App Spaces
Bêta
Cette fonctionnalité est en version bêta. Pour l'utiliser, l'administrateur d'un workspace doit activer Governed agentic app-building depuis la page Previews . Consultez Manage Databricks previews.
Un App Space est une limite de gouvernance où les administrateurs définissent qui peut créer et utiliser des applications, les permissions de ces applications et les politiques de dépenses qui leur s'appliquent.
Plutôt que de demander aux développeurs de définir les ressources et de configurer les autorisations pour chaque application, un App Space permet aux administrateurs de configurer les autorisations pour des groupes de développeurs d'applications.
Les développeurs d’applications utilisent Genie App Builder pour créer des applications dans un App Space.
Pourquoi utiliser App Spaces
Les agents de programmation facilitant la création d'applications, de plus en plus de personnes au sein d'une organisation en créent. Les App Spaces permettent aux utilisateurs métiers et autres utilisateurs non techniques de créer des applications qui accèdent aux données sans enfreindre le modèle de gouvernance de votre organisation. Un administrateur définit les garde-fous (identités, portées et ressources) une seule fois pour un groupe de développeurs, et chaque application créée dans l'espace en hérite.
Créer un App Space
Vous devez être administrateur du workspace pour créer un App Space. Vous pouvez en créer un de l'une de ces manières :
- Dans l'interface utilisateur de Databricks Apps, cliquez sur App Spaces , puis sur + New Space .
- Utilisez l'API REST Databricks ou le fournisseur Terraform.
Vous ne pouvez pas modifier le nom d'un App Space après l'avoir créé.
Configurer un App Space
En tant qu’administrateur du workspace, vous pouvez configurer :
- Autorisation utilisateur : ce que les applications peuvent faire au nom des utilisateurs.
- Politique d’utilisation serverless : la politique d’utilisation serverless pour les applications dans l’espace.
- Autorisations : personnes autorisées à créer des applications dans l’espace.
Autorisation de l’utilisateur
L’autorisation de l’utilisateur, parfois appelée autorisation pour le compte de l’utilisateur (OBO), permet à une application Databricks d’agir avec l’identité de l’utilisateur connecté. L’application ne peut accéder qu’aux données et aux ressources que l’utilisateur est déjà autorisé à consulter, dans la limite des périmètres que vous autorisez. Consultez Configurer l’autorisation dans une application Databricks.
Un espace d’applications permet aux administrateurs de restreindre les rôles et les périmètres pouvant être utilisés avec l’autorisation utilisateur. Utilisez l'autorisation utilisateur lorsque l'accès doit respecter les autorisations Databricks existantes de chaque utilisateur, telles que pour les tables Unity Catalog, les Genie spaces et agents, ou les tableaux de bord.
contrôle d'accès basé sur les rôles
Utilisez le contrôle d'accès basé sur les rôles (RBAC) pour limiter les autorisations et le partage des applications. Vous pouvez autoriser les utilisateurs à choisir un rôle lors de la connexion à une application, ou exiger qu'ils assument un rôle spécifique pour utiliser les applications de l'espace.
Dans Databricks, un rôle est implémenté en tant que groupe. Les membres du groupe peuvent assumer le rôle automatiquement. Les autres utilisateurs ont besoin de l'autorisation Assume . Voir contrôle d'accès basé sur les rôles (RBAC).
Paramètre | Qui peut utiliser les applications | Autorisations d'autorisation utilisateur |
|---|---|---|
N’importe quel rôle | Toutes les personnes avec qui le développeur partage son application | Le rôle choisi par l'utilisateur lors de la connexion à l'application |
Seul le rôle sélectionné | Utilisateurs pouvant assumer le rôle sélectionné (si l'application a été partagée avec eux) | Seul le rôle sélectionné |
Par exemple :
- Un App Space utilise uniquement le rôle sélectionné avec le groupe
emea-sales. - Jane Doe est membre de
emea-sales. - Le développeur d’applications partage son application avec Jane Doe.
- Jane doit endosser le rôle
emea-salespour se connecter à l'application. - Avec l'autorisation de l'utilisateur, l'application a uniquement accès à ce à quoi
emea-salesa accès (dans les limites des portées autorisées), même si Jane Doe dispose d'autorisations et de droits supplémentaires.
- Pour utiliser Only the selected role , activez le RBAC au niveau du compte et des workspaces.
- Seuls les groupes de comptes peuvent être utilisés avec des restrictions de rôle.
- Les développeurs gardent le contrôle sur le partage de leurs applications, même si un rôle est choisi.
- L’attribution d’un rôle à un espace d’applications ne confère pas de nouvelles autorisations aux utilisateurs. Les utilisateurs doivent simplement avoir accès à ce rôle pour utiliser l’application, même si un développeur a partagé son application avec eux.
Portées
Les applications qui utilisent l'autorisation utilisateur doivent déclarer des périmètres d'autorisation spécifiques pour limiter ce que l'application peut faire au nom de l'utilisateur. Consultez Configurer l’autorisation dans une application Databricks.
Dans un espace d'application, vous contrôlez les portées que chaque application demande.
Par default, un nouvel App Space utilise le préréglage Data + AI , qui autorise les 11 périmètres suivants :
sql:restricted-querygeniecatalog.catalogs:readcatalog.schemas:readcatalog.tables:readfilesmodel-servingai-functionsai-gatewaymcp.externalmcp.functions
Vous pouvez afficher ou modifier les périmètres sélectionnés lorsque vous créez ou configurez un App Space.
Politique d'utilisation serverless
Les applications d’un espace s’exécutent selon une politique d’utilisation serverless. Consultez Outils de gestion des coûts sur Databricks.
Permissions
Les autorisations suivantes déterminent qui peut travailler dans un App Space :
Autorisation | Accorde la possibilité de |
|---|---|
| Développer des applications dans l'espace |
| Modifiez les paramètres de l'espace |
| Afficher l'espace, mais sans y créer d'applications (ni nécessairement y utiliser d'applications) |
Exemples de cas d’usage
Vous pouvez configurer un App Space en fonction du mode de fonctionnement d'un groupe :
Type | Description |
|---|---|
Applications publiques | Applications partageables avec n’importe qui dans le Workspace. Peut uniquement accéder aux données et aux ressources mises à la disposition de chaque utilisateur du workspace. |
Applications d’équipe | Applications créées par une équipe spécifique, alignées sur son rôle, son infrastructure, ses données et ses autorisations existants. |
Applications du projet | Applications associées à un projet ou à un engagement défini, partageant ses tables, ses warehouse, ses pipeline et ses limites d’accès provisionnés. |