Controlar quais grupos ficam visíveis na sua account

Quando a gestão automática de identidades está ativada, todos os grupos do seu provedor de identidade estão visíveis na pesquisa de diretório do Databricks e nos seletores de grupo. Os filtros de visibilidade de grupo permitem que os administradores da account controlem quais grupos do seu provedor de identidade estão visíveis, para que apenas os grupos que você permitir apareçam na pesquisa e possam ser adicionados a políticas.

Os filtros de visibilidade de grupo alteram apenas quais grupos podem ser descobertos. O provisionamento não foi alterado: todos os Service Principal do Databricks em seu provedor de identidade ainda são provisionados just-in-time e podem entrar. Para obter mais informações sobre o provisionamento JIT, consulte Provisionar usuários automaticamente (JIT).

Como os filtros de visibilidade de grupo funcionam

Os filtros de visibilidade de grupo são uma configuração de nível de account que se aplica a todos os workspaces. Você pode definir três tipos de regras:

• Correspondência exata : corresponde a um grupo pelo seu ID externo.
• Começa com : corresponde a grupos cujo nome de exibição começa com um valor. A correspondência diferencia maiúsculas de minúsculas.
• Expressão regular (regex) : corresponde a grupos quando uma expressão regular RE2 que diferencia maiúsculas de minúsculas corresponde ao nome de exibição completo.

Um grupo é visível quando ele, ou qualquer um dos seus grupos pai transitivos, corresponde a pelo menos uma regra. Por exemplo, uma regra Começa com para data- torna data-platform visível, juntamente com seus grupos filho. Duas exceções se aplicam:

• Se você não configurou nenhum filtro, todos os grupos ficarão visíveis.
• Grupos já provisionados e grupos locais do Databricks estão sempre visíveis, independentemente dos seus filtros.

Os filtros se aplicam ao provisionamento e à descoberta: depois que você configura um filtro, criar ou atualizar um grupo cujo ID externo não corresponde a nenhum filtro é rejeitado.

Os filtros são imutáveis. Para alterar uma regra, exclua-a e crie outra. Quando você remove uma regra, os grupos que não correspondem mais param de aparecer na pesquisa e não podem ser adicionados às políticas, mas os grupos já provisionados não são excluídos. Para remover completamente um grupo provisionado, exclua-o do seu provedor de identidade para que a sincronização ocorra.

Configurar filtros de visibilidade de grupo

Os administradores de account configuram filtros de visibilidade de grupo no console da account.

Antes de ativar a gestão automática de identidades

1. Como administrador da conta, faça login no console da conta.
2. Na barra lateral, clique em Segurança .
3. Clique na tab Configuração do provedor de identidade e, na seção Gerenciamento de identidade , clique em Gerenciamento automático de identidade .
4. Clique em Configurar e preencha os campos obrigatórios.
5. Clique em Testar conexão .
6. Se a conexão for bem-sucedida, em Controlar quais grupos ficam visíveis no Databricks , clique em Gerenciar filtros .
7. Na caixa de diálogo Filtro de visibilidade de grupo , clique em Adicionar regras e escolha um tipo de regra: Correspondência exata no ID externo de um grupo, Começa com para corresponder a um prefixo de nome de exibição ou Expressão regular para corresponder a um nome de exibição com uma expressão regular.
8. Salve suas alterações.

Depois de configurar seus filtros, você pode ativar a gestão automática de identidades.

Depois que a gestão automática de identidades for ativada

1. Como administrador da conta, faça login no console da conta.
2. Na barra lateral, clique em Segurança .
3. Clique na tab Configuração do provedor de identidade e, na seção Gerenciamento de identidade , clique em Gerenciamento automático de identidade .
4. Em Controlar quais grupos estão visíveis no Databricks , clique em Gerenciar filtros .
5. Na caixa de diálogo Filtro de visibilidade de grupo , clique em Adicionar regras e escolha um tipo de regra: Correspondência exata no ID externo de um grupo, Começa com para corresponder a um prefixo de nome de exibição ou Expressão regular para corresponder a um nome de exibição com uma expressão regular.
6. Salve suas alterações.

Testar visibilidade de grupo

Antes de aplicar seus filtros, você pode testar se um grupo específico estaria visível sob a configuração atual.

1. Na caixa de diálogo Filtro de visibilidade de grupo , clique em Testar visibilidade do grupo .
2. Pesquise o grupo que você deseja testar.
3. Revise o resultado para ver se o grupo estaria visível.

Gerenciar filtros com a API

Você pode gerenciar filtros de visibilidade de grupo com a API de filtro de visibilidade de identidade da account. A API oferece suporte à criação, obtenção, listagem e exclusão de filtros:

POST   /2.0/identity/accounts/{account_id}/identity-visibility-filters
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters
DELETE /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}

Para criar um filtro para grupos, defina principal_type como GROUP. Como os filtros são imutáveis, a API não possui operação de atualização.

Por exemplo, para criar uma regra regex que corresponda a nomes de exibição como data-platform e ml-research, envie o seguinte corpo da solicitação para o endpoint POST:

JSON

{
  "principal_type": "GROUP",
  "regex": {
    "display_name_regex": "(data|ml)-.*"
  }
}

Limitações

As regras de Regex devem usar sintaxe RE2, conter no máximo 255 caracteres e cumprir os limites de complexidade. A API rejeita expressões que excedem esses limites com um erro INVALID_PARAMETER_VALUE. Encurte ou simplifique a expressão e tente novamente.

Como uma regra de regex deve corresponder ao nome de exibição completo, inclua .* para corresponder a uma substring, como .*data.*.