Compartilhar via

Listas de controle de acesso

Esta página descreve detalhes sobre as permissões disponíveis para os diferentes objetos de workspace.

Visão geral das listas de controle de acesso

No Azure Databricks, você pode usar ACLs (listas de controle de acesso) para configurar a permissão para acessar objetos no nível do workspace. Os administradores do workspace têm a permissão CAN MANAGE em todos os objetos em seu workspace, o que lhes dá a capacidade de gerenciar permissões em todos os objetos em seus workspaces. Os usuários obtêm automaticamente a permissão CAN MANAGE para os objetos que criam.

Para obter um exemplo de como mapear personas típicas para permissões no nível do workspace, consulte a Proposta de introdução aos grupos e permissões do Databricks.

Gerenciar listas de controle de acesso com pastas

Você pode gerenciar as permissões de objeto de workspace adicionando objetos a pastas. Os objetos em uma pasta herdam todas as configurações de permissões dessa pasta. Por exemplo, um usuário que tem a permissão CAN RUN em uma pasta tem permissão CAN RUN nos alertas dessa pasta.

Se você conceder a um usuário acesso a um objeto dentro da pasta, ele poderá exibir o nome da pasta pai, mesmo que ele não tenha permissões na pasta pai. Por exemplo, um bloco de anotações nomeado test1.py está em uma pasta chamada Workflows. Se você conceder PODE EXIBIR a um usuário em test1.py e nenhuma permissão em Workflows, o usuário poderá ver que a pasta pai está nomeada como Workflows. O usuário não pode exibir ou acessar outros objetos na pasta Workflows, a menos que tenha recebido permissões para eles.

Para saber mais sobre como organizar objetos em pastas, consulte o navegador workspace.

ACLs de alertas

Ability SEM PERMISSÕES PODE SER EXECUTADO PODE GERENCIAR
Ver na lista de alertas ✓ ✓
Exibir alerta e resultado ✓ ✓
Disparar a execução de alerta manualmente ✓ ✓
Assinar as notificações ✓ ✓
Editar alerta ✓
Modificar permissões ✓
Excluir alerta ✓

ACLs de computação

Important

Em recursos de computação que usam o modo de acesso herdado Sem isolamento compartilhado, os usuários com permissões CAN ATTACH TO podem exibir as chaves da conta de serviço no arquivo log4j. Tenha cuidado ao conceder essa permissão. Para obter mais detalhes sobre esse modo e como restringi-lo, confira O que não são clusters compartilhados de isolamento?.

Ability SEM PERMISSÕES PODE ANEXAR A PODE REINICIAR PODE GERENCIAR
Anexar um notebook à computação ✓ ✓ ✓
Exibir interface do usuário do Spark ✓ ✓ ✓
Exibir métricas de computação ✓ ✓ ✓
Encerrar a computação ✓ ✓
Iniciar e reiniciar a computação ✓ ✓
Exibir logs de driver ✓ (consulte a observação)
Editar computação ✓
Anexar biblioteca à computação ✓
Redimensionar a computação ✓
Modificar permissões ✓

Note

Os segredos não são redacionados dos logs de driver Spark e fluxos de um cluster. Para proteger dados confidenciais, por padrão, os logs de driver do Spark só podem ser exibidos por usuários com a permissão "CAN MANAGE" no job, em clusters com modo de acesso dedicado e modo de acesso padrão. Para permitir que usuários com a permissão CAN ATTACH TO ou CAN RESTART visualizem os logs nesses clusters, defina a seguinte propriedade de configuração do Spark na configuração do cluster: spark.databricks.acl.needAdminPermissionToViewLogs false.

Em clusters de modo de acesso compartilhado sem isolamento, os logs de driver do Spark podem ser exibidos por usuários com permissão CAN ATTACH TO, CAN RESTART ou CAN MANAGE. Para limitar quem pode ler os logs apenas aos usuários com a permissão CAN MANAGE, defina spark.databricks.acl.needAdminPermissionToViewLogs como true.

Consulte a configuração do Spark para saber como adicionar propriedades do Spark a uma configuração de cluster.

ACLs do Dashboard

Ability SEM PERMISSÕES PODE EXIBIR/PODE EXECUTAR PODE EDITAR PODE GERENCIAR
Exibir dashboard, resultados e conjuntos de dados ✓ ✓ ✓
Interagir com widgets ✓ ✓ ✓
Atualizar o painel ✓ ✓ ✓
Editar painel ✓ ✓
Clonar painel ✓ ✓ ✓
Publicar o instantâneo do painel ✓ ✓
Modificar permissões ✓
Excluir painel ✓

ACLs do painel herdado

Ability SEM PERMISSÕES PODE EXIBIR PODE SER EXECUTADO PODE EDITAR PODE GERENCIAR
Ver na lista de painéis ✓ ✓ ✓ ✓
Exibir painéis e resultados ✓ ✓ ✓ ✓
Atualizar os resultados da consulta no painel (ou escolher parâmetros diferentes) ✓ ✓ ✓
Editar painel ✓ ✓
Modificar permissões ✓
Excluir painel ✓

Editar um painel de controle herdado requer a configuração de compartilhamento Executar como visualizador. Consulte Atualizar comportamento e contexto de execução.

ACLs de instância de banco de dados

Ability SEM PERMISSÕES PODE CRIAR PODE USAR PODE GERENCIAR
Obter instância de banco de dados ✓ ✓ ✓
Listar instâncias de banco de dados ✓ ✓ ✓
Criar instância de banco de dados ✓ ✓ ✓
Criar tabela sincronizada ✓ ✓
Criar catálogo de banco de dados do Unity Catalog ✓
Modificar funções do Postgres ✓
Excluir instância de banco de dados ✓
Modificar permissões ✓
Pausar a instância do banco de dados ✓
Retomar a instância do banco de dados ✓

Note

  • Todos os usuários do workspace herdam automaticamente a permissão CAN CREATE. Essa permissão não pode ser atribuída ou removida.
  • Ao executar operações que interagem com o Catálogo do Unity, você precisa ter permissões no objeto catálogo do Unity:
    • Criar catálogo de banco de dados no Catálogo do Unity: requer o privilégio CREATE CATALOG no metastore do Catálogo do Unity.
    • Criar tabela sincronizada: requer permissões do Catálogo do Unity para ler a tabela de origem, gravar no esquema de destino e gravar no esquema de armazenamento de pipeline.

ACLs de Pipelines Declarativos do Lakeflow Spark

Ability SEM PERMISSÕES PODE EXIBIR PODE SER EXECUTADO PODE GERENCIAR É PROPRIETÁRIO
Exibir detalhes do pipeline e listar pipeline ✓ ✓ ✓ ✓
Exibir a interface do usuário do Spark e os logs do driver. ✓ ✓ ✓ ✓
Iniciar e parar uma atualização de pipeline. ✓ ✓ ✓
Parar clusters de pipeline diretamente. ✓ ✓ ✓
Editar configurações do pipeline. ✓ ✓
Excluir o pipeline. ✓ ✓
Limpar execuções e experimentos ✓ ✓
Modificar permissões ✓ ✓

ACLs de tabelas de recursos

Esta tabela descreve como controlar o acesso a tabelas de recursos em workspaces que não estão habilitados para o Catálogo do Unity. Se o workspace estiver habilitado para o Catálogo do Unity, use Privilégios do Catálogo do Unity.

Note

Ability PODE VISUALIZAR METADADOS PODE EDITAR METADADOS PODE GERENCIAR
Ler tabela de recursos ✓ ✓ ✓
Pesquisar tabela de recursos ✓ ✓ ✓
Publicar tabela de recursos no armazenamento online ✓ ✓ ✓
Gravar recursos na tabela de recursos ✓ ✓
Atualizar a descrição da tabela de recursos ✓ ✓
Modificar permissões ✓
Excluir tabelas de recursos ✓

ACLs de arquivo

Ability SEM PERMISSÕES PODE EXIBIR PODE SER EXECUTADO PODE EDITAR PODE GERENCIAR
Ler arquivo ✓ ✓ ✓ ✓
Comment ✓ ✓ ✓ ✓
Anexar e desanexar arquivo ✓ ✓ ✓
Executar o arquivo interativamente ✓ ✓ ✓
Editar arquivo ✓ ✓
Modificar permissões ✓

Note

A interface de usuário do ambiente de trabalho se refere ao acesso somente para visualização como CAN VIEW, enquanto a API de Permissões usa CAN READ para representar o mesmo nível de acesso.

ACLs de pasta

Ability SEM PERMISSÕES PODE EXIBIR PODE EDITAR PODE SER EXECUTADO PODE GERENCIAR
Listar os objetos na pasta ✓ ✓ ✓ ✓ ✓
Exibir os objetos na pasta ✓ ✓ ✓ ✓
Clonar e exportar itens ✓ ✓ ✓
Executar objetos na pasta ✓ ✓
Criar, importar e excluir itens ✓
Mover e renomear itens ✓
Modificar permissões ✓

Note

A interface de usuário do ambiente de trabalho se refere ao acesso somente para visualização como CAN VIEW, enquanto a API de Permissões usa CAN READ para representar o mesmo nível de acesso.

ACLs de espaço do Genie

Ability SEM PERMISSÕES PODE EXIBIR/PODE EXECUTAR PODE EDITAR PODE GERENCIAR
Ver na lista de espaços do Genie ✓ ✓ ✓
Fazer perguntas ao Genie ✓ ✓ ✓
Fornecer comentários de resposta ✓ ✓ ✓
Adicionar ou editar instruções do Genie ✓ ✓
Adicionar ou editar perguntas de exemplo ✓ ✓
Adicionar ou remover tabelas incluídas ✓ ✓
Monitorar um espaço ✓
Modificar permissões ✓
Excluir espaço ✓
Exibir conversas de outros usuários ✓

ACLs de pasta do Git

Ability SEM PERMISSÕES PODE LER PODE SER EXECUTADO PODE EDITAR PODE GERENCIAR
Listar ativos em uma pasta ✓ ✓ ✓ ✓ ✓
Exibir ativos em uma pasta ✓ ✓ ✓ ✓
Clonar e exportar ativos ✓ ✓ ✓ ✓
Executar ativos executáveis em uma pasta ✓ ✓ ✓
Editar e renomear ativos em uma pasta ✓ ✓
Criar uma ramificação em uma pasta ✓
Alternar ramificações em uma pasta ✓
Efetuar pull ou push de um branch em uma pasta ✓
Criar, importar, excluir e mover ativos ✓
Modificar permissões ✓

ACLs de trabalho

Ability SEM PERMISSÕES PODE EXIBIR PODE GERENCIAR A EXECUÇÃO É PROPRIETÁRIO PODE GERENCIAR
Exibir detalhes e configurações do trabalho ✓ ✓ ✓ ✓
Exibir os resultados ✓ ✓ ✓ ✓
Exibir a interface do usuário do Spark, os logs de uma execução de trabalho ✓ ✓ ✓
Executar agora ✓ ✓ ✓
Cancelar execução ✓ ✓ ✓
Configurações do trabalho ✓ ✓
Excluir trabalho ✓ ✓
Modificar permissões ✓ ✓

Note

  • O criador de um trabalho tem a permissão É PROPRIETÁRIO por padrão.

  • Um trabalho não pode ter mais de um proprietário.

  • Não é possível atribuir a um grupo a permissão Is Owner como proprietário.

  • Os trabalhos disparados por meio do Run Now pressupõem as permissões do proprietário do trabalho e não do usuário que emitiu Executar Agora.

  • O controle de acesso de trabalhos se aplica a trabalhos exibidos na interface do usuário de Trabalhos do Lakeflow e suas execuções. Ele não se aplica a:

    • Fluxos de trabalho do notebook que executam código modular ou vinculado. Eles usam as permissões do próprio notebook. Se o notebook for proveniente do Git, uma nova cópia será criada e seus arquivos herdarão as permissões do usuário que disparou a execução.

    • Trabalhos enviados pela API. Elas usam as permissões padrão do notebook, a menos que você defina explicitamente a access_control_list na solicitação de API.

ACLs de experimento do MLflow

As ACLs de experimento do MLflow são diferentes para experimentos de notebook e experimentos de workspace. Os experimentos de notebook não podem ser gerenciados independentemente do notebook que os criou, portanto, as permissões são semelhantes às permissões do notebook.

Para saber mais sobre os dois tipos de experimentos, consulte Organizar execuções de treinamento com experimentos do MLflow.

ACLs para experimentos de notebook

Alterar essas permissões também modifica as permissões no notebook que correspondem ao experimento.

Ability SEM PERMISSÕES PODE LER PODE SER EXECUTADO PODE EDITAR PODE GERENCIAR
Exibir notebook ✓ ✓ ✓ ✓
Comentar no notebook ✓ ✓ ✓ ✓
Conectar/desconectar o notebook ao computador ✓ ✓ ✓
Executar comandos no notebook ✓ ✓ ✓
Editar notebook ✓ ✓
Modificar permissões ✓

ACLs para experimentos de workspace

Ability SEM PERMISSÕES PODE LER PODE EDITAR PODE GERENCIAR
Exibir experimento ✓ ✓ ✓
Registrar em log execuções do experimento ✓ ✓
Editar o experimento ✓ ✓
Excluir o experimento ✓
Modificar permissões ✓

ACLs de modelo do MLflow

Esta tabela descreve como controlar o acesso a modelos registrados em workspaces que não estão habilitados para o Catálogo do Unity. Se o workspace estiver habilitado para o Catálogo do Unity, use Privilégios do Catálogo do Unity.

Ability SEM PERMISSÕES PODE LER PODE EDITAR PODE GERENCIAR VERSÕES DE PREPARO PODE GERENCIAR VERSÕES DE PRODUÇÃO PODE GERENCIAR
Ver detalhes do modelo, versões, solicitações de transição de fase, atividades e URIs de download do artefato ✓ ✓ ✓ ✓ ✓
Solicitar uma transição de fase da versão do modelo ✓ ✓ ✓ ✓ ✓
Adicionar uma versão a um modelo ✓ ✓ ✓ ✓
Atualizar o modelo e a descrição da versão ✓ ✓ ✓ ✓
Adicionar ou editar marcas ✓ ✓ ✓ ✓
Fazer a transição da versão do modelo entre fases ✓ ✓ ✓
Aprovar uma solicitação de transição ✓ ✓ ✓
Cancelar uma solicitação de transição ✓
Renomear modelo ✓
Modificar permissões ✓
Excluir modelo e versões de modelo ✓

ACLs de notebook

Ability SEM PERMISSÕES PODE EXIBIR PODE SER EXECUTADO PODE EDITAR PODE GERENCIAR
Exibir células ✓ ✓ ✓ ✓
Comment ✓ ✓ ✓ ✓
Execute usando %run ou fluxos de trabalho em notebook ✓ ✓ ✓ ✓
Anexar e desanexar notebooks ✓ ✓ ✓
Executar comandos ✓ ✓ ✓
Editar células ✓ ✓
Modificar permissões ✓

Note

A interface de usuário do ambiente de trabalho se refere ao acesso somente para visualização como CAN VIEW, enquanto a API de Permissões usa CAN READ para representar o mesmo nível de acesso.

ACLs de pool

Ability SEM PERMISSÕES PODE ANEXAR A PODE GERENCIAR
Anexar um cluster ao pool ✓ ✓
Excluir pool ✓
Editar pool ✓
Modificar permissões ✓

ACLs de consulta

Ability SEM PERMISSÕES PODE EXIBIR PODE SER EXECUTADO PODE EDITAR PODE GERENCIAR
Exibir consultas próprias ✓ ✓ ✓ ✓
Ver na lista de consultas ✓ ✓ ✓ ✓
Exibir texto da consulta ✓ ✓ ✓ ✓
Exibir resultados da consulta ✓ ✓ ✓ ✓
Atualizar o resultado da consulta (ou escolher parâmetros diferentes) ✓ ✓ ✓
Incluir a consulta em um painel ✓ ✓ ✓
Alterar SQL warehouse ou fonte de dados ✓ ✓ ✓
Editar texto da consulta ✓ ✓
Modificar permissões ✓
Excluir consulta ✓

ACLs de consulta do editor SQL herdado

Ability SEM PERMISSÕES PODE EXIBIR PODE SER EXECUTADO PODE EDITAR PODE GERENCIAR
Exibir consultas próprias ✓ ✓ ✓ ✓
Ver na lista de consultas ✓ ✓ ✓ ✓
Exibir texto da consulta ✓ ✓ ✓ ✓
Exibir resultados da consulta ✓ ✓ ✓ ✓
Atualizar o resultado da consulta (ou escolher parâmetros diferentes) ✓ ✓ ✓
Incluir a consulta em um painel ✓ ✓ ✓
Editar texto da consulta ✓ ✓
Alterar SQL warehouse ou fonte de dados ✓
Modificar permissões ✓
Excluir consulta ✓

ACLs de segredo

Ability READ WRITE MANAGE
Ler o escopo do segredo ✓ ✓ ✓
Listar segredos no escopo ✓ ✓ ✓
Gravar no escopo do segredo ✓ ✓
Modificar permissões ✓

ACLs de ponto de extremidade do serviço

Ability SEM PERMISSÕES PODE EXIBIR PODE CONSULTAR PODE GERENCIAR
Obter o ponto de extremidade ✓ ✓ ✓
Ponto de extremidade de lista ✓ ✓ ✓
Ponto de extremidade de consulta ✓ ✓
Atualizar a configuração do ponto de extremidade ✓
Excluir ponto de extremidade ✓
Modificar permissões ✓

ACLs de SQL warehouse

Ability SEM PERMISSÕES PODE EXIBIR PODE MONITORAR PODE USAR É PROPRIETÁRIO PODE GERENCIAR
Iniciar o warehouse ✓ ✓ ✓ ✓
Exibir detalhes do warehouse ✓ ✓ ✓ ✓ ✓
Exibir consultas do warehouse ✓ ✓ ✓ ✓
Executar consultas ✓ ✓ ✓ ✓
Exibir guia de monitoramento do warehouse ✓ ✓ ✓ ✓
Parar o warehouse ✓ ✓
Excluir o warehouse ✓ ✓
Editar o warehouse ✓ ✓
Modificar permissões ✓ ✓

ACLs de ponto de extremidade de busca em vetores

Ability SEM PERMISSÕES PODE CRIAR PODE USAR PODE GERENCIAR
Obter o ponto de extremidade ✓ ✓ ✓
Listar pontos de extremidade ✓ ✓ ✓
Criar ponto de extremidade ✓ ✓ ✓
Usar ponto de extremidade (criar índice) ✓ ✓
Excluir ponto de extremidade ✓
Modificar permissões ✓
  • Last updated on