Restringir administradores do workspace

Por padrão, os administradores do workspace podem alterar um proprietário de trabalho para qualquer usuário ou entidade de serviço em seu workspace. Os administradores do workspace podem alterar a execução do trabalho como configuração para entidades de serviço nas quais têm a função de Usuário da entidade de serviço ou para qualquer usuário em seu workspace.

Os administradores de conta podem definir uma configuração de workspace chamada RestrictWorkspaceAdmins para restringir os administradores do workspace para alterar apenas um proprietário de trabalho para si mesmos e o trabalho executado como configuração para uma entidade de serviço na qual eles têm a função de Usuário da entidade de serviço.

Para habilitar a configuração RestrictWorkspaceAdmins, você deve ser um administrador de conta e deve ser um membro do workspace que deseja restringir. O exemplo a seguir usa a CLI do Databricks v0.215.0.

A RestrictWorkspaceAdmins configuração usa um campo etag para garantir a consistência. Para habilitar ou desabilitar a configuração, primeiro emita um GET para receber uma resposta em etag. Atualize a configuração usando o etag. Por exemplo:

databricks settings restrict-workspace-admins get

Resposta de exemplo:

{
  "etag":"<etag>",
  "restrict_workspace_admins": {
    "status":"ALLOW_ALL"
  },
  "setting_name":"default"
}

Copie o campo etag do corpo da resposta e use-o para atualizar a configuração RestrictWorkspaceAdmins. Por exemplo:

databricks settings restrict-workspace-admins update --json '{
  "setting": {
    "setting_name": "default",
    "restrict_workspace_admins": {
      "status": "RESTRICT_TOKENS_AND_JOB_RUN_AS"
    },
    "etag": "<etag>"
  },
  "allow_missing": true,
  "field_mask": "restrict_workspace_admins.status"
}'

Resposta de exemplo:

{
  "etag":"<response-etag>",
  "restrict_workspace_admins": {
    "status":"RESTRICT_TOKENS_AND_JOB_RUN_AS"
  },
  "setting_name":"default"
}

Para desabilitar o RestrictWorkspaceAdmins status definido como ALLOW_ALL.

Você também pode usar a API de restrição de administradores do workspace ou o provedor Databricks Terraform.