Elenchi di controllo di accesso

In questa pagina vengono descritti i dettagli sulle autorizzazioni disponibili per i diversi oggetti dell'area di lavoro.

Panoramica degli elenchi di controllo di accesso

In Azure Databricks è possibile usare elenchi di controllo di accesso (ACL) per configurare l'autorizzazione per accedere agli oggetti a livello di area di lavoro. Gli amministratori dell'area di lavoro hanno l'autorizzazione CAN MANAGE per tutti gli oggetti nell'area di lavoro, che consente di gestire le autorizzazioni per tutti gli oggetti nelle aree di lavoro. Gli utenti dispongono automaticamente dell'autorizzazione CAN MANAGE per gli oggetti creati.

Per un esempio di come eseguire il mapping di utenti tipici alle autorizzazioni a livello di area di lavoro, si veda Proposta di introduzione ai gruppi e alle autorizzazioni di Databricks.

Gestire gli elenchi di controllo di accesso con le cartelle

È possibile gestire le autorizzazioni per gli oggetti dell'area di lavoro aggiungendo oggetti alle cartelle. Gli oggetti in una cartella ereditano tutte le impostazioni delle autorizzazioni della cartella. Ad esempio, un utente che ha l'autorizzazione CAN RUN su una cartella ha l'autorizzazione CAN RUN sugli avvisi in quella cartella.

Se si concede a un utente l'accesso a un oggetto all'interno della cartella, può visualizzare il nome della cartella padre, anche se non dispone delle autorizzazioni per la cartella padre. Ad esempio, un notebook denominato test1.py si trova in una cartella denominata Workflows. Se si concede a un utente CAN VIEW per test1.py e non si dispone di autorizzazioni per Workflows, l'utente può vedere che la cartella padre è denominata Workflows. L'utente non può visualizzare o accedere ad altri oggetti nella cartella Workflows, a meno che non disponga delle autorizzazioni per tali oggetti.

Per informazioni sull'organizzazione degli oggetti in cartelle, si veda Visualizzatore area di lavoro.

ACL per gli avvisi

Ability	PUÒ ESEGUIRE	PUÒ GESTIRE
Vedere nell'elenco degli avvisi	✓	✓
Visualizzare un avviso e un risultato	✓	✓
Attivare manualmente l'esecuzione del ciclo di allerta	✓	✓
Sottoscrivere le notifiche	✓	✓
Modificare l'avviso		✓
Modifica autorizzazioni		✓
Eliminare un avviso		✓

ACL di calcolo

Important

Nelle risorse di calcolo che usano la modalità di accesso legacy Nessun isolamento condiviso, gli utenti con autorizzazioni CAN ATTACH TO possono visualizzare le chiavi dell'account del servizio nel file log4j. Prestare attenzione quando si concede questa autorizzazione. Per altre informazioni su questa modalità e su come limitarla, vedere Che cosa non sono cluster condivisi di isolamento?.

Ability	PUÒ COLLEGARE A	PUÒ RIAVVIARE	PUÒ GESTIRE
Collegare un notebook a risorse di calcolo	✓	✓	✓
Visualizza Spark UI	✓	✓	✓
Visualizzare metriche di calcolo	✓	✓	✓
Terminare il calcolo		✓	✓
Avviare e riavviare un ambiente di calcolo		✓	✓
Visualizzare i registri del driver			✓ (vedere la nota)
Modificare un ambiente di calcolo			✓
Collegare la libreria a un ambiente di calcolo			✓
Ridimensionare un ambiente di calcolo			✓
Modifica autorizzazioni			✓

Note

I segreti non vengono oscurati dai flussi e dal log del driver Spark di un cluster. Per proteggere i dati sensibili, per impostazione predefinita, i log dei driver Spark sono visualizzabili solo dagli utenti con l'autorizzazione CAN MANAGE per il processo, la modalità di accesso dedicata e i cluster in modalità di accesso standard. Per consentire agli utenti con l'autorizzazione CAN ATTACH TO o CAN RESTART per visualizzare i log in questi cluster, impostare la proprietà di configurazione Spark seguente nella configurazione del cluster: spark.databricks.acl.needAdminPermissionToViewLogs false.

In nessun cluster in modalità di accesso condiviso isolamento i log del driver Spark possono essere visualizzati dagli utenti con l'autorizzazione CAN ATTACH TO, CAN RESTART o CAN MANAGE. Per limitare gli utenti che possono leggere i log solo agli utenti con l'autorizzazione CAN MANAGE, impostare spark.databricks.acl.needAdminPermissionToViewLogs su true.

Vedere Configurazione Spark per avere informazioni su come aggiungere proprietà Spark a una configurazione del cluster.

ACL del dashboard

Ability	PUÒ VEDERE / PUÒ ESEGUIRE	PUÒ MODIFICARE	PUÒ GESTIRE
Visualizzare dashboard, risultati e set di dati	✓	✓	✓
Interagire con i widget	✓	✓	✓
Aggiornare il dashboard	✓	✓	✓
Modificare il dashboard		✓	✓
Clonare una dashboard	✓	✓	✓
Pubblicare lo snapshot della dashboard		✓	✓
Modifica autorizzazioni			✓
Eliminare le dashboard			✓

ACL della dashboard legacy

Ability	PUÒ VISUALIZZARE	PUÒ ESEGUIRE	PUÒ MODIFICARE	PUÒ GESTIRE
Visualizzare nell'elenco dei pannelli	✓	✓	✓	✓
Visualizzare dashboard e risultati	✓	✓	✓	✓
Aggiornare i risultati della query nel dashboard (o scegliere parametri diversi)		✓	✓	✓
Modificare il dashboard			✓	✓
Modifica autorizzazioni				✓
Eliminare le dashboard				✓

La modifica di una dashboard legacy richiede l'impostazione di condivisione Esegui come visualizzatore. Consultare il comportamento di aggiornamento e il contesto di esecuzione.

ACL dell'istanza di database

Ability	PUÒ CREARE	PUÒ USARE	PUÒ GESTIRE
Ottenere un'istanza del database	✓	✓	✓
Elencare le istanze del database	✓	✓	✓
Creare un'istanza del database	✓	✓	✓
Creare una tabella sincronizzata		✓	✓
Creare un catalogo di database di Unity Catalog			✓
Modificare i ruoli di Postgres			✓
Eliminare l'istanza del database			✓
Modifica autorizzazioni			✓
Sospendere l'istanza del database			✓
Riattivare l'istanza del database			✓

Note

Tutti gli utenti dell'area di lavoro ereditano automaticamente l'autorizzazione CAN CREATE. Questa autorizzazione non può essere assegnata o rimossa.
Quando si eseguono operazioni che interagiscono con Unity Catalog, è necessario disporre delle autorizzazioni per l'oggetto Catalogo Unity:
- Creare il catalogo database Unity: richiede il CREATE CATALOG privilegio nel metastore di Unity Catalog.
- Creare una tabella sincronizzata: richiede le autorizzazioni del catalogo Unity per leggere la tabella di origine, scrivere nello schema di destinazione e scrivere nello schema di archiviazione della pipeline.

ACL dichiarativi di Lakeflow Spark

Ability	PUÒ VISUALIZZARE	PUÒ ESEGUIRE	PUÒ GESTIRE	È PROPRIETARIO
Visualizzare i dettagli della pipeline e elencare la pipeline	✓	✓	✓	✓
Visualizzare l'interfaccia utente di Spark e i log dei driver	✓	✓	✓	✓
Avviare e interrompere l'aggiornamento di una pipeline		✓	✓	✓
Interrompere direttamente i cluster di pipeline		✓	✓	✓
Modificare le impostazioni della pipeline			✓	✓
Eliminare la pipeline			✓	✓
Rimuovere definitivamente esecuzioni ed esperimenti			✓	✓
Modifica autorizzazioni			✓	✓

ACL delle tabelle delle funzionalità di

Questa tabella descrive come controllare l'accesso alle tabelle delle funzionalità nelle aree di lavoro non abilitate per il catalogo Unity. Se l'area di lavoro è abilitata per il Catalogo Unity, usa privilegi del Catalogo Unity.

Note

Il controllo di accesso del Feature Store non regola l'accesso alla tabella Delta sottostante , che è regolata dal controllo di accesso alle tabelle di .
Per ulteriori informazioni sulle autorizzazioni delle tabelle delle funzionalità nell'area di lavoro, consultare Come controllare l'accesso alle tabelle nel Workspace Feature Store (legacy).

Ability	PUOI VISUALIZZARE I METADATI	PUÒ MODIFICARE I METADATI	PUÒ GESTIRE
Leggere la tabella delle funzionalità	✓	✓	✓
Tabella delle funzionalità di ricerca	✓	✓	✓
Pubblicare la tabella delle caratteristiche nel negozio online	✓	✓	✓
Scrivere funzionalità nella tabella delle funzionalità		✓	✓
Aggiornare la descrizione della tabella delle funzionalità		✓	✓
Modifica autorizzazioni			✓
Eliminare la tabella delle funzionalità			✓

ACL di file

Ability	PUÒ VISUALIZZARE	PUÒ ESEGUIRE	PUÒ MODIFICARE	PUÒ GESTIRE
Leggere un file	✓	✓	✓	✓
Comment	✓	✓	✓	✓
Allegare e scollegare un file		✓	✓	✓
Eseguire il file in modo interattivo		✓	✓	✓
Modifica file			✓	✓
Modifica autorizzazioni				✓

Note

L'interfaccia utente dell'area di lavoro fa riferimento all'accesso di sola visualizzazione come CAN VIEW, mentre l'API Autorizzazioni usa CAN READ per rappresentare lo stesso livello di accesso.

ACL delle cartelle

Ability	NESSUNA AUTORIZZAZIONE	PUÒ VISUALIZZARE	PUÒ MODIFICARE	PUÒ ESEGUIRE	PUÒ GESTIRE
Elencare gli oggetti nella cartella	✓	✓	✓	✓	✓
Visualizzare gli oggetti nella cartella		✓	✓	✓	✓
Clonare ed esportare elementi			✓	✓	✓
Eseguire oggetti nella cartella				✓	✓
Creare, importare ed eliminare elementi					✓
Spostare e rinominare elementi					✓
Modifica autorizzazioni					✓

Note

L'interfaccia utente dell'area di lavoro fa riferimento all'accesso di sola visualizzazione come CAN VIEW, mentre l'API Autorizzazioni usa CAN READ per rappresentare lo stesso livello di accesso.

ACL dello spazio di Genie

Ability	PUÒ VEDERE / PUÒ ESEGUIRE	PUÒ MODIFICARE	PUÒ GESTIRE
Visualizza nella lista degli spazi di Genie	✓	✓	✓
Fare domande a Genie	✓	✓	✓
Fornire feedback sulla risposta	✓	✓	✓
Aggiungere o modificare istruzioni per Genie		✓	✓
Aggiungere o modificare domande di esempio		✓	✓
Aggiungere o rimuovere tabelle incluse		✓	✓
Monitorare uno spazio			✓
Modifica autorizzazioni			✓
Eliminare uno spazio			✓
Visualizzare le conversazioni di altri utenti			✓

ACL per le cartelle Git

Ability	NESSUNA AUTORIZZAZIONE	PUÒ LEGGERE	PUÒ ESEGUIRE	PUÒ MODIFICARE	PUÒ GESTIRE
Elencare gli asset in una cartella	✓	✓	✓	✓	✓
Visualizzare le risorse in una cartella		✓	✓	✓	✓
Clonare ed esportare risorse		✓	✓	✓	✓
Eseguire le risorse eseguibili in una cartella			✓	✓	✓
Modificare e rinominare le risorse in una cartella				✓	✓
Creare un ramo in una cartella					✓
Cambiare rami in una cartella					✓
Eseguire il pull o il push di un ramo in una cartella					✓
Creare, importare, eliminare e spostare risorse					✓
Modifica autorizzazioni					✓

ACL dei lavori

Ability	PUÒ VISUALIZZARE	PUÒ GESTIRE L’ESECUZIONE	È PROPRIETARIO	PUÒ GESTIRE
Visualizza dettagli e impostazioni del lavoro	✓	✓	✓	✓
Visualizza risultati	✓	✓	✓	✓
Visualizzare l'interfaccia utente di Apache Spark e i log di un'attività		✓	✓	✓
Esegui adesso		✓	✓	✓
Annulla esecuzione		✓	✓	✓
Modifica impostazioni del lavoro			✓	✓
Eliminare un'attività			✓	✓
Modifica autorizzazioni			✓	✓

Note

L'autore di un processo dispone dell'autorizzazione IS OWNER per impostazione predefinita.
Un lavoro non può avere più di un proprietario.
Non è possibile assegnare a un gruppo l'autorizzazione Is Owner come proprietario.
I processi attivati tramite Esegui ora presuppongono le autorizzazioni del proprietario del processo e non l'utente che ha emesso Run Now.
Il controllo di accesso dei processi si applica ai processi visualizzati nell'interfaccia utente dei processi Lakeflow e alle relative esecuzioni. Non si applica a:
- Flussi di lavoro dei notebook che eseguono codice modulare o collegato. Queste usano le autorizzazioni del notebook stesso. Se il notebook proviene da Git, viene creata una nuova copia e i relativi file ereditano le autorizzazioni dell'utente che ha attivato l'esecuzione.
- Processi inviati dall'API. Questi usano le autorizzazioni predefinite del notebook, a meno che non si imposti access_control_list in modo esplicito nella richiesta API.

ACL per esperimenti MLflow

Gli ACL dell'esperimento MLflow sono diversi per gli esperimenti di notebook e gli esperimenti dell'area di lavoro. Gli esperimenti del notebook non possono essere gestiti indipendentemente dal notebook che li ha creati, quindi hanno gli stessi permessi del notebook.

Per saperne di più sui due tipi di esperimenti, consulta Organizzare le esecuzioni di allenamento con esperimenti MLflow.