AI/BI-dashboards: beveiliging voor elke kijker verbeteren

Samenvatting

Databricks AI/BI-dashboards beveiligen elke kijker met één rechten-tabel en een ondertekend token per datatoegang.

Databricks AI/BI-dashboards krijgen één autorisatiepatroon

Databricks beschrijft een ontwerp voor embedded AI/BI-dashboards waarin één entitlements table bepaalt welke rijen een kijker mag zien. Het ondertekende embedtoken gebruikt daarvoor de waarde __aibi_external_value, zodat een partner bijvoorbeeld alleen de eigen regio ziet.

De applicatie haalt groepen van de interne kijker op met een on-behalf-of-token voordat de backend het embedtoken uitgeeft. IdP-groepen uit bijvoorbeeld Okta of Entra ID vervangen handmatig bijgehouden gebruikerslijsten. Dezelfde regels gelden voor dashboards in een portaal en voor directe SQL-query’s in Databricks.

Waarom dit belangrijk is voor Databricks AI/BI-dashboards

Een dashboard per klant lijkt overzichtelijk, maar kopieën kunnen uit elkaar gaan lopen. Filters in iedere query herhalen verspreidt autorisatielogica over meerdere plekken. Eén rechten-tabel maakt de toegangsregels centraal leesbaar voor vijf verschillende kijkers, van externe partners tot Finance en regionale teams.

De aanpak gebruikt meerdere beveiligingslagen. Het systeem weigert tokens voor kijkers zonder rechten, maskeert gevoelige kolommen en gebruikt Unity Catalog row filters voor directe SQL-toegang. Daarmee blijft de regel voor embedded gebruik ook gelden wanneer iemand buiten het dashboard om een query uitvoert. Databricks presenteert dit nadrukkelijk als een ontwerp voor beveiliging, niet als één schakelaar die je activeert.

Concrete takeaway voor Databricks AI/BI-dashboards

Leg toegangsregels vast in één entitlements table en koppel die aan IdP-groepen. Laat de backend groepen eerst controleren en daarna een beperkt embedtoken maken. Voeg column masks en Unity Catalog row filters toe, zodat dezelfde scheiding ook directe SQL-query’s beschermt.