Partilhar via

Gerenciar usuários, entidades de serviço e grupos

A Databricks fornece gestão centralizada de identidades para utilizadores, grupos e entidades de serviço em toda a sua conta e espaços de trabalho. A gestão de identidade no Azure Databricks permite-lhe controlar quem pode aceder aos seus espaços de trabalho, dados e recursos de computação, com opções flexíveis para sincronizar identidades a partir do seu fornecedor de identidade.

Para obter uma perspetiva opinativa sobre como configurar melhor a identidade no Azure Databricks, consulte Práticas recomendadas de identidade.

Para gerenciar o acesso de usuários, entidades de serviço e grupos, consulte Autenticação e controle de acesso.

Identidades do Azure Databricks

O Databricks suporta três tipos de identidades para autenticação e controlo de acessos:

Tipo de identidade Description
Users Identidades de utilizador reconhecidas pelo Azure Databricks e representadas por endereços de email.
Principais de serviço Identidades para uso com tarefas, ferramentas automatizadas e sistemas como scripts, aplicações e plataformas CI/CD.
Grupos Uma coleção de identidades usadas pelos administradores para gerir o acesso de grupos a espaços de trabalho, dados e outros objetos protegidos. Todas as identidades do Databricks podem ser atribuídas como membros de grupos.

Uma conta do Azure Databricks pode ter um máximo de 10.000 usuários combinados e entidades de serviço, juntamente com até 5.000 grupos. Cada espaço de trabalho também pode ter um máximo de 10.000 usuários combinados e entidades de serviço como membros, juntamente com até 5.000 grupos.

Quem pode gerenciar identidades no Azure Databricks?

Para gerenciar identidades no Azure Databricks, você deve ter uma das seguintes funções:

Funções Capabilities
Administradores de conta
  • Adicionar, atualizar e eliminar utilizadores, principais de serviço e grupos na conta.
  • Atribuir funções administrativas e conceder aos utilizadores acesso aos espaços de trabalho.
  • Ter automaticamente a função de gestor de grupo em todos os grupos e a função de gestor de serviço em todas as entidades de serviço na conta.
Administradores do espaço de trabalho
  • Adicione utilizadores, principais de serviço e grupos à conta Azure Databricks.
  • Não é possível atualizar ou eliminar utilizadores ou responsáveis de serviço na conta.
  • Conceda aos utilizadores, entidades de serviço e grupos acesso aos seus espaços de trabalho.
  • Gerir grupos locais do espaço de trabalho antigos.
  • Ter automaticamente a função de gestor de grupo nos grupos que criam e a função de gestor de entidade de serviço nas entidades de serviço que criam.
Gestores do grupo
  • Gerir a pertença a grupos e eliminar grupos.
  • Atribui o papel de gestor de grupo a outros utilizadores.
Gestores principais de serviço
  • Adicionar, atualizar e remover funções em entidades de serviço.

Para estabelecer o seu primeiro administrador de conta, veja Estabelecer o seu primeiro administrador de conta.

Fluxos de trabalho de gestão de identidade

Observação

A maioria dos espaços de trabalho está habilitada para federação de identidades por padrão. A federação de identidades permite-lhe gerir identidades centralmente ao nível da conta e atribuí-las a espaços de trabalho. Esta página assume que o seu espaço de trabalho tem a federação de identidade ativada. Se tiver um espaço de trabalho legado sem federação de identidade, veja Espaços de trabalho legados sem federação de identidade.

Federação de identidade

O Databricks começou a permitir novos espaços de trabalho para federação de identidades e Catálogo Unity automaticamente a 9 de novembro de 2023. Os espaços de trabalho ativados por defeito para federação de identidade não podem desativá-lo. Para mais informações, consulte Ativação automática do Unity Catalog.

Num espaço de trabalho federado de identidade, quando adiciona um utilizador, principal de serviço ou grupo nas definições de administrador do espaço de trabalho, pode selecionar entre identidades que existem na sua conta. Em um espaço de trabalho federado sem identidade, você não tem a opção de adicionar usuários, entidades de serviço ou grupos de sua conta.

Adicionar federação de identidade de usuário

Para verificar se o seu espaço de trabalho tem a federação de identidade ativada, procure por Federação de Identidade: Ativada na página do espaço de trabalho na consola da conta. Para permitir a federação de identidade para um espaço de trabalho mais antigo, um administrador de conta deve ativar o espaço de trabalho para o Catálogo Unity atribuindo um metastore do Catálogo Unity. Consulte Habilitar um espaço de trabalho para o Unity Catalog.

Sincronize identidades a partir do seu fornecedor de identidade

O Databricks recomenda sincronizar identidades do Microsoft Entra ID para o Azure Databricks usando o gerenciamento automático de identidades. O gerenciamento automático de identidades é habilitado por padrão para contas criadas após 1º de agosto de 2025.

Usando a gestão automática de identidades, pode pesquisar diretamente utilizadores do Microsoft Entra ID, principais de serviço e grupos nas definições de administrador do espaço de trabalho e adicioná-los ao seu espaço de trabalho e à conta Azure Databricks. O Databricks usa a ID do Microsoft Entra como fonte de registro, portanto, quaisquer alterações em usuários ou associações de grupo são respeitadas no Azure Databricks. Para obter instruções detalhadas, consulte sincronizar utilizadores e grupos automaticamente a partir de Microsoft Entra ID.

Atribuir identidades aos espaços de trabalho

Para permitir que um utilizador, principal de serviço ou grupo trabalhe num espaço de trabalho Azure Databricks, um administrador de conta ou administrador de espaço de trabalho atribui-os ao espaço de trabalho. Pode atribuir acesso ao espaço de trabalho a qualquer utilizador, principal de serviço ou grupo que exista na conta.

Os administradores do espaço de trabalho também podem adicionar um novo usuário, entidade de serviço ou grupo diretamente a um espaço de trabalho. Esta ação adiciona automaticamente a identidade à conta e atribui-a a esse espaço de trabalho.

Diagrama de identidade no nível da conta

Para obter instruções detalhadas, consulte:

Partilha painéis de controlo com os utilizadores da conta

Os usuários podem compartilhar painéis publicados com outros usuários na conta do Azure Databricks, mesmo que esses usuários não sejam membros de seu espaço de trabalho. Usando o gerenciamento automático de identidades, os usuários podem compartilhar painéis com qualquer usuário na ID do Microsoft Entra, que adiciona o usuário à conta do Azure Databricks após o login. Os usuários na conta do Azure Databricks que não são membros de nenhum espaço de trabalho são o equivalente aos usuários somente exibição em outras ferramentas. Eles podem exibir objetos que foram compartilhados com eles, mas não podem modificar objetos. Os usuários em uma conta do Azure Databricks não têm acesso padrão a um espaço de trabalho, dados ou recursos de computação. Para obter mais informações, consulte Gerenciamento de usuários e grupos.

Authentication

Logon único (SSO)

O logon único (SSO) na forma de logon apoiado por ID do Microsoft Entra está disponível no Azure Databricks para todos os clientes por padrão para o console da conta e os espaços de trabalho. Consulte Logon único usando a ID do Microsoft Entra.

Aprovisionamento just-in-time

Você pode configurar o provisionamento just-in-time (JIT) para criar automaticamente novas contas de usuário a partir da Identidade do Entra da Microsoft no primeiro login delas. Consulte Provisionar usuários automaticamente (JIT).

Controlo de acessos

Os administradores podem atribuir funções, direitos e permissões a utilizadores, principais de serviço e grupos para controlar o acesso a espaços de trabalho, dados e outros objetos protegidos. Para obter mais informações, consulte Visão geral do controle de acesso.

Espaços de trabalho herdados sem federação de identidade

Para espaços de trabalho que não estão ativados para federação de identidades, os administradores de espaços de trabalho gerem os utilizadores, os principais de serviço e os grupos inteiramente dentro do âmbito do espaço de trabalho. Os usuários e entidades de serviço adicionados a espaços de trabalho federados sem identidade são adicionados automaticamente à conta. Se o utilizador do espaço de trabalho partilhar um nome de utilizador (ou seja, um endereço de email) com um utilizador ou administrador de conta que já existe, esses utilizadores são fundidos numa única identidade. Os grupos adicionados a espaços de trabalho federados sem identidade são grupos locais de espaço de trabalho herdados que não são adicionados à conta.

Para permitir a federação de identidade para um espaço de trabalho antigo, veja Federação de Identidade.

Recursos adicionais

  • Last updated on