Azure Databricks 工作区文件夹搭建与权限管理有哪些最佳实践？

1. 文件夹结构规范 #

• 采用三级分层架构：根目录先拆分生产、测试、开发三个完全隔离的根文件夹，生产层下按业务域拆分二级目录，每个业务域下再拆分「notebook脚本」、「作业配置」、「依赖包」、「临时输出」四个三级子目录，彻底避免不同环境、不同业务的资产混放。
• 单独设置全局公共目录：创建公共组件根目录，存放全公司通用的UDF函数、通用数据处理脚本、配置模板，所有业务线仅开放只读权限，避免重复开发冗余代码。
• 限制个人目录使用范围：所有生产相关资产必须存放于对应业务的公共目录下，个人根目录仅允许用于临时调试，上线代码必须迁移到规范路径，避免人员离职后生产资产丢失。

2. 权限管控核心规则 #

• 严格遵循最小权限原则：普通开发人员对生产目录仅授予只读权限，仅生产运维岗位拥有生产目录的编辑/运行权限，生产作业统一使用专用服务主体账号运行，禁止使用个人账号调度生产任务。
• 管控权限继承逻辑：父文件夹权限默认自动继承到子文件夹，无特殊审批不得单独给单个子文件/子文件夹开权限例外，所有权限变更必须留痕可追溯。
• 定期开展权限审计：每季度排查一次所有生产目录的权限配置，清理离职人员账号、过期临时权限，避免出现越权访问漏洞。

注意：生产环境禁止直接在界面修改生产目录下的代码，所有变更必须走CI/CD流水线从代码仓库同步，降低人工误操作风险。

3. 资产生命周期管理规范 #

• 统一命名规则：所有文件夹、notebook、作业的命名统一遵循[业务域]-[功能]-[版本号]格式，例如交易域-用户月消费标签计算-v2.1，可直接通过名称识别资产归属与用途。
• 废弃资产归档管理：单独创建归档根目录，下线的旧版本脚本、废弃作业不得直接删除，统一移动到对应业务的归档子目录，设置6个月保留期，到期后再自动清理，方便故障回溯。

4. 敏感信息与配置隔离规则 #

• 禁止硬编码敏感信息：所有密钥、数据库连接串、访问密钥均不得写在notebook脚本中，统一存储在Azure Key Vault，通过Databricks机密作用域读取，避免敏感信息泄露。
• 代码与配置分离存放：作业调度参数、输入输出路径等可变配置单独存放在配置文件中，和核心代码脚本分目录存放，修改配置无需改动生产代码，降低变更风险。

内容的提问来源于stack exchange，提问作者user961