Mengelola pemberian izin

Halaman ini menjelaskan cara mengelola hak untuk pengguna, perwakilan layanan, dan grup.

Gambaran umum hak akses

Hak merupakan properti yang mengizinkan agar pengguna, perwakilan layanan, atau grup dapat berinteraksi dengan Azure Databricks dengan cara tertentu. Hak akses ditetapkan untuk pengguna di tingkat ruang kerja. Hak hanya tersedia dalam Paket Premium.

Hak akses

Setiap pemberian hak akses memberikan akses pengguna ke serangkaian fitur tertentu di ruang kerja:

Tabel di bawah ini menunjukkan kemampuan mana yang diberikan dengan setiap hak akses:

Kapabilitas Akses konsumen Akses SQL Databricks Akses ruang kerja
Melihat/menjalankan dasbor yang dibagikan, Agen Genie, dan Aplikasi Databricks ✓ ✓ ✓
Mengkueri gudang SQL menggunakan alat BI ✓ ✓
Membaca/menulis objek Databricks SQL ✓
Membaca dan menulis objek Data Science & Engineering ✓

Untuk mengakses ruang kerja Azure Databricks, pengguna harus memiliki setidaknya satu hak akses.

Akses konsumen vs pengguna akun

Tabel sebelumnya meringkas hak akses di ruang kerja. Tabel berikut membandingkan kemampuan yang tersedia untuk pengguna ruang kerja dengan akses Konsumen ke pengguna akun yang tidak memiliki keanggotaan ruang kerja.

Kapabilitas Akses konsumen ke ruang kerja Pengguna akun tanpa keanggotaan ruang kerja
Menampilkan dasbor dengan izin penggunaan data bersama ✓ ✓
Menampilkan dasbor menggunakan kredensial penampil ✓ ✓
Lihat Genie Agents yang dibagikan dan Databricks Apps ✓
Menampilkan objek menggunakan keamanan tingkat baris dan kolom ✓ ✓
Mengakses data dasbor dari keamanan terikat ruang kerja ✓
Akses ke UI ruang kerja konsumen terbatas ✓
Mengkueri gudang SQL menggunakan alat BI ✓

** Hak komputasi

Izinkan pembuatan kluster tanpa batasan dan Izinkan pembuatan kumpulan mengontrol kemampuan untuk menyediakan sumber daya komputasi di ruang kerja. Admin ruang kerja menerima hak ini secara default, dan tidak dapat dihapus. Hak akses tidak diberikan kepada pengguna non-admin kecuali ditetapkan secara eksplisit.

  • Izinkan pembuatan kluster yang tidak dibatasi memberikan izin kepada pengguna atau perwakilan layanan untuk membuat kluster yang tidak dibatasi.

  • Izinkan pembuatan kumpulan memungkinkan pembuatan kumpulan instans. Anda dapat memberikan atau menghapus hak ini untuk setiap pengguna, perwakilan layanan, atau grup menggunakan antarmuka pengguna pengaturan admin atau API, kecuali untuk admins grup, di mana itu tidak dapat dihapus. Lihat Mengelola pemberian izin menggunakan API.

Pemberian hak default

Beberapa hak diberikan secara otomatis kepada pengguna dan grup tertentu:

  • Admin ruang kerja selalu diberikan hak berikut, dan tidak dapat dihapus:

    • Akses ruang kerja
    • Izinkan pembuatan kluster tanpa batas
    • Izinkan pembuatan kumpulan

    Admin juga diberikan akses Databricks SQL secara default, tetapi dapat dihapus. Namun, karena admin mempertahankan izin manajemen pemberian hak, mereka dapat menugaskannya kembali kepada diri mereka sendiri kapanpun.

  • Pengguna ruang kerja diberikan akses Ruang Kerja dan akses Databricks SQL secara default melalui keanggotaan mereka dalam users grup. Semua pengguna ruang kerja dan perwakilan layanan secara otomatis ditambahkan ke grup ini.

    Hak default pada users grup memengaruhi cara Anda menetapkan atau membatasi pemberian hak. Untuk memberikan pengalaman akses Konsumen , tetapkan hak satu per satu kepada pengguna, perwakilan layanan, atau grup tertentu daripada mengandalkan hak default yang diberikan melalui users grup. Setelah Anda memigrasi ruang kerja ke perilaku baru grup sistem, Anda memilih hak akses yang diterima setiap prinsipal saat Anda menambahkannya. Prinsipal baru tidak mewarisi hak dari users grup. Lihat Memigrasikan kontrol pemberian izin ruang kerja.

Note

Mulai 15 Juni 2026, Databricks meluncurkan perilaku baru di mana hak ruang kerja diberikan secara eksplisit ketika prinsipal ditambahkan ke ruang kerja, dan grup sistem ruang kerja (users dan admins) tidak lagi membawa hak yang dapat ditetapkan. Grup users tidak akan memiliki hak, dan admins grup akan memiliki semua hak ruang kerja. Hak akses kedua grup dikunci. Hak akses yang sudah ada pada users secara otomatis dimigrasikan ke grup klon lokal ruang kerja agar principal tetap memiliki akses. Perilaku baru diaktifkan secara otomatis pada 27 Juli 2026 untuk ruang kerja yang belum ikut serta atau keluar, dan diberlakukan untuk semua ruang kerja pada 14 September 2026. Untuk informasi selengkapnya, lihat Perubahan perilaku yang akan datang: Pilih hak saat menambahkan prinsipal ke ruang kerja.

Mengelola pemberian hak menggunakan halaman pengaturan admin ruang kerja

Admin ruang kerja dapat mengelola hak untuk pengguna, perwakilan layanan, dan grup menggunakan halaman pengaturan admin ruang kerja.

  1. Sebagai admin ruang kerja, masuk ke ruang kerja Azure Databricks.
  2. Klik nama pengguna Anda di bilah atas dan pilih Pengaturan.
  3. Klik tab Identitas dan akses .
  4. Bergantung pada apa yang ingin Anda kelola, klik Kelola di samping Pengguna, Perwakilan layanan, atau Grup.
  5. Pilih pengguna, perwakilan layanan, atau grup yang ingin Anda perbarui.
  6. Untuk memberikan hak, pilih tombol di samping hak.

Untuk menghapus pemberian izin, batalkan pilihan pada toggle.

Jika penetapan diwariskan dari grup, tombol akan muncul dipilih tetapi berwarna abu-abu. Untuk menghapus pemberian izin yang diwariskan, baik:

  • Menghapus pengguna atau perwakilan layanan dari grup yang memiliki hak, atau
  • Hapus hak akses dari grup itu sendiri.

Menghapus hak grup memengaruhi semua anggota grup tersebut kecuali mereka diberikan hak satu per satu atau melalui grup lain.

Mengelola pemberian izin menggunakan API

Anda dapat mengelola pemberian hak untuk pengguna, perwakilan layanan, dan grup menggunakan API berikut:

Tabel di bawah ini mencantumkan setiap pemberian izin dan nama API yang sesuai:

Nama hak akses Nama API Hak Akses
Akses konsumen workspace-consume
Akses ruang kerja workspace-access
Akses SQL Databricks databricks-sql-access
Izinkan pembuatan kluster tanpa batas allow-cluster-create
Izinkan pembuatan kumpulan allow-instance-pool-create

Misalnya, untuk menetapkan allow-instance-pool-create hak ke grup menggunakan API:

curl --netrc -X PATCH \
https://<databricks-instance>/api/2.0/preview/scim/v2/Groups/<group-id> \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "add",
      "path": "entitlements",
      "value": [
        {
          "value": "allow-instance-pool-create"
        }
      ]
    }
  ]
}
  • Last updated on