Kontrol akses berbasis peran (RBAC)

Important

Fitur ini ada di Pratinjau Umum.

Note

Aktifkan pratinjau ini di tingkat akun terlebih dahulu. Pratinjau kemudian akan terlihat dan dapat diaktifkan di setiap ruang kerja yang termasuk dalam akun tersebut.

Kontrol akses berbasis peran (RBAC) memungkinkan pengguna mengambil peran dalam Azure Databricks, hanya menggunakan izin peran tersebut selama durasi sesi. RBAC memungkinkan akses eksklusif: pengguna harus menggunakan peran tertentu untuk mengakses data sensitif, sehingga mereka tidak dapat mengakses data tersebut saat bertindak dengan identitas penggunanya sendiri serta mencegah pencampuran data antar kasus penggunaan, uji klinis, proyek, atau klien.

Dalam Azure Databricks, peran diimplementasikan sebagai grup. Anda memberi pengguna, prinsipal layanan, atau grup lain izin Assume untuk grup, yang, saat di-assume, berfungsi sebagai peran. Semua anggota grup secara otomatis memiliki izin untuk mengambil alih grup tersebut. Pengguna nonanggota juga dapat langsung diberi izin Assume. Pengguna dapat mengasumsikan peran melalui beberapa metode, termasuk pengalih peran di UI Ruang Kerja, kluster mode akses khusus yang ditetapkan ke grup, CLI, API, dan alat BI pihak ketiga. Lihat Beralih peran.

Cara kerjanya

Secara default, izin identitas adalah izin yang diberikan langsung ditambah izin yang diwarisinya dari setiap grup tempatnya menjadi anggota. Seseorang yang tergabung dalam beberapa grup dapat mengakses semua yang bisa diakses oleh grup-grup tersebut — izin mereka terakumulasi menjadi sekumpulan izin bawaan yang melekat ke mana pun mereka pergi. Saat mengambil alih peran, kumpulan izin yang diwariskan tersebut digantikan hanya dengan izin dari peran yang diambil alih untuk sesi tersebut, dan hal inilah yang memungkinkan akses eksklusif. Ini berlaku untuk perwakilan layanan dan identitas lainnya, bukan hanya pengguna interaktif.

Saat pengguna mengasumsikan peran:

• Izin peran yang diasumsikan menggantikan (tidak digabungkan dengan) izin pengguna sendiri. Saat bertindak sebagai peran, pengguna tidak dapat mengakses data atau aset melalui identitas pengguna mereka.
• Pengguna hanya dapat bertindak sebagai satu peran pada satu waktu.
• Untuk bertindak sebagai peran yang berbeda atau kembali ke identitas pengguna mereka, mereka harus beralih lagi.
• Semua grup yang ditetapkan ke sebuah ruang kerja mewarisi izin dari grup sistem users milik ruang kerja tersebut. Ini berarti pengguna yang berperan sebagai suatu peran masih dapat melihat katalog, entitas Unity Catalog, sumber daya komputasi, dan aset ruang kerja yang dibagikan kepada semua pengguna ruang kerja, selain yang telah diberikan secara langsung kepada peran tersebut.
• Semua tindakan yang diambil saat menggunakan peran tersebut diatribusikan kepada peran tersebut. Log audit mencatat identity_metadata.run_by (pengguna yang mengasumsikan peran) dan identity_metadata.run_as (peran) sekaligus.
• Peran ini menjadi pemilik atas setiap aset Unity Catalog dan ruang kerja yang dibuat saat berperan sebagai peran tersebut (notebook, kueri SQL, gudang SQL, job).

Mengelola izin Assume

Izin Asumsikan memungkinkan pengguna, perwakilan layanan, atau grup mengambil peran. Karena peran di Azure Databricks diimplementasikan sebagai grup, Anda memberikan izin Assume pada grup yang mendasarinya. Semua anggota grup secara otomatis memiliki izin Asumsikan pada grup tersebut, jadi Anda hanya perlu memberikan Asumsikan kepada pengguna, perwakilan layanan, atau grup yang bukan anggota.

Untuk memberikan atau mencabut "Assume" untuk grup menggunakan konsol akun, UI setelan admin ruang kerja, atau API Kontrol Akses, lihat Mengelola izin pada grup.

Di bagian ini

Topic	Description
Beralih peran	Asumsikan peran menggunakan pengalih peran, kluster mode akses khusus, CLI, API, atau alat BI pihak ketiga.
Menggunakan RBAC dengan ABAC	Bagaimana RBAC dan Unity Catalog ABAC berinteraksi, perilaku fungsi identitas saat mengambil alih peran, dan pola penggunaan gabungan.
Akses eksklusif ke model	Kasus penggunaan: pola untuk menyiapkan akses eksklusif menggunakan baik sebuah grup lokal akun Azure Databricks maupun grup yang disinkronkan dari Microsoft Entra ID. Menyertakan kontrol berbagi aset Ruang Kerja sebagai sub-topik.
Batasan kontrol akses berbasis peran (RBAC)	Fitur yang tidak didukung atau hanya didukung sebagian saat mengasumsikan peran, ditambah batasan lainnya.

Langkah berikutnya

• Mengelola grup: Membuat, mengedit, dan menetapkan grup ke ruang kerja. Lihat bagian Kelola grup.
• Gambaran umum grup: Memahami bagaimana grup akun, grup yang disinkronkan dari Microsoft Entra ID, dan grup lokal ruang kerja cocok bersama-sama. Lihat Grup.
• Tetapkan sumber daya komputasi khusus untuk grup: Jalankan beban kerja menggunakan sumber daya komputasi yang dicadangkan untuk grup tersebut. Lihat Akses grup komputasi khusus.