Как ограничить разрешение Azure AD SPN с помощью Databricks?
Здравствуйте, я использую блоки данных, и работа с https://docs.databricks.com/api/workspace/statementexecution Я использую оператор SQL Api с помощью токена Azure ADAP SPN. Я могу успешно выполнить все запросы.
Я хочу ограничить использование этого SPN только для чтения данных. Если я использую какой-либо запрос на удаление или любой запрос, кроме операции чтения, я не хочу разрешать этот SPN. Я также не хочу, чтобы этот SPN выполнял какие-либо операции DML или удалял задание, кластер или задание типа Wearhouse. Я просто хочу, чтобы этот SPN позволял читать данные. Кто-нибудь делал это
строка clientId = «xxx-xxx-x-xxxxxx»; строка clientSecret = "******************"; строка resourcesUrl = "2ff814a6-3304-4ab8-85cb-cd0e6f879c1d"; //Идентификатор ресурса MS для блоков данных ######################################### ConfidentialClientApplicationBuilder .Create(ClientId) .WithClientSecret(ClientSecret ) .WithAuthority(Авторитет) .Build(); это стандартный код Microsoft Learn.microsoft.com/en-us/entra/msal/dotnet/acquiring-tokens/…
Ответы 1
Вы можете ограничить субъект-службу для выполнения SQL-запросов на уровне schema и table.
Чтобы предоставить такое разрешение, выполните следующие действия:
Перейдите в > Каталог > Выберите схему или таблицу > Разрешения > Предоставить.
После нажатия на «Предоставить» вы увидите окно ниже.
Здесь найдите ранее добавленного субъекта-службы и предоставьте только разрешение select.
Это ограничивает субъект-службу доступом к объекту только для чтения.
Можем ли мы сделать это с помощью вызова API, а не вручную? установка разрешения на схему или таблицу
проверьте это docs.databricks.com/api/workspace/grants/update
Благодарю вас за эту информацию. и можно ли использовать управление идентификацией пользователя вместо SPN? Learn.microsoft.com/en-us/azure/databricks/dev-tools/auth/…
Да, вы можете использовать. При добавлении управляемого удостоверения в рабочую область вы предоставляете приложению Id ваше удостоверение, управляемое пользователем.
Идет тестирование реализации, так что просто ждем результата]t
надеюсь, это сработало для вас.
Как у вас дела с генерацией токена? пожалуйста, добавьте эти детали.