을 열고 신원 연합 배지를 찾아보세요. 사용하도록 설정하려면 ID 페더레이션 사용을 참조하세요.
계정 관리자 역할: 자동 신원 관리를 활성화할 수 있는 사람은 계정 관리자뿐입니다. 역할을 확인하려면 계정 콘솔 > 의 사용자 관리 에서 역할 칩에 계정 관리자가 표시되어 있는지 확인하세요.

동일하게 유지되는 내용

자동 ID 관리를 사용하도록 설정하면 다음과 같은 내용이 유지됩니다.

SCIM 동기화 그룹 멤버 자격: 자동 ID 관리는 원래 SCIM에 의해 동기화된 그룹 멤버 자격을 제거하지 않습니다. 이는 해당 멤버 자격에 따라 달라지는 작업 및 사용 권한을 중단하지 않도록 하기 위한 것입니다.
기존 사용 권한: 작업 영역 및 Unity 카탈로그 사용 권한은 동일한 보안 주체를 기준으로 계속 확인됩니다.
활성 세션: 자동 ID 관리는 사용자 로그아웃을 강제하거나 실행 중인 세션을 중단하지 않습니다.
실행 중인 작업: 현재 자격 증명으로 인증된 서비스 주체는 계속 작동합니다.
작업 영역-로컬 그룹: 자동 ID 관리는 계정 수준 ID만 관리합니다. 작업 영역-로컬 그룹은 계속 작동하지만 Microsoft Entra ID 동기화되지 않습니다.
Databricks 전용 서비스 주체: Microsoft Entra ID 등록되지 않은 서비스 주체는 영향을 받지 않습니다.

기존 SCIM 프로비저닝 없이 마이그레이션

Azure Databricks 계정에 계정 수준 SCIM 프로비저닝이 없는 경우 이 경로를 사용합니다. 가장 간단한 마이그레이션 경로입니다.

표시 이름으로 서비스 주체를 참조하는 자동화를 검토하세요.

자동 ID 관리를 사용하도록 설정하면 Azure Databricks Microsoft Entra ID 신뢰할 수 있는 원본으로 처리하고 사용자 지정 서비스 주체 표시 이름을 Microsoft Entra ID 이름으로 덮어씁니다. 워크플로가 끊어지지 않도록 하려면 표시 이름 대신 애플리케이션 ID로 서비스 주체를 참조하도록 자동화(예: Terraform 구성 또는 스크립트)를 업데이트합니다.
자동 ID 관리를 사용하도록 설정합니다.
1. 계정 관리자 권한으로 계정 콘솔에 로그인합니다.
2. 보안을 클릭합니다.
3. Identity provider 설정 탭의 Identity management에서 Automatic Identity management를 Enabled로 전환하세요.
4. 변경 내용이 전파되도록 5~10분 동안 허용합니다.
(선택 사항) 계정 액세스 거부 목록을 구성합니다. 계정 액세스 거부 목록을 사용하여 특정 Microsoft Entra ID ID가 Azure Databricks 계정에 액세스하지 못하도록 제한합니다. 계정에 대한 ID 액세스 거부를 참조하세요.
(선택 사항) 작업 영역 관리자에게 알립니다. 작업 영역 관리자와 자동 ID 관리 개요 를 공유하여 Just-In-Time 프로비저닝을 포함하여 예상되는 동작 변경을 이해합니다.

자동 ID 관리를 사용하도록 설정한 후 유효성 검사 단계를 완료합니다.

기존 SCIM 프로비저닝에서 마이그레이션

Azure Databricks 계정이 현재 계정 수준 SCIM 프로비저닝을 사용하는 경우 이 경로를 사용합니다. Databricks는 기존 SCIM 프로비저닝과 함께 자동 ID 관리를 사용하도록 설정하고 둘 다 병렬로 실행하는 것이 좋습니다. 자동 ID 관리가 올바르게 작동하는지 유효성을 검사한 후 SCIM을 사용하지 않도록 설정할 수 있습니다.

자동 ID 관리를 사용하도록 설정하면 변경되는 내용

Behavior	자동 ID 관리 전	자동 ID 관리 후
ID 출처	SCIM은 일정에 따라 사용자, 그룹 및 서비스 주체를 Microsoft Entra ID 계정 SCIM 엔드포인트로 푸시합니다.	Azure Databricks는 Graph API를 사용하여 Microsoft Entra ID에서 직접 ID 정보를 읽습니다. 프로비저닝은 최초 사용 시 또는 로그인 시 JIT(Just-In-Time) 방식으로 이루어집니다.
그룹 멤버 자격	직접 멤버만 해당합니다. 중첩된 그룹은 Microsoft Entra ID 또는 SCIM 범위 규칙에서 평면화되어야 합니다.	전이적 그룹 멤버 자격은 자동으로 확장됩니다.
그룹 멤버 자격 동기화 대기 시간	다음 SCIM 주기(일반적으로 40분)를 기다립니다.	브라우저 로그인: 최대 5분 브라우저 외(작업, CLI, 서비스 사용자): 최대 40분.
서비스 주체 프로비저닝	서비스 프린시펄은 SCIM 범위 규칙에 따라 프로비저닝됩니다.	서비스 주체는 처음으로 인증되어 사용될 때 프로비저닝됩니다. SCIM 푸시가 필요하지 않습니다.
Microsoft Entra ID 그룹 이름 바꾸기	SCIM은 다음 동기화 주기에서 표시 이름을 업데이트합니다.	그룹 이름은 사전에 다시 동기화되지 않습니다. 계정 콘솔에서 그룹 세부 정보 페이지를 여는 계정 관리자가 새로 고침을 트리거합니다. 외부 그룹 API를 사용하여 그룹을 읽을 수도 있으며, 이 API는 Microsoft Entra ID를 기준으로 해당 그룹을 확인하고 Azure Databricks에서 새로 고칩니다.

마이그레이션 준비

자동 신원 관리 준비 보고서를 실행하세요.

준비 상태(readiness) 보고서는 Azure Databricks와 Microsoft Entra ID 간의 외부 ID 및 그룹 멤버십 불일치를 식별하고 해결하는 데 도움을 주며, 어떤 작업 공간이 아이덴티티 연합(identity-federated)인지 식별합니다.

메모

자동 ID 관리는 Microsoft Entra ID objectId ID 동기화를 위한 신뢰할 수 있는 링크로 사용합니다. Azure Databricks의 주인 externalId 이 Microsoft Entra IDobjectId와 일치하지 않으면, 신원이 제품 내에서 여러 번 나타날 수 있고 외부 ID 기반 동기화가 실패할 수 있습니다. 자동 신원 관리를 활성화하기 전에 준비 보고서를 실행하여 이러한 잘못된 구성을 식별하고 해결하세요. 잘못된 구성 및 그 영향에 대한 전체 목록은 오류 범주 및 복구 항목을 참조하세요.
표시 이름으로 서비스 주체를 참조하는 자동화를 검토하세요.

자동 ID 관리를 사용하도록 설정하면 Azure Databricks Microsoft Entra ID 신뢰할 수 있는 원본으로 처리하고 사용자 지정 서비스 주체 표시 이름을 Microsoft Entra ID 이름으로 덮어씁니다. 워크플로가 끊어지지 않도록 하려면 표시 이름 대신 애플리케이션 ID로 서비스 주체를 참조하도록 자동화(예: Terraform 구성 또는 스크립트)를 업데이트합니다.
(선택 사항) 계정 액세스 거부 목록을 구성합니다. 계정에 대한 ID 액세스 거부를 참조하세요.
(선택 사항) 작업 영역 관리자에게 알립니다. 작업 영역 관리자와 자동 ID 관리 개요 를 공유하여 Just-In-Time 프로비저닝을 포함하여 예상되는 동작 변경을 이해합니다.

자동 ID 관리 사용

계정 관리자 권한으로 계정 콘솔에 로그인합니다.
보안을 클릭합니다.
Identity provider 설정 탭의 Identity management에서 Automatic Identity management를 Enabled로 전환하세요.
변경 내용이 전파되도록 5~10분 동안 허용합니다.

자동 ID 관리 및 SCIM 프로비저닝은 둘 다 활성 상태인 동안 병렬로 실행됩니다. SCIM은 원래 프로비전된 ID를 계속 관리합니다. 자동 ID 관리의 유효성을 검사한 후 SCIM을 사용하지 않도록 설정할 수 있습니다. SCIM 프로비저닝 사용 안 함을 참조하세요.

자동 ID 관리 유효성 검사

자동 ID 관리를 사용하도록 설정한 후 ID가 올바르게 동기화되는지 확인합니다.

역할별 테스트

각 역할의 대표 사용자가 다음 테스트를 실행하게 합니다.

계정 관리자

계정 콘솔에서 사용자를 프로비전합니다.
1. 계정 콘솔 > 사용자 관리 > 사용자로 이동하여 사용자 추가를 클릭합니다.
2. Azure Databricks 프로비전되지 않은 Microsoft Entra ID 사용자를 검색합니다.
3. 사용자를 선택하고 사용자 추가를 클릭합니다.
4. 사용자가 Azure Databricks Active 상태로 표시되는지 확인합니다.
계정 콘솔에서 그룹을 프로비전합니다.
1. 계정 콘솔 > 사용자 관리 > 그룹으로 이동하고 그룹 추가를 클릭합니다.
2. Azure Databricks에 아직 프로비전되지 않은 Microsoft Entra ID의 그룹을 검색합니다.
3. 그룹이 Azure Databricks 표시되는지 확인합니다. 그룹 멤버는 로그인할 때 적시에 프로비전됩니다.
작업 영역 액세스 확인:
1. 이전 단계의 그룹을 작업 영역에 할당합니다.
2. 해당 그룹의 구성원이 작업 영역에 인증하도록 합니다.
3. 인증이 성공하고 사용자가 Azure Databricks 프로비전되어 작업 영역에 추가되어 있는지 확인합니다.

작업 영역 관리자

작업 영역에서 사용자를 추가합니다:
1. 설정 > ID 및 액세스 > 관리 사용자로 이동하고 사용자 추가를 클릭합니다.
2. Azure Databricks 프로비전되지 않은 Microsoft Entra ID 사용자를 검색합니다.
3. 사용자가 활성 상태로 표시되는지 확인합니다.
작업 영역에서 그룹을 생성합니다.
1. 쿼리 또는 대시보드와 같은 작업 영역 자산을 열고 공유를 클릭합니다.
2. Azure Databricks 프로비전되지 않은 Microsoft Entra ID 그룹을 검색하고 해당 그룹과 자산을 공유합니다.
3. 그룹이 Azure Databricks 프로비전되어 있는지 확인합니다.
4. 해당 그룹의 구성원이 작업 영역에 인증하고 공유 자산에 액세스할 수 있는지 확인하도록 합니다.

감사 로그에서 자동 ID 관리 확인

system.access.audit 테이블을 쿼리하여 자동 ID 관리가 활성 상태인지 확인합니다. add, addPrincipalToGroup, createGroup, updateUser와 같은 이벤트의 개수가 0이 아니면 ID가 동기화되고 있음을 확인할 수 있습니다.

SELECT action_name, count(*) AS n
FROM system.access.audit
WHERE request_params.endpoint = 'autoUserCreation'
  AND event_time > current_timestamp() - INTERVAL 2 DAYS
GROUP BY action_name
ORDER BY n DESC;

자동 ID 관리 감사 이벤트에 대한 자세한 내용은 자동 ID 관리 이벤트 감사를 참조하세요.

자동 ID 관리 사용 안 함

자동 ID 관리를 사용하지 않도록 설정하는 단계는 자동 ID 관리 사용 안 함을 참조하세요.

SCIM에서 마이그레이션한 후 자동 ID 관리를 사용하지 않도록 설정하는 경우:

자동 ID 관리에서 만든 ID는 Azure Databricks 유지되지만 더 이상 Microsoft Entra ID 동기화되지 않습니다.
자동 ID 관리에 의해 동기화된 그룹 멤버 자격은 더 이상 사용 권한을 확인하는 데 사용되지 않습니다. 이전에 해당 그룹 멤버 자격을 통해 권한을 상속한 사용자는 액세스 권한을 잃게 됩니다.
자동 ID 관리가 활성화된 동안 Azure Databricks 인증한 사용자는 이전에 본 대시보드에 계속 액세스할 수 있지만 그룹 멤버 자격은 Microsoft Entra ID 새로 고쳐지지 않습니다.
Azure Databricks 액세스한 적이 없는 사용자는 Microsoft Entra ID 할당된 그룹에 속해 있더라도 자동 ID 관리를 사용하지 않도록 설정한 후에 액세스할 수 없습니다.

Databricks는 자동 ID 관리를 사용하지 않도록 설정하기 전에 SCIM 프로비저닝을 설정하는 것이 좋습니다. Microsoft Entra ID(Azure Active Directory) 사용하여 SCIM 프로비저닝 구성을 참조하세요.

SCIM 프로비저닝 사용 안 함

자동 ID 관리의 유효성을 검사한 후 선택적으로 SCIM 프로비저닝을 사용하지 않도록 설정할 수 있습니다. 사용자 환경에서 다음 조건이 모두 충족되는지 확인한 후에만 SCIM을 사용하지 않도록 설정합니다.

중첩된 그룹 없음: ID 구조는 Microsoft Entra ID 중첩된 그룹 멤버 자격을 사용하지 않습니다.
익스테르날 ID 맞춤: SCIM 커넥터 앱을 사용하여 그룹이 Microsoft Entra ID 복제되었으므로 Azure Databricks externalId 값은 해당 Microsoft Entra ID objectId 값과 일치합니다. 자동 신원 관리 준비 보고서를 실행하여 불일치 여부를 확인하세요.
로컬 멤버 자격 수정 없음: 그룹 멤버 자격은 SCIM을 통해서만 관리되었으며 Azure Databricks 수동으로 수정되지 않았습니다. 준비 상태 보고서는 로컬에서 수정된 멤버십을 감지할 수 있습니다.

사용자 환경이 이러한 모든 조건을 충족하지 않는 경우 Databricks는 SCIM 프로비저닝 및 자동 ID 관리를 병렬로 계속 실행하는 것이 좋습니다.

SCIM을 사용하지 않도록 설정 후 알려진 제한 사항

영구 SCIM 동기화 그룹 멤버 자격

SCIM에서 동기화된 그룹 멤버 자격은 SCIM을 사용하지 않도록 설정한 후에 유지됩니다. 예를 들어 자식 그룹 C가 Microsoft Entra ID 부모 그룹 P 아래에 중첩되고 나중에 Microsoft Entra ID C-P 관계가 제거되는 경우 멤버 자격은 Azure Databricks 유지되므로 P에서 사용 권한을 상속받을 수 있습니다. Databricks는 SCIM을 비활성화하기 전에 외부 그룹의 직접 그룹 멤버십을 정리할 것을 권장합니다.

중첩된 그룹 구조가 있는 환경

중첩된 그룹 구조를 사용하는 환경의 경우 Databricks는 자동 ID 관리와 함께 SCIM 프로비저닝을 계속 실행하여 중첩된 그룹 멤버 자격을 동기화 상태로 유지하는 것이 좋습니다.

수동으로 수정된 그룹 멤버 자격

Azure Databricks 그룹 멤버 자격을 수동으로 편집한 경우 SCIM을 사용하지 않도록 설정한 후 해당 멤버 자격은 Microsoft Entra ID 동기화되지 않으며 시간이 지남에 따라 부실해질 수 있습니다. 자동 신원 관리가 활성화되면 Microsoft Entra ID가 그룹 멤버십의 진실의 출처가 되므로, Databricks는 로컬에서 수정된 멤버십을 모두 제거할 것을 권장합니다. SCIM을 비활성화하기 전에 자동 신원 관리 준비 보고서를 실행하여 이 멤버십을 식별하세요.

마이그레이션 고려 사항

중첩된 그룹을 작업 영역에 명시적으로 할당해야 합니다.

중첩된 Microsoft Entra ID 그룹을 사용하는 경우 자식 그룹을 작업 영역 내에서 리소스 공유에 자동으로 사용할 수 없습니다. Notebook 또는 쿼리와 같은 작업 영역 개체에 자식 그룹 권한을 부여하려면 부모 그룹이 이미 할당된 경우에도 해당 자식 그룹을 작업 영역에 직접 할당해야 합니다.

예를 들어 부모 그룹 P에 자식 그룹 C가 포함되어 있고 P만 작업 영역에 할당된 경우 C 자체도 할당될 때까지 작업 영역 리소스에 대한 권한을 C에 부여할 수 없습니다.

그룹 멤버는 Just-In-Time으로 프로비전됩니다.

SCIM과 달리 자동 ID 관리는 그룹 멤버 자격을 Azure Databricks 사전에 동기화하지 않습니다. 그룹 구성원은 Azure Databricks 활동이 있거나(예: 로그인) 계정 관리자 또는 작업 영역 관리자가 명시적으로 추가할 때 프로비전됩니다.

삭제된 사용자는 즉시 비활성화되지 않습니다.

사용자가 Microsoft Entra ID에서 삭제되더라도 Azure Databricks에서는 계속 활성 상태로 표시됩니다. 로그인할 수는 없지만 상태가 자동으로 업데이트되지는 않습니다.

이메일 주소 변경 시 새 사용자가 생성됨

사용자의 전자 메일 주소가 Microsoft Entra ID 변경되는 경우(예: alice@example.comalice-new@example.com) 자동 ID 관리는 기존 레코드를 업데이트하는 대신 Azure Databricks 새 사용자를 만듭니다. 이는 현재 SCIM 동작과 일치합니다. 전자 메일 주소 변경 내용은 Databricks 지원에 문의하세요.

SCIM API는 자동 ID 관리를 통해 프로비전된 멤버를 반환하지 않습니다.

SCIM GET /groups/{id} API는 Azure Databricks UI 또는 SCIM을 통해 프로비전된 그룹 멤버만 반환합니다. 자동 ID 관리를 통해 프로비전된 사용자나 Microsoft Entra ID에는 있지만 Azure Databricks에는 아직 프로비전되지 않은 사용자는 반환하지 않습니다.

Unity 카탈로그 권한에는 프로비전된 ID가 필요합니다.

Unity 카탈로그 권한 부여 API는 아직 Azure Databricks 프로비전되지 않은 ID를 참조할 수 없습니다. 신원에 권한을 부여하기 전에, 해당 외부 신원 자원( 외부 사용자, 외부 그룹, 또는 외부 서비스 주체 API)을 읽어 프로비저닝을 합니다. 리소스를 읽으면 Microsoft Entra ID에서 ID를 확인하고 Azure Databricks에 프로비저닝합니다. ID가 프로비전되면 평소와 같이 권한을 부여할 수 있습니다.

is_account_group_member()와 같이 이름으로 보안 주체를 참조하는 함수도 보안 주체가 먼저 프로비저닝되어 있어야 합니다.

작업 영역-로컬 그룹은 자동 ID 관리에 의해 관리되지 않습니다.

자동 ID 관리는 작업 영역-로컬 그룹을 관리하지 않습니다. 작업 영역-로컬 그룹 및 할당된 권한은 계속 작동하지만 멤버 자격 업데이트는 자동 ID 관리 외부에서 처리해야 합니다.

Databricks는 자동 ID 관리에서 멤버 자격을 관리할 수 있도록 작업 영역-로컬 그룹을 계정 수준 그룹으로 마이그레이션하는 것이 좋습니다. workspace-local 그룹을 계정 그룹으로 마이그레이션을 참조하세요.

피드백

이 페이지가 도움이 되었나요?

2026-09-16 에 마지막으로 업데이트됨