Listy kontroli dostępu

Na tej stronie opisano szczegółowe informacje o uprawnieniach dostępnych dla różnych obiektów obszaru roboczego.

Omówienie list kontroli dostępu

W usłudze Azure Databricks możesz użyć list kontroli dostępu (ACL), aby skonfigurować uprawnienia dostępu do obiektów na poziomie obszaru roboczego. Administratorzy obszaru roboczego mają uprawnienie CAN MANAGE dla wszystkich obiektów w obszarze roboczym, co daje im możliwość zarządzania uprawnieniami do wszystkich obiektów w swoich obszarach roboczych. Użytkownicy mają automatycznie uprawnienie CAN MANAGE dla tworzonych obiektów.

Aby zapoznać się z przykładem mapowania typowych osób na uprawnienia na poziomie obszaru roboczego, zobacz Propozycje dotyczące rozpoczynania pracy z grupami i uprawnieniami usługi Databricks.

Zarządzanie listami kontroli dostępu za pomocą folderów

Można zarządzać uprawnieniami obiektów w obszarze roboczym, dodając je do folderów. Obiekty w folderze dziedziczą wszystkie ustawienia uprawnień tego folderu. Na przykład użytkownik, który ma uprawnienie CAN RUN w folderze, ma uprawnienie CAN RUN dla alertów w tym folderze.

Jeśli przyznasz użytkownikowi dostęp do obiektu wewnątrz folderu, może wyświetlić nazwę folderu nadrzędnego, nawet jeśli nie mają uprawnień do folderu nadrzędnego. Na przykład notes o nazwie test1.py znajduje się w folderze o nazwie Workflows. Jeśli przyznasz użytkownikowi uprawnienia CAN VIEW do test1.py i brak uprawnień do Workflows, użytkownik może zobaczyć, że folder nadrzędny ma nazwę Workflows. Użytkownik nie może wyświetlić ani uzyskać dostępu do żadnych innych obiektów w Workflows folderze, chyba że udzielono im uprawnień.

Aby dowiedzieć się więcej o organizowaniu obiektów w folderach, zobacz Przeglądarka obszarów roboczych.

Listy ACL alertów

Ability	MOŻE URUCHOMIĆ	MOŻE ZARZĄDZAĆ
Zobacz na liście alertów	✓	✓
Wyświetlanie alertu i wyniku	✓	✓
Ręczne wyzwalanie uruchomienia alertu	✓	✓
Subskrybuj powiadomienia	✓	✓
Edytuj alert		✓
Modyfikuj uprawnienia		✓
Usuwanie alertu		✓

ACL-e obliczeniowe

Important

W przypadku zasobów obliczeniowych korzystających ze starszego trybu dostępu Brak udostępnionej izolacji użytkownicy z uprawnieniami CAN ATTACH TO mogą wyświetlać klucze konta usługi w pliku log4j. Podczas udzielania tego uprawnienia należy zachować ostrożność. Aby uzyskać więcej informacji na temat tego trybu i sposobu jego ograniczania, zobacz Czym są klastry współdzielone bez izolacji?.

Ability	MOŻE BYĆ DOŁĄCZANY DO	MOŻLIWOŚĆ PONOWNEGO URUCHOMIENIA	MOŻE ZARZĄDZAĆ
Dołączanie notesu do obliczeń	✓	✓	✓
Wyświetl interfejs użytkownika platformy Spark	✓	✓	✓
Wyświetlanie metryk obliczeniowych	✓	✓	✓
Kończenie obliczeń		✓	✓
Uruchamianie i ponowne uruchamianie obliczeń		✓	✓
Wyświetlanie dzienników sterowników			√ (patrz uwaga)
Edytowanie obliczeń			✓
Dołącz bibliotekę do obliczeń			✓
Zmienianie rozmiaru mocy obliczeniowej			✓
Modyfikuj uprawnienia			✓

Note

Tajemnice nie są usuwane z dziennika sterownika Spark klastra stdout i strumieni danych stderr. Aby chronić dane poufne, domyślnie dzienniki sterowników platformy Spark są widoczne tylko przez użytkowników z uprawnieniami CAN MANAGE w zadaniu, trybie dedykowanym dostępu i klastrach trybu dostępu standardowego. Aby zezwolić użytkownikom z uprawnieniem CAN ATTACH TO lub CAN RESTART, aby wyświetlić dzienniki w tych klastrach, ustaw następującą właściwość konfiguracji platformy Spark w konfiguracji klastra: spark.databricks.acl.needAdminPermissionToViewLogs false.

Na nieizolowanych klastrach z współdzielonym dostępem dzienniki sterownika Spark mogą być wyświetlane przez użytkowników z uprawnieniami CAN ATTACH TO, CAN RESTART lub CAN MANAGE. Aby ograniczyć odczytywanie dzienników tylko przez użytkowników z uprawnieniem CAN MANAGE, ustaw spark.databricks.acl.needAdminPermissionToViewLogs na true.

Zobacz Konfiguracja platformy Spark, aby dowiedzieć się, jak dodać właściwości platformy Spark do konfiguracji klastra.

Listy ACL pulpitu nawigacyjnego

Ability	MOŻNA WYŚWIETLAĆ/MOŻNA URUCHOMIĆ	MOŻE EDYTOWAĆ	MOŻE ZARZĄDZAĆ
Wyświetlanie pulpitu nawigacyjnego, wyników i zestawów danych	✓	✓	✓
Interakcja z widżetami	✓	✓	✓
Odświeżanie pulpitu nawigacyjnego	✓	✓	✓
Edytowanie pulpitu nawigacyjnego		✓	✓
Klonowanie pulpitu nawigacyjnego	✓	✓	✓
Opublikuj migawkę pulpitu nawigacyjnego		✓	✓
Modyfikuj uprawnienia			✓
Usuwanie pulpitu nawigacyjnego			✓

Starsze listy ACL pulpitu nawigacyjnego

Ability	MOŻE WYŚWIETLAĆ	MOŻE URUCHOMIĆ	MOŻE EDYTOWAĆ	MOŻE ZARZĄDZAĆ
Zobacz na liście pulpitów nawigacyjnych	✓	✓	✓	✓
Wyświetlanie pulpitu nawigacyjnego i wyników	✓	✓	✓	✓
Odśwież wyniki zapytania na pulpicie nawigacyjnym (lub wybierz inne parametry)		✓	✓	✓
Edytowanie pulpitu nawigacyjnego			✓	✓
Modyfikuj uprawnienia				✓
Usuwanie pulpitu nawigacyjnego				✓

Edytowanie starszego pulpitu nawigacyjnego wymaga ustawienia Uruchom jako przeglądający. Zobacz Odświeżanie zachowania i kontekstu wykonywania.

Listy ACL wystąpień bazy danych

Ability	MOŻE UTWORZYĆ	MOŻE UŻYWAĆ	MOŻE ZARZĄDZAĆ
Pobieranie wystąpienia bazy danych	✓	✓	✓
Wyświetlanie listy wystąpień bazy danych	✓	✓	✓
Utwórz wystąpienie bazy danych	✓	✓	✓
Tworzenie zsynchronizowanej tabeli		✓	✓
Utwórz katalog bazy danych Unity Catalog			✓
Modyfikowanie ról bazy danych Postgres			✓
Usuń wystąpienie bazy danych			✓
Modyfikuj uprawnienia			✓
Wstrzymywanie wystąpienia bazy danych			✓
Wznów instancję bazy danych			✓

Note

Wszyscy użytkownicy obszaru roboczego automatycznie dziedziczą uprawnienie CAN CREATE. Nie można przypisać ani usunąć tego uprawnienia.
Podczas wykonywania operacji, które wchodzą w interakcję z Unity Catalog, musisz mieć uprawnienia do obiektu tego katalogu.
- Tworzenie katalogu baz danych Unity Catalog: wymaga posiadania uprawnienia CREATE CATALOG w metasklepie danych Unity Catalog.
- Tworzenie zsynchronizowanej tabeli: wymaga uprawnień Unity Catalog do odczytu tabeli źródłowej, zapisu do schematu docelowego oraz zapisu do schematu magazynu potoku.

Listy ACL deklaratywnych potoków platformy Spark w usłudze Lakeflow

Ability	MOŻE WYŚWIETLAĆ	MOŻE URUCHOMIĆ	MOŻE ZARZĄDZAĆ	JEST WŁAŚCICIELEM
Wyświetl szczegóły potoku i pokaż listę potoków	✓	✓	✓	✓
Wyświetl interfejs użytkownika Spark i logi driverów	✓	✓	✓	✓
Uruchamianie i zatrzymywanie aktualizacji rurociągu		✓	✓	✓
Zatrzymaj klastry rurociągów bezpośrednio		✓	✓	✓
Edytowanie ustawień potoku			✓	✓
Usuń potok			✓	✓
Czyszczenie przebiegów i eksperymentów			✓	✓
Modyfikuj uprawnienia			✓	✓

Listy ACL tabel funkcji

W tej tabeli opisano sposób kontrolowania dostępu do tabel cech w obszarach roboczych bez obsługi katalogu Unity. Jeśli obszar roboczy jest włączony dla Unity Catalog, zamiast tego użyj uprawnień Unity Catalog.

Note

Kontrola dostępu do Feature Store nie zarządza dostępem do podstawowej tabeli Delta , która jest regulowana przez kontrolę dostępu do tabeli .
Aby uzyskać więcej informacji na temat uprawnień do tabel funkcji w obszarze roboczym, zobacz Kontrolowanie dostępu do tabel funkcji w Magazynie Funkcji Obszaru Roboczego (starsza wersja).

Ability	MOŻE WYŚWIETLAĆ METADANE	MOŻE EDYTOWAĆ METADANE	MOŻE ZARZĄDZAĆ
Odczytaj tabelę funkcji	✓	✓	✓
Tabela funkcji wyszukiwania	✓	✓	✓
Publikowanie tabeli funkcji w sklepie online	✓	✓	✓
Zapisz funkcje do tabeli funkcji		✓	✓
Aktualizowanie opisu tabeli funkcji		✓	✓
Modyfikuj uprawnienia			✓
Usuwanie tabeli funkcji			✓

ACL plików

Ability	MOŻE WYŚWIETLAĆ	MOŻE URUCHOMIĆ	MOŻE EDYTOWAĆ	MOŻE ZARZĄDZAĆ
Odczyt pliku	✓	✓	✓	✓
Comment	✓	✓	✓	✓
Dołączanie i odłączanie pliku		✓	✓	✓
Interakcyjne uruchamianie pliku		✓	✓	✓
Edytuj plik			✓	✓
Modyfikuj uprawnienia				✓

Note

Interfejs użytkownika obszaru roboczego określa dostęp tylko do wyświetlania jako CAN VIEW, podczas gdy interfejs API uprawnień używa określenia CAN READ do reprezentowania tego samego poziomu dostępu.

Listy ACL folderów

Ability	BRAK UPRAWNIEŃ	MOŻE WYŚWIETLAĆ	MOŻE EDYTOWAĆ	MOŻE URUCHOMIĆ	MOŻE ZARZĄDZAĆ
Wyświetl listę obiektów w folderze	✓	✓	✓	✓	✓
Wyświetlanie obiektów w folderze		✓	✓	✓	✓
Klonowanie i eksportowanie elementów			✓	✓	✓
Uruchamianie obiektów w folderze				✓	✓
Tworzenie, importowanie i usuwanie elementów					✓
Przenoszenie i zmienianie nazw elementów					✓
Modyfikuj uprawnienia					✓

Note

Listy ACL obszaru Genie

Ability	MOŻNA WYŚWIETLAĆ/MOŻNA URUCHOMIĆ	MOŻE EDYTOWAĆ	MOŻE ZARZĄDZAĆ
Zobacz na liście obszaru Genie	✓	✓	✓
Zadawaj pytania Genie	✓	✓	✓
Podaj opinię na temat odpowiedzi	✓	✓	✓
Dodaj lub edytuj instrukcje Genie		✓	✓
Dodawanie lub edytowanie przykładowych pytań		✓	✓
Dodawanie lub usuwanie dołączonych tabel		✓	✓
Monitorowanie miejsca			✓
Modyfikuj uprawnienia			✓
Usuń spację			✓
Wyświetlanie konwersacji innych użytkowników			✓

ACL folderów programu Git

Ability	BRAK UPRAWNIEŃ	MOŻE ODCZYTYWAĆ	MOŻE URUCHOMIĆ	MOŻE EDYTOWAĆ	MOŻE ZARZĄDZAĆ
Wyświetlanie listy zasobów w folderze	✓	✓	✓	✓	✓
Wyświetlanie zasobów w folderze		✓	✓	✓	✓
Klonowanie i eksportowanie zasobów		✓	✓	✓	✓
Uruchamianie zasobów wykonywalnych w folderze			✓	✓	✓
Edytowanie i zmienianie nazw zasobów w folderze				✓	✓
Tworzenie gałęzi w folderze					✓
Przełączanie gałęzi w folderze					✓
Ściąganie lub wypychanie gałęzi do folderu					✓
Tworzenie, importowanie, usuwanie i przenoszenie zasobów					✓
Modyfikuj uprawnienia					✓

ACL-y zadań

Ability	MOŻE WYŚWIETLAĆ	MOŻE ZARZĄDZAĆ PRZEBIEGIEM	JEST WŁAŚCICIELEM	MOŻE ZARZĄDZAĆ
Wyświetlanie szczegółów i ustawień zadania	✓	✓	✓	✓
Wyświetlanie wyników	✓	✓	✓	✓
Wyświetlanie interfejsu użytkownika platformy Spark, dzienników przebiegu zadania		✓	✓	✓
Biegnij teraz		✓	✓	✓
Anuluj uruchomienie		✓	✓	✓
Edytowanie ustawień zadania			✓	✓
Usuwanie zadania			✓	✓
Modyfikuj uprawnienia			✓	✓

Note

Domyślnie twórca zadania ma uprawnienie IS OWNER.
Praca nie może mieć więcej niż jednego właściciela.
Nie można przypisać grupie uprawnienia Właściciel jako właściciel.
Zadania wyzwalane za pomocą polecenia Uruchom teraz przyjmują uprawnienia właściciela zadania, a nie użytkownika, który wystawił polecenie Uruchom teraz.
Kontrola dostępu zadań ma zastosowanie do zadań wyświetlanych w interfejsie użytkownika zadań lakeflow i ich uruchomieniach. Nie ma zastosowania do:
- Przepływy pracy w notebooku, które uruchamiają modułowy lub połączony kod. Korzystają one z uprawnień samego notesu. Jeśli notes pochodzi z Git, zostanie utworzona nowa kopia, a jego pliki dziedziczą uprawnienia użytkownika, który wykonał uruchomienie.
- Zadania przesłane przez interfejs API. Korzystają one z domyślnych uprawnień notesu, chyba że jawnie ustawisz access_control_list w żądaniu API.

Listy ACL eksperymentu MLflow

Uprawnienia ACL dla eksperymentów w MLflow różnią się dla eksperymentów prowadzonych w notebookach i eksperymentów w przestrzeni roboczej. Eksperymenty w notesie nie mogą być zarządzane samodzielnie od notesu, który je utworzył, więc uprawnienia są podobne do uprawnień notesu.

Aby dowiedzieć się więcej o dwóch typach eksperymentów, zobacz Organizowanie przebiegów trenowania przy użyciu eksperymentów MLflow.