Tutorial: Użyj roli RBAC do administracji przestrzeni roboczej

Użyj kontroli dostępu opartej na rolach (RBAC), aby oddzielić codzienną pracę od zadań wymagających uprawnień administratora przestrzeni roboczej w Azure Databricks. Użytkownicy przejmują rolę administratora, gdy jest to potrzebne, i wracają do swojej tożsamości użytkownika, dzięki czemu w ich codziennych sesjach nie ma uprawnień administracyjnych.

Scenario

Inżynierowie ds. niezawodności witryny (SRE) w sre-team mają stały dostęp administratora do obszaru roboczego poprzez bezpośrednie lub dziedziczone członkostwo w grupie systemowej obszaru roboczego admins. Tworzysz pustą grupę role-workspace-admin, udzielasz sre-team pozwolenia na przyjęcie tej roli i dodajesz rolę do admins.

Po przetestowaniu roli usuwasz stały dostęp administratora dla SRE, których przenosisz na tę rolę, zachowując jednocześnie ich codzienny dostęp do przestrzeni roboczej. Inni administratorzy przestrzeni roboczych zachowują swoje istniejące dostępy. SRE decydują, kiedy przyjmują tę rolę, a kiedy powracają do poprzedniej roli. To ustawienie nie konfiguruje przepływów zatwierdzania ani automatycznego wygaśnięcia dostępu podwyższonego.

Prerequisites

• Przestrzeń robocza z włączoną federacją tożsamości, z włączonym RBAC. Zobacz Włączanie RBAC.
• Do wykonania tego zadania potrzebujesz uprawnień administratora konta lub administratora przestrzeni roboczej, aby utworzyć rolę, przyznać uprawnienie Assume i przypisać ją do przestrzeni roboczej. Zobacz Kto może zarządzać grupami?.
• Uprawnienia administratora przestrzeni roboczej do zarządzania grupą admins i uprawnieniami dostępu w przestrzeni roboczej.
• Grupa kont zawierająca zespoły SRE, którą chcesz skonfigurować. Samouczek korzysta z sre-team. W całym tekście zastąp nazwę nazwą własnej grupy.
• Inżynier SRE z sre-team, który może uczestniczyć w walidacji za pomocą własnego logowania, niezależnie od administratora wprowadzającego zmiany konfiguracyjne.
• Czytnik audytu z dostępem do system.access.audit. Jeśli testowy workspace nie jest włączony dla Unity Catalog, użyj workspace z Unity Catalog w tym samym koncie i regionie chmurowym do zapytań o zdarzenia audytu. Zobacz Zweryfikuj atrybucję audytu.

Wybierz użytkowników testowych, którzy nie mają ról Azure, które automatycznie przyznają dostęp administratora obszaru roboczego, gdy uruchomią obszar roboczy z poziomu portalu Azure. W przeciwnym razie uruchomienie przestrzeni roboczej może przywrócić użytkownikowi stałe uprawnienia administratora i przydział do przestrzeni roboczej. Zobacz Wymagane uprawnienia administratora Azure.

Krok 1. Tworzenie roli

W tym tutorialu stwórz pustą grupę kont, która posłuży jako rola.

Konsola konta

1. Jako administrator konta zaloguj się do konsoli konta.
2. Na pasku bocznym kliknij pozycję Zarządzanie użytkownikami.
3. Na karcie Grupy kliknij pozycję Dodaj grupę.
4. Wprowadź wartość role-workspace-admin. Nie dodawaj członków.
5. Kliknij przycisk Potwierdź.
6. Przypisz grupę bezpośrednio do przestrzeni roboczej za pomocą opcji Dostęp do przestrzeni roboczej. Zobacz Przypisywanie grupy do obszaru roboczego.

Ustawienia administratora obszaru roboczego

1. Jako administrator przestrzeni roboczej zaloguj się do testowej przestrzeni roboczej.
2. Kliknij swoją nazwę użytkownika na górnym pasku i wybierz pozycję Ustawienia.
3. Kliknij kartę Tożsamość i dostęp .
4. Obok pozycji Grupy kliknij pozycję Zarządzaj.
5. Kliknij Dodaj grupę, a następnie Dodaj nowe.
6. Wprowadź role-workspace-admin i wybierz dostęp do przestrzeni roboczej.
7. Kliknij przycisk Dodaj. Nie dodawaj członków.

To również przypisuje grupę bezpośrednio do przestrzeni roboczej i przyznaje ci uprawnienie „Zarządzanie” do niej.

Krok 2: Udziel SRE zgody na przejęcie tej roli

Nadaj uprawnienie Assume elementowi sre-team, używając jednej z tych metod:

Konsola konta

1. Jako administrator konta otwórz konsolę konta i kliknij Zarządzanie użytkownikami.
2. Na zakładce Grupy kliknij role-workspace-admin.
3. Kliknij kartę Uprawnienia, a następnie kliknij Przyznaj dostęp.
4. Wyszukaj i wybierz sre-team, wybierz Załóż i kliknij Zapisz.

Ustawienia administratora obszaru roboczego

1. Jako administrator przestrzeni roboczej z uprawnieniem Zarządzanie dla roli otwórz w testowej przestrzeni roboczej Ustawienia>Tożsamość i dostęp.
2. Obok Grupy kliknij Zarządzaj, a następnie wybierz role-workspace-admin.
3. Kliknij Uprawnienia, a następnie Udziel dostępu.
4. Wyszukaj i wybierz sre-team, wybierz Załóż i kliknij Zapisz.

Członkowie sre-team mogą teraz objąć tę rolę. Aby zmienić, kto może z niej korzystać, należy zarządzać członkostwem tej grupy lub przyznaniem jej uprawnienia „Assume”. Po wycofaniu dostępu sprawdź inne granty lub członkostwa, które również pozwalają użytkownikowi przyjąć tę rolę.

Krok 3: Dodaj rolę do grupy administratorów przestrzeni roboczej

Jako administrator przestrzeni roboczej dodaj rolę do admins:

1. W obszarze roboczym kliknij swoją nazwę użytkownika w górnym pasku i wybierz Ustawienia.
2. Kliknij Tożsamość i dostęp.
3. Obok pozycji Grupy kliknij pozycję Zarządzaj.
4. Wybierz opcję admins.
5. Na karcie Członkowie kliknij pozycję Dodaj członków.
6. Wybierz role-workspace-admin, a następnie kliknij Potwierdź.

Rola dziedziczy uprawnienia administratora obszaru roboczego po admins. SRE mają pozwolenie na przyjęcie tej roli bez bycia jej członkami.

Krok 4: Sprawdź dostęp do ról i zwykły dostęp

Zanim zmienisz stały dostęp administracyjny, jeden z Twoich SRE loguje się do workspace za pomocą własnego konta i przeprowadza następujące kontrole:

1. Kliknij nazwę obszaru roboczego w górnym pasku i najedź kursorem na aktualny obszar roboczy.
2. Wybierz role-workspace-admin z przełącznika ról.
3. Sprawdź, czy workspace przeładowuje się z nazwą roli pod nazwą workspace.
4. Otwórz Ustawienia>Tożsamość i dostęp, a następnie kliknij Zarządzaj obok Grup. Sprawdź, czy możesz otworzyć kartę admins grupy . Ta kontrola nie wymaga zmiany członkostwa.
5. Wróć do przełącznika ról i wybierz swoją nazwę użytkownika.

Jako administrator przestrzeni roboczej sprawdź również, czy sre-team jest przypisany do przestrzeni roboczej z wymaganymi uprawnieniami potrzebnymi jej członkom do codziennej pracy:

• Dostęp do obszaru roboczego: Zapewnia dostęp do podstawowych funkcji obszaru roboczego, takich jak notatniki, zadania, modele i potoki.
• Dostęp do bazy danych SQL usługi Databricks: udziela dostępu do funkcji SQL usługi Databricks, w tym pulpitów nawigacyjnych, zapytań i magazynów SQL.

Jeśli SRE otrzymują te uprawnienia tylko przez admins, przyznaj je jawnie elementowi sre-team. To zachowuje ich codzienny dostęp po usunięciu stałego członkostwa w roli administratora. Zobacz Uprawnienia dostępu.

Krok 5: Usuń stały dostęp administracyjny wybranych SRE

Jako administrator przestrzeni roboczej przejrzyj bezpośrednie i dziedziczone członkostwo wybranych SRE w admins:

1. Otwórz Ustawienia>Tożsamość i dostęp>Grupy>Zarządzaj.
2. Otwórz admins, a następnie zakładkę Członkowie.
3. Usuń bezpośrednie członkostwo wybranych SRE-ów i usuń sre-team, jeśli jest bezpośrednim członkiem. Pozostaw role-workspace-admin i niepowiązanych administratorów.
4. Sprawdź, do jakich innych grup należą wybrani SRE, w tym do grup nadrzędnych tych grup, które nadal zapewniają im dostęp administratora. Jeśli w grupie współdzielonej są także osoby, które muszą zachować uprawnienia administratora, przyznaj im dostęp administratora w inny sposób, zanim usuniesz grupę współdzieloną z admins. Zmiana przynależności do grupy kont może również wpływać na dostęp poza tym obszarem roboczym.

Zachowaj codzienne przydziały przestrzeni roboczej SRE oraz nadanie uprawnienia Assume z kroku 2. Usunięcie stałego dostępu administratora wymaga uwzględnienia każdej ścieżki prowadzącej do admins, a nie tylko jednego bezpośredniego członkostwa.

Krok 6: Zweryfikuj wysokość i wróć

Po usunięciu stałego dostępu administratora, ten sam SRE weryfikuje te wyniki w swojej sesji przeglądarki:

1. Działając jako ten użytkownik, odśwież przestrzeń roboczą i sprawdź, czy ustawienia administratora przestrzeni roboczej zaznaczone w kroku 4 są niedostępne.
2. Użyj przełącznika ról, aby przyjąć role-workspace-admin.
3. Sprawdź, czy możesz otworzyć te ustawienia administratora i zobaczyć członków grupy admins.
4. Po zakończeniu zadania administracyjnego użyj przełącznika ról, aby wybrać swoje konto użytkownika.
5. Sprawdź, czy te ustawienia administratora znowu są niedostępne. Dostęp do codziennego obszaru roboczego jest nadal dostępny.

Przełączenie z powrotem zmienia tożsamość używaną przez tę sesję przeglądarki. Nie zmienia on osobno uwierzytelnionego profilu CLI Databricks ani nie cofa jego tokenów. Rola administratora posiada wszystkie zasoby, które tworzysz, pełniąc tę rolę.

Krok 7: Zweryfikowanie atrybucji audytu

Aby sprawdzić aktywność wykonywaną przez rolę administratora, uruchom to zapytanie jako czytnik audytu. Zastąp <workspace-id> identyfikatorem ID przestrzeni roboczej testu:

SELECT event_time, service_name, action_name,
       identity_metadata.run_by, identity_metadata.run_by_display_name,
       identity_metadata.run_as, identity_metadata.run_as_display_name
FROM system.access.audit
WHERE workspace_id = '<workspace-id>'
  AND identity_metadata.run_as_display_name = 'role-workspace-admin'
  AND event_date >= current_date() - INTERVAL 1 DAY
ORDER BY event_time DESC;

Sprawdź wydarzenia dla sesji testowej SRE. identity_metadata.run_by identyfikuje SRE, który inicjował każde żądanie, oraz run_as określa rolę administratora używaną do autoryzacji. Zapytanie filtruje według run_as_display_name, czyli czytelnej dla człowieka nazwy roli. Dane audytowe są aktualizowane w ciągu dnia, więc ostatnie zdarzenie może nie pojawić się od razu. Zobacz odniesienie do metadanych tożsamości.

Opcjonalnie: użyj oddzielnych profili CLI Databricks

Aby wykonywać pracę administracyjną z użyciem CLI Databricks, uwierzytelniaj się osobno do pracy codziennej i administracyjnej. Sprawdzenie zarządzania tokenami w tej sekcji wymaga włączenia osobistych tokenów dostępu oraz dostępności zarządzania tokenami w przestrzeni roboczej. Zobacz Monitorowanie i odwoływanie osobistych tokenów dostępu.

Uczestniczący SRE instaluje interfejs wiersza polecenia Databricks zgodnie z opisem w Zainstaluj lub zaktualizuj interfejs wiersza polecenia Databricks. Logują się za pomocą własnego logowania, z nazwanym profilem do codziennej pracy i innym do roli administratora:

databricks auth login --host <workspace-url> --profile everyday
databricks auth login --host <workspace-url> --profile ws-admin

Dla everyday SRE wybiera swoją tożsamość użytkownika w opcji Autoryzuj jako... w przeglądarce. Dla ws-admin wybierz role-workspace-admin.

SRE porównuje to polecenie administratora tylko do odczytu dla każdego profilu:

databricks token-management list --profile everyday
databricks token-management list --profile ws-admin

W profilu codziennym występuje błąd uprawnień. Profil administratora może wyświetlać metadane tokena. SRE używa --profile everyday do kolejnych codziennych komend. Wybranie tego profilu nie unieważnia profilu administratora. Zobacz Interfejs wiersza polecenia usługi Databricks.

Czyszczenie

Zachowaj konfigurację, jeśli to model dostępu, którego zamierzasz używać. W ramach tymczasowego testu przywróć oryginalne członkostwo administratora SRE przed usunięciem roli z admins lub cofnięciem uprawnienia Assume. Przejrzyj wszelkie zasoby należące do roli przed jej usunięciem.

Następne kroki