SSO vers Databricks avec Microsoft Entra ID

Cette page montre comment configurer Microsoft Entra ID comme fournisseur d'identité pour le Single Sign On (SSO) dans votre compte Databricks. Microsoft Entra ID prend en charge OpenID Connect (OIDC) et SAML 2.0. Pour synchroniser les utilisateurs et les groupes à partir de Microsoft Entra ID, consultez Synchroniser les utilisateurs et les groupes de votre fournisseur d'identité à l'aide de SCIM.

attention

Pour éviter d'être déconnecté de Databricks pendant le test du Single Sign-On, gardez la console de compte ouverte dans une autre fenêtre de navigateur. Vous pouvez également configurer l'accès d'urgence avec des clés de sécurité pour éviter le verrouillage. Voir Accès d'urgence pour éviter les verrouillages.

Activez la Microsoft Entra ID Single Sign On

Choisissez votre protocole d'identité :

OIDC

1. En tant qu'administrateur de compte, connectez-vous à la console de compte et cliquez sur **Sécurité**.

2. Cliquez sur l’onglet Identity provider setup .

3. Dans la section Authentification , configurez Single Sign On pour ouvrir la boîte de dialogue de configuration SSO.

4. À l'étape Add details , sous Identity protocol , sélectionnez OpenID Connect .

5. Notez la valeur de URL de redirection Databricks .

6. Dans un autre navigateur tab, créez une application Microsoft Entra ID :

   1. Connectez-vous au portail Azure en tant qu'administrateur.
   2. Dans la navigation de gauche, cliquez sur Microsoft Entra ID .
   3. Cliquez sur Inscriptions d'applications > Nouvelle inscription .
   4. Saisissez un nom.
   5. Sous **Types de comptes pris en charge**, choisissez : **Comptes de ce répertoire organisationnel uniquement**.
   6. Sous Redirect URI , choisissez web et collez la valeur de l’URL de redirection Databricks.
   7. Cliquez sur S'INSCRIRE .

7. Recueillez les informations requises de l’application Microsoft Entra ID :

   1. Sous Essentiels , copiez l' ID de l'application (client) .
   2. Click Endpoint .
   3. Copiez l'URL sous document de métadonnées OpenID Connect
   4. Dans le volet de gauche, cliquez sur Certificats et secrets .
   5. Cliquez sur + Nouveau secret client .
   6. Saisissez une description et choisissez une expiration.
   7. Cliquez sur **Ajouter**.
   8. Copiez la valeur du secret.

8. Revenez à la boîte de dialogue de configuration SSO dans la console du compte Databricks et saisissez les valeurs que vous avez copiées à partir de l’application du fournisseur d’identité dans les champs Application (Client) ID , Client secret et Authority URL / Issuer . Supprimez la terminaison /.well-known/openid-configuration de l’URL.

   Vous pouvez spécifier les parameters de query en les ajoutant à l’URL de l’émetteur, par exemple {issuer-url}?appid=123.

9. Vous pouvez également définir une option User attribute claim si vous souhaitez utiliser une autre revendication que email comme nom d'utilisateur Databricks. Pour plus d'information, consultez la page Personnaliser une revendication à utiliser pour les noms d'utilisateur de votre compte.

   

10. À l'étape Enable SSO , cliquez sur Enable SSO . Databricks enregistre la configuration dans un état désactivé et exécute un test de connexion. Vous êtes redirigé pour effectuer une connexion avec Microsoft Entra ID. Si le test réussit, la SSO est activée automatiquement. Si le test échoue, Databricks indique qu'il n'a pas pu valider la configuration. Vérifiez les valeurs que vous avez saisies, puis réessayez.

11. Une fois le SSO activé, utilisez la carte des étapes suivantes pour choisir la manière de provisionnement les utilisateurs à partir de Microsoft Entra ID :

    • Pour activer automatiquement des utilisateurs à partir de votre fournisseur d’identité, cliquez sur Configurer pour Automatic Identity Management (AIM). Voir Automatic identity management.
    • Pour créer des comptes utilisateur lors de la première connexion d'un utilisateur, activez le provisionnement juste-à-temps (JIT) à l'aide de l'option Créer de nouvelles identités lors de la première inscription . Consultez Provisionnement automatique des utilisateurs (JIT).

For detailed post-setup testing guidance, including workspace login testing, see Test your SSO configuration.

SAML 2.0

1. En tant qu'administrateur de compte, connectez-vous à la console de compte et cliquez sur **Sécurité**.

2. Cliquez sur l’onglet Identity provider setup .

3. Dans la section Authentification , configurez Single Sign On pour ouvrir la boîte de dialogue de configuration SSO.

4. À l'étape Add details , sous Identity protocol , sélectionnez SAML 2.0 .

5. Notez la valeur de URL de redirection Databricks .

   

6. Dans un autre navigateur tab, créez une application Microsoft Entra ID :

   1. Connectez-vous au portail Azure en tant qu'administrateur.
   2. Dans la navigation de gauche, cliquez sur Microsoft Entra ID > Applications d'entreprise . Le volet Toutes les applications s'ouvre et affiche un échantillon aléatoire des applications dans votre tenant Microsoft Entra ID.
   3. Cliquez sur **Nouvelle application**.
   4. Cliquez sur Créer votre propre application .
   5. Saisissez un nom.
   6. Sous Que souhaitez-vous faire avec votre application ? choisissez Intégrer toute autre application que vous ne trouvez pas dans la galerie .

7. Configurez l'application Microsoft Entra ID :

   1. Cliquez sur Propriétés .

   2. Définissez Affectation requise sur Non . Cette option permet à tous les utilisateurs de se connecter au compte Databricks. Les utilisateurs doivent avoir accès à cette application SAML pour se connecter à votre compte Databricks à l'aide de l'authentification unique (SSO).

   3. Dans le volet des propriétés de l'application, cliquez sur Set up Single Sign On .

   4. Cliquez sur SAML pour configurer l'application pour l'authentification SAML. Le volet des propriétés SAML s'affiche.

   5. À côté de Configuration SAML de base , cliquez sur Modifier .

   6. Définissez l' ID d'entité sur l'URL SAML de Databricks que vous avez obtenue depuis la page de configuration SSO de Databricks.

   7. Définissez l'URL de réponse sur l'URL SAML de Databricks que vous avez obtenue à partir de la page de configuration SSO de Databricks.

   8. À côté de Certificat de signature SAML , cliquez sur Modifier .

   9. Dans la liste déroulante Option de signature , sélectionnez Signer la réponse et l'assertion SAML et définissez l' Algorithme de signature sur SHA-256 pour une sécurité renforcée.

   10. Dans **Attributs et revendications**, cliquez sur **Modifier**.

   11. Définissez le champ Identifiant utilisateur unique (ID de nom) sur user.mail.

   12. Sous **Certificats SAML**, à côté de **Certificat (Base64)**, cliquez sur **download**. Le certificat est téléchargé localement sous forme de fichier avec l'extension .cer.

   13. Ouvrez le fichier .cer dans un éditeur de texte et copiez le contenu du fichier. Le fichier est l’intégralité du certificat x.509 pour l’application SAML Microsoft Entra ID.

important

• Ne l'ouvrez pas à l'aide du trousseau d'accès macOS, qui est l'application default pour ce type de fichier dans macOS.
• Le certificat est une donnée sensible. Soyez vigilant quant à l'endroit où le download. Supprimez-le du stockage local dès que possible.

14. Dans le portail Azure, sous Configurer le kit d'outils SAML Microsoft Entra ID , copiez et enregistrez l' URL de connexion et l' identifiant Microsoft Entra ID .

15. Revenez à la boîte de dialogue de configuration SSO dans la console de compte Databricks et saisissez les valeurs que vous avez copiées à partir de Microsoft Entra ID :

    • URL de Single Sign On : URL de connexion Microsoft Entra ID
    • Entity ID : L'identifiant Microsoft Entra ID Microsoft Entra ID
    • x.509 certificate : le certificat x.509 Microsoft Entra ID, incluant les marqueurs de début et de fin du certificat

16. À l'étape Enable SSO , cliquez sur Enable SSO . Databricks enregistre la configuration dans un état désactivé et exécute un test de connexion. Vous êtes redirigé pour effectuer une connexion avec Microsoft Entra ID. Si le test réussit, la SSO est activée automatiquement. Si le test échoue, Databricks indique qu'il n'a pas pu valider la configuration. Vérifiez les valeurs que vous avez saisies, puis réessayez.

17. Une fois le SSO activé, utilisez la carte des étapes suivantes pour choisir la manière de provisionnement les utilisateurs à partir de Microsoft Entra ID :

    • Pour activer automatiquement des utilisateurs à partir de votre fournisseur d’identité, cliquez sur Configurer pour Automatic Identity Management (AIM). Voir Automatic identity management.
    • Pour créer des comptes utilisateur lors de la première connexion d'un utilisateur, activez le provisionnement juste-à-temps (JIT) à l'aide de l'option Créer de nouvelles identités lors de la première inscription . Consultez Provisionnement automatique des utilisateurs (JIT).

For detailed post-setup testing guidance, including workspace login testing, see Test your SSO configuration.

Ajouter des utilisateurs à Databricks

Après avoir configuré la SSO, ajoutez des utilisateurs à votre compte. Databricks recommande de synchroniser les utilisateurs de votre fournisseur d'identité à l'aide de la gestion automatique des identités, qui synchronise automatiquement les utilisateurs et les groupes de votre fournisseur d'identité vers votre compte Databricks. Consultez Configurer Microsoft Entra ID pour la gestion automatique des identités. Sinon, si votre fournisseur d'identité ne prend pas en charge la gestion automatique des identités, vous pouvez configurer le provisionnement SCIM. Consultez Synchroniser les utilisateurs et les groupes depuis votre fournisseur d'identité à l'aide de SCIM.

Le provisionnement juste-à-temps (JIT), qui ajoute automatiquement les utilisateurs à Databricks lorsqu'ils se connectent pour la première fois en utilisant le SSO, est activé par default pour les comptes créés après le 1er mai 2025. Voir provisionnement automatique des utilisateurs (JIT).

Activer la connexion unifiée

Pour la plupart des comptes, la connexion unifiée est déjà activée, ce qui signifie que la configuration SSO au niveau du compte s'applique à tous les Workspace. Si votre compte a été créé avant le 21 juin 2023, vous pourriez avoir besoin de l'activer. Consultez Activer la connexion unique.

Personnalisez une revendication à utiliser pour les noms d'utilisateur de votre compte

Par default, les noms d'utilisateur dans Databricks sont représentés comme l'adresse e-mail d'un utilisateur. Pour attribuer des noms d'utilisateur en utilisant une valeur différente, configurez une revendication personnalisée dans votre compte Microsoft Entra ID.

Choisissez votre protocole d'identité :

OIDC

Pour les applications OIDC, configurez les revendications facultatives à l'aide de la page Configuration du jeton dans votre enregistrement d'application Microsoft Entra ID.

1. Connectez-vous au centre d'administration Microsoft Entra en tant qu'administrateur d'application cloud au minimum.

2. Accédez à **Identity > Applications > App registrations** et sélectionnez l'application que vous avez créée pour l'authentification unique (SSO) Databricks.

3. Dans la barre latérale, sous Gérer , cliquez sur Configuration du jeton .

4. Cliquez sur Ajouter une revendication facultative .

5. Pour le Type de jeton , sélectionnez ID .

6. Sélectionnez la revendication que vous souhaitez inclure dans le jeton (par exemple, email, preferred_username ou une autre revendication disponible) et cliquez sur Ajouter .

remarque

La liste des revendications disponibles dépend de votre version de jeton. Si vous avez besoin de revendications qui ne figurent pas dans la liste prédéfinie, utilisez des attributs d'extension de répertoire ou un fournisseur de revendications personnalisé. Consultez Configurer les revendications facultatives dans la documentation Microsoft Entra.

7. Si vous êtes invité à activer l’autorisation d’e-mail Microsoft Graph, cochez la case et cliquez sur Ajouter .

8. Dans la boîte de dialogue de configuration SSO de la console de compte Databricks, saisissez le nom de la revendication de l’étape 6 dans le champ User attribute claim .

9. Cliquez sur Activer la SSO pour enregistrer la configuration et exécuter un test de connexion.

attention

Certaines revendications facultatives, telles que upn, peuvent ne pas être incluses dans les jetons émis par certains Endpoints de jetons Microsoft Entra ID (par exemple, le Endpoint v2.0). Si la SSO échoue après avoir configuré une revendication de nom d'utilisateur personnalisée :

• Vérifiez que la revendication est présente dans le jeton d'identification en l'inspectant avec jwt.ms.
• Consultez la référence des revendications facultatives pour savoir quelles revendications sont prises en charge pour chaque version de jeton.

SAML 2.0

Pour les applications SAML, configurez les revendications personnalisées à l'aide des paramètres Attributs & Revendications dans votre application d'entreprise Microsoft Entra ID.

1. Connectez-vous au centre d'administration Microsoft Entra en tant qu'administrateur d'application cloud au minimum.

2. Accédez à Identité > Applications > Applications d'entreprise et sélectionnez l'application que vous avez créée pour Databricks SSO.

3. Dans la barre latérale, cliquez sur Single Sign On .

4. Dans **Attributs et revendications**, cliquez sur **Modifier**.

5. Cliquez sur Ajouter une nouvelle réclamation .

   • Saisissez un Nom pour la revendication. Il s’agit du nom que vous saisissez dans le champ User attribute claim de votre configuration SSO Databricks.
   • Pour **Source**, sélectionnez **Attribut**.
   • Pour **Attribut source**, sélectionnez l'attribut d'Identifiant Microsoft Entra désiré pour cette revendication.

6. Cliquez sur Enregistrer .

7. Dans la boîte de dialogue de configuration SSO de la console de compte Databricks, saisissez le nom de la revendication de l’étape 5 dans le champ User attribute claim .

8. Cliquez sur Activer la SSO pour enregistrer la configuration et exécuter un test de connexion.