Identiteitsattributen

Identiteitsattributen zijn een vaste set van negen attributen die Azure Databricks opslaat bij accountgebruikers en bronnen van je identiteitsprovider (IdP). Accountbeheerders richten deze in, zodat ernaar kan worden verwezen in Unity Catalog ABAC-beleidsregels.

Important

Deze functie bevindt zich in de bètaversie. Accountbeheerders kunnen de toegang tot deze functie beheren via de pagina Previews van de accountconsole. Zie Previews op accountniveau beheren.

Warning

Gebruik geen identiteitsattributen om gevoelige informatie op te slaan.

Om identiteitsattributen te importeren met automatisch identiteitsbeheer, of om te beperken welke attributen naar je gebruikers kunnen worden geschreven, moet een accountbeheerder de Identity Attribute Control List functie-preview inschakelen. Deze preview staat standaard uit en wordt ingeschakeld via de accountconsole Previews-pagina . Zie Previews op accountniveau beheren.

Overview

Identiteitsattributen zijn negen velden die afkomstig zijn van de IdP en die Azure Databricks opslaat voor een accountgebruiker: title, locality, region, organization, country, costCenter, division, department en userType. Azure Databricks houdt deze attributen synchroon met je identiteitsprovider zodat de waarden van een gebruiker de bron van het record in je IdP weerspiegelen.

Identiteitsattributen bestaan zodat je gebruikerskenmerken elders in Azure Databricks kunt refereren. In Bèta kun je ze gebruiken in Unity Catalog attribuutgebaseerde toegangscontrole (ABAC)-beleidsregels voor kolommaskering, zoals het maskeren van een kolom tenzij het country attribuut van de gebruiker overeenkomt met het land van de data. Voor meer informatie over ABAC, zie Attribuutgebaseerde toegangscontrole in de Unity Catalog.

Opmerking

De Unity Catalog ABAC-beleidsfuncties die identiteitsattributen consumeren, worden apart geleverd van deze functie. Deze pagina behandelt alleen hoe identiteitsattributen worden voorzien, opgeslagen en gelezen.

Hoe werkt het?

Identiteitsattributen worden geprovisioneerd door je identiteitsprovider, opgeslagen bij de accountgebruiker en teruggelezen via de accountconsole en de account SCIM API's.

Identiteitskenmerken importeren

Identiteitsattributen bereiken Azure Databricks via je identiteitsprovider op een van twee manieren:

  • Automatisch identiteitsbeheer haalt attributen op van je identiteitsprovider op een schema. Dit is het aanbevolen mechanisme voor de toekomst. Zie Automatisch identiteitsbeheer voor meer informatie.
  • Account SCIM 2.1 stuurt attributen vanuit een provisioning connector of een directe API-aanroep.

Gebruik op Azure automatisch identiteitsbeheer om identiteitsattributen in te voeren. SCIM-gebaseerd beheer van deze attributen wordt niet aanbevolen. Neem contact op met je accountteam als je identiteitsattributen met SCIM wilt gebruiken.

Bepaal welke attributen worden opgeslagen

De attributencontrolelijst is een accountniveau toelaatlijst die bepaalt welke van de negen attributen aan gebruikers in uw account mogen worden geschreven. Wanneer automatisch identiteitsbeheer is ingeschakeld, wordt bij elke synchronisatie ook de opgeslagen attributen van een gebruiker afgestemd met de lijst. Voor details, inclusief hoe de lijst wordt afgedwongen, zie Identity Attribute Control List.

Lees identiteitsattributen

Accountbeheerders kunnen de identiteitsattributen van elke gebruiker lezen via account SCIM 2.1 met GET /Users/<id>. Elke gebruiker kan zijn eigen attributen lezen via het account-SCIM-for-workspaces /Me-eindpunt (https://<workspace-host>/api/2.0/account/scim/v2/Me), dat alleen-lezen is. Werkruimtebeheerders kunnen de identiteitsattributen van andere gebruikers niet lezen of wijzigen. Lezingen worden nooit gefilterd door de attribuutcontrolelijst, dus een waarde die was opgeslagen voordat een attribuut uit de lijst werd verwijderd, blijft volledig zichtbaar.

Attribuutwijzigingen in je identiteitsprovider worden niet direct weergegeven in Azure Databricks. Wanneer een gebruiker inlogt, verversen automatisch identiteitsbeheer de attributen van die gebruiker binnen ongeveer vijf minuten. Omdat Unity Catalog beleidsregels evalueert voor ingelogde gebruikers, gebruiken de beleidsbeslissingen van een actieve gebruiker deze recent gesynchroniseerde waarden. Gebruikers die niet zijn ingelogd of bij wie niet op een andere manier automatisch een synchronisatie van identiteitsbeheer is geactiveerd, worden binnen vijf dagen bijgewerkt via een periodieke synchronisatie op de achtergrond.

Bekijk de identiteitsattributen van een gebruiker

Je kunt de identiteitsattributen die op een gebruiker zijn opgeslagen bekijken in de accountconsole, zodat je kunt bevestigen wat er daadwerkelijk is binnengekomen zonder de SCIM API aan te roepen.

  1. Meld u als accountbeheerder aan bij de accountconsole.
  2. Klik in de zijbalk op Gebruikersbeheer.
  3. Vind en klik op de gebruiker op het tabblad Gebruikers .
  4. Klik op het tabblad Identiteitsattributen .

Het tabblad vermeldt alle negen attributen. Houd het volgende in gedachten wanneer je het leest:

  • Het is alleen-lezen. Identiteitsattributen zijn afkomstig van IdP, dus je kunt ze hier niet bewerken. Verander ze bij de bron, via je identiteitsprovider, en het tabblad geeft de nieuwe waarde weer bij de volgende lading.
  • Elke attribuut wordt altijd vermeld. Een attribuut zonder opgeslagen waarde toont een en dash (–) in plaats van verborgen te zijn, zodat je "niet ingesteld" kunt onderscheiden van "op een onverwachte waarde gezet".
  • De weergave wordt niet gefilterd door de attributenbesturingslijst. Een waarde die was opgeslagen voordat een attribuut uit de lijst werd verwijderd, verschijnt hier nog steeds. Hierdoor kun je precies zien welke data je vasthoudt, zodat je kunt beslissen of je het met pensioen wilt doen.
  • Waarden worden exact weergegeven zoals opgeslagen, waardoor de case die door je identiteitsprovider is verzonden behouden blijft.

Als het tabblad Identiteitsattributen niet op de pagina van een gebruiker verschijnt, is de functie niet ingeschakeld voor je account en ga je direct naar de informatiepagina van de gebruiker terug.

Limitations

Identiteitsattributen hebben in Beta de volgende beperkingen:

  • Identiteitsattributen worden alleen voor gebruikers ondersteund. Service Principals en groepen worden nog niet ondersteund.
  • Elk attribuut heeft één enkele waarde. Het werkadres is een enkel object met locality, region, en country. Multi-waarde eigenschappen zijn toekomstig werk.
  • De attributencontrolelijst kan alleen worden geconfigureerd in de accountconsole. Er is geen API om het programmatisch te configureren.
  • In Microsoft Entra ID is er geen standaardbronveld voor costCenter of division, dus die twee kenmerken worden niet toegewezen tenzij je een aangepast extensiekenmerk of een expressie opgeeft.

Aanvullende bronnen

  • Last updated on