Pular para o conteúdo principal

SSO para Databricks com Keycloak

Esta página demonstra como configurar o Keycloak como provedor de identidade para login único (SSO) em seu Databricks account. O Keycloak é compatível com OpenID Connect (OIDC) e SAML 2.0. O Keycloak não oferece suporte ao SCIM para sincronizar usuários e grupos com o Databricks.

atenção

Para evitar ser bloqueado do Databricks durante o teste de login único, Databricks recomenda manter o console account aberto em uma janela diferente do navegador. Também é possível configurar o acesso de emergência com chave de segurança para evitar o bloqueio. Consulte Acesso de emergência para evitar bloqueios.

Habilite o SSO do Keycloak usando OIDC​

  1. Como administrador do account, acesse log in no consoleaccount e clique no ícone Configurações na barra lateral.

  2. Clique em Autenticação tab.

  3. Ao lado de Autenticação , clique em gerenciar .

  4. Escolha Login único com meu provedor de identidade .

  5. Clique em "Continuar" .

  6. Em Protocolo de identidade , selecione OpenID Connect .

  7. Na autenticação tab, anote o valor do URL de redirecionamentoDatabricks .

  8. Em um novo navegador, acesse tab, log in para acessar o console de administração do Keycloak.

  9. Selecione o domínio para integração com o Databricks ou crie um novo.

  10. Crie um novo cliente:

    1. Clique em Clientes e clique em Criar cliente .

    2. Em Tipo de cliente , selecione OpenID Connect .

    3. Insira um ID e um nome do cliente.

    4. Clique em Avançar e em Salvar .

    Keycloak cria um novo cliente.

  11. Configure o cliente Databricks:

    1. Em Configurações de acesso , defina o URL inicial como o URL do seu site Databricks account .
    2. Defina URIs de redirecionamento válidos para o URL de redirecionamento do Databricks que você copiou acima.
    3. Na configuração de capacidade , defina a autenticação do cliente como Ativada para acesso confidencial.

    O Keycloak define as configurações de acesso.

  12. Configure o mapeamento de membros do grupo:

    1. Clique em Escopos do cliente e selecione o escopo dedicado para seu cliente.
    2. Nos Mapeadores ( tab), clique em Configurar um novo mapeador .
    3. Em Tipo de mapeador , selecione Participação em grupo .
    4. Defina Nome e Nome da reivindicação de tokens como grupos .
    5. Alterne o caminho completo do grupo para Ativado ou Desativado com base em sua preferência.

    O Keycloak define as configurações do grupo.

  13. Retorne para a autenticação do console do Databricks account tab e insira os valores copiados do Keycloak:

    1. ID do cliente : O ID do cliente do Keycloak.
    2. Segredo do cliente : Encontrado em Credenciais tab do seu cliente Keycloak.
    3. URL do emissor do OpenID: Seu URL do Keycloak com domínio (por exemplo, https://keycloak.example.com/realms/your-realm).

  14. Clique em Salvar .

  15. Clique em Testar SSO para validar se sua configuração de SSO está funcionando corretamente.

  16. Clique em Habilitar SSO para habilitar o login único em sua conta.

  17. Teste o login do console da conta com SSO.

Configurar login unificado e adicionar usuários ao Databricks​

Após configurar SSO, Databricks recomenda que você configure o login unificado e adicione usuários ao seu account usando SCIM provisionamento.

  1. Configurar o login unificado

    O login unificado permite que você utilize a configuração do console account SSO em seu espaço de trabalho Databricks. Se o seu account foi criado após 21 de junho de 2023 ou se você não configurou SSO antes de 12 de dezembro de 2024, o login unificado estará habilitado em seu account para todos os espaços de trabalho e não poderá ser desabilitado. Para configurar o login unificado, consulte Habilitar login unificado.

  2. Adicionar usuários ao Databricks

    1. Habilitar o provisionamento JIT

      Databricks recomenda habilitar o JIT para adicionar automaticamente os usuários a Databricks quando eles usarem log in pela primeira vez SSO. O provisionamento JIT é ativado por default para contas criadas após 1º de maio de 2025 quando SSO é configurado. Consulte Provisionamento automático de usuários (JIT).

    2. Configurar o provisionamento do SCIM

      Databricks Recomenda-se utilizar o provisionamento SCIM para sincronizar usuários e grupos automaticamente do seu provedor de identidade para o seu Databricks account. O SCIM simplifica a integração de um novo funcionário ou equipe usando seu provedor de identidade para criar usuários e grupos no Databricks e conceder a eles o nível adequado de acesso. Consulte Sincronizar usuários e grupos do seu provedor de identidade usando SCIM.

Habilite o SSO do Keycloak usando SAML​

  1. Como administrador do account, acesse log in no consoleaccount e clique no ícone Configurações na barra lateral.

  2. Clique em Autenticação tab.

  3. Ao lado de Autenticação , clique em gerenciar .

  4. Escolha Login único com meu provedor de identidade .

  5. Clique em "Continuar" .

  6. No protocolo Identidade , selecione SAML 2.0 .

  7. Na autenticação tab, anote o valor do URL de redirecionamentoDatabricks .

    Configure o SAML SSO.

  8. Em um novo navegador, acesse tab, log in para acessar o console de administração do Keycloak.

  9. Selecione o domínio para integração com o Databricks ou crie um novo.

  10. Crie um novo cliente:

    1. Clique em Clientes e clique em Criar cliente .
    2. Em Tipo de cliente , selecione SAML .
    3. Insira um ID e um nome do cliente.
    4. Clique em Avançar e em Salvar .
    5. Nas configurações de login, defina URIs de redirecionamento válidos para o URL de redirecionamento do Databricks que você copiou acima.

    Keycloak, crie um novo cliente SAML.

  11. Configure o cliente:

    1. Em Configurações , acesse tab, em Recursos de SAML, defina o formato do ID de nome comoemail.
    2. Ative o formato Forçar ID do nome .
    3. Clique em Salvar .

    Configurar atributos SAML no Keycloak.

  12. Configure o mapeamento de atributos SAML:

    1. Clique em Escopos do cliente e selecione o escopo dedicado para seu cliente.
    2. Em Mappers (Mapeadores) tab, clique em Add predefined mapper (Adicionar mapeador predefinido).
    3. Selecione X500 email , X500 nome e X500 sobrenome e clique em Adicionar .

    O Keycloak configura escopos dedicados.

  13. Recuperar metadados SAML:

    1. Clique em Configurações do reino e em Geral .

    2. Clique em Metadados do provedor de identidade SAML 2.0 .

    3. Nos metadados, salve os seguintes valores:

    • O atributo Location no elemento SingleSignOnService (por exemplo, https://my-idp.example.com/realms/DatabricksRealm/protocol/saml). Este é o URL de login único em Databricks
    • O atributo entityID no elemento EntityDescriptor (por exemplo, https://my-idp.example.com/realms/DatabricksRealm).
    • A tag X509Certificate.

  14. Retorne para a autenticação do console do Databricks account tab e insira os valores copiados do Keycloak:

    1. URL de login único : O atributo Location no elemento SingleSignOnService que você copiou acima.
    2. ID da entidade : O atributo “ entityID ” no elemento “ EntityDescriptor ” que você copiou acima.
    3. X509Certificate : A tag X509Certificate que você copiou acima.

  15. Clique em Salvar .

  16. Clique em Testar SSO para validar se sua configuração de SSO está funcionando corretamente.

  17. Clique em Habilitar SSO para habilitar o login único em sua conta.

  18. Teste o login do console da conta com SSO.

Configurar login unificado e adicionar usuários ao Databricks​

Após configurar SSO, Databricks recomenda que você configure o login unificado e adicione usuários ao seu account usando SCIM provisionamento.

  1. Configurar o login unificado

    O login unificado permite que você utilize a configuração do console account SSO em seu espaço de trabalho Databricks. Se o seu account foi criado após 21 de junho de 2023 ou se você não configurou SSO antes de 12 de dezembro de 2024, o login unificado estará habilitado em seu account para todos os espaços de trabalho e não poderá ser desabilitado. Para configurar o login unificado, consulte Habilitar login unificado.

  2. Adicionar usuários ao Databricks

    1. Habilitar o provisionamento JIT

      Databricks recomenda habilitar o JIT para adicionar automaticamente os usuários a Databricks quando eles usarem log in pela primeira vez SSO. O provisionamento JIT é ativado por default para contas criadas após 1º de maio de 2025 quando SSO é configurado. Consulte Provisionamento automático de usuários (JIT).

    2. Configurar o provisionamento do SCIM

      Databricks Recomenda-se utilizar o provisionamento SCIM para sincronizar usuários e grupos automaticamente do seu provedor de identidade para o seu Databricks account. O SCIM simplifica a integração de um novo funcionário ou equipe usando seu provedor de identidade para criar usuários e grupos no Databricks e conceder a eles o nível adequado de acesso. Consulte Sincronizar usuários e grupos do seu provedor de identidade usando SCIM.

Última atualização em