Aller au contenu principal
Dernière mise à jour le

Demandes d’accès

La fonctionnalité de demande d’accès (RFA) permet aux utilisateurs de demander des privilèges pour des objets Unity Catalog à partir de n’importe où dans Databricks. Cette page explique comment fonctionnent les demandes d’accès, où les utilisateurs peuvent demander des autorisations, comment les demandes sont acheminées et comment les demandeurs et les examinateurs suivent et examinent ces demandes. Pour configurer les destinations, voir Configurer les destinations des demandes d’accès.

Comment fonctionne une demande d’accès (RFA) ?​

RFA permet un accès en libre-service gouverné aux objets Unity Catalog.

Comment les utilisateurs peuvent demander des autorisations​

Lorsqu’un utilisateur tente d’interagir avec un objet Unity Catalog sur lequel il n’a pas d’autorisations, il peut demander l’accès depuis plusieurs surfaces du produit : l’explorateur de catalogue, l’éditeur SQL et les notebooks, les tableaux de bord, Genie One et les agents Genie.

Les utilisateurs peuvent demander l'accès pour eux-mêmes, un service principal, un autre utilisateur ou un groupe.

Lorsqu'un utilisateur demande un privilège comme SELECT, Databricks vérifie automatiquement les privilèges requis (USE CATALOG et USE SCHEMA). Si l'un d'entre eux est manquant, Databricks génère des demandes supplémentaires et les adresse aux approbateurs des objets parents.

Explorateur de catalogue​

Les utilisateurs ayant le privilège BROWSE peuvent naviguer dans l'arborescence du catalogue, ouvrir la page d'un objet et demander des privilèges supplémentaires. Si l’utilisateur ne dispose pas du privilège BROWSE, une URL directe peut lui être envoyée vers la page de l’objet où il pourra demander l’accès.

Boîte de dialogue de demande d'autorisations dans l'Explorateur de catalogue avec le principal, les privilèges et le message.

Éditeur SQL et notebooks​

Lorsqu’une query ou une commande échoue avec une erreur INSUFFICIENT_PERMISSIONS, le message d’erreur inclut une option Demander l’accès qui préremplit la demande avec les tables référencées.

La query SQL échoue avec une erreur INSUFFICIENT_PERMISSIONS et une option de demande d’accès.

Tableaux de bord​

Lorsqu'un tableau de bord s'exécute sans identifiants intégrés et que l'utilisateur n'a pas accès aux datasets sous-jacents, le widget affiche une modale Demander l'accès .

Widget AI/BI dashboard invitant le spectateur à demander l’accès aux datasets manquants.

Genie One​

Lorsque Genie One doit lire une table à laquelle l’utilisateur n’a pas accès, il aide l’utilisateur à déposer la demande d’accès. Par default, Genie One prépare une demande SELECT pour le compte de l’utilisateur. Si un administrateur a configuré une URL de redirection, Genie One affiche le lien.

Boîte de dialogue Demander un accès à Genie One avec la table, les réviseurs, le privilège SELECT et la justification.

Agents Genie​

Lorsqu'un Genie Agent se connecte à des sources de données pour lesquelles l'utilisateur ne dispose pas des autorisations nécessaires, l'agent affiche une bannière PERMISSION_DENIED avec une fenêtre modale Demander l'accès pour les tables inaccessibles.

Agent Genie avec une fenêtre modale Demander l’accès listant les tables inaccessibles.

Comment les requêtes sont acheminées​

Lorsque les utilisateurs demandent l’accès à un objet dans Unity Catalog, la demande est envoyée à une ou plusieurs destinations configurées. Si plusieurs destinations sont configurées sur un objet, la demande est acheminée vers toutes les destinations.

Pour obtenir la liste des destinations des demandes d’accès et savoir comment elles fonctionnent, consultez types de destination et comment les destinations sont résolues.

Que se passe-t-il après la soumission d'une requête​

Une fois la demande soumise, les demandeurs peuvent en suivre le statut, et les réviseurs peuvent l'approuver ou la refuser. Une demande reste ouverte jusqu'à ce qu'un réviseur agisse dessus ou qu'elle expire :

  • Au bout de 3 jours : des rappels par e-mail sont envoyés aux adresses e-mail de destination d’origine. Les destinations Slack, Microsoft Teams, webhook, et URL de redirection ne reçoivent pas de rappels.
  • Au bout de 7 jours : Les demandes sans réponse expirent.

Suivre les demandes d’accès​

Les demandeurs, les réviseurs et les administrateurs de métastore peuvent suivre les demandes sur la page Demandes dans l’explorateur de catalogues. L’entrée Demandes apparaît pour les utilisateurs qui ont au moins une demande entrante ou sortante, et apparaît toujours pour les administrateurs de métastore.

  1. Dans votre workspace Databricks, cliquez sur Icône Données. Catalogue .
  2. Sur la page d’accueil de l’explorateur de catalogues, cliquez sur Demandes .
  3. Sélectionnez une vue dans le menu déroulant :
    • Mes demandes : demandes que vous avez soumises, notamment au nom de groupes ou de Service Principal, et demandes que d’autres personnes ont soumises pour vous. Disponible pour tous les utilisateurs.
    • File d’attente des révisions : Les demandes qui vous sont acheminées, accessibles à tout utilisateur dont l’adresse e-mail est définie comme destination. Provisionnez ou refusez les demandes de cette file d’attente.
    • Toutes les demandes : historique au niveau du métastore de chaque demande et de son état actuel. Disponible pour les administrateurs du métastore.

Page des demandes de l'explorateur de catalogue affichant la file d'attente de révision avec les statuts des demandes.

Databricks n’importe pas les approbations effectuées en dehors de Databricks. Les demandes acheminées vers un système externe sont affichées comme Gérées en externe .

Databricks conserve les demandes suivies pendant 365 jours à compter de leur soumission. La résolution d’une demande ne Reset pas cette période.

Pour un enregistrement de chaque demande d’accès et configuration de destination, voir Événements de demande d’accès dans la référence des logs d’audit.

Examiner une demande d’accès​

Pour examiner une demande d’accès, suivez le Link envoyé à votre destination de demande d’accès ou ouvrez la demande à partir de la File d’attente d’examen sur la page Demandes . Voir Suivre les demandes d’accès. Databricks vérifie que l’examinateur a la permission d’accorder l’accès lorsqu’il approuve une demande. Cependant, tout utilisateur qui ouvre le Link d’examen et se connecte au Workspace peut la refuser.

Passer en revue le résumé de la demande d’accès avec les détails de la demande et les boutons Refuser et Provisionner.

Pour accéder à la demande, cliquez sur Provisionner , puis sélectionnez l’une des méthodes d’approbation suivantes :

  • Ajouter le principal au(x) groupe(s) : Utilisez l'appartenance à un groupe pour accorder un accès. Si vos groupes sont synchronisés à partir d'un fournisseur d'identité, vous pouvez toujours accorder l'accès de cette manière, mais le changement d'appartenance n'est pas synchronisé avec votre fournisseur d'identité ou ne clôt pas la demande à ce niveau.
  • Accorder des privilèges au principal : accorder directement le privilège. Le principal peut être un groupe.

Options de méthode d’approbation permettant d’ajouter le principal à des groupes ou de lui accorder directement des privilèges.

Pour rejeter la demande, cliquez sur Rejeter et saisissez un motif obligatoire.

Rejetez une demande d’accès en indiquant un motif obligatoire pour le demandeur.

Lorsqu'un réviseur approuve ou refuse une demande, le demandeur et l'utilisateur pour lequel la demande a été effectuée reçoivent un e-mail de notification.

Sur cette page