Kontroluj udostępnianie zasobów obszaru roboczego za pomocą mechanizmu RBAC

Administratorzy przestrzeni roboczej mogą ograniczać wybranym rolom kontroli dostępu opartej na rolach (RBAC) możliwość udostępniania zasobów przestrzeni roboczej należących do tych ról w usłudze Azure Databricks. Skonfiguruj ustawienie Restrict sharing for groups, a następnie zweryfikuj to ograniczenie, działając w roli. Ustawienie domyślnie obsługuje do 100 grup.

Kontrolki udostępniania zasobów obszaru roboczego

Gdy użytkownicy przyjmują określoną rolę, mogą tworzyć zasoby obszaru roboczego (notatniki, zapytania SQL, hurtownie SQL, zadania), których właścicielem jest ta rola. Domyślnie rola może udostępniać te zasoby innym użytkownikom obszaru roboczego. Na przykład publikacja panelu z uprawnieniami do współdzielonych danych pozwala użytkownikom uruchamiać zapytania z wykorzystaniem uprawnień wydawcy, nawet jeśli nie mają bezpośredniego dostępu do danych bazowych. Zobacz Co to są uprawnienia do danych udostępnionych?.

Ustawienie Ogranicz udostępnianie dla grup na poziomie przestrzeni roboczej uniemożliwia wybranym grupom udostępnianie zasobów przestrzeni roboczej, które posiadają. Grupy te to zazwyczaj role skonfigurowane do dostępu wyłącznego.

Wymagania

Aby skonfigurować mechanizmy udostępniania zasobów obszaru roboczego, musisz być administratorem obszaru roboczego.

Jak ma zastosowanie ograniczenie

Ograniczenie to ma zastosowanie, gdy użytkownik lub service principal przyjmuje rolę wymienionej grupy lub grupy zagnieżdżonej pod nią.

To ustawienie kontroluje uprawnienia do udostępniania zasobów przestrzeni roboczej należących do ograniczonej roli. Nie zmienia uprawnień do obiektów Unity Catalog ani nie zapobiega wszystkim sposobom kopiowania lub ujawniania danych przez osobę mającą do nich dostęp.

• Użytkownicy i nazwy główne usług działający we własnym imieniu mogą udostępniać dowolne zasoby przestrzeni roboczej, które posiadają lub którymi mogą zarządzać, nawet jeśli należą do wymienionej grupy.
• Użytkownik działający jako wymieniona grupa nie może udostępniać zasobów przestrzeni roboczej należących do tej grupy, nawet mając uprawnienia Can Manage na zasobie.
• Użytkownik działający jako grupa zagnieżdżona w grupie wymienionej jest również ograniczony. Jeśli na przykład lista zawiera clinical-trial-1, a element clinical-trial-1-analysts jest w nim zagnieżdżony, użytkownicy występujący jako clinical-trial-1-analysts również podlegają ograniczeniom.

Limity i ograniczenia

Do listy grup ograniczonych obowiązują następujące ograniczenia:

• Grupy systemowe nie mogą być dodawane: Grupy systemowe, takie jak account users, admins, users, i account admins, nie mogą być dodawane do listy ograniczeń udostępniania. Tego ograniczenia nie da się zignorować.
• Liczba grup: Domyślnie możesz dodać do 100 grup do listy ograniczeń udostępniania. Skontaktuj się ze swoim zespołem kont Azure Databricks, jeśli potrzebujesz wyższego limitu.

Konfigurowanie kontrolek udostępniania

Aby ograniczyć grupę do udostępniania zasobów obszaru roboczego, których jest właścicielem:

1. W obszarze roboczym Azure Databricks kliknij swoją nazwę użytkownika w prawym górnym rogu i wybierz pozycję Ustawienia.
2. Kliknij kartę Zaawansowane.
3. Znajdź pozycję Ogranicz udostępnianie dla grup.
4. Kliknij przycisk edytuj.
5. Przeglądaj, wyszukaj i wybierz grupy, które chcesz ograniczyć.
6. Kliknij Zapisz.

Weryfikowanie ograniczenia

Aby sprawdzić, czy ograniczenie działa:

1. Przyjmij rolę z ograniczeniami przy użyciu dowolnej z obsługiwanych metod. Zobacz Przełącz role RBAC.
2. Otwórz lub utwórz zasób w obszarze roboczym należący do tej roli (na przykład notatnik).
3. Spróbuj udostępnić zasób.

Opcja udostępnienia jest niedostępna dla zasobów należących do ról objętych ograniczeniami.

Dodatkowe zasoby