Gérer les identités, les autorisations et les privilèges pour les pipelines

Cet article fournit une vue d’ensemble des identités, des autorisations et des privilèges pour les pipelines déclaratifs Spark Lakeflow.

Databricks recommande d’utiliser Unity Catalog pour tous les nouveaux pipelines. Par défaut, les vues matérialisées et les tables de diffusion en continu créées par les pipelines configurés avec le catalogue Unity ne peuvent être interrogées que par le propriétaire du pipeline. Consultez Utiliser le catalogue Unity avec des pipelines.

Si vos pipelines publient des ensembles de données sur un metastore Hive ancien, consultez Utiliser les pipelines déclaratifs Spark de Lakeflow avec le metastore Hive ancien.

Pour connaître les meilleures pratiques générales sur les configurations d’identité, consultez les meilleures pratiques relatives à l’identité.

Quelle identité est utilisée pour les mises à jour de pipeline ?

Les pipelines traitent les mises à jour à l’aide de l’identité du propriétaire du pipeline. Affectez un nouveau propriétaire de pipeline pour modifier l’identité utilisée pour exécuter le pipeline.

Databricks recommande de définir un principal de service comme propriétaire du pipeline. Consultez Principaux de service.

Qui peut exécuter une mise à jour de pipeline ?

Les mises à jour de pipeline peuvent être exécutées par n’importe quel utilisateur ou principal de service avec les autorisations CAN RUN, CAN MANAGE ou IS OWNER.

Configurer les autorisations de pipeline

Vous devez disposer de l’autorisation CAN MANAGE ou de l’autorisation IS OWNER sur le pipeline pour gérer les autorisations. Les pipelines utilisent des listes de contrôle d’accès (ACL) pour contrôler les autorisations. Pour obtenir la liste complète des autorisations et de leurs capacités, consultez les listes de contrôle d’accès des pipelines déclaratifs Spark Lakeflow.

1. Dans la barre latérale, cliquez sur Travaux et pipelines.
2. Sélectionnez le nom d’un pipeline.
3. Cliquez sur Partager. La boîte de dialogue Paramètres des autorisations s’affiche.
4. Cliquez sur Sélectionner un utilisateur, un groupe ou un principal de service... et sélectionnez un utilisateur, un groupe ou un principal de service.
5. Sélectionnez une autorisation dans la liste déroulante des autorisations.
6. Cliquez sur Ajouter.
7. Cliquez sur Enregistrer.

Permettre aux utilisateurs non administrateurs de consulter les logs de pilotes depuis un pipeline activé par le catalogue Unity

Par défaut, seul le propriétaire du pipeline et les administrateurs de l'espace de travail peuvent afficher les journaux du pilote depuis le cluster qui exécute un pipeline compatible avec Unity Catalog. Vous pouvez activer l’accès aux journaux de pilotes pour n’importe quel utilisateur disposant des autorisations CAN MANAGE, CAN VIEW ou CAN RUN en ajoutant le paramètre de configuration Spark suivant à l’objet configuration dans les paramètres du pipeline :

{
  "configuration": {
    "spark.databricks.acl.needAdminPermissionToViewLogs": "false"
  }
}