Sdílet prostřednictvím

Seznamy řízení přístupu

Tato stránka popisuje podrobnosti o oprávněních dostupných pro různé objekty pracovního prostoru.

Přehled seznamů řízení přístupu

V Azure Databricks můžete pomocí seznamů řízení přístupu (ACL) nakonfigurovat oprávnění pro přístup k objektům na úrovni pracovního prostoru. Správci pracovního prostoru mají oprávnění CAN MANAGE u všech objektů ve svém pracovním prostoru, což jim umožňuje spravovat oprávnění pro všechny objekty v jejich pracovním prostoru. Uživatelé mají automaticky oprávnění CAN MANAGE pro objekty, které vytvářejí.

Příklad, jak mapovat typické persony na oprávnění na úrovni pracovního prostoru, najdete v dokumentu Návrh Začínáme se skupinami a oprávněními v Databricks.

Správa seznamů řízení přístupu pomocí složek

Oprávnění k objektům pracovního prostoru můžete spravovat přidáním objektů do složek. Objekty ve složce dědí všechna nastavení oprávnění této složky. Například uživatel, který má oprávnění CAN RUN ve složce, má oprávnění CAN RUN pro výstrahy v této složce.

Pokud uživateli udělíte přístup k objektu uvnitř složky, může zobrazit název nadřazené složky, i když nemá oprávnění k nadřazené složce. Například poznámkový blok s názvem test1.py je ve složce s názvem Workflows. Pokud uživateli udělíte oprávnění ZOBRAZIT test1.py a bez udělení oprávnění k Workflows, uživatel uvidí, že název nadřazené složky je Workflows. Uživatel nemůže zobrazit ani získat přístup k žádným jiným objektům ve Workflows složce, pokud jim nebyla udělena oprávnění.

Další informace o uspořádání objektů do složek najdete v prohlížeči pracovního prostoru.

Upozornění seznamů ACL

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE BĚŽET MŮŽE SPRAVOVAT
Zobrazit v seznamu upozornění ✓ ✓
Zobrazení upozornění a výsledku ✓ ✓
Ruční aktivace spuštění upozornění ✓ ✓
Přihlásit se k odběru oznámení ✓ ✓
Upravit upozornění ✓
Upravit oprávnění ✓
Odstranit výstrahu ✓

Výpočet ACL

Important

U výpočetních prostředků, které používají starší režim přístupu Bez sdílené izolace, můžou uživatelé s oprávněními PŘIPOJIT K účtu služby zobrazit klíče účtu služby v souboru log4j. Při udělování tohoto oprávnění buďte opatrní. Podrobnosti o tomto režimu a o tom, jak ho omezit, najdete v tématu Co jsou sdílené clustery bez izolace?.

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE SE PŘIPOJIT K MŮŽE RESTARTOVAT MŮŽE SPRAVOVAT
Připojte notebook k výpočtům ✓ ✓ ✓
Zobrazit Spark UI ✓ ✓ ✓
Zobrazení výpočetních metrik ✓ ✓ ✓
Ukončit výpočet ✓ ✓
Spuštění a restartování výpočetních prostředků ✓ ✓
Zobrazení protokolů ovladačů – (viz poznámka)
Úprava výpočtu ✓
Připojení knihovny k výpočetním prostředkům ✓
Změna velikosti výpočtu ✓
Upravit oprávnění ✓

Note

Tajné kódy nejsou redactovány z protokolu stdoutstderr a streamů ovladačů Spark clusteru. Aby bylo možné chránit citlivá data, protokoly ovladačů Sparku se ve výchozím nastavení dají zobrazit jenom uživatelům s oprávněním CAN MANAGE pro úlohy, vyhrazený režim přístupu a clustery standardního režimu přístupu. Pokud chcete uživatelům s oprávněním MOHOU PŘIPOJIT nebo MOHOU RESTARTOVAT povolit zobrazení protokolů v těchto clusterech, nastavte v nastavení clusteru následující vlastnost konfigurace Sparku: spark.databricks.acl.needAdminPermissionToViewLogs false.

V clusterech s režimem sdíleného přístupu bez izolace můžou uživatelé zobrazit protokoly ovladačů Sparku, kteří můžou připojit, RESTARTOVAT nebo MOHOU SPRAVOVAT oprávnění. Chcete-li omezit, kdo může číst protokoly pouze uživatelům s oprávněním CAN MANAGE, nastavte spark.databricks.acl.needAdminPermissionToViewLogs na true.

Informace o přidání vlastností Sparku do konfigurace clusteru najdete v konfiguraci Sparku.

Řídicí panel ACL

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT NEBO SPUSTIT MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Zobrazení řídicího panelu, výsledků a datových sad ✓ ✓ ✓
Interagujte s widgety ✓ ✓ ✓
Aktualizace řídicího panelu ✓ ✓ ✓
Úprava řídicího panelu ✓ ✓
Klonování řídicího panelu ✓ ✓ ✓
Publikování snímku řídicího panelu ✓ ✓
Upravit oprávnění ✓
Smazat řídicí panel ✓

Zděděné ACL řídicího panelu

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE BĚŽET MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Zobrazit v seznamu řídicích panelů ✓ ✓ ✓ ✓
Zobrazení řídicího panelu a výsledků ✓ ✓ ✓ ✓
Aktualizace výsledků dotazu na řídicím panelu (nebo výběr různých parametrů) ✓ ✓ ✓
Úprava řídicího panelu ✓ ✓
Upravit oprávnění ✓
Smazat řídicí panel ✓

Úprava staršího řídicího panelu vyžaduje nastavení sdílení Spustit jako prohlížeč. Viz Chování aktualizace a kontext spuštění.

Seznamy ACL databázové instance

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE VYTVOŘIT MŮŽE POUŽÍT MŮŽE SPRAVOVAT
Získání instance databáze ✓ ✓ ✓
Výpis instancí databáze ✓ ✓ ✓
Vytvoření instance databáze ✓ ✓ ✓
Vytvoření synchronizované tabulky ✓ ✓
Vytvořit katalog databáze Unity ✓
Úprava rolí Postgres ✓
Odstranění instance databáze ✓
Upravit oprávnění ✓
Pozastavení instance databáze ✓
Obnovení instance databáze ✓

Note

  • Všichni uživatelé pracovního prostoru automaticky dědí oprávnění CAN CREATE. Toto oprávnění nelze přiřadit ani odebrat.
  • Při provádění operací, které pracují s katalogem Unity, musíte mít oprávnění k objektu Katalogu Unity:
    • Vytvoření katalogu databáze Unity Catalog: Vyžaduje CREATE CATALOG oprávnění pro metastore Unity Catalog.
    • Vytvoření synchronizované tabulky: Vyžaduje oprávnění katalogu Unity ke čtení zdrojové tabulky, zápisu do cílového schématu a zápisu do schématu úložiště kanálu.

Seznamy ACL deklarativních kanálů Sparku pro Lakeflow

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE BĚŽET MŮŽE SPRAVOVAT JE VLASTNÍKEM
Zobrazit podrobnosti potrubí a seznam potrubí ✓ ✓ ✓ ✓
Zobrazení protokolů uživatelského rozhraní Sparku a ovladačů ✓ ✓ ✓ ✓
Spuštění a zastavení aktualizace pipeline ✓ ✓ ✓
Přímo zastavit pipeline klastry ✓ ✓ ✓
Úprava nastavení kanálu ✓ ✓
Odstraňte potrubí ✓ ✓
Vymazat běhy a experimenty ✓ ✓
Upravit oprávnění ✓ ✓

Tabulky vlastností ACL

Tato tabulka popisuje, jak řídit přístup k tabulkám funkcí v pracovních prostorech, které nejsou povolené pro katalog Unity. Pokud je váš pracovní prostor povolený pro Unity Catalog, použijte místo toho privilegia katalogu Unity.

Note

Ability MŮŽE ZOBRAZIT METAÚDAJE MŮŽE UPRAVOVAT METADATA MŮŽE SPRAVOVAT
Přečtěte si tabulku funkcí ✓ ✓ ✓
Tabulka funkcí vyhledávání ✓ ✓ ✓
Publikování tabulky funkcí do online obchodu ✓ ✓ ✓
Zápis funkcí do tabulky funkcí ✓ ✓
Aktualizace popisu tabulky funkcí ✓ ✓
Upravit oprávnění ✓
Odstranit tabulku funkcí ✓

ACL souboru

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE BĚŽET MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Přečíst soubor ✓ ✓ ✓ ✓
Comment ✓ ✓ ✓ ✓
Připojení a odpojení souboru ✓ ✓ ✓
Interaktivní spuštění souboru ✓ ✓ ✓
Upravit soubor ✓ ✓
Upravit oprávnění ✓

Note

Uživatelské rozhraní pracovního prostoru odkazuje na přístup jen pro zobrazení jako CAN VIEW, zatímco rozhraní API oprávnění používá funkci CAN READ k reprezentaci stejné úrovně přístupu.

Seznamy ACL složek

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE UPRAVIT MŮŽE BĚŽET MŮŽE SPRAVOVAT
Výpis objektů ve složce ✓ ✓ ✓ ✓ ✓
Zobrazení objektů ve složce ✓ ✓ ✓ ✓
Klonování a export položek ✓ ✓ ✓
Spouštění objektů ve složce ✓ ✓
Vytváření, import a odstraňování položek ✓
Přesunutí a přejmenování položek ✓
Upravit oprávnění ✓

Note

Uživatelské rozhraní pracovního prostoru odkazuje na přístup jen pro zobrazení jako CAN VIEW, zatímco rozhraní API oprávnění používá funkci CAN READ k reprezentaci stejné úrovně přístupu.

Seznamy ACL prostoru Genie

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT NEBO SPUSTIT MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Zobrazit v seznamu míst Genie ✓ ✓ ✓
Ptejte se Genie na otázky ✓ ✓ ✓
Poskytnutí zpětné vazby k odpovědím ✓ ✓ ✓
Přidání nebo úprava pokynů pro Genie ✓ ✓
Přidání nebo úprava ukázkových otázek ✓ ✓
Přidání nebo odebrání zahrnutých tabulek ✓ ✓
Monitorování místa ✓
Upravit oprávnění ✓
Odstranit mezeru ✓
Zobrazení konverzací ostatních uživatelů ✓

ACL složky Git

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ČÍST MŮŽE BĚŽET MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Výpis souborů ve složce ✓ ✓ ✓ ✓ ✓
Zobrazit prostředky ve složce ✓ ✓ ✓ ✓
Klonování a export assetů ✓ ✓ ✓ ✓
Spusťte spustitelné soubory ve složce ✓ ✓ ✓
Úprava a přejmenování souborů ve složce ✓ ✓
Vytvoření větve ve složce ✓
Přepněte větve ve složce ✓
Stažení nebo odeslání větve do složky ✓
Vytvořit, importovat, odstranit a přesunout aktiva ✓
Upravit oprávnění ✓

Seznamy ACL úloh

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE ŘÍDIT PROCES JE VLASTNÍKEM MŮŽE SPRAVOVAT
Zobrazení podrobností a nastavení úlohy ✓ ✓ ✓ ✓
Zobrazení výsledků ✓ ✓ ✓ ✓
Zobrazení uživatelského rozhraní Sparku, protokolů spuštění úlohy ✓ ✓ ✓
Běž nyní ✓ ✓ ✓
Zrušit spuštění ✓ ✓ ✓
Úprava nastavení úlohy ✓ ✓
Smazat úlohu ✓ ✓
Upravit oprávnění ✓ ✓

Note

  • Tvůrce úlohy má ve výchozím nastavení oprávnění IS OWNER.
  • Pracovní úloha nemůže mít více než jednoho vlastníka.
  • Skupině nelze přiřadit oprávnění "Je vlastníkem" jako vlastníku.
  • Úlohy aktivované prostřednictvím spuštění nyní předpokládají oprávnění vlastníka úlohy, nikoli uživatele, který vydal spustit nyní.
  • Řízení přístupu k úlohám se vztahuje na úlohy zobrazené v uživatelském rozhraní úloh Lakeflow a jejich spuštění. Nevztahuje se na:

    • Pracovní postupy poznámkového bloku , které spouštějí modulární nebo propojený kód Používají oprávnění samotného poznámkového bloku. Pokud poznámkový blok pochází z Gitu, vytvoří se nová kopie a její soubory dědí oprávnění uživatele, který spuštění aktivoval.

    • Úlohy odeslané rozhraním API Použijí se výchozí oprávnění poznámkového bloku, pokud explicitně nenastavíte access_control_list v požadavku rozhraní API.

Seznamy ACL experimentu MLflow

Seznamy ACL experimentu MLflow se liší pro experimenty v poznámkových blocích a experimenty v pracovních prostorech. Experimenty s poznámkovými bloky nelze spravovat nezávisle na vytvořeném poznámkovém bloku, takže oprávnění jsou podobná oprávněním poznámkového bloku.

Další informace o dvou typech experimentů najdete v tématu Uspořádání trénovacích běhů pomocí experimentů MLflow.

ACL pro experimenty notebooků

Změna těchto oprávnění také upraví oprávnění v poznámkovém bloku, který odpovídá experimentu.

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ČÍST MŮŽE BĚŽET MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Zobrazení poznámkového bloku ✓ ✓ ✓ ✓
Komentář k poznámkovému bloku ✓ ✓ ✓ ✓
Připojit nebo odpojit poznámkový blok k/od počítače ✓ ✓ ✓
Spouštění příkazů v poznámkovém bloku ✓ ✓ ✓
Editovat poznámkový blok ✓ ✓
Upravit oprávnění ✓

Řízení přístupu pro experimenty v pracovním prostoru

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ČÍST MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Zobrazení experimentu ✓ ✓ ✓
Záznam běhů experimentu ✓ ✓
Úprava experimentu ✓ ✓
Odstranění experimentu ✓
Upravit oprávnění ✓

Seznamy ACL modelu MLflow

Tato tabulka popisuje, jak řídit přístup k registrovaným modelům v pracovních prostorech, které nejsou pro katalog Unity povolené. Pokud je váš pracovní prostor povolený pro Unity Catalog, použijte místo toho privilegia katalogu Unity.

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ČÍST MŮŽE UPRAVIT MŮŽE SPRAVOVAT TESTOVACÍ VERZE MŮŽE SPRAVOVAT PRODUKČNÍ VERZE MŮŽE SPRAVOVAT
Zobrazení podrobností o modelu, verzí, žádostí o přechod fáze, aktivit a identifikátorů URI pro stahování artefaktů ✓ ✓ ✓ ✓ ✓
Vyžádání přechodu fáze verze modelu ✓ ✓ ✓ ✓ ✓
Přidání verze do modelu ✓ ✓ ✓ ✓
Aktualizace modelu a popisu verze ✓ ✓ ✓ ✓
Přidání nebo úprava značek ✓ ✓ ✓ ✓
Verze modelu přechodu mezi fázemi ✓ ✓ ✓
Schválení žádosti o přechod ✓ ✓ ✓
Zrušení žádosti o přechod ✓
Přejmenování modelu ✓
Upravit oprávnění ✓
Smazat model a verze modelu ✓

ACL pro poznámkový blok

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE BĚŽET MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Zobrazení buněk ✓ ✓ ✓ ✓
Comment ✓ ✓ ✓ ✓
Spusťte pomocí pracovních postupů %run nebo poznámkových bloků ✓ ✓ ✓ ✓
Připojit a odpojit poznámkové bloky ✓ ✓ ✓
Spouštění příkazů ✓ ✓ ✓
Úprava buněk ✓ ✓
Upravit oprávnění ✓

Note

Uživatelské rozhraní pracovního prostoru odkazuje na přístup jen pro zobrazení jako CAN VIEW, zatímco rozhraní API oprávnění používá funkci CAN READ k reprezentaci stejné úrovně přístupu.

Seznamy ACL poolu

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE SE PŘIPOJIT K MŮŽE SPRAVOVAT
Připojte cluster k fondu ✓ ✓
Odstranit fond ✓
Upravit zásobník ✓
Upravit oprávnění ✓

ACL pro dotazy

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE BĚŽET MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Zobrazení vlastních dotazů ✓ ✓ ✓ ✓
Zobrazit v seznamu dotazů ✓ ✓ ✓ ✓
Zobrazení textu dotazu ✓ ✓ ✓ ✓
Zobrazit výsledky dotazu ✓ ✓ ✓ ✓
Aktualizovat výsledek dotazu (nebo zvolit jiné parametry) ✓ ✓ ✓
Zahrnutí dotazu do řídicího panelu ✓ ✓ ✓
Změna SQL Warehouse nebo zdroje dat ✓ ✓ ✓
Úprava textu dotazu ✓ ✓
Upravit oprávnění ✓
Odstranit dotaz ✓

Seznamy ACL dotazů starší verze editoru SQL

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE BĚŽET MŮŽE UPRAVIT MŮŽE SPRAVOVAT
Zobrazení vlastních dotazů ✓ ✓ ✓ ✓
Zobrazit v seznamu dotazů ✓ ✓ ✓ ✓
Zobrazení textu dotazu ✓ ✓ ✓ ✓
Zobrazit výsledky dotazu ✓ ✓ ✓ ✓
Aktualizovat výsledek dotazu (nebo zvolit jiné parametry) ✓ ✓ ✓
Zahrnutí dotazu do řídicího panelu ✓ ✓ ✓
Úprava textu dotazu ✓ ✓
Změna SQL Warehouse nebo zdroje dat ✓
Upravit oprávnění ✓
Odstranit dotaz ✓

Tajné seznamy přístupových práv (ACL)

Ability READ WRITE MANAGE
Čtení tajného rozsahu ✓ ✓ ✓
Výpis tajných kódů v oboru ✓ ✓ ✓
Zapsat do tajného rozsahu ✓ ✓
Upravit oprávnění ✓

Obsluha seznamů ACL koncového bodu

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE DOTAZOVAT MŮŽE SPRAVOVAT
Získání koncového bodu ✓ ✓ ✓
Seznam koncových bodů ✓ ✓ ✓
Koncový bod dotazu ✓ ✓
Aktualizace konfigurace koncového bodu ✓
Odstranění koncového bodu ✓
Upravit oprávnění ✓

Seznamy ACL služby SQL Warehouse

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE ZOBRAZIT MŮŽE MONITOROVAT MŮŽE POUŽÍT JE VLASTNÍKEM MŮŽE SPRAVOVAT
Spusťte sklad ✓ ✓ ✓ ✓
Zobrazení podrobností o skladu ✓ ✓ ✓ ✓ ✓
Zobrazení dotazů skladu ✓ ✓ ✓ ✓
Spouštění dotazů ✓ ✓ ✓ ✓
Zobrazení karty monitorování skladu ✓ ✓ ✓ ✓
Zastavení skladu ✓ ✓
Odstranění skladu ✓ ✓
Úprava skladu ✓ ✓
Upravit oprávnění ✓ ✓

ACL koncového bodu pro vektorové hledání

Ability ŽÁDNÁ OPRÁVNĚNÍ MŮŽE VYTVOŘIT MŮŽE POUŽÍT MŮŽE SPRAVOVAT
Získání koncového bodu ✓ ✓ ✓
Výpis koncových bodů ✓ ✓ ✓
Vytvoření koncového bodu ✓ ✓ ✓
Použití koncového bodu (vytvoření indexu) ✓ ✓
Odstranění koncového bodu ✓
Upravit oprávnění ✓
  • Last updated on