Identiteiten, machtigingen en bevoegdheden voor pijplijnen beheren

Identiteiten, machtigingen en bevoegdheden bepalen wie pijplijnen en de gegevens die ze produceren, kan uitvoeren, beheren en er query's op kunnen uitvoeren.

Databricks raadt het gebruik van Unity Catalog aan voor alle nieuwe pijplijnen. Standaard kunnen gerealiseerde weergaven en streamingtabellen die zijn gemaakt door pijplijnen die zijn geconfigureerd met Unity Catalog, alleen worden opgevraagd door de eigenaar van de pijplijn. Zie Unity Catalog gebruiken met pijplijnen.

Als uw pijplijnen datasets publiceren naar de verouderde Hive-metastore, zie Lakeflow-pijplijnen gebruiken met de verouderde Hive-metastore.

** Zie de aanbevolen procedures voor identiteitsbeheer voor algemene best practices voor identiteitsconfiguraties.

Welke identiteit wordt gebruikt voor pijplijnupdates?

Pijplijnen verwerken updates met behulp van de identiteit van de run-as-gebruiker . De run-as-gebruiker is standaard de maker van de pijplijn, maar u kunt deze wijzigen naar een andere gebruiker of een service-principal. Zie De run-as-gebruiker instellen.

Databricks raadt aan om de run-as-gebruiker in te stellen op een service-principal, zodat pijplijnupdates niet zijn gekoppeld aan het account van een afzonderlijke gebruiker. Zie Service principals.

Wie kan een pijplijnupdate uitvoeren?

Pijplijnupdates kunnen worden uitgevoerd door elke gebruiker of service-principal met de machtigingen CAN RUN, CAN MANAGE of IS OWNER.

Wie kan een pijplijn en de uitvoer ervan bekijken?

Om een pijplijn te openen en de details ervan weer te geven, heeft een gebruiker ten minste de CAN VIEW machtiging voor de pijplijn nodig. Zie De toegangsbeheerlijsten van Lakeflow-pijplijnen voor de volledige lijst met machtigingsniveaus voor pijplijnen en de mogelijkheden die elk verleent.

Als u de pijplijn wilt weergeven die een streamingtabel of gerealiseerde weergave ondersteunt, heeft een niet-beheerder ook de REFRESH bevoegdheid voor die streamingtabel of gerealiseerde weergave nodig, naast de machtigingen voor de pijplijn. Zonder de REFRESH bevoegdheid toont de pijplijn-URL de pijplijn niet beschikbaar.

Pijplijnmachtigingen configureren

U moet de CAN MANAGE of IS OWNER machtiging voor de pijplijn hebben om machtigingen te beheren. Pijplijnen gebruiken toegangsbeheerlijsten (ACL's) om machtigingen te beheren. Zie De ACL's van Lakeflow-pijplijnen voor een volledige lijst met machtigingen en hun mogelijkheden.

1. Klik in de zijbalk op Jobs & Pipelines.
2. Selecteer de naam van een pijplijn.
3. Klik op delen. Het dialoogvenster Machtigingeninstellingen wordt weergegeven.
4. Klik op Gebruiker, groep of service-principal selecteren... en selecteer een gebruiker, groep of service-principal.
5. Selecteer een machtiging in het vervolgkeuzemenu voor machtigingen.
6. Klik op Toevoegen.
7. Klik op Opslaan.

De eigenaar van de pijplijn wijzigen

Standaard is de eigenaar van de pijplijn ook de gebruiker waaronder pijplijnupdates worden uitgevoerd. Als u de eigenaar wijzigt, wordt de identiteit gewijzigd die wordt gebruikt voor toekomstige updates.

Als u de identiteit wilt wijzigen waaronder pijplijnupdates worden uitgevoerd zonder de eigenaar te wijzigen, stelt u in plaats daarvan de uitvoerende gebruiker in. Zie De run-as-gebruiker instellen.

Als u de eigenaar van een pijplijn wilt wijzigen, moet u zowel een metastore-beheerder als een werkruimtebeheerder zijn. Wijzig de eigenaar met behulp van de gebruikersinterface of de REST API.

De gebruikersinterface gebruiken

1. Klik in de zijbalk op Jobs & Pipelines.
2. Selecteer de naam van de pijplijn.
3. Klik op delen. Het dialoogvenster Machtigingeninstellingen wordt weergegeven.
4. Wis de huidige eigenaar en selecteer vervolgens de nieuwe eigenaar. De eigenaar kan een gebruiker of een service-principal zijn. Databricks raadt een service-principal aan. Zie Service principals.
5. Klik op Opslaan.

REST-API gebruiken

Als de optie om de eigenaar te wijzigen niet beschikbaar is in de gebruikersinterface, bijvoorbeeld voor sommige intern beheerde pijplijnen, wijzigt u de eigenaar met de REST API-bewerking Machtigingen voor pijplijn instellen. Geef de nieuwe eigenaar user_name (of service_principal_name voor een service-principal) op met het IS_OWNER machtigingsniveau:

{
  "access_control_list": [
    {
      "user_name": "new.owner@example.com",
      "permission_level": "IS_OWNER"
    }
  ]
}

Als geen gebruiker zowel een metastore-beheerder als een werkruimtebeheerder is

Als niemand in uw organisatie zowel een metastore-beheerder als een werkruimtebeheerder is, neemt u contact op met uw Databricks-vertegenwoordiger om de eigenaar van de pijplijn te wijzigen.

Niet-beheerders toestaan logbestanden van stuurprogramma's van een Unity Catalog-ingeschakelde pijplijn weer te geven

Standaard kunnen alleen de eigenaar van de pijplijn en werkruimtebeheerders de stuurprogrammalogboeken bekijken vanuit het cluster waarop een Unity Catalog-pijplijn wordt uitgevoerd. U kunt toegang tot de stuurprogrammalogboeken inschakelen voor elke gebruiker met de machtigingen CAN MANAGE, CAN VIEW of CAN RUN door de volgende Spark-configuratieparameter toe te voegen aan het configuration object in de pijplijninstellingen:

{
  "configuration": {
    "spark.databricks.acl.needAdminPermissionToViewLogs": "false"
  }
}