App Spaces

App Space to granica zarządzania, gdzie administratorzy definiują, kto może tworzyć i używać aplikacji, jakie uprawnienia mają te aplikacje oraz jakie polityki wydatków do nich się odnoszą.

Zamiast pozwalać deweloperom definiować zasoby i ustawiać uprawnienia dla każdej aplikacji, App Space umożliwia administratorom konfigurowanie uprawnień dla grup deweloperów.

Twórcy aplikacji używają Genie App Builder do tworzenia aplikacji w App Space.

Dlaczego warto korzystać z App Spaces

Ponieważ agenci kodujący ułatwiają tworzenie aplikacji, coraz więcej osób w całej organizacji je tworzy. App Spaces pozwalają użytkownikom biznesowym i innym nietechnicznym tworzyć aplikacje umożliwiające dostęp do danych bez naruszania modelu zarządzania organizacją. Administrator definiuje bariery (tożsamości, zakresy i zasoby) raz dla grupy twórców, a każda aplikacja stworzona w tej przestrzeni je dziedziczy.

Stwórz przestrzeń aplikacji

Musisz być administratorem przestrzeni roboczej, aby stworzyć App Space.

interfejs użytkownika

1. W interfejsie Databricks Apps kliknij App Spaces.
2. Kliknij Nowe miejsce.
3. Wpisz nazwę i opcjonalny opis oraz skonfiguruj ustawienia przestrzeni. Zobacz: Konfigurowanie przestrzeni aplikacji.
4. Kliknij pozycję Utwórz.

Gdy tworzysz App Space w interfejsie, domyślnie używa on presetu Data + AI. Zobacz Zakresy.

interfejs API REST

Wyślij POST zapytanie do /api/2.0/app-spaces. Ustaw user_api_scopes na zakresy, o które aplikacje w tej przestrzeni mogą prosić za zgodą użytkownika.

databricks api post /api/2.0/app-spaces \
  --json '{
  "name": "sales-analytics",
  "description": "Apps for the sales analytics team",
  "user_api_scopes": [
    "sql:restricted-query",
    "genie",
    "catalog.catalogs:read",
    "catalog.schemas:read",
    "catalog.tables:read",
    "files"
  ]
}'

Aby zainstalować interfejs wiersza polecenia CLI, zobacz Instalowanie lub aktualizowanie interfejsu Databricks CLI.

Terraform

Stwórz App Space z dostawcą Databricks Terraform oraz zasobem databricks_app_space. Ustaw user_api_scopes na zakresy, o które aplikacje w tej przestrzeni mogą prosić za zgodą użytkownika.

resource "databricks_app_space" "sales_analytics" {
  name        = "sales-analytics"
  description = "Apps for the sales analytics team"
  user_api_scopes = [
    "sql:restricted-query",
    "genie",
    "catalog.catalogs:read",
    "catalog.schemas:read",
    "catalog.tables:read",
    "files",
  ]
}

Konfiguruj przestrzeń aplikacji

Jako administrator przestrzeni roboczej możesz konfigurować:

• Autoryzacja użytkownika: co aplikacje mogą robić w imieniu użytkowników.
• Polityka korzystania z architektury bezserwerowej: polityka korzystania z aplikacji w przestrzeni.
• Uprawnienia: kto może tworzyć aplikacje w przestrzeni.

Autoryzacja użytkownika

Autoryzacja użytkownika, czasem nazywana autoryzacją on-behalf-of-user (OBO), pozwala aplikacji Databricks działać z tożsamością zalogowanego użytkownika. Aplikacja może dotrzeć tylko do danych i zasobów, do których użytkownik ma już dostęp, w ramach dozwolonych przez Ciebie zakresów. Zobacz Konfigurowanie autoryzacji w aplikacji usługi Databricks.

App Space pozwala administratorom ograniczać role i zakresy, które mogą być używane za autoryzacją użytkownika. Używaj autoryzacji użytkownika, gdy dostęp powinien podążać za istniejącymi uprawnieniami Azure Databricks każdego użytkownika, na przykład dla tabel katalogu Unity, agentów Genie czy pulpitów nawigatorskich.

Kontrola dostępu oparta na rolach

Używaj kontroli dostępu opartej na rolach (RBAC), aby ograniczyć uprawnienia aplikacji i udostępnianie danych. Możesz pozwolić użytkownikom wybrać rolę podczas logowania się do aplikacji lub wymagać od nich przyjęcia konkretnej roli, aby korzystać z aplikacji w danym obszarze.

W Azure Databricks rola jest implementowana jako grupa. Członkowie grupy mogą automatycznie przejąć tę rolę. Inni użytkownicy potrzebują uprawnienia Assume. Zobacz Kontrola dostępu oparta na rolach (RBAC) .

Przykład:

• App Space korzysta z opcji Tylko wybrana rola dla grupy emea-sales.
• Jane Doe jest członkinią .emea-sales
• Twórca aplikacji dzieli się swoją aplikacją z Jane Doe.
• Jane musi przyjąć rolę emea-sales, aby zalogować się do aplikacji.
• Za zgodą użytkownika aplikacja ma dostęp tylko do tego, do czego emea-sales ma dostęp (w ramach dozwolonych zakresów), nawet jeśli Jane Doe ma dodatkowe nadane uprawnienia i zezwolenia.

Scopes

Aplikacje korzystające z autoryzacji użytkownika muszą zadeklarować określone zakresy autoryzacji, aby ograniczyć możliwości aplikacji w imieniu użytkownika. Zobacz Konfigurowanie autoryzacji w aplikacji usługi Databricks.

W App Space kontrolujesz zakresy, o które każda aplikacja prosi.

Domyślnie nowy App Space korzysta z presetu Data + AI , który pozwala na następujące 11 zakresów:

• sql:restricted-query
• genie
• catalog.catalogs:read
• catalog.schemas:read
• catalog.tables:read
• files
• model-serving
• ai-functions
• ai-gateway
• mcp.external
• mcp.functions

Możesz przeglądać lub edytować wybrane zakresy podczas tworzenia lub konfiguracji App Space.

Zasady korzystania z usług bezserwerowych

Aplikacje w danej przestrzeni działają w ramach polityki użytkowania w modelu serverless. Zobacz narzędzia zarządzania kosztami na Azure Databricks.

Permissions

Następujące uprawnienia kontrolują, kto może pracować w App Space:

Przykładowe zastosowania

Możesz dostosować App Space do tego, jak działa grupa:

Dodatkowe zasoby

• Genie App Builder
• Konfigurowanie autoryzacji w aplikacji usługi Databricks