Управление правами

На этой странице описывается управление правами для пользователей, субъектов-служб и групп.

Общие сведения о правах

Право — это свойство, которое позволяет пользователю, субъекту-службе или группе взаимодействовать с Azure Databricks указанным способом. Права назначаются пользователям на уровне рабочей области. Права доступны только в плане "Премиум".

Права доступа

Каждое право доступа предоставляет пользователю доступ к определенному набору функций в рабочей области:

• Пользовательский доступ: предоставляет доступ к упрощенной среде для просмотра панелей мониторинга, пространств Genie и приложений Databricks, которыми с ними поделились. См. раздел "Что такое доступ к потребителю?".
• Доступ к Databricks SQL: предоставляет доступ к функциям Databricks SQL, включая панели мониторинга, запросы и хранилища SQL. См. сведения о хранилище данных в Azure Databricks.
• Доступ к рабочей области: предоставляет доступ к основным функциям рабочей области, таким как записные книжки, задания, модели и конвейеры в областях обработки и инженерии данных и Databricks Mosaic AI. См. статью "Проектирование данных" с помощью Databricks и ИИ и машинного обучения в Databricks.

В таблице ниже показано, какие возможности предоставляются при каждом назначении доступа:

Чтобы получить доступ к рабочей области Azure Databricks, пользователь должен иметь по крайней мере одно право доступа.

Доступ потребителей в сравнении с пользователями учетной записи

В предыдущей таблице перечислены права доступа в рабочей области. В следующей таблице сравниваются функции, доступные пользователям рабочей области с доступом потребителей, с пользователями учетной записи, не состоящими в рабочей области.

Вычисление прав доступа

Разрешение неограниченного создания кластера и разрешения на создание пула управляет возможностью подготовки вычислительных ресурсов в рабочей области. Администраторы рабочей области по умолчанию получают эти права и не могут быть удалены. Пользователям, не являющимся администраторами, не предоставляются права, если они не назначены явно.

• Разрешить неограниченное создание кластера предоставляет пользователям или субъектам-службам разрешение на создание неограниченных кластеров.

• Функция «Разрешить создание пула» позволяет создавать пул экземпляров. Его можно предоставить только группам.

  Это право отображается в пользовательском интерфейсе параметров администратора только в том случае, если группа уже имеет ее. Его можно удалить с помощью пользовательского интерфейса для любой группы, кроме admins группы, где ее нельзя удалить. Чтобы назначить его группе, используйте API. См. раздел "Управление правами с помощью API".

Права по умолчанию

Некоторые права предоставляются автоматически определенным пользователям и группам:

• Администраторы рабочей области всегда предоставляют следующие права, и их нельзя удалить:

  • Доступ к рабочей области
  • Разрешение создавать кластер без ограничений
  • Разрешить создание пула

  Администраторы также предоставляют доступ к Databricks SQL по умолчанию, но его можно удалить. Тем не менее, поскольку администраторы сохраняют права по управлению доступом, они могут переназначить их себе в любое время.

• Пользователи рабочей области получают доступ к рабочей области и доступ к Databricks SQL по умолчанию через членство в users группе. Все пользователи рабочей области и субъекты-службы автоматически добавляются в эту группу.

  Права по умолчанию в users группе влияют на назначение или ограничение прав. Чтобы обеспечить доступ к потребителю , необходимо удалить права по умолчанию из users группы (и account users группы, если применимо) и назначить права отдельным пользователям, субъектам-службам или группам. Для упрощения этого процесса можно использовать функцию Изменение доступа к рабочей области по умолчанию на доступ для потребителей. Эта функция использует клонирование групп для сохранения существующего доступа пользователей при изменении значения по умолчанию для новых пользователей. См. статью "Изменение доступа к рабочей области по умолчанию" для доступа потребителей.

Управление правами с помощью страницы параметров администратора рабочей области

Администраторы рабочей области могут управлять правами для пользователей, субъектов-служб и групп с помощью страницы параметров администратора рабочей области.

1. Войдите в рабочую область Azure Databricks как администратор рабочей области.
2. Щелкните имя пользователя в верхней строке и выберите "Параметры".
3. Перейдите на вкладку Идентификация и доступ.
4. В зависимости от того, чем вы хотите управлять, щелкните Управление рядом с пользователями, служебными принципалами или группами.
5. Выберите пользователя, субъекта-службы или группу, которую вы хотите обновить.
6. Для пользователей и групп щелкните вкладку "Права". Для субъектов-служб флажки прав отображаются напрямую.
7. Чтобы предоставить право, выберите переключатель рядом с правами.

Чтобы удалить право, отключите переключатель.

Если право наследуется от группы, переключатель появляется выбранным, но неактивен. Чтобы удалить унаследованное право, выполните указанные ниже действия.

• Удалите пользователя или учетную запись службы из группы с правами доступа либо
• Удалите полномочия самой группой.

Удаление права доступа группы влияет на всех членов этой группы, если они не получат это право доступа отдельно или через другую группу.

Управление правами с помощью API

Вы можете управлять правами для пользователей, субъектов-служб и групп с помощью следующих API:

• API пользователей рабочей области
• API принципалов служб рабочего пространства
• API групп рабочих областей

В таблице ниже перечислены все права и соответствующее имя API:

Например, чтобы назначить allow-instance-pool-create право группе с помощью API:

curl --netrc -X PATCH \
https://<databricks-instance>/api/2.0/preview/scim/v2/Groups/<group-id> \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "add",
      "path": "entitlements",
      "value": [
        {
          "value": "allow-instance-pool-create"
        }
      ]
    }
  ]
}