Пространства для приложений

Important

Эта функция доступна в бета-версии. Чтобы использовать эту возможность, администратор рабочей области должен включить управляемое создание агентных приложений на странице Предварительные версии. См. статью "Управление предварительными версиями Azure Databricks".

Пространство приложений — это граница управления, где администраторы определяют, кто может создавать и использовать приложения, какие права имеют эти приложения и какие политики расходов к ним применяются.

Вместо того чтобы разработчики определяли ресурсы и устанавливали права для каждого приложения, App Space позволяет администраторам настраивать права для групп разработчиков приложений.

Разработчики приложений используют Genie App Builder для создания приложений в App Space.

Почему стоит использовать App Spaces

По мере того как агенты по программированию упрощают создание приложений, всё больше людей по всей организации их создают. App Spaces позволяет бизнесу и другим нетехническим пользователям создавать приложения, которые получают доступ к данным, не нарушая модель управления вашей организацией. Админ определяет ограничения (идентичности, области и ресурсы) один раз для группы конструкторов, и каждое приложение, созданное в этом пространстве, наследует их.

Создать пространство приложений

Чтобы создать App Space, нужно быть администратором рабочего пространства.

Пользовательский интерфейс

1. В интерфейсе приложений Databricks нажмите App Spaces.
2. Нажмите Новое пространство.
3. Введите имя и необязательное описание, а также настройте настройки пространства. См. «Настроить пространство приложений».
4. Нажмите кнопку Создать.

Когда вы создаёте пространство приложений в интерфейсе, по умолчанию используется предустановка области Data + AI. См. области.

REST API

Отправьте POST запрос на /api/2.0/app-spaces. Установите user_api_scopes области действия, которые приложения в этом пространстве могут запросить с авторизацией пользователя.

databricks api post /api/2.0/app-spaces \
  --json '{
  "name": "sales-analytics",
  "description": "Apps for the sales analytics team",
  "user_api_scopes": [
    "sql:restricted-query",
    "genie",
    "catalog.catalogs:read",
    "catalog.schemas:read",
    "catalog.tables:read",
    "files"
  ]
}'

Чтобы установить CLI, см. Установка или обновление Databricks CLI.

Terraform

Создайте пространство приложений с помощью поставщика Terraform Databricks и ресурса databricks_app_space . Установите user_api_scopes на области действия, которые приложения в этом пространстве могут запросить с авторизацией пользователя.

resource "databricks_app_space" "sales_analytics" {
  name        = "sales-analytics"
  description = "Apps for the sales analytics team"
  user_api_scopes = [
    "sql:restricted-query",
    "genie",
    "catalog.catalogs:read",
    "catalog.schemas:read",
    "catalog.tables:read",
    "files",
  ]
}

Note

Вы не можете изменить имя App Space после его создания.

Настройте пространство приложений

Как администратор рабочего пространства, вы можете настроить:

• Авторизация пользователя: что приложения могут делать от имени пользователей.
• Политика использования без сервера: политика использования безсерверных приложений в этой области.
• Права: кто может создавать приложения в этом пространстве.

Авторизация пользователей

Авторизация пользователя, иногда называемая авторизацией от имени пользователя (OBO), позволяет приложению Databricks действовать под именем авторизованного пользователя. Приложение может получать доступ только к тем данным и ресурсам, к которым пользователю уже разрешён доступ, в пределах разрешённых вами областей доступа. См. раздел "Настройка авторизации" в приложении Databricks.

App Space позволяет администраторам ограничивать роли и сферы применения с авторизацией пользователя. Используйте авторизацию пользователя, когда доступ должен определяться существующими разрешениями каждого пользователя в Azure Databricks, например для таблиц Unity Catalog, пространств Genie и агентов или панелей мониторинга.

Управление доступом на основе ролей

Используйте управление доступом на основе ролей (RBAC) для ограничения разрешений и совместного использования приложений. Вы можете позволить пользователям выбирать роль при входе в приложение или требовать от пользователей определённой роли для использования приложений в этом пространстве.

В Azure Databricks роль реализуется как группа. Члены группы могут автоматически взять на себя эту роль. Другим пользователям требуется разрешение Assume. См. раздел "Управление доступом на основе ролей" (RBAC).

Setting	Кто может пользоваться приложениями	Права авторизации пользователя
Любая роль	Любой, с кем разработчик делится своим приложением	Роль, выбранная пользователем при входе в приложение
Только выбранная роль	Пользователи, которые могут переключиться на выбранную роль (если им предоставлен доступ к приложению)	Только выбранная роль

Рассмотрим пример.

• Пространство приложений использует только выбранную роль вместе с группой emea-sales.
• Джейн Доу является членом emea-sales.
• Разработчик приложения делится своим приложением с Джейн Доу.
• Джейн должна получить роль emea-sales, чтобы войти в приложение.
• С авторизацией пользователя приложение имеет доступ только к тому, что emea-sales может получить доступ (в пределах разрешённого объёма), даже если у Jane Doe есть дополнительные гранты и разрешения.

Note

• Чтобы использовать только выбранную роль, включите RBAC на уровне аккаунта и рабочего пространства.
• С ограничениями ролей можно использовать только группы аккаунтов.
• Разработчики по-прежнему контролируют предоставление доступа к своим приложениям, даже если выбрана роль.
• Назначение роли App Space не даёт пользователям новых разрешений. Пользователи должны просто иметь доступ к этой роли, чтобы пользоваться приложением, даже если разработчик поделился своим приложением с пользователем.

Scopes

Приложения, использующие авторизацию пользователя, должны объявлять определенные области авторизации, чтобы ограничить возможности приложения от имени пользователя. См. раздел "Настройка авторизации" в приложении Databricks.

В App Space вы определяете области доступа, которые запрашивает каждое приложение.

По умолчанию новый App Space использует пресет Data + AI , который позволяет использовать следующие 11 областей:

• sql:restricted-query
• genie
• catalog.catalogs:read
• catalog.schemas:read
• catalog.tables:read
• files
• model-serving
• ai-functions
• ai-gateway
• mcp.external
• mcp.functions

Вы можете просматривать или редактировать выбранные области при создании или настройке пространства приложений.

Политика использования без сервера

Приложения в пространстве работают в соответствии с политикой бессерверного использования. См. инструменты управления затратами на Azure Databricks.

Разрешения

Следующие разрешения определяют, кто может работать в App Space:

Permission	Предоставляет возможность
CAN CREATE APP	Разработка приложений в этой сфере
CAN MANAGE	Измените настройки пространства
CAN READ	Просматривать пространство, но не создавать в нём приложения (или обязательно использовать приложения в нём)

Примеры использования

Вы можете формировать пространство приложений вокруг того, как работает группа:

Type	Description
Публичные приложения	Приложения, которыми можно делиться с любым участником рабочего пространства. Доступ к данным и ресурсам доступен только каждому пользователю рабочего пространства.
Командные приложения	Приложения, созданные конкретной командой, соответствующие её существующей роли, инфраструктуре, данным и правам разрешений.
Project Apps	Приложения, связанные с определённым проектом или взаимодействием, которые делятся его заранее подготовленными таблицами, хранилищами, конвейерами и границами доступа.

Дополнительные ресурсы

• Конструктор приложений Genie
• Настройка авторизации в приложении Databricks