需要的权限

对于每个工作空间，Databricks都会创建一个服务帐户，该帐户具有创建和管理工作空间所需的最低权限。您的谷歌OAuth标识将用于向项目上的服务帐户授予权限。你所要做的就是点击好吧在标准OAuth对话框中。创建工作空间的Databricks帐户admin必须对创建工作空间时指定的项目具有正确的权限。

如果您计划创建工作区，请确保以下其中之一适用于您:

您是在工作空间创建期间指定的谷歌Cloud项目的项目所有者。
您是在工作空间创建期间指定的谷歌Cloud项目的项目编辑器和IAM管理员。

Databricks授予服务帐户的项目权限集包括与以下角色关联的权限:

Kubernetes管理员(内置角色)
计算存储管理员(内置角色)
Databricks在启动工作区时自动创建的自定义角色的权限。

请参阅以下权限列表以及Databricks如何使用每个权限:

最右边的一列指定了Databricks应用程序的一个或多个阶段:

发射:初始启动Databricks工作区时需要。
操作:需要Databricks工作区的一般持续功能。
修复:可能需要修复Databricks工作区。
删除:删除工作空间时需要。

创建工作空间所需的用户权限或服务帐户权限

要创建工作空间，您的帐户必须具有以下谷歌权限，可以是a谷歌账户或者一个服务帐户．

谷歌许可	目的	阶段所需
`iam.roles.create`	创建自定义角色。	发射
`iam.roles.delete`	删除自定义角色。	删除
`iam.roles.get`	获取自定义角色。	发射
`iam.roles.update`	更新自定义角色。	修复
`iam.serviceAccounts.getIamPolicy`	获取IAM策略。	发射
`iam.serviceAccounts.setIamPolicy`	设置IAM policy。	发射
`resourcemanager.projects.get`	从项目ID中获取项目号。	发射
`resourcemanager.projects.getIamPolicy`	获取IAM策略	发射
`resourcemanager.projects.setIamPolicy`	设置IAM策略	发射
`serviceusage.services.get`	验证客户项目是否启用了所需的谷歌云api。	发射
`serviceusage.services.list`	验证客户项目是否启用了所需的谷歌云api。	发射
`serviceusage.services.enable`	如果项目上还没有启用所需的谷歌云api，则启用它们。	发射

Databricks授予服务帐户的自定义角色中的权限

在创建工作空间时，Databricks创建一个服务帐户并授予一个角色与权限Databricks需要管理您的工作空间。

如果您的工作空间使用客户管理的VPC，则不需要那么多权限。Databricks创建的角色省略了网络、路由器、子网等对象的创建、更新、删除等权限。有关完整列表，请参见Databricks授予服务帐户的自定义角色中的权限．

谷歌许可	目的	阶段所需
`compute.globalOperations.get`	GCE中断期间对GCE操作的可见性。	操作
`compute.instanceGroups.get`	全球教育运动故障排除。	操作
`compute.instanceGroups.list`	全球教育运动故障排除。	操作
`compute.instances.get`	全球教育运动故障排除。	操作
`compute.instances.list`	全球教育运动故障排除。	操作
`compute.networks.access`	管理网络资源。	操作
`compute.networks.create`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	发射
`compute.networks.delete`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	删除
`compute.networks.get`	管理网络资源。	启动、操作
`compute.networks.getEffectiveFirewalls`	管理网络资源。	操作
`compute.networks.update`	管理网络资源。	修复
`compute.networks.updatePolicy`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	修复
`compute.networks.use`	管理网络资源。	操作
`compute.networks.useExternalIp`	管理网络资源。	发射
`compute.regionOperations.get`	GCE中断期间对GCE操作的可见性。	操作
`compute.routers.create`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	发射
`compute.routers.delete`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	删除
`compute.routers.get`	管理网络资源。	操作
`compute.routers.update`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	修复
`compute.routers.use`	管理网络资源。	操作
`compute.subnetworks.create`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	发射
`compute.subnetworks.delete`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	删除
`compute.subnetworks.expandIpCidrRange`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	修复
`compute.subnetworks.get`	管理网络资源。	操作
`compute.subnetworks.getIamPolicy`	管理网络资源。	修复
`compute.subnetworks.setIamPolicy`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	发射
`compute.subnetworks.setPrivateIpGoogleAccess`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	发射
`compute.subnetworks.update`	管理网络资源。如果你使用customer-managed VPC，此权限为不在Databricks授予服务帐户的自定义角色中。	修复
`compute.subnetworks.use`	管理网络资源。	操作
`compute.subnetworks.useExternalIp`	管理网络资源。	发射
`container.clusterRoleBindings.create`	管理GKE集群。	操作
`container.clusterRoleBindings.get`	管理GKE集群。	操作
`container.clusterRoles.bind`	管理GKE集群。	操作
`container.clusterRoles.create`	管理GKE集群。	操作
`container.clusterRoles.get`	管理GKE集群。	操作
`container.clusters.create`	管理GKE集群。	操作
`container.clusters.delete`	管理GKE集群。	操作
`container.clusters.get`	管理GKE集群。	操作
`container.clusters.getCredentials`	管理GKE集群。	操作
`container.clusters.list`	管理GKE集群。	操作
`container.clusters.update`	管理GKE集群。	操作
`container.configMaps.create`	管理GKE集群。	操作
`container.configMaps.get`	管理GKE集群。	操作
`container.configMaps.update`	管理GKE集群。	操作
`container.customResourceDefinitions.create`	管理GKE集群。	操作
`container.customResourceDefinitions.get`	管理GKE集群。	操作
`container.customResourceDefinitions.update`	管理GKE集群。	操作
`container.daemonSets.create`	管理GKE集群。	操作
`container.daemonSets.get`	管理GKE集群。	操作
`container.daemonSets.update`	管理GKE集群。	操作
`container.deployments.create`	管理GKE集群。	操作
`container.deployments.get`	管理GKE集群。	操作
`container.deployments.update`	管理GKE集群。	操作
`container.jobs.create`	管理GKE集群。	操作
`container.jobs.get`	管理GKE集群。	操作
`container.jobs.update`	管理GKE集群。	操作
`container.namespaces.create`	管理GKE集群。	操作
`container.namespaces.get`	管理GKE集群。	操作
`container.namespaces.list`	管理GKE集群。	操作
`container.operations.get`	管理GKE集群。	操作
`container.pods.get`	管理GKE集群。	操作
`container.pods.getLogs`	管理GKE集群。	操作
`container.pods.list`	管理GKE集群。	操作
`container.roleBindings.create`	管理GKE集群。	操作
`container.roleBindings.get`	管理GKE集群。	操作
`container.roles.bind`	管理GKE集群。	操作
`container.roles.create`	管理GKE集群。	操作
`container.roles.get`	管理GKE集群。	操作
`container.secrets.create`	管理GKE集群。	操作
`container.secrets.get`	管理GKE集群。	操作
`container.secrets.update`	管理GKE集群。	操作
`container.serviceAccounts.create`	管理GKE集群。	操作
`container.serviceAccounts.get`	管理GKE集群。	操作
`container.services.create`	管理GKE集群。	操作
`container.services.get`	管理GKE集群。	操作
`container.thirdPartyObjects.create`	管理GKE集群。	操作
`container.thirdPartyObjects.delete`	管理GKE集群。	操作
`container.thirdPartyObjects.get`	管理GKE集群。	操作
`container.thirdPartyObjects.list`	管理GKE集群。	操作
`container.thirdPartyObjects.update`	管理GKE集群。	操作
`iam.serviceAccounts.getIamPolicy`	检查谷歌服务帐号或绑定集群。	操作
`iam.serviceAccounts.setIamPolicy`	检查谷歌服务帐号或绑定集群。	操作
`resourcemanager.projects.get`	将客户项目ID转换为项目号。	启动、操作
`resourcemanager.projects.getIamPolicy`	检查项目IAM policy配置是否正确。	发射
`storage.buckets.create`	实现DBFS、内部构件和日志记录。	发射
`storage.buckets.delete`	实现DBFS、内部构件和日志记录。	删除
`storage.buckets.get`	实现DBFS、内部构件和日志记录。	操作
`storage.buckets.getIamPolicy`	实现DBFS、内部构件和日志记录。	操作
`storage.buckets.list`	实现DBFS、内部构件和日志记录。	操作
`storage.buckets.setIamPolicy`	实现DBFS、内部构件和日志记录。	修复
`storage.buckets.update`	实现DBFS、内部构件和日志记录。	操作
`storage.hmacKeys.create`	实现DBFS、内部构件和日志记录。	发射
`storage.hmacKeys.delete`	实现DBFS、内部构件和日志记录。	删除
`storage.hmacKeys.get`	实现DBFS、内部构件和日志记录。	操作
`storage.hmacKeys.list`	实现DBFS、内部构件和日志记录。	操作
`storage.hmacKeys.update`	实现DBFS、内部构件和日志记录。	操作
`storage.objects.create`	实现DBFS、内部构件和日志记录。	启动、操作
`storage.objects.delete`	实现DBFS、内部构件和日志记录。	操作
`storage.objects.get`	实现DBFS、内部构件和日志记录。	操作
`storage.objects.getIamPolicy`	实现DBFS、内部构件和日志记录。	操作
`storage.objects.list`	实现DBFS、内部构件和日志记录。	操作
`storage.objects.setIamPolicy`	实现DBFS、内部构件和日志记录。	发射
`storage.objects.update`	实现DBFS、内部构件和日志记录。	操作