Migrar o controle de permissões do workspace

Migre o controle de permissões do workspace para selecionar as permissões de cada entidade ao adicioná-las, em vez de fazer com que entidades herdem permissões automaticamente do grupo de sistema users. Isso fornece controle preciso sobre o acesso ao workspace e permite adicionar usuários apenas consumidores sem conceder permissões de autoria. Isso se tornará o comportamento padrão para todos os workspaces. Você pode migrar mais cedo para testá-lo no seu próprio ritmo.

A migração altera a forma como os grupos do sistema users e admins funcionam e transfere as permissões existentes para um novo grupo, para que os principais preservem o acesso atual. Esta página aborda o novo comportamento, as etapas de migração e as ações de pré-migração necessárias.

Overview

Todo workspace tem dois grupos do sistema: users, que inclui todas as identidades com acesso concedido ao workspace, e admins, que inclui os administradores do workspace. Atualmente, cada entidade adicionada a um workspace herda as permissões concedidas a users. Por padrão, esses direitos são:

• Acesso ao espaço de trabalho: criar e usar notebooks, tarefas, pipelines, aplicativos e muito mais.
• Acesso ao SQL do Databricks: criar e usar dashboards, Agentes do Genie, alertas e muito mais.

Após a alteração:

• Você seleciona os direitos de cada entidade ao adicioná-los. Você pode adicionar entidade em qualquer nível de acesso, incluindo usuários apenas consumidores, sem que herdem automaticamente as permissões de autoria.

  

• O grupo users não tem nenhuma permissão, e o grupo admins tem todas as permissões do espaço de trabalho. Nenhum dos dois pode ser alterado.

• Você não pode aninhar os grupos users e admins como membros de outros grupos.

As entidades existentes mantêm o nível atual de acesso. O Azure Databricks migra automaticamente os direitos concedidos anteriormente a users para um novo grupo de clones local do workspace com um nome padrão de users-clone-<TIMESTAMP>, em que <TIMESTAMP> é o momento da migração. Você pode renomear o grupo durante a migração e gerenciá-lo como qualquer outro grupo local de workspace. O grupo admins não exige migração porque recebe automaticamente todos os direitos do espaço de trabalho.

Cronograma

Isso se tornará o comportamento padrão para todos os workspaces. A alteração ocorre em três fases:

• 15 de junho de 2026 – Aceitação disponível. Migre um espaço de trabalho com antecedência para testar o novo comportamento.
• 27 de julho de 2026 – Ativado automaticamente para espaços de trabalho que não optaram por aderir nem por não aderir. Você ainda pode cancelar a adesão temporariamente até que isso se torne obrigatório.
• 14 de setembro de 2026 – Aplicado a todos os espaços de trabalho. A opção de não participar não está mais disponível.

Para obter mais informações, consulte Alteração de comportamento futura: escolha permissões ao adicionar entidades principais aos workspaces.

Antes de começar

Você deve ser um administrador de workspace para migrar um workspace e gerenciar o novo comportamento.

Execute as seguintes ações antes que o novo comportamento seja habilitado em seu workspace:

• Automação: Se você gerencia permissões de grupos do sistema por meio do Terraform, das APIs SCIM do Workspace ou de scripts personalizados, atualize seus fluxos de trabalho para direcioná-los a grupos de contas, não a grupos do sistema. Depois que Azure Databricks habilitar o novo comportamento, as tentativas de modificar os direitos do grupo do sistema falharão.
• Grupos de sistema aninhados: se users ou admins estiver aninhado como membro de outro grupo, remova o aninhamento. O novo comportamento não permite o aninhamento.
• Sincronização do SCIM: se a sincronização do SCIM excluir grupos de workspace que não reconhece, atualize sua configuração para preservar o grupo de clones de migração (users-clone-<TIMESTAMP>). Se a sincronização remover o grupo de clones, as identidades migradas para ele perderão suas permissões.

Migrar um espaço de trabalho

Você gerencia o novo comportamento na configuração Novo comportamento: escolher direitos ao adicionar entidades aos workspaces nas configurações do seu workspace.

Para migrar um espaço de trabalho para o novo comportamento:

1. Como administrador do espaço de trabalho, faça login no espaço de trabalho do Azure Databricks.

2. Clique no nome de usuário na barra superior e selecione Configurações.

3. Clique na guia Avançado.

4. Em Controle de acesso, localize Novo comportamento: escolha direitos ao adicionar entidades a workspaces. O status mostra o comportamento herdado (a ação pode ser necessária).

   

5. Clique em Gerenciar.

6. Na caixa de diálogo, revise as concessões de permissões atuais para os grupos users e admins. Em Comportamento para este espaço de trabalho, selecione Usar o novo comportamento.

7. Em Nome do grupo clone, insira um nome para o grupo que recebe as permissões concedidas a users, ou mantenha o nome padrão. Esse grupo preserva os direitos de suas entidades existentes.

   

8. Clique em Salvar.

   O Azure Databricks migra as permissões no users para o grupo clonado. As entidades diretamente atribuídas ao workspace são adicionadas ao grupo de clones para que mantenham seu acesso. Essas entidades incluem usuários adicionados diretamente e entidades de serviço, além de grupos de contas atribuídos ao workspace.

Após a conclusão da migração, a configuração mostra que o workspace está no novo comportamento.

Verificar as alterações

Depois de concluir a migração, verifique se as alterações foram aplicadas corretamente:

1. Como administrador do workspace, faça logon no workspace do Azure Databricks.
2. Clique no nome de usuário na barra superior e selecione Configurações.
3. Clique na guia Identidade e acesso .
4. Ao lado de Grupos, clique em Gerenciar.
5. Verifique o seguinte:
   • O grupo de clones existe e tem os direitos que o grupo tinha antes da users migração.
   • O grupo de clones contém as entidades que foram diretamente adicionadas ao workspace por meio de users, incluindo usuários adicionados diretamente, entidades de serviço e todos os grupos de contas atribuídos ao workspace.
   • O grupo users não tem nenhuma permissão, e o grupo admins tem todas as permissões do espaço de trabalho.

Considerações e práticas recomendadas

Considere o seguinte ao migrar um workspace:

• Adicionar entidades após a migração: depois que o novo comportamento for habilitado, selecione as permissões de cada entidade ao adicioná-las ao workspace. Para conceder permissões de criação, selecione acesso ao Workspace ou acesso ao SQL do Databricks. Para adicionar um consumidor com acesso somente para visualização, conceda somente Acesso de consumidor. Para obter mais informações, consulte o que é o acesso do consumidor? e use o Genie One.
• Gerenciando o grupo de clonagem: O users-clone-<TIMESTAMP> grupo é um grupo padrão local do espaço de trabalho. Gerencie sua associação e direitos como qualquer outro grupo. Confira Gerenciar grupos.
• Cancelar participação: se você cancelar a participação após a migração, o grupo users-clone-<TIMESTAMP> permanecerá. Você pode mantê-lo e gerenciá-lo ou excluí-lo manualmente.
• Coordenação com provedores de identidade: se você usar o provisionamento scim para sincronizar usuários e grupos, coordene essa alteração com os processos de gerenciamento de identidade para que o grupo de clones seja preservado. Consulte Sincronizar usuários e grupos do Microsoft Entra ID usando SCIM.

O que vem a seguir

Depois de migrar um espaço de trabalho, talvez você queira:

• Gerencie a associação no grupo para conceder permissões de autoria às entidades, adicionando-as ao grupo de clones. Confira Gerenciar grupos.
• Revise e ajuste as permissões de entidades individuais ou grupos. Consulte Gerenciar direitos.
• Saiba mais sobre a experiência de acesso do consumidor. Veja o que é o acesso do consumidor? e use o Genie One.
• Configure controles de governança de dados para usuários consumidores. Veja Filtros de linha e máscaras de coluna.