Role-based access control (RBAC)

Com role-based access control (RBAC), os usuários e os Databricks Service Principal podem assumir uma função no Databricks, que substitui suas permissões ativas pelas permissões apenas daquela função para uma sessão. Use funções para aplicar acesso exclusivo entre projetos, limitar o acesso de dados de um agente ou fazer com que os administradores do workspace assumam uma função para executar tarefas administrativas.

No Databricks, uma função é implementada como um grupo. Você concede a usuários, Service Principal do Databricks ou outros grupos a permissão Assume nesse grupo. Todos os membros de um grupo têm automaticamente a permissão Assume nesse grupo. Você também pode conceder a permissão Assume diretamente a não membros. Para configuração e habilitação, consulte Começar com RBAC.

Como as permissões de função são aplicadas

Uma identidade tem permissões concedidas diretamente a ela, mais aquelas herdadas dos grupos aos quais ela pertence e quaisquer ancestrais desses grupos. Assumir uma função substitui essas permissões pelas permissões diretas e herdadas da função para a sessão.

Quando um usuário assume uma função:

• As permissões da função assumida substituem as permissões do próprio usuário. Ao atuar como a função, o usuário não pode acessar dados ou ativos através de sua identidade de usuário.
• Um usuário pode atuar como apenas uma função por vez.
• Para agir como uma função diferente ou retornar à sua identidade de usuário, eles devem alternar novamente. Os usuários que não estão atribuídos ao workspace não podem retornar à sua identidade de usuário. Veja Quando você deve assumir uma função para entrar em um workspace.
• As funções herdam permissões de seus grupos pai. Por default, suas funções também herdam permissões concedidas ao grupo de sistema users do workspace e ao grupo de sistema account users da account, que implicitamente incluem todos os grupos da account. As permissões concedidas a users se aplicam aos objetos do workspace e ao compute. Os privilégios do Unity Catalog podem ser concedidos a account users, mas não a users. Para gerenciar essas concessões, veja Listas de controle de acesso e Mostrar, conceder e revogar privilégios.
• Os eventos de auditoria distinguem a identidade iniciadora (identity_metadata.run_by) da identidade usada para autorização (identity_metadata.run_as). Para solicitações interativas, eles identificam o usuário e a função, respectivamente. Consulte Verificar atribuição de auditoria.
• A função possui objetos protegíveis do Unity Catalog e objetos de Workspace que um usuário cria enquanto atua como a função, como tabelas, notebooks, queries SQL, SQL Warehouse e Jobs.
• O Genie One (no nível do workspace), o Genie Code e o Genie Agents suportam RBAC. Enquanto um usuário atua como uma função, esses recursos só podem acessar os dados e ativos que a função pode acessar. A função possui todos os chats do Genie que o usuário cria enquanto atua como a função.

Gerenciar funções

Crie funções, gerencie a permissão Assume e escolha como usuários e cargas de trabalho atuam como uma função.

• • Introdução
  • Crie funções, configure o acesso e gerencie a permissão Assume.
• • Alternar funções
  • Assuma uma role usando a UI do workspace, compute dedicado, a CLI do Databricks, a API ou ferramentas de BI de terceiros.
• • Use com ABAC
  • Entenda como as políticas de controle de acesso baseado em atributos (ABAC) avaliam a função ativa.

Gerenciar compartilhamento

Controle se os usuários agindo como uma função podem compartilhar ativos que a função possui.

• • Controles de compartilhamento de ativos do Workspace
  • Restrinja funções selecionadas quanto ao compartilhamento de ativos do Workspace que possuem.

Tutoriais

Siga um procedimento completo de configuração e verificação para seus requisitos de acesso.

• • Acesso exclusivo a modelos
  • Mantenha os dados de dois ensaios clínicos separados exigindo que os pesquisadores assumam a função para cada ensaio.
• • Exigir uma função para acesso ao workspace
  • Exija que usuários selecionados assumam uma função para entrar em um workspace.
• • Definir o escopo do acesso de um agente de AI
  • Limite um agente às permissões de uma role usando um token OAuth com escopo de role.
• • Use uma função para tarefas administrativas
  • Separe o trabalho do dia a dia da administração usando uma função de administrador do workspace.

Limitações

Verifique o suporte de recursos e problemas conhecidos antes de usar uma função com as cargas de trabalho.

• • Limitações
  • Revise os recursos sem suporte, suporte parcial e soluções alternativas ao atuar como uma função.