Zacznij z RBAC

Skonfiguruj kontrolę dostępu opartą na rolach (RBAC) w usłudze Azure Databricks, aby użytkownikom i jednostkom usługi można było przypisywać role z uprawnieniami potrzebnymi do każdego zadania. Wybierz grupę do wykorzystania jako rolę, przyznaj uprawnienia do przyjmowania tej roli i skonfiguruj jej dostęp. Informacje o modelu uprawnień znajdziesz w kontroli dostępu opartej na rolach (RBAC).

Requirements

  • Przestrzeń robocza umożliwiająca federację tożsamości. Zobacz Federacja tożsamości.
  • RBAC jest włączony na poziomie konta i przestrzeni roboczej. Administrator konta i administrator przestrzeni roboczej wykonują odpowiednie kroki aktywacji.
  • Uprawnienia administratora konta lub przestrzeni roboczej do tworzenia grup i przypisywania ich do przestrzeni roboczych.
  • Zarządzaj uprawnieniami w grupie roli do udzielania lub cofania uprawnień Assume. Administratorzy kont mają uprawnienie Manage do wszystkich grup. Administratorzy przestrzeni roboczych otrzymują opcję „Zarządzaj” w grupach, które sami tworzą. Zobacz Kto może zarządzać grupami?.
  • Uprawnienia administratora przestrzeni roboczej do zarządzania uprawnieniami istniejącej grupy w przestrzeni roboczej.
  • Uprawnienie do udzielenia roli dostępu do danych, zasobów obliczeniowych i zasobów przestrzeni roboczej, których potrzebuje. Wymagane uprawnienia zależą od wybranych przez ciebie zasobów.

Różni administratorzy mogą wykonywać te zadania. Menedżerowie grup mogą zarządzać uprawnieniami grupowymi za pośrednictwem API. Zobacz Zarządzanie uprawnieniami w grupie.

Włącz RBAC

RBAC jest już włączony dla większości klientów. Jeśli nie jesteś pewien, czy jest włączony dla Twojego konta i przestrzeni roboczych, sprawdź te ustawienia:

  1. Jako administrator konta upewnij się, że na koncie na stronie Previews włączona jest funkcja kontroli dostępu opartej na rolach (RBAC) na poziomie konta.
  2. Jako administrator przestrzeni roboczej upewnij się, że kontrola dostępu oparta na rolach (RBAC) jest włączona na stronie Podglądów przestrzeni roboczej.

Ustawienie konta udostępnia ustawienie obszaru roboczego. Włącz RBAC w każdej przestrzeni roboczej, gdzie użytkownicy muszą przyjmować role.

Wybierz lub stwórz rolę

W Azure Databricks rola jest implementowana jako grupa kont. Możesz użyć grupy utworzonej w Azure Databricks lub zewnętrznej grupy z Microsoft Entra ID. Grupy zewnętrzne to także grupy kontowe. Aby dowiedzieć się o źródłach grupowych i o tym, jak grupy kont różnią się od grup lokalnych w przestrzeni roboczej, zobacz źródła grupowe.

Zdecyduj, czy grupa powinna mieć członków:

  • Członkowie dziedziczą uprawnienia grupy, w tym uprawnienia z jej grup nadrzędnych, jako część swojej tożsamości. Członkowie mogą przyjąć grupę jako rolę, aby ograniczyć sesję do uprawnień grupy i współpracować przy zasobach należących do grupy.
  • Możesz przyznać uprawnienie Assume bezpośrednio osobom niebędącym członkami bez dodawania ich jako członków, dzięki czemu nie dziedziczą uprawnień grupy we własnej tożsamości. Dla wzorca, który wymaga świadomego założenia roli do dostępu do danych, użyj grupy pustej i pozostawiaj ją pustą. Zobacz Samouczek: Modelowanie wyłącznego dostępu za pomocą RBAC.

Aby utworzyć rolę lokalną dla konta:

Konsola konta

  1. Jako administrator konta zaloguj się do konsoli konta.
  2. Na pasku bocznym kliknij pozycję Zarządzanie użytkownikami.
  3. Na karcie Grupy kliknij pozycję Dodaj grupę.
  4. Wpisz nazwę roli, a następnie kliknij Potwierdź.
  5. Dodaj członków tylko wtedy, gdy powinni również odziedziczyć uprawnienia grupy we własnym imieniu.

Ustawienia administratora obszaru roboczego

  1. Jako administrator obszaru roboczego zaloguj się do obszaru roboczego Azure Databricks.
  2. Kliknij swoją nazwę użytkownika na górnym pasku i wybierz pozycję Ustawienia.
  3. Kliknij kartę Tożsamość i dostęp .
  4. Obok pozycji Grupy kliknij pozycję Zarządzaj.
  5. Kliknij Dodaj grupę, a następnie Dodaj nowe.
  6. Wpisz nazwę roli i wybierz wymagane uprawnienia. Zobacz Konfigurowanie dostępu do przestrzeni roboczej.
  7. Kliknij przycisk Dodaj.
  8. Dodaj członków tylko wtedy, gdy powinni również dziedziczyć uprawnienia grupy w ramach swoich własnych kont.

To również przypisuje grupę do przestrzeni roboczej. Otrzymujesz uprawnienie Manage w grupie, które pozwala zarządzać członkostwem i przyznawać uprawnienie Assume (Przyjmuj).

Databricks zaleca stosowanie spójnego prefiksu, takiego jak role-, aby rozróżnić grupy używane jako role. Na przykład użyj role-study-1 dla roli oraz trial-researchers dla grupy, której członkowie mogą przyjąć tę rolę.

Aby zapoznać się z procedurami synchronizacji grup, zobacz Zarządzanie grupami usługi Azure Databricks.

Opcjonalnie: Użyj API Account Groups

Możesz także tworzyć i zarządzać grupami za pomocą API Account Groups. Dla punktów końcowych i przykładów zobacz Zarządzanie grupami za pomocą API.

Zarządzanie uprawnieniem Assume

Użytkownicy i podmioty usługowe mogą przyjąć rolę, gdy mają uprawnienie Assume, bezpośrednio lub poprzez członkostwo w grupie. Nadaj uprawnienia grupie, która realizuje tę rolę. Członkowie grupy automatycznie mają uprawnienie „Assume”, więc potrzebne są tylko wyraźne przyznania dla osób niebędących członkami grupy.

Aby udzielić uprawnienia Assume, użyj konsoli konta lub ustawień administratora workspace:

Konsola konta

  1. Jako administrator konta otwórz Zarządzanie użytkownikami> i wybierz grupę roli.
  2. Kliknij Uprawnienia, a następnie Udziel dostępu.
  3. Wybierz użytkownika, jednostkę usługi lub grupę kont, która powinna móc przyjąć tę rolę.
  4. Wybierz Załóż, a potem kliknij Zapisz.

Ustawienia administratora obszaru roboczego

  1. Jako administrator przestrzeni roboczej z uprawnieniem „Zarządzanie” dla roli otwórz Ustawienia>Tożsamość i dostęp.
  2. Obok Grupy kliknij Zarządzaj, a następnie wybierz grupę roli.
  3. Kliknij Uprawnienia, a następnie Udziel dostępu.
  4. Wybierz użytkownika, jednostkę usługi lub grupę kont użytkowników, która powinna móc przyjąć tę rolę.
  5. Wybierz Przyjmij, a potem kliknij Zapisz.

Gdy przyznajesz grupie uprawnienie Assume, jej członkowie mogą przyjąć tę rolę. Nie muszą bezpośrednio należeć do tej roli. Możesz także przyznać uprawnienie Assume bezpośrednio poszczególnym użytkownikom lub jednostkom usługi.

Aby cofnąć uprawnienie Assume, usuń odpowiednie uprawnienie. Sprawdź, czy podmiot zabezpieczeń nadal może przyjąć tę rolę poprzez członkostwo w grupie przypisanej do tej roli lub w innej grupie, której przyznano uprawnienie Assume. Usunięcie bezpośredniego przyznania nie usuwa tych innych ścieżek.

Ogranicz zarządzanie rolą do administratorów odpowiedzialnych za jej członkostwo i uprawnienia. Podmiot z uprawnieniem Manage może udzielać innym uprawnienia Assume. Zobacz Zarządzaj uprawnieniami w grupie dla procedur konsoli kont i workspace-admin lub Przyznanie lub cofnięcie uprawnień Assume dla grupy dla interfejsu API Access Control.

Konfiguruj dostęp do przestrzeni roboczej

Przypisz rolę do każdego obszaru roboczego, gdzie powinna być dostępna. administratorzy kont i przestrzeni roboczych mogą przypisywać grupy do przestrzeni roboczych. Zobacz Przypisywanie grupy do obszaru roboczego.

Każde uprawnienie dostępu daje dostęp do określonego zestawu funkcji w przestrzeni roboczej. Wybierz uprawnienia, których wymaga dane stanowisko:

  • Dostęp do przestrzeni roboczej: Daje dostęp do kluczowych funkcji przestrzeni roboczej, takich jak notatniki i zadania.
  • Dostęp do bazy danych SQL usługi Databricks: udziela dostępu do funkcji SQL usługi Databricks, w tym pulpitów nawigacyjnych, zapytań i magazynów SQL.

Zobacz uprawnienia dostępu, aby uzyskać informacje o wszystkich uprawnieniach dostępu, w tym Consumer access, oraz o tym, jak nimi zarządzać. Wybierz uprawnienia roli wyraźnie zamiast polegać na domyślnych uprawnieniach w przestrzeni roboczej. Zobacz Omówienie.

Zdecyduj, czy użytkownicy powinni być również przypisani do przestrzeni roboczej jako własne tożsamości:

  • Użytkownicy z bezpośrednim lub dziedziczonym przydziałem do przestrzeni roboczej oraz uprawnieniami dostępu mogą zalogować się na swoje konto i przełączyć się na rolę, do której mają uprawnienia.
  • Użytkownicy bez bezpośredniego lub dziedziczonego przypisania przestrzeni roboczej muszą mieć przypisaną do tej przestrzeni rolę, aby wejść. Potrzebują uprawnienia Assume dla roli, a rola wymaga uprawnienia dostępu. Zobacz samouczek: Wymagaj od użytkowników przyjęcia roli dostępu do przestrzeni roboczej.

Uprawnienie Assume kontroluje, kto może korzystać z roli. Przydziały przestrzeni roboczej decydują o tym, gdzie jest dostępny, a uprawnienia dostępu określają, z których funkcji przestrzeni roboczej może korzystać. Przyznawaj uprawnienia do danych i uprawnienia osobno dla obiektów obliczeniowych i obszaru roboczego.

Przyznaj dostęp do zasobów

Nadaj roli uprawnienia potrzebne do wykonywania swojego zadania:

  • Dane: Przyznaj uprawnienia do Unity Catalog za pomocą SQL lub Catalog Explorer. Odczytanie tabeli wymaga uprawnienia USE CATALOG do katalogu, USE SCHEMA do schematu i SELECT do tabeli. Przywileje takie jak SELECT, przyznane dla katalogu lub schematu, dotyczą także jego obecnych i przyszłych obiektów potomnych. Zobacz dziedziczenie przywilejów i zarządzanie uprawnieniami w Unity Catalog.
  • Compute: Udzielenie zgody na korzystanie z wybranego zasobu obliczeniowego. W magazynie SQL nadaj uprawnienie Can use, aby rola mogła uruchamiać zapytania. Zobacz Zarządzanie magazynem danych SQL. Aby uzyskać dedykowane zasoby obliczeniowe przypisane do grupy, zobacz Dostęp do grup dedykowanych zasobów obliczeniowych.
  • Obiekty przestrzeni roboczej: Używaj list kontroli dostępu (ACL), aby przyznać dostęp do notatników, zadań i innych obiektów przestrzeni roboczej. Zobacz Listy kontroli dostępu.

Role dziedziczą uprawnienia ze swoich grup nadrzędnych. Domyślnie Twoje role dziedziczą także uprawnienia przyznawane grupie systemowej przestrzeni users roboczej oraz grupie account users systemowej konta. Zmiana współdzielonych grantów wpływa na innych użytkowników i role, które je dziedziczą. Zobacz Jak działają uprawnienia roli.

Jeśli użytkownicy pełniący tę rolę nie mogą udostępniać zasobów przestrzeni roboczej, których właścicielem jest ta rola, skonfiguruj kontrolę udostępniania zasobów przestrzeni roboczej.

Użyj i zweryfikuj rolę

Użytkownik lub jednostka usługi z uprawnieniem Assume uwierzytelnia się w roli za pomocą metody w Przełącz role RBAC. Sprawdź, czy rola może uzyskać dostęp do wymaganych zasobów i otrzymuje błędy uprawnień dla zasobów poza zakresem przewidzianego dostępu. Porównaj te wyniki z wynikami uzyskanymi przez tę samą tożsamość działającą bez roli.

Dla danych objętych kontrolą dostępu opartą na atrybutach (ABAC) polityki oceniają aktywną rolę. Zobacz Korzystanie z RBAC z ABAC, aby poznać zachowania funkcji tożsamości oraz wzorce łącznego użycia.

Weryfikacja atrybucji audytu

Wykonaj zapytanie do system.access.audit z obszaru roboczego obsługującego Unity Catalog w tym samym koncie i regionie chmury, co obszar roboczy, w którym testowałeś rolę. Czytelnik audytu potrzebuje USE CATALOG do system, USE SCHEMA do system.access, SELECT do system.access.audit oraz uprawnienia do korzystania z query compute. Zobacz Udzielanie dostępu do tabel systemowych.

Pola metadanych tożsamości rozróżniają tożsamości zaangażowane w zdarzenie:

  • run_by: tożsamość, która zainicjowała to wydarzenie.
  • run_as: tożsamość używana do autoryzacji.
  • run_by_display_name oraz run_as_display_name: odpowiadające im nazwy czytelne dla człowieka.

Dla interaktywnych żądań wykonywanych podczas przejmowania roli run_as identyfikuje użytkownika, a run_by identyfikuje rolę. W przypadku obciążeń zadań run_by identyfikuje nazwę główną usługi aplikacji usługi Jobs. Zobacz Set Run as to a group (Ustaw uruchom jako na grupę).

Filtruj według workspace_id i event_date aby znaleźć swoją aktywność testową. Dane tabel systemu audytu są aktualizowane w ciągu dnia i nie wspierają monitorowania w czasie rzeczywistym. Jeśli brakuje ostatniego wydarzenia, sprawdź ponownie później. Zobacz opis tabeli systemowej Dziennik audytu oraz odniesienie do tabel systemowych.

Dodatkowe zasoby

Wybierz samouczek, aby uzyskać pełną procedurę konfiguracji i weryfikacji:

Przed zastosowaniem roli do innych obciążeń zapoznaj się z ograniczeniami kontroli dostępu opartej na rolach (RBAC).

  • Ostatnia aktualizacja o