Solicitações de acesso

O recurso de solicitação de acesso (RFA) permite que os usuários solicitem privilégios para objetos do Unity Catalog de qualquer lugar no Databricks. Esta página explica como as solicitações de acesso funcionam, onde os usuários podem solicitar permissões, como as solicitações são encaminhadas e como os solicitantes e revisores rastreiam e analisam essas solicitações. Para configurar destinos, consulte Configurar destinos de solicitação de acesso.

Como funciona a Solicitação de Acesso (RFA)?

O RFA permite acesso governado de autoatendimento a objetos do Unity Catalog.

• Os usuários solicitam acesso aos objetos onde quer que trabalhem no Databricks. Consulte Como os usuários podem solicitar permissões.
• Os administradores escolhem onde encaminhar as solicitações de acesso. Isso pode ser um revisor atribuído ou uma ferramenta de terceiros. Consulte Como as solicitações são encaminhadas.
• Os solicitantes, revisores e administradores de metastore rastreiam o status da solicitação no Catalog Explorer. Consulte Acompanhar solicitações de acesso.
• Avaliadores aprovam ou recusam solicitações. Eles provisionam o acesso por meio de concessão direta ou associação a um grupo. Consulte Analisar uma solicitação de acesso.

Como os usuários podem solicitar permissões

Quando um usuário tenta interagir com um objeto do Unity Catalog no qual ele não tem permissões, ele pode solicitar acesso de várias superfícies no produto: Catalog Explorer, editor SQL e notebooks, dashboards, Genie One e Genie Agents.

Os usuários podem solicitar acesso para si mesmos, um service principal, outro usuário ou um grupo.

Quando um usuário solicita um privilégio como SELECT, o Databricks verifica automaticamente os privilégios necessários (USE CATALOG e USE SCHEMA). Se algum deles estiver ausente, o Databricks gera solicitações adicionais e as encaminha aos aprovadores dos objetos pai.

Explorador de Catálogos

Os usuários com o privilégio BROWSE podem navegar na árvore do catálogo, abrir a página de um objeto e solicitar privilégios adicionais. Se o usuário não tiver o privilégio BROWSE, um URL direto pode ser enviado para a página do objeto onde ele pode solicitar acesso.

Editor SQL e notebooks

Quando uma query ou um comando falha com um erro INSUFFICIENT_PERMISSIONS, a mensagem de erro inclui uma opção Solicitar acesso que preenche previamente a solicitação com as tabelas referenciadas.

Painéis

Quando um dashboard é executado sem credenciais incorporadas e o usuário não tem acesso aos dataset subjacentes, o widget exibe um modal Solicitar acesso .

Genie One

Quando o Genie One precisa ler uma tabela à qual o usuário não tem acesso, ele ajuda o usuário a registrar a solicitação de acesso. Por default, o Genie One prepara uma solicitação de SELECT em nome do usuário. Se um administrador configurou uma URL de redirecionamento, o Genie One mostrará o link.

Genie Agents

Quando um Genie Agent se conecta a fontes de dados nas quais o usuário não tem permissões, o agente exibe um banner de PERMISSION_DENIED com um modal de Solicitar acesso para as tabelas inacessíveis.

Como as solicitações são encaminhadas

Quando os usuários solicitam acesso a um objeto no Unity Catalog, a solicitação é enviada a um ou mais destinos configurados. Se vários destinos estiverem configurados em um objeto, a solicitação será direcionada para todos eles.

Para obter a lista de destinos de solicitação de acesso e saber como eles funcionam, consulte os tipos de destino e como os destinos são resolvidos.

O que acontece após o envio de uma solicitação

Após o envio de uma solicitação, os solicitantes podem rastrear seu status e os revisores podem aprová-la ou recusá-la. Uma solicitação permanece aberta até que um revisor aja sobre ela ou ela expire:

• Após 3 dias : Lembretes de email são enviados para os destinos de email originais. Os destinos de Slack, Microsoft Teams, webhook e URL de redirecionamento não recebem lembretes.
• Após 7 dias : as solicitações não respondidas expiram.

Rastrear solicitações de acesso

Os solicitantes, revisores e administradores do metastore podem acompanhar as solicitações na página Solicitações no Catalog Explorer. A entrada Solicitações aparece para usuários que têm pelo menos uma solicitação de entrada ou saída e sempre aparece para administradores do metastore.

1. No seu workspace do Databricks, clique em Catálogo .
2. Na página inicial do Explorador de Catálogos, clique em Solicitações .
3. Selecione uma view no menu suspenso:
   • Minhas solicitações : Solicitações enviadas por você, incluindo em nome de grupos ou Service Principal, e solicitações enviadas por outros para você. Disponível para qualquer usuário.
   • Fila de revisão : As solicitações roteadas para você, disponíveis para qualquer usuário cujo endereço de email esteja definido como destino. Provisione ou recuse solicitações desta fila.
   • Todas as solicitações : um registro em todo o metastore de todas as solicitações e seu estado atual. Disponível para administradores de metastore.

A Databricks não importa aprovações feitas fora do Databricks. Solicitações encaminhadas a um sistema externo são mostradas como Gerenciado externamente .

O Databricks retém as solicitações rastreadas por 365 dias a partir do momento em que são enviadas. Resolver uma solicitação não Reset este período.

Para um registro de cada solicitação de acesso e configuração de destino, consulte Eventos de solicitação de acesso na referência de log de auditoria.

Analisar uma solicitação de acesso

Para revisar uma solicitação de acesso, siga o link enviado para o seu destino de solicitação de acesso ou abra a solicitação na Fila de revisão na página Solicitações . Consulte Rastrear solicitações de acesso. O Databricks verifica se o revisor tem permissão para conceder acesso quando aprova uma solicitação. No entanto, qualquer usuário que abrir o link de revisão e entrar no workspace pode recusá-la.

Para atender à solicitação, clique em Provisionar e selecione um dos seguintes métodos de aprovação:

• Adicionar principal ao(s) grupo(s) : Use a associação ao grupo para conceder acesso. Se seus grupos estiverem sincronizados com o provedor de identidade, você ainda poderá conceder acesso dessa forma, mas a alteração da associação não será sincronizada de volta com seu provedor de identidade nem encerrará a solicitação lá.
• Conceder privilégios ao principal : conceder o privilégio diretamente. O principal pode ser um grupo.

Para recusar a solicitação, clique em Recusar e insira um motivo obrigatório.

Quando um revisor aprova ou recusa uma solicitação, o solicitante e o usuário para quem a solicitação foi feita recebem um email de notificação.