Gerir grupos

Esta página explica como gerenciar grupos para sua conta e espaços de trabalho do Azure Databricks.

Para obter uma visão geral dos grupos, consulte Grupos.

Sincronize grupos com a sua conta do Azure Databricks a partir do seu inquilino do Microsoft Entra ID

Você pode sincronizar grupos do locatário do Microsoft Entra ID para a sua conta do Azure Databricks automaticamente ou usando um conector de provisionamento via SCIM.

O gerenciamento automático de identidades permite adicionar usuários, entidades de serviço e grupos do Microsoft Entra ID ao Azure Databricks sem configurar um aplicativo no Microsoft Entra ID. O Databricks usa a ID do Microsoft Entra como fonte de registro, portanto, quaisquer alterações em usuários ou associações de grupo são respeitadas no Azure Databricks. O gerenciamento automático de identidades oferece suporte a grupos aninhados. O gerenciamento automático de identidades é habilitado por padrão para contas criadas após 1º de agosto de 2025. Para obter detalhes, consulte Sincronizar usuários e grupos automaticamente a partir da ID do Microsoft Entra.

O provisionamento SCIM permite configurar um aplicativo corporativo no Microsoft Entra ID para manter os usuários e grupos sincronizados com o Microsoft Entra ID. O provisionamento SCIM não oferece suporte a grupos aninhados. Para obter instruções, consulte Sincronizar usuários e grupos do Microsoft Entra ID usando SCIM.

Adicionar grupos à sua conta

Os administradores de conta e os administradores de espaço de trabalho podem adicionar grupos à conta do Azure Databricks usando o console de conta ou a página de configurações de administrador do espaço de trabalho.

Console da conta

1. Como administrador da conta, inicie sessão na consola da conta.
2. Na barra lateral, clique em Gerenciamento de usuários.
3. Na guia Grupos, clique em Adicionar grupo.
4. Introduza um nome para o grupo.
5. Clique em Confirmar.
6. Quando solicitado, adicione usuários, entidades de serviço e grupos ao grupo.

Configurações de administração do espaço de trabalho

1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.
2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições.
3. Clique na guia Identidade e acesso .
4. Ao lado de Grupos, clique em Gerenciar.
5. Clique em Adicionar grupo.
6. Clique em Adicionar novo.
7. Introduza um nome para o grupo.
8. Clique em Adicionar.

Adicionar membros a um grupo

Os administradores de conta e os administradores de espaço de trabalho podem adicionar grupos à conta do Azure Databricks usando o console de conta ou a página de configurações de administrador do espaço de trabalho. Os gerentes de grupo que não são administradores de espaço de trabalho devem gerir os membros do grupo usando a API de Grupos de Contas.

Console da conta

1. Como administrador da conta, inicie sessão na consola da conta.
2. Na barra lateral, clique em Gerenciamento de usuários.
3. No separador Grupos , selecione o grupo que pretende atualizar.
4. Clique em Adicionar membros.
5. Procure o usuário, grupo ou entidade de serviço que deseja adicionar e selecione-o.
6. Clique em Adicionar.

Há um atraso de alguns minutos entre a atualização de um grupo e a associação ao grupo ser totalmente propagada em todos os sistemas.

Configurações de administração do espaço de trabalho

1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.
2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições.
3. Clique na guia Identidade e acesso .
4. Ao lado de Grupos, clique em Gerenciar.
5. Selecione o grupo que deseja atualizar. Você deve ter a função de gerente de grupo no grupo para atualizá-lo.
6. Na guia Membros, clique em Adicionar membros.
7. Na caixa de diálogo, procure ou pesquise os usuários, entidades de serviço e grupos que deseja adicionar e selecione-os.
8. Clique em Confirmar.

Alterar o nome de um grupo

Os administradores de conta podem atualizar o nome dos grupos usando o console de conta e os gerentes de grupo podem atualizar o nome dos grupos usando a API de Grupos de Conta. Para manter os grupos externos sincronizados com o Microsoft Entra ID, não é possível atualizar o nome de um grupo externo no console da conta por padrão.

Console da conta

1. Como administrador da conta, inicie sessão na consola da conta.
2. Na barra lateral, clique em Gerenciamento de usuários.
3. No separador Grupos , selecione o grupo que pretende atualizar.
4. Clique em Informações do grupo.
5. Em Nome, atualize o nome.
6. Clique em Salvar.

API de grupos de contas

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.1/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": [ "urn:ietf:params:scim:api:messages:2.0:PatchOp" ],
  "Operations": [
    {
      {
          "op": "replace",
          "path": "displayName",
          "value": "<updated-name>"
      }
    }
  ]
}

Para obter informações sobre como autenticar na API de Grupos de Contas, consulte Autorizar acesso aos recursos do Azure Databricks.

Atribuir um grupo a uma área de trabalho

Administradores de conta e administradores de espaço de trabalho podem atribuir grupos a um espaço de trabalho do Azure Databricks usando o console de conta ou a página de configurações de administrador do espaço de trabalho.

Console da conta

Os grupos locais de espaço de trabalho não podem ser atribuídos a espaços de trabalho através do console da conta.

1. Como administrador da conta, inicie sessão na consola da conta.
2. Na barra lateral, clique em Espaços de trabalho.
3. Clique no nome do espaço de trabalho.
4. No separador Permissões, clique em Adicionar permissões.
5. Procure e selecione o grupo, atribua o nível de permissão ( Usuário ou Administrador do espaço de trabalho) e clique em Salvar.

Configurações de administração do espaço de trabalho

1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.
2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições.
3. Clique na guia Identidade e acesso .
4. Ao lado de Grupos, clique em Gerenciar.
5. Clique em Adicionar grupo.
6. Selecione um grupo existente para atribuir ao espaço de trabalho.
7. Clique em Adicionar.

Remover um grupo de uma área de trabalho

Quando um grupo de contas é removido de um espaço de trabalho, os membros do grupo não podem mais acessar o espaço de trabalho, no entanto, as permissões são mantidas no grupo. Se o grupo for adicionado posteriormente de volta a um espaço de trabalho, o grupo recuperará suas permissões anteriores.

Os administradores de conta e de espaço de trabalho podem remover um grupo de um espaço de trabalho do Azure Databricks usando o console de conta ou a página de configurações de administrador do espaço de trabalho.

Console da conta

Os grupos locais de espaço de trabalho não podem ser removidos dos espaços de trabalho através do console de contas.

1. Como administrador da conta, inicie sessão na consola da conta.
2. Na barra lateral, clique em Espaços de trabalho.
3. Clique no nome do espaço de trabalho.
4. Na guia Permissões, localize o grupo.
5. Clique no à direita da linha do grupo e selecione Remover.
6. Na caixa de diálogo de confirmação, clique em Remover.

Configurações de administração do espaço de trabalho

1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.
2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições.
3. Clique na guia Identidade e acesso .
4. Ao lado de Grupos, clique em Gerenciar.
5. Selecione o grupo e clique em x Excluir
6. Clique em Excluir para confirmar.

Gerenciar funções em um grupo

Os administradores de conta podem conceder funções em grupos no console de conta e o administrador de espaço de trabalho pode gerenciar funções de grupo usando a página Configurações de administração de espaço de trabalho. Os gerentes de grupo que não são administradores de espaço de trabalho podem gerenciar funções de grupo usando a API de Controle de Acesso à Conta.

Console da conta

1. Como administrador de conta, inicie sessão na consola da conta.
2. Na barra lateral, clique em Gerenciamento de usuários.
3. Na guia Grupos , localize e clique no nome do grupo.
4. Clique na guia Permissões .
5. Clique em Conceder acesso.
6. Procure e selecione o usuário, entidade de serviço ou grupo e escolha a função Grupo: Gerente .
7. Clique em Salvar.

Configurações de administração do espaço de trabalho

Não é possível atribuir funções a grupos locais de espaço de trabalho ou grupos de sistema em grupos de contas.

1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.
2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições.
3. Clique na guia Identidade e acesso .
4. Ao lado de Grupos, clique em Gerenciar.
5. Selecione o grupo que deseja atualizar. Você deve ter a função de gerente de grupo no grupo para atualizá-lo.
6. Clique na guia Permissões .
7. Clique em Conceder acesso.
8. Procure e selecione o usuário, entidade de serviço ou grupo e escolha a função Grupo: Gerente .
9. Clique em Salvar.

Atribuir funções de administrador de conta a um grupo

Não é possível atribuir as funções de administrador de conta a um grupo usando o console de conta, mas é possível atribuí-las a grupos usando a API de Grupos de Conta. Por exemplo:

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.1/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "add",
      "path": "roles",
      "value": [
        {
          "value": "account_admin"
        }
      ]
    }
  ]
}

Para obter informações sobre como autenticar na API de Grupos de Contas, consulte Autorizar acesso aos recursos do Azure Databricks.

Ver grupos pais

1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.
2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições.
3. Clique no separador Identidade e acesso.
4. Ao lado de Grupos, clique em Gerenciar.
5. Selecione o grupo que deseja visualizar.
6. Na guia Grupo pai, visualize os grupos pai do seu grupo.

Remover grupos da sua conta do Azure Databricks

Os administradores de conta podem remover grupos de uma conta do Azure Databricks. Os gerentes de grupo também podem remover grupos da conta usando a API de Grupos de Conta, consulte Gerenciar grupos usando a API. Se você remover um grupo usando o console de conta, deverá garantir que também remova o grupo usando quaisquer conectores de provisionamento SCIM ou aplicativos de API SCIM que tenham sido configurados para a conta. Se não o fizer, o provisionamento SCIM irá simplesmente adicionar novamente o grupo e os seus membros na próxima vez que sincronizar. Veja Sincronizar utilizadores e grupos do Microsoft Entra ID usando SCIM.

Para remover um grupo usando o console da conta, faça o seguinte:

1. Como administrador da conta, inicie sessão na consola da conta.
2. Na barra lateral, clique em Gerenciamento de usuários.
3. No separador Grupos, localize o grupo que pretende remover.
4. Clique no menu kebab na extremidade direita da linha do usuário e selecione Excluir.
5. Na caixa de diálogo de confirmação, clique em Confirmar exclusão.

Gerenciar grupos usando a API

Administradores de conta e administradores de espaço de trabalho e gerentes de grupo podem adicionar, excluir e gerenciar grupos na conta do Azure Databricks usando a API de Grupos de Conta. Os administradores de conta, os administradores de espaço de trabalho e os gerentes de grupo devem invocar a API usando uma URL de ponto de extremidade diferente:

• Os administradores de conta usam {account-domain}/api/2.1/accounts/{account_id}/scim/v2/.
• Os administradores de espaço de trabalho e os gerentes de grupo usam {workspace-domain}/api/2.0/account/scim/v2/.

Para obter detalhes, consulte a API de Grupos de Contas.

Os administradores de contas e espaços de trabalho podem usar a API de Atribuição de Espaços de Trabalho para atribuir grupos aos espaços de trabalho. A API de Atribuição de Espaço de Trabalho tem suporte por meio da conta e dos espaços de trabalho do Azure Databricks.

• Os administradores de conta usam {account-domain}/api/2.0/accounts/{account_id}/workspaces/{workspace_id}/permissionassignments.
• Os administradores do espaço de trabalho usam {workspace-domain}/api/2.0/preview/permissionassignments/principals/{group_id}.

Consulte API de atribuição de espaço de trabalho.

Gerenciar funções para um grupo usando a API

Os gerentes de grupos podem gerenciar funções de grupo usando a API de Controle de Acesso de Contas. Os administradores de conta, os administradores de espaço de trabalho e os gerentes de grupo devem invocar a API usando uma URL de ponto de extremidade diferente:

• Os administradores de conta usam {account-domain}/api/2.0/preview/accounts/{account_id}/access-control/assignable-roles.
• Os administradores de espaço de trabalho e os gerentes de grupo usam {workspace-domain}/api/2.0/preview/accounts/access-control/assignable-roles.

Consulte a API de Controle de Acesso à Conta e a API de Proxy do Espaço de Trabalho de Controle de Acesso a Contas.

Exemplos de API para gerenciar grupos

Os exemplos a seguir mostram como os administradores de espaço de trabalho podem usar a API de Grupos de Contas e a API de Atribuição de Espaço de Trabalho para gerenciar grupos. Os administradores do espaço de trabalho se autenticam em seu espaço de trabalho usando um token de API.

Criar um grupo de contas

curl --request POST \
  --location '{workspace-domain}/api/2.0/account/scim/v2/Groups' \
  --header 'Authorization: Bearer $OAUTH_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "displayName": "<group-name>"
  }'

Isso retorna uma ID de grupo para o novo grupo de contas. Salve-o para referência nos seguintes exemplos de API.

Adicionar um grupo à sua área de trabalho

O exemplo a seguir adiciona um grupo ao seu espaço de trabalho com permissões de usuário do espaço de trabalho. Você também pode definir permissions como ["ADMIN"] para conceder ao grupo a função de administrador do espaço de trabalho.

curl --location --request PUT '{workspace-domain}/api/2.0/preview/permissionassignments/principals/{group-id}' \
  --header 'Authorization: Bearer $OAUTH_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "permissions": ["USER"]
  }'

Remover um grupo da área de trabalho

O exemplo a seguir remove um grupo do espaço de trabalho. Remover um grupo do seu espaço de trabalho não exclui o grupo da conta.

curl --location --request PUT '{workspace-domain}/api/2.0/preview/permissionassignments/principals/{group-id}' \
  --header 'Authorization: Bearer $OAUTH_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "permissions": []
  }'

Adicionar um membro a um grupo

curl --location --request PATCH '{workspace-domain}/api/2.0/account/scim/v2/Groups/{group-id}' \
  --header 'Authorization: Bearer $OAUTH_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "schemas": [
      "urn:ietf:params:scim:api:messages:2.0:PatchOp"
    ],
    "Operations": [
      {
        "op": "add",
        "value": {
          "members": [
            {
              "value": "{user-id}"
            }
          ]
        }
      }
    ]
  }'