Daftar kontrol akses

Halaman ini menjelaskan detail tentang izin yang tersedia untuk objek ruang kerja yang berbeda.

Gambaran umum daftar kontrol akses

Di Azure Databricks, Anda dapat menggunakan daftar kontrol akses (ACL) untuk mengonfigurasi izin untuk mengakses objek tingkat ruang kerja. Admin ruang kerja memiliki izin CAN MANAGE pada semua objek di ruang kerja mereka, yang memberi mereka kemampuan untuk mengelola izin pada semua objek di ruang kerja mereka. Pengguna secara otomatis memiliki izin CAN MANAGE untuk objek yang mereka buat.

Untuk contoh cara memetakan persona yang umum ke izin pada tingkat ruang kerja, silakan lihat Proposal untuk Memulai Grup dan Izin Databricks.

Mengelola daftar kontrol akses dengan folder

Anda dapat mengelola izin objek ruang kerja dengan menambahkan objek ke folder. Objek dalam folder mewarisi semua pengaturan izin folder tersebut. Misalnya, pengguna yang memiliki izin CAN RUN pada sebuah folder memiliki izin CAN RUN pada pemberitahuan di dalam folder tersebut.

Jika Anda memberi pengguna akses ke objek di dalam folder, mereka dapat melihat nama folder induk, bahkan jika mereka tidak memiliki izin pada folder induk. Misalnya, buku catatan bernama test1.py berada dalam folder bernama Workflows. Jika Anda memberi pengguna CAN VIEW di test1.py dan tidak ada izin pada Workflows, pengguna dapat melihat bahwa folder induk diberi nama Workflows. Pengguna tidak dapat melihat atau mengakses objek lain dalam folder kecuali mereka telah diberikan izin pada objek tersebut Workflows .

Untuk mempelajari cara mengatur objek ke dalam folder, lihat peramban ruang kerja.

Note

Dalam rilis mendatang, keanggotaan grup akun juga memengaruhi izin objek ruang kerja. Anggota mewarisi izin pada objek ruang kerja, seperti pekerjaan, buku catatan, dan folder, dari semua grup akun tempat mereka menjadi anggota, terlepas dari apakah grup tersebut ditetapkan ke ruang kerja. Gunakan buku catatan analisis izin yang Terbengkalai untuk meninjau pemberian izin di ruang kerja Anda. Lihat Izin objek Ruang Kerja akan segera diwariskan dari semua grup akun.

Pemberitahuan ACL

Ability	DAPAT BERJALAN	DAPAT MENGELOLA
Lihat dalam daftar peringatan	✓	✓
Melihat peringatan dan hasil	✓	✓
Memicu proses peringatan secara manual	✓	✓
Berlangganan pemberitahuan	✓	✓
Edit peringatan		✓
Ubah izin		✓
Menghapus peringatan		✓

ACL komputasi

Important

CAN VIEW masih dalam tahap Beta. Untuk menggunakan CAN VIEW, pratinjau ruang kerja izin komputasi dapat dilihat harus diaktifkan. Admin workspace dapat mengelola pratinjau ini dari halaman Pratinjau . Lihat Mengelola pratinjau tingkat ruang kerja.

Important

Pada sumber daya komputasi yang menggunakan mode akses warisan No isolation shared, pengguna dengan izin CAN VIEW atau CAN ATTACH TO dapat melihat kunci akun layanan dalam file log4j. Berhati-hatilah saat memberikan izin ini. Untuk detail lebih lanjut tentang mode ini dan cara membatasi mode tersebut, lihat Apa itu kluster bersama tanpa isolasi?.

Ability	DAPAT MELIHAT	DAPAT MELAMPIRKAN KE	DAPAT MEMULAI ULANG	DAPAT MENGELOLA
Melampirkan buku catatan ke komputasi		✓	✓	✓
Lihat UI Spark	✓	✓	✓	✓
Menampilkan metrik komputasi	✓	✓	✓	✓
Mengakhiri komputasi			✓	✓
Memulai dan memulai ulang komputasi			✓	✓
Lihat log pengandar				✓ (lihat catatan)
Mengedit proses komputasi				✓
Lampirkan pustaka ke lingkungan komputasi				✓
Mengubah ukuran komputasi				✓
Ubah izin				✓

Note

Rahasia tidak diredaksi dari driver stdout dan stderr aliran Spark sumber daya komputasi klasik. Untuk melindungi data sensitif, secara default, log driver Spark hanya dapat dilihat oleh pengguna dengan izin CAN MANAGE pada komputasi pekerjaan dan komputasi serba guna pada mode akses khusus atau standar. Default yang sama berlaku untuk sumber daya komputasi yang dibuat dari kumpulan. Untuk mengizinkan pengguna dengan izin CAN ATTACH TO atau CAN RESTART untuk melihat log, atur properti berikut di bidang konfigurasi Spark komputasi: spark.databricks.acl.needAdminPermissionToViewLogs false.

Pada komputasi lama dengan mode akses bersama tanpa isolasi, log driver Spark dapat dilihat oleh pengguna dengan izin CAN VIEW (beta), CAN ATTACH TO, CAN RESTART, atau CAN MANAGE. Untuk membatasi siapa yang dapat membaca log hanya untuk pengguna dengan izin CAN MANAGE, atur spark.databricks.acl.needAdminPermissionToViewLogs ke true.

Karena spark.databricks.acl.needAdminPermissionToViewLogs merupakan properti Spark tingkat komputasi, Anda harus mengaturnya pada setiap komputasi yang membutuhkannya. Untuk eksekusi pekerjaan sementara yang dikirimkan melalui jobs/runs/submit, seperti yang dipicu oleh orkestrator eksternal, atur properti pada new_cluster.spark_conf saat pengiriman, bersama dengan entri apa pun access_control_list .

Dasbor ACL

Ability	DAPAT MELIHAT/DAPAT MEMBACA*	DAPAT BERJALAN	DAPAT MENGEDIT	DAPAT MENGELOLA
Menampilkan dasbor, hasil, dan himpunan data	✓	✓	✓	✓
Berinteraksi dengan widget	✓	✓	✓	✓
Segarkan beranda	✓	✓	✓	✓
Edit papan kontrol			✓	✓
Dasbor klon	✓	✓	✓	✓
Menerbitkan cuplikan dasbor			✓	✓
Ubah izin				✓
Menghapus dasbor				✓

* UI ruang kerja mengacu pada akses tampilan saja sebagai CAN VIEW, sementara API Hak akses menggunakan DAPAT MEMBACA untuk mewakili tingkat akses yang sama.

ACL untuk instans database

Ability	DAPAT MEMBUAT	BISA MENGGUNAKAN	DAPAT MENGELOLA
Dapatkan instans database	✓	✓	✓
Daftar instansi database	✓	✓	✓
Membuat instans database	✓	✓	✓
Membuat tabel yang disinkronkan		✓	✓
Membuat database di Unity Catalog			✓
Mengubah peran Postgres			✓
Menghapus contoh database			✓
Ubah izin			✓
Menjeda instans database			✓
Melanjutkan instans database			✓

Note

Semua pengguna ruang kerja secara otomatis mewarisi izin CAN CREATE. Izin ini tidak dapat ditetapkan atau dihapus.
Saat melakukan operasi yang berinteraksi dengan Unity Catalog, Anda harus memiliki izin pada objek Katalog Unity:
- Membuat katalog database Unity Catalog: Memerlukan hak istimewa CREATE CATALOG pada metastore Unity Catalog.
- Membuat tabel yang disinkronkan: Memerlukan izin Katalog Unity untuk membaca tabel sumber, menulis ke skema tujuan, dan menulis ke skema penyimpanan alur.

ACL proyek Lakebase

Tabel ACL ini memperlihatkan izin untuk proyek Lakebase (Autoscaling).

Untuk izin Lakebase (Tersedia), lihat ACL instans database.

Note

Admin ruang kerja secara otomatis mewarisi izin CAN MANAGE pada semua sumber daya proyek Lakebase.
Semua pengguna ruang kerja secara otomatis mewarisi izin CAN CREATE. Izin ini tidak dapat ditetapkan atau dihapus.
Untuk memberikan akses ke individu, grup, atau perwakilan layanan lain, tetapkan izin CAN MANAGE atau CAN USE.

Project ACL

Ability	DAPAT MEMBUAT	BISA MENGGUNAKAN	DAPAT MENGELOLA
Lihat proyek	✓	✓	✓
Membuat proyek	✓	✓	✓
Menghapus proyek			✓
Memperbarui proyek			✓
Lihat URI koneksi		✓	✓
Mencantumkan proyek	✓	✓	✓
Melihat batas proyek	✓	✓	✓

ACL Cabang

Ability	DAPAT MEMBUAT	BISA MENGGUNAKAN	DAPAT MENGELOLA
Mencantumkan cabang proyek	✓	✓	✓
Membuat cabang proyek			✓
Menghitung cabang proyek	✓	✓	✓
Membuat database cabang		✓	✓
Membuat peran cabang		✓	✓
Menghapus cabang proyek			✓
Menghapus database cabang		✓	✓
Menghapus peran cabang		✓	✓
Menghapus cabang proyek			✓
Menyelesaikan cabang pemulihan			✓
Lihat cabang proyek	✓	✓	✓
Menampilkan database cabang	✓	✓	✓
Menampilkan peran cabang	✓	✓	✓
Lihat kata sandi untuk peran cabang		✓	✓
Menampilkan skema cabang	✓	✓	✓
Mencantumkan database cabang	✓	✓	✓
Mencantumkan titik akhir cabang	✓	✓	✓
Daftar peran cabang	✓	✓	✓
Mereset cabang proyek			✓
Mengatur ulang kata sandi peran cabang		✓	✓
Reset cabang ke induk cabang			✓
Memulihkan cabang proyek			✓
Mengatur cabang proyek default			✓
Memperbarui cabang proyek			✓
Memperbarui database cabang		✓	✓

ACL rekam jepret

Ability	DAPAT MEMBUAT	BISA MENGGUNAKAN	DAPAT MENGELOLA
Daftar cuplikan	✓	✓	✓
Membuat Cuplikan		✓	✓
Melihat jadwal rekam jepret	✓	✓	✓
Mengatur jadwal rekam jepret		✓	✓
Hapus cuplikan			✓
Memperbarui cuplikan			✓
Memulihkan snapshot			✓

ACL titik akhir

Ability	DAPAT MEMBUAT	BISA MENGGUNAKAN	DAPAT MENGELOLA
Mencantumkan titik akhir proyek	✓	✓	✓
Membuat titik akhir proyek			✓
Menghapus titik akhir proyek			✓
Menampilkan titik akhir proyek	✓	✓	✓
Mulai ulang titik akhir proyek			✓
Mulai titik akhir proyek			✓
Menangguhkan titik akhir proyek			✓
Memperbarui titik akhir proyek			✓

ACL Operasi

Ability	DAPAT MEMBUAT	BISA MENGGUNAKAN	DAPAT MENGELOLA
Melihat operasi proyek	✓	✓	✓
Mencantumkan operasi proyek	✓	✓	✓
Mencantumkan operasi proyek yang sedang berjalan	✓	✓	✓

ACL alur Lakeflow

Ability	DAPAT MELIHAT	DAPAT BERJALAN	DAPAT MENGELOLA	ADALAH PEMILIK
Melihat detail alur kerja dan daftar alur kerja	✓	✓	✓	✓
Tampilan UI Spark dan catatan driver	✓	✓	✓	✓
Memulai dan menghentikan pembaruan alur		✓	✓	✓
Hentikan kluster pipa secara langsung		✓	✓	✓
Mengedit pengaturan pipeline			✓	✓
Menghapus alur			✓	✓
Pembersihan pelaksanaan dan eksperimen			✓	✓
Ubah izin			✓	✓

tabel fitur ACL

Tabel ini menjelaskan cara mengontrol akses ke tabel fitur di ruang kerja yang tidak diaktifkan untuk Katalog Unity. Jika ruang kerja Anda diaktifkan untuk Katalog Unity, gunakan hak istimewa Katalog Unity sebagai gantinya.

Note

Kontrol akses pada Feature Store tidak mengatur akses ke tabel Delta yang mendasari, karena akses ini diatur oleh kontrol akses tabel.
Untuk informasi selengkapnya tentang izin tabel fitur ruang kerja, lihat Kontrol akses (warisan).

Ability	DAPAT MELIHAT METADATA	DAPAT MENGEDIT METADATA	DAPAT MENGELOLA
Membaca tabel fitur	✓	✓	✓
Mencari tabel fitur	✓	✓	✓
Menerbitkan tabel fitur ke toko online	✓	✓	✓
Menulis fitur ke tabel fitur		✓	✓
Memperbarui deskripsi tabel fitur		✓	✓
Ubah izin			✓
Menghapus tabel fitur			✓

File ACL

Ability	DAPAT MELIHAT*	DAPAT BERJALAN	DAPAT MENGEDIT	DAPAT MENGELOLA
Membaca file	✓	✓	✓	✓
Comment	✓	✓	✓	✓
Lampirkan dan pisahkan file		✓	✓	✓
Jalankan file secara interaktif		✓	✓	✓
Ubah file			✓	✓
Ubah izin				✓

* UI ruang kerja mengacu pada akses tampilan saja sebagai CAN VIEW, sementara API Hak akses menggunakan DAPAT MEMBACA untuk mewakili tingkat akses yang sama.

ACL untuk Folder

Ability	TIDAK ADA IZIN	DAPAT MELIHAT*	DAPAT MENGEDIT	DAPAT BERJALAN	DAPAT MENGELOLA
Mencantumkan objek dalam folder	✓	✓	✓	✓	✓
Menampilkan objek dalam folder		✓	✓	✓	✓
Menggandakan dan mengekspor item			✓	✓	✓
Jalankan objek dalam folder				✓	✓
Membuat, mengimpor, dan menghapus item					✓
Memindahkan dan mengganti nama item					✓
Ubah izin					✓

* UI ruang kerja mengacu pada akses tampilan saja sebagai CAN VIEW, sementara API Hak akses menggunakan DAPAT MEMBACA untuk mewakili tingkat akses yang sama.

ACL obrolan Kode Genie

Ability	DAPAT MELIHAT	DAPAT MENGELOLA
Lihat utas obrolan	✓	✓
Menambahkan perintah baru dan mengedit utas obrolan		✓
Membuat salinan utas obrolan		✓
Mengganti nama utas obrolan		✓
Menghapus utas obrolan		✓
Ubah izin		✓

ACL Agen Genie

Ability	DAPAT MELIHAT	DAPAT BERJALAN	DAPAT MENGEDIT	DAPAT MENGELOLA
Lihat di daftar Agen Genie	✓	✓	✓	✓
Ajukan pertanyaan di Agen Genie	✓	✓	✓	✓
Berikan umpan balik respons	✓	✓	✓	✓
Unggah file ke percakapan	✓	✓	✓	✓
Menambahkan atau mengedit instruksi			✓	✓
Menambahkan atau mengedit pertanyaan sampel			✓	✓
Menambahkan atau menghapus tabel yang disertakan			✓	✓
Memantau ruang				✓
Ubah izin				✓
Hapus spasi				✓
Menampilkan percakapan pengguna lain				✓

Note

Untuk Agen Genie, CAN VIEW dan CAN RUN memberikan kemampuan yang sama.

Folder Git ACL

Ability	TIDAK ADA IZIN	DAPAT MEMBACA	DAPAT BERJALAN	DAPAT MENGEDIT	DAPAT MENGELOLA
Mencantumkan aset dalam folder	✓	✓	✓	✓	✓
Menampilkan aset dalam folder		✓	✓	✓	✓
Mengkloning dan mengekspor aset		✓	✓	✓	✓
Jalankan aset yang dapat dieksekusi dalam folder			✓	✓	✓
Mengedit dan mengganti nama aset dalam folder				✓	✓
Membuat cabang dalam folder					✓
Beralih cabang di folder					✓
Menarik atau mendorong percabangan ke dalam folder					✓
Membuat, mengimpor, menghapus, dan memindahkan aset					✓
Ubah izin					✓

ACL (Daftar Kontrol Akses) Pekerjaan

Ability	DAPAT MELIHAT	DAPAT MENGELOLA PELAKSANAAN	ADALAH PEMILIK	DAPAT MENGELOLA
Lihat detail dan pengaturan pekerjaan	✓	✓	✓	✓
Melihat hasil	✓	✓	✓	✓
Menampilkan UI Spark, log pekerjaan yang dijalankan		✓	✓	✓
Lari sekarang		✓	✓	✓
Jalankan sekarang dengan parameter yang berbeda		✓	✓	✓
Batalkan proses		✓	✓	✓
Edit pengaturan pekerjaan			✓	✓
Menghapus pekerjaan			✓	✓
Ubah izin			✓	✓

Note

Pembuat pekerjaan memiliki izin IS OWNER secara default.
Pekerjaan tidak boleh memiliki lebih dari satu pemilik.
Grup tidak dapat diberikan izin sebagai Pemilik.
Pekerjaan yang dipicu melalui Jalankan Sekarang mengasumsikan izin pemilik pekerjaan dan bukan pengguna yang mengeluarkan Jalankan Sekarang.
Kontrol akses pekerjaan berlaku untuk pekerjaan yang ditampilkan di UI Pekerjaan Lakeflow dan eksekusinya. Ini tidak berlaku untuk:
- Alur kerja notebook yang menjalankan kode modular atau tertaut. Ini menggunakan izin dari notebook itu sendiri. Jika notebook berasal dari Git, salinan baru dibuat dan filenya mewarisi izin pengguna yang memicu eksekusi.
- Pekerjaan yang dikirimkan oleh API. Ini menggunakan izin default notebook kecuali Anda secara eksplisit mengatur access_control_list dalam permintaan API.

ACL untuk eksperimen MLflow

ACL eksperimen MLflow berbeda untuk eksperimen notebook dan eksperimen ruang kerja. Eksperimen buku catatan tidak dapat dikelola secara independen dari buku catatan yang membuatnya, sehingga izinnya mirip dengan izin buku catatan.

Untuk mempelajari selengkapnya tentang dua jenis eksperimen, lihat Mengatur eksekusi pelatihan dengan eksperimen MLflow.