Restringir administradores do workspace

Este artigo explica como os administradores de conta podem usar a configuração RestrictWorkspaceAdmins para limitar as permissões dos administradores do espaço de trabalho em relação a trabalhos, consultas, alertas herdados e painéis herdados.

Permissões padrão

Sem habilitar a configuração RestrictWorkspaceAdmins, os administradores do espaço de trabalho têm as seguintes permissões:

• Pode alterar o proprietário de tarefa para qualquer usuário ou entidade de serviço em seu espaço de trabalho.
• Pode atualizar a configuração Executar como de um trabalho para qualquer usuário em seu espaço de trabalho ou para qualquer principal de serviço onde ele tenha a função Service Principal User.
• Pode alterar um proprietário de consulta para qualquer usuário em seu espaço de trabalho.
• Pode alterar um proprietário de alerta herdado para qualquer usuário em seu ambiente de trabalho.
• Pode transferir um proprietário de painel herdado para qualquer usuário em seu espaço de trabalho.

Permissões restritas

Depois de habilitar a configuração, os RestrictWorkspaceAdmins administradores do workspace têm as seguintes permissões:

• Só é possível alterar um trabalho, consulta, alerta herdado ou proprietário do painel herdado para si mesmo.
• Pode atualizar a configuração Executar como de um trabalho para si próprio ou para qualquer entidade de serviço onde possua a função Usuário de Entidade de Serviço.

Habilitar a configuração de restrição

Para habilitar a configuração RestrictWorkspaceAdmins, você deve ser um administrador de conta e deve ser um membro do espaço de trabalho que deseja restringir. O exemplo a seguir usa a CLI do Databricks v0.215.0.

A configuração RestrictWorkspaceAdmins usa um campo etag para garantir a consistência. Para habilitar ou desabilitar a configuração, primeiro emita um GET para receber um etag em resposta. Você pode atualizar a configuração usando o etag. Por exemplo:

databricks settings restrict-workspace-admins get

Exemplo de resposta:

{
  "etag": "<etag>",
  "restrict_workspace_admins": {
    "status": "ALLOW_ALL"
  },
  "setting_name": "default"
}

Copie o campo etag do corpo da resposta e use-o para atualizar a configuração de RestrictWorkspaceAdmins. Por exemplo:

databricks settings restrict-workspace-admins update --json '{
  "setting": {
    "setting_name": "default",
    "restrict_workspace_admins": {
      "status": "RESTRICT_TOKENS_AND_JOB_RUN_AS"
    },
    "etag": "<etag>"
  },
  "allow_missing": true,
  "field_mask": "restrict_workspace_admins.status"
}'

Exemplo de resposta:

{
  "etag": "<response-etag>",
  "restrict_workspace_admins": {
    "status": "RESTRICT_TOKENS_AND_JOB_RUN_AS"
  },
  "setting_name": "default"
}

Para desabilitar o RestrictWorkspaceAdmins defina o status como ALLOW_ALL.

Você também pode usar a API de Restrição de Administradores do Espaço de Trabalho ou o provedor Terraform do Databricks.