Управление лицензиями пользователей с помощью SCIM

Вы можете управлять назначением лицензий пользователям с помощью System for Cross-Domain Identity Management (SCIM) и атрибута пользователя в Okta, чтобы тип лицензии задавался при подготовке учетных записей и подключении пользователей.

Сопоставление лицензий с помощью SCIM

dbt platform поддерживает автоматическое назначение лицензий с помощью SCIM со следующими вариантами для разных поставщиков удостоверений:

 Показать варианты для каждого поставщика удостоверений

• Okta: Включите переключатель Ignore dbt license mapping в разделе Account settings > SSO & SCIM и следуйте документации по управлению лицензиями через Okta.
• Entra ID: Используйте сопоставление групп Active Directory с лицензиями на основе SSO. Оно работает совместно с активной конфигурацией SCIM для Entra ID. Оставьте переключатель Ignore dbt license mapping выключенным, поскольку его включение удаляет сопоставление лицензий для пользователей Entra ID. Сопоставление лицензий через SCIM с использованием пользовательских атрибутов может быть возможно в зависимости от вашей конфигурации Entra ID, но такая настройка не поддерживается — используйте её на свой страх и риск.

Дополнительные сведения см. в ответе на вопрос Поддерживает ли SCIM автоматическое назначение лицензий? в разделе часто задаваемых вопросов.

Требуется группа Account Admin: Перед включением SCIM для вашей учетной записи dbt необходимо создать группу администраторов учетной записи dbt в вашем IdP и группу с таким же именем в вашей учетной записи dbt. Назначьте группе dbt набор разрешений Account Admin.

Без этой группы после включения выделения ресурсов через SCIM ваши пользователи могут быть удалены из группы dbt 'Owner', созданной по умолчанию, и потерять административный доступ к вашей учетной записи dbt. Имена этих двух групп могут соответствовать принятой в вашем IdP схеме именования групп, но имя группы в dbt должно полностью совпадать с именем группы в IdP.

Предварительные требования

Прежде чем включить сопоставление лицензий через SCIM:

• Лицензия по умолчанию: новым пользователям назначается лицензия Developer, если вы не измените ее вручную с помощью сопоставлений лицензий SSO или через SCIM.
• Рекомендация: используйте единый источник достоверных данных для назначения лицензий (либо dbt platform, либо SCIM). Не совмещайте управление лицензиями через SCIM с ручными изменениями или изменениями сопоставлений единого входа (SSO).
• Лицензия Analyst: доступна только на определенных тарифных планах. Назначение этой лицензии через SCIM приведет к ошибке, если такой тип лицензии недоступен для вашего аккаунта. Лицензия типа Analyst больше не доступна для приобретения.

Включение сопоставления лицензий через SCIM

Чтобы управлять лицензиями пользователей через SCIM, перейдите в Account settings > SSO & SCIM. В разделе SCIM включите переключатель Ignore dbt license mapping. Эта настройка задает тип лицензии пользователя на основе его атрибута SCIM и отключает сопоставление лицензий и ручную настройку, заданные в dbt.

Включение распределения лицензий пользователей под управлением SCIM.

Рекомендуем выполнить инструкции по настройке вашего поставщика удостоверений (IdP), прежде чем включать этот переключатель в аккаунте dbt. После его включения все существующие сопоставления лицензий в dbt будут игнорироваться.

Рекомендуемая последовательность перехода на сопоставление лицензий через SCIM:

1. Настройте SCIM, но оставьте переключатель выключенным, чтобы существующие сопоставления лицензий продолжали работать как прежде.
2. Настройте атрибуты лицензий в вашем IdP.
3. Проверьте, что атрибуты SCIM используются для задания типа лицензии в dbt.
4. Включите переключатель, чтобы игнорировать существующие сопоставления лицензий и использовать SCIM как единый источник достоверных данных для назначения лицензий пользователям.

Группы по умолчанию в Enterprise

На странице лицензирования Enterprise доступны следующие группы по умолчанию. Они часто используются при первоначальной настройке, но после успешной синхронизации групп IdP через SCIM их следует скорректировать или удалить.

Группа	Права доступа
Owner	Полный доступ к функциям аккаунта и оплате.
Member	Широкие права доступа к аккаунту с ограничениями на настройки оплаты и безопасности. Пользователям группы Member по умолчанию назначается лицензия Developer.
Everyone	Общая группа для всех пользователей. Эта группа не предоставляет дополнительных разрешений помимо заданных в профиле пользователя. Для работы в dbt пользователи должны быть включены в группу Member или Owner.

Рекомендация

После создания и синхронизации ваших групп IdP удалите пользователей из этих групп по умолчанию, чтобы SCIM оставался единым источником достоверных данных для разрешений и лицензирования. После удаления всех пользователей вы также можете полностью удалить эти группы.

Автоматическое сопоставление лицензий

Автоматизация назначения лицензий доступна только для Okta. Это распространенный подход к снижению административной нагрузки. Сведения о сопоставлении лицензий на основе SSO (например, для Entra ID) см. в разделе Конфигурация с сопоставлением.

Определение групп IdP

Распространенный подход предполагает создание двух основных групп в вашем IdP, например:

• dbt_developers
• dbt_read_only

Основные правила лицензирования

Понимание этих правил поможет вам спланировать структуру групп в Okta:

• Назначение по умолчанию: при добавлении нового пользователя в аккаунт он автоматически получает лицензию Developer, если вы не настроили иное поведение.
• Основа сопоставления: лицензия пользователя определяется тем, в какие группы он входит у вашего поставщика удостоверений (Okta), — а не группами, созданными в dbt platform. Другими словами, ваши группы Okta являются источником достоверных данных. При добавлении пользователя в группу Okta или удалении из нее его лицензия в dbt platform автоматически обновляется соответствующим образом.

Логика сопоставления и приоритеты

При сопоставлении лицензий через SSO лицензия Developer имеет приоритет над всеми остальными лицензиями. При сопоставлении лицензий через SCIM (Okta) приоритет зависит от вашей конфигурации — от того, назначаете ли вы атрибут лицензии непосредственно пользователю или определяете его на основе членства в группах с помощью выражения в Okta Profile Editor.

При использовании групп наподобие dbt_developers и dbt_read_only пользователь может состоять в одной группе, в обеих или ни в одной из них. В следующей таблице показан один из распространенных сценариев (сопоставление на основе групп), который может помочь при планировании структуры групп или выяснении причин назначения пользователю определенной лицензии.

Пользователям группы по умолчанию Member в Enterprise по умолчанию назначается лицензия Developer. Пока вы не удалите пользователей из Member (согласно приведенной выше рекомендации), это значение по умолчанию применяется, если они не входят ни в одну группу IdP для сопоставления лицензий. После включения сопоставления лицензий через SCIM сопоставление групп IdP имеет приоритет над значением по умолчанию для Member.

Сопоставление лицензий через SSO (на основе групп IdP):

В группе dbt_developers?	В группе dbt_read_only?	Назначаемая лицензия
Нет	Нет	Developer (по умолчанию для Member или для новых пользователей)
Нет	Да	Read-Only
Да	Нет	Developer
Да	Да	Developer (Developer имеет приоритет)

Добавление атрибута типа лицензии для Okta

Чтобы добавить атрибут для типов лицензий в вашу среду Okta:

1. В приложении Okta перейдите на вкладку Provisioning, прокрутите страницу до Attribute Mappings и нажмите Go to Profile Editor.

2. Нажмите Add Attribute.

3. Настройте поля атрибута следующим образом (регистр символов каждого значения должен совпадать с указанным):

   • Data type: string
   • Display name: License Type
   • Variable name: licenseType
   • External name: licenseType
   • External namespace: urn:ietf:params:scim:schemas:extension:dbtLabs:2.0:User
   • Description: произвольная строка на ваш выбор.
   • Enum: установите флажок Define enumerated list of values.
   • Attribute members: добавьте первый атрибут, а затем нажимайте Add another, пока не будут определены все типы лицензий. Рекомендуем добавить все значения, даже если вы пока их не используете, чтобы они были доступны в будущем. Допустимые значения приведены в следующей таблице.

     Отображаемое имя	Значение
     IT	it
     Analyst	analyst
     Developer	developer
     Read Only	read_only

   Лицензия Analyst доступна только на определенных тарифных планах. Она больше не доступна для приобретения.

   • Attribute type: Group
   Заполните поля так, как показано на изображении. Убедитесь, что регистр символов совпадает.

4. Нажмите Save, чтобы сохранить сопоставление атрибута. Теперь типы лицензий можно задавать в профилях пользователей и при подготовке их учетных записей.

   Задайте тип лицензии пользователя в его профиле Okta.

Автоматизация назначения лицензий с помощью групп Okta

Чтобы автоматизировать назначение лицензионных мест в Okta, используйте Profile Editor для сопоставления членства в группах Okta с типами лицензий dbt.

1. Создайте группы в Okta, например:

   • dbt_developers
   • dbt_read_only

2. В Profile Editor приложения dbt в Okta создайте правила сопоставления пользователей Okta с пользователями приложения dbt:

   • Attribute: licenseType
   • Logic (Expression): (isMemberOfGroupName("dbt_developers") ? 'developer' : 'read_only')
   • Поведение по умолчанию: пользователям, не входящим в группу dbt_developers, по умолчанию назначается лицензия Read-Only.

Добавление пользователей в эти группы Okta или удаление из них автоматически обновляет их профиль в приложении dbt и инициирует обновление через SCIM для синхронизации licenseType в dbt. Администраторы также могут использовать Manual Push в приложении Okta для синхронизации изменений.

Нашли ошибку?

Создать GitHub Issue