Databricks Notebook运行时自动配置用户作业权限及403错误排查

一、核心问题点 #

你当前的脚本是用来添加用户的，但实际需求是给已有用户配置作业日志查看权限，而且403错误的本质是调用API的令牌权限不足。

二、先解决403错误 #

• 确保令牌拥有足够权限：必须使用Workspace管理员、或拥有jobs.admin/users.admin权限的用户生成的令牌。先确认令牌所属用户能在UI中手动配置作业权限，若UI操作都无法完成，API必然返回403。
• 生成合规令牌路径：Databricks工作区 → 右上角用户头像 → 用户设置 → 访问令牌 → 生成新令牌，勾选匹配需求的权限范围。

三、替换为正确的权限配置脚本 #

你的需求是配置作业日志查看权限，无需再使用用户创建API，直接调用作业权限相关API即可。以下是完整自动化脚本：

import requests
import json

# 替换为你的Databricks工作区地址
databricks_url = "https://<databricks-instance>"
# 替换为有权限的管理员令牌
api_token = "<your-admin-api-token>"

headers = {
    "Authorization": f"Bearer {api_token}",
    "Content-Type": "application/json"
}

def grant_job_log_access(principal_name, principal_type, all_jobs=True, job_id=None):
    """
    给用户/组配置作业日志查看权限
    :param principal_name: 用户名（需用邮箱）/组名
    :param principal_type: "user" 或 "group"
    :param all_jobs: 是否授予所有作业权限（True则无需填写job_id）
    :param job_id: 单个作业ID（仅当all_jobs=False时需要）
    """
    # 选择对应API端点
    if all_jobs:
        endpoint = f"{databricks_url}/api/2.0/permissions/jobs"
    else:
        if not job_id:
            print("请指定要授权的作业ID")
            return
        endpoint = f"{databricks_url}/api/2.0/permissions/jobs/{job_id}"
    
    # VIEW权限已足够查看作业日志和运行记录
    payload = {
        "access_control_list": [
            {
                "principal": principal_name,
                "permission_level": "VIEW",
                "principal_type": principal_type
            }
        ]
    }
    
    response = requests.put(endpoint, headers=headers, data=json.dumps(payload))
    
    if response.status_code == 200:
        print(f"✅ 已成功给{principal_type}「{principal_name}」配置作业日志查看权限")
    else:
        print(f"❌ 权限配置失败，状态码：{response.status_code}")
        print(response.text)

# 示例调用
if __name__ == "__main__":
    # 推荐方案：给业务人员组授予所有作业的日志查看权限（新增人员只需加入组即可）
    grant_job_log_access(principal_name="business-users-group", principal_type="group", all_jobs=True)
    
    # 可选方案：给单个用户授予特定作业的权限
    # grant_job_log_access(principal_name="user1@example.com", principal_type="user", all_jobs=False, job_id=456)

四、实用建议 #

• 优先用用户组管理权限：后续新增业务人员时，只需将用户加入对应组，无需重复运行脚本，大幅减少维护量。
• 若需先添加用户再配置权限，需确保添加用户的令牌拥有users.admin权限；在SSO环境下，用户创建API的password参数可能无效，建议使用SCIM API同步用户。
• 检查工作区的权限策略，比如是否有Azure AD/Okta等身份提供商的限制，避免API操作被拦截。

内容的提问来源于stack exchange，提问作者Tranquil Oshan