Azure Databricks中Delta Lake视图权限配置方案咨询

1. 按客户分组管理用户 #

为每个客户创建独立的工作区用户组（比如CustomerA_Group、CustomerB_Group），将对应的AAD来宾用户添加到对应组中，后续权限直接批量分配给组，简化管理流程。

2. 工作区层级权限配置 #

• 工作区访问权限：确认通过SCIM同步的来宾用户已拥有工作区访问权限（默认同步后自动生效，若异常可在Admin Settings → Users中检查用户状态）。
• SQL仓库创建权限：进入Admin Settings → SQL Warehouses → Permissions，给每个客户组分配Create权限，组内用户即可创建专属SQL仓库。

3. 数据对象层级权限配置 #

• 底层Delta表权限控制：移除所有客户组对基础Delta Lake表的任何权限，仅保留给数据维护人员或管理员，避免客户直接访问原始数据。
• 客户视图权限分配：在Data Explorer中找到对应客户的视图，进入其Permissions设置，给该客户的专属组分配SELECT权限，确保该组仅能查询自己对应的视图。

  前提：视图需预先通过行级/列级过滤（比如WHERE customer_id = 'A'）确保仅返回对应客户的数据，实现数据逻辑隔离。

4. 可选：隐藏未授权对象 #

在Admin Settings → Data Access Control中开启Hide objects from unauthorised users功能，客户登录后，Data Explorer仅显示其有权限访问的视图，看不到其他未授权的视图和底层Delta表，强化数据隔离效果。

内容的提问来源于stack exchange，提问作者ZZZSharePoint