Freigeben über

Zugriffssteuerungslisten

Auf dieser Seite werden Details zu den Berechtigungen beschrieben, die für die verschiedenen Arbeitsbereichsobjekte verfügbar sind.

Übersicht über Zugriffssteuerungslisten

In Azure Databricks können Sie Zugriffssteuerungslisten (Access Control Lists, ACLs) verwenden, um die Berechtigung für den Zugriff auf Objekte auf der Arbeitsbereichsebene zu konfigurieren. Arbeitsbereichsadministratoren verfügen über die Verwaltungsberechtigung für alle Objekte in ihrem Arbeitsbereich und können somit Berechtigungen für alle Objekte in ihren Arbeitsbereichen verwalten. Benutzer verfügen für von ihnen erstellte Objekte automatisch über die Verwaltungsberechtigung.

Ein Beispiel für die Zuordnung typischer Personas zu Berechtigungen auf Arbeitsbereichsebene finden Sie unter Vorschlag für die ersten Schritte mit Databricks-Gruppen und -Berechtigungen.

Verwalten von Zugriffssteuerungslisten mit Ordnern

Sie können Arbeitsbereichsobjektberechtigungen verwalten, indem Sie Objekte Ordnern hinzufügen. Objekte in einem Ordner erben alle Berechtigungseinstellungen dieses Ordners. So verfügen beispielsweise Benutzer mit Ausführungsberechtigung für einen Ordner auch über die Ausführungsberechtigung für die Warnungen in diesem Ordner.

Wenn Sie einem Benutzer Zugriff auf ein Objekt innerhalb des Ordners gewähren, kann er den Namen des übergeordneten Ordners anzeigen, auch wenn er nicht über Berechtigungen für den übergeordneten Ordner verfügt. Beispielsweise befindet sich ein Notebook mit dem Namen test1.py in einem Ordner mit dem Namen Workflows. Wenn Sie einem Benutzer die CAN VIEW-Berechtigung für test1.py und keine Berechtigungen für Workflows erteilen, kann der Benutzer sehen, dass der übergeordnete Ordner mit dem Namen Workflows benannt ist. Der Benutzer kann keine anderen Objekte im Ordner Workflows anzeigen oder darauf zugreifen, es sei denn, ihm wurden Berechtigungen erteilt.

Informationen zur Strukturierung von Objekten in Ordnern finden Sie unter Arbeitsbereichsbrowser.

Zugriffssteuerungslisten für Warnungen

Qualifikationen KEINE BERECHTIGUNGEN KANN LAUFEN KANN VERWALTEN
In Warnungsliste anzeigen ✓ ✓
Warnung und Ergebnis anzeigen ✓ ✓
Warnungsausführung manuell auslösen ✓ ✓
Abonnieren von Benachrichtigungen ✓ ✓
Warnung bearbeiten ✓
Berechtigungen ändern ✓
Warnung löschen ✓

Zugriffssteuerungslisten für Computeressourcen

Wichtig

Bei Rechenressourcen, die den Legacy-Zugriffsmodus Keine Isolierung freigegeben verwenden, können Benutzer mit CAN ATTACH TO-Berechtigungen die Dienstkontoschlüssel in der Log4j-Datei anzeigen. Achten Sie beim Erteilen dieser Berechtigung auf Vorsicht. Weitere Details zu diesem Modus und wie Sie ihn einschränken können, finden Sie unter Was sind No-Isolation Shared Clusters?.

Qualifikationen KEINE BERECHTIGUNGEN KANN ANFÜGEN AN KANN NEU STARTEN KANN VERWALTEN
Anfügen eines Notebooks an einen Compute ✓ ✓ ✓
Anzeigen der Spark-Benutzeroberfläche ✓ ✓ ✓
Compute-Metriken anzeigen ✓ ✓ ✓
Berechnung beenden ✓ ✓
Compute starten und neu starten ✓ ✓
Anzeigen von Treiberprotokollen (*) (siehe Hinweis)
Compute bearbeiten ✓
Anfügen einer Bibliothek an das Cluster ✓
Größe des Computes ändern ✓
Berechtigungen ändern ✓

Hinweis

Geheimnisse werden nicht aus dem Spark-Treiberprotokoll stdout und stderr-Streams eines Clusters entfernt. Um vertrauliche Daten zu schützen, sind Spark-Treiberprotokolle standardmäßig nur für Benutzende mit der Berechtigung KANN VERWALTEN für Aufträge, dedizierten Zugriffsmodus und Standard-Zugriffsmodus-Cluster sichtbar. Um Benutzenden mit Berechtigung KANN ANFÜGEN AN oder KANN NEU STARTEN das Anzeigen der Protokolle in diesen Clustern zu ermöglichen, legen Sie die folgende Spark-Konfigurationseigenschaft in der Clusterkonfiguration fest: spark.databricks.acl.needAdminPermissionToViewLogs false.

Auf Clustern des Freigegebenen Isolationsmodus können die Spark-Treiberprotokolle von Benutzern mit DER BERECHTIGUNG CAN ATTACH TO, CAN RESTART oder CAN MANAGE angezeigt werden. Um die Benutzer, welche die Protokolle lesen können, auf Benutzer mit der Berechtigung KANN VERWALTEN zu beschränken, setzen Sie spark.databricks.acl.needAdminPermissionToViewLogs auf true.

Informationen zum Hinzufügen von Spark-Eigenschaften zu einer Clusterkonfiguration finden Sie unter Spark-Konfiguration.

Dashboard-ACLs

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN/KANN AUSFÜHREN KANN BEARBEITEN KANN VERWALTEN
Dashboard, Ergebnisse und Datasets anzeigen ✓ ✓ ✓
Interagieren mit Widgets ✓ ✓ ✓
Aktualisieren des Dashboards ✓ ✓ ✓
Bearbeiten des Dashboards ✓ ✓
Klonen des Dashboards ✓ ✓ ✓
Dashboard-Schnappschuss veröffentlichen ✓ ✓
Berechtigungen ändern ✓
Dashboard löschen ✓

Zugriffssteuerungslisten für Legacy-Dashboards

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN LAUFEN KANN BEARBEITEN KANN VERWALTEN
Dashboardliste anzeigen ✓ ✓ ✓ ✓
Dashboard und Ergebnisse anzeigen ✓ ✓ ✓ ✓
Abfrageergebnisse im Dashboard aktualisieren (oder andere Parameter auswählen) ✓ ✓ ✓
Bearbeiten des Dashboards ✓ ✓
Berechtigungen ändern ✓
Dashboard löschen ✓

Für die Bearbeitung eines Legacy-Dashboards ist die Freigabeeinstellung Als Viewer ausführen erforderlich. Weitere Informationen finden Sie unter Aktualisierungsverhalten und Ausführungskontext.

AcLs für Datenbankinstanzen

Qualifikationen KEINE BERECHTIGUNGEN KANN ERSTELLEN KANN VERWENDEN KANN VERWALTEN
Abrufen der Datenbankinstanz ✓ ✓ ✓
Datenbankinstanzen auflisten ✓ ✓ ✓
Datenbankinstanz erstellen ✓ ✓ ✓
Synchronisierungstabelle erstellen ✓ ✓
Erstellen des Unity-Katalogdatenbankkatalogs ✓
Ändern von Postgres-Rollen ✓
Datenbankinstanz löschen ✓
Berechtigungen ändern ✓
Datenbankinstanz anhalten ✓
Datenbankinstanz wiederaufnehmen ✓

Hinweis

  • Alle Arbeitsbereichsbenutzer erben automatisch DIE BERECHTIGUNG CAN CREATE. Diese Berechtigung kann nicht zugewiesen oder entfernt werden.
  • Beim Ausführen von Vorgängen, die mit dem Unity-Katalog interagieren, benötigen Sie Berechtigungen für das Unity Catalog-Objekt:
    • Erstellen Sie den Unity-Katalogdatenbankkatalog: Erfordert die Berechtigung für den CREATE CATALOG Unity-Katalog-Metastore.
    • Erstellen einer synchronisierten Tabelle: Erfordert Unity-Katalogberechtigungen, um die Quelltabelle zu lesen, in das Zielschema zu schreiben und in das Pipelinespeicherschema zu schreiben.

Lakeflow Spark deklarative Pipelines-ACLs

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN LAUFEN KANN VERWALTEN IST IM BESITZ
Anzeigen von Pipelinedetails und Auflisten von Pipelines ✓ ✓ ✓ ✓
Anzeigen der Spark-Benutzeroberfläche und der Treiberprotokolle ✓ ✓ ✓ ✓
Starten und Beenden einer Pipelineaktualisierung ✓ ✓ ✓
Direktes Beenden von Pipelineclustern ✓ ✓ ✓
Bearbeiten der Pipelineeinstellungen ✓ ✓
Löschen der Pipeline ✓ ✓
Bereinigen von Ausführungen und Experimenten ✓ ✓
Berechtigungen ändern ✓ ✓

Zugriffssteuerungslisten für Featuretabellen

In dieser Tabelle wird beschrieben, wie Sie den Zugriff auf Featuretabellen in Arbeitsbereichen steuern, die für Unity Catalog nicht aktiviert sind. Wenn Ihr Arbeitsbereich für Unity Catalog aktiviert ist, verwenden Sie stattdessen Unity Catalog-Berechtigungen.

Hinweis

Qualifikationen KANN METADATEN ANZEIGEN KANN METADATEN BEARBEITEN KANN VERWALTEN
Lesen Sie die Funktionsübersicht ✓ ✓ ✓
Featuretabelle durchsuchen ✓ ✓ ✓
Featuretabelle im in Online-Store veröffentlichen ✓ ✓ ✓
Features in die Featuretabelle schreiben ✓ ✓
Beschreibung der Featuretabelle aktualisieren ✓ ✓
Berechtigungen ändern ✓
Funktionstabelle löschen ✓

Zugriffssteuerungslisten für Dateien

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN LAUFEN KANN BEARBEITEN KANN VERWALTEN
Datei lesen ✓ ✓ ✓ ✓
Kommentar ✓ ✓ ✓ ✓
Anfügen und Trennen von Dateien ✓ ✓ ✓
Interaktives Ausführen von Dateien ✓ ✓ ✓
Datei bearbeiten ✓ ✓
Berechtigungen ändern ✓

Hinweis

Die Arbeitsbereich-Benutzeroberfläche bezeichnet den Nur-Ansicht-Zugriff als CAN VIEW, während die Berechtigungs-API CAN READ verwendet, um dieselbe Zugriffsebene darzustellen.

Zugriffssteuerungslisten für Ordner

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN BEARBEITEN KANN LAUFEN KANN VERWALTEN
Auflisten von Objekten im Ordner ✓ ✓ ✓ ✓ ✓
Anzeigen von Objekten im Ordner ✓ ✓ ✓ ✓
Klonen und Exportieren von Elementen ✓ ✓ ✓
Ausführen von Objekten im Ordner ✓ ✓
Erstellen, Importieren und Löschen von Elementen ✓
Verschieben und Umbenennen von Elementen ✓
Berechtigungen ändern ✓

Hinweis

Die Arbeitsbereich-Benutzeroberfläche bezeichnet den Nur-Ansicht-Zugriff als CAN VIEW, während die Berechtigungs-API CAN READ verwendet, um dieselbe Zugriffsebene darzustellen.

Zugriffssteuerungslisten für Genie-Räume

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN/KANN AUSFÜHREN KANN BEARBEITEN KANN VERWALTEN
Siehe in der Genie-Raumliste ✓ ✓ ✓
Fragen stellen an Genie ✓ ✓ ✓
Bereitstellen von Feedback zu Antworten ✓ ✓ ✓
Hinzufügen oder Bearbeiten von Genie-Anweisungen ✓ ✓
Hinzufügen oder Bearbeiten von Beispielfragen ✓ ✓
Hinzufügen oder Entfernen von eingeschlossenen Tabellen ✓ ✓
Überwachen eines Raums ✓
Berechtigungen ändern ✓
Löschen eines Raums ✓
Ansehen der Unterhaltungen anderer Benutzer ✓

Zugriffssteuerungslisten für Git-Ordner

Qualifikationen KEINE BERECHTIGUNGEN KANN LESEN KANN LAUFEN KANN BEARBEITEN KANN VERWALTEN
Auflisten von Ressourcen in einem Ordner ✓ ✓ ✓ ✓ ✓
Anzeigen von Objekten in einem Ordner ✓ ✓ ✓ ✓
Klonen und Exportieren von Ressourcen ✓ ✓ ✓ ✓
Ausführen ausführbarer Objekte im Ordner ✓ ✓ ✓
Bearbeiten und Umbenennen von Ressourcen in einem Ordner ✓ ✓
Erstellen einer Verzweigung in einem Ordner ✓
Wechseln von Branches in einem Ordner ✓
Pullen oder Pushen eines Branchs aus einem oder in einen Ordner ✓
Erstellen, Importieren, Löschen und Verschieben von Ressourcen ✓
Berechtigungen ändern ✓

Zugriffssteuerungslisten für Aufträge

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN AUSFÜHRUNG VERWALTEN IST IM BESITZ KANN VERWALTEN
Auftragsdetails und -einstellungen anzeigen ✓ ✓ ✓ ✓
Anzeigen der Ergebnisse ✓ ✓ ✓ ✓
Spark UI anzeigen, Protokolle eines ausgeführten Auftrags anzeigen ✓ ✓ ✓
Jetzt ausführen ✓ ✓ ✓
Abbrechen einer Ausführung ✓ ✓ ✓
Auftragseinstellungen bearbeiten ✓ ✓
Auftrag löschen ✓ ✓
Berechtigungen ändern ✓ ✓

Hinweis

  • Der Ersteller eines Einzelvorgangs hat standardmäßig das Recht IS OWNER.

  • Ein Auftrag darf nicht mehr als einen Besitzer haben.

  • Einer Gruppe kann das Recht „Is Owner“ nicht als Besitzer zugewiesen werden.

  • Aufträge, die über "Jetzt ausführen" ausgelöst werden, übernehmen die Berechtigungen des Auftragsbesitzers und nicht des Benutzers, der "Jetzt ausführen" ausgestellt hat.

  • Die Zugriffskontrolle für Einzelvorgänge gilt für Einzelvorgänge, die in der Benutzeroberfläche von Lakeflow Jobs angezeigt werden, sowie für deren Ausführungen. Sie gilt nicht für:

    • Notebook-Workflows, die modularen oder verknüpften Code ausführen. Diese verwenden die Berechtigungen des Notebooks selbst. Wenn das Notizbuch von Git stammt, wird eine neue Kopie erstellt, und die zugehörigen Dateien erben die Berechtigungen des Benutzers, der die Ausführung ausgelöst hat.

    • Von der API übermittelte Aufträge. Sie verwenden die Standardberechtigungen des Notebooks, es sei denn, Sie aktivieren explizit die access_control_list in der API-Anforderung.

Zugriffssteuerungslisten für MLflow-Experimente

MLflow Experiment ACLs unterscheiden sich für Notizbuchexperimente und Arbeitsbereichsexperimente. Notizbuchexperimente können nicht unabhängig vom Notizbuch verwaltet werden, das sie erstellt hat, sodass die Berechtigungen den Notizbuchberechtigungen ähneln.

Weitere Informationen zu den beiden Arten von Experimenten finden Sie unter Organisieren von Trainingsläufen mit MLflow-Experimenten.

Zugriffssteuerungslisten für Notebookexperimente

Durch das Ändern dieser Berechtigungen werden auch die Berechtigungen für das Notizbuch geändert, das dem Experiment entspricht.

Qualifikationen KEINE BERECHTIGUNGEN KANN LESEN KANN LAUFEN KANN BEARBEITEN KANN VERWALTEN
Notizbuch anzeigen ✓ ✓ ✓ ✓
Kommentar zu Notebooks ✓ ✓ ✓ ✓
Anfügen/Trennen eines Notizbuchs an das Rechensystem ✓ ✓ ✓
Ausführen von Befehlen im Notizbuch ✓ ✓ ✓
Notizbuch bearbeiten ✓ ✓
Berechtigungen ändern ✓

Zugriffssteuerungslisten für Arbeitsbereichsexperimente

Qualifikationen KEINE BERECHTIGUNGEN KANN LESEN KANN BEARBEITEN KANN VERWALTEN
Anzeigen des Experiments ✓ ✓ ✓
Protokollläufe für das Experiment ✓ ✓
Bearbeiten des Experiments ✓ ✓
Löschen des Experiments ✓
Berechtigungen ändern ✓

Zugriffssteuerungslisten für MLflow-Modelle

In dieser Tabelle wird beschrieben, wie Sie den Zugriff auf registrierte Modelle in Arbeitsbereichen steuern, die für Unity Catalog nicht aktiviert sind. Wenn Ihr Arbeitsbereich für Unity Catalog aktiviert ist, verwenden Sie stattdessen Unity Catalog-Berechtigungen.

Qualifikationen KEINE BERECHTIGUNGEN KANN LESEN KANN BEARBEITEN KANN STAGINGVERSIONEN VERWALTEN KANN PRODUKTIONSVERSIONEN VERWALTEN KANN VERWALTEN
Anzeigen von Modelldetails, Versionen, Phasenübergangsanforderungen, Aktivitäten und Artefaktdownload-URIs ✓ ✓ ✓ ✓ ✓
Anfordern eines Phasenübergangs für die Modellversion ✓ ✓ ✓ ✓ ✓
Hinzufügen einer Version zu einem Modell ✓ ✓ ✓ ✓
Aktualisieren der Modell- und Versionsbeschreibung ✓ ✓ ✓ ✓
Hinzufügen oder Bearbeiten von Tags ✓ ✓ ✓ ✓
Ändern der Modellversion zwischen Phasen ✓ ✓ ✓
Genehmigen einer Übergangsanforderung ✓ ✓ ✓
Abbrechen einer Übergangsanforderung ✓
Umbenennen des Modells ✓
Berechtigungen ändern ✓
Löschen von Modellen und Modellversionen ✓

Zugriffssteuerungslisten für Notebooks

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN LAUFEN KANN BEARBEITEN KANN VERWALTEN
Zellen anzeigen ✓ ✓ ✓ ✓
Kommentar ✓ ✓ ✓ ✓
Ausführen mit %run- oder Notebookworkflows ✓ ✓ ✓ ✓
Anfügen und Trennen von Notebooks ✓ ✓ ✓
Ausführung von Befehlen ✓ ✓ ✓
Bearbeiten von Zellen ✓ ✓
Berechtigungen ändern ✓

Hinweis

Die Arbeitsbereich-Benutzeroberfläche bezeichnet den Nur-Ansicht-Zugriff als CAN VIEW, während die Berechtigungs-API CAN READ verwendet, um dieselbe Zugriffsebene darzustellen.

Zugriffssteuerungslisten für Pools

Qualifikationen KEINE BERECHTIGUNGEN KANN ANFÜGEN AN KANN VERWALTEN
Cluster an den Pool hinzufügen ✓ ✓
Pool löschen ✓
Bearbeiten des Pools ✓
Berechtigungen ändern ✓

Zugriffssteuerungslisten für Abfragen

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN LAUFEN KANN BEARBEITEN KANN VERWALTEN
Eigene Abfragen anzeigen ✓ ✓ ✓ ✓
In Abfrageliste einsehen ✓ ✓ ✓ ✓
Abfragetext anzeigen ✓ ✓ ✓ ✓
Abfrageergebnisse anzeigen ✓ ✓ ✓ ✓
Abfrageergebnis aktualisieren (oder andere Parameter auswählen) ✓ ✓ ✓
Die Abfrage in ein Dashboard einbeziehen ✓ ✓ ✓
SQL-Warehouse oder Datenquelle ändern ✓ ✓ ✓
Abfragetext bearbeiten ✓ ✓
Berechtigungen ändern ✓
Abfrage löschen ✓

Legacy-SQL-Editor-Abfrage-ACLs

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN LAUFEN KANN BEARBEITEN KANN VERWALTEN
Eigene Abfragen anzeigen ✓ ✓ ✓ ✓
In Abfrageliste einsehen ✓ ✓ ✓ ✓
Abfragetext anzeigen ✓ ✓ ✓ ✓
Abfrageergebnisse anzeigen ✓ ✓ ✓ ✓
Abfrageergebnis aktualisieren (oder andere Parameter auswählen) ✓ ✓ ✓
Die Abfrage in ein Dashboard einbeziehen ✓ ✓ ✓
Abfragetext bearbeiten ✓ ✓
SQL-Warehouse oder Datenquelle ändern ✓
Berechtigungen ändern ✓
Abfrage löschen ✓

Zugriffssteuerungslisten für Geheimnisse

Qualifikationen LESEN SCHREIBEN VERWALTEN
Lesen des Geheimnisbereichs ✓ ✓ ✓
Auflisten der Geheimnisse im Bereich ✓ ✓ ✓
Schreiben in den Geheimnisbereich ✓ ✓
Berechtigungen ändern ✓

Zugriffssteuerungslisten für Bereitstellungsendpunkte

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN ABFRAGEN KANN VERWALTEN
Endpunkt abrufen ✓ ✓ ✓
Endpunkt auflisten ✓ ✓ ✓
Abfrageendpunkt ✓ ✓
Aktualisieren der Endpunktkonfiguration ✓
Löschen eines Endpunkts ✓
Berechtigungen ändern ✓

Zugriffssteuerungslisten für SQL-Warehouses

Qualifikationen KEINE BERECHTIGUNGEN KANN ANZEIGEN KANN ÜBERWACHEN KANN VERWENDEN IST IM BESITZ KANN VERWALTEN
Lager starten ✓ ✓ ✓ ✓
Warehousedetails anzeigen ✓ ✓ ✓ ✓ ✓
Anzeigen von Warehouse-Abfragen ✓ ✓ ✓ ✓
Ausführen von Abfragen ✓ ✓ ✓ ✓
Registerkarte „Warehouse-Überwachung“ anzeigen ✓ ✓ ✓ ✓
Lagerbetrieb stoppen ✓ ✓
Warehouse löschen ✓ ✓
Lager bearbeiten ✓ ✓
Berechtigungen ändern ✓ ✓

Vektor-Suchendpunkt-ACLs

Qualifikationen KEINE BERECHTIGUNGEN KANN ERSTELLEN KANN VERWENDEN KANN VERWALTEN
Endpunkt abrufen ✓ ✓ ✓
Endpunkte auflisten ✓ ✓ ✓
Endpunkt erstellen ✓ ✓ ✓
Endpunkt verwenden (Index erstellen) ✓ ✓
Löschen eines Endpunkts ✓
Berechtigungen ändern ✓
  • Last updated on