Identiteitsattributencontrolelijst

De Identity Attribute Control List is een accountniveau toelaatlijst die bepaalt welke identiteitsattributen aan gebruikers in uw Azure Databricks-account kunnen worden geschreven. Accountbeheerders schakelen dit in als previewfunctie om het schrijven van attributen via SCIM en automatisch identiteitsbeheer te beheren.

Important

Deze functie bevindt zich in de bètaversie. Accountbeheerders kunnen de toegang tot deze functie beheren via de pagina Previews van de accountconsole. Zie Previews op accountniveau beheren.

De controlelijst voor attributen wordt ingeschakeld via de previewfunctie Identity Attribute Control List op accountniveau, die standaard is uitgeschakeld. Een accountbeheerder schakelt deze in vanaf de pagina Previews van de accountconsole. Zie Previews op accountniveau beheren.

Overview

De attributencontrolelijst is een accountniveau toelaatlijst die bepaalt welke van de negen identiteitsattributen op gebruikers in jouw account mogen worden geschreven, over alle schrijfbronnen. Een accountbeheerder gebruikt het om te bepalen welke attributen naar Azure Databricks geschreven kunnen worden.

De lijst wordt alleen afgedwongen bij schrijfacties:

• Lezingen worden nooit gefilterd. Een attribuut dat eerder is opgeslagen blijft volledig zichtbaar, zelfs nadat het uit de lijst is verwijderd.
• Het verwijderen van opgeslagen waarden is altijd toegestaan, dus een beheerder kan altijd een waarde terugtrekken, ook voor een attribuut dat het account niet langer toestaat.

Je hoeft de preview niet in te schakelen om attributen via de SCIM API te schrijven. Het inschakelen ervan geeft controle over welke attributen geschreven kunnen worden, en wanneer automatisch identiteitsbeheer wordt ingeschakeld, worden de opgeslagen attributen van elke gebruiker bij elke synchronisatie afgestemd met de lijst.

De preview inschakelen

Activering is een functiepreview op accountniveau met de naam Identity Attribute Control List, die op de pagina Previews in de accountconsole kan worden in- of uitgeschakeld. De wisselknop is standaard uitgeschakeld.

1. Meld u als accountbeheerder aan bij de accountconsole.
2. Klik in de zijbalk op Voorvertoningen.
3. Zet de schakeloptie Identity Attribute Control List aan.

Het in- en uitschakelen van de previewfunctie verandert alleen wat toekomstige schrijfbewerkingen mogen doen. Het verandert nooit achteraf waarden die al op je gebruikers zijn opgeslagen. Wanneer automatisch identiteitsbeheer is ingeschakeld, worden gebruikers bij de volgende synchronisatie echter met de lijst vergeleken, waardoor opgeslagen gegevens kunnen worden verwijderd. Bekijk hoe handhaving werkt.

Configureer de besturingslijst

Wanneer je account is ingeschreven in de preview, configureer je de lijst in de accountconsole.

1. Meld u als accountbeheerder aan bij de accountconsole.
2. Klik in de zijbalk op Beveiliging.
3. Klik op Gebruikersvoorziening.
4. Klik in het gedeelte Identiteitsattributen Configureren op Attributen beheren.
5. Selecteer in het dialoogvenster Controlelijst voor identiteitskenmerken beheren het selectievakje voor elk attribuut dat je wilt toestaan en schakel het selectievakje uit voor elk attribuut dat je niet wilt toestaan.
6. Klik op Opslaan.

De dialoogkaart toont alle negen attributen als selectievakjes (Titel, Gebruikerstype, Locatie, Regio, Land, Kostencentrum, Organisatie, Divisie en Afdeling), met de momenteel toegestane attributen geselecteerd. Opslaan is uitgeschakeld totdat je een keuze verandert.

De sectie 'Identiteitsattributen configureren ' is alleen zichtbaar wanneer je account is ingeschreven in de preview. Als je het niet ziet, is de preview niet ingeschakeld voor je account.

Hoe afdwinging werkt

De controlelijst wordt alleen toegepast bij schrijfbewerkingen. Hoe die handhaving zich gedraagt, hangt af van of attributen worden geschreven via automatisch identiteitsbeheer of via SCIM.

Met automatisch identiteitsbeheer

Automatisch identiteitsbeheer haalt attributen uit je identiteitsprovider (IdP) op een schema, en de controlelijst regelt die synchronisatie. Het gedrag verschilt sterk afhankelijk van of de preview is ingeschakeld.

Met de preview uitgeschakeld, heeft automatisch identiteitsbeheer geen invloed op identiteitsattributen. Ze worden niet gesynchroniseerd en niets dat al opgeslagen is gewist. Attributen vallen buiten het bereik van de synchronisatie.

Met de preview ingeschakeld, wordt de gebruiker bij elke synchronisatie afgestemd met de controlelijst:

• Alleen attributen die zowel in de IdP als in de controlelijst zijn ingesteld, worden gesynchroniseerd.
• Een attribuut dat niet op de lijst staat, wordt verwijderd van de Azure Databricks-gebruiker, zelfs als het een eerder via SCIM ingestelde waarde bevat.
• Een attribuut dat op de lijst staat maar afwezig of leeg is in de IdP, wordt gewist in Azure Databricks, zodat de twee in hetzelfde tempo blijven.
• Als de controlelijst leeg is, wordt alle negen attributen verwijderd door de synchronisatie.

Een synchronisatie is niet onmiddellijk. Nadat je de preview hebt aangezet of de lijst hebt bewerkt, laat je een paar minuten wachten voordat de wijziging op een gebruiker wordt weerspiegeld. Voor synchronisatietiming, zie Identiteit-attributen.

Als je per ongeluk een attribuut uit de controlelijst verwijdert en automatisch identiteitsbeheer de opgeslagen waarde van je gebruikers verwijdert, kun je herstellen door het attribuut opnieuw toe te voegen aan de controlelijst en automatisch identiteitsbeheer de identiteit opnieuw te laten synchroniseren.

Met SCIM

De preview hoeft niet ingeschakeld te zijn om attributen via de SCIM API te beheren, maar geeft wel controle over welke attributen geschreven kunnen worden wanneer ingeschakeld.

Met de preview ingeschakeld wordt een insertie of update van een attribuut dat niet in de lijst staat via account SCIM 2.1 afgewezen met 400 Bad Request en een scimType van invalidValue, en de detail noemt de betreffende attributen. Deze afwijzing heeft de volgende eigenschappen:

• Een afgewezen PATCH is atomair. Als een operatie zich richt op een off-list attribuut, wordt het hele verzoek afgewezen en zijn geen van de toegestane wijzigingen van toepassing. Validatie wordt uitgevoerd voordat het gebruikersrecord wordt aangeraakt.
• Alleen gewijzigde waarden worden gecontroleerd. Het opnieuw verzenden van een waarde die identiek is aan de opgeslagen waarde heeft geen effect en wordt nog steeds geaccepteerd, zelfs voor een attribuut dat niet in de lijst staat. Een connector kan succesvol blijven synchroniseren nadat je de lijst hebt verkleind, en begint pas te falen wanneer de IdP-side waarde weer verandert.
• Verwijderingen zijn altijd toegestaan. Je kunt altijd een opgeslagen waarde wissen, ook voor een attribuut dat niet langer op de lijst staat.

Wanneer automatisch identiteitsbeheer niet is ingeschakeld, verwijdert het verwijderen van een attribuut uit de controlelijst geen SCIM-gesynchroniseerde waarden die al op uw gebruikers zijn opgeslagen. Het versmallen van de lijst stopt toekomstige schrijfwerk, maar laat opgeslagen waarden met rust totdat iemand ze verwijdert.

Op Azure wordt SCIM-gebaseerd beheer van identiteitsattributen niet aanbevolen. Neem contact op met je accountteam als je identiteitsattributen met SCIM wilt gebruiken.

Limitations

De lijst voor attribuutbeheer heeft de volgende beperkingen in de bètafase:

• De controlelijst kan alleen worden geconfigureerd in de accountconsole. Er is geen API om het programmatisch te configureren.
• De controlelijst beheert alleen identiteitsattributen op gebruikers. Service Principals en groepen worden nog niet ondersteund.