Osvědčené postupy pro identitu

Tato stránka poskytuje názorný pohled na to, jak nejlépe nakonfigurovat identitu v Azure Databricks. Obsahuje průvodce migrací na federaci identit, který umožňuje spravovat všechny uživatele, skupiny a instanční objekty v účtu Azure Databricks.

Přehled modelu identit Azure Databricks najdete v tématu Identity Azure Databricks.

Informace o tom, jak bezpečně přistupovat k rozhraním API Azure Databricks, najdete v tématu Správa oprávnění osobních přístupových tokenů.

Konfigurace uživatelů, instančních objektů a skupin

Existují tři typy identity Azure Databricks:

• Uživatelé: Identity uživatelů rozpoznané službou Azure Databricks a reprezentované e-mailovými adresami
• Služební principály: Identity pro použití s úlohami, automatizovanými nástroji a systémy, například skripty, aplikace nebo platformy CI/CD.
• Skupiny: Skupiny zjednodušují správu identit, což usnadňuje přiřazování přístupu k pracovním prostorům, datům a dalším zabezpečitelným objektům.

Databricks doporučuje vytvářet služební identity pro provoz produkčních úloh nebo úpravy produkčních dat. Pokud všechny procesy, které pracují s produkčními daty, běží pomocí služebních principálů, interaktivní uživatelé nepotřebují žádná oprávnění k zápisu, odstranění nebo úpravám v produkčním prostředí. Tím se eliminuje riziko náhodného přepsání produkčních dat uživatelem.

Osvědčeným postupem je přiřadit přístup k pracovním prostorům a zásadám řízení přístupu v katalogu Unity ke skupinám místo uživatelům jednotlivě. Všechny identity Azure Databricks je možné přiřadit jako členy skupin a členové dědí oprávnění přiřazená ke skupině.

Tady jsou role pro správu, které můžou spravovat identity Azure Databricks:

• Správci účtů můžou do účtu přidávat uživatele, instanční objekty a skupiny a přiřazovat jim role správce. Můžou uživatelům udělit přístup k pracovním prostorům, pokud tyto pracovní prostory používají federaci identit.
• Správci pracovního prostoru můžou do účtu Azure Databricks přidávat uživatele a servisní účty. Pokud jsou jejich pracovní prostory povolené pro federaci identit, můžou do účtu Azure Databricks také přidat skupiny. Správci pracovních prostorů můžou uživatelům, služebním účtům a skupinám udělit přístup do svých pracovních prostorů.
• Správci skupin můžou spravovat členství ve skupinách. Můžou také přiřadit další uživatele roli správce skupiny.
• Správci služebních principálů můžou spravovat role ve služebním principálu.

Databricks doporučuje, aby v každém pracovním prostoru byl omezený počet správců účtu a správců pracovních prostorů.

Automatická synchronizace uživatelů a skupin z Microsoft Entra ID

Do Azure Databricks můžete přidávat uživatele, instanční objekty a skupiny z Microsoft Entra ID bez konfigurace aplikace v Microsoft Entra ID pomocí automatické správy identit. Pokud je povolená automatická správa identit, můžete přímo vyhledávat v federovaných pracovních prostorech identit pro uživatele, instanční objekty a skupiny Microsoft Entra ID a přidávat je do vašeho pracovního prostoru. Databricks jako zdroj pravdy používá ID Microsoft Entra, takže všechny změny členství uživatelů nebo skupin se v Azure Databricks respektují. Automatická správa identit je ve výchozím nastavení povolená pro účty vytvořené po 1. srpnu 2025.

Uživatelé můžou také sdílet řídicí panely s libovolným uživatelem, instančním objektem nebo skupinou v Microsoft Entra ID. Při sdílení se tito uživatelé, zástupci služby a členové skupin při přihlášení automaticky přidají do účtu Azure Databricks.

Automatická správa identit se podporuje jenom v federovaných pracovních prostorech identit. Další informace o federaci identit najdete v tématu Automatická správa identit.

Povolení federace identit

Federace identit umožňuje konfigurovat uživatele, instanční objekty a skupiny v konzole účtu a pak těmto identitám přiřadit přístup ke konkrétním pracovním prostorům. To zjednodušuje správu Azure Databricks a zásady správného řízení dat.

Azure Databricks ve výchozím nastavení povolí federaci identit pro všechny nové pracovní prostory a nemůžete ji zakázat.

S federací identit nakonfigurujete uživatele Azure Databricks, instanční objekty a skupiny jednou v konzole účtu, a neopakujete konfiguraci samostatně v každém pracovním prostoru. Jakmile se do účtu přidají uživatelé, servisní identity a skupiny, můžete jim přiřadit oprávnění k pracovištím. Identitám na úrovni účtu můžete přiřadit přístup pouze k pracovním prostorům, které jsou povolené pro federaci identit.

Pokud chcete povolit pracovní prostor pro federaci identit, přečtěte si téma Federace identit. Po dokončení přiřazení se federace identit v konzole účtu označí jako Povolená na kartě Konfigurace pracovního prostoru.

Federace identit je povolena na úrovni pracovního prostoru a můžete mít kombinaci federovaných a nefederovaných pracovních prostorů. U pracovních prostorů, které nejsou povolené pro federaci identit, správci pracovního prostoru spravují své uživatele pracovního prostoru, instanční objekty a skupiny zcela v rámci oboru pracovního prostoru (starší verze modelu). Nemůžou k přiřazení uživatelů z tohoto účtu k těmto pracovním prostorům použít konzolu účtu ani rozhraní API na úrovni účtu, ale můžou používat jakékoli rozhraní na úrovni pracovního prostoru. Při každém přidání nového uživatele nebo instančního objektu do pracovního prostoru pomocí rozhraní na úrovni pracovního prostoru se tento uživatel nebo instanční objekt synchronizuje s úrovní účtu. To vám umožní mít v účtu jednotnou sadu uživatelů a principálů služeb.

Pokud se ale skupina přidá do federovaného pracovního prostoru bez identity pomocí rozhraní na úrovni pracovního prostoru, tato skupina je místní skupinou pracovního prostoru a nepřidá se do účtu. Měli byste se zaměřit na použití skupin účtů místo místních skupin pracovního prostoru. Místním skupinám v pracovním prostoru nelze udělit zásady řízení přístupu v katalogu Unity ani oprávnění přístupu k jiným pracovním prostorům.

Upgrade na federaci identit

Pokud povolujete federaci identit v existujícím pracovním prostoru, postupujte takto:

1. Migrace zřizování SCIM na úrovni pracovního prostoru na úroveň účtu

   Pokud máte nastavené zřizování SCIM na úrovni pracovního prostoru, měli byste nastavit zřizování SCIM na úrovni účtu a vypnout zřizovací nástroj SCIM na úrovni pracovního prostoru. SCIM na úrovni pracovního prostoru bude nadále vytvářet a aktualizovat místní skupiny pracovního prostoru. Databricks doporučuje místo místních skupin pracovních prostorů používat skupiny účtů, abyste mohli využívat centralizované přiřazení pracovního prostoru a správu přístupu k datům pomocí katalogu Unity. SCIM na úrovni pracovního prostoru také nerozpozná skupiny účtů, které jsou přiřazené k vašemu pracovnímu prostoru federované identitě, a volání rozhraní API SCIM na úrovni pracovního prostoru selžou, pokud zahrnují skupiny účtů. Další informace o zákazu SCIM na úrovni pracovního prostoru najdete v tématu Migrace zřizování SCIM na úrovni pracovního prostoru na úroveň účtu.

2. Převod lokálních skupin pracovního prostředí na skupiny účtů

   Databricks doporučuje převést existující místní skupiny pracovního prostoru na skupiny účtů. Pokyny najdete v tématu Migrace místních skupin pracovního prostoru do skupin účtů .

Přiřaďte skupinám oprávnění k pracovnímu prostoru

Teď, když je ve vašem pracovním prostoru povolena federace identit, můžete přiřadit uživatelům, služebním principálům a skupinám ve vašem účtu oprávnění v tomto pracovním prostoru. Databricks doporučuje přiřazovat oprávnění k pracovním prostorům skupinám namísto jednotlivců. Všechny identity Azure Databricks je možné přiřadit jako členy skupin a členové dědí oprávnění přiřazená ke skupině.

Note

V nadcházející verzi má členství ve skupině účtů vliv také na oprávnění objektu pracovního prostoru. Členové dědí oprávnění k objektům pracovního prostoru, jako jsou úlohy, poznámkové bloky a složky, ze všech skupin účtů, kterých jsou členy, bez ohledu na to, jestli jsou tyto skupiny přiřazeny k pracovnímu prostoru. Pomocí sešitu pro analýzu osamocených oprávnění si zkontrolujte udělení oprávnění ve svých pracovních prostorech. Viz Oprávnění objektu pracovního prostoru budou brzy zděděna ze všech skupin účtů.

Další informace

• Další informace o modelu identit Azure Databricks vám pomůžou spravovat uživatele, instanční objekty a skupiny.
• Synchronizujte uživatele a skupiny z Microsoft Entra ID pomocí SCIM a začněte se zřizováním pomocí SCIM.
• Osvědčené postupy katalogu Unity, zjistěte, jak nejlépe nakonfigurovat katalog Unity.