Permissões necessárias para a criação workspace

Esta página explica as permissões necessárias para criar um workspace Databricks clássico na nuvem do Google.

Na nuvem do Google, cada execução workspace está dentro de um projeto workspace de propriedade do cliente. Databricks usa as credenciais do criador workspace para validar configurações, conceder permissões, habilitar os serviços necessários e provisionar o workspace. Para criar um workspace com sucesso, o administrador account Databricks deve ter as permissões necessárias no projeto workspace.

Além disso, durante a criação workspace , Databricks cria uma nova account de serviço com as permissões mínimas necessárias para gerenciar o workspace. Databricks utiliza as credenciais do criador do workspace para conceder permissões à account de serviço no projeto workspace . Para obter uma lista das permissões concedidas à account de serviço, consulte Permissões necessárias para a accountde serviço workspace.

Permissões de administrador account necessárias

A seguir, o conjunto mínimo de permissões necessárias nos projetos workspace e de rede. Databricks recomenda que o criador do workspace tenha a função roles/owner nos projetos workspace e VPC.

nota

A criação do espaço de trabalho normalmente leva menos de um minuto para ser concluída. Databricks não manterá nem usará essas permissões após a criação do site workspace.

Permissão do Google	Propósito	Necessário para o projeto workspace	Necessário para o projeto VPC	Caso de uso
iam.roles.create	Crie a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.delete	Exclua a função personalizada.	✓		Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.get	Obtenha a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.roles.update	Atualize a função personalizada.	✓	✓	Crie e gerencie uma função personalizada para conceder permissões ao serviço workspace's account.
iam.serviceAccounts.create	Criar o Databricks-compute serviço account.	✓		Crie o serviço Databricks-compute account usado por todos os clusters no workspace que não têm um serviço personalizado account anexado. Esse serviço account tem permissões mínimas, limitadas a registro e métricas.
iam.serviceAccounts.get	Obtenha o Databricks-compute serviço account.	✓		Usado para verificar se o serviço necessário Databricks-compute account usado por todos os clusters no workspace existe.
iam.serviceAccounts.getIamPolicy	Obter a política de IAM.	✓		Conceda ao serviço workspace account a função de usuário da conta de serviço no serviço account do Google Compute Engine (GCE) para iniciar o clusters.
iam.serviceAccounts.setIamPolicy	Definir a política de IAM.	✓		Conceda ao serviço workspace account a função de usuário da conta de serviço no serviço account do Google Compute Engine (GCE) para iniciar o clusters.
resourcemanager.projects.get	Obtenha um número de projeto a partir do ID do projeto.	✓	✓	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.getIamPolicy	Obter a política de IAM.	✓	✓	Obtenha informações básicas sobre o projeto workspace.
resourcemanager.projects.setIamPolicy	Definir a política de IAM.	✓		Obtenha informações básicas sobre o projeto workspace.
serviceusage.services.get	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	✓	✓	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.list	Valide se o projeto do cliente ativou as APIs necessárias do Google Cloud.	✓	✓	Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
serviceusage.services.enable	Ative as APIs do Google Cloud necessárias no projeto, caso ainda não estejam ativadas.	✓		Habilite o serviço Google Cloud necessário para as cargas de trabalho do Databricks.
compute.networks.get	Validar a existência de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.networks.updatePolicy	Atualizar a política de firewall na rede VPC.		✓	Atualiza a política de firewall na rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.projects.get	Obter o projeto de host de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
compute.subnetworks.get	Validar sub-redes de uma rede VPC.		✓	Validar o recurso de rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.subnetworks.getIamPolicy	Obtenha a política de IAM na sub-rede VPC.		✓	Valide as concessões na sub-rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.subnetworks.setIamPolicy	Defina a política de IAM na sub-rede VPC.		✓	Define a política IAM na sub-rede para a rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace. Necessário se o senhor usar um gerenciador de clientes VPC.
compute.forwardingRules.get	Listar regras de encaminhamento para o serviço privado Connect.		✓	Necessário se o senhor ativar o serviço privado Connect.
compute.forwardingRules.list	Obter regras de encaminhamento para o serviço privado Connect.		✓	Necessário se o senhor ativar o serviço privado Connect.
compute.firewalls.get	Obtenha uma regra de firewall.		✓	Obtém a regra de firewall necessária na rede VPC fornecida pelo cliente para verificar se ela existe.
compute.firewalls.create	Crie uma regra de firewall.		✓	Cria uma regra de firewall na rede VPC fornecida pelo cliente, que pode pertencer a um projeto diferente do projeto workspace.
cloudkms.cryptoKeys.getIamPolicy	Obtenha a política de controle de acesso para um recurso do Cloud KMS.	✓		Necessário no Cloud KMS key se o senhor ativar a chave de gerenciamento de clientes.
cloudkms.cryptoKeys.setIamPolicy	Defina a política de controle de acesso em um recurso do Cloud KMS.	✓		Necessário no Cloud KMS key se o senhor ativar a chave de gerenciamento de clientes.