SSO para Databricks com Okta

Este artigo mostra como configurar o Okta como o provedor de identidade para single sign-on (SSO) em seu Databricks account. O Okta é compatível com o OpenID Connect (OIDC) e o SAML 2.0. Para sincronizar usuários e grupos do Okta, consulte Sincronizar usuários e grupos do seu provedor de identidade.

As demonstrações a seguir orientam o senhor na configuração do SSO com o Okta:

Aviso

Para evitar o bloqueio do Databricks durante o teste de logon único, o Databricks recomenda manter o console do account aberto em uma janela diferente do navegador. O senhor também pode configurar o acesso de emergência com chave de segurança para evitar o bloqueio. Consulte Acesso de emergência para evitar bloqueios.

Habilite o login único Okta usando OIDC

Como account proprietário ou administrador account dolog in , acesse o account console e clique no ícone Settings (Configurações ) na barra lateral.
Clique em Authentication (Autenticação) tab.
Ao lado de Authentication (Autenticação), clique em gerenciar.
Escolha Single sign-on com meu provedor de identidade.
Clique em "Continuar".
Em Identity protocol (Protocolo de identidade), selecione OpenID Connect.
Em Authentication (Autent icação) tab , anote o valorDatabricks Redirect URL (URL de redirecionamento ).
Em uma nova guia do navegador, faça login no Okta como administrador.
Na página inicial, clique em Aplicativos > Aplicativos.
Clique em Criar integração de aplicativos.
Selecione OIDC - OpenID Connect e Web Application e clique em Avançar.
Em New Web App Integration (Nova integração de aplicativo da Web), em Sign-in redirect URIs (URIs de redirecionamento de login), insira o URL de redirecionamentoDatabricks do passo 4. O senhor pode optar por configurar as outras configurações ou deixá-las com seus valores default.
Clique em Salvar
Na guia Geral, copie a ID do cliente e o segredo do cliente gerados pelo Okta para o aplicativo.
- ID do cliente é o identificador exclusivo do aplicativo Databricks que você criou em seu provedor de identidade.
- Segredo do cliente é um segredo ou senha gerado para o aplicativo Databricks que você criou. Ele é usado para conceder autorização ao Databricks com o seu provedor de identidade.
Na guia login em Token de ID do OpenID Connect, copie o URL do Okta no campo do emissor.

Se o campo do emissor disser Dynamic, clique em Editar e escolha Okta URL (url) no menu suspenso.

Esse URL é o URL em que você pode encontrar o Documento de Configuração do OpenID da Okta. Esse documento de configuração do OpenID deve estar em {issuer-url}/.well-known/openid-configuration.

Remova a terminação /.well-known/openid-configuration do URL. Você pode especificar parâmetros de consulta anexando-os ao URL do emissor, por exemplo, {issuer-url}?appid=123.
Clique em Assignments (Atribuições ) tab. A Databricks recomenda adicionar o grupo Okta chamado Everyone ao aplicativo. Isso garante que todos os usuários da sua organização possam acessar o site Databricks account.
Retorne ao console Databricks account Authentication tab e insira os valores que copiou do aplicativo do provedor de identidade nos campos Client ID (ID do cliente), Client secret (segredo do cliente) e Issuer URL (URL do emissor ).
Opcionalmente, insira uma reivindicação de nome de usuário se quiser usar uma reivindicação diferente de email como nomes de usuário do Databricks dos usuários. Consulte a documentação de seu provedor de identidade para obter informações específicas sobre os valores dos sinistros.
Clique em Salvar.
Clique em Testar SSO para validar se sua configuração de SSO está funcionando corretamente.
Clique em Habilitar SSO para habilitar o login único em sua conta.
Teste o login do console da conta com SSO.
Configurar o login unificado

O login unificado permite que você use a configuração de SSO do console da conta em seus workspaces do Databricks. Se sua conta foi criada depois de 21 de junho de 2023, o login unificado estará habilitado em sua conta por padrão para todos os workspaces, novos e existentes, e não poderá ser desabilitado. Para configurar o login unificado, consulte Habilitar login unificado.

Habilitar o logon único do Okta usando SAML

Siga estas etapas para criar uma aplicação SAML no Okta para utilizar com o console da conta do Databricks.

Como account proprietário ou administrador account dolog in , acesse o account console e clique no ícone Settings (Configurações ) na barra lateral.
Clique em Authentication (Autenticação) tab.
Ao lado de Authentication (Autenticação), clique em gerenciar.
Escolha Single sign-on com meu provedor de identidade.
Clique em "Continuar".
Em Identity protocol (Protocolo de identidade), selecione SAML 2.0.
No site Authentication tab, anote o URL de redirecionamentoDatabricks .
Em uma nova guia do navegador, faça login no Okta como administrador.
Vá para Aplicativos e clique em Procurar catálogo de aplicativos.
Procure a Databricks no Browse App Integration Catalog.
Clique em Adicionar integração.
Selecione Sign On tab e clique em Edit (Editar).
Em Configurações avançadas de login, configure o aplicativo usando as seguintes configurações:
- Databricks SAML URL: o URL de redirecionamento da Databricks que o senhor copiou acima.
- Formato do nome de usuário do aplicativo: e-mail
Clique em Salvar. O aplicativo Databricks SAML é mostrado.
Em SAML 2.0 não está configurado até que você conclua as instruções de configuração, clique em Exibir instruções de configuração.
Copie os seguintes valores:
- URL de login único do provedor de identidade
- Emissor do provedor de identidade
- certificado x.509
Clique em Assignments (Atribuições ) tab. A Databricks recomenda adicionar o grupo Okta chamado Everyone ao aplicativo. Isso garante que todos os usuários da sua organização possam acessar o site Databricks account.
Configure o Databricks na página SSO do console da conta do Databricks.
1. Defina o menu suspenso SSO type (tipo de SSO) como SAML 2.0.
2. Defina o URL de logon único para o campo do Okta chamado URL de login.
3. Defina ID da entidade do provedor de identidade para o campo Okta chamado Identity Provider Issuer.
4. Defina o Certificado x.509 como o certificado x.509 do Okta, incluindo os marcadores para o início e o fim do certificado.
5. Clique em Salvar.
6. Clique em Testar SSO para validar se sua configuração de SSO está funcionando corretamente.
7. Clique em Habilitar SSO para habilitar o login único em sua conta.
8. Teste o login do console da conta com SSO.
Configurar o login unificado

O login unificado permite que você use a configuração de SSO do console da conta em seus workspaces do Databricks. Se sua conta foi criada depois de 21 de junho de 2023, o login unificado estará habilitado em sua conta por padrão para todos os workspaces, novos e existentes, e não poderá ser desabilitado. Para configurar o login unificado, consulte Habilitar login unificado.