Ograniczenia kontroli dostępu opartej na rolach (RBAC)

Na tej stronie wymieniono funkcje i zachowania, które nie działają lub działają tylko częściowo, w przypadku działania jako roli. Funkcje, które nie są wymienione w tym miejscu, zachowują się tak samo, gdy działają jako rola, co w przypadku działania jako tożsamości użytkownika.

Aby dowiedzieć się, jak działają funkcje SQL związane z tożsamościami (current_user(), is_member, is_account_group_member) podczas przy założeniu roli, zobacz Jak działają funkcje tożsamości podczas przy założeniu roli.

Nieobsługiwane i częściowo obsługiwane funkcje

Następujące funkcje nie działają lub zachowują się inaczej podczas działania jako rola:

• Agent Bricks: tworzenie agentów jako roli nie jest obsługiwane.
• Alerty: zarządzanie alertami jako rola nie jest obsługiwane.
• Aplikacje: łączenie z aplikacją działa. Aplikacja może autoryzować jako własną jednostkę usługi lub, gdy użytkownik nawiązuje połączenie, jako rolę, która ma uprawnienia do przyjęcia. Jednostka usługi aplikacji nie może jeszcze przyjąć roli dostępu do danych programowych (maszynowo-maszynowych).
• Pochodzenie: kolumna system.access.table_lineage.created_by jest poprawnie wypełniona rolą, ale użytkownik, który przyjął rolę, nie jest przechwytywany.
• Potoki: potoki lakeflow nie są obsługiwane w przypadku ról.
• Polityki korzystania z serwera: Gdy działasz jako rola, rozwijane menu w formularzu tworzenia polityki korzystania z serwera jest puste, więc nie możesz ograniczyć polityki do konkretnych przestrzeni roboczych. Jako obejście stwórz politykę jako swoją tożsamość użytkownika.
• Wyszukiwanie wektorowe: zarządzanie punktami końcowymi wyszukiwania wektorowego jako rola jest obsługiwane, ale tworzenie indeksów jako roli kończy się niepowodzeniem. Aby obejść ten problem, utwórz indeks jako użytkownik, a następnie zmień właściciela na rolę. Wykonywanie zapytań względem punktów końcowych i indeksów wektorów jako roli jest poprawnie przechwytywane w zdarzeniach inspekcji.

Zarządzanie tożsamościami i grupami

• Interfejs API SCIM obszaru roboczego (/api/2.0/preview/scim/v2) nie obsługuje tworzenia grup ani zarządzania nimi. Zamiast tego użyj interfejsu API SCIM konta (/api/2.1/accounts/{account-id}/scim/v2/) lub interfejsu API SCIM konta obszaru roboczego (/api/2.0/account/scim/v2/).
• Domyślnie można zastosować sterowanie udostępniania zasobów przestrzeni roboczej maksymalnie do 100 grup. Dodatkowo, grupy systemowe, takie jak all account users i admins, nie mogą być ograniczone za pomocą kontroli udostępniania zasobów przestrzeni roboczej. Zobacz Limity i ograniczenia.

Znane problemy

Gdy RBAC jest włączony, raport Power BI, który łączy się z Azure Databricks przez sterownik ODBC Databricks, nie ładuje się ponownie, gdy raport zawiera około 10 lub więcej jednoczesnych połączeń. Raporty z niewielkimi połączeniami nie są objęte wpływem. Było to zaobserwowane w przypadku sterownika ODBC w Databricks w wersji 2.9.1.

Natywne złącze Power BI dla Azure Databricks nie jest tym dotknięte. W Power BI Desktop połącz się z natywnym złączem zamiast sterownika ODBC: w opcji Get data wyszukaj Databricks lub Azure Databricks. Natywne złącze jest dostarczane z Power BI, więc nie ma nic do zainstalowania. Zobacz Connect Power BI Desktop to Azure Databricks.

Serwer raportów usługi Power BI i Microsoft Excel łączą się z Azure Databricks wyłącznie przez sterownik ODBC. Nie ma obejścia tych powierzchni.