App Spaces

Ważna

Ta funkcja jest dostępna w wersji beta. Aby z tego korzystać, administrator obszaru roboczego musi włączyć opcję Governed agentic app-building na stronie Previews. Zobacz Zarządzanie wersjami zapoznawczami usługi Azure Databricks.

App Space to granica zarządzania, gdzie administratorzy definiują, kto może tworzyć i używać aplikacji, jakie uprawnienia mają te aplikacje oraz jakie polityki wydatków do nich się odnoszą.

Zamiast pozwalać deweloperom definiować zasoby i ustawiać uprawnienia dla każdej aplikacji, App Space umożliwia administratorom konfigurowanie uprawnień dla grup deweloperów.

Twórcy aplikacji używają Genie App Builder do tworzenia aplikacji w App Space.

Dlaczego warto korzystać z App Spaces

Ponieważ agenci kodujący ułatwiają tworzenie aplikacji, coraz więcej osób w całej organizacji je tworzy. App Spaces pozwalają użytkownikom biznesowym i innym nietechnicznym tworzyć aplikacje umożliwiające dostęp do danych bez naruszania modelu zarządzania organizacją. Administrator definiuje bariery (tożsamości, zakresy i zasoby) raz dla grupy twórców, a każda aplikacja stworzona w tej przestrzeni je dziedziczy.

Stwórz przestrzeń aplikacji

Musisz być administratorem przestrzeni roboczej, aby stworzyć App Space. Możesz stworzyć go na jeden z tych sposobów:

• W interfejsie Databricks Apps kliknij App Spaces, a następnie + New Space.
• Użyj Azure Databricks REST API lub dostawcy Terraform.

Note

Nie możesz zmienić nazwy App Space po jego utworzeniu.

Konfiguruj przestrzeń aplikacji

Jako administrator przestrzeni roboczej możesz konfigurować:

• Autoryzacja użytkownika: co aplikacje mogą robić w imieniu użytkowników.
• Polityka korzystania z architektury bezserwerowej: polityka korzystania z aplikacji w przestrzeni.
• Uprawnienia: kto może tworzyć aplikacje w przestrzeni.

Autoryzacja użytkownika

Autoryzacja użytkownika, czasem nazywana autoryzacją on-behalf-of-user (OBO), pozwala aplikacji Databricks działać z tożsamością zalogowanego użytkownika. Aplikacja może dotrzeć tylko do danych i zasobów, do których użytkownik ma już dostęp, w ramach dozwolonych przez Ciebie zakresów. Zobacz Konfigurowanie autoryzacji w aplikacji usługi Databricks.

App Space pozwala administratorom ograniczać role i zakresy, które mogą być używane za autoryzacją użytkownika. Używaj autoryzacji użytkowników, gdy dostęp powinien być zgodny z istniejącymi uprawnieniami poszczególnych użytkowników w usłudze Azure Databricks, na przykład w przypadku tabel katalogu Unity, przestrzeni Genie, agentów lub pulpitów nawigacyjnych.

Kontrola dostępu oparta na rolach

Używaj kontroli dostępu opartej na rolach (RBAC), aby ograniczyć uprawnienia aplikacji i udostępnianie danych. Możesz pozwolić użytkownikom wybrać rolę podczas logowania się do aplikacji lub wymagać od nich przyjęcia konkretnej roli, aby korzystać z aplikacji w danym obszarze.

W Azure Databricks rola jest implementowana jako grupa. Członkowie grupy mogą automatycznie przejąć tę rolę. Inni użytkownicy potrzebują uprawnienia Assume. Zobacz Kontrola dostępu oparta na rolach (RBAC) .

Setting	Kto może korzystać z aplikacji	Uprawnienia do autoryzacji użytkownika
Dowolna rola	Każdy, komu deweloper udostępnia aplikację	Rola wybrana przez użytkownika podczas logowania się do aplikacji
Tylko wybrana rola	Użytkownicy, którzy mogą przejąć wybraną rolę (jeśli aplikacja została im udostępniona)	Tylko wybrana rola

Przykład:

• App Space korzysta z opcji Tylko wybrana rola dla grupy emea-sales.
• Jane Doe jest członkinią .emea-sales
• Twórca aplikacji dzieli się swoją aplikacją z Jane Doe.
• Jane musi przyjąć rolę emea-sales, aby zalogować się do aplikacji.
• Za zgodą użytkownika aplikacja ma dostęp tylko do tego, do czego emea-sales ma dostęp (w ramach dozwolonych zakresów), nawet jeśli Jane Doe ma dodatkowe nadane uprawnienia i zezwolenia.

Note

• Aby korzystać tylko z wybranej roli, włącz RBAC na poziomie konta i przestrzeni roboczej.
• Można używać tylko grup kont z ograniczeniami ról.
• Deweloperzy nadal mają kontrolę nad udostępnianiem swoich aplikacji, nawet jeśli zostanie wybrana rola.
• Przypisanie roli w App Space nie przyznaje użytkownikom żadnych nowych uprawnień. Użytkownicy muszą jedynie mieć dostęp do tej roli, aby korzystać z aplikacji, nawet jeśli deweloper udostępnił swoją aplikację użytkownikowi.

Scopes

Aplikacje korzystające z autoryzacji użytkownika muszą zadeklarować określone zakresy autoryzacji, aby ograniczyć możliwości aplikacji w imieniu użytkownika. Zobacz Konfigurowanie autoryzacji w aplikacji usługi Databricks.

W App Space kontrolujesz zakresy, o które każda aplikacja prosi.

Domyślnie nowy App Space korzysta z presetu Data + AI , który pozwala na następujące 11 zakresów:

• sql:restricted-query
• genie
• catalog.catalogs:read
• catalog.schemas:read
• catalog.tables:read
• files
• model-serving
• ai-functions
• ai-gateway
• mcp.external
• mcp.functions

Możesz przeglądać lub edytować wybrane zakresy podczas tworzenia lub konfiguracji App Space.

Zasady korzystania z usług bezserwerowych

Aplikacje w danej przestrzeni działają w ramach polityki użytkowania w modelu serverless. Zobacz narzędzia zarządzania kosztami na Azure Databricks.

Permissions

Następujące uprawnienia kontrolują, kto może pracować w App Space:

Pozwolenie	Daje możliwość
CAN CREATE APP	Rozwijaj aplikacje w tej branży
CAN MANAGE	Zmodyfikuj ustawienia przestrzeni
CAN READ	Przeglądaj przestrzeń, ale nie tworz w niej aplikacji (ani nie używaj w niej aplikacji)

Przykładowe zastosowania

Możesz dostosować App Space do tego, jak działa grupa:

Type	Opis
Aplikacje publiczne	Aplikacje, które można udostępniać każdemu w obszarze roboczym. Dostęp do danych i zasobów dostępnych tylko dla każdego użytkownika przestrzeni roboczej.
Aplikacje zespołowe	Aplikacje tworzone przez konkretny zespół, zgodne z jego istniejącą rolą, infrastrukturą, danymi i uprawnieniami.
Aplikacje projektu	Aplikacje powiązane z określonym projektem lub zaangażowaniem, udostępniające jego skonfigurowane tabele, magazyny, potoki i granice dostępu.

Dodatkowe zasoby

• Genie App Builder
• Konfigurowanie autoryzacji w aplikacji usługi Databricks