Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Databricks Jeton d’accès personnel
Champs de valeurs secrets
Les champs suivants doivent figurer dans le secret du Gestionnaire de Secrets :
{
"token": "dapi followed by 32 hexadecimal characters",
"tokenId": "64-character hexadecimal token ID",
"workspaceUrl": "https://dbc-xxxxxxxx-xxxx.cloud.databricks.com",
"comment": "Comment shown in the token list"
}- jeton
-
Le jeton d'accès Databricks personnel. Secrets Manager fait pivoter ce champ.
- ID du jeton
-
L'identifiant du jeton. Secrets Manager l'utilise pour lire les étendues du jeton actuel et pour révoquer le jeton qu'il remplace.
- URL de l'espace de travail
-
L'URL Databricks de votre espace de travail, par exemple
https://dbc-xxxxxxxx-xxxx.cloud.databricks.com. Fournissez une origine HTTPS pure. Secrets Manager rejette une URL contenant des informations utilisateur, un port, un chemin, une chaîne de requête, un fragment ou une barre oblique. - comment
-
(Facultatif) Le commentaire affiché à côté du jeton dans la liste des Databricks jetons. La longueur maximale est de 255 caractères.
Champs de métadonnées secrets
Les champs de métadonnées du jeton d'accès Databricks personnel sont les suivants :
{ "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksRotatorToken", "tokenLifetimeDays": "90" }
- administrateur SecretArn
-
(Facultatif) Le nom de ressource Amazon (ARN) d'un autre secret de type DataBricksPat qui fait pivoter ce secret. Omettez ce champ pour permettre au jeton de pivoter de lui-même.
- jeton LifetimeDays
-
(Facultatif) Durée de vie de chaque nouveau jeton, en jours. La valeur doit être supérieure à votre intervalle de rotation. Par défaut : 90.
Un administrateur de l'espace de travail peut définir une durée de vie maximale du jeton inférieure à la valeur que vous choisissez ici. Si l'espace de travail maximal est inférieur, la création de jetons échoue et la rotation ne peut pas être effectuée. Vérifiez les paramètres de l'espace de travail avant de choisir une valeur.
Flux d'utilisation
Ce type de rotation prend en charge deux modes. En cas d'autorotation, le jeton pivote tout seul. En rotation assistée, un deuxième jeton du même type le fait pivoter. Dans les deux cas, le jeton de remplacement hérite de la portée du jeton qu'il remplace. La rotation échoue au lieu de créer un jeton avec des privilèges différents lorsque Secrets Manager ne peut pas lire ces étendues.
Vous pouvez créer votre secret à l'aide de l'CreateSecretappel dont la valeur secrète contient les champs mentionnés ci-dessus et dont le type de secret est DataBricksPat. Les configurations de rotation peuvent être définies à l'aide d'un RotateSecretappel. Si vous optez pour la rotation automatique, vous pouvez omettre le champ facultatifadminSecretArn. Vous devez fournir un ARN de rôle dans l'RotateSecretappel qui accorde au service les autorisations requises pour faire pivoter le secret. Pour un exemple de politique d'autorisations, voir Sécurité et autorisations.
Pendant la rotation, Secrets Manager valide le jeton actuel et lit ses champs d'application. Il crée un jeton de remplacement qui a les mêmes portées et stocke le remplacement comme AWSPENDING. Cela confirme que le nouveau jeton est authentifié. Il confirme également que les portées, le propriétaire et le nom workspaceUrl du nouveau jeton correspondent au jeton qu'il remplace. Il révoque ensuite le jeton précédent et promeut AWSPENDING en AWSCURRENT.
Les deux jetons sont authentifiés à partir du moment où Secrets Manager crée le jeton de remplacement jusqu'à ce qu'il révoque le jeton précédent. Une application qui lit le secret pendant cette fenêtre n'est pas interrompue. La révocation elle-même est finalement cohérente, car les décisions d'autorisation sont mises en Databricks cache. Le jeton précédent peut continuer à être accepté pendant une courte période une fois que Secrets Manager l'aura révoqué. Lorsque vous effectuez une rotation en réponse à une compromission présumée des informations d'identification, confirmez Databricks que le jeton n'est plus accepté.
Databricksrévoque un jeton d'accès personnel inutilisé pendant 90 jours. La rotation utilise un jeton de rotation uniquement lorsqu'elle est exécutée. Définissez donc un intervalle de rotation inférieur à 90 jours. Sinon, Databricks révoque le jeton du rotateur pour cause d'inactivité et les rotations ultérieures échouent. Un intervalle de rotation de 30 jours avec une durée de vie par défaut de 90 jours répond aux deux exigences.
Secrets Manager rejette une adresse workspaceUrl qui aboutit à une adresse de boucle, à un lien local ou à une adresse privée. Un espace de travail accessible uniquement via le front-end AWS PrivateLink, avec l'accès public désactivé, n'est donc pas pris en charge pour la rotation des jetons d'accès personnels.
