View a markdown version of this page

Databricks Rahasia Klien Utama Layanan OAuth - AWS Secrets Manager
Bidang Nilai RahasiaBidang Metadata RahasiaAliran Penggunaan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Databricks Rahasia Klien Utama Layanan OAuth

Bidang Nilai Rahasia

Berikut ini adalah bidang-bidang yang harus dimuat dalam rahasia Secrets Manager:

{
  "accountId": "Databricks account UUID",
  "servicePrincipalId": "Numeric service principal ID",
  "clientId": "Service principal application UUID",
  "clientSecret": "dose followed by the secret value",
  "oauthSecretId": "Hexadecimal OAuth secret ID"
}
accountId

ID Databricks akun Anda, yang merupakan UUID.

layanan PrincipalId

ID internal numerik dari kepala layanan. Nilai ini berbeda dari ID aplikasi.

clientId

ID aplikasi dari kepala layanan. Secrets Manager mengirimkannya seperti client_id dalam permintaan OAuth.

ClientSecret

Rahasia klien OAuth saat ini. Secrets Manager memutar bidang ini.

oauth SecretId

DatabricksID rahasia OAuth saat ini. Secrets Manager menggunakannya untuk membaca cakupan rahasia saat ini dan untuk menghapus rahasia yang digantikannya.

Bidang Metadata Rahasia

Berikut ini adalah bidang metadata untuk Databricks Service Principal OAuth Client Secret:

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksAdminServicePrincipal",
  "secretLifetimeDays": "730"
}
admin SecretArn

(Opsional) Nama Sumber Daya Amazon (ARN) dari rahasia lain tipe DatabricksspSecret yang memutar rahasia ini. Abaikan bidang ini untuk membiarkan kepala layanan memutar rahasianya sendiri.

rahasia LifetimeDays

(Opsional) Masa hidup setiap rahasia baru, dalam beberapa hari. Nilai harus lebih besar dari interval rotasi Anda. Maksimal adalah 730. Default: 730.

Aliran Penggunaan

Jenis rotasi ini mendukung dua mode. Dalam rotasi sendiri, kepala layanan memutar rahasianya sendiri. Dalam rotasi berbantuan, kepala layanan kedua memutarnya. Prinsip layanan yang melakukan rotasi membutuhkan account_admin peran, karena titik akhir rahasia OAuth adalah tingkat akun.

Anda dapat membuat rahasia Anda menggunakan CreateSecretpanggilan dengan nilai rahasia yang berisi bidang yang disebutkan di atas dan jenis rahasia sebagai DatabricksspSecret. Konfigurasi rotasi dapat diatur menggunakan RotateSecretpanggilan. Jika Anda memilih rotasi sendiri, Anda dapat menghilangkan bidang opsionaladminSecretArn. Anda harus memberikan peran ARN dalam RotateSecretpanggilan yang memberikan layanan izin yang diperlukan untuk memutar rahasia. Untuk contoh kebijakan izin, lihat Keamanan dan Izin.

Selama rotasi, Secrets Manager meminta token akses menggunakan alur kredensyal klien. Ini menciptakan rahasia pengganti yang membawa cakupan rahasia yang digantikannya dan menyimpan penggantinya sebagai AWSPENDING. Ini menegaskan bahwa rahasia baru mengotentikasi. Kemudian menghapus rahasia sebelumnya dan mempromosikan AWSPENDING ke AWSCURRENT.

Seorang kepala layanan mendukung paling banyak lima rahasia OAuth. Jika kepala layanan sudah memegang lima, Databricks menolak permintaan dan rotasi gagal. Hapus rahasia yang tidak digunakan sebelum Anda memutar lagi.

account_adminPeran yang dibutuhkan tipe ini berbeda dari akses ruang kerja yang dibutuhkan rotasi Token Akses Databricks Pribadi. Hibah tunggal tidak mencakup kedua aliran.