Espaces d’application

Important

Cette fonctionnalité est en version bêta. Pour l’utiliser, un administrateur de l’espace de travail doit activer la création d’applications agentiques gouvernée depuis la page Aperçus. Consultez Gérer les préversions d’Azure Databricks.

Un App Space est une frontière de gouvernance où les administrateurs définissent qui peut créer et utiliser des applications, quelles permissions ces applications possèdent, et quelles politiques de dépenses s’appliquent à elles.

Au lieu que les développeurs définissent les ressources et définissent les permissions pour chaque application, un App Space permet aux administrateurs de configurer les permissions pour des groupes de développeurs d’applications.

Les développeurs d’applications utilisent Genie App Builder pour créer des applications dans un App Space.

Pourquoi utiliser App Spaces

À mesure que les agents de codage facilitent la création d’applications, de plus en plus de personnes dans une organisation en créent. App Spaces permet aux utilisateurs professionnels et autres non techniques de créer des applications qui accèdent aux données sans enfreindre le modèle de gouvernance de votre organisation. Un administrateur définit les garde-fous (identités, périmètres et ressources) une seule fois pour un groupe de constructeurs, et chaque application intégrée dans cet espace les hérite.

Créer un espace App

Vous devez être administrateur d’espace de travail pour créer un App Space.

Interface utilisateur

  1. Dans l’interface des applications Databricks, cliquez sur App Spaces.
  2. Cliquez sur Nouvel espace.
  3. Saisissez un nom et une description optionnelle, puis configurez les réglages de l’espace. Voir Configurer un espace d’application.
  4. Cliquez sur Créer.

Lorsque vous créez un App Space dans l’interface, il utilise par défaut le préréglage de portée Data + AI. Voir Étendues.

REST API

Envoyez une POST demande à /api/2.0/app-spaces. Définissez user_api_scopes sur les périmètres que les applications dans cet espace peuvent demander avec une autorisation utilisateur.

databricks api post /api/2.0/app-spaces \
  --json '{
  "name": "sales-analytics",
  "description": "Apps for the sales analytics team",
  "user_api_scopes": [
    "sql:restricted-query",
    "genie",
    "catalog.catalogs:read",
    "catalog.schemas:read",
    "catalog.tables:read",
    "files"
  ]
}'

Pour installer l’interface de ligne de commande, consultez Installer ou mettre à jour Databricks CLI.

Terraform

Créez un App Space avec le fournisseur Databricks Terraform et la ressource databricks_app_space . Définissez user_api_scopes sur les périmètres que les applications dans cet espace peuvent demander avec une autorisation utilisateur.

resource "databricks_app_space" "sales_analytics" {
  name        = "sales-analytics"
  description = "Apps for the sales analytics team"
  user_api_scopes = [
    "sql:restricted-query",
    "genie",
    "catalog.catalogs:read",
    "catalog.schemas:read",
    "catalog.tables:read",
    "files",
  ]
}

Note

Vous ne pouvez pas changer le nom d’un App Space après l’avoir créé.

Configurez un espace d’application

En tant qu’administrateur d’espace de travail, vous pouvez configurer :

  • Autorisation utilisateur : ce que les applications peuvent faire au nom des utilisateurs.
  • Politique d’utilisation sans serveur : la politique d’utilisation sans serveur pour les applications dans cet espace.
  • Autorisations : qui peut créer des applications dans cet espace.

Autorisation de l’utilisateur

L’autorisation utilisateur, parfois appelée autorisation au nom de l’utilisateur (OBO), permet à une application Databricks d’agir avec l’identité de l’utilisateur connecté. L’application ne peut accéder qu’aux données et ressources que l’utilisateur est déjà autorisé à accéder, dans les limites que vous autorisez. Consultez Configurer l’autorisation dans une application Databricks.

Un App Space permet aux administrateurs de restreindre les rôles et les périmètres pouvant être utilisés avec l’autorisation utilisateur. Utilisez l'autorisation utilisateur lorsque l'accès doit suivre les autorisations Azure Databricks existantes de chaque utilisateur, comme pour les tables du catalogue Unity, les espaces et agents Genie, ou les tableaux de bord.

Contrôle d’accès basé sur les rôles

Utilisez le contrôle d’accès basé sur les rôles (RBAC) pour limiter les autorisations et le partage des applications. Vous pouvez permettre aux utilisateurs de choisir un rôle lors de la connexion à une application, ou exiger qu’ils assument un rôle spécifique pour utiliser les applications dans cet espace.

Dans Azure Databricks, un rôle est implémenté en tant que groupe. Les membres du groupe peuvent assumer automatiquement ce rôle. Les autres utilisateurs ont besoin de l’autorisation Assume. Consultez le contrôle d’accès en fonction du rôle (RBAC).

Setting Qui peut utiliser les applications Autorisations d’autorisation utilisateur
N’importe quel rôle Toute personne avec qui le développeur partage son application Le rôle choisi par l’utilisateur lors de sa connexion à l’application
Seul le rôle sélectionné Utilisateurs pouvant assumer le rôle sélectionné (si l’application leur a été partagée) Seul le rôle sélectionné

Par exemple:

  • Un App Space utilise uniquement le rôle sélectionné avec le groupe emea-sales.
  • Jane Doe est membre de emea-sales.
  • Le développeur de l’application partage son application avec Jane Doe.
  • Jane doit assumer ce emea-sales rôle pour se connecter à l’application.
  • Avec l’autorisation utilisateur, l’application n’a accès qu’à ce qui emea-sales peut accéder (dans les limites autorisées), même si Jane Doe dispose de concessions et d’autorisations supplémentaires.

Note

  • Pour utiliser uniquement le rôle sélectionné, activez RBAC au niveau du compte et de l’espace de travail.
  • Seuls les groupes de comptes peuvent être utilisés avec des restrictions de rôle.
  • Les développeurs gardent le contrôle sur le partage de leurs applications, même si un rôle est choisi.
  • Attribuer un rôle à un espace App n’accorde pas de nouvelles permissions aux utilisateurs. Les utilisateurs doivent simplement avoir accès à ce rôle pour utiliser l’application, même si un développeur a partagé son application avec l’utilisateur.

Scopes

Les applications qui utilisent l’autorisation utilisateur doivent déclarer des étendues d’autorisation spécifiques pour limiter ce que l’application peut faire au nom de l’utilisateur. Consultez Configurer l’autorisation dans une application Databricks.

Dans un espace d’application, vous contrôlez les portées dont chaque application fait la demande.

Par défaut, un nouvel App Space utilise le préréglage Data + AI, qui permet les 11 autorisations suivantes :

  • sql:restricted-query
  • genie
  • catalog.catalogs:read
  • catalog.schemas:read
  • catalog.tables:read
  • files
  • model-serving
  • ai-functions
  • ai-gateway
  • mcp.external
  • mcp.functions

Vous pouvez afficher ou modifier les portées sélectionnées quand vous créez ou configurez un App Space.

Politique d’utilisation sans serveur

Les applications d’un espace s’exécutent selon une politique d’utilisation sans serveur. Voir Outils de gestion des coûts sur Azure Databricks.

Permissions

Les autorisations suivantes déterminent qui peut travailler dans un espace App :

Autorisation Permet de
CAN CREATE APP Développez des applications dans ce domaine
CAN MANAGE Modifier les réglages de l’espace
CAN READ Voir l’espace, mais pas créer d’applications dedans (ou nécessairement utiliser des applications dedans).

Exemples de cas d’utilisation

Vous pouvez façonner un App Space autour du fonctionnement d’un groupe :

Type Description
Applications publiques Des applications partageables avec n’importe qui dans l’espace de travail. Ne peut accéder qu’aux données et ressources disponibles pour chaque utilisateur de l’espace de travail.
Applications d’équipe Des applications créées par une équipe spécifique, alignées sur son rôle, son infrastructure, ses données et ses permissions existantes.
Applications du projet Applications associées à un projet défini ou à un engagement, partageant les tables, entrepôts, pipelines et périmètres d’accès mis à disposition dans ce cadre.

Ressources supplémentaires

  • Dernière mise à jour :