Controllo degli accessi in base al ruolo

Con il controllo di accesso basato sui ruoli (RBAC), utenti ed entità servizio possono assumere un ruolo in Azure Databricks, che sostituisce i loro permessi attivi con quelli di quel ruolo per una sessione. Usa i ruoli per imporre l'accesso esclusivo tra i progetti, limitare l'accesso ai dati di un agente o far assumere agli amministratori di spazi di lavoro un ruolo per svolgere compiti amministrativi.

In Azure Databricks, un ruolo viene implementato come gruppo. Concedi agli utenti, alle entità servizio o ad altri gruppi l'autorizzazione Assume su quel gruppo. Tutti i membri di un gruppo hanno automaticamente il permesso Assume su quel gruppo. Puoi anche concedere direttamente ai non membri l'autorizzazione Assumi. Per configurazione e abilitazione, vedi Introduzione a RBAC.

Come si applicano i permessi di ruolo

Un'identità ha permessi concessi direttamente a essa, più quelli ereditati dai gruppi a cui appartiene e da eventuali antenati di quei gruppi. Assumendo un ruolo, questi permessi vengono sostituiti con i permessi diretti e ereditati del ruolo per la sessione.

Quando un utente assume un ruolo:

• I permessi del ruolo assunto sostituiscono quelli dell'utente. Mentre agisce come ruolo, l'utente non può accedere ai dati o agli asset tramite la propria identità utente.
• Un utente può ricoprire un solo ruolo alla volta.
• Per assumere un ruolo diverso o tornare alla propria identità utente, devono cambiare nuovamente ruolo. Gli utenti che non sono assegnati allo spazio di lavoro non possono tornare alla propria identità utente. Vedi Quando devi assumere il ruolo per entrare in uno spazio di lavoro.
• I ruoli ereditano i permessi dai loro gruppi genitori. Per impostazione predefinita, i tuoi ruoli ereditano anche i permessi concessi al gruppo sistema dello users spazio di lavoro e al gruppo sistema dell'account account users , che includono implicitamente tutti i gruppi di account. I permessi concessi a users si applicano agli oggetti dell'area di lavoro e al calcolo. I privilegi del Catalogo Unity possono essere concessi a account users, ma non a users. Per gestire queste autorizzazioni, consulta Liste di controllo di accesso e Mostra, concede e revoca i privilegi.
• Gli eventi di audit distinguono l'identità che avvia l'evento (identity_metadata.run_by) da quella utilizzata per l'autorizzazione (identity_metadata.run_as). Per le richieste interattive, queste identificano rispettivamente l'utente e il ruolo. Vedere Verifica attribuzione dell'audit.
• Il ruolo possiede gli oggetti proteggibili di Unity Catalog e gli oggetti dello workspace che un utente crea mentre agisce nel ruolo, come tabelle, notebook, query SQL, SQL warehouse e job.
• Genie One (a livello di workspace), Genie Code e Genie Agents supportano RBAC. Mentre un utente assume il ruolo di un ruolo, queste funzionalità possono accedere solo ai dati e alle risorse a cui il ruolo può accedere. Il ruolo è proprietario di qualsiasi chat Genie che l'utente crea mentre svolge il ruolo.

Gestire i ruoli

Crea ruoli, gestisci l'autorizzazione Assume e scegli in che modo utenti e carichi di lavoro assumono un ruolo.

Topic	Description
Introduzione	Crea ruoli, configura l'accesso e gestisci il permesso Assume.
Cambia ruoli	Assumere un ruolo utilizzando l'interfaccia di workspace, il calcolo dedicato, la CLI Databricks, l'API o strumenti BI di terze parti.
Usa con ABAC	Comprendere come le politiche di controllo degli accessi basati sugli attributi (ABAC) valutino il ruolo attivo.

Gestisci condivisione

Controlla se gli utenti che agiscono come ruolo possono condividere asset che il ruolo possiede.

Topic	Description
Controlli di condivisione degli asset dello spazio di lavoro	Limita i ruoli selezionati dal condividere asset di workspace che possiedono.

Tutorials

Segui una procedura completa di configurazione e verifica per le tue esigenze di accesso.

Tutorial	Description
Accesso esclusivo al modello	Tieni separati i dati di due studi clinici richiedendo ai ricercatori di assumere il ruolo per ciascuno studio.
Richiedere un ruolo per l'accesso allo spazio di lavoro	Richiedere agli utenti selezionati di passare a un ruolo per entrare in uno spazio di lavoro.
Definisci l'accesso di un agente AI	Limita un agente ai permessi di un ruolo usando un token OAuth con ambito di ruolo.
Usa un ruolo per compiti amministrativi	Separare il lavoro quotidiano dall'amministrazione usando un ruolo di amministratore dell'area di lavoro.

Limitations

Controlla il supporto alle funzionalità e i problemi noti prima di usare un ruolo con i tuoi carichi di lavoro.

Topic	Description
Limitations	Rivedi funzionalità non supportate, supporto parziale e soluzioni alternative quando svolgi un ruolo.