Contrôlez les groupes visibles dans votre compte

Lorsque la gestion automatique des identités est activée, tous les groupes de votre fournisseur d’identité sont visibles dans la recherche de l’annuaire Databricks et dans les sélecteurs de groupes. Les filtres de visibilité des groupes permettent aux administrateurs de compte de contrôler les groupes de votre fournisseur d’identité qui sont visibles, afin que seuls les groupes que vous autorisez apparaissent dans la recherche et puissent être ajoutés aux politiques.

Les filtres de visibilité de groupe modifient uniquement les groupes visibles. Le provisionnement reste inchangé : chaque utilisateur et service principal Databricks dans votre fournisseur d’identité est toujours provisionné juste-à-temps et peut se connecter. Pour plus d’informations sur le provisionnement JIT, consultez Provisionner automatiquement des utilisateurs (JIT).

Fonctionnement des filtres de visibilité de groupe

Les filtres de visibilité de groupe sont une configuration au niveau du compte qui s'applique à tous les Workspace. Vous pouvez définir deux types de règles :

• Correspondance exacte : correspond à un groupe par son ID externe.
• Commence par : correspond aux groupes dont le nom d'affichage commence par une valeur.

Un groupe est visible lorsque lui-même ou l’un de ses groupes parents transitifs correspond à au moins une règle. Par exemple, une règle start pour data- rend data-platform visible, ainsi que ses groupes enfants. Deux exceptions s'appliquent :

• Si vous n’avez configuré aucun filtre, tous les groupes sont visibles.
• Les groupes déjà provisionnés et les groupes Databricks locaux sont toujours visibles, quels que soient vos filtres.

Les filtres s’appliquent à la fois au provisionnement et à la découverte : une fois que vous configurez un filtre, la création ou la mise à jour d’un groupe dont l’ID externe ne correspond à aucun filtre est rejetée.

Les filtres sont immuables. Pour modifier une règle, supprimez-la et créez-en une nouvelle. Lorsque vous supprimez une règle, les groupes qui ne correspondent plus cessent d’apparaître dans la recherche et ne peuvent pas être ajoutés aux politiques, mais les groupes déjà provisionnés ne sont pas supprimés. Pour supprimer complètement un groupe provisionné, supprimez-le de votre fournisseur d’identité afin qu’il soit synchronisé.

Configurer les filtres de visibilité des groupes

Les administrateurs de compte configurent les filtres de visibilité de groupe dans la console du compte.

Avant d’activer la gestion automatique des identités

1. En tant qu’administrateur de compte, Connexion à la console du compte.
2. Dans la barre latérale, cliquez sur Sécurité .
3. Cliquez sur le tab Configuration du fournisseur d'identité , puis dans la section Gestion des identités , cliquez sur Gestion automatique des identités .
4. Cliquez sur Configurer et remplissez les champs obligatoires.
5. Cliquez sur Tester la connexion .
6. Si la connexion réussit, sous Contrôler les groupes visibles dans Databricks , cliquez sur Gérer les filtres .
7. Dans la boîte de dialogue Filtre de visibilité de groupe , cliquez sur Ajouter des règles et choisissez un type de règle : Correspondance exacte sur un ID externe de groupe ou start par pour correspondre à un préfixe de nom complet.
8. Enregistrez vos modifications.

Une fois vos filtres configurés, vous pouvez activer la gestion automatique des identités.

Une fois la gestion automatique des identités activée

1. En tant qu’administrateur de compte, Connexion à la console du compte.
2. Dans la barre latérale, cliquez sur Sécurité .
3. Cliquez sur le tab Configuration du fournisseur d'identité , puis dans la section Gestion des identités , cliquez sur Gestion automatique des identités .
4. Sous Contrôler quels groupes sont visibles dans Databricks , cliquez sur Gérer les filtres .
5. Dans la boîte de dialogue Filtre de visibilité de groupe , cliquez sur Ajouter des règles et choisissez un type de règle : Correspondance exacte sur un ID externe de groupe ou start par pour correspondre à un préfixe de nom complet.
6. Enregistrez vos modifications.

Visibilité du groupe de test

Avant d’appliquer vos filtres, vous pouvez tester si un groupe spécifique serait visible avec la configuration actuelle.

1. Dans la boîte de dialogue Filtre de visibilité de groupe , cliquez sur Tester la visibilité du groupe .
2. Recherchez le groupe que vous souhaitez tester.
3. Passez en revue le résultat pour voir si le groupe sera visible.

Gérer les filtres avec l’API

Vous pouvez gérer les filtres de visibilité des groupes avec l’API REST de compte. L’API prend en charge la création, l’obtention, le listage et la suppression de filtres :

POST   /2.0/identity/accounts/{account_id}/identity-visibility-filters
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters
DELETE /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}

Pour créer un filtre pour les groupes, définissez principal_type sur GROUP. Comme les filtres sont immuables, il n’y a pas d’opération de mise à jour. Pour modifier un filtre, supprimez-le et créez-en un nouveau.

Limites

Les filtres de visibilité de groupe ne prennent en charge que les règles Correspondance exacte (sur l'ID externe d'un groupe) et start (préfixe du nom d'affichage). La correspondance sur le suffixe du nom d'affichage, la sous-chaîne ou les expressions régulières n'est pas prise en charge.