Permissões necessárias para a criação workspace

Esta página explica as permissões necessárias para criar um workspace Databricks clássico na nuvem do Google.

Na nuvem do Google, cada execução workspace está dentro de um projeto workspace de propriedade do cliente. Databricks usa as credenciais do criador workspace para validar configurações, conceder permissões, habilitar os serviços necessários e provisionar o workspace. Para criar um workspace com sucesso, o administrador account Databricks deve ter as permissões necessárias no projeto workspace.

Além disso, durante a criação workspace , Databricks cria uma nova account de serviço com as permissões mínimas necessárias para gerenciar o workspace. Databricks utiliza as credenciais do criador do workspace para conceder permissões à account de serviço no projeto workspace . Para obter uma lista das permissões concedidas à account de serviço, consulte Permissões necessárias para a accountde serviço workspace.

Permissões de administrador account necessárias

A seguir, o conjunto mínimo de permissões necessárias nos projetos workspace e de rede. Databricks recomenda que o criador do workspace tenha a função roles/owner nos projetos workspace e VPC.

nota

A criação do espaço de trabalho normalmente leva menos de um minuto para ser concluída. Databricks não manterá nem usará essas permissões após a criação do site workspace.

Permissão do Google	Propósito	Necessário para o projeto workspace	Necessário para o projeto VPC	Caso de uso
iam.roles.create	Crie a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.delete	Exclua a função personalizada.	✓		Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.get	Obtenha a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.update	Atualize a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.serviceAccounts.create	Criar o Databricks-compute serviço account.	✓		Crie o serviço Databricks-compute account usado por todos os clusters no workspace que não têm um serviço personalizado account anexado. Esse serviço account tem permissões mínimas, limitadas a registro e métricas.
iam.serviceAccounts.get	Obtenha o Databricks-compute serviço account.	✓		Usado para verificar se o serviço necessário Databricks-compute account usado por todos os clusters no workspace existe.
iam.serviceAccounts.getIamPolicy	Obter a política de IAM.	✓		Conceda ao serviço workspace account a função de usuário da conta de serviço no serviço account do Google Compute Engine (GCE) para iniciar o clusters.
iam.serviceAccounts.setIamPolicy	Definir a política de IAM.	✓		Conceda ao serviço workspace account a função de usuário da conta de serviço no serviço account do Google Compute Engine (GCE) para iniciar o clusters.
resourcemanager.projects.get	Obtenha um número de projeto a partir do ID do projeto.	✓	✓	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.getIamPolicy	Obter a política de IAM.	✓	✓	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.setIamPolicy	Definir a política de IAM.	✓		Obtenha informações básicas sobre o projeto workspace.
serviceusage.services.get	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	✓	✓	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.list	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	✓	✓	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.enable	Ative as APIs do Google Cloud necessárias no projeto, caso ainda não estejam ativadas.	✓		Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
compute.networks.get	Validar a existência de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.networks.updatePolicy	Atualizar a política de firewall na rede VPC.		✓	Atualiza a política de firewall na rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.projects.get	Obter o projeto de host de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.subnetworks.get	Validar sub-redes de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.subnetworks.getIamPolicy	Obtenha a política de IAM na sub-rede VPC.		✓	Valide as concessões na sub-rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.subnetworks.setIamPolicy	Defina a política de IAM na sub-rede VPC.		✓	Define a política IAM na sub-rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.forwardingRules.get	Listar regras de encaminhamento para o serviço privado Connect.		✓	Necessário se o senhor ativar o serviço privado Connect.
compute.forwardingRules.list	Obter regras de encaminhamento para o serviço privado Connect.		✓	Necessário se o senhor ativar o serviço privado Connect.
compute.firewalls.get	Obtenha uma regra de firewall.		✓	Obtém a regra de firewall necessária na rede VPC fornecida pelo cliente para verificar se ela existe.
compute.firewalls.update	Atualizar uma regra de firewall.		✓	Atualiza a regra de firewall necessária, se existir, na rede VPC fornecida pelo cliente para adicionar uma tag de rede específica workspace .
compute.firewalls.create	Crie uma regra de firewall.		✓	Cria uma regra de firewall, caso ela não exista, na rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace .
cloudkms.cryptoKeys.getIamPolicy	Obtenha a política de controle de acesso para um recurso do Cloud KMS.	✓		Necessário no Cloud KMS key se o senhor ativar a chave de gerenciamento de clientes.
cloudkms.cryptoKeys.setIamPolicy	Defina a política de controle de acesso em um recurso do Cloud KMS.	✓		Necessário no Cloud KMS key se o senhor ativar a chave de gerenciamento de clientes.

Permissão do Google	Propósito	Necessário para o projeto workspace	Necessário para o projeto VPC	Caso de uso
iam.roles.create	Crie a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.delete	Exclua a função personalizada.	✓		Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.get	Obtenha a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.update	Atualize a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.serviceAccounts.create	Criar o Databricks-compute serviço account.	✓		Crie o serviço Databricks-compute account usado por todos os clusters no workspace que não têm um serviço personalizado account anexado. Esse serviço account tem permissões mínimas, limitadas a registro e métricas.
iam.serviceAccounts.get	Obtenha o Databricks-compute serviço account.	✓		Usado para verificar se o serviço necessário Databricks-compute account usado por todos os clusters no workspace existe.
iam.serviceAccounts.getIamPolicy	Obter a política de IAM.	✓		Conceda ao serviço workspace account a função de usuário da conta de serviço no serviço account do Google Compute Engine (GCE) para iniciar o clusters.
iam.serviceAccounts.setIamPolicy	Definir a política de IAM.	✓		Conceda ao serviço workspace account a função de usuário da conta de serviço no serviço account do Google Compute Engine (GCE) para iniciar o clusters.
resourcemanager.projects.get	Obtenha um número de projeto a partir do ID do projeto.	✓	✓	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.getIamPolicy	Obter a política de IAM.	✓	✓	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.setIamPolicy	Definir a política de IAM.	✓		Obtenha informações básicas sobre o projeto workspace.
serviceusage.services.get	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	✓	✓	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.list	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	✓	✓	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.enable	Ative as APIs do Google Cloud necessárias no projeto, caso ainda não estejam ativadas.	✓		Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
compute.networks.get	Validar a existência de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.networks.updatePolicy	Atualizar a política de firewall na rede VPC.		✓	Atualiza a política de firewall na rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.projects.get	Obter o projeto de host de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.subnetworks.get	Validar sub-redes de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.subnetworks.getIamPolicy	Obtenha a política de IAM na sub-rede VPC.		✓	Valide as concessões na sub-rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.subnetworks.setIamPolicy	Defina a política de IAM na sub-rede VPC.		✓	Define a política IAM na sub-rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.forwardingRules.get	Listar regras de encaminhamento para o serviço privado Connect.		✓	Necessário se o senhor ativar o serviço privado Connect.
compute.forwardingRules.list	Obter regras de encaminhamento para o serviço privado Connect.		✓	Necessário se o senhor ativar o serviço privado Connect.
compute.firewalls.get	Obtenha uma regra de firewall.		✓	Obtém a regra de firewall necessária na rede VPC fornecida pelo cliente para verificar se ela existe.
compute.firewalls.update	Atualizar uma regra de firewall.		✓	Atualiza a regra de firewall necessária, se existir, na rede VPC fornecida pelo cliente para adicionar uma tag de rede específica workspace .
compute.firewalls.create	Crie uma regra de firewall.		✓	Cria uma regra de firewall, caso ela não exista, na rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace .
cloudkms.cryptoKeys.getIamPolicy	Obtenha a política de controle de acesso para um recurso do Cloud KMS.	✓		Necessário no Cloud KMS key se o senhor ativar a chave de gerenciamento de clientes.
cloudkms.cryptoKeys.setIamPolicy	Defina a política de controle de acesso em um recurso do Cloud KMS.	✓		Necessário no Cloud KMS key se o senhor ativar a chave de gerenciamento de clientes.

Funções de criador de Workspace com privilégio mínimo

Para um workspace com menos privilégios, não são necessárias as amplas permissões de administrador de account descritas acima. Em vez disso, são criadas funções personalizadas com escopo limitado e concedidas à conta de serviço criadora do workspace, que chama a API da account para criar o workspace. Essas funções exigem apenas permissões de nível de leitura para validar as configurações durante a criação.

As funções criadas dependem da configuração da sua VPC. Crie apenas os papéis para o seu cenário:

• Se criar seu workspace em uma VPC Compartilhada, crie a função de projeto de serviço e a função de projeto de host.
• Se você criar seu workspace em uma VPC independente, crie apenas a função abrangente.

Funções de VPC Compartilhada

Se o senhor usa uma VPC Compartilhada, crie a função de projeto de serviço e a função de projeto host.

Função de projeto de serviço

Crie a função databricks.lpw.workspace.creator.service.role com as seguintes permissões no projeto do serviço (Workspace):

Text

cloudkms.cryptoKeys.getIamPolicy   # Only required if you use CMK
compute.projects.get
iam.roles.get
iam.serviceAccounts.get
iam.serviceAccounts.getIamPolicy
resourcemanager.projects.get
resourcemanager.projects.getIamPolicy
serviceusage.services.get
serviceusage.services.list

Função do projeto de host

Crie a função databricks.lpw.workspace.creator.host.role com as seguintes permissões no projeto host (VPC):

Text

compute.forwardingRules.get        # Only required if you use PSC
compute.forwardingRules.list       # Only required if you use PSC
compute.networks.get
compute.projects.get
compute.subnetworks.get
compute.subnetworks.getIamPolicy
iam.roles.get
resourcemanager.projects.get
resourcemanager.projects.getIamPolicy
serviceusage.services.get
serviceusage.services.list

Função de VPC independente

Se você não usar uma VPC compartilhada, crie uma única função databricks.lpw.workspace.creator.role com as seguintes permissões no projeto do workspace. Esta função combina as permissões de serviço-project e host-project:

Text

cloudkms.cryptoKeys.getIamPolicy   # Only required if you use CMK
compute.forwardingRules.get        # Only required if you use PSC
compute.forwardingRules.list       # Only required if you use PSC
compute.networks.get
compute.projects.get
compute.subnetworks.get
compute.subnetworks.getIamPolicy
iam.roles.get
iam.serviceAccounts.get
iam.serviceAccounts.getIamPolicy
resourcemanager.projects.get
resourcemanager.projects.getIamPolicy
serviceusage.services.get
serviceusage.services.list