Beperk werkruimte-beheerders

In dit artikel wordt uitgelegd hoe accountbeheerders de RestrictWorkspaceAdmins instelling kunnen gebruiken om machtigingen voor werkruimtebeheerders te beperken rond taken, query's, verouderde waarschuwingen en verouderde dashboards.

Standaardmachtigingen

Zonder de RestrictWorkspaceAdmins instelling in te schakelen, hebben werkruimtebeheerders de volgende machtigingen:

• Kan de eigenaar van een opdracht wijzigen in elke gebruiker of service-principal in hun werkplek.
• Kan de instelling Uitvoeren als van een taak bijwerken naar elke gebruiker in zijn werkruimte of naar een service-principal met de gebruikersrol Service-principal .
• Kan de eigenaar van een query wijzigen in elke gebruiker in hun digitale werkruimte.
• Kan de eigenaar van een oude waarschuwing wijzigen in elke gebruiker in hun werkruimte.
• Kan een verouderde dashboardeigenaar wijzigen in elke gebruiker in zijn werkruimte.

Beperkte machtigingen

Nadat de RestrictWorkspaceAdmins instelling is ingeschakeld, hebben werkruimtebeheerders de volgende machtigingen:

• Kan alleen een taak, query, verouderde waarschuwing of verouderde dashboardeigenaar zelf wijzigen.
• Kan de Uitvoeren als instelling van een taak bijwerken naar zichzelf of naar een service-principal waarbij zij de Service Principal User rol hebben.

De beperkingsinstelling inschakelen

Als u de instelling RestrictWorkspaceAdmins wilt inschakelen, moet u een accountbeheerder zijn en moet u lid zijn van de werkruimte die u wilt beperken. In het volgende voorbeeld wordt de Databricks CLI v0.215.0 gebruikt.

De RestrictWorkspaceAdmins-instelling maakt gebruik van een etag veld om consistentie te garanderen. Als u de instelling wilt in- of uitschakelen, geeft u eerst een GET om een etag te ontvangen als reactie. U kunt de instelling bijwerken met behulp van de etag. Bijvoorbeeld:

databricks settings restrict-workspace-admins get

Voorbeeldantwoord:

{
  "etag": "<etag>",
  "restrict_workspace_admins": {
    "status": "ALLOW_ALL"
  },
  "setting_name": "default"
}

Kopieer het etag veld uit de hoofdtekst van het antwoord en gebruik dit om de RestrictWorkspaceAdmins-instelling bij te werken. Bijvoorbeeld:

databricks settings restrict-workspace-admins update --json '{
  "setting": {
    "setting_name": "default",
    "restrict_workspace_admins": {
      "status": "RESTRICT_TOKENS_AND_JOB_RUN_AS"
    },
    "etag": "<etag>"
  },
  "allow_missing": true,
  "field_mask": "restrict_workspace_admins.status"
}'

Voorbeeldantwoord:

{
  "etag": "<response-etag>",
  "restrict_workspace_admins": {
    "status": "RESTRICT_TOKENS_AND_JOB_RUN_AS"
  },
  "setting_name": "default"
}

Zet de status van RestrictWorkspaceAdmins op ALLOW_ALLom deze uit te schakelen.

U kunt ook de API voor werkruimtebeheerders beperken of de Databricks Terraform-provider.