Pular para o conteúdo principal
Última atualização em

Controlar quais grupos ficam visíveis na sua account

Quando a gestão automática de identidades está ativada, todos os grupos do seu provedor de identidade estão visíveis na pesquisa de diretório do Databricks e nos seletores de grupo. Os filtros de visibilidade de grupo permitem que os administradores da account controlem quais grupos do seu provedor de identidade estão visíveis, para que apenas os grupos que você permitir apareçam na pesquisa e possam ser adicionados a políticas.

Os filtros de visibilidade de grupo alteram apenas quais grupos podem ser descobertos. O provisionamento não foi alterado: todos os Service Principal do Databricks em seu provedor de identidade ainda são provisionados just-in-time e podem entrar. Para obter mais informações sobre o provisionamento JIT, consulte Provisionar usuários automaticamente (JIT).

Como os filtros de visibilidade de grupo funcionam​

Os filtros de visibilidade de grupo são uma configuração de nível de account que se aplica a todos os workspaces. Você pode definir dois tipos de regras:

  • Correspondência exata : corresponde a um grupo pelo seu ID externo.
  • Começa com : corresponde a grupos cujo nome de exibição começa com um valor.

Um grupo é visível quando ele, ou qualquer um dos seus grupos pai transitivos, corresponde a pelo menos uma regra. Por exemplo, uma regra Começa com para data- torna data-platform visível, juntamente com seus grupos filho. Duas exceções se aplicam:

  • Se você não configurou nenhum filtro, todos os grupos ficarão visíveis.
  • Grupos já provisionados e grupos locais do Databricks estão sempre visíveis, independentemente dos seus filtros.

Os filtros se aplicam ao provisionamento e à descoberta: depois que você configura um filtro, criar ou atualizar um grupo cujo ID externo não corresponde a nenhum filtro é rejeitado.

Os filtros são imutáveis. Para alterar uma regra, exclua-a e crie outra. Quando você remove uma regra, os grupos que não correspondem mais param de aparecer na pesquisa e não podem ser adicionados às políticas, mas os grupos já provisionados não são excluídos. Para remover completamente um grupo provisionado, exclua-o do seu provedor de identidade para que a sincronização ocorra.

Configurar filtros de visibilidade de grupo​

Os administradores de account configuram filtros de visibilidade de grupo no console da account.

Antes de ativar a gestão automática de identidades​

  1. Como administrador da conta, faça login no console da conta.
  2. Na barra lateral, clique em Segurança .
  3. Clique na tab Configuração do provedor de identidade e, na seção Gerenciamento de identidade , clique em Gerenciamento automático de identidade .
  4. Clique em Configurar e preencha os campos obrigatórios.
  5. Clique em Testar conexão .
  6. Se a conexão for bem-sucedida, em Controlar quais grupos ficam visíveis no Databricks , clique em Gerenciar filtros .
  7. Na caixa de diálogo Filtro de visibilidade de grupo , clique em Adicionar regras e escolha um tipo de regra: correspondência Exata no ID externo de um grupo ou Começa com para corresponder a um prefixo de nome de exibição.
  8. Salve suas alterações.

Depois de configurar seus filtros, você pode ativar a gestão automática de identidades.

O passo Visibilidade de identidade do assistente Configurar AIM, onde você clica em Gerenciar filtros para controlar quais grupos estão visíveis

Depois que a gestão automática de identidades for ativada​

  1. Como administrador da conta, faça login no console da conta.
  2. Na barra lateral, clique em Segurança .
  3. Clique na tab Configuração do provedor de identidade e, na seção Gerenciamento de identidade , clique em Gerenciamento automático de identidade .
  4. Em Controlar quais grupos estão visíveis no Databricks , clique em Gerenciar filtros .
  5. Na caixa de diálogo Filtro de visibilidade de grupo , clique em Adicionar regras e escolha um tipo de regra: correspondência Exata no ID externo de um grupo ou Começa com para corresponder a um prefixo de nome de exibição.
  6. Salve suas alterações.

A caixa de diálogo Filtro de visibilidade de grupo, mostrando a tabela de regras com opções para adicionar regras, testar a visibilidade e salvar

Testar visibilidade de grupo​

Antes de aplicar seus filtros, você pode testar se um grupo específico estaria visível sob a configuração atual.

  1. Na caixa de diálogo Filtro de visibilidade de grupo , clique em Testar visibilidade do grupo .
  2. Pesquise o grupo que você deseja testar.
  3. Revise o resultado para ver se o grupo estaria visível.

Gerenciar filtros com a API​

Você pode gerenciar filtros de visibilidade de grupo com a API REST de account. A API oferece suporte à criação, obtenção, listagem e exclusão de filtros:

POST   /2.0/identity/accounts/{account_id}/identity-visibility-filters
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters
DELETE /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}

Para criar um filtro para grupos, defina principal_type como GROUP. Como os filtros são imutáveis, não há operação de atualização. Para alterar um filtro, exclua-o e crie outro.

Limitações​

Os filtros de visibilidade de grupo suportam apenas regras de correspondência Exata (no ID externo de um grupo) e Começa com (prefixo do nome de exibição). A correspondência por sufixo, substring ou expressões regulares não é compatível.

Nesta página