Handledning: Använd en RBAC-roll för administration av arbetsutrymmen

Använd rollbaserad åtkomstkontroll (RBAC) för att separera vardagligt arbete från uppgifter som kräver administratörsbehörigheter för arbetsytor i Azure Databricks. Användare tar på sig en administratörsroll vid behov och återgår sedan till sin användaridentitet, vilket håller administrativa behörigheter borta från deras dagliga sessioner.

Scenario

Site Reliability Engineers (SRE:er) i sre-team har stående administratörsåtkomst för arbetsområdet genom direkt eller ärvt medlemskap i arbetsområdets admins systemgrupp. Du skapar en tom role-workspace-admin grupp, ger sre-team tillåtelse att anta rollen och lägger till rollen i admins.

Efter att ha testat rollen tar du bort stående administratörsåtkomst för de SRE:er du flyttar till rollen samtidigt som du bevarar deras dagliga arbetsområdesåtkomst. Andra arbetsytadministratörer behåller sin befintliga åtkomst. SRE:er väljer när de ska anta rollen och när de ska återgå. Den här konfigurationen konfigurerar inte godkännandeflöden eller automatisk utgång av förhöjd åtkomst.

Prerequisites

• Ett arbetsområde aktiverat för identitetsfederation, med RBAC aktiverat. Se Aktivera RBAC.
• Behörighet som kontoadministratör eller arbetsyteadministratör krävs för att skapa rollen, ge Assume-behörigheten och tilldela den till arbetsområdet. Se Vem kan hantera grupper?.
• Workspace admin-behörigheter för att hantera workspacets admins grupp och rättigheter.
• En kontogrupp som innehåller de SRE:er som du vill konfigurera för. I den här handledningen används sre-team. Byt ut ditt eget gruppnamn genomgående.
• En SRE från sre-team kan delta i valideringen med sin egen inloggning, separat från administratören som gör konfigurationsändringarna.
• En revisionsläsare med tillgång till system.access.audit. Om testarbetsytan inte är aktiverad för Unity Catalog, använd en Unity Catalog-aktiverad arbetsyta i samma konto och molnregion för att fråga revisionshändelser. Se Verifiera granskningsattribuering.

Välj testanvändare som inte har Azure-roller som automatiskt ger administratörsåtkomst till arbetsytan när de startar arbetsytan från Azure-portalen. Annars kan startfunktionen återställa användarens stående administratörsbehörighet och arbetsytetilldelning. Se Nödvändiga Azure-administratörsbehörigheter.

Steg 1: Skapa rollen

För denna handledning, skapa en tom kontogrupp som fungerar som rollen.

Kontokonsol

1. Logga in på kontokonsolen som kontoadministratör.
2. I sidofältet klickar du på Användarhantering.
3. På fliken Grupper klickar du på Lägg till grupp.
4. Ange role-workspace-admin. Lägg inte till medlemmar.
5. Klicka på Bekräfta.
6. Tilldela gruppen direkt till arbetsytan med Arbetsyteåtkomst. Se Tilldela en grupp till en arbetsyta.

Administratörsinställningar för arbetsyta

1. Som administratör för arbetsytan, logga in på testarbetsytan.
2. Klicka på ditt användarnamn i det övre fältet och välj Inställningar.
3. Klicka på fliken Identitet och åtkomst .
4. Bredvid Grupper klickar du på Hantera.
5. Klicka på Lägg till grupp, sedan Lägg till ny.
6. Ange role-workspace-admin och välj Workspace access.
7. Klicka på Lägg till. Lägg inte till medlemmar.

Detta tilldelar också gruppen direkt till arbetsytan och ger dig behörighet att hantera den.

Steg 2: Ge SRE:erna tillstånd att anta rollen

Ge behörigheten Assume till sre-team med någon av följande metoder:

Kontokonsol

1. Som kontoadministratör, öppna kontokonsolen och klicka på Användarhantering.
2. På fliken Grupper , klicka på role-workspace-admin.
3. Klicka på fliken Behörigheter och sedan Bevilja åtkomst.
4. Sök efter och välj sre-team, välj Antag och klicka på Spara.

Administratörsinställningar för arbetsyta

1. Som administratör för arbetsytan med behörighet Hantera i rollen, öppna Inställningar>Identitet och åtkomst i testarbetsytan.
2. Bredvid Grupper, klicka på Hantera, och välj sedan role-workspace-admin.
3. Klicka på Behörigheter, sedan Bevilja åtkomst.
4. Sök efter och välj sre-team, välj Antag och klicka på Spara.

Medlemmar av sre-team kan nu anta rollen. För att ändra vem som kan anta den, hantera denna grupps medlemskap eller dess beviljande av Assume-behörigheten. När du drar tillbaka åtkomsten, kontrollera om det finns andra behörigheter eller medlemskap som också tillåter användaren att anta rollen.

Steg 3: Lägg till rollen i arbetsområdets admingrupp

Som arbetsområdesadministratör, lägg till rollen för admins:

1. I arbetsytan, klicka på ditt användarnamn i den övre menyn och välj Inställningar.
2. Klicka på Identitet och åtkomst.
3. Bredvid Grupper klickar du på Hantera.
4. Välj admins.
5. På fliken Medlemmar klickar du på Lägg till medlemmar.
6. Välj role-workspace-admin, klicka sedan på Bekräfta.

Rollen ärver arbetsyteadministratörsbehörigheter från admins. SRE:erna har tillstånd att anta den här rollen utan att vara medlemmar i den.

Steg 4: Kontrollera rollåtkomst och vardaglig åtkomst

Innan du ändrar stående administratörsåtkomst loggar en av dina SRE:er in på arbetsytan med sitt eget konto och genomför dessa kontroller:

1. Klicka på arbetsytans namn i den övre menyn och håll muspekaren över den aktuella arbetsytan.
2. Välj role-workspace-admin i rollväxlaren.
3. Kontrollera att arbetsytan laddas om med rollnamnet under arbetsytans namn.
4. Öppna Inställningar>Identitet och åtkomst, klicka sedan på Hantera bredvid Grupper. Kontrollera att du kan öppna admins-gruppens flik Medlemmar. Denna kontroll kräver inte att du ändrar medlemskap.
5. Gå tillbaka till rollväxlaren och välj ditt användarnamn.

Som administratör för arbetsytan, kontrollera också att sre-team är tilldelad arbetsytan med de behörigheter som dess medlemmar behöver för vardagligt arbete:

• Åtkomst till arbetsyta: Ger åtkomst till kärnfunktioner för arbetsytor, till exempel notebook-filer, jobb, modeller och pipelines.
• Databricks SQL-åtkomst: Ger åtkomst till Databricks SQL-funktioner, inklusive instrumentpaneler, frågor och SQL-lager.

Om SRE:erna får dessa rättigheter endast genom admins, bevilja sre-team dessa rättigheter uttryckligen. Detta bevarar deras dagliga åtkomst efter att du tagit bort löpande administratörsmedlemskap. Se Åtkomsträttigheter.

Steg 5: Ta bort de valda SRE:ernas stående administratörsbehörighet

Som administratör för arbetsområdet, granska de valda SRE:ernas direkta och ärvda medlemskap i admins:

1. Öppna inställningar>Identitet och åtkomst>Grupper>Hantera.
2. Öppna admins, öppna sedan fliken Medlemmar.
3. Ta bort de utvalda SRE:ernas direkta medlemskap och ta bort sre-team om sre-team är direkt medlem. Behåll role-workspace-admin och obehöriga administratörer.
4. Kontrollera om det finns andra grupper som de utvalda SRE:erna tillhör, inklusive dessa gruppers modergrupper, som fortfarande ger dem administratörsbehörighet. Om en delad grupp också innehåller personer som måste behålla administratörsbehörighet, ge dessa personer administratörsbehörighet på ett annat sätt innan du tar bort den delade gruppen från admins. Att byta medlemskap i kontogruppen kan också påverka åtkomsten utanför denna arbetsyta.

Behåll SRE:ernas dagliga arbetsplatsuppgifter och beviljandet av Assume-behörigheten från steg 2. Att ta bort stående administratörsåtkomst kräver att varje väg till admins hanteras, inte bara ett enda direkt medlemskap.

Steg 6: Kontrollera höjd och återgå

Efter att du tagit bort ständig administratörsåtkomst verifierar samma SRE dessa resultat i sin webbläsarsession:

1. När du agerar som din användaridentitet, uppdatera arbetsytan och kontrollera att de administratörsinställningar som kontrollerades i steg 4 inte är tillgängliga.
2. Använd rollbytaren för att växla till role-workspace-admin.
3. Kontrollera att du kan öppna dessa administratörsinställningar och se admins gruppens medlemmar.
4. Efter att ha slutfört den administrativa uppgiften, använd rollväxlaren för att välja ditt användarnamn.
5. Kontrollera att de admin-inställningarna återigen är otillgängliga. Din åtkomst till din dagliga arbetsyta är fortfarande tillgänglig.

Att byta tillbaka ändrar identiteten som används av denna webbläsarsession. Den ändrar inte en separat autentiserad Databricks CLI-profil eller återkallar dess tokens. Adminrollen äger alla tillgångar du skapar medan du agerar som rollen.

Steg 7: Verifiera granskningsattribuering

För att inspektera aktiviteten under admin-rollen, kör denna fråga som granskningsläsare. Ersätt <workspace-id> med testarbetsytans ID:

SELECT event_time, service_name, action_name,
       identity_metadata.run_by, identity_metadata.run_by_display_name,
       identity_metadata.run_as, identity_metadata.run_as_display_name
FROM system.access.audit
WHERE workspace_id = '<workspace-id>'
  AND identity_metadata.run_as_display_name = 'role-workspace-admin'
  AND event_date >= current_date() - INTERVAL 1 DAY
ORDER BY event_time DESC;

Kontrollera händelserna i SRE:s testsession. identity_metadata.run_by identifierar den SRE som initierade varje förfrågan och run_as identifierar den administratörsroll som användes för auktorisation. Frågefiltret filtrerar på run_as_display_name, rollens människoläsbara namn. Granskningsdata uppdateras under dagen, så en nyligen inträffad händelse kanske inte dyker upp omedelbart. Se Identitetsmetadatareferens.

Valfritt: Använd separata Databricks CLI-profiler

För att utföra administrativt arbete med Databricks CLI, autentisera separat för dagligt och administrativt arbete. Tokenhanteringskontrollen i detta avsnitt kräver att personliga åtkomsttokens aktiveras och att tokenhantering är tillgänglig i arbetsytan. Se Övervaka och återkalla personliga åtkomsttokenar.

Den deltagande SRE:n installerar Databricks CLI enligt beskrivningen i Installera eller uppdatera Databricks CLI. De loggar in med sin egen inloggning, med en namngiven profil för vardagligt arbete och en annan för administratörsrollen:

databricks auth login --host <workspace-url> --profile everyday
databricks auth login --host <workspace-url> --profile ws-admin

För everyday, väljer SRE sin användaridentitet under Auktorisera som.. i webbläsaren. För ws-admin väljer de role-workspace-admin.

SRE jämför detta skrivskyddade adminkommando med hjälp av varje profil:

databricks token-management list --profile everyday
databricks token-management list --profile ws-admin

Standardprofilen får ett behörighetsfel. Administratörsprofilen kan lista tokenmetadata. SRE använder --profile everyday för efterföljande vardagliga kommandon. Att välja den profilen ogiltigförklarar inte administratörsprofilen. Se Databricks CLI.

Rensa

Behåll konfigurationen om det är den åtkomstmodell du tänker använda. För ett tillfälligt test, återställ SRE:ernas ursprungliga adminmedlemskap innan du tar bort rollen från admins eller drar tillbaka Assume-behörigheten. Gå igenom alla tillgångar som ägs av rollen innan du raderar den.

Nästa steg