Entidades de serviço

Uma entidade de serviço é uma identidade especializada no Azure Databricks, projetada para automação e acesso programático. As entidades de serviço fornecem acesso seguro somente à API aos recursos do Azure Databricks para ferramentas automatizadas, scripts e plataformas de CI/CD, sem depender de credenciais de usuário individuais.

Para saber como gerenciar entidades de serviço, consulte Gerenciar entidades de serviço.

Para agir como uma entidade de serviço que você gerencia com OAuth on-behalf-of (OBO), por exemplo, para executar comandos com sua identidade sem criar um segredo, consulte Autenticar como uma entidade de serviço usando OAuth OBO.

Observação

Esta página pressupõe que seu workspace tenha a federação de identidade habilitada, que é o padrão para a maioria dos workspaces. Para obter informações sobre espaços de trabalho herdados sem federação de identidade, consulte Espaços de Trabalho Herdados sem Federação de Identidade.

O que é um principal de serviço?

As entidades de serviço concedem as ferramentas automatizadas e scripts Acesso somente à API a recursos do Azure Databricks, fornecendo maior segurança do que o uso de contas de usuários. Você pode conceder e restringir o acesso de uma entidade de serviço a recursos da mesma maneira que um usuário do Azure Databricks. Por exemplo, você pode conceder a uma entidade de serviço a função de administrador de conta ou administrador de workspace, conceder acesso aos dados usando o Catálogo do Unity ou adicionar uma entidade de serviço como membro a um grupo.

Você pode conceder aos usuários, entidades de serviço e grupos do Azure Databricks permissões para usar uma entidade de serviço. Isso permite que os usuários executem trabalhos como a entidade de serviço, em vez de executar como a identidade, o que evita que os trabalhos falhem se um usuário deixar sua organização ou um grupo for modificado.

Entidades de serviço do Databricks e do Microsoft Entra ID

As entidades de serviço podem ser entidades de serviço gerenciadas do Azure Databricks ou entidades de serviço gerenciadas do Microsoft Entra ID.

As entidades de serviço gerenciadas do Azure Databricks podem se autenticar no Azure Databricks usando a autenticação do Databricks OAuth e tokens de acesso pessoal. As entidades de serviço gerenciadas do Microsoft Entra ID podem se autenticar no Azure Databricks usando a autenticação OAuth do Databricks e os tokens de ID do Microsoft Entra. Para mais informações sobre a autenticação para entidades de serviço, confira Gerenciar tokens de uma entidade de serviço.

Os principais de serviço gerenciados pelo Azure Databricks são administrados diretamente dentro do Azure Databricks. As entidades de serviços gerenciadas do Microsoft Entra ID são gerenciadas no Microsoft Entra ID, o que requer permissões adicionais. O Databricks recomenda que você use as entidades de serviço gerenciadas do Azure Databricks para automação do Azure Databricks e use as entidades de serviço gerenciadas do Microsoft Entra ID nos casos em que você deve autenticar com o Azure Databricks e outros recursos do Azure ao mesmo tempo.

Para criar uma entidade de serviço gerenciada do Azure Databricks, ignore esta seção e continue lendo com Quem pode gerenciar e usar entidades de serviço?.

Para usar as entidades de serviço gerenciadas do Microsoft Entra ID no Azure Databricks, um usuário administrador deve criar um aplicativo de ID do Microsoft Entra no Azure. Para criar uma entidade de serviço gerenciada pelo Microsoft Entra ID, consulte Autenticação com entidades de serviço do Microsoft Entra.

Casos de uso comuns

As entidades de serviço são ideais para cenários de automação como os seguintes, onde seja necessário acesso programático seguro e confiável aos recursos do Databricks.

Caso de uso Example
Pipelines de CI/CD Implante notebooks, bibliotecas e configurações automaticamente como parte de seus fluxos de trabalho de integração e implantação contínuas.
Trabalhos agendados Execute pipelines de ETL, trabalhos de processamento de dados e relatórios automatizados em um cronograma, sem depender de contas de usuário individuais.
Integrações entre sistemas Conecte aplicativos e serviços externos ao Databricks para ingestão, transformação ou análise de dados.
Teste automatizado Execute testes de integração e valide pipelines de dados como parte da estrutura de teste.
Infraestrutura como código Provisione e gerencie recursos do Databricks usando ferramentas como Terraform, modelos do ARM ou Pacotes de Automação Declarativa.

Quem pode gerenciar e usar os entidades de serviço?

Para gerenciar entidades de serviço no Azure Databricks, você deve ter uma das seguintes funções:

Função Capabilities
Administradores de conta
  • Adicione entidades de serviço à conta e atribua-lhes funções de administrador.
  • Atribua entidades de serviço a workspaces.
  • Tem automaticamente a função de gerente de entidade de serviço em todas as entidades de serviço na conta.
Administradores do workspace
  • Adicione entidades de serviço a um workspace do Azure Databricks.
  • Atribua-lhes a função de administrador do workspace.
  • Gerenciar o acesso a objetos e funcionalidades no workspace.
  • Tem automaticamente a função de gerente de entidade de serviço nas entidades de serviço que eles criam.
Gerentes da entidade de serviço
  • Gerenciar funções em uma entidade de serviço.
  • Atribua a função de gerente da entidade de serviço a outros usuários.
Usuários da entidade de serviço
  • Execute trabalhos como a entidade de serviço, usando a identidade de serviço em vez da identidade do proprietário da tarefa.

Observação

  • O criador de uma entidade de serviço torna-se automaticamente o gerente da entidade de serviço.
  • Os usuários com a função de gerente da entidade de serviço não herdam a função de usuário da entidade de serviço. Se quiser usar a entidade de serviço para executar trabalhos, você precisará atribuir explicitamente a função de usuário da entidade de serviço, mesmo depois de criar a entidade de serviço.
  • Quando a configuração RestrictWorkspaceAdmins é definida como ALLOW ALL, os administradores do workspace podem criar tokens em nome de qualquer entidade de serviço em seu workspace. Consulte Restringir administradores do workspace.

Para obter informações sobre como conceder as funções de gerente da entidade de serviço e de usuário, consulte Funções para gerenciar entidades de serviço.

Sincronizar entidades de serviço com sua conta do Azure Databricks no locatário do Microsoft Entra ID

Você pode sincronizar as entidades de serviço do Microsoft Entra ID automaticamente no locatário do Microsoft Entra ID com sua conta do Azure Databricks usando o gerenciamento automático de identidades. O Databricks usa a ID do Microsoft Entra como fonte, portanto, todas as alterações nos usuários ou associações de grupo são respeitadas no Azure Databricks. Consulte o gerenciamento automático de identidade.

O provisionamento do SCIM não oferece suporte à sincronização de entidades de serviço.

Entidades de serviço de sistema e aplicativo

Entidades de serviço de sistema e aplicativo são entidades de serviço gerenciadas pelo Azure Databricks que representam serviços internos do Azure Databricks. Ao contrário das entidades de serviço que você cria e gerencia, as entidades de serviço do sistema são criadas e gerenciadas pelo Azure Databricks automaticamente. O ciclo de vida deles está vinculado a um recurso do Azure Databricks, como uma conta ou metastore, e eles não exigem gerenciamento de administrador.

As entidades de serviço do sistema e do aplicativo só podem ser usadas indiretamente por meio dos recursos da plataforma Azure Databricks, como otimização preditiva e atualização agendada do painel. Você não pode criar, modificar ou personificar um principal de serviço de sistema ou aplicativo.

Você pode ver entidades de serviço de sistema e aplicativo nos logs do sistema quando o Azure Databricks executa operações em segundo plano.

Recursos adicionais

  • Última atualização em