Schakelen tussen rollen

U kunt op verschillende manieren een rol aannemen in Azure Databricks. In alle gevallen worden uw machtigingen voor de gebruikersidentiteit vervangen door de machtigingen van de rol voor de duur van de sessie of verbinding en worden alle acties toegewezen aan de rol.

Als u een rol wilt aannemen, moet u de machtiging Assume ervoor hebben, hetzij direct, hetzij als lid van de onderliggende groep. Zie Machtigingen beheren voor een groep.

Important

Alle groepen die zijn toegewezen aan een werkruimte nemen machtigingen over van de systeemgroep van users de werkruimte, waaronder alle werkruimtegebruikers. Terwijl u een rol gebruikt, ziet u nog steeds catalogi, Unity Catalog-objecten, werkruimtemiddelen en rekenresources die met alle werkruimtegebruikers worden gedeeld, naast wat rechtstreeks aan de rol is toegewezen. Als u wilt beperken wat de rol kan zien, vermindert u de machtigingen van de users systeemgroep in uw werkruimte.

Rolwisselaar in de werkruimte

Gebruik de functiewisselaar om een rol uit te nemen in de hele werkruimte. Alle toegang, machtigingen, eigendomsrechten en acties zijn gedurende de sessie gelijk aan die van de rol.

  1. Klik in de Azure Databricks werkruimte op de naam van de werkruimte in de rechterbovenhoek van de bovenste balk.
  2. Beweeg de muisaanwijzer over de huidige werkruimte (het bovenste item in het menu) om het submenu van de rolwisselaar weer te geven.
  3. Klik in het submenu op de rol die u wilt aannemen.

De gebruikersinterface wordt opnieuw geladen en de identiteit die wordt weergegeven onder de naam van de werkruimte verandert in de rol die u hebt geselecteerd.

Als u wilt terugkeren naar uw gebruikersidentiteit, opent u hetzelfde submenu en selecteert u uw gebruikersnaam.

Note

Als u het submenu van de rollenkiezer niet ziet, controleer dan of u lid bent van een groep die aan de werkruimte is toegewezen, of dat u de machtiging 'Assume' hebt gekregen voor een groep die aan de werkruimte is toegewezen. Zie Machtigingen beheren voor een groep.

U kunt rechtstreeks via de werkruimte-URL een rol aannemen door de queryparameter aid (assume ID) toe te voegen en deze in te stellen op de groeps-ID: aid=<group-id>. Als u die URL opent, wordt u zoals gebruikelijk geauthenticeerd met uw gebruikersidentiteit en wordt vervolgens automatisch de rol aangenomen, zodat u de functie om van rol te wisselen niet hoeft te gebruiken.

Als u bijvoorbeeld een werkruimte wilt openen die al als een rol fungeert:

https://<workspace-url>/?o=<workspace-id>&aid=<group-id>

Dit is handig om een bladwijzer te maken of een link te delen die direct naar een rol leidt. Azure Databricks behoudt de parameter aid wanneer u door de werkruimte navigeert, zodat u gedurende de sessie in die rol blijft. Als u naar een andere werkruimte overschakelt, wordt deze leeggemaakt, omdat rollen specifiek zijn voor werkruimten.

Zie Groepen beheren om de id van een groep te vinden. Als u wilt schakelen tussen rollen of wilt terugkeren naar uw gebruikersidentiteit nadat u de koppeling hebt geopend, gebruikt u de rolwisselaar.

Toegewezen rekenkracht toegewezen aan een groep

Wanneer u verbinding maakt met een toegewezen rekenresource die is toegewezen aan een groep, worden uw machtigingen automatisch beperkt tot de machtigingen van die groep voor alle bewerkingen op die berekening. Dit komt overeen met het aannemen van de rol van de groep voor de duur van de computesessie, en dit geldt voor notebooks, query's en alle andere workloads die op de compute worden uitgevoerd. In tegenstelling tot de andere methoden wisselt u niet eerst van rol in de UI van de werkruimte: door verbinding te maken met de rekenresources wordt u aan de groep gekoppeld.

Zie Toegang tot toegewezen rekengroepen voor meer informatie over het instellen van toegewezen berekeningen voor een groep.

CLI (Command Line Interface)

Wanneer u zich verifieert bij een Azure Databricks werkruimte met behulp van de CLI, opent de CLI uw webbrowser om de verificatiestroom te voltooien. Als u de machtiging 'Assume' hebt voor een of meer rollen, kiest u in de browser of u zich wilt aanmelden als uw eigen gebruikersidentiteit of als een van die rollen.

databricks auth login --host <workspace-url>

Nadat u de aanmeldingsstroom hebt voltooid, autoriseert de CLI alle bewerkingen met dit profiel als de rol die u hebt geselecteerd. Voorbeeld:

databricks warehouses list --profile <profile-name>

Zie Verificatie voor de Databricks CLI voor meer informatie over CLI-verificatie.

API (OAuth-tokenuitwisseling)

U kunt een OAuth-token genereren dat is gericht op een rol, die u kunt gebruiken om API-aanroepen als die rol te maken. Het scoped token autoriseert alle API-bewerkingen als de rol.

Als u een token met rollenbereik wilt genereren, voert u de opdracht uit databricks auth login zoals beschreven in CLI en selecteert u de rol in uw webbrowser. Het resulterende token is beperkt tot die rol.

U kunt ook handmatig een OAuth-token met rollenbereik genereren door de onderliggende groeps-id door te geven als de assume_group parameter tijdens de OAuth-autorisatiecodestroom. Zie Gebruikerstoegang autoriseren voor Azure Databricks met OAuth voor meer informatie.

BI-hulpprogramma's van derden

BI-tools van derden die OAuth ondersteunen (zoals Tableau en Power BI) kunnen zich als een rol autoriseren. Zodra dit is geconfigureerd, autoriseert het BI-hulpprogramma alle query's die worden uitgevoerd als de rol. Deze autorisatie werkt met alle typen reken- en SQL-warehouses.

Voor bekende problemen die BI-tools en drivers beïnvloeden wanneer ze als rol optreden, zie Bekende problemen.

Welke wijzigingen worden er aangebracht wanneer u een rol gaat aannemen

Ongeacht welke methode u gebruikt om een rol aan te nemen:

  • Notebooks en query’s worden uitgevoerd onder de rol. De machtigingen van de rol worden gebruikt voor alle toegang tot gegevens en Unity Catalog-bewerkingen.
  • Taken die worden gemaakt wanneer de rol actief is, krijgen automatisch Run as ingesteld op de rol. U kunt de optie 'Run as' van een taak ook instellen op een groep zonder deze eerst aan te nemen. Zie Uitvoeren als instellen voor een groep.
  • De rol is eigenaar van alle werkruimteassets die u maakt (notebooks, SQL-query's, SQL-magazijnen, taken).
  • Auditlogboeken registreren identity_metadata.run_by als uw gebruikersidentiteit en identity_metadata.run_as als de rol.

Zie RBAC-beperkingen (Op rollen gebaseerd toegangsbeheer) voor functies die niet of slechts gedeeltelijk worden ondersteund wanneer u als rol fungeert.

Volgende stappen 

  • Last updated on