Contrôle d’accès en fonction du rôle (RBAC)

Avec le contrôle d'accès basé sur les rôles (RBAC), les utilisateurs et les principaux de service/service principals peuvent endosser un rôle dans Azure Databricks, qui remplace leurs autorisations actives par celles de ce rôle pour une session. Utilisez des rôles pour imposer un accès exclusif entre les projets, limiter l’accès aux données d’un agent, ou faire en sorte que les administrateurs d’espace de travail assument un rôle pour effectuer des tâches administratives.

Dans Azure Databricks, un rôle est implémenté en tant que groupe. Vous accordez aux utilisateurs, aux principaux de service ou à d’autres groupes l’autorisation Assume pour ce groupe. Tous les membres d’un groupe ont automatiquement la permission Assume sur ce groupe. Vous pouvez également accorder la permission Assume directement aux non-membres. Pour la configuration et l’activation, voir Commencer avec RBAC.

Diagramme comparant l’héritage des autorisations de membre de groupe (à gauche) avec l’hypothèse de rôle (à droite). Lorsqu’un utilisateur assume un rôle, seules les autorisations du rôle s’appliquent à la session, en remplaçant les autorisations de groupe héritées de l’utilisateur.

Comment s’appliquent les autorisations de rôle

Une identité s'est vu accorder des autorisations directement, ainsi que celles héritées des groupes auxquels elle appartient et de tous les ancêtres de ces groupes. Endosser un rôle remplace ces permissions par les autorisations directes et héritées du rôle pour la session.

Lorsqu’un utilisateur assume un rôle :

  • Les permissions du rôle assumé remplacent celles de l’utilisateur. Tout en agissant comme rôle, l’utilisateur ne peut pas accéder aux données ou ressources par le biais de son identité utilisateur.
  • Un utilisateur ne peut avoir qu’un seul rôle à la fois.
  • Pour endosser un autre rôle ou revenir à leur propre identité d’utilisateur, ils doivent de nouveau changer de rôle. Les utilisateurs qui ne sont pas assignés à l’espace de travail ne peuvent pas revenir à leur identité utilisateur. Voyez quand vous devez prendre un rôle pour accéder à un espace de travail.
  • Les rôles héritent des autorisations de leurs groupes parents. Par défaut, vos rôles héritent également des permissions accordées au groupe système de users l’espace de travail et au groupe système du compte account users, qui incluent implicitement tous les groupes de comptes. Autorisations accordées à users s’appliquent aux objets de l’espace de travail et au calcul. Les privilèges du catalogue Unity peuvent être accordés à account users, mais pas à users. Pour gérer ces autorisations, consultez les listes de contrôle d’accès et Afficher, accorder et révoquer les privilèges.
  • Les événements d’audit distinguent l’identité initiatrice (identity_metadata.run_by) de l’identité utilisée pour l’autorisation (identity_metadata.run_as). Pour les requêtes interactives, celles-ci identifient respectivement l’utilisateur et le rôle. Voir Vérifier l’attribution de l’audit.
  • Le rôle possède des objets sécurisables Unity Catalog et des objets workspace qu’un utilisateur crée lorsqu’il agit avec ce rôle, tels que des tables, notebooks, requêtes SQL, entrepôts SQL et jobs.
  • Genie One (au niveau de l’espace de travail), Genie Code et Genie Agents prennent en charge le RBAC. Lorsqu’un utilisateur endosse un rôle, ces fonctionnalités ne peuvent accéder qu’aux données et aux ressources auxquelles le rôle peut accéder. Le rôle possède tous les chats Genie que l’utilisateur crée lorsqu’il agit en tant que ce rôle.

Gérer les rôles

Créez des rôles, gérez l’autorisation AssumeRole et choisissez comment les utilisateurs et les charges de travail assument un rôle.

Sujet Description
Démarrer Créez des rôles, configurez l’accès et gérez l’autorisation Assume.
Changer de rôle Endossez un rôle à l’aide de l’interface utilisateur de l’espace de travail, du calcul dédié, de l’interface de ligne de commande Databricks, de l’API ou d’outils BI tiers.
Utilisation avec ABAC Comprenez comment les politiques de contrôle d’accès basé sur les attributs (ABAC) évaluent le rôle actif.

Gérer le partage

Contrôler si les utilisateurs agissant en tant que rôle peuvent partager les actifs que le rôle détient.

Sujet Description
Contrôles de partage des ressources de l’espace de travail Restreignez les rôles sélectionnés de partager les ressources d’espace de travail qu’ils possèdent.

Tutorials

Suivez une procédure complète de configuration et de vérification pour vos besoins d’accès.

Tutorial Description
Modèle d’accès exclusif Séparez les données de deux essais cliniques en exigeant que les chercheurs endossent le rôle pour chaque essai.
Exiger un rôle pour accéder à l’espace de travail Exiger que certains utilisateurs se voient attribuer un rôle pour accéder à un espace de travail.
Configurer l’accès d’un agent IA Limitez un agent aux permissions d’un rôle en utilisant un jeton OAuth à portée de rôle.
Utiliser un rôle pour des tâches administratives Séparez le travail quotidien de l’administration en utilisant un rôle d’administrateur d’espace de travail.

Limites

Vérifiez le support des fonctionnalités et les problèmes connus avant d’utiliser un rôle avec vos charges de travail.

Sujet Description
Limitations Examinez les fonctionnalités non prises en charge, le support partiel et les solutions de contournement lorsque vous agissez dans un rôle.
  • Dernière mise à jour :