Gerir grupos

  • Artigo

Este artigo explica como os administradores criam e gerenciam grupos do Azure Databricks. Para obter uma visão geral do modelo de identidade do Azure Databricks, consulte Identidades do Azure Databricks.

Para gerenciar o acesso de grupos, consulte Autenticação e controle de acesso.

Visão geral do gerenciamento de grupo

Os grupos simplificam o gerenciamento de identidades, facilitando a atribuição de acesso a espaços de trabalho, dados e outros objetos protegíveis. Todas as identidades do Databricks podem ser atribuídas como membros de grupos.

Diferença entre grupos de contas e grupos locais de espaço de trabalho

O Azure Databricks tem o conceito de grupos de contas e grupos locais de espaço de trabalho herdados:

  • Os grupos de contas podem ter acesso aos dados em um metastore do Catálogo Unity , funções concedidas em entidades e grupos de serviço e permissões para espaços de trabalho federados de identidade.
  • Os grupos locais de espaço de trabalho são grupos herdados. Esses grupos são identificados como locais do espaço de trabalho na página de configurações de administração do espaço de trabalho. Os grupos locais de espaço de trabalho não podem ser atribuídos a espaços de trabalho adicionais ou acesso concedido a dados em um metastore do Catálogo Unity . Os grupos locais de espaço de trabalho não podem receber funções no nível da conta. Para obter mais informações sobre grupos locais de espaço de trabalho, consulte Gerenciar grupos locais de espaço de trabalho (legado).

Há dois grupos de sistemas em cada espaço de trabalho: users e admins. Todos os usuários do espaço de trabalho são membros do users grupo e todos os administradores do espaço de trabalho são membros do admins grupo. Os grupos de sistema são grupos locais de espaço de trabalho. Os grupos de sistema não podem ser excluídos.

O Databricks recomenda transformar grupos locais de espaço de trabalho existentes em grupos de contas para aproveitar a atribuição centralizada do espaço de trabalho e o gerenciamento de acesso a dados usando o Unity Catalog. Consulte Migrar grupos locais do espaço de trabalho para grupos de contas.

Nota

Os usuários com uma função interna de Colaborador ou Proprietário no recurso de espaço de trabalho no Azure são atribuídos automaticamente ao grupo de espaços de trabalho admins . Para obter mais informações, consulte Gerenciar sua assinatura.

Quem pode gerir grupos de contas?

Para criar grupos de contas no Azure Databricks, você deve ser um administrador de conta ou um administrador de espaço de trabalho. Os administradores de espaço de trabalho devem estar em um espaço de trabalho federado por identidade para criar um grupo de contas.

Para gerenciar grupos de contas no Azure Databricks, você deve ter a função de gerente de grupo (Visualização Pública) em um grupo. Os gerentes de grupo podem gerenciar a associação ao grupo e excluir o grupo. Eles também podem atribuir a outros usuários a função de gerente de grupo. Os administradores de conta podem gerenciar funções de grupo usando o console de conta e os administradores de espaço de trabalho podem gerenciar funções de grupo usando a página Configurações de administrador de espaço de trabalho. Os gerentes de grupo que não são administradores de espaço de trabalho podem gerenciar funções de grupo usando a API de Controle de Acesso de Contas.

Os administradores de conta têm a função de gestor de grupo ao nível da conta, o que significa que têm a função de gestor de grupo em todos os grupos da conta. Os administradores de espaço de trabalho têm a função de gerente de grupo nos grupos de contas que criam.

Os administradores de espaço de trabalho também podem criar e gerenciar grupos locais de espaço de trabalho.

Sincronizar grupos com a sua conta do Azure Databricks a partir do seu inquilino do Microsoft Entra ID (anteriormente Azure Ative Directory)

Você pode sincronizar grupos de seu locatário do Microsoft Entra ID (anteriormente Azure Ative Directory) com sua conta do Azure Databricks usando um conector de provisionamento SCIM. Para obter instruções, consulte Provisionar identidades para sua conta do Azure Databricks usando a ID do Microsoft Entra.

Importante

Se você tiver conectores SCIM que sincronizam identidades diretamente com seus espaços de trabalho e esses espaços de trabalho estiverem habilitados para federação de identidades, recomendamos que você desabilite esses conectores SCIM quando o conector SCIM no nível da conta estiver habilitado. Se você tiver espaços de trabalho que não estejam usando a federação de identidades, deverá continuar a usar quaisquer conectores SCIM configurados para esses espaços de trabalho, executados em paralelo com o conector SCIM no nível da conta.

Gerenciar grupos de contas usando o console de contas

Os administradores de conta podem adicionar e gerenciar grupos na conta do Azure Databricks usando o console de conta. Os administradores e gerentes de grupo do espaço de trabalho podem gerenciar grupos usando a página de configurações do espaço de trabalho e as APIs do Databricks. Consulte Gerenciar grupos de contas usando a página de configurações de administração do espaço de trabalho e Gerenciar grupos de contas usando a API.

Adicionar grupos à sua conta usando o console da conta

Para adicionar um grupo à conta usando o console de conta, faça o seguinte:

  1. Como administrador da conta, inicie sessão na consola da conta.
  2. Na barra lateral, clique em Gerenciamento de usuários.
  3. Na guia Grupos, clique em Adicionar grupo.
  4. Introduza um nome para o grupo.
  5. Clique em Confirmar.
  6. Quando solicitado, adicione usuários, entidades de serviço e grupos ao grupo.

Adicionar membros a um grupo usando o console da conta

Para adicionar usuários, entidades de serviço e grupos a um grupo usando o console de conta, faça o seguinte:

  1. Como administrador da conta, inicie sessão na consola da conta.
  2. Na barra lateral, clique em Gerenciamento de usuários.
  3. No separador Grupos, selecione o grupo que pretende atualizar.
  4. Clique em Adicionar membros.
  5. Procure o usuário, grupo ou entidade de serviço que deseja adicionar e selecione-o.
  6. Clique em Adicionar.

Nota

Há um atraso de alguns minutos entre a atualização de um grupo de uma conta e a atualização do grupo em espaços de trabalho.

Gerenciar funções em um grupo usando o console de conta

Importante

Esta funcionalidade está em Pré-visualização Pública.

Os administradores de conta podem conceder funções em grupos de contas no console de contas.

  1. Como administrador da conta, inicie sessão na consola da conta.
  2. Na barra lateral, clique em Gerenciamento de usuários.
  3. Na guia Grupos, localize e clique no nome do grupo.
  4. Clique no separador Permissões .
  5. Clique em Conceder acesso.
  6. Procure e selecione o usuário, entidade de serviço ou grupo e escolha a função Grupo: Gerente .
  7. Clique em Guardar.

Alterar o nome de um grupo

Os administradores de conta podem atualizar o nome dos grupos de contas usando o console de conta:

  1. Como administrador da conta, inicie sessão na consola da conta.
  2. Na barra lateral, clique em Gerenciamento de usuários.
  3. No separador Grupos, selecione o grupo que pretende atualizar.
  4. Clique em Informações do grupo.
  5. Em Nome, atualize o nome.
  6. Clique em Guardar.

Os gerentes de grupo não podem alterar o nome de um grupo usando o console de conta. Em vez disso, use a API de Grupos de Conta. Por exemplo:

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.0/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": [ "urn:ietf:params:scim:api:messages:2.0:PatchOp" ],
  "Operations": [
    {
      {
          "op": "replace",
          "path": "displayName",
          "value": "<updated-name>"
      }
    }
  ]
}

Para obter informações sobre como autenticar na API de Grupos de Contas, consulte Autenticação para automação do Azure Databricks - visão geral.

Atribuir um grupo a um espaço de trabalho usando o console da conta

Para adicionar grupos a um espaço de trabalho usando o console de conta, o espaço de trabalho deve estar habilitado para federação de identidades. Apenas grupos de contas são atribuíveis a espaços de trabalho.

  1. Como administrador da conta, inicie sessão na consola da conta.
  2. Na barra lateral, clique em Espaços de trabalho.
  3. Clique no nome do espaço de trabalho.
  4. No separador Permissões, clique em Adicionar permissões.
  5. Procure e selecione o grupo, atribua o nível de permissão (Usuário ou Administrador do espaço de trabalho) e clique em Salvar.

Remover um grupo de um espaço de trabalho usando o console de conta

Para remover grupos para um espaço de trabalho usando o console de conta, o espaço de trabalho deve estar habilitado para federação de identidades. Somente os grupos de contas são removíveis dos espaços de trabalho usando o console de conta.

Quando um grupo de contas é removido de um espaço de trabalho, os membros do grupo não podem mais acessar o espaço de trabalho, no entanto, as permissões são mantidas no grupo. Se o grupo for adicionado posteriormente de volta a um espaço de trabalho, o grupo recuperará suas permissões anteriores.

  1. Como administrador da conta, inicie sessão na consola da conta.
  2. Na barra lateral, clique em Espaços de trabalho.
  3. Clique no nome do espaço de trabalho.
  4. Na guia Permissões, localize o grupo.
  5. Clique no Menu de kebab menu kebab na extremidade direita da linha do grupo e selecione Remover.
  6. Na caixa de diálogo de confirmação, clique em Remover.

Atribuir funções de administrador de conta a um grupo

Não é possível atribuir a função de administrador de conta ou administrador do marketplace a um grupo usando o console de conta, mas é possível atribuí-la a grupos usando a API de Grupos de Conta. Por exemplo:

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.0/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": [ "urn:ietf:params:scim:api:messages:2.0:PatchOp" ],
  "Operations": [
    {
      "op": "add",
      "path": "roles",
      "value": [
        {
          "value": "account_admin"
        }
      ]
    }
  ]
}

Para obter informações sobre como autenticar na API de Grupos de Contas, consulte Autenticação para automação do Azure Databricks - visão geral.

Remover grupos da sua conta do Azure Databricks

Os administradores de conta podem remover grupos de uma conta do Azure Databricks. Os gerentes de grupo também podem remover grupos da conta usando a API de Grupos de Conta, consulte Gerenciar grupos de contas usando a API.

Importante

Quando você remove um grupo, todos os usuários desse grupo são excluídos da conta e perdem o acesso a quaisquer espaços de trabalho aos quais tiveram acesso (a menos que sejam membros de outro grupo ou tenham recebido acesso direto à conta ou a quaisquer espaços de trabalho). O Databricks recomenda que você se abstenha de excluir grupos no nível da conta, a menos que você queira que eles percam o acesso a todos os espaços de trabalho na conta. Esteja ciente das seguintes consequências da exclusão de usuários:

  • Aplicativos ou scripts que usam os tokens gerados pelo usuário não podem mais acessar APIs do Databricks
  • Trabalhos pertencentes ao usuário falham
  • Clusters de propriedade do usuário param
  • Consultas ou painéis criados pelo usuário e compartilhados usando a credencial Executar como Proprietário precisam ser atribuídos a um novo proprietário para evitar que o compartilhamento falhe

Para remover um grupo usando o console da conta, faça o seguinte:

  1. Como administrador da conta, inicie sessão na consola da conta.
  2. Na barra lateral, clique em Gerenciamento de usuários.
  3. No separador Grupos, localize o grupo que pretende remover.
  4. Clique no Menu de kebab menu kebab na extremidade direita da linha do usuário e selecione Excluir.
  5. Na caixa de diálogo de confirmação, clique em Confirmar exclusão.

Se você remover um grupo usando o console de conta, deverá garantir que também remova o grupo usando quaisquer conectores de provisionamento SCIM ou aplicativos de API SCIM que tenham sido configurados para a conta. Se você não fizer isso, o provisionamento SCIM simplesmente adicionará o grupo e seus membros de volta na próxima vez que sincronizar. Consulte Sincronizar usuários e grupos do Microsoft Entra ID.

Para remover um grupo de uma conta do Azure Databricks usando a API, consulte Provisionar identidades para sua conta do Azure Databricks e a API de Grupos de Contas.

Gerenciar grupos de contas usando a página de configurações de administração do espaço de trabalho

Os administradores de espaço de trabalho podem criar e gerenciar grupos de contas em espaços de trabalho federados por identidade usando a página de configurações de administração do espaço de trabalho.

Nota

Há um atraso de alguns minutos entre a atualização de um grupo de contas de um espaço de trabalho e a atualização do grupo na conta.

Para obter informações sobre como criar grupos locais de espaço de trabalho em espaços de trabalho, consulte Gerenciar grupos locais de espaço de trabalho (legado).

Criar ou atribuir um grupo a um espaço de trabalho usando a página de configurações de administração do espaço de trabalho

Para atribuir ou criar um grupo de contas em um espaço de trabalho usando a página de configurações de administração do espaço de trabalho, faça o seguinte:

  1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.

  2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições de Administrador.

  3. Clique na guia Identidade e acesso .

  4. Ao lado de Grupos, clique em Gerenciar.

  5. Clique em Adicionar grupo.

  6. Selecione um grupo existente para atribuir ao espaço de trabalho ou clique em Adicionar novo para criar um novo grupo de contas.

    Nota

    Se o espaço de trabalho não estiver habilitado para federação de identidades, você não poderá atribuir grupos de contas existentes ou adicionar grupos de contas de criação no espaço de trabalho. Em vez disso, você deve usar grupos locais de espaço de trabalho, consulte Gerenciar grupos locais de espaço de trabalho (legado).

Adicionar membros a um grupo usando a página de configurações de administração do espaço de trabalho

Você deve ser um administrador de espaço de trabalho para adicionar usuários, entidades de serviço e grupos a um grupo de contas usando a página de configurações de administrador do espaço de trabalho. Só pode gerir membros de um grupo no qual tenha a função de gestor de grupo.

Nota

Não é possível adicionar um grupo filho ao admins grupo. Não é possível adicionar grupos locais de espaço de trabalho ou grupos de sistema como membros de grupos de contas.

Os gerentes de grupo que não são administradores de espaço de trabalho devem gerenciar a associação ao grupo usando a API de Grupos de Contas.

  1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.
  2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições de Administrador.
  3. Clique na guia Identidade e acesso .
  4. Ao lado de Grupos, clique em Gerenciar.
  5. Selecione o grupo que deseja atualizar. Você deve ter a função de gerente de grupo no grupo para atualizá-lo.
  6. Na guia Membros, clique em Adicionar membros.
  7. Na caixa de diálogo, procure ou pesquise os usuários, entidades de serviço e grupos que deseja adicionar e selecione-os.
  8. Clique em Confirmar.

Gerenciar funções em um grupo de contas usando a página de configurações de administrador do espaço de trabalho

Importante

Esta funcionalidade está em Pré-visualização Pública.

Você pode atribuir a função de gerente de grupo a usuários, grupos de contas e entidades de serviço. Os gerentes de grupo podem gerenciar a associação ao grupo. Eles também podem atribuir a função de gerente de grupo a outros usuários.

Você deve ser um administrador de espaço de trabalho para gerenciar funções de grupo usando a página de configurações de administrador de espaço de trabalho. Os gerentes de grupo que não são administradores de espaço de trabalho podem gerenciar funções de grupo usando a API de Controle de Acesso à Conta.

  1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.

  2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições de Administrador.

  3. Clique na guia Identidade e acesso .

  4. Ao lado de Grupos, clique em Gerenciar.

  5. Selecione o grupo que deseja atualizar. Você deve ter a função de gerente de grupo no grupo para atualizá-lo.

  6. Clique no separador Permissões .

  7. Clique em Conceder acesso.

  8. Procure e selecione o usuário, entidade de serviço ou grupo e escolha a função Grupo: Gerente .

    Nota

    Não é possível atribuir funções a grupos locais de espaço de trabalho ou grupos de sistema em grupos de contas.

  9. Clique em Guardar.

Ver grupos pais

  1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.
  2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições de Administrador.
  3. Clique na guia Identidade e acesso .
  4. Ao lado de Grupos, clique em Gerenciar.
  5. Selecione o grupo que deseja visualizar.
  6. Na guia Grupo pai, exiba os grupos pai do seu grupo.

Remover um grupo de um espaço de trabalho usando a página de configurações de administração do espaço de trabalho

Remover um grupo de um espaço de trabalho não exclui o grupo na conta. Quando um grupo é removido de um espaço de trabalho, os membros do grupo não podem mais acessar o espaço de trabalho, no entanto, as permissões são mantidas no grupo. Se o grupo for adicionado posteriormente de volta ao espaço de trabalho, o grupo recuperará suas permissões anteriores.

  1. Como administrador do espaço de trabalho, faça logon no espaço de trabalho do Azure Databricks.
  2. Clique no seu nome de utilizador na barra superior da área de trabalho do Azure Databricks e selecione Definições de Administrador.
  3. Clique na guia Identidade e acesso .
  4. Ao lado de Grupos, clique em Gerenciar.
  5. Selecione o grupo e clique em x Excluir
  6. Clique em Excluir para confirmar.

Gerenciar grupos de contas usando a API

Administradores de conta e administradores de espaço de trabalho e gerentes de grupo podem adicionar, excluir e gerenciar grupos na conta do Azure Databricks usando a API de Grupos de Conta. Os administradores de conta, os administradores de espaço de trabalho e os gerentes de grupo devem invocar a API usando uma URL de ponto de extremidade diferente:

  • Os administradores de conta usam {account-domain}/api/2.0/accounts/{account_id}/scim/v2/o .
  • Os administradores de espaço de trabalho e os gerentes de grupo usam {workspace-domain}/api/2.0/account/scim/v2/o .

Para obter detalhes, consulte a API de grupos de contas.

Atribuir um grupo a um espaço de trabalho usando a API

Os administradores de contas e espaços de trabalho podem usar a API de Atribuição de Espaço de Trabalho para atribuir grupos a espaços de trabalho habilitados para federação de identidades. A API de Atribuição de Espaço de Trabalho tem suporte por meio da conta e dos espaços de trabalho do Azure Databricks.

  • Os administradores de conta usam {account-domain}/api/2.0/accounts/{account_id}/workspaces/{workspace_id}/permissionassignmentso .
  • Os administradores do espaço de trabalho usam {workspace-domain}/api/2.0/preview/permissionassignments/principals/{group_id}o .

Consulte API de atribuição de espaço de trabalho.

Gerenciar funções para um grupo usando a API

Importante

Esta funcionalidade está em Pré-visualização Pública.

Os gerentes de grupos podem gerenciar funções de grupo usando a API de Controle de Acesso de Contas. Os administradores de conta, os administradores de espaço de trabalho e os gerentes de grupo devem invocar a API usando uma URL de ponto de extremidade diferente:

  • Os administradores de conta usam {account-domain}/api/2.0/preview/accounts/{account_id}/access-control/assignable-roleso .
  • Os administradores de espaço de trabalho e os gerentes de grupo usam {workspace-domain}/api/2.0/preview/accounts/access-control/assignable-roleso .

Consulte API de Controle de Acesso à Conta e API de Proxy do Espaço de Trabalho de Controle de Acesso a Contas.