Espaços de aplicativos
Beta
Esse recurso está na versão Beta. Para usá-lo, um administrador do Workspace deve ativar desenvolvimento de aplicativos agentivos governados na página Pré-visualizações . Consulte Gerenciar prévias do Databricks.
Um App Space é um limite de governança onde os administradores definem quem pode criar e usar aplicativos, quais permissões esses aplicativos têm e quais políticas de gastos se aplicam a eles.
Em vez de fazer com que os desenvolvedores definam recursos e configurem permissões para cada aplicativo, um App Space permite que os administradores configurem permissões para grupos de desenvolvedores de aplicativos.
Os desenvolvedores de aplicativos usam o Genie App Builder para criar aplicativos em um App Space.
Por que usar espaços de aplicativos
Como os agentes de codificação facilitam a criação de aplicativos, mais pessoas na organização estão criando-os. O App Spaces permite que usuários de negócios e outros usuários não técnicos criem aplicativos que acessam dados sem quebrar o modelo de governança da sua organização. Um administrador define as diretrizes de segurança (identidades, escopos e recursos) uma vez para um grupo de criadores, e todos os aplicativos criados no espaço as herdam.
Criar um Espaço do aplicativo
Você deve ser um administrador do workspace para criar um App Space. Você pode criar um das seguintes maneiras:
- Na interface do usuário do Databricks Apps, clique em App Spaces e em + New Space .
- Use a API REST Databricks ou o provedor Terraform.
Não é possível alterar o nome de um espaço de aplicativo depois de criá-lo.
Configurar um App Space
Como administrador do workspace, você pode configurar:
- Autorização do usuário : o que os aplicativos podem fazer em nome dos usuários.
- Política de uso serverless : a política de uso serverless para aplicativos no espaço.
- Permissões : quem pode criar aplicativos no espaço.
Autorização do usuário
A autorização do usuário, às vezes referida como autorização em nome do usuário (OBO), permite que um aplicativo do Databricks atue com a identidade do usuário conectado. O aplicativo só pode alcançar dados e recursos aos quais o usuário já tem permissão para acessar, dentro dos escopos permitidos. Consulte Configurar a autorização em um aplicativo do Databricks.
Um App Space permite que os administradores restrições às funções e aos escopos que podem ser usados com a autorização de usuário. Use a autorização de usuário quando o acesso deve seguir as permissões existentes do Databricks de cada usuário, como para tabelas do Unity Catalog, Genie spaces e agentes ou painéis.
role-based access control
Use role-based access control (RBAC) para limitar permissões de aplicativos e o compartilhamento. Você pode permitir que os usuários escolham uma função ao fazer login em um aplicativo ou exigir que os usuários assumam uma função específica para usar aplicativos no espaço.
No Databricks, uma função é implementada como um grupo. Os membros do grupo podem assumir a função automaticamente. Outros usuários precisam da permissão Assume . Consulte role-based access control (RBAC).
Contexto | Quem pode usar aplicativos | Permissões de autorização de usuário |
|---|---|---|
Qualquer função | Qualquer pessoa com quem o desenvolvedor compartilha o aplicativo | A função escolhida pelo usuário ao iniciar sessão no aplicativo |
Apenas a função selecionada | Usuários que podem assumir a função selecionada (se o aplicativo tiver sido compartilhado com eles) | Apenas a função selecionada |
Por exemplo:
- Um espaço de aplicativo usa Somente a função selecionada com o grupo
emea-sales. - Jane Doe é membro de
emea-sales. - O desenvolvedor do aplicativo compartilha seu aplicativo com Jane Doe.
- Jane precisa assumir a função
emea-salespara entrar no aplicativo. - Com a autorização do usuário, o aplicativo tem acesso apenas ao que
emea-salespode acessar (dentro dos escopos permitidos), mesmo que Jane Doe tenha concessões e permissões adicionais.
- To use Only the selected role , enable RBAC at the account and workspace levels.
- Apenas grupos de account podem ser usados com restrições de função.
- Os desenvolvedores ainda têm controle sobre o compartilhamento de seus aplicativos, mesmo se uma função for escolhida.
- Atribuir uma função a um App Space não concede aos usuários nenhuma nova permissão. Os usuários precisam simplesmente ter acesso a essa função para usar o aplicativo, mesmo que um desenvolvedor tenha compartilhado seu aplicativo com o usuário.
Escopos
Os aplicativos que usam autorização de usuário devem declarar escopos de autorização específicos para limitar o que o aplicativo pode fazer em nome do usuário. Consulte Configurar a autorização em um aplicativo do Databricks.
Em um App Space, você controla os escopos que cada aplicativo solicita.
Por default, um novo espaço de aplicativo usa a predefinição Data + AI , que permite os 11 escopos a seguir:
sql:restricted-querygeniecatalog.catalogs:readcatalog.schemas:readcatalog.tables:readfilesmodel-servingai-functionsai-gatewaymcp.externalmcp.functions
Você pode ver ou editar os escopos selecionados quando criar ou configurar um App Space.
Serverless usage policy
Apps in a space run under a serverless usage policy. See Cost management tools on Databricks.
Permissions
As permissões a seguir controlam quem pode trabalhar em um Espaço do aplicativo:
Permissão | Concede a capacidade de |
|---|---|
| Desenvolva aplicativos no espaço |
| Modificar as configurações do espaço |
| Exibir o espaço, mas não criar aplicativos nele (ou necessariamente usar aplicativos nele) |
Exemplos de casos de uso
Você pode estruturar um App Space de acordo com o funcionamento de um grupo:
Tipo | Descrição |
|---|---|
Aplicativos públicos | Apps shareable with anyone in the workspace. Can only access data and recursos available to every Workspace user. |
Aplicativos de equipe | Apps built by a specific team, aligned with its existing role, infrastructure, data, and permissions. |
Aplicativos de projeto | Apps associated with a defined project or engagement, sharing its provisioned tables, warehouses, pipelines, and access boundaries. |