Espacios de aplicaciones

Importante

Esta característica se encuentra en su versión beta. Para utilizarla, un administrador de espacio de trabajo debe activar la construcción de aplicaciones con agentes gobernados desde la página de Previsualizaciones . Consulte Administrar versiones preliminares de Azure Databricks.

Un App Space es un límite de gobernanza donde los administradores definen quién puede crear y usar aplicaciones, qué permisos tienen esas apps y qué políticas de gasto se aplican a ellas.

En lugar de que los desarrolladores definan recursos y establezcan permisos para cada aplicación, un App Space permite a los administradores configurar permisos para grupos de desarrolladores de aplicaciones.

Los desarrolladores de aplicaciones utilizan Genie App Builder para crear aplicaciones en un App Space.

¿Por qué usar App Spaces?

A medida que los agentes de programación facilitan la creación de aplicaciones, más personas en toda la organización las están creando. App Spaces permite a usuarios empresariales y no técnicos crear aplicaciones que accedan a los datos sin romper el modelo de gobernanza de tu organización. Un administrador define las barreras de seguridad (identidades, ámbitos y recursos) una vez para un grupo de constructores, y todas las aplicaciones creadas en ese espacio las heredan.

Crear un espacio de aplicaciones

Debes ser administrador de espacio de trabajo para crear un App Space. Puedes crear uno de cualquiera de estas maneras:

  • En la interfaz de aplicaciones de Databricks, haz clic en Espacios de Aplicaciones y luego + Espacio Nuevo.
  • Utiliza la API REST de Azure Databricks o el proveedor Terraform.

Note

No puedes cambiar el nombre de un App Space después de crearlo.

Configurar un espacio de aplicaciones

Como administrador de espacio de trabajo, puedes configurar:

  • Autorización de usuario: qué pueden hacer las apps en nombre de los usuarios.
  • Política de uso sin servidor: la política de uso sin servidor para aplicaciones en el espacio.
  • Permisos: quién puede crear aplicaciones en el espacio.

Autorización de usuario

La autorización de usuario, a veces denominada autorización en nombre del usuario (OBO), permite que una aplicación Databricks actúe con la identidad del usuario iniciado sesión. La aplicación solo puede acceder a datos y recursos que el usuario ya tiene permitido acceder, dentro de los límites que permitas. Consulte Configuración de la autorización en una aplicación de Databricks.

Un App Space permite a los administradores restringir los roles y ámbitos que se pueden usar con autorización de usuario. Utiliza la autorización del usuario cuando el acceso deba ajustarse a los permisos existentes de Azure Databricks de cada usuario, por ejemplo, para tablas de Unity Catalog, espacios y agentes de Genie, o paneles.

Control de acceso basado en roles

Utiliza el control de acceso basado en roles (RBAC) para limitar los permisos y el intercambio de aplicaciones. Puedes permitir que los usuarios elijan un rol al iniciar sesión en una app, o exigir que asuman un rol específico para usar las apps en ese espacio.

En Azure Databricks, un rol se implementa como un grupo. Los miembros del grupo pueden asumir el rol automáticamente. Otros usuarios necesitan el permiso Assume. Consulte Control de acceso basado en rol (RBAC).

Setting ¿Quién puede usar apps? Permisos de autorización de usuario
Cualquier papel Cualquiera con quien el desarrollador comparta su app El rol elegido por el usuario al iniciar sesión en la aplicación
Solo el puesto seleccionado Usuarios que pueden asumir el rol seleccionado (si la app ha sido compartida con ellos) Solo el puesto seleccionado

Por ejemplo:

  • Un App Space utiliza solo el rol seleccionado con el grupo emea-sales.
  • Jane Doe es miembro de emea-sales.
  • El desarrollador de la app comparte su app con Jane Doe.
  • Jane debe asumir el rol de emea-sales para iniciar sesión en la aplicación.
  • Con la autorización del usuario, la app solo tiene acceso a lo que emea-sales puede acceder (dentro de los ámbitos permitidos), incluso si Jane Doe tiene concesiones y permisos adicionales.

Note

  • Para usar solo el rol seleccionado, activa RBAC a nivel de cuenta y espacio de trabajo.
  • Solo se pueden usar grupos de cuentas con restricciones de rol.
  • Los desarrolladores siguen teniendo control sobre compartir sus aplicaciones, incluso si se elige un rol.
  • Asignar un rol a un App Space no otorga nuevos permisos a los usuarios. Los usuarios simplemente deben tener acceso a ese rol para usar la aplicación, incluso si un desarrollador ha compartido su aplicación con el usuario.

Ámbitos

Las aplicaciones que usan la autorización de usuario deben declarar ámbitos de autorización específicos para limitar lo que la aplicación puede hacer en nombre del usuario. Consulte Configuración de la autorización en una aplicación de Databricks.

En un App Space, controlas los ámbitos que solicita cada app.

Por defecto, un nuevo App Space utiliza el preajuste Data + AI , que permite los siguientes 11 ámbitos:

  • sql:restricted-query
  • genie
  • catalog.catalogs:read
  • catalog.schemas:read
  • catalog.tables:read
  • files
  • model-serving
  • ai-functions
  • ai-gateway
  • mcp.external
  • mcp.functions

Puedes ver o editar los ámbitos seleccionados cuando creas o configuras un App Space.

Política de uso sin servidor

Las aplicaciones de un espacio se ejecutan bajo una política de uso sin servidor. Consulta Herramientas de gestión de costes en Azure Databricks.

Permissions

Los siguientes permisos controlan quién puede trabajar en un App Space:

Permission Otorga la posibilidad de
CAN CREATE APP Desarrolla aplicaciones en este ámbito
CAN MANAGE Modificar la configuración del espacio
CAN READ Ver el espacio, pero no crear aplicaciones en él (o necesariamente usar aplicaciones en él)

Ejemplos de casos de uso

Puedes moldear un App Space en torno a cómo funciona un grupo:

Type Descripción
Aplicaciones públicas Aplicaciones compartibles con cualquiera en el espacio de trabajo. Solo puede acceder a datos y recursos disponibles para cada usuario del espacio de trabajo.
Aplicaciones de equipo Aplicaciones creadas por un equipo específico, alineadas con su rol existente, infraestructura, datos y permisos.
Aplicaciones del proyecto Aplicaciones asociadas a un proyecto o una iniciativa definidos, que comparten sus tablas aprovisionadas, almacenes de datos, canalizaciones y límites de acceso.

Recursos adicionales

  • Se actualizó por última vez el