Databricks 实战:OAuth 自定义 claims 实现多租户 Genie 数据隔离
Wise_Ear_4064 · reddit · 2026-11-05
一位 Databricks SA 分享客户案例:终端用户只登录客户自己的应用/IdP,却要通过 Genie Agent 和 SQL 查询共享表,且只能看到本租户数据。
备选方案的问题:
- 每个终端用户开一个 Databricks 用户——量大不可行
- 每租户一个 service principal——数量失控
- 应用层过滤——怕有人直连仓库绕过
最终方案:用 OAuth 自定义 identity claims——应用为共享 SP 签发 token 并写入 customclaim=storeid,再用动态视图或 ABAC 策略基于 currentoauthcustomidentityclaim() 过滤。200 个门店用户共用一个 SP,查询自动按门店隔离。
关键坑:Genie 场景要用 ABAC 而不是 claim 过滤视图——视图一直过滤会让搭 agent 的人看到 0 行,ABAC 可只对 SP 生效,作者仍能看到全表。
「编程与Agent」频道最新
- 2026 年 Go 语言五大 GenAI 框架实测横评 — rseroter · 2026-11-05
- 如何让云端 AI Agent 访问客户内网工具?开发者征集生产实践 — JoleneAtCynapsa · 2026-11-05
- 《面向面向对象程序员的 Elixir 终极指南》开放在线阅读并配 AI 导师 — burkov · 2026-11-05
- Claude 目录5周带来2.4万用户，MCP 开发者：先上 Claude 再上 ChatGPT — ElevatorFriendly648 · 2026-11-05
- 用户抱怨 OpenAI Sol 6.1 近乎「四分之一速度」，连日卡慢 — ruslansv · 2026-11-05
- RL 智能体在德州电网交易实验中赚 8.5 万美元，4 倍于真人运营商 — xeophon · 2026-11-05