Inizia con RBAC

Configura il controllo degli accessi basato sui ruoli (RBAC) in Azure Databricks così che utenti ed entità servizio possano assumere i ruoli con i permessi necessari per ogni attività. Scegli un gruppo da usare come ruolo, concedi il permesso di assumere il ruolo e configura il suo accesso. Per il modello di permessi, vedi Controllo di accesso basato sui ruoli (RBAC).

Requirements

  • Uno spazio di lavoro abilitato per la federazione dell'identità. Vedere Federazione delle identità.
  • RBAC abilitato a livello account e workspace. Un account admin e un amministratore dello spazio di lavoro svolgono i rispettivi passaggi di abilitazione.
  • Sono necessari i permessi di amministratore dell'account o di amministratore dello workspace per creare gruppi e assegnarli agli workspace.
  • Gestire il permesso sul gruppo del ruolo per concedere o revocare il permesso Assume. Gli amministratori degli account hanno l'autorizzazione Gestisci su tutti i gruppi. Gli amministratori dello spazio di lavoro ricevono la funzione di Gestione sui gruppi che creano. Vedere Chi può gestire i gruppi?.
  • Permessi di amministratore dello spazio di lavoro per gestire le autorizzazioni del workspace di un gruppo esistente.
  • Permesso di concedere l'accesso ai dati, alle risorse di calcolo e agli asset dell'area di lavoro di cui il ruolo ha bisogno. I permessi necessari dipendono dalle risorse che scegli.

Diversi amministratori possono svolgere questi compiti. I gestori di gruppo possono gestire i permessi di gruppo tramite l'API. Vedere Gestire le autorizzazioni per un gruppo.

Abilita RBAC

RBAC è già abilitato per la maggior parte dei clienti. Se non sei sicuro che sia abilitato per il tuo account e gli spazi di lavoro, controlla queste impostazioni:

  1. Come amministratore dell'account, assicurati che l'abilitazione a livello di account del controllo di accesso basato sui ruoli (RBAC) sia abilitata nella pagina delle anteprime dell'account.
  2. Come amministratore dello spazio di lavoro, assicurati che il controllo di accesso basato su ruoli (RBAC) sia abilitato nella pagina Anteprime dello spazio di lavoro.

L'impostazione dell'account rende disponibile quella dell'area di lavoro. Abilita RBAC in ogni spazio di lavoro dove gli utenti devono assumere ruoli.

Scegli o crea un ruolo

In Azure Databricks, un ruolo viene implementato come gruppo di account. Puoi usare un gruppo creato in Azure Databricks o un gruppo esterno da Microsoft Entra ID. I gruppi esterni sono anche gruppi di account. Per le fonti di gruppo e come i gruppi di account differiscono dai gruppi locali di workspace, vedi Sorgenti di gruppo.

Decidere se il gruppo debba avere membri:

  • I membri ereditano i permessi del gruppo, inclusi quelli dei gruppi genitori, come parte della propria identità. I membri possono assumere il gruppo come ruolo per limitare una sessione ai permessi del gruppo e collaborare su asset di proprietà del gruppo.
  • Puoi concedere il permesso Assume direttamente ai non membri senza aggiungerli come membri, così non erediteranno i permessi del gruppo come identità propria. Per un pattern che richiede un'assunzione deliberata di ruolo per accedere ai dati, usa un gruppo vuoto e lascialo vuoto. Vedi il tutorial: Accesso esclusivo al modello con RBAC.

Per creare un ruolo account-local:

Console dell'account

  1. Accedere alla console dell'account come amministratore dell'account.
  2. Nella barra laterale, fare clic su Gestione utenti.
  3. Nella scheda Gruppi fare clic su Aggiungi gruppo.
  4. Inserisci un nome per il ruolo, poi clicca su Conferma.
  5. Aggiungi membri solo se debbano anche ereditare i permessi del gruppo come identità proprie.

Impostazioni dell’amministratore dell’area di lavoro

  1. In quanto amministratore dell'area di lavoro, accedere all'area di lavoro di Azure Databricks.
  2. Fare clic sul nome utente nella barra superiore e selezionare Impostazioni.
  3. Fare clic sulla scheda Identità e accesso .
  4. Accanto a Gruppi, fare clic su Gestisci.
  5. Clicca su Aggiungi gruppo, poi Aggiungi nuovo.
  6. Inserisci un nome per il ruolo e seleziona le autorizzazioni necessarie. Vedi Configura l'accesso allo spazio di lavoro.
  7. Fare clic su Aggiungi.
  8. Aggiungi membri solo se debbano anche ereditare i permessi del gruppo come identità proprie.

Questo assegna anche il gruppo allo spazio di lavoro. Ricevi l'autorizzazione Manage per il gruppo, che ti consente di gestire l'appartenenza e di concedere l'autorizzazione Assume.

Databricks raccomanda di usare un prefisso coerente, come role-, per distinguere i gruppi usati come ruoli. Ad esempio, usa role-study-1 per un ruolo e trial-researchers per un gruppo i cui membri possono assumerne il ruolo.

Per le procedure di sincronizzazione dei gruppi, vedi Gestisci gruppi Azure Databricks.

Opzionale: Usa l'API Account Groups

Puoi anche creare e gestire gruppi usando l'API Account Groups. Per gli endpoint e gli esempi, vedi Gestire i gruppi tramite l'API.

Gestire l'autorizzazione di assunzione

Gli utenti e le entità servizio possono assumere un ruolo quando dispongono dell'autorizzazione Assume, sia direttamente che tramite l'appartenenza a un gruppo. Concedere il permesso al gruppo che implementa il ruolo. I membri del gruppo hanno automaticamente il permesso di Assume, quindi servono solo le autorizzazioni esplicite per i non membri.

Per concedere l'autorizzazione Assume, usa le impostazioni di amministrazione della console dell'account o dello spazio di lavoro:

Console dell'account

  1. Come amministratore dell'account, apri Gestione utenti> e seleziona il gruppo del ruolo.
  2. Clicca su Permessi, poi Concedi accesso.
  3. Seleziona l'utente, l'entità servizio o il gruppo di account che dovrebbe poter assumere il ruolo.
  4. Seleziona Presumi, poi clicca su Salva.

Impostazioni dell’amministratore dell’area di lavoro

  1. Come amministratore di workspace con il permesso di Gestione sul ruolo, apri Impostazioni>Identità e accesso.
  2. Accanto a Gruppi, clicca su Gestisci, poi seleziona il gruppo del ruolo.
  3. Clicca su Permessi, poi Concedi accesso.
  4. Seleziona l'utente, il service principal o il gruppo di account che dovrebbe poter assumere il ruolo.
  5. Seleziona Presumi, poi clicca su Salva.

Quando concedi il permesso di Assumi a un gruppo, i suoi membri possono utilizzare il ruolo. Non devono necessariamente essere assegnati al ruolo stesso. Puoi anche concedere il permesso Assume direttamente ai singoli utenti o alle entità servizio.

Per revocare il permesso Assume, rimuovere la concessione applicabile. Controlla se il titolare può ancora assumere il ruolo tramite l'appartenenza al ruolo o tramite un altro gruppo a cui è stato concesso il permesso di assunzione. La rimozione di una concessione diretta non elimina quegli altri percorsi di accesso.

Limitare la gestione del ruolo agli amministratori responsabili dei membri e dei permessi. Un'entità con Manage può concedere ad altri l'autorizzazione Assume. Vedi Gestire i permessi su un gruppo per le procedure account-console e workspace-admin, oppure Concedere o revocare il permesso Assume su un gruppo per l'API di Controllo di accesso.

Configura l'accesso allo spazio di lavoro

Assegna il ruolo a ogni spazio di lavoro dove dovrebbe essere disponibile. Gli amministratori di account e gli amministratori di workspace possono assegnare gruppi agli workspace. Vedere Assegnare un gruppo a un'area di lavoro.

Ogni autorizzazione di accesso concede l'accesso a un insieme specifico di funzionalità nello spazio di lavoro. Seleziona le autorizzazioni di cui il ruolo ha bisogno:

  • Accesso allo spazio di lavoro: Concede l'accesso alle funzionalità principali dello spazio di lavoro come notebook e job.
  • Accesso SQL di Databricks: concede l'accesso alle funzionalità SQL di Databricks, inclusi dashboard, query e SQL Warehouse.

Vedi Access entitlements per tutti gli Access entitlements, incluso l'accesso dei consumatori, e come gestirli. Seleziona esplicitamente i diritti del ruolo invece di affidarti ai diritti predefiniti dello spazio di lavoro. Consulta Panoramica.

Decidere se gli utenti debbano essere assegnati allo spazio di lavoro come identità proprie:

  • Gli utenti con un'assegnazione diretta o ereditaria dello spazio di lavoro e un'autorizzazione di accesso possono entrare con la propria identità e passare a un ruolo che hanno il permesso di utilizzare.
  • Gli utenti senza un'assegnazione diretta o ereditaria dello spazio di lavoro devono avere un ruolo assegnato a tale spazio per poter entrare. Hanno bisogno dell'autorizzazione AssumeRole per il ruolo e il ruolo ha bisogno di un'autorizzazione di accesso. Vedi Tutorial: Richiedi agli utenti di assumere un ruolo per l'accesso allo spazio di lavoro.

L'autorizzazione Assume controlla chi può usare il ruolo. Le assegnazioni dello spazio di lavoro controllano dove è disponibile e i diritti di accesso controllano quali funzionalità dello spazio di lavoro può utilizzare. Concedere privilegi e autorizzazioni separati per gli oggetti di calcolo e dell'area di lavoro.

Concedi accesso alle risorse

Concedere al ruolo i permessi necessari per il suo compito:

  • Dati: Concedere i privilegi del Catalogo Unity usando SQL o Catalog Explorer. La lettura di una tabella richiede USE CATALOG nel catalogo, USE SCHEMA nello schema e SELECT nella tabella. Privilegi come quelli SELECT concessi su un catalogo o uno schema si applicano anche ai suoi oggetti figli attuali e futuri. Vedi Eredità dei privilegi e Gestione dei privilegi in Unity Catalog.
  • Compute: Concedere il permesso di utilizzare la risorsa di calcolo scelta. Per un SQL warehouse, concedi Can use per consentire al ruolo di eseguire query. Vedere Gestione di un magazzino SQL. Per il calcolo dedicato assegnato a un gruppo, vedi Accesso al gruppo di calcolo dedicato.
  • Oggetti workspace: Utilizzare liste di controllo accessi (ACL) per concedere l'accesso a notebook, job e altri oggetti workspace. Vedere Elenchi di controllo di accesso.

I ruoli ereditano i permessi dai loro gruppi genitori. Di default, i tuoi ruoli ereditano anche i permessi concessi al gruppo sistema dello spazio di lavoro users e al gruppo sistema dell'account account users. Modificare le autorizzazioni condivise influisce sugli altri utenti e sui ruoli che le ereditano. Vedi come si applicano i permessi dei ruoli.

Se gli utenti che interpretano il ruolo non devono condividere asset di spazio di lavoro di proprietà del ruolo, configura i controlli di condivisione degli asset dello spazio di lavoro.

Usare e verificare il ruolo

Un utente o un'entità servizio con l'autorizzazione Assume si autentica nel ruolo usando un metodo in Cambiare ruolo RBAC. Verifica che il ruolo possa accedere alle risorse richieste e riceva errori di autorizzazione per risorse al di fuori dell'ambito di accesso previsto. Confronta quei risultati con la stessa identità senza il ruolo.

Per i dati governati dal controllo di accesso basato sugli attributi (ABAC), le policy valutano il ruolo attivo. Vedi Usa RBAC con ABAC per il comportamento della funzione identità e i modelli di uso combinato.

Verifica l'attribuzione dell'audit

Consulta system.access.audit da uno spazio di lavoro abilitato a Unity Catalog nello stesso account e regione cloud dello spazio di lavoro dove hai testato il ruolo. Il lettore di audit ha bisogno di USE CATALOG su system, USE SCHEMA su system.access, SELECT su system.access.audit e dell'autorizzazione a usare query compute. Vedere Concedere l'accesso alle tabelle di sistema.

I campi dei metadati dell'identità distinguono le identità coinvolte in un evento:

  • run_by: l'identità che ha dato origine all'evento.
  • run_as: l'identità utilizzata per l'autorizzazione.
  • run_by_display_name e run_as_display_name: i corrispondenti nomi leggibili dall'uomo.

Per le richieste interattive effettuate quando si assume un ruolo, run_by identifica l'utente e run_as il ruolo. Per i carichi di lavoro dei processi, run_by identifica l'entità servizio dell'applicazione del servizio Jobs. Vedere Impostare Runas su un gruppo.

Filtra per workspace_id e event_date per individuare la tua attività di test. I dati delle tabelle del sistema di audit vengono aggiornati durante la giornata e non supportano il monitoraggio in tempo reale. Se manca un evento recente, controlla di nuovo più tardi. Vedi Riferimento alle tabelle di sistema del registro di controllo e Riferimento alle tabelle di sistema.

Risorse aggiuntive

Scegli un tutorial per una procedura completa di configurazione e verifica:

Prima di applicare un ruolo ad altri carichi di lavoro, esaminare le limitazioni del controllo di accesso basato sul ruolo (RBAC).

  • Ultimo aggiornamento: