Partager via

Listes de contrôle d’accès

Cette page décrit les détails des autorisations disponibles pour les différents objets d’espace de travail.

Vue d’ensemble des listes de contrôle d’accès

Dans Azure Databricks, vous pouvez utiliser des listes de contrôle d’accès (ACL) pour configurer l’autorisation d’accéder aux objets au niveau de l’espace de travail. Les administrateurs d'espace de travail ont l'autorisation "CAN MANAGE" sur tous les objets de leur espace, ce qui leur permet de gérer les autorisations sur tous ces objets. Les utilisateurs ont automatiquement l'autorisation de gestion pour les objets qu'ils créent.

Pour découvrir un exemple de mappage de personnages typiques avec des autorisations au niveau de l’espace de travail, consultez la Proposition de démarrage avec les groupes et les autorisations Databricks.

Gérer les listes de contrôle d’accès avec des dossiers

Vous pouvez gérer des autorisations d’objets d’espace de travail en ajoutant des objets aux dossiers. Les objets d’un dossier héritent de tous les paramètres d’autorisation de ce dossier. Par exemple, un utilisateur qui dispose de l’autorisation PEUT EXÉCUTER sur un dossier dispose de l’autorisation PEUT EXÉCUTER sur les alertes de ce dossier.

Si vous accordez à un utilisateur l’accès à un objet à l’intérieur du dossier, il peut afficher le nom du dossier parent, même s’il n’a pas d’autorisations sur le dossier parent. Par exemple, un notebook nommé test1.py se trouve dans un dossier nommé Workflows. Si vous accordez à un utilisateur l’autorisation CAN VIEW sur test1.py et aucune permission sur Workflows, l’utilisateur peut voir que le dossier parent est nommé Workflows. L’utilisateur ne peut pas afficher ou accéder à d’autres objets du dossier Workflows, sauf si ces objets ont reçu des autorisations.

Pour en savoir plus sur l’organisation d’objets dans des dossiers, consultez le navigateur d’espace de travail.

ACL des alertes

Capacité AUCUNE AUTORISATION PEUT COURIR PEUT GÉRER
Voir dans la liste d’alertes ✓ ✓
Afficher l’alerte et le résultat ✓ ✓
Déclencher manuellement l’exécution de l’alerte ✓ ✓
S’abonner aux notifications ✓ ✓
Modifiez l'alerte ✓
Modifier les autorisations ✓
Supprimer l'alerte ✓

ACL de calcul

Importante

Sur les ressources de calcul qui utilisent le mode d’accès hérité Aucune isolation partagée, les utilisateurs disposant des autorisations CAN ATTACH TO peuvent afficher les clés de compte de service dans le fichier log4j. Soyez prudent lors de l’octroi de cette autorisation. Pour plus d’informations sur ce mode et sur la façon de le restreindre, consultez Que sont les clusters partagés sans isolation ?.

Capacité AUCUNE AUTORISATION PEUT ATTACHER À PEUT REDÉMARRER PEUT GÉRER
Attacher le notebook au calcul ✓ ✓ ✓
Afficher l’interface utilisateur Spark ✓ ✓ ✓
Afficher les métriques de calcul ✓ ✓ ✓
Terminer le calcul ✓ ✓
Démarrez et redémarrez le calcul ✓ ✓
Consulter les journaux des pilotes ✓ (voir note)
Modifier le calcul ✓
Attacher la bibliothèque au calcul ✓
Redimensionner le calcul ✓
Modifier les autorisations ✓

Remarque

Les secrets ne sont pas expurgés du journal stdout et des flux stderr du pilote Spark d’un cluster. Pour protéger les données sensibles, par défaut, les journaux de pilotes Spark sont visibles uniquement par les utilisateurs disposant de l’autorisation CAN MANAGE sur le travail, le mode d’accès dédié et les clusters en mode d’accès standard. Pour autoriser des utilisateurs avec l’autorisation PEUT ATTACHER À ou PEUT REDÉMARRER à visualiser les journaux sur ces clusters, définissez la propriété de configuration Spark suivante dans la configuration du cluster : spark.databricks.acl.needAdminPermissionToViewLogs false.

Sur les clusters sans mode d’accès partagé d’isolation, les journaux des pilotes Spark peuvent être affichés par les utilisateurs disposant de l’autorisation CAN ATTACH TO, CAN RESTART ou CAN MANAGE. Pour limiter les utilisateurs qui peuvent lire les journaux aux seuls utilisateurs ayant l’autorisation PEUT GÉRER, définissez spark.databricks.acl.needAdminPermissionToViewLogs sur true.

Consultez la configuration Spark pour découvrir comment ajouter des propriétés Spark à une configuration de cluster.

Listes de contrôle d’accès du tableau de bord

Capacité AUCUNE AUTORISATION PEUT VISUALISER/PEUT EXÉCUTER PEUT MODIFIER PEUT GÉRER
Afficher les tableaux de bord, les résultats et les jeux de données ✓ ✓ ✓
Interagir avec des widgets ✓ ✓ ✓
Actualiser le tableau de bord ✓ ✓ ✓
Modifier le tableau de bord ✓ ✓
Cloner le tableau de bord ✓ ✓ ✓
Publier une capture instantanée de tableau de bord ✓ ✓
Modifier les autorisations ✓
Supprimer un tableau de bord ✓

ACL de tableaux de bord héritées

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT COURIR PEUT MODIFIER PEUT GÉRER
Afficher dans la liste des tableaux de bord ✓ ✓ ✓ ✓
Afficher le tableau de bord et les résultats ✓ ✓ ✓ ✓
Actualiser les résultats de la requête dans le tableau de bord (ou choisir des paramètres différents) ✓ ✓ ✓
Modifier le tableau de bord ✓ ✓
Modifier les autorisations ✓
Supprimer un tableau de bord ✓

La modification d’un tableau de bord hérité nécessite le paramètre de partage 'Exécuter en tant que visionneur'. Consultez le comportement de rafraîchissement et le contexte d'exécution.

Listes de contrôle d’accès des instances de bases de données

Capacité AUCUNE AUTORISATION PEUT CRÉER PEUT UTILISER PEUT GÉRER
Obtenir une instance de base de données ✓ ✓ ✓
Répertorier les instances de base de données ✓ ✓ ✓
Créer une instance de base de données ✓ ✓ ✓
Créer une table synchronisée ✓ ✓
Créer un catalogue de bases de données Unity Catalog ✓
Modifier les rôles Postgres ✓
Supprimer une instance de base de données ✓
Modifier les autorisations ✓
Suspendre l’instance de base de données ✓
Reprendre l’instance de base de données ✓

Remarque

  • Tous les utilisateurs de l’espace de travail héritent automatiquement de l’autorisation CAN CREATE. Cette autorisation ne peut pas être affectée ou supprimée.
  • Lorsque vous effectuez des opérations qui interagissent avec unity Catalog, vous devez disposer d’autorisations sur l’objet Catalogue Unity :
    • Créer un catalogue de bases de données Unity : nécessite CREATE CATALOG privilège sur le métastore du catalogue Unity.
    • Créer une table synchronisée : nécessite des autorisations de catalogue Unity pour lire la table source, écrire dans le schéma de destination et écrire dans le schéma de stockage de pipeline.

Listes de contrôle d’accès des pipelines déclaratifs Spark Lakeflow

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT COURIR PEUT GÉRER EST PROPRIÉTAIRE
Afficher les détails du pipeline et lister les pipelines ✓ ✓ ✓ ✓
Afficher les journaux de l’interface utilisateur et du pilote Spark ✓ ✓ ✓ ✓
Démarrer et arrêter une mise à jour du pipeline ✓ ✓ ✓
Arrêter directement les clusters du pipeline ✓ ✓ ✓
Modifier les paramètres du pipeline ✓ ✓
Supprimer le pipeline ✓ ✓
Vider les exécutions et les expériences ✓ ✓
Modifier les autorisations ✓ ✓

ACL de tables de caractéristiques

Cette table décrit comment contrôler l’accès aux tables de fonctionnalités dans les espaces de travail qui ne sont pas activés pour Unity Catalog. Si votre espace de travail est activé pour le catalogue Unity, utilisez plutôt des privilèges de catalogue Unity .

Remarque

Capacité PEUT AFFICHER LES MÉTADONNÉES PEUT MODIFIER LES MÉTADONNÉES PEUT GÉRER
Lire la table de caractéristiques ✓ ✓ ✓
Rechercher dans la table de caractéristiques ✓ ✓ ✓
Publier la table de caractéristiques dans le magasin en ligne ✓ ✓ ✓
Écrire des caractéristiques dans la table de caractéristiques ✓ ✓
Mettre à jour la description de la table de caractéristiques ✓ ✓
Modifier les autorisations ✓
Supprimer la table de caractéristiques ✓

ACL de fichiers

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT COURIR PEUT MODIFIER PEUT GÉRER
Lire un fichier ✓ ✓ ✓ ✓
Commentaire ✓ ✓ ✓ ✓
Attacher et détacher un fichier ✓ ✓ ✓
Exécuter un fichier de façon interactive ✓ ✓ ✓
Modifier le fichier ✓ ✓
Modifier les autorisations ✓

Remarque

L'interface utilisateur de l'espace de travail fait référence à l'accès en mode affichage uniquement en tant que PEUT VOIR, tandis que l'API Autorisations utilise CAN READ pour représenter le même niveau d'accès.

ACL de dossiers

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT MODIFIER PEUT COURIR PEUT GÉRER
Lister les objets du dossier ✓ ✓ ✓ ✓ ✓
Afficher les objets du dossier ✓ ✓ ✓ ✓
Cloner et exporter des éléments ✓ ✓ ✓
Exécuter les objets du dossier ✓ ✓
Créer, importer et supprimer des éléments ✓
Déplacer et renommer des éléments ✓
Modifier les autorisations ✓

Remarque

L'interface utilisateur de l'espace de travail fait référence à l'accès en mode affichage uniquement en tant que PEUT VOIR, tandis que l'API Autorisations utilise CAN READ pour représenter le même niveau d'accès.

Listes de contrôle d’accès d’espace Genie

Capacité AUCUNE AUTORISATION PEUT VISUALISER/PEUT EXÉCUTER PEUT MODIFIER PEUT GÉRER
Voir dans la liste d’espaces Genie ✓ ✓ ✓
Poser des questions sur Genie ✓ ✓ ✓
Fournir des commentaires sur la réponse ✓ ✓ ✓
Ajouter ou modifier des instructions Genie ✓ ✓
Ajouter ou modifier des exemples de questions ✓ ✓
Ajouter ou supprimer des tables incluses ✓ ✓
Surveiller un espace ✓
Modifier les autorisations ✓
Supprimer l’espace ✓
Afficher les conversations d’autres utilisateurs ✓

ACL de dossiers Git

Capacité AUCUNE AUTORISATION PEUT LIRE PEUT COURIR PEUT MODIFIER PEUT GÉRER
Lister les ressources dans un dossier ✓ ✓ ✓ ✓ ✓
Afficher les ressources dans un dossier ✓ ✓ ✓ ✓
Cloner et exporter des ressources ✓ ✓ ✓ ✓
Exécuter des ressources exécutables dans le dossier ✓ ✓ ✓
Modifier et renommer des ressources dans un dossier ✓ ✓
Créer une branche dans un dossier ✓
Changer de branches dans GitHub ✓
Tirer (pull) ou envoyer (push) une branche dans un dossier ✓
Créer, importer, supprimer et déplacer des ressources ✓
Modifier les autorisations ✓

ACL de travaux

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT GÉRER L’EXÉCUTION EST PROPRIÉTAIRE PEUT GÉRER
Afficher les détails et paramètres du travail ✓ ✓ ✓ ✓
Afficher les résultats ✓ ✓ ✓ ✓
Afficher l’interface utilisateur Spark, journaux d’une exécution de travail ✓ ✓ ✓
Exécuter maintenant ✓ ✓ ✓
Annuler l’exécution ✓ ✓ ✓
Modifier les paramètres d’un travail ✓ ✓
Supprimer le travail ✓ ✓
Modifier les autorisations ✓ ✓

Remarque

  • Le créateur d’un travail dispose de l’autorisation IS OWNER par défaut.

  • Un travail ne peut avoir qu’un seul propriétaire.

  • Un groupe ne peut pas se voir attribuer l’autorisation Is Owner (Propriétaire) en tant que propriétaire.

  • Les travaux déclenchés via Run Now supposent les autorisations du propriétaire du travail et non de l’utilisateur qui a émis Run Now.

  • Le contrôle d’accès aux travaux s’applique aux travaux affichés dans l’interface utilisateur des travaux Lakeflow et à leurs exécutions. Elle ne s’applique pas aux points suivants :

    • Workflows de bloc-notes qui exécutent du code modulaire ou intégré. Celles-ci utilisent les autorisations du bloc-notes lui-même. Si le notebook provient de Git, une nouvelle copie est créée et ses fichiers héritent des autorisations de l’utilisateur qui a déclenché l’exécution.

    • Travaux envoyés par l’API. Celles-ci utilisent les autorisations par défaut du notebook, sauf si vous définissez explicitement cela dans la requête d’API access_control_list.

Listes de contrôle d’accès d’expérience MLflow

Les listes de contrôle d’accès des expériences MLflow sont différentes pour les expériences de notebook et les expériences d’espace de travail. Les expériences de bloc-notes ne peuvent pas être gérées indépendamment du bloc-notes qui les a créés. Les autorisations sont donc similaires aux autorisations de bloc-notes.

Pour en savoir plus sur les deux types d’expériences, consultez Organiser les exécutions d’entraînement avec des expériences MLflow.

ACL pour les expériences de notebooks

La modification de ces autorisations modifie également les autorisations sur le notebook qui correspond à l’expérience.

Capacité AUCUNE AUTORISATION PEUT LIRE PEUT COURIR PEUT MODIFIER PEUT GÉRER
Afficher le bloc-notes ✓ ✓ ✓ ✓
Commentaire sur les notebooks ✓ ✓ ✓ ✓
Attacher/détacher le bloc-notes pour le calcul ✓ ✓ ✓
Exécuter des commandes dans le notebook ✓ ✓ ✓
Modifier le bloc-notes ✓ ✓
Modifier les autorisations ✓

ACLs (Listes de contrôle d'accès) pour les expériences de l'espace de travail

Capacité AUCUNE AUTORISATION PEUT LIRE PEUT MODIFIER PEUT GÉRER
Afficher l’expérience ✓ ✓ ✓
Enregistrer les exécutions dans l’expérience ✓ ✓
Modifier l’expérience ✓ ✓
Supprimer l’expérience ✓
Modifier les autorisations ✓

Listes de contrôle d’accès de modèle MLflow

Cette table décrit comment contrôler l’accès aux modèles enregistrés dans les espaces de travail qui ne sont pas activés pour Unity Catalog. Si votre espace de travail est activé pour le catalogue Unity, utilisez plutôt des privilèges de catalogue Unity .

Capacité AUCUNE AUTORISATION PEUT LIRE PEUT MODIFIER PEUT GÉRER LES VERSIONS DE PRÉPRODUCTION PEUT GÉRER LES VERSIONS DE PRODUCTION PEUT GÉRER
Afficher les détails du modèle, les versions, les demandes de transition de phase, les activités et les URI de téléchargement d’artefacts ✓ ✓ ✓ ✓ ✓
Demander une transition de phase pour une version de modèle ✓ ✓ ✓ ✓ ✓
Ajouter une version à un modèle ✓ ✓ ✓ ✓
Mettre à jour la description d’un modèle et d’une version ✓ ✓ ✓ ✓
Ajouter ou modifier des balises ✓ ✓ ✓ ✓
Effectuer la transition d’une version de modèle entre des phases ✓ ✓ ✓
Approuver une demande de transition ✓ ✓ ✓
Annuler une demande de transition ✓
Renommer un modèle ✓
Modifier les autorisations ✓
Supprimer un modèle et des versions de modèle ✓

ACL de notebooks

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT COURIR PEUT MODIFIER PEUT GÉRER
Afficher les cellules ✓ ✓ ✓ ✓
Commentaire ✓ ✓ ✓ ✓
Exécuter via %run ou des flux de travail de notebooks ✓ ✓ ✓ ✓
Attacher et détacher des notebooks ✓ ✓ ✓
Commandes d’exécution ✓ ✓ ✓
Modifier les cellules ✓ ✓
Modifier les autorisations ✓

Remarque

L'interface utilisateur de l'espace de travail fait référence à l'accès en mode affichage uniquement en tant que PEUT VOIR, tandis que l'API Autorisations utilise CAN READ pour représenter le même niveau d'accès.

ACL de pools

Capacité AUCUNE AUTORISATION PEUT ATTACHER À PEUT GÉRER
Attacher un cluster à un pool ✓ ✓
Supprimer un pool ✓
Modifier un pool ✓
Modifier les autorisations ✓

ACL de requêtes

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT COURIR PEUT MODIFIER PEUT GÉRER
Afficher ses propres requêtes ✓ ✓ ✓ ✓
Voir dans la liste des requêtes ✓ ✓ ✓ ✓
Afficher le texte de la requête ✓ ✓ ✓ ✓
Afficher les résultats de la requête ✓ ✓ ✓ ✓
Actualiser le résultat de la requête (ou choisir des paramètres différents) ✓ ✓ ✓
Inclure la requête dans un tableau de bord ✓ ✓ ✓
Changer d’entrepôt SQL ou de source de données ✓ ✓ ✓
Modifier le texte de la requête ✓ ✓
Modifier les autorisations ✓
Supprimer la requête ✓

Listes de contrôle d’accès de requête de l’éditeur SQL héritées

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT COURIR PEUT MODIFIER PEUT GÉRER
Afficher ses propres requêtes ✓ ✓ ✓ ✓
Voir dans la liste des requêtes ✓ ✓ ✓ ✓
Afficher le texte de la requête ✓ ✓ ✓ ✓
Afficher les résultats de la requête ✓ ✓ ✓ ✓
Actualiser le résultat de la requête (ou choisir des paramètres différents) ✓ ✓ ✓
Inclure la requête dans un tableau de bord ✓ ✓ ✓
Modifier le texte de la requête ✓ ✓
Changer d’entrepôt SQL ou de source de données ✓
Modifier les autorisations ✓
Supprimer la requête ✓

ACL de secrets

Capacité LIRE ÉCRIRE GÉRER
Lecture de l’étendue du secret ✓ ✓ ✓
Répertorier les secrets dans l’étendue ✓ ✓ ✓
Écrire dans l’étendue du secret ✓ ✓
Modifier les autorisations ✓

ACL de point de terminaison de mise en service

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT INTERROGER PEUT GÉRER
Obtenir un point de terminaison ✓ ✓ ✓
Point de terminaison de liste ✓ ✓ ✓
Point de terminaison de requête ✓ ✓
Mettre à jour la configuration du point de terminaison ✓
Supprimer le point de terminaison ✓
Modifier les autorisations ✓

Les ACLs de l’entrepôt SQL

Capacité AUCUNE AUTORISATION PEUT AFFICHER PEUT SURVEILLER PEUT UTILISER EST PROPRIÉTAIRE PEUT GÉRER
Démarrer l’entrepôt ✓ ✓ ✓ ✓
Voir les détails de l’entrepôt ✓ ✓ ✓ ✓ ✓
Afficher les requêtes d’entrepôt ✓ ✓ ✓ ✓
Exécuter des requêtes ✓ ✓ ✓ ✓
Onglet Voir la supervision de l’entrepôt ✓ ✓ ✓ ✓
Arrêter l’entrepôt ✓ ✓
Supprimer l’entrepôt ✓ ✓
Modifier l’entrepôt ✓ ✓
Modifier les autorisations ✓ ✓

ACLs des points de terminaison des recherches vectorielles

Capacité AUCUNE AUTORISATION PEUT CRÉER PEUT UTILISER PEUT GÉRER
Obtenir un point de terminaison ✓ ✓ ✓
Lister les points de terminaison ✓ ✓ ✓
Création d’un point de terminaison ✓ ✓ ✓
Utiliser le point de terminaison (créer un index) ✓ ✓
Supprimer le point de terminaison ✓
Modifier les autorisations ✓
  • Last updated on