Доступ к спискам управления
В этой статье описываются сведения о разрешениях, доступных для различных объектов рабочей области.
Примечание.
Для управления доступом требуется план Premium.
Параметры управления доступом отключены по умолчанию для рабочих областей, которые обновляются с плана "Стандартный" до плана "Премиум". После включения параметра управления доступом его нельзя отключить. Дополнительные сведения см. в списках элементов управления доступом, которые можно включить в обновленных рабочих областях.
Обзор списков управления доступом
В Azure Databricks можно использовать списки управления доступом (ACL) для настройки разрешений на доступ к объектам уровня рабочей области. Администраторы рабочей области имеют разрешение CAN MANAGE для всех объектов в рабочей области, что дает им возможность управлять разрешениями для всех объектов в своих рабочих областях. У пользователей автоматически есть разрешение CAN MANAGE для создаваемых объектов.
Пример сопоставления типичных пользователей с разрешениями уровня рабочей области см. в предложении по началу работы с группами и разрешениями Databricks.
Управление списками управления доступом с помощью папок
Вы можете управлять разрешениями объектов рабочей области, добавляя объекты в папки. Объекты в папке наследуют все параметры разрешений этой папки. Например, пользователь с разрешением CAN RUN в папке имеет разрешение CAN RUN для оповещений в этой папке.
Если вы grant доступ пользователя к объекту внутри папки, он может просмотреть имя родительской папки, даже если у них нет разрешений на родительскую папку. Например, записная книжка с именем test1.py находится в папке с именем Workflows. Если у пользователя grant есть право ЧТЕНИЯ в test1.py и нет разрешений на Workflows, он может увидеть, что родительская папка называется Workflows. Пользователь не может просматривать и получать доступ к другим объектам в папке Workflows , если они не были предоставлены им разрешения.
Сведения об организации объектов в папках см . в браузере рабочей области.
Списки ACL панели мониторинга ИИ/BI
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN VIEW/CAN RUN | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|
| Просмотр панели мониторинга и результатов | x | x | x | |
| Взаимодействие с мини-приложениями | x | x | x | |
| Refresh панели мониторинга | x | x | x | |
| Изменение панели мониторинга | x | x | ||
| Клонирование панели мониторинга | x | x | x | |
| Публикация моментального снимка панели мониторинга | x | x | ||
| Изменение разрешений | x | |||
| Удаление панели мониторинга | x |
Списки управления доступом оповещений
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | МОЖЕТ ВЫПОЛНЯТЬСЯ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|
| См. оповещение list | x | x | |
| Просмотр оповещения и результата | x | x | |
| Запуск оповещения вручную | x | x | |
| Подписка на уведомления | x | x | |
| Изменение оповещения | x | ||
| Изменение разрешений | x | ||
| Удаление оповещения | x |
Списки управления доступом вычислений
Внимание
Пользователи с разрешениями CAN ATTACH TO могут просматривать ключи учетной записи службы в файле log4j. При предоставлении разрешений такого уровня следует соблюдать осторожность.
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | МОЖЕТ ПОДКЛЮЧИТЬСЯ К | МОЖЕТ ПЕРЕЗАПУСТИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|
| Подключение записной книжки к вычислительным ресурсам | x | x | x | |
| Просмотреть пользовательский интерфейс Spark | x | x | x | |
| Просмотр метрик вычислений | x | x | x | |
| Завершение вычислений | x | x | ||
| Запуск и перезапуск вычислений | x | x | ||
| Просмотр журналов драйверов | x (см. примечание) | |||
| Изменение вычислительных ресурсов | x | |||
| Присоединение библиотеки к вычислительным ресурсам | x | |||
| Изменение размера вычислений | x | |||
| Изменение разрешений | x |
Примечание.
Секреты не редактируются из журнала stdout и stderr потоков драйвера Spark кластера. Для защиты конфиденциальных данных журналы драйверов Spark по умолчанию доступны только пользователям с разрешением CAN MANAGE для задания, режима доступа одного пользователя и кластеров общего доступа. Чтобы разрешить пользователям с разрешением CAN ATTACH TO или CAN RESTART просматривать журналы в этих кластерах, set следующее свойство конфигурации Spark в конфигурации кластера: spark.databricks.acl.needAdminPermissionToViewLogs false.
В кластерах режимов общего доступа без изоляции журналы драйверов Spark могут просматриваться пользователями с разрешением на ПОДКЛЮЧЕНИЕ или разрешением на УПРАВЛЕНИЕ. Чтобы limit, которые могут читать журналы только пользователям с разрешением CAN MANAGE, setspark.databricks.acl.needAdminPermissionToViewLogstrue.
Сведения о добавлении свойств Spark в конфигурацию кластера см. в разделе Конфигурация Spark.
Устаревшие списки управления доступом на панели мониторинга
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN VIEW | МОЖЕТ ВЫПОЛНЯТЬСЯ | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|
| Смотреть на list в панели мониторинга | x | x | x | x | |
| Просмотр панели мониторинга и результатов | x | x | x | x | |
| Refresh результаты запроса в панели мониторинга (или выберите другой parameters) | x | x | x | ||
| Изменение панели мониторинга | x | x | |||
| Изменение разрешений | x | ||||
| Удаление панели мониторинга | x |
Для редактирования устаревшей панели мониторинга требуется параметр общего доступа средства просмотра запуска от имени. См. поведение Refresh и контекст выполнения.
списки управления доступом потока обработки данных Delta Live Tables
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN VIEW | МОЖЕТ ВЫПОЛНЯТЬСЯ | МОЖЕТ УПРАВЛЯТЬ | ВЛАДЕЛЕЦ |
|---|---|---|---|---|---|
| Просмотр сведений о конвейере и конвейере «list» | x | x | x | x | |
| Просмотр журналов пользовательского интерфейса и драйверов Spark | x | x | x | x | |
| Запуск и остановка update конвейера | x | x | x | ||
| Прямой запрет кластеров конвейера | x | x | x | ||
| Редактирование параметров конвейера | x | x | |||
| Удаление конвейера | x | x | |||
| Очистка запусков и экспериментов | x | x | |||
| Изменение разрешений | x | x |
Возможность tables списки управления доступом
В этом table описывается, как управлять доступом к функции tables в рабочих областях, в которых Unity Catalogне включен. Если ваша рабочая область активирована для Unity Catalog, используйте привилегии Unity Catalog вместо этого.
Примечание.
- Управление доступом к хранилищу компонентов не регулирует доступ к базовой Delta table, который регулируется управлением доступом table.
- Дополнительные сведения о разрешениях функции рабочей области table см. в разделе Управление доступом к функциям tables в хранилище функций рабочей области (устаревшая версия).
| Замечайте способности* | МОЖЕТ ПРОСМАТРИВАТЬ МЕТАДАННЫЕ | МОЖЕТ ИЗМЕНЯТЬ МЕТАДАННЫЕ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|
| Прочитать функцию table | X | X | X |
| Функция поиска table | X | X | X |
| Опубликовать функцию table в интернет-магазине | X | X | X |
| Написать особенности для функции table | X | X | |
| Update описание компонента table | X | X | |
| Изменение разрешений | X | ||
| Удаление функции table | X |
Списки управления доступом к файлам
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN READ | МОЖЕТ ВЫПОЛНЯТЬСЯ | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|
| Чтение файла | x | x | x | x | |
| Комментарий | x | x | x | x | |
| Присоединение и отключение файла | x | x | x | ||
| Интерактивный запуск файла | x | x | x | ||
| Edit file (Изменить файл) | x | x | |||
| Изменение разрешений | x |
Списки управления доступом к папкам
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN READ | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ ВЫПОЛНЯТЬСЯ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|
| объекты List в папке | x | x | x | x | x |
| Просмотр объектов в папке | x | x | x | x | |
| Клонирование и экспорт элементов | x | x | x | ||
| Запуск объектов в папке | x | x | |||
| Создание, импорт и удаление элементов | x | ||||
| Перемещение и переименование элементов | x | ||||
| Изменение разрешений | x |
Списки ACL пространства Genie
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN VIEW/CAN RUN | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|
| Просмотр в пространстве Genie list | x | x | x | x |
| Задать вопросы Genie | x | x | x | |
| Предоставление обратной связи по ответу | x | x | x | |
| Добавление или изменение инструкций Genie | x | x | ||
| Добавление или изменение примеров вопросов | x | x | ||
| Добавление или remove включение tables | x | x | ||
| Мониторинг пространства | x | |||
| Изменение разрешений | x | |||
| Удаление пространства | x | |||
| Просмотр бесед других пользователей | x |
Списки управления доступом к папкам Git
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN READ | МОЖЕТ ВЫПОЛНЯТЬСЯ | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|
| List активы в папке | x | x | x | x | x |
| Просмотр ресурсов в папке | x | x | x | x | |
| Клонирование и экспорт ресурсов | x | x | x | x | |
| Запуск исполняемых ресурсов в папке | x | x | x | ||
| Изменение и переименование ресурсов в папке | x | x | |||
| Создание ветви в папке | x | ||||
| Извлечение или отправить ветвь в папку | x | ||||
| Создание, импорт, удаление и перемещение ресурсов | x | ||||
| Изменение разрешений | x |
Списки управления доступом заданий
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN VIEW | МОЖЕТ УПРАВЛЯТЬ ЗАПУСКОМ | ВЛАДЕЛЕЦ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|
| Просмотр сведений о задании и параметров | x | x | x | x | |
| Показать результаты | x | x | x | x | |
| Просмотр пользовательского интерфейса Spark, журналы выполнения задания | x | x | x | ||
| Запустить сейчас | x | x | x | ||
| Отмена запуска | x | x | x | ||
| Изменение настроек задания | x | x | |||
| Удаление задания | x | x | |||
| Изменение разрешений | x | x |
Списки управления доступом к эксперименту MLflow
Списки ACL экспериментов MLflow отличаются для экспериментов с блокнотами и экспериментов в рабочей среде. Экспериментами в записных книжках нельзя управлять независимо от самой записной книжки, поэтому права доступа такие же, как у записной книжки. Дополнительные сведения о двух типах экспериментов см. в статье Организация учебных запусков с использованием экспериментов MLflow.
Списки управления доступом для экспериментов ноутбуков
Изменение этих разрешений также изменяет разрешения записной книжки, соответствующей эксперименту.
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN READ | МОЖЕТ ВЫПОЛНЯТЬСЯ | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|
| Просмотр записной книжки | x | x | x | x | |
| Комментарий к записной книжке | x | x | x | x | |
| Присоединение/отсоединение записной книжки к вычислительной системе. | x | x | x | ||
| Выполнение команд в записной книжке | x | x | x | ||
| Изменение записной книжки | x | x | |||
| Изменение разрешений | x |
Списки управления доступом (ACL) для экспериментов рабочего пространства
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN READ | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|
| Просмотр эксперимента | x | x | x | |
| Запуск журнала для эксперимента | x | x | ||
| Изменение эксперимента | x | x | ||
| Удаление эксперимента | x | |||
| Изменение разрешений | x |
Списки ACL модели MLflow
В этом table описывается, как управлять доступом к зарегистрированным моделям в рабочих областях, которые не включены для Unity Catalog. Если рабочая область включена для Unity Catalog, вместо этого используйте привилегии Unity Catalog.
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN READ | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ ПРОМЕЖУТОЧНЫМИ ВЕРСИЯМИ | МОЖЕТ УПРАВЛЯТЬ РАБОЧИМИ ВЕРСИЯМИ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|---|
| Просмотр сведений о модели, ее версий, запросов на изменение этапа, действий и URI скачивания артефактов | x | x | x | x | x | |
| Запрос на изменение этапа для версии модели | x | x | x | x | x | |
| Добавление версии в модель | x | x | x | x | ||
| описание модели и версии Update | x | x | x | x | ||
| Добавление или изменение тегов | x | x | x | x | ||
| Изменение этапа для версии модели | x | x | x | |||
| Утверждение запроса на переход | x | x | x | |||
| Отмена запроса на переход | x | |||||
| Переименование модели | x | |||||
| Изменение разрешений | x | |||||
| Удаление модели и версий модели | x |
Списки управления доступом к записной книжке
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN READ | МОЖЕТ ВЫПОЛНЯТЬСЯ | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|
| Просмотр ячеек | x | x | x | x | |
| Комментарий | x | x | x | x | |
| Запуск с помощью рабочих процессов %run или блокнотов | x | x | x | x | |
| Подключение и отключение записных книжек | x | x | x | ||
| Выполнение команд | x | x | x | ||
| Редактирование ячеек | x | x | |||
| Изменение разрешений | x |
Списки управления доступом к пулу
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | МОЖЕТ ПОДКЛЮЧИТЬСЯ К | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|
| Подключение кластера к пулу | x | x | |
| Удаление пула | x | ||
| Изменение пула | x | ||
| Изменение разрешений | x |
Запрос списков управления доступом
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN VIEW | МОЖЕТ ВЫПОЛНЯТЬСЯ | МОЖЕТ ИЗМЕНИТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|
| Просмотр собственных запросов | x | x | x | x | |
| См. в запросе list | x | x | x | x | |
| Просмотреть текст запроса | x | x | x | x | |
| Просмотреть результат запроса | x | x | x | x | |
| Результат запроса Refresh (или выберите другой parameters) | x | x | x | ||
| Добавление запроса на панель мониторинга | x | x | x | ||
| Редактирование текста запроса | x | x | |||
| Изменение хранилища SQL или источника данных | x | ||||
| Изменение разрешений | x | ||||
| запрос «Удаление» | x |
Списки ACL секретов
| Замечайте способности* | ЧИТАТЬ | ЗАПИСЬ | УПРАВЛЕНИЕ |
|---|---|---|---|
| Чтение области секрета | x | x | x |
| List секреты в области | x | x | x |
| Запись в область секрета | x | x | |
| Изменение разрешений | x |
Предоставление списков управления доступом конечных точек
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | CAN VIEW | CAN QUERY | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|
| конечная точка Get | x | x | x | |
| конечная точка List | x | x | x | |
| Конечная точка запроса | x | x | ||
| конфигурация конечной точки Update | x | |||
| Удаление конечной точки | x | |||
| Изменение разрешений | x |
Списки управления доступом к хранилищу SQL
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | МОЖЕТ ИСПОЛЬЗОВАТЬ | CAN MONITOR | ВЛАДЕЛЕЦ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|---|
| Запуск хранилища | x | x | x | x | |
| Просмотр сведений о хранилище | x | x | x | x | |
| Просмотр запросов хранилища | x | x | x | ||
| Выполнение запросов | x | x | x | x | |
| Просмотр вкладки "Мониторинг хранилища" | x | x | x | ||
| Остановка хранилища | x | x | |||
| Удаление хранилища | x | x | |||
| Изменение хранилища | x | x | |||
| Изменение разрешений | x | x |
Списки управления доступом конечных точек поиска векторов
| Замечайте способности* | НЕТ РАЗРЕШЕНИЙ | МОЖЕТ СОЗДАТЬ | МОЖЕТ ИСПОЛЬЗОВАТЬ | МОЖЕТ УПРАВЛЯТЬ |
|---|---|---|---|---|
| конечная точка Get | x | x | x | |
| конечные точки List | x | x | x | |
| Создать конечную точку | x | x | x | |
| Использование конечной точки (создание индекса) | x | x | ||
| Удаление конечной точки | x | |||
| Изменение разрешений | x |