Aller au contenu principal
Dernière mise à jour le

Contrôle d'accès basé sur les rôles (RBAC)

Avec le contrôle d'accès basé sur les rôles (RBAC), les utilisateurs et les Service Principal Databricks peuvent assumer un rôle dans Databricks, qui remplace leurs autorisations actives par uniquement les autorisations de ce rôle pour une session. Utilisez des rôles pour appliquer un accès exclusif à travers les projets, limiter l'accès aux données d'un agent, ou faire assumer un rôle aux administrateurs de workspace pour effectuer des tâches administratives.

Dans Databricks, un rôle est implémenté sous forme de groupe. Vous accordez aux utilisateurs, aux Service Principal Databricks ou à d’autres groupes la permission Assumer sur ce groupe. Tous les membres d’un groupe ont automatiquement la permission Assumer sur ce groupe. Vous pouvez également accorder la permission Assumer directement aux non-membres. Pour la configuration et l'activation, consultez start avec RBAC.

Diagramme comparant l'héritage des autorisations de groupe-membre (à gauche) avec l'attribution de rôle (à droite). Lorsqu'un utilisateur endosse un rôle, seules les autorisations du rôle s'appliquent pour la session, remplaçant les autorisations de groupe héritées de l'utilisateur.

Comment les autorisations de rôle s'appliquent​

Une identité dispose d'autorisations qui lui sont accordées directement, en plus de celles héritées des groupes auxquels elle appartient et des ancêtres de ces groupes. Assumer un rôle remplace ces autorisations par les autorisations directes et héritées du rôle pour la session.

Lorsqu'un utilisateur assume un rôle :

  • Les autorisations du rôle assumé remplacent les propres autorisations de l'utilisateur. En assumant ce rôle, l’utilisateur ne peut pas accéder aux données ou aux assets via son identité utilisateur.
  • Un utilisateur ne peut agir qu'en un seul rôle à la fois.
  • Pour agir dans un rôle différent ou pour retourner à leur identité utilisateur, ils doivent changer à nouveau. Les utilisateurs qui ne sont pas affectés au workspace ne peuvent pas retourner à leur identité utilisateur. Voir Lorsque vous devez assumer un rôle pour accéder à un workspace.
  • Les rôles héritent des autorisations de leurs groupes parents. Par default, vos rôles héritent également des autorisations accordées au groupe système users du Workspace et au groupe système account users du compte, qui incluent implicitement tous les groupes de comptes. Les autorisations accordées à users s'appliquent aux objets du workspace et au compute. Les privilèges Unity Catalog peuvent être accordés à account users, mais pas à users. Pour gérer ces attributions, voir Listes de contrôle d’accès et Afficher, accorder et révoquer des privilèges.
  • Les événements d'audit distinguent l'identité initiatrice (identity_metadata.run_by) de l'identité utilisée pour l'autorisation (identity_metadata.run_as). Pour les demandes interactives, ceux-ci identifient respectivement l'utilisateur et le rôle. Voir Vérifier l'attribution d'audit.
  • Le rôle possède des objets sécurisables Unity Catalog et des objets de Workspace qu’un utilisateur crée en agissant en tant que rôle, comme des tables, des Notebooks, des query SQL, des SQL Warehouse et des Jobs.
  • Genie One (au niveau du workspace), Genie Code et Genie Agents prennent en charge le contrôle d’accès basé sur les rôles (RBAC). Alors qu’un utilisateur agit en tant que rôle, ces fonctionnalités ne peuvent accéder qu’aux données et aux assets auxquels le rôle peut accéder. Le rôle possède tous les chats Genie que l’utilisateur crée tout en agissant en tant que rôle.

Gérer les rôles​

Créez des rôles, gérez l'autorisation Assume et choisissez la manière dont les utilisateurs et les charges de travail agissent en tant que rôle.

    • Premiers pas
    • Créez des rôles, configurez les accès et gérez l'autorisation Assume.
    • Changer de rôles
    • Prenez un rôle en utilisant l’interface utilisateur du workspace, un compute dédié, la CLI Databricks, l’API ou des outils BI tiers.
    • Utiliser avec ABAC
    • Comprenez comment les politiques de contrôle d’accès basées sur les attributs (ABAC) évaluent le rôle actif.

Gérer le partage​

Contrôlez si les utilisateurs agissant en tant que rôle peuvent partager les assets que le rôle possède.

Didacticiels​

Suivez une procédure complète de configuration et de vérification pour vos exigences d’accès.

Limitations​

Vérifiez la prise en charge des fonctionnalités et les problèmes connus avant d'utiliser un rôle avec vos charges de travail.

    • Limites
    • Examinez les fonctionnalités non prises en charge, la prise en charge partielle et les solutions de contournement lorsque vous agissez en tant que rôle.
Sur cette page