Op rollen gebaseerd toegangsbeheer (RBAC)

Important

Deze functie bevindt zich in openbare preview-versie.

Note

Schakel deze preview eerst in op accountniveau. Het voorbeeld wordt vervolgens zichtbaar en beschikbaar om in elke werkruimte die deel uitmaakt van dat account in te schakelen.

Met op rollen gebaseerd toegangsbeheer (RBAC) kunnen gebruikers een rol aannemen in Azure Databricks, waarbij alleen de machtigingen van die rol worden gebruikt voor de duur van de sessie. RBAC maakt exclusieve toegang mogelijk: gebruikers moeten een rol aannemen om toegang te krijgen tot gevoelige gegevens, wat voorkomt dat zij toegang hebben tot die gegevens wanneer zij handelen onder hun eigen gebruikersidentiteit en dat gegevens worden vermengd tussen gebruiksscenario’s, klinische onderzoeken, projecten of klanten.

In Azure Databricks wordt een rol geïmplementeerd als een groep. Je verleent gebruikers, service-principals of andere groepen de machtiging Assume op een groep, die zich na het aannemen ervan als een rol gedraagt. Alle leden van een groep hebben automatisch de machtiging 'Assume' voor die groep. Niet-leden kunnen ook rechtstreeks Assume krijgen. Gebruikers kunnen de rol aannemen via verschillende methoden, waaronder de rolwisselaar in de gebruikersinterface van de werkruimte, toegewezen toegangsmodusclusters die zijn toegewezen aan een groep, de CLI, de API en BI-hulpprogramma's van derden. Zie Schakelen tussen rollen.

Hoe werkt het?

De machtigingen van een identiteit zijn standaard de machtigingen die rechtstreeks aan een identiteit worden verleend, plus de machtigingen die worden overgenomen van elke groep waarvan de identiteit lid is. Iemand in verschillende groepen heeft toegang tot alles waartoe deze groepen toegang hebben: hun machtigingen worden verzameld als een omgevingsset die ze overal volgt. Ervan uitgaande dat een rol de overgenomen set vervangt door alleen de machtigingen van de aangenomen rol voor de sessie, wat exclusieve toegang mogelijk maakt. Dit geldt voor service-principals en andere identiteiten, niet alleen voor interactieve gebruikers.

Wanneer een gebruiker een rol gaat aannemen:

• De machtigingen van de aangenomen rol vervangen (niet combineren met) de eigen machtigingen van de gebruiker. Terwijl de gebruiker een rol aanneemt, kan de gebruiker geen toegang krijgen tot gegevens of resources via zijn eigen gebruikersidentiteit.
• Een gebruiker kan slechts als één rol tegelijk fungeren.
• Als ze als een andere rol willen fungeren of terugkeren naar hun gebruikersidentiteit, moeten ze opnieuw overschakelen.
• Alle groepen die zijn toegewezen aan een werkruimte nemen machtigingen over van de systeemgroep van users de werkruimte. Dit betekent dat gebruikers die optreden in een rol, nog steeds catalogi, Unity Catalog-entiteiten, compute en werkruimteonderdelen kunnen zien die met alle werkruimtegebruikers worden gedeeld, naast datgene waartoe de rol rechtstreeks toegang heeft gekregen.
• Alle handelingen die in de rol worden uitgevoerd, worden aan de rol toegeschreven. Auditlogboeken registreren zowel identity_metadata.run_by (de gebruiker die de rol heeft aangenomen) als identity_metadata.run_as (de rol).
• De rol is eigenaar van alle assets in Unity Catalog en de werkruimte die zijn gemaakt wanneer die rol wordt gebruikt (notebooks, SQL-query's, SQL warehouses, jobs).

De machtiging 'Assume' beheren

Met de machtiging Aannemen kunnen gebruikers, service-principals of groepen een rol aannemen. Omdat een rol in Azure Databricks als een groep wordt geïmplementeerd, kent u Assume toe aan de onderliggende groep. Alle leden van een groep hebben automatisch de machtiging 'Assume' voor die groep, dus u hoeft 'Assume' alleen toe te kennen aan gebruikers, service-principals of groepen die geen lid zijn.

Zie Machtigingen voor een groep beheren als u de machtiging 'Assume' voor een groep wilt verlenen of intrekken met behulp van de accountconsole, de UI voor instellingen van werkruimtebeheerders of de Access Control API.

In deze sectie

Onderwerp	Beschrijving
Schakelen tussen rollen	Stel dat u een rol gebruikt met behulp van de rolwisselaar, toegewezen toegangsmodusclusters, de CLI, de API of BI-hulpprogramma's van derden.
RBAC gebruiken met ABAC	Hoe RBAC en Unity Catalog ABAC communiceren, gedrag van identiteitsfuncties bij het aannemen van een rol en patronen voor gecombineerd gebruik.
Exclusieve toegang modelleren	Use case: patronen voor het instellen van exclusieve toegang met behulp van een Azure Databricks account-lokale groep of een groep die is gesynchroniseerd vanuit Microsoft Entra ID. Bevat besturingselementen voor het delen van werkruimteassets als subonderwerp.
Beperkingen voor op rollen gebaseerd toegangsbeheer (RBAC)	Functies die niet worden ondersteund of slechts gedeeltelijk worden ondersteund bij het aannemen van een rol, plus andere beperkingen.

Volgende stappen 

• Groepen beheren: groepen maken, bewerken en toewijzen aan werkruimten. Zie Groepen beheren.
• Overzicht van groepen: inzicht in hoe accountgroepen, groepen die zijn gesynchroniseerd vanuit Microsoft Entra ID en lokale groepen in de werkruimte, in elkaar passen. Zie Groepen.
• Toegewezen rekenkracht toewijzen aan een groep: Werkbelastingen uitvoeren op rekenkracht die is gereserveerd voor een groep. Zie Toegang tot toegewezen rekengroepen.