Contrôler le partage des ressources de l’espace de travail avec RBAC

Les administrateurs d’espaces de travail peuvent restreindre certains rôles de contrôle d’accès basé sur les rôles (RBAC) afin qu’ils ne partagent pas les ressources de l’espace de travail qu’ils possèdent dans Azure Databricks. Configurez le paramètre Restreindre le partage pour les groupes, puis vérifiez la restriction en utilisant un rôle. Le réglage supporte par défaut jusqu’à 100 groupes.

Contrôles de partage de ressources d’espace de travail

Lorsque les utilisateurs assument un rôle, ils peuvent créer des ressources d’espace de travail (notebooks, requêtes SQL, entrepôts SQL, travaux) que le rôle possède. Par défaut, le rôle peut partager ces ressources avec d’autres utilisateurs de l’espace de travail. Par exemple, publier un tableau de bord avec des permissions de données partagées permet aux spectateurs d’effectuer des requêtes en utilisant les permissions de données de l’éditeur, même s’ils n’ont pas accès direct aux données sous-jacentes. Voir Qu’est-ce que les autorisations de données partagées ?.

Le paramètre Restreindre le partage pour les groupes au niveau de l’espace de travail empêche certains groupes de partager les ressources de l’espace de travail qu’ils possèdent. Ces groupes sont généralement des rôles configurés pour un accès exclusif.

Exigences

Vous devez être administrateur d’espace de travail pour configurer des contrôles de partage de ressources d’espace de travail.

Comment la restriction s’applique

La restriction s’applique lorsqu’un utilisateur ou un principal de service endosse le rôle associé à un groupe listé ou à un groupe imbriqué sous celui-ci.

Ce paramètre contrôle les autorisations de partage sur les assets d’espace de travail détenus par le rôle restreint. Il ne modifie pas les privilèges sur les objets du catalogue Unity et n’empêche pas toutes les façons dont une personne ayant accès aux données pourrait les copier ou les divulguer.

• Les utilisateurs et les principaux de service agissant sous leur propre identité peuvent partager n’importe quelle ressource de l’espace de travail qu’ils possèdent ou peuvent gérer, même s’ils font partie d’un groupe listé.
• Un utilisateur agissant en tant que groupe répertorié ne peut pas partager les actifs de l’espace de travail appartenant à ce groupe, même avec l’autorisation « Can Manage » sur l’actif.
• Un utilisateur agissant en tant que groupe imbriqué sous un groupe répertorié est également restreint. Par exemple, si la liste contient clinical-trial-1et clinical-trial-1-analysts est imbriquée sous celle-ci, les utilisateurs agissant comme clinical-trial-1-analysts étant également restreints.

Limites et contraintes

Les limites suivantes s’appliquent à la liste des groupes restreints :

• Les groupes système ne peuvent pas être ajoutés : Les groupes système, tels que account users, admins, users, et account admins, ne peuvent pas être ajoutés à la liste de partage de restriction. Cette restriction ne peut être contournée.
• Nombre de groupes : Par défaut, vous pouvez ajouter jusqu’à 100 groupes à la liste de partage de restrictions. Contactez votre équipe de comptes Azure Databricks si vous avez besoin d’une limite plus élevée.

Configurer des contrôles de partage

Pour empêcher un groupe de partager les ressources de l’espace de travail qu’il possède :

1. Dans l’espace de travail Azure Databricks, cliquez sur votre nom d’utilisateur en haut à droite, puis sélectionnez Paramètres.
2. Cliquez sur l’onglet Avancé.
3. Recherchez Restreindre le partage pour les groupes.
4. Cliquez sur le bouton Modifier.
5. Parcourez, recherchez et sélectionnez les groupes que vous souhaitez limiter.
6. Cliquez sur Enregistrer.

Vérifier la restriction

Pour vérifier que la restriction fonctionne :

1. Supposons un rôle restreint à l’aide de l’une des méthodes prises en charge. Voir Changer les rôles RBAC.
2. Ouvrez ou créez une ressource d’espace de travail appartenant au rôle (par exemple, un bloc-notes).
3. Essayez de partager la ressource.

L’option de partage n’est pas disponible pour les ressources détenues par des rôles restreints.

Ressources supplémentaires