Espaços de Aplicativos

Importante

Esse recurso está em Beta. Para usá-lo, um administrador do workspace deve ativar o recurso criação governada de aplicativos agênticos na página Previews. Consulte Gerenciar visualizações do Azure Databricks.

Um App Space é um limite de governança onde os administradores definem quem pode criar e usar apps, quais permissões esses apps possuem e quais políticas de gasto se aplicam a eles.

Em vez de permitir que os desenvolvedores definam recursos e definam permissões para cada app, um App Space permite que administradores configurem permissões para grupos de desenvolvedores de apps.

Desenvolvedores de aplicativos usam o Genie App Builder para criar aplicativos em um App Space.

Por que usar o App Spaces

À medida que os agentes de programação facilitam a construção de aplicativos, mais pessoas em toda a organização estão criando esses aplicativos. Os App Spaces permitem que usuários empresariais e outros não técnicos criem aplicativos que acessam dados sem quebrar o modelo de governança da sua organização. Um administrador define os limites (identidades, escopos e recursos) uma vez para um grupo de construtores, e todo aplicativo criado nesse espaço os herda.

Crie um espaço do aplicativo

Você precisa ser administrador de espaço de trabalho para criar um App Space. Você pode criar um de uma dessas formas:

  • Na interface de aplicativos do Databricks, clique em App Spaces e depois + Novo Espaço.
  • Use a API REST do Azure Databricks ou o provedor Terraform.

Note

Você não pode mudar o nome de um App Space depois de criá-lo.

Configure um espaço de aplicativos

Como administrador de espaço de trabalho, você pode configurar:

  • Autorização do usuário: o que os aplicativos podem fazer em nome dos usuários.
  • Política de uso serverless: a política de uso serverless para aplicativos no espaço.
  • Permissões: quem pode criar aplicativos no espaço.

Autorização do usuário

A autorização do usuário, às vezes chamada de autorização em nome do usuário (OBO), permite que um aplicativo Databricks atue com a identidade do usuário logado. O aplicativo só pode acessar dados e recursos que o usuário já tem permissão para acessar, dentro dos escopos que você permite. Consulte Configurar a autorização em um aplicativo do Databricks.

Um App Space permite que administradores restrinjam os papéis e escopos que podem ser usados com autorização do usuário. Use a autorização do usuário quando o acesso precisar seguir as permissões existentes de cada usuário no Azure Databricks, como para tabelas do Unity Catalog, espaços e agentes do Genie ou painéis.

Controle de acesso baseado em funções

Use o controle de acesso baseado em funções (RBAC) para limitar as permissões e o compartilhamento do aplicativo. Você pode permitir que os usuários escolham uma função ao fazer login em um aplicativo, ou exigir que assumam uma função específica para usar os aplicativos nesse espaço.

Em Azure Databricks, uma função é implementada como um grupo. Os membros do grupo podem assumir o papel automaticamente. Outros usuários precisam da permissão Assume. Consulte o RBAC (controle de acesso baseado em função).

Setting Quem pode usar aplicativos Permissões de autorização do usuário
Qualquer papel Qualquer pessoa com quem o desenvolvedor compartilhe o app O papel escolhido pelo usuário ao fazer login no aplicativo
Apenas a função selecionada Usuários que podem assumir a função selecionada (se o app tiver sido compartilhado com eles) Apenas o papel selecionado

Por exemplo:

  • Um App Space usa somente a função selecionada com o grupo emea-sales.
  • Jane Doe é membro de emea-sales.
  • O desenvolvedor do app compartilha seu app com a Jane Doe.
  • Jane deve assumir a emea-sales função para fazer login no aplicativo.
  • Com a autorização do usuário, o aplicativo só tem acesso ao que emea-sales pode ser acessado (dentro dos escopos permitidos), mesmo que o Jane Doe tenha concessões e permissões adicionais.

Note

  • Para usar apenas a função selecionada, ative o RBAC nos níveis de conta e espaço de trabalho.
  • Apenas grupos de contas podem ser usados com restrições de funções.
  • Os desenvolvedores ainda têm controle do compartilhamento de seus aplicativos, mesmo que uma função seja escolhida.
  • Atribuir uma função a um App Space não concede novas permissões aos usuários. Os usuários precisam simplesmente ter acesso a essa função para usar o aplicativo, mesmo que um desenvolvedor tenha compartilhado seu aplicativo com o usuário.

Scopes

Os aplicativos que usam a autorização do usuário devem declarar escopos de autorização específicos para limitar o que o aplicativo pode fazer em nome do usuário. Consulte Configurar a autorização em um aplicativo do Databricks.

Em um App Space, você controla os escopos que cada app solicita.

Por padrão, um novo App Space usa o preset Data + AI , que permite os seguintes 11 escopos:

  • sql:restricted-query
  • genie
  • catalog.catalogs:read
  • catalog.schemas:read
  • catalog.tables:read
  • files
  • model-serving
  • ai-functions
  • ai-gateway
  • mcp.external
  • mcp.functions

Você pode visualizar ou editar os escopos selecionados ao criar ou configurar um App Space.

Política de utilização serverless

Aplicativos em um espaço são executados sob uma política de uso serverless. Veja Ferramentas de gerenciamento de custos no Azure Databricks.

Permissões

As seguintes permissões controlam quem pode trabalhar em um App Space:

Permissão Concede a capacidade de
CAN CREATE APP Desenvolva aplicativos no setor
CAN MANAGE Modificar as configurações do espaço
CAN READ Visualize o espaço, mas não possa criar aplicativos nele (nem necessariamente usar aplicativos nele)

Exemplos de casos de uso

Você pode moldar um App Space em torno de como um grupo funciona:

Type Description
Aplicativos públicos Aplicativos compartilháveis com qualquer pessoa no espaço de trabalho. Só é possível acessar dados e recursos disponíveis para todos os usuários do workspace.
Aplicativos de equipe Aplicativos construídos por uma equipe específica, alinhados com seu papel existente, infraestrutura, dados e permissões.
Aplicativos do projeto Aplicativos associados a um projeto ou engajamento definido, compartilhando suas tabelas provisionadas, armazéns, pipelines e limites de acesso.

Recursos adicionais

  • Última atualização em