App Spaces

Important

Dieses Feature befindet sich in der Betaversion. Um dies zu nutzen, muss ein Workspace-Administrator auf der Seite Previews die Funktion Governte agentische App-Erstellung aktivieren. Siehe Manage Azure Databricks Previews.

Ein App Space ist eine Governance-Grenze, in der Administratoren definieren, wer Apps erstellen und nutzen darf, welche Berechtigungen diese Apps haben und welche Ausgabenrichtlinien für sie gelten.

Anstatt dass Entwickler Ressourcen definieren und Berechtigungen für jede App festlegen, ermöglicht ein App Space Administratoren, Berechtigungen für Gruppen von App-Entwicklern zu konfigurieren.

App-Entwickler verwenden Genie App Builder , um Apps in einem App Space zu erstellen.

Warum App Spaces verwenden

Da Coding-Agenten das Erstellen von Apps erleichtern, entwickeln immer mehr Menschen in einer Organisation diese. App Spaces ermöglichen es Unternehmen und anderen nicht-technischen Nutzern, Apps zu erstellen, die auf Daten zugreifen, ohne das Governance-Modell Ihrer Organisation zu brechen. Ein Administrator definiert die Leitplanken (Identitäten, Umfang und Ressourcen) einmal für eine Gruppe von Buildern, und jede in diesem Bereich erstellte App erbt sie.

Erstellen Sie einen App-Bereich

Man muss ein Workspace-Administrator sein, um einen App Space zu erstellen. Sie können eines auf eine der folgenden Arten erstellen:

• In der Databricks Apps UI klicken Sie auf App Spaces und dann + Neuer Space.
• Verwenden Sie die Azure Databricks REST API oder den Terraform-Provider.

Note

Du kannst den Namen eines App Space nicht ändern, nachdem du ihn erstellt hast.

Konfigurieren Sie einen App-Speicher

Als Workspace-Administrator können Sie Folgendes konfigurieren:

• Benutzerautorisierung: Was Apps im Namen der Nutzer tun können.
• Serverlose Nutzungsrichtlinie: Die serverlose Nutzungsrichtlinie für Anwendungen im jeweiligen Bereich.
• Berechtigungen: Wer kann Apps in diesem Bereich erstellen.

Benutzerautorisierung

Die Benutzerautorisierung, manchmal auch als on-behalf-of-user (OBO)-Autorisierung bezeichnet, ermöglicht es einer Databricks-App, im Namen des angemeldeten Benutzers zu handeln. Die App kann nur auf Daten und Ressourcen zugreifen, auf die der Nutzer bereits Zugriff hat, innerhalb der von dir erlaubten Bereiche. Siehe Konfigurieren der Autorisierung in einer Databricks-App.

Ein App Space ermöglicht es Administratoren, die Rollen und Aufgabenbereiche einzuschränken, die mit Benutzerautorisierung genutzt werden können. Verwenden Sie die Benutzerautorisierung, wenn der Zugriff den bestehenden Azure Databricks-Berechtigungen jedes Benutzers folgen sollte, beispielsweise für Unity-Katalog-Tabellen, Genie-Spaces und Agenten oder Dashboards.

Rollenbasierte Zugriffskontrolle

Nutzen Sie rollenbasierte Zugriffskontrolle (RBAC), um App-Berechtigungen und -freigabe zu begrenzen. Du kannst es den Nutzern erlauben, eine Rolle beim Anmelden in einer App auszuwählen oder verlangen, dass Nutzer eine bestimmte Rolle übernehmen, um Apps in diesem Bereich zu nutzen.

In Azure Databricks wird eine Rolle als Gruppe implementiert. Gruppenmitglieder können die Rolle automatisch übernehmen. Andere Nutzer benötigen die Assume-Berechtigung. Siehe Rollenbasierte Zugriffssteuerung (RBAC).

Setting	Wer Apps nutzen kann	Benutzerautorisierungsberechtigungen
Jede Rolle	Jeder, mit dem der Entwickler seine App teilt	Die vom Nutzer gewählte Rolle beim Anmelden in der App
Nur die ausgewählte Rolle	Nutzer, die die ausgewählte Rolle übernehmen können (sofern die App mit ihnen geteilt wurde)	Nur die ausgewählte Rolle

Beispiel:

• Ein App Space verwendet nur die ausgewählte Rolle mit der Gruppe emea-sales.
• Jane Doe ist Mitglied von emea-sales.
• Der App-Entwickler teilt seine App mit Jane Doe.
• Jane muss die emea-sales Rolle übernehmen, um sich in der App anzumelden.
• Mit Autorisierung durch den Benutzer hat die App nur Zugriff auf das, worauf emea-sales zugreifen kann (innerhalb der zulässigen Berechtigungsbereiche), selbst wenn Jane Doe über zusätzliche Zugriffsrechte und Berechtigungen verfügt.

Note

• Um nur die ausgewählte Rolle zu verwenden, aktivieren Sie RBAC auf Konto- und Arbeitsbereichsebene.
• Nur Kontogruppen können mit Rollenbeschränkungen verwendet werden.
• Entwickler haben weiterhin die Kontrolle über das Teilen ihrer Apps, selbst wenn eine Rolle gewählt wird.
• Die Zuweisung einer Rolle an einen App Space gewährt den Nutzern keine neuen Berechtigungen. Nutzer müssen lediglich Zugriff auf diese Rolle haben, um die App zu nutzen, selbst wenn ein Entwickler ihre App mit dem Nutzer geteilt hat.

Geltungsbereiche

Apps, die die Benutzerautorisierung verwenden, müssen bestimmte Autorisierungsbereiche deklarieren, um zu begrenzen, was die App im Namen des Benutzers tun kann. Siehe Konfigurieren der Autorisierung in einer Databricks-App.

In einem App Space legst du die Berechtigungsumfänge fest, die jede App anfordert.

Standardmäßig verwendet ein neuer App Space das Data + AI-Preset , das die folgenden 11 Scopes ermöglicht:

• sql:restricted-query
• genie
• catalog.catalogs:read
• catalog.schemas:read
• catalog.tables:read
• files
• model-serving
• ai-functions
• ai-gateway
• mcp.external
• mcp.functions

Du kannst die ausgewählten Scopes anzeigen oder bearbeiten, wenn du einen App Space erstellst oder konfigurierst.

Serverlose Nutzungsrichtlinie

Apps in einem Space laufen unter einer serverlosen Nutzungsrichtlinie. Siehe Kostenmanagement-Tools auf Azure Databricks.

Erlaubnisse

Die folgenden Berechtigungen steuern, wer in einem App Space arbeiten darf:

Erlaubnis	Gewährt die Möglichkeit für Folgendes
CAN CREATE APP	Entwickeln Sie Apps in diesem Bereich
CAN MANAGE	Ändern Sie die Einstellungen des Raums
CAN READ	Bereich anzeigen, aber keine Apps darin erstellen (oder sie dort unbedingt verwenden)

Beispielanwendungen

Du kannst einen App Space entsprechend gestalten, wie eine Gruppe funktioniert:

Type	Beschreibung
Öffentliche Apps	Apps können mit jedem im Arbeitsbereich geteilt werden. Man kann nur auf die Daten und Ressourcen zugreifen, die jedem Workspace-Nutzer zur Verfügung stehen.
Team-Apps	Apps, die von einem bestimmten Team erstellt wurden und mit seiner bestehenden Rolle, Infrastruktur, Daten und Berechtigungen abgestimmt sind.
Projektanwendungen	Apps, die mit einem definierten Projekt oder Engagement verknüpft sind und deren bereitgestellte Tabellen, Warehouses, Pipelines und Zugriffsgrenzen teilen.

Zusätzliche Ressourcen

• Genie App Builder
• Konfigurieren der Autorisierung in einer Databricks-App