Csoportok kezelése

Ez a cikk bemutatja, hogyan hozhatják létre és kezelhetik a rendszergazdák az Azure Databricks-csoportokat. Az Azure Databricks identitásmodelljének áttekintéséért tekintse meg az Azure Databricks-identitásokat.

A csoportok hozzáférésének kezelésével kapcsolatban lásd : Hitelesítés és hozzáférés-vezérlés.

A csoportkezelés áttekintése

A csoportok egyszerűbbé teszik az identitáskezelést azáltal, hogy egyszerűbbé teszik a munkaterületekhez, adatokhoz és más biztonságos objektumokhoz való hozzáférést. Minden Databricks-identitás csoporttagként rendelhető hozzá.

Csoportok típusai az Azure Databricksben

Az Azure Databricks négy csoporttípusból áll, amelyek a forrásuk alapján vannak kategorizálva:

• A fiókcsoportok hozzáférést kaphatnak egy Unity Catalog-metaadattár adataihoz, szerepköröket adhatnak a szolgáltatásnevekhez és csoportokhoz, valamint engedélyeket adhatnak az identitásösszetett munkaterületekhez.

• munkaterület helyi csoportjai örökölt csoportok, amelyek csak a létrehozott munkaterület kontextusában használhatók. Ezek a csoportok nem rendelhetők hozzá további munkaterületekhez, nem férhetnek hozzá a Unity Catalog metaadattárában lévő adatokhoz, és nem adhatnak fiókszintű szerepköröket. A Databricks azt javasolja, hogy a meglévő munkaterület-helyi csoportokat fiókcsoportokká alakítsa. A munkaterület-helyi csoportokról további információt a Munkaterület-helyi csoportok kezelése (örökölt) című témakörben talál.

• külső csoportok olyan csoportok, amelyek a Microsoft Entra ID-ból az Azure Databricksben jönnek létre. Ezek a csoportok SCIM provisioning csatlakozóval jönnek létre, és szinkronban maradnak a Microsoft Entra ID-vel. Alapértelmezés szerint a külső csoporttagság nem frissíthető az Azure Databricks-fiókkonzolról vagy a munkaterület rendszergazdai beállításairól. A külső csoportok fiókcsoportoknak számítanak.

  Feljegyzés

  Ha frissíteni szeretné a külső csoporttagságot az Azure Databricks felhasználói felületén, a fiókadminisztrátor letilthatja az Immutable külső csoportok előzetes verziót a fiókkonzol előzetes lapján.

• rendszercsoportokat az Azure Databricks hozza létre és tartja karban. Minden fiókhoz tartozik egy account usersnevű fiókrendszercsoport, amely az összes felhasználót tartalmazza. Minden munkaterületen két munkaterületszintű rendszercsoport található: users és admins. A munkaterület minden tagja a users csoporthoz tartozik, és a munkaterület rendszergazdái szintén a admins csoport tagjai. A rendszercsoportok nem törölhetők.

Az Azure-ban beépített közreműködői vagy tulajdonosi szerepkörrel rendelkező felhasználók automatikusan hozzá lesznek rendelve a munkaterület admins csoporthoz. További információ: Előfizetés kezelése.

Ki kezelheti a fiókcsoportokat?

Ha fiókcsoportokat szeretne létrehozni az Azure Databricksben, fiókadminisztrátornak vagy munkaterület-rendszergazdának kell lennie. Fiókcsoport létrehozásához a munkaterület rendszergazdáinak identitás által összevont munkaterületeken kell lenniük.

A fiókcsoportok Azure Databricksben való kezeléséhez csoportmenedzseri szerepkörrel (nyilvános előzetes verzió) kell rendelkeznie egy csoportban. A csoportkezelők kezelhetik a csoporttagságokat, és törölhetik a csoportot. Más felhasználókat is hozzárendelhetnek a csoportkezelői szerepkörhöz. A fiókadminisztrátor a fiókkonzolon keresztül kezelheti a csoportszerepköröket, a munkaterület rendszergazdái pedig a csoportszerepköröket a munkaterület rendszergazdai beállításainak lapján kezelhetik. Azok a csoportmenedzserek, amelyek nem munkaterület-rendszergazdák, a fiókhozzáférés-vezérlési API-val kezelhetik a csoportszerepköröket.

A fiókadminisztrátor fiókszintű csoportkezelői szerepkörrel rendelkezik, ami azt jelenti, hogy a fiók összes csoportjában csoportkezelői szerepkörrel rendelkeznek. A munkaterület-rendszergazdák csoportkezelői szerepkörrel rendelkeznek az általuk létrehozott fiókcsoportokban.

A munkaterület rendszergazdái munkaterület-helyi csoportokat is létrehozhatnak és kezelhetnek.

Csoportok szinkronizálása Az Azure Databricks-fiókhoz a Microsoft Entra ID-bérlőből

Automatikusan vagy SCIM-provisionálási összekötő használatával szinkronizálhat csoportokat a Microsoft Entra ID-bérlőjéről az Azure Databricks-fiókjába.

Automatikus identitáskezelés (nyilvános előzetes verzió) lehetővé teszi, hogy felhasználókat, szolgáltatásneveket és csoportokat vegyen fel a Microsoft Entra ID-ból az Azure Databricksbe anélkül, hogy konfigurálnia kell egy alkalmazást a Microsoft Entra-azonosítóban. A Databricks a Microsoft Entra ID azonosítót használja a rekord forrásaként, így a felhasználók vagy csoporttagságok módosításait az Azure Databricks tiszteletben tartja. Ez az előzetes verzió támogatja a beágyazott csoportokat. További információ: Felhasználók és csoportok automatikus szinkronizálása a Microsoft Entra-azonosítóból.

.. megjegyzés:: Az automatikus identitáskezelési nyilvános előzetes verzióban a beágyazott csoportok nem szerepelnek az Azure Databricks felhasználói felületén. Lásd a nyilvános előzetes verziós automatikus identitáskezelési felhasználói felület korlátozásait.

A SCIM kiépítés lehetővé teszi, hogy konfiguráljon egy vállalati alkalmazást a Microsoft Entra ID-ban, hogy a felhasználók és csoportok szinkronban legyenek a Microsoft Entra ID-val. Az SCIM kiépítése nem támogatja a beágyazott csoportokat. Útmutatásért lásd: Felhasználók és csoportok szinkronizálása a Microsoft Entra ID-ból SCIMhasználatával.

Fiókcsoportok kezelése a fiókkonzol használatával

A fiókgazdák a fiókkonzol használatával adhatnak hozzá és kezelhetnek csoportokat az Azure Databricks-fiókban. A munkaterület rendszergazdái és a csoportmenedzserek a munkaterület beállításai és a Databricks API-k segítségével kezelhetik a csoportokat. Lásd: Fiókcsoportok kezelése a munkaterület rendszergazdai beállításainak lapján , valamint fiókcsoportok kezelése az API használatával.

Csoportok hozzáadása fiókjához a fiókkonzol használatával

Ha csoportokat szeretne hozzáadni a fiókhoz a fiókkonzol használatával, tegye a következőket:

1. Fiókadminisztrátorként jelentkezzen be a fiókkonzolra.
2. Az oldalsávon kattintson a Felhasználókezelés elemre.
3. A Csoportok lapon kattintson a Csoport hozzáadása elemre.
4. Adja meg a csoport nevét.
5. Kattintson a Megerősítés gombra.
6. Amikor a rendszer kéri, adjon hozzá felhasználókat, szolgáltatásneveket és csoportokat a csoporthoz.

Tagok hozzáadása csoporthoz a fiókkonzol használatával

Ha a külső csoportokat szinkronizálni szeretné a Microsoft Entra-azonosítóval, alapértelmezés szerint nem kezelheti a külső csoportok tagságát a fiókkonzolon. Ha felhasználókat, szolgáltatásneveket és csoportokat szeretne hozzáadni egy csoporthoz a fiókkonzol használatával, tegye a következőket:

1. Fiókadminisztrátorként jelentkezzen be a fiókkonzolra.
2. Az oldalsávon kattintson a Felhasználókezelés elemre.
3. A Csoportok lapon válassza ki a frissíteni kívánt csoportot.
4. Kattintson a Tagok hozzáadása elemre.
5. Keresse meg a hozzáadni kívánt felhasználót, csoportot vagy szolgáltatásnevet, és jelölje ki.
6. Kattintson a Hozzáadás gombra.

A csoport fiókból való frissítése és a munkaterületeken frissített csoport között néhány perc késés van.

Szerepkörök kezelése csoporton a fiókkonzol használatával

A fiókgazdák szerepköröket adhatnak a fiókkonzol fiókcsoportjaihoz.

1. Fiókadminisztrátorként jelentkezzen be a fiókkonzolra.
2. Az oldalsávon kattintson a Felhasználókezelés elemre.
3. A Csoportok lapon keresse meg és kattintson a csoport nevére.
4. Kattintson az Engedélyek fülre .
5. Kattintson a Hozzáférés engedélyezésegombra.
6. Keresse meg és jelölje ki a felhasználót, a szolgáltatásnevet vagy a csoportot, majd válassza ki a Csoport: Felettes szerepkört.
7. Kattintson a Mentés gombra.

Csoport nevének módosítása

Ha a külső csoportokat szinkronizálni szeretné a Microsoft Entra-azonosítóval, alapértelmezés szerint nem módosíthatja a külső csoportok nevét a fiókkonzolon. A fiókgazdák a fiókkonzol használatával frissíthetik a fiókcsoportok nevét:

1. Fiókadminisztrátorként jelentkezzen be a fiókkonzolra.
2. Az oldalsávon kattintson a Felhasználókezelés elemre.
3. A Csoportok lapon válassza ki a frissíteni kívánt csoportot.
4. Kattintson a Csoportadatok elemre.
5. A Név területen frissítse a nevet.
6. Kattintson a Mentés gombra.

A csoportkezelők nem módosíthatják a csoport nevét a fiókkonzol használatával. Ehelyett használja a Fiókcsoportok API-t. Példa:

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.1/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": [ "urn:ietf:params:scim:api:messages:2.0:PatchOp" ],
  "Operations": [
    {
      {
          "op": "replace",
          "path": "displayName",
          "value": "<updated-name>"
      }
    }
  ]
}

Az Account Groups API-val való hitelesítésről további információt Az Azure Databricks-erőforrásokhoz való hozzáférés engedélyezésecímű témakörben talál.

Csoport hozzárendelése munkaterülethez a fiókkonzol használatával

Ha csoportokat szeretne hozzáadni egy munkaterülethez a fiókkonzol használatával, engedélyezni kell a munkaterületet az identitás-összevonáshoz. Csak a fiókcsoportok rendelhetők hozzá a munkaterületekhez.

1. Fiókadminisztrátorként jelentkezzen be a fiókkonzolra.
2. Az oldalsávon kattintson a Munkaterületek elemre.
3. Kattintson a munkaterület nevére.
4. A Permissions (Engedélyek) lapon kattintson az Add permissions (Engedélyek hozzáadása) lehetőségre.
5. Keresse meg és jelölje ki a csoportot, rendelje hozzá az engedélyszintet (munkaterület felhasználója vagy rendszergazdája), majd kattintson a Mentés gombra.

Csoport eltávolítása munkaterületről a fiókkonzol használatával

Ha csoportokat szeretne eltávolítani egy munkaterületről a fiókkonzol használatával, engedélyezni kell a munkaterületet az identitás-összevonáshoz. A fiókkonzol használatával csak a fiókcsoportok távolíthatók el a munkaterületekről.

Amikor eltávolít egy fiókcsoportot egy munkaterületről, a csoporttagok már nem férhetnek hozzá a munkaterülethez, de az engedélyek megmaradnak a csoporton. Ha a csoport később visszakerül egy munkaterületre, a csoport visszanyeri a korábbi engedélyeit.

1. Fiókadminisztrátorként jelentkezzen be a fiókkonzolra.
2. Az oldalsávon kattintson a Munkaterületek elemre.
3. Kattintson a munkaterület nevére.
4. Az Engedélyek lapon keresse meg a csoportot.
5. Kattintson a csoportsor jobb szélén található kebab menüre, és válassza az Eltávolítás lehetőséget.
6. A megerősítést kérő párbeszédpanelen kattintson a eltávolítása elemre.

Fiókadminisztrátori szerepkörök hozzárendelése csoporthoz

A fiókkonzol használatával nem rendelheti hozzá a fiókadminisztrátori vagy piactéri rendszergazdai szerepkört egy csoporthoz, de a Fiókcsoportok API-val hozzárendelheti a csoportokhoz. Példa:

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.1/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": [ "urn:ietf:params:scim:api:messages:2.0:PatchOp" ],
  "Operations": [
    {
      "op": "add",
      "path": "roles",
      "value": [
        {
          "value": "account_admin"
        }
      ]
    }
  ]
}

Az Account Groups API-val való hitelesítésről további információt Az Azure Databricks-erőforrásokhoz való hozzáférés engedélyezésecímű témakörben talál.

Csoportok eltávolítása az Azure Databricks-fiókból

A fiókadminisztrátor eltávolíthat csoportokat egy Azure Databricks-fiókból. A csoportkezelők a Fiókcsoportok API használatával is eltávolíthatnak csoportokat a fiókból. Lásd: Fiókcsoportok kezelése az API használatával.

Ha el szeretne távolítani egy csoportot a fiókkonzol használatával, tegye a következőket:

1. Fiókadminisztrátorként jelentkezzen be a fiókkonzolra.
2. Az oldalsávon kattintson a Felhasználókezelés elemre.
3. A Csoportok lapon keresse meg az eltávolítani kívánt csoportot.
4. Kattintson a felhasználósor jobb szélén található kebab menüre, és válassza a Törlés lehetőségetKebab menu.
5. A megerősítést kérő párbeszédpanelen kattintson a Törlés megerősítése gombra.

Ha a fiókkonzol használatával távolít el egy csoportot, győződjön meg arról, hogy a csoportot a fiókhoz beállított SCIM-kiépítési összekötőkkel vagy SCIM API-alkalmazásokkal is eltávolítja. Ha nem, az SCIM kiépítése egyszerűen hozzáadja a csoportot és annak tagjait a következő szinkronizáláskor. Lásd: Felhasználók és csoportok szinkronizálása a Microsoft Entra-azonosítóból SCIMhasználatával.

Ha el szeretne távolítani egy csoportot egy Azure Databricks-fiókból az API használatával, olvassa el a Felhasználók és csoportok szinkronizálása az Azure Databricks-fiókhoz és a Fiókcsoportok API-hoz című témakört.

Fiókcsoportok kezelése a munkaterület rendszergazdai beállításainak lapjával

A munkaterület rendszergazdái fiókcsoportokat hozhatnak létre és kezelhetnek identitásfedezett munkaterületeken a munkaterület rendszergazdai beállításainak lapján.

A munkaterületek helyi csoportjainak létrehozásáról további információt a munkaterület-helyi csoportok kezelése (örökölt) című témakörben talál.

Csoport létrehozása vagy hozzárendelése munkaterülethez a munkaterület rendszergazdai beállításainak lapjával

Ha fiókcsoportot szeretne hozzárendelni vagy létrehozni egy munkaterületen a munkaterület rendszergazdai beállítások lapján, tegye a következőket:

1. Munkaterület-rendszergazdaként jelentkezzen be az Azure Databricks-munkaterületre.

2. Kattintson a felhasználónevére az Azure Databricks-munkaterület felső sávjában, és válassza a Beállításoklehetőséget.

3. Kattintson az Identitás és hozzáférés lapra.

4. A Csoportok elem mellett kattintson a Kezelés gombra.

5. Kattintson a Csoport hozzáadása elemre.

6. Válasszon ki egy meglévő csoportot a munkaterülethez való hozzárendeléshez, vagy kattintson az Új hozzáadása gombra egy új fiókcsoport létrehozásához.

   Feljegyzés

   Ha a munkaterület nincs engedélyezve az identitás-összevonáshoz, nem rendelhet hozzá meglévő fiókcsoportokat, és nem adhat hozzá fiókcsoportokat a munkaterülethez. Ehelyett munkaterület-helyi csoportokat kell használnia, lásd: Munkaterület-helyi csoportok kezelése (örökölt).

Tagok hozzáadása csoporthoz a munkaterület rendszergazdai beállításainak lapjával

A munkaterület rendszergazdájának kell lennie ahhoz, hogy felhasználókat, szolgáltatásneveket és csoportokat vegyen fel egy fiókcsoportba a munkaterület rendszergazdai beállítások lapján. Csak olyan csoporttagokat kezelhet, amelyeken a csoportkezelői szerepkörrel rendelkezik. Ha a külső csoportokat szinkronizálni szeretné a Microsoft Entra-azonosítóval, alapértelmezés szerint nem kezelheti a külső csoportok tagságát a munkaterület rendszergazdai beállításainak lapján.

1. Munkaterület-rendszergazdaként jelentkezzen be az Azure Databricks-munkaterületre.
2. Kattintson a felhasználónevére az Azure Databricks-munkaterület felső sávjában, és válassza a Beállításoklehetőséget.
3. Kattintson az Identitás és hozzáférés lapra.
4. A Csoportok elem mellett kattintson a Kezelés gombra.
5. Jelölje ki a frissíteni kívánt csoportot. A frissítéshez rendelkeznie kell a csoportmenedzseri szerepkörrel.
6. A Tagok lapon kattintson a Tagok hozzáadása elemre.
7. A párbeszédpanelen tallózzon vagy keressen rá a hozzáadni kívánt felhasználókra, szolgáltatásnevekre és csoportokra, és jelölje ki őket.
8. Kattintson a Megerősítés gombra.

Szerepkörök kezelése egy fiókcsoportban a munkaterület rendszergazdai beállításainak lapjával

A csoportkezelői szerepkört hozzárendelheti a felhasználókhoz, fiókcsoportokhoz és szolgáltatásnevekhez. A csoportkezelők kezelhetik a csoporttagságokat. A csoportmenedzseri szerepkört más felhasználókhoz is hozzárendelhetik.

A csoportszerepkörök a munkaterület rendszergazdai beállítások lapján történő kezeléséhez munkaterület-rendszergazdának kell lennie. Azok a csoportmenedzserek, amelyek nem munkaterület-rendszergazdák, a fiókhozzáférés-vezérlési API használatával kezelhetik a csoportszerepköröket.

1. Munkaterület-rendszergazdaként jelentkezzen be az Azure Databricks-munkaterületre.

2. Kattintson a felhasználónevére az Azure Databricks-munkaterület felső sávjában, és válassza a Beállításoklehetőséget.

3. Kattintson az Identitás és hozzáférés lapra.

4. A Csoportok elem mellett kattintson a Kezelés gombra.

5. Jelölje ki a frissíteni kívánt csoportot. A frissítéshez rendelkeznie kell a csoportmenedzseri szerepkörrel.

6. Kattintson az Engedélyek fülre .

7. Kattintson a Hozzáférés engedélyezésegombra.

8. Keresse meg és jelölje ki a felhasználót, a szolgáltatásnevet vagy a csoportot, majd válassza ki a Csoport: Felettes szerepkört.

   Feljegyzés

   A fiókcsoportokhoz nem rendelhet hozzá munkaterület-helyi csoportokat vagy rendszercsoportszerepköröket.

9. Kattintson a Mentés gombra.

Szülőcsoportok megtekintése

1. Munkaterület-rendszergazdaként jelentkezzen be az Azure Databricks-munkaterületre.
2. Kattintson a felhasználónevére az Azure Databricks-munkaterület felső sávjában, és válassza a Beállításoklehetőséget.
3. Kattintson az Identitás és hozzáférés lapra.
4. A Csoportok elem mellett kattintson a Kezelés gombra.
5. Jelölje ki a megtekinteni kívánt csoportot.
6. A Szülőcsoport lapon tekintse meg a csoport szülőcsoportját.

Csoport eltávolítása egy munkaterületről a munkaterület rendszergazdai beállításainak lapjával

A csoport munkaterületről való eltávolítása nem törli a csoportot a fiókból. Amikor eltávolít egy csoportot egy munkaterületről, a csoporttagok már nem férhetnek hozzá a munkaterülethez, de az engedélyek megmaradnak a csoporton. Ha a csoport később visszakerül a munkaterületre, a csoport visszanyeri korábbi engedélyeit.

1. Munkaterület-rendszergazdaként jelentkezzen be az Azure Databricks-munkaterületre.
2. Kattintson a felhasználónevére az Azure Databricks-munkaterület felső sávjában, és válassza a Beállításoklehetőséget.
3. Kattintson az Identitás és hozzáférés lapra.
4. A Csoportok elem mellett kattintson a Kezelés gombra.
5. Jelölje ki a csoportot, és kattintson az x Törlés gombra
6. A megerősítéshez kattintson a Törlés gombra.

Fiókcsoportok kezelése az API használatával

A fiókadminisztrátorok, a munkaterület rendszergazdái és a csoportmenedzserek az Azure Databricks-fiókban a Fiókcsoportok API használatával adhatnak hozzá, törölhetnek és kezelhetnek csoportokat. A fiókadminisztrátoroknak, a munkaterület rendszergazdáinak és a csoportmenedzsereknek egy másik végponti URL-cím használatával kell meghívniuk az API-t:

• Fiókadminisztrátorokat használnak {account-domain}/api/2.1/accounts/{account_id}/scim/v2/.
• A munkaterület rendszergazdái és a csoportmenedzserek használják {workspace-domain}/api/2.0/account/scim/v2/.

További részletekért tekintse meg a Fiókcsoportok API-t.

Csoport hozzárendelése munkaterülethez az API használatával

A fiók- és munkaterület-rendszergazdák a Munkaterület-hozzárendelés API-val csoportokat rendelhetnek az identitás-összevonáshoz engedélyezett munkaterületekhez. A munkaterület-hozzárendelési API az Azure Databricks-fiókon és -munkaterületeken keresztül támogatott.

• Fiókadminisztrátorokat használnak {account-domain}/api/2.1/accounts/{account_id}/workspaces/{workspace_id}/permissionassignments.
• A munkaterület rendszergazdái ezt használják {workspace-domain}/api/2.0/preview/permissionassignments/principals/{group_id}.

Lásd: Munkaterület-hozzárendelési API.

Csoportok szerepköreinek kezelése az API használatával

A csoportkezelők a fiókhozzáférés-vezérlési API-val kezelhetik a csoportszerepköröket. A fiókadminisztrátoroknak, a munkaterület rendszergazdáinak és a csoportmenedzsereknek egy másik végponti URL-cím használatával kell meghívniuk az API-t:

• Fiókadminisztrátorokat használnak {account-domain}/api/2.0/preview/accounts/{account_id}/access-control/assignable-roles.
• A munkaterület rendszergazdái és a csoportmenedzserek használják {workspace-domain}/api/2.0/preview/accounts/access-control/assignable-roles.

Lásd: Fiókhozzáférés-vezérlési API és fiókok hozzáférés-vezérlési munkaterületének proxy API-ja.