Ograniczenia kontroli dostępu opartej na rolach (RBAC)

Niektóre funkcje Azure Databricks mają ograniczoną funkcjonalność lub zwracają błędy, gdy używasz ich jako roli RBAC. Sprawdź ograniczenia funkcji i znane problemy na tej stronie przed użyciem roli dla swojego obciążenia.

W przypadku ograniczeń specyficznych dla metody przy użyciu dedykowanego przetwarzania przypisanego do grupy zobacz Znane ograniczenia.

Aby dowiedzieć się, jak działają funkcje SQL związane z tożsamościami (session_user(), is_member, is_account_group_member) podczas przy założeniu roli, zobacz Jak działają funkcje tożsamości podczas przy założeniu roli.

Nieobsługiwane i częściowo obsługiwane funkcje

Następujące funkcje nie działają lub zachowują się inaczej podczas działania jako rola:

• Agent Bricks: tworzenie agentów jako roli nie jest obsługiwane.
• Alerty: zarządzanie alertami jako rola nie jest obsługiwane.
• Aplikacje Databricks: Łączenie się z aplikacją działa. Aplikacja może autoryzować jako własną jednostkę usługi lub, gdy użytkownik nawiązuje połączenie, jako rolę, która ma uprawnienia do przyjęcia. Zasada usługi aplikacji nie może pełnić roli programowego (maszyna-maszyna) dostępu do danych.
• Pochodzenie: kolumna system.access.table_lineage.created_by jest poprawnie wypełniona rolą, ale użytkownik, który przyjął rolę, nie jest przechwytywany.
• Polityki korzystania z serwera: Gdy działasz jako rola, rozwijane menu w formularzu tworzenia polityki korzystania z serwera jest puste, więc nie możesz ograniczyć polityki do konkretnych przestrzeni roboczych. Jako obejście stwórz politykę jako swoją tożsamość użytkownika.
• Wyszukiwanie AI: zarządzanie endpointami AI Search jako rolą jest wspierane, ale tworzenie indeksów jako roli zawodzi. Aby obejść ten problem, utwórz indeks jako użytkownik, a następnie zmień właściciela na rolę. Zapytania do punktów końcowych i indeksów AI Search jako roli są poprawnie rejestrowane w zdarzeniach audytowych.

Zarządzanie tożsamościami i grupami

• Gdy działasz jako rola, workspace System for Cross-domain Identity Management (SCIM) API (/api/2.0/preview/scim/v2) nie obsługuje tworzenia ani zarządzania grupami. Zamiast tego użyj API Account Groups przez punkt końcowy konta (/api/2.1/accounts/{account-id}/scim/v2/) lub punkt końcowy workspace (/api/2.0/account/scim/v2/).
• Domyślnie można zastosować sterowanie udostępniania zasobów przestrzeni roboczej maksymalnie do 100 grup. Dodatkowo, grupy systemowe, takie jak account users i admins, nie mogą być ograniczone za pomocą kontroli udostępniania zasobów przestrzeni roboczej. Zobacz Limity i ograniczenia.

Znane problemy

Gdy RBAC jest włączony, raport Power BI, który łączy się z Azure Databricks przez sterownik ODBC Databricks, nie ładuje się ponownie, gdy raport zawiera około 10 lub więcej jednoczesnych połączeń. Raporty z niewielkimi połączeniami nie są objęte wpływem. Było to zaobserwowane w przypadku sterownika ODBC w Databricks w wersji 2.9.1.

Natywne złącze Power BI dla Azure Databricks nie jest tym dotknięte. W Power BI Desktop połącz się z natywnym złączem zamiast sterownika ODBC: w opcji Get data wyszukaj Databricks lub Azure Databricks. Natywne złącze jest dostarczane z Power BI, więc nie ma nic do zainstalowania. Zobacz Connect Power BI Desktop to Azure Databricks.

Serwer raportów usługi Power BI i Microsoft Excel łączą się z Azure Databricks wyłącznie przez sterownik ODBC. Nie ma obejścia tych powierzchni.