Contrôlez les groupes visibles dans votre compte

Lorsque la gestion automatique des identités est activée, tous les groupes de votre fournisseur d’identité sont visibles dans la recherche de l’annuaire Databricks et dans les sélecteurs de groupes. Les filtres de visibilité des groupes permettent aux administrateurs de compte de contrôler les groupes de votre fournisseur d’identité qui sont visibles, afin que seuls les groupes que vous autorisez apparaissent dans la recherche et puissent être ajoutés aux politiques.

Les filtres de visibilité de groupe modifient uniquement les groupes visibles. Le provisionnement reste inchangé : chaque utilisateur et service principal Databricks dans votre fournisseur d’identité est toujours provisionné juste-à-temps et peut se connecter. Pour plus d’informations sur le provisionnement JIT, consultez Provisionner automatiquement des utilisateurs (JIT).

Fonctionnement des filtres de visibilité de groupe

Les filtres de visibilité de groupe sont une configuration au niveau du compte qui s'applique à tous les Workspace. Vous pouvez définir trois types de règles :

• Correspondance exacte : correspond à un groupe par son ID externe.
• start par : correspond aux groupes dont le nom d’affichage commence par une valeur. La correspondance respecte la casse.
• Expression régulière (regex) : correspond aux groupes lorsqu’une expression régulière RE2 sensible à la casse correspond à la totalité du nom d’affichage.

Un groupe est visible lorsque lui-même ou l’un de ses groupes parents transitifs correspond à au moins une règle. Par exemple, une règle start pour data- rend data-platform visible, ainsi que ses groupes enfants. Deux exceptions s'appliquent :

• Si vous n’avez configuré aucun filtre, tous les groupes sont visibles.
• Les groupes déjà provisionnés et les groupes Databricks locaux sont toujours visibles, quels que soient vos filtres.

Les filtres s’appliquent à la fois au provisionnement et à la découverte : une fois que vous configurez un filtre, la création ou la mise à jour d’un groupe dont l’ID externe ne correspond à aucun filtre est rejetée.

Les filtres sont immuables. Pour modifier une règle, supprimez-la et créez-en une nouvelle. Lorsque vous supprimez une règle, les groupes qui ne correspondent plus cessent d’apparaître dans la recherche et ne peuvent pas être ajoutés aux politiques, mais les groupes déjà provisionnés ne sont pas supprimés. Pour supprimer complètement un groupe provisionné, supprimez-le de votre fournisseur d’identité afin qu’il soit synchronisé.

Configurer les filtres de visibilité des groupes

Les administrateurs de compte configurent les filtres de visibilité de groupe dans la console du compte.

Avant d’activer la gestion automatique des identités

1. En tant qu’administrateur de compte, Connexion à la console du compte.
2. Dans la barre latérale, cliquez sur Sécurité .
3. Cliquez sur le tab Configuration du fournisseur d'identité , puis dans la section Gestion des identités , cliquez sur Gestion automatique des identités .
4. Cliquez sur Configurer et remplissez les champs obligatoires.
5. Cliquez sur Tester la connexion .
6. Si la connexion réussit, sous Contrôler les groupes visibles dans Databricks , cliquez sur Gérer les filtres .
7. Dans la boîte de dialogue Filtre de visibilité de groupe , cliquez sur Ajouter des règles et choisissez un type de règle : Correspondance exacte sur l'ID externe d'un groupe, start pour faire correspondre un préfixe de nom d'affichage ou Expression régulière pour faire correspondre un nom d'affichage avec une regex.
8. Enregistrez vos modifications.

Une fois vos filtres configurés, vous pouvez activer la gestion automatique des identités.

Une fois la gestion automatique des identités activée

1. En tant qu’administrateur de compte, Connexion à la console du compte.
2. Dans la barre latérale, cliquez sur Sécurité .
3. Cliquez sur le tab Configuration du fournisseur d'identité , puis dans la section Gestion des identités , cliquez sur Gestion automatique des identités .
4. Sous Contrôler quels groupes sont visibles dans Databricks , cliquez sur Gérer les filtres .
5. Dans la boîte de dialogue Filtre de visibilité de groupe , cliquez sur Ajouter des règles et choisissez un type de règle : Correspondance exacte sur l'ID externe d'un groupe, start pour faire correspondre un préfixe de nom d'affichage ou Expression régulière pour faire correspondre un nom d'affichage avec une regex.
6. Enregistrez vos modifications.

Visibilité du groupe de test

Avant d’appliquer vos filtres, vous pouvez tester si un groupe spécifique serait visible avec la configuration actuelle.

1. Dans la boîte de dialogue Filtre de visibilité de groupe , cliquez sur Tester la visibilité du groupe .
2. Recherchez le groupe que vous souhaitez tester.
3. Passez en revue le résultat pour voir si le groupe sera visible.

Gérer les filtres avec l’API

Vous pouvez gérer les filtres de visibilité des groupes avec l’ API de filtre de visibilité de l’identité du compte. L’API prend en charge la création, l’obtention, la liste et la suppression de filtres :

POST   /2.0/identity/accounts/{account_id}/identity-visibility-filters
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters
DELETE /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}

Pour créer un filtre pour les groupes, définissez principal_type sur GROUP. Comme les filtres sont immuables, l’API ne dispose pas d’opération de mise à jour.

Par exemple, pour créer une règle regex qui correspond aux noms d’affichage tels que data-platform et ml-research, envoyez le corps de la requête suivante à l’endpoint POST :

JSON

{
  "principal_type": "GROUP",
  "regex": {
    "display_name_regex": "(data|ml)-.*"
  }
}

Limites

Les règles Regex doivent utiliser la syntaxe RE2, contenir au maximum 255 caractères et respecter des limites de complexité. L’API rejette les expressions qui dépassent ces limites avec une erreur INVALID_PARAMETER_VALUE. Raccourcissez ou simplifiez l’expression et réessayez.

Comme une règle regex doit correspondre au nom d’affichage complet, incluez .* pour correspondre à une sous-chaîne, telle que .*data.*.