Delen via

Serviceprincpalen

Een service-principal is een gespecialiseerde identiteit in Azure Databricks die is ontworpen voor automatisering en programmatische toegang. Service-principals bieden veilige, API-toegang tot Azure Databricks-resources voor geautomatiseerde hulpprogramma's, scripts en CI/CD-platforms, zonder dat er gebruik wordt gemaakt van afzonderlijke gebruikersreferenties.

Zie Service-principals beheren voor informatie over het beheren van service-principals.

Opmerking

Op deze pagina wordt ervan uitgegaan dat voor uw werkruimte identiteitsfederatie is ingeschakeld. Dit is de standaardinstelling voor de meeste werkruimten. Zie Verouderde werkruimten zonder identiteitsfederatie voor informatie over verouderde werkruimten zonder identiteitsfederatie.

Wat is een serviceprincipal?

Service-principals bieden geautomatiseerde hulpprogramma's en scripts alleen API-toegang tot Azure Databricks-resources, wat meer beveiliging biedt dan het gebruik van gebruikersaccounts. U kunt de toegang van een service-principal tot resources op dezelfde manier verlenen en beperken als een Azure Databricks-gebruiker. U kunt bijvoorbeeld een service-principal de rol accountbeheerder of werkruimtebeheerder verlenen, toegang verlenen tot gegevens met behulp van Unity Catalog of een service-principal als lid toevoegen aan een groep.

U kunt Azure Databricks-gebruikers, service-principals en groepen machtigingen verlenen om een service-principal te gebruiken. Hierdoor kunnen gebruikers taken uitvoeren als de service-principal, in plaats van als hun identiteit, waardoor taken niet kunnen mislukken als een gebruiker uw organisatie verlaat of een groep wordt gewijzigd.

Service-principals voor Databricks en Microsoft Entra ID

Service-principals kunnen ofwel beheerde service-principals van Azure Databricks zijn, of beheerde service-principals van Microsoft Entra ID.

Door Azure Databricks beheerde service-principals kunnen worden geverifieerd bij Azure Databricks met behulp van Databricks OAuth-verificatie en persoonlijke toegangstokens. Beheerde service-principals van Microsoft Entra ID kunnen zich authentiseren bij Azure Databricks met behulp van Databricks OAuth-authenticatie en Microsoft Entra ID-tokens. Zie Tokens voor een service-principal beheren voor meer informatie over verificatie voor service-principals.

Beheerde Azure Databricks-service-principals worden rechtstreeks binnen Azure Databricks beheerd. Beheerde service-principals van Microsoft Entra ID worden beheerd in Microsoft Entra ID, waarvoor aanvullende machtigingen zijn vereist. Databricks raadt u aan om beheerde Azure Databricks-service-principals te gebruiken voor Azure Databricks-automatisering en dat u beheerde service-principals van Microsoft Entra ID gebruikt in gevallen waarin u zich tegelijkertijd moet verifiëren met Azure Databricks en andere Azure-resources.

Als u een door Azure Databricks beheerde service-principal wilt maken, slaat u deze sectie over en leest u verder met Wie kan service-principals beheren en gebruiken?.

Als u beheerde service-principals van Microsoft Entra ID in Azure Databricks wilt gebruiken, moet een beheerder een Microsoft Entra ID-toepassing maken in Azure. Als u een door Microsoft Entra ID beheerde service-principal wilt maken, zie Verifiëren met Microsoft Entra-service-principals.

Veelvoorkomende gebruiksvoorbeelden

Service-principals zijn ideaal voor automatiseringsscenario's zoals de volgende, waar u veilige, betrouwbare programmatische toegang tot Databricks-resources nodig hebt:

Gebruiksituatie Example
CI/CD-pijplijnen Notebooks, bibliotheken en configuraties automatisch implementeren als onderdeel van uw werkstromen voor continue integratie en implementatie.
Geplande jobs ETL-pijplijnen, gegevensverwerkingstaken en geautomatiseerde rapporten uitvoeren volgens een schema zonder afhankelijk van afzonderlijke gebruikersaccounts.
Integraties tussen systemen Externe toepassingen en services verbinden met Databricks voor gegevensopname, transformatie of analyse.
Geautomatiseerd testen Voer integratietests uit en valideer gegevenspijplijnen als onderdeel van uw testframework.
Infrastructuur als code Databricks-resources inrichten en beheren met hulpprogramma's zoals Terraform, ARM-sjablonen of Databricks Asset Bundles.

Wie kan service-principals beheren en gebruiken?

Als u service-principals in Azure Databricks wilt beheren, moet u een van de volgende rollen hebben:

Rol Capabilities
Accountbeheerders
  • Voeg service-principals toe aan het account en wijs deze beheerdersrollen toe.
  • Wijs service-principals toe aan werkruimten.
  • Automatisch de rol van service-principalbeheerder hebben voor alle service-principals in het account.
Werkruimtebeheerders
  • Voeg service-principals toe aan een Azure Databricks-werkruimte.
  • Wijs ze de rol van werkruimtebeheerder toe.
  • Toegang tot objecten en functionaliteit in de werkruimte beheren.
  • Automatisch de rol van service-principal-manager hebben voor de service-principals die zij creëren.
Service-principalmanagers
  • Rollen beheren voor een service-principal.
  • Wijs de rol service-principal manager toe aan andere gebruikers.
Service-principalgebruikers
  • Voer taken uit als de service-principal, met behulp van diens identiteit in plaats van de identiteit van de taakeigenaar.

Opmerking

  • De maker van een serviceprincipal wordt automatisch de serviceprincipalmanager.
  • Gebruikers met de service-principalmanagerrol nemen de service-principalgebruikersrol niet over. Als u de service-principal wilt gebruiken om taken uit te voeren, moet u uzelf expliciet de gebruikersrol service-principal toewijzen, zelfs nadat u de service-principal hebt gemaakt.
  • Wanneer de RestrictWorkspaceAdmins instelling is ingesteld op ALLOW ALL, kunnen werkruimtebeheerders tokens maken namens elke service-principal in hun werkruimte. Zie Werkruimtebeheerders beperken.

Zie Rollen voor het beheren van service-principals voor informatie over hoe u de rollen van beheerder en gebruiker aan een service-principal kunt toewijzen.

Service-principals synchroniseren met uw Azure Databricks-account vanuit uw Microsoft Entra ID-tenant

U kunt service-principals van Microsoft Entra ID automatisch synchroniseren vanuit uw Microsoft Entra ID-tenant naar uw Azure Databricks-account met behulp van automatisch identiteitsbeheer. Databricks gebruikt Microsoft Entra-id als bron, zodat wijzigingen in gebruikers of groepslidmaatschappen worden gerespecteerd in Azure Databricks. Automatisch identiteitsbeheer is standaard ingeschakeld voor accounts die zijn gemaakt na 1 augustus 2025. Zie Gebruikers en groepen automatisch synchroniseren vanuit Microsoft Entra-id.

SCIM-inrichting biedt geen ondersteuning voor het synchroniseren van service-principals.

Aanvullende bronnen

  • Last updated on