Permissões necessárias

Esta página explica as permissões necessárias para criar e gerenciar um Databricks workspace no Google Cloud.

No Google Cloud, cada workspace execução dentro de um projeto workspace de propriedade do cliente. Databricks cria e possui um serviço porworkspace account com as permissões mínimas necessárias para gerenciar o workspace. Databricks usa as credenciais do criador do workspace para conceder permissões ao serviço account no projeto workspace. Um administrador do Databricks account deve ter as permissões necessárias no projeto workspace para criar com êxito um workspace.

A seção Legacy permissions (Permissões herdadas ) deste artigo contém a lista de permissões exigidas anteriormente pelo site Databricks para iniciar o compute no GKE. Para obter mais informações sobre a migração do GKE para o GCE, consulte Atualizar permissões para a implantação do GCE compute.

Permissões necessárias para o criador do site workspace

Databricks usa as credenciais do criador do workspace para validar as configurações, conceder permissões, habilitar o serviço necessário e provisionar o workspace.

A seguir, o conjunto mínimo de permissões necessárias nos projetos workspace e de rede. Databricks recomenda que o criador do workspace tenha a função roles/owner nos projetos workspace e VPC.

nota

A criação do espaço de trabalho normalmente leva menos de um minuto para ser concluída. Databricks não manterá nem usará essas permissões após a criação do site workspace.

Permissão do Google	Propósito	Necessário para o projeto workspace	Necessário para o projeto VPC	Caso de uso
iam.roles.create	Crie a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.delete	Exclua a função personalizada.	✓		Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.get	Obtenha a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.update	Atualize a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.serviceAccounts.create	Criar o Databricks-compute serviço account.	✓		Crie o serviço Databricks-compute account usado por todos os clusters no workspace que não têm um serviço personalizado account anexado. Esse serviço account tem permissões mínimas, limitadas a registro e métricas.
iam.serviceAccounts.get	Obtenha o Databricks-compute serviço account.	✓		Usado para verificar se o serviço necessário Databricks-compute account usado por todos os clusters no workspace existe.
iam.serviceAccounts.getIamPolicy	Obter a política de IAM.	✓		Conceda ao serviço workspace account a função de usuário da conta de serviço no serviço account do Google Compute Engine (GCE) para iniciar o clustering do GKE.
iam.serviceAccounts.setIamPolicy	Definir a política de IAM.	✓		Conceda ao serviço workspace account a função de usuário da conta de serviço no serviço account do Google Compute Engine (GCE) para iniciar o clustering do GKE.
resourcemanager.projects.get	Obtenha um número de projeto a partir do ID do projeto.	✓	✓	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.getIamPolicy	Obter a política de IAM.	✓	✓	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.setIamPolicy	Definir a política de IAM.	✓		Obtenha informações básicas sobre o projeto workspace.
serviceusage.services.get	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	✓	✓	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.list	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	✓	✓	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.enable	Ative as APIs do Google Cloud necessárias no projeto, caso ainda não estejam ativadas.	✓		Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
compute.networks.get	Validar a existência de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.networks.updatePolicy	Atualizar a política de firewall na rede VPC.		✓	Atualiza a política de firewall na rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.projects.get	Obter o projeto de host de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.subnetworks.get	Validar sub-redes de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.subnetworks.getIamPolicy	Obtenha a política de IAM na sub-rede VPC.		✓	Valide as concessões na sub-rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.subnetworks.setIamPolicy	Defina a política de IAM na sub-rede VPC.		✓	Define a política IAM na sub-rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.forwardingRules.get	Listar regras de encaminhamento para o serviço privado Connect.		✓	Necessário se o senhor ativar o serviço privado Connect.
compute.forwardingRules.list	Obter regras de encaminhamento para o serviço privado Connect.		✓	Necessário se o senhor ativar o serviço privado Connect.
compute.firewalls.get	Obtenha uma regra de firewall.		✓	Obtém a regra de firewall necessária na rede VPC fornecida pelo cliente para verificar se ela existe.
compute.firewalls.create	Crie uma regra de firewall.		✓	Cria uma regra de firewall na rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.

Permissões necessárias para o serviço workspace account

O serviço workspace account requer permissões na seguinte função IAM no projeto workspace para operar e gerenciar a workspace. Essas funções são criadas automaticamente pelo site Databricks quando o senhor implanta o site workspace.

• Databricks Função de projeto v2 : Essa função é necessária para operar e gerenciar recursos em nível de projeto, como instâncias, discos, operações em nuvem e gerenciar contas de serviço em Databricks. Ele é concedido em nível de projeto para o serviço workspace account.

• Databricks recurso Role v2 : É necessário para operar e gerenciar instâncias do Google Compute Engine (GCE), discos de armazenamento e outros recursos de nível workspacegerenciados por Databricks. Essa função é concedida no nível do projeto para o serviço workspace account. O escopo de nível workspaceé imposto por meio de uma condição IAM no ID workspace. O exemplo a seguir usa 1234567890 no lugar de um workspace ID real:

  Bash

  resource.name.extract("{x}databricks”) != "" &&
  resource.name.extract("{x}1234567890”) != ""

O serviço workspace account requer permissões no seguinte IAM role na sub-rede primária do cliente-gerenciar VPC. A função precisa existir no projeto VPC:

• Databricks Função de rede v2 : Isso é necessário para usar o recurso de sub-rede em uma rede VPC gerenciada pelo cliente.

Permissões para a função de projeto Databricks v2

Permissão	Propósito	Caso de uso
compute.disks.list	Listar discos	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.globalOperations.list	Listar operações na nuvem	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.regionOperations.list	Listar operações regionais de nuvem	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.zoneOperations.list	Listar operações de nuvem zonal	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.list	Listar instâncias do GCE	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.zones.list	Listar zonas disponíveis	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.zones.get	Obtenha a descrição da zona	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.regions.get	Obtenha a descrição da região	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
serviceusage.services.list	Lista de serviços habilitados	Necessário para que o site Databricks verifique se o serviço necessário está ativado
serviceusage.quotas.get	Obtenha detalhes da cota	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.buckets.list	Listar Databricks-gerenciar GCS buckets	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.recommendLocations	Obtenha recomendações de capacidade sob demanda	Obtenha recomendações de tipo de zona/máquina para instâncias sob demanda com base na capacidade disponível na região
compute.spotAssistants.get	Obtenha recomendações de capacidade pontual	Obtenha recomendações de tipo de zona/máquina para instâncias spot com base na capacidade disponível na região
compute.reservations.get	Obtenha detalhes de uma reserva do GCE	Obtenha detalhes de uma reserva do GCE para uso na seleção de zona/tipo de máquina
compute.reservations.list	Listar todas as reservas do GCE	Listar detalhes de todas as reservas do GCE para uso na seleção de zona/tipo de máquina

As seguintes permissões são mantidas para fins de compatibilidade com as permissões antigas. Eles podem ser removidos ou modificados conforme aplicável

Permissão	Propósito	Caso de uso
iam.serviceAccounts.actAs	Representar o serviço account	Necessário para que o clustering use a conta de serviço do Google. Pode ser removido se o GSA não for usado ou pode ser concedido somente em uma conta de serviço específica usada pelo seu cluster Databricks.
iam.serviceAccounts.getAccessToken	Representar o serviço account	Necessário para que o clustering use a conta de serviço do Google. Pode ser removido se o GSA não for usado ou pode ser concedido somente em uma conta de serviço específica usada pelo seu cluster Databricks.
iam.serviceAccounts.getOpenIdToken	Representar o serviço account	Necessário para que o clustering use a conta de serviço do Google. Pode ser removido se o GSA não for usado ou pode ser concedido somente em uma conta de serviço específica usada pelo seu cluster Databricks.

Permissões para a função de recurso Databricks v2

Permissão	Propósito	Caso de uso
compute.disks.create	Criar discos Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.disks.delete	Excluir Databricks-gerenciar discos	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.disks.get	Obter Databricks-gerenciar informações do disco	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.disks.resize	Redimensionar Databricks-gerenciar discos	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.disks.setLabels	Definir rótulo em Databricks-gerenciar discos	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.disks.update	Atualização do site Databricks-gerenciar discos	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.disks.use	Anexe os discos Databricks-gerenciar a uma VM	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.disks.useReadOnly	Anexe os discos Databricks-gerenciar a uma VM em modo somente leitura	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.create	Criar instâncias do Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.delete	Excluir Databricks-gerenciar instâncias	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.attachDisk	Anexar um disco a uma instância Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.detachDisk	Desanexar um disco de uma instância Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.get	Obtenha detalhes da instância	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.getGuestAttributes	Obtenha atributos de convidado da instância	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.getSerialPortOutput	Obter a porta serial da instância logs	Falha na depuração do recurso do Google Compute Engine (GCE)
compute.instances.setLabels	Definir rótulo em uma instância	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.setTags	Definir tags em uma instância	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.update	Atualizar uma instância	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.setMetadata	Definir metadados em uma instância	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.instances.setServiceAccount	Definir o serviço account em uma instância	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.multipartUploads.abort	Cancelar uma multiparte upload para Databricks-gerenciar GCS bucket	Gerenciar Google Cloud Storage (GCS) upload sessões ao carregar arquivos grandes
storage.multipartUploads.create	Criar uma multiparte upload para Databricks-gerenciar GCS bucket	Gerenciar Google Cloud Storage (GCS) upload sessões ao carregar arquivos grandes
storage.multipartUploads.list	Listar upload de várias partes para Databricks-gerenciar GCS bucket	Gerenciar Google Cloud Storage (GCS) upload sessões ao carregar arquivos grandes
storage.multipartUploads.listParts	Listar o upload de peças de uma multiparte específica upload para um bucket Databricks-gerenciar GCS	Gerenciar Google Cloud Storage (GCS) upload sessões ao carregar arquivos grandes
storage.buckets.create	Criar um bucket Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.buckets.delete	Excluir um bucket Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.buckets.get	Obtenha detalhes de uma caçamba Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.buckets.getIamPolicy	Obter a política IAM de um bucket Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.buckets.setIamPolicy	Definir a política IAM de um bucket Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.buckets.update	Atualizar um bucket Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.objects.create	Criar um bucket Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.objects.delete	Excluir um bucket Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.objects.get	Obter detalhes para um Databricks-gerenciar GCS balde	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.objects.list	Listar objetos em um bucket Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
storage.objects.update	Atualizar objetos em um bucket Databricks-gerenciar GCS	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho

Permissões adicionais para o espaço de trabalho na rede Databricks-gerenciar VPC

As seguintes permissões também são necessárias para o espaço de trabalho que usa a rede Databricks-gerenciar VPC:

Permissão	Propósito	Caso de uso
compute.networks.access	Iniciar VMs no site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.networks.get	Obtenha detalhes do site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.networks.use	Iniciar VMs no site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.networks.useExternalIp	Iniciar VMs no site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.routers.get	Obtenha detalhes do roteador Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.get	Obter detalhes da sub-rede Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.use	Iniciar VMs no site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.routers.use	Iniciar VMs no site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.getIamPolicy	Obter a política IAM para Databricks-gerenciar a sub-rede	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.useExternalIp	Iniciar VMs no site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.networks.create	Crie o site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.networks.delete	Exclua o endereço Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.networks.update	Atualize o site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.networks.updatePolicy	Atualize o site Databricks-gerenciar VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.create	Crie a sub-rede Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.delete	Excluir a sub-rede Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.expandIpCidrRange	Expandir o intervalo CIDR na sub-rede Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.setIamPolicy	Definir a política IAM na sub-rede Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.setPrivateIpGoogleAccess	Configurar o acesso privado ao Google API na sub-rede Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.update	Atualize a sub-rede Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.routers.create	Crie o roteador Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.routers.delete	Excluir o roteador Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.routers.update	Atualize o roteador Databricks-gerenciar	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.firewalls.create	Crie a regra de firewall de entrada para permitir que as VMs do Databricks se comuniquem	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.firewalls.delete	Exclua a regra de firewall de entrada em workspace teardown para limpar o VPC	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.firewalls.get	Obtenha os detalhes da regra do firewall de entrada	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.firewalls.update	Atualizar detalhes da regra de firewall de entrada	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho

Permissões para a função de rede Databricks v2

Permissão	Propósito	Caso de uso
compute.subnetworks.use	Usar a sub-rede na rede gerenciada pelo cliente	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho
compute.subnetworks.get	Obter as informações da sub-rede na rede gerenciada pelo cliente	gerenciar Google Compute Engine (GCE) recurso para execução de cargas de trabalho

Permissões legadas

As seguintes permissões são herdadas e eram necessárias quando o site Databricks iniciou o clustering do GKE. O senhor só deve consultar a lista se o site account não tiver permissões atualizadas para a implementação do GCE compute. Consulte Atualizar permissões para a implementação do GCE compute.

Permissões necessárias para o criador do site workspace

Permissão do Google	Propósito	Caso de uso
iam.roles.create	Crie a função personalizada.	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.delete	Exclua a função personalizada.	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.get	Obtenha a função personalizada.	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.update	Atualize a função personalizada.	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.serviceAccounts.getIamPolicy	Obter a política de IAM.	Conceda ao serviço workspace account a função Service Account User no serviço account do Google Compute Engine (GCE) para iniciar o clustering do GKE.
iam.serviceAccounts.setIamPolicy	Definir a política de IAM.	Conceda ao serviço workspace account a função Service Account User no serviço account do Google Compute Engine (GCE) para iniciar o clustering do GKE.
resourcemanager.projects.get	Obtenha um número de projeto a partir do ID do projeto.	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.getIamPolicy	Obter a política de IAM.	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.setIamPolicy	Definir a política de IAM.	Obtenha informações básicas sobre o projeto workspace.
serviceusage.services.get	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.list	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.enable	Ative as APIs do Google Cloud necessárias no projeto, caso ainda não estejam ativadas.	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
compute.networks.get	Validar a existência de uma rede VPC.	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.projects.get	Obter o projeto de host de uma rede VPC.	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.subnetworks.get	Validar sub-redes de uma rede VPC.	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.forwardingRules.get	Listar regras de encaminhamento para o serviço privado Connect.	Necessário se o senhor ativar o serviço privado Connect.
compute.forwardingRules.list	Obter regras de encaminhamento para o serviço privado Connect.	Necessário se o senhor ativar o serviço privado Connect.
cloudkms.cryptoKeys.getIamPolicy	Obtenha a política de controle de acesso para um recurso do Cloud KMS.	Necessário no Cloud KMS key se o senhor ativar a chave de gerenciamento de clientes.
cloudkms.cryptoKeys.setIamPolicy	Defina a política de controle de acesso em um recurso do Cloud KMS.	Necessário no Cloud KMS key se o senhor ativar a chave de gerenciamento de clientes.

Permissões necessárias para o serviço workspace account

O serviço workspace account requer permissões na seguinte função IAM no projeto workspace para operar e gerenciar a workspace:

• Função de administrador do GKE : É necessária para operar e gerenciar as cargas de trabalho do cliente em execução no GKE.
• Função de administrador de armazenamento do GCE : É necessária para operar e gerenciar os armazenamentos persistentes do Google Compute Engine (GCE) associados aos nós do GKE.
• Databricks Workspace Função : Uma função personalizada porworkspace para conceder permissões adicionais necessárias para gerenciar um workspace.

Permissão	Propósito	Caso de uso
compute.globalOperations.get	Obtenha dados de operações para obter visibilidade das operações do GCE durante as interrupções do GCE.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.instanceGroups.get	Obtenha grupos de instâncias para solução de problemas do GCE. gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.instanceGroups.list	Liste grupos de instâncias para solução de problemas do GCE. gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.instances.get	Obter instâncias de compute. gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.instances.list	Liste as instâncias de compute para solução de problemas de GCE. gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.instances.setLabels	Definir o rótulo da instância compute. gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.disks.get	Obtenha discos. gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.disks.setLabels	Definir o rótulo do disco. gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.networks.access	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.networks.create	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.networks.delete	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.networks.get	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.networks.getEffectiveFirewalls	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.networks.update	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.networks.updatePolicy	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.networks.use	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.networks.useExternalIp	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.regionOperations.get	Obtenha operações de região para obter visibilidade das operações do Google Compute Engine (GCE) durante as interrupções do GCE.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.routers.create	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.routers.delete	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.routers.get	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.routers.update	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.routers.use	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.create	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.delete	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.expandIpCidrRange	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.get	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.getIamPolicy	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.setIamPolicy	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.setPrivateIpGoogleAccess	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.update	gerenciar recurso de rede. Se o senhor usar um cliente-gerenciar VPC, essa permissão não estará na função personalizada que Databricks concede ao serviço account.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.use	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
compute.subnetworks.useExternalIp	gerenciar recurso de rede.	gerenciar o recurso do Google Compute Engine (GCE) para executar cargas de trabalho.
container.clusterRoleBindings.create	Criar associações de funções de clustering.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusterRoleBindings.get	Obter associações de funções de clustering.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusterRoles.bind	Vincular vínculos de função de clustering.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusterRoles.create	Criar funções de clustering.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusterRoles.get	Obter funções de clustering.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusters.create	Criar funções de clustering.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusters.delete	Excluir funções de clustering.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusters.get	Obter agrupamento.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusters.getCredentials	Obter credenciais de clustering.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusters.list	Agrupamento de listas.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.clusters.update	Atualizar o agrupamento.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.configMaps.create	Crie ConfigMaps.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.configMaps.get	Obtenha o ConfigMaps.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.configMaps.update	Atualize o ConfigMaps.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.customResourceDefinitions.create	Criar definições de recurso personalizadas.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.customResourceDefinitions.get	Obter definições de recurso personalizadas.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.customResourceDefinitions.update	Atualizar definições de recursos personalizados.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.daemonSets.create	Crie conjuntos de daemons.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.daemonSets.get	Obtenha conjuntos de daemons.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.daemonSets.update	Atualize os conjuntos de daemons.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.deployments.create	Crie implantações.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.deployments.get	Obtenha implantações.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.deployments.update	Atualize as implantações.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.jobs.create	Criar emprego.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.jobs.get	Obter emprego.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.jobs.update	Atualizar trabalho.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.namespaces.create	Crie um namespace.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.namespaces.get	Obtenha o namespace.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.namespaces.list	Listar namespaces.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.operations.get	Obter operações.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.pods.get	Pegue cápsulas.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.pods.getLogs	Obtenha o pod logs.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.pods.list	Liste os pods.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.roleBindings.create	Crie vínculos de função.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.roleBindings.get	Obtenha vinculações de papéis.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.roles.bind	Funções vinculadas.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.roles.create	Crie funções.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.roles.get	Consiga funções.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.secrets.create	Crie um segredo.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.secrets.get	Consiga um segredo.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.secrets.update	Atualize um segredo.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.serviceAccounts.create	Criar um serviço account.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.serviceAccounts.get	Obtenha um serviço account.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.services.create	Criar um serviço.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.services.get	Obter um serviço.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.thirdPartyObjects.create	Crie um objeto de terceiros.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.thirdPartyObjects.delete	Exclua um objeto de terceiros.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.thirdPartyObjects.get	Obtenha um objeto de terceiros.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.thirdPartyObjects.list	Listar objetos de terceiros.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
container.thirdPartyObjects.update	Atualize um objeto de terceiros.	gerenciar o clustering do GKE para execução Databricks cargas de trabalho.
iam.serviceAccounts.getIamPolicy	Inspecione a conta de serviço ou vincule-a a um clustering.	Configure o GKE Workload Identity para um serviço de cluster account para acessar seus dados.
iam.serviceAccounts.setIamPolicy	Inspecione a conta de serviço ou vincule-a a um clustering.	Configure o GKE Workload Identity para um serviço de cluster account para acessar seus dados.
resourcemanager.projects.get	Converta o ID do projeto do cliente em um número de projeto.	Valide o status do projeto, como, por exemplo, se o projeto está ativo e se o serviço workspace account tem permissões suficientes.
resourcemanager.projects.getIamPolicy	Verifique se a política de IAM do projeto está configurada corretamente.	Valide o status do projeto, como, por exemplo, se o projeto está ativo e se o serviço workspace account tem permissões suficientes.
storage.buckets.create	Crie um balde.	Isso é necessário para criar e gerenciar buckets GCS para DBFS.
storage.buckets.delete	Exclua um bucket.	Isso é necessário para criar e gerenciar buckets GCS para DBFS.
storage.buckets.get	Pegue um balde.	Isso é necessário para criar e gerenciar buckets GCS para DBFS.
storage.buckets.getIamPolicy	Obter a política de IAM do armazenamento.	Isso é necessário para criar e gerenciar buckets GCS para DBFS.
storage.buckets.list	Liste os baldes.	Isso é necessário para criar e gerenciar buckets GCS para DBFS.
storage.buckets.setIamPolicy	Definir a política de IAM do armazenamento.	Isso é necessário para criar e gerenciar buckets GCS para DBFS.
storage.buckets.update	Atualizar a política de IAM do armazenamento.	Isso é necessário para criar e gerenciar buckets GCS para DBFS.
storage.multipartUploads.abort	Abortar um upload de várias partes.	Ler e gravar objetos DBFS.
storage.multipartUploads.create	Criar um upload de várias partes.	Ler e gravar objetos DBFS.
storage.multipartUploads.list	Listar upload de várias partes.	Ler e gravar objetos DBFS.
storage.multipartUploads.listParts	Listar partes de um upload de várias partes.	Ler e gravar objetos DBFS.
storage.objects.create	Crie um objeto de armazenamento.	Ler e gravar objetos DBFS.
storage.objects.delete	Exclua o objeto de armazenamento.	Ler e gravar objetos DBFS.
storage.objects.get	Obtenha um objeto de armazenamento.	Ler e gravar objetos DBFS.
storage.objects.list	Listar objetos de armazenamento.	Ler e gravar objetos DBFS.
storage.objects.update	Atualize um objeto de armazenamento.	Ler e gravar objetos DBFS.