Permissões necessárias para a accountdo serviço workspace
A account do serviço workspace requer permissões na seguinte função IAM no projeto workspace para operar e gerenciar um workspace. Essas funções são criadas automaticamente pelo Databricks quando você implanta seu workspace.
-
Função de projetoDatabricks v2 : Esta função é necessária para operar e gerenciar recursos em nível de projeto, como instâncias, discos, operações cloud e gerenciamento de contas de serviço pelo Databricks. É concedido no nível do projeto para a account do serviço workspace .
-
Função de recursoDatabricks v2 : Esta função é necessária para operar e gerenciar instâncias do Google Compute Engine (GCE), discos de armazenamento e outros recursos em nível workspacegerenciados pelo Databricks. Essa função é concedida no nível do projeto para a account do serviço workspace . O escopo em nível workspaceé imposto usando uma condição IAM no ID workspace . O exemplo a seguir usa
1234567890em vez de um ID workspace real:Bashresource.name.extract("{x}databricks”) != "" &&
resource.name.extract("{x}1234567890”) != "" -
Função de redeDatabricks v2 : Esta função é necessária para usar o recurso de sub-rede em uma rede VPC gerenciada pelo cliente. A função deve existir no projeto VPC na sub-rede primária da VPC de gerenciamento do cliente.
Se as chaves de gerenciamento do cliente estiverem habilitadas para seu workspace, as funções Cloud KMS CryptoKey Decrypter e Cloud KMS CryptoKey Encrypter serão necessárias no recurso de chave do Cloud KMS .
Permissões para a função de projeto Databricks v2
Permissão | Propósito | Caso de uso |
|---|---|---|
| Listar discos | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Liste as operações cloud | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Listar operações regionais cloud | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Liste as operações cloud zonais | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Listar instâncias do GCE | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Listar zonas disponíveis | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha a descrição da zona. | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha a descrição da região. | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Listar serviços ativados | Necessário para que Databricks verifique se os serviços requeridos estão habilitados. |
| Obtenha detalhes sobre a cota | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Listar buckets Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Receba recomendações de capacidade sob demanda | Obtenha recomendações de zona/tipo de máquina para instâncias sob demanda com base na capacidade disponível na região. |
| Obtenha recomendações sobre capacidade spot. | Obtenha recomendações de zona/tipo de máquina para instâncias spot com base na capacidade disponível na região. |
| Obtenha detalhes sobre uma reserva para o GCE. | Obtenha detalhes de uma reserva GCE para uso na seleção de zona/tipo de máquina. |
| Liste todas as reservas do GCE | Liste os detalhes de todas as reservas GCE para uso na seleção de zona/tipo de máquina. |
As permissões a seguir são mantidas para compatibilidade com permissões legadas. Podem ser removidos ou modificados conforme aplicável.
Permissão | Propósito | Caso de uso |
|---|---|---|
| Falsificar accountde serviço | Necessário para que clusters utilizem uma conta do Google Service. Pode ser removido se o GSA não for utilizado. ou pode ser concedida apenas em contas de serviço específicas usadas pelos seus clusters Databricks . |
| Falsificar accountde serviço | Necessário para que clusters utilizem uma conta do Google Service. Pode ser removido se o GSA não for utilizado. ou pode ser concedida apenas em contas de serviço específicas usadas pelos seus clusters Databricks . |
| Falsificar accountde serviço | Necessário para que clusters utilizem uma conta do Google Service. Pode ser removido se o GSA não for utilizado. ou pode ser concedida apenas em contas de serviço específicas usadas pelos seus clusters Databricks . |
Permissões para a função de recurso Databricks v2
Permissão | Propósito | Caso de uso |
|---|---|---|
| Criar discos Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Excluir Databricks-gerenciar discos | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha informações do disco Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Redimensionar Databricks- discos de gerenciamento | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Definir rótulo em discos Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Atualizar Databricks-gerenciar discos | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Anexar discos Databricks-gerenciar a uma VM | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Anexe discos Databricks-gerenciar a uma máquina virtual em modo somente leitura. | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Criar instâncias Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Excluir instâncias Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Anexe um disco a uma instância Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Desanexar um disco de uma instância Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obter detalhes da instância | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obter atributos de convidado da instância | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obter logsda porta serial da instância | Falha na depuração do recurso do Google Compute Engine (GCE) |
| Defina o rótulo em uma instância. | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Definir tags em uma instância | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Atualizar uma instância | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Definir metadados em uma instância | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Defina account de serviço em uma instância. | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Cancelar um upload multipart para o bucket Databricks-gerenciar GCS | Gerenciar sessões upload Google Cloud Storage (GCS) ao enviar arquivos grandes. |
| Criar um upload multipart para o bucket Databricks-gerenciar GCS | Gerenciar sessões upload Google Cloud Storage (GCS) ao enviar arquivos grandes. |
| Listar upload multipart para Databricks-gerenciar bucket GCS | Gerenciar sessões upload Google Cloud Storage (GCS) ao enviar arquivos grandes. |
| Listar partes do upload para um upload multipart específico para um bucket Databricks-gerenciar GCS | Gerenciar sessões upload Google Cloud Storage (GCS) ao enviar arquivos grandes. |
| Criar um bucket Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Excluir um bucket Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha detalhes de um bucket Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obter a política IAM de um bucket GCS Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Defina a política IAM de um bucket GCS Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Atualizar um bucket Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Criar um bucket Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Excluir um bucket Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha detalhes para um bucket Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Listar objetos em um bucket Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Atualizar objetos em um bucket Databricks-gerenciar GCS | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
Permissões adicionais para o espaço de trabalho na rede VPC Databricks- gerenciar
As seguintes permissões também são necessárias para espaços de trabalho que utilizam a rede VPC Databricks :
Permissão | Propósito | Caso de uso |
|---|---|---|
| Iniciar VMs na VPCdo Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha detalhes sobre a VPCde gerenciamento Databricks | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Iniciar VMs na VPCdo Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Iniciar VMs na VPCdo Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha detalhes sobre o roteador Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha detalhes da sub-rede Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Iniciar VMs na VPCdo Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Iniciar VMs na VPCdo Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obter política IAM para Databricks-gerenciar subnet | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Iniciar VMs na VPCdo Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Criar a VPC Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Excluir o Databricks-gerenciar VPC | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Atualizar o Databricks-gerenciar VPC | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Atualizar o Databricks-gerenciar VPC | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Criar a sub-rede Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Exclua a sub-rede Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Expandir o intervalo CIDR na sub-rede Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Defina a política IAM na sub-rede Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Configure o acesso privado API do Google na sub-rede Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Atualizar a sub-rede Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Criar o roteador Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Exclua o roteador Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Atualizar o roteador Databricks-gerenciar | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Crie uma regra de firewall de entrada para permitir que as VMs do Databricks se comuniquem. | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Exclua a regra de firewall de entrada ao encerrar workspace para limpar a VPC | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha os detalhes da regra de firewall de entrada. | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Atualizar detalhes da regra do firewall de entrada | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
Permissões para a função de rede Databricks v2
Permissão | Propósito | Caso de uso |
|---|---|---|
| Utilize a sub-rede na rede gerenciada do cliente. | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
| Obtenha as informações da sub-rede na rede de gerenciamento de clientes. | gerenciamento do recurso Google Compute Engine (GCE) para cargas de trabalho de execução |
IAM roles de operador de Workspace com menos privilégios
Para um workspace de privilégio mínimo, você mesmo cria as funções da conta de serviço do workspace como funções personalizadas, em vez de permitir que o Databricks as crie automaticamente. Conceda essas funções à account de serviço do workspace depois que o Databricks a retornar durante a criação do workspace.
Essas funções correspondem às três funções descritas acima, mas seus conjuntos de permissões diferem ligeiramente das funções criadas automaticamente. Crie as seguintes funções personalizadas e conceda a elas as permissões listadas:
ID da função | Descrição | Aplicável a |
|---|---|---|
| Opera e gerencia recursos em nível de projeto, como instâncias, discos, operações de cloud e contas de serviço. Concedido em nível de projeto. | Projeto de serviço (Workspace) |
| Opera e gerencia instâncias do Compute Engine, discos de armazenamento e outros recursos de nível de Workspace. Concedido no nível do projeto, delimitado ao Workspace usando uma condição IAM no ID do Workspace. | Projeto de serviço (Workspace) |
| Usa recursos de sub-rede em uma VPC gerenciada pelo cliente. Associado à sub-rede do Workspace. | Projeto de host (VPC) |
Função de projeto
Crie a função lpw.databricks.project.role.v2 com as seguintes permissões no projeto de serviço (Workspace):
compute.disks.list
compute.globalOperations.list
compute.instances.list
compute.instances.recommendLocations
compute.regionOperations.list
compute.regions.get
compute.reservations.get
compute.reservations.list
compute.spotAssistants.get
compute.zoneOperations.list
compute.zones.get
compute.zones.list
iam.serviceAccounts.actAs
resourcemanager.projects.get
serviceusage.quotas.get
serviceusage.services.list
storage.buckets.list
Se iam.serviceAccounts.actAs não for concedido no nível do projeto, você deve concedê-lo à account de serviço do workspace para cada account de serviço individual que você pretende anexar aos seus recursos de compute do Databricks. Isso inclui a account de serviço databricks-compute default que é usada quando nenhuma account de serviço personalizada é especificada no recurso de computação.
Função de recurso
Crie a função lpw.databricks.resource.role.v2 com as seguintes permissões no projeto de serviço (Workspace):
compute.disks.create
compute.disks.delete
compute.disks.get
compute.disks.resize
compute.disks.setLabels
compute.disks.update
compute.disks.use
compute.disks.useReadOnly
compute.instances.attachDisk
compute.instances.create
compute.instances.delete
compute.instances.detachDisk
compute.instances.get
compute.instances.getGuestAttributes
compute.instances.getSerialPortOutput
compute.instances.setLabels
compute.instances.setMetadata
compute.instances.setServiceAccount
compute.instances.setTags
compute.instances.update
storage.buckets.create
storage.buckets.delete
storage.buckets.get
storage.buckets.getIamPolicy
storage.buckets.setIamPolicy
storage.buckets.update
storage.multipartUploads.abort
storage.multipartUploads.create
storage.multipartUploads.list
storage.multipartUploads.listParts
storage.objects.create
storage.objects.delete
storage.objects.get
storage.objects.list
storage.objects.update
Função de rede
Crie a IAM role lpw.databricks.network.role.v2 com as seguintes permissões no projeto host (VPC):
compute.subnetworks.get
compute.subnetworks.use
Permissões legadas
No modelo de implantação GKE legado, a account do serviço workspace exigia permissões na seguinte função IAM no projeto workspace para operar e gerenciar um workspace:
- Função de administrador do GKE : Necessário para operar e gerenciar as cargas de trabalho dos clientes em execução no GKE.
- Função de administrador de armazenamento do GCE : Necessária para operar e gerenciar os armazenamentos persistentes do Google Compute Engine (GCE) associados aos nós do GKE.
- FunçãoDatabricks Workspace : Necessária para conceder permissões adicionais para gerenciar um workspace.