Partilhar via

Listas de controlo de acesso

  • Artigo

Este artigo descreve detalhes sobre as permissões disponíveis para os diferentes objetos de espaço de trabalho.

Nota

O controle de acesso requer o plano Premium.

As configurações de controle de acesso são desabilitadas por padrão em espaços de trabalho que são atualizados do plano Standard para o plano Premium. Uma vez que uma configuração de controle de acesso está ativada, ela não pode ser desativada. Para obter mais informações, consulte As listas de controles de acesso podem ser habilitadas em espaços de trabalho atualizados.

Visão geral das listas de controle de acesso

No Azure Databricks, você pode usar listas de controle de acesso (ACLs) para configurar a permissão para acessar objetos no nível do espaço de trabalho. Os administradores de espaço de trabalho têm a permissão CAN MANAGE em todos os objetos em seu espaço de trabalho, o que lhes dá a capacidade de gerenciar permissões em todos os objetos em seus espaços de trabalho. Os usuários têm automaticamente a permissão CAN MANAGE para objetos que criam.

Para obter um exemplo de como mapear personas típicas para permissões no nível do espaço de trabalho, consulte a Proposta de introdução aos grupos e permissões do Databricks.

Gerenciar listas de controle de acesso com pastas

Você pode gerenciar permissões de objeto de espaço de trabalho adicionando objetos a pastas. Os objetos em uma pasta herdam todas as configurações de permissões dessa pasta. Por exemplo, um usuário que tem a permissão CAN RUN em uma pasta tem a permissão CAN RUN nos alertas dessa pasta. Para saber mais sobre como organizar objetos em pastas, consulte Navegador de espaço de trabalho.

ACLs do painel AI/BI

Capacidade SEM PERMISSÕES PODE VER/PODE EXECUTAR PODE EDITAR PODE GERIR
Ver painel e resultados x x x
Interaja com widgets x x x
Atualizar o painel x x x
Editar o dashboard x x
Painel de clonagem x x x
Publicar instantâneo do painel x x
Modificar permissões x
Excluir painel x

ACLs de alertas

Capacidade SEM PERMISSÕES PODE CORRER PODE GERIR
Ver na lista de alertas x x
Ver alerta e resultado x x
Acionar manualmente a execução do alerta x x
Subscrever as notificações x x
Editar alerta x
Modificar permissões x
Excluir alerta x

Computar ACLs

Importante

Os usuários com permissões CAN ATTACH TO podem visualizar as chaves da conta de serviço no arquivo log4j. Tenha cuidado ao conceder esse nível de permissão.

Capacidade SEM PERMISSÕES PODE ANEXAR A PODE REINICIAR: PODE GERIR
Anexar bloco de notas à computação x x x
Ver IU do Spark x x x
Ver métricas de computação x x x
Encerrar a computação x x
Iniciar e reiniciar a computação x x
Ver registos de controladores x (ver nota)
Editar computação x
Anexar biblioteca à computação x
Redimensionar computação x
Modificar permissões x

Nota

Os segredos não são editados do log stdout stderr e dos fluxos do driver Spark de um cluster. Para proteger dados confidenciais, por padrão, os logs de driver do Spark são visíveis apenas por usuários com permissão CAN MANAGE no trabalho, modo de acesso de usuário único e clusters de modo de acesso compartilhado. Para permitir que os usuários com permissão CAN ATTACH TO ou CAN RESTART visualizem os logs nesses clusters, defina a seguinte propriedade de configuração do Spark na configuração do cluster: spark.databricks.acl.needAdminPermissionToViewLogs false.

Em clusters do modo de acesso partilhado sem isolamento, os registos do do controlador do Spark podem ser visualizados por utilizadores com as permissões CAN ATTACH TO ou CAN MANAGE. Para limitar quem pode ler os logs apenas aos usuários com a permissão CAN MANAGE, defina spark.databricks.acl.needAdminPermissionToViewLogs como true.

Consulte Configuração do Spark para saber como adicionar propriedades do Spark a uma configuração de cluster.

ACLs de painel herdadas

Capacidade SEM PERMISSÕES PODE VER PODE CORRER PODE EDITAR PODE GERIR
Ver na lista de painéis x x x x
Ver painel e resultados x x x x
Atualizar os resultados da consulta no painel (ou escolher parâmetros diferentes) x x x
Editar o dashboard x x
Modificar permissões x
Excluir painel x

A edição de um painel herdado requer a configuração Executar como compartilhamento de visualizador . Consulte Comportamento de atualização e contexto de execução.

ACLs de tabelas delta ao vivo

Capacidade SEM PERMISSÕES PODE VER PODE CORRER PODE GERIR É PROPRIETÁRIO
Exibir detalhes do pipeline e listar pipeline x x x x
Exibir a interface do usuário do Spark e os logs de driver x x x x
Iniciar e parar uma atualização de pipeline x x x
Pare clusters de pipeline diretamente x x x
Editar configurações de pipeline x x
Excluir o pipeline x x
Purgar execuções e experimentos x x
Modificar permissões x x

ACLs de tabelas de recursos

Esta tabela descreve como controlar o acesso a tabelas de recursos em espaços de trabalho que não estão habilitados para o Catálogo Unity. Se seu espaço de trabalho estiver habilitado para o Unity Catalog, use os privilégios do Unity Catalog em vez disso.

Nota

Capacidade PODE VISUALIZAR METADADOS PODE EDITAR METADADOS PODE GERIR
Ler tabela de funcionalidades X X X
Tabela de recursos de pesquisa X X X
Publicar tabela de recursos na loja online X X X
Gravar recursos na tabela de recursos X X
Atualizar a descrição da tabela de recursos X X
Modificar permissões X
Excluir tabela de recursos X

ACLs de arquivo

Capacidade SEM PERMISSÕES PODE LER PODE CORRER PODE EDITAR PODE GERIR
Ler ficheiro x x x x
Comentário x x x x
Anexar e desanexar arquivo x x x
Executar arquivo interativamente x x x
Editar ficheiro x x
Modificar permissões x

ACLs de pasta

Capacidade SEM PERMISSÕES PODE LER PODE EDITAR PODE CORRER PODE GERIR
Listar objetos na pasta x x x x x
Exibir objetos na pasta x x x x
Clone e exporte itens x x x
Executar objetos na pasta x x
Criar, importar e excluir itens x
Mover e renomear itens x
Modificar permissões x

ACLs de espaço Genie

Capacidade SEM PERMISSÕES PODE CORRER PODE EDITAR PODE GERIR
Ver na lista de espaços do Genie x x x
Faça perguntas ao Genie x x x
Fornecer feedback de resposta x x x
Adicionar ou editar instruções do Genie x x
Adicionar ou editar exemplos de perguntas x x
Adicionar ou remover tabelas incluídas x x
Monitorizar um espaço x x
Partilhar um espaço x x
Excluir espaço x

ACLs da pasta Git

Capacidade SEM PERMISSÕES PODE LER PODE CORRER PODE EDITAR PODE GERIR
Listar ativos em uma pasta x x x x x
Exibir ativos em uma pasta x x x x
Clone e exporte ativos x x x x
Executar ativos executáveis na pasta x x x
Editar e renomear ativos em uma pasta x x
Criar uma ramificação em uma pasta x
Puxar ou empurrar uma ramificação para uma pasta x
Criar, importar, excluir e mover ativos x
Modificar permissões x

ACLs de trabalho

Capacidade SEM PERMISSÕES PODE VER PODE GERENCIAR A EXECUÇÃO É PROPRIETÁRIO PODE GERIR
Exibir detalhes e configurações do trabalho x x x x
Ver resultados x x x x
Exibir a interface do usuário do Spark, logs de uma execução de trabalho x x x
Executar agora x x x
Cancelar execução x x x
Editar configurações de trabalho x x
Eliminar trabalho x x
Modificar permissões x x

ACLs de experimento MLflow

Capacidade SEM PERMISSÕES PODE LER PODE EDITAR PODE GERIR
Ver informações de execução pesquisa comparar execuções x x x
Exibir, listar e baixar artefatos de execução x x x
Criar, excluir e restaurar execuções x x
Registrar parâmetros de execução, métricas, tags x x
Artefatos de execução de log x x
Editar tags de experimento x x
Purgar execuções e experimentos x
Modificar permissões x

ACLs do modelo MLflow

Esta tabela descreve como controlar o acesso a modelos registrados em espaços de trabalho que não estão habilitados para o Unity Catalog. Se seu espaço de trabalho estiver habilitado para o Unity Catalog, use os privilégios do Unity Catalog em vez disso.

Capacidade SEM PERMISSÕES PODE LER PODE EDITAR PODE GERENCIAR VERSÕES DE PREPARO PODE GERENCIAR VERSÕES DE PRODUÇÃO PODE GERIR
Exibir detalhes do modelo, versões, solicitações de transição de estágio, atividades e URIs de download de artefato x x x x x
Solicitar uma transição de estágio da versão do modelo x x x x x
Adicionar uma versão a um modelo x x x x
Atualizar descrição do modelo e da versão x x x x
Adicionar ou editar tags x x x x
Versão do modelo de transição entre estágios x x x
Aprovar uma solicitação de transição x x x
Cancelar uma solicitação de transição x
Renomear modelo x
Modificar permissões x
Excluir versões de modelo e modelo x

Notebook ACLs

Capacidade SEM PERMISSÕES PODE LER PODE CORRER PODE EDITAR PODE GERIR
Ver células x x x x
Comentário x x x x
Executar através de fluxos de trabalho %run ou notebooks x x x x
Anexar e desanexar blocos de notas x x x
Executar comandos x x x
Editar células x x
Modificar permissões x

Pool ACLs

Capacidade SEM PERMISSÕES PODE ANEXAR A PODE GERIR
Anexar cluster ao pool x x
Excluir pool x
Editar pool x
Modificar permissões x

ACLs de consulta

Capacidade SEM PERMISSÕES PODE VER PODE CORRER PODE EDITAR PODE GERIR
Ver consultas próprias x x x x
Ver na lista de consultas x x x x
Ver texto da consulta x x x x
Ver resultado da consulta x x x x
Atualizar o resultado da consulta (ou escolher parâmetros diferentes) x x x
Incluir a consulta em um painel x x x
Editar texto da consulta x x
Alterar o SQL warehouse ou a fonte de dados x
Modificar permissões x
Excluir consulta x

ACLs secretas

Capacidade LER ESCREVER GERIR
Leia o âmbito secreto x x x
Listar segredos no escopo x x x
Escrever no âmbito secreto x x
Modificar permissões x

Servindo ACLs de endpoint

Capacidade SEM PERMISSÕES PODE VER PODE CONSULTAR PODE GERIR
Obter endpoint x x x
Listar ponto de extremidade x x x
Ponto de extremidade de consulta x x
Atualizar configuração do ponto de extremidade x
Excluir ponto de extremidade x
Modificar permissões x

SQL warehouse ACLs

Capacidade SEM PERMISSÕES PODE USAR PODE MONITORAR É PROPRIETÁRIO PODE GERIR
Iniciar o armazém x x x x
Ver detalhes do armazém x x x x
Ver consultas de armazém x x x
Ver separador de monitorização de armazém x x x
Pare o armazém x x
Excluir o depósito x x
Editar o armazém x x
Modificar permissões x x