本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
Databricks 個人存取字符
秘密值欄位
以下是必須包含在 Secrets Manager 秘密中的欄位：
{
"token": "dapi followed by 32 hexadecimal characters",
"tokenId": "64-character hexadecimal token ID",
"workspaceUrl": "https://dbc-xxxxxxxx-xxxx.cloud.databricks.com",
"comment": "Comment shown in the token list"
}- token
-
Databricks 個人存取字符。Secrets Manager 會輪換此欄位。
- tokenId
-
字符 ID。Secrets Manager 會使用它來讀取目前權杖的範圍，並撤銷其取代的權杖。
- workspaceUrl
-
您的Databricks工作區 URL，例如
https://dbc-xxxxxxxx-xxxx.cloud.databricks.com。提供裸露的 HTTPS 原始伺服器。Secrets Manager 拒絕包含使用者資訊、連接埠、路徑、查詢字串、片段或結尾斜線的 URL。 - comment
-
（選用） 字符清單中Databricks字符旁邊的註解。長度上限為 255 個字元。
秘密中繼資料欄位
以下是Databricks個人存取字符的中繼資料欄位：
{ "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksRotatorToken", "tokenLifetimeDays": "90" }
- adminSecretArn
-
（選用） 輪換此秘密之 DatabricksPAT 類型的另一個秘密的 Amazon Resource Name (ARN)。省略此欄位，讓字符自行輪換。
- tokenLifetimeDays
-
（選用） 每個新權杖的生命週期，以天為單位。值必須大於您的輪換間隔。預設：90。
工作區管理員可以設定低於您在此處選擇值的最大字符存留期。如果工作區上限較低，權杖建立會失敗，且輪換無法完成。在選擇值之前，請檢查工作區設定。
用量流程
此輪換類型支援兩種模式。在自我輪換中，字符會自行輪換。在輔助輪換中，相同類型的第二個權杖會輪換它。在這兩種情況下，取代權杖會繼承取代權杖的範圍。當 Secrets Manager 無法讀取這些範圍時，輪換失敗，而不是建立具有不同權限的權杖。
您可以使用 CreateSecret 呼叫建立秘密，其中秘密值包含上述欄位，秘密類型為 DatabricksPAT。您可以使用 RotateSecret 呼叫來設定輪換組態。如果您選擇自行輪換，您可以省略選用adminSecretArn欄位。您必須在 RotateSecret 呼叫中提供角色 ARN，授予服務輪換秘密所需的許可。如需許可政策的範例，請參閱 安全與許可。
在輪換期間，Secrets Manager 會驗證目前的權杖並讀取其範圍。它會建立具有相同範圍的取代權杖，並將取代儲存為 AWSPENDING。它會確認新的權杖已驗證。它也會確認範圍、擁有者和新權杖workspaceUrl的 符合其取代的權杖。然後，它會撤銷先前的字符，並將 AWSPENDING 提升為 AWSCURRENT。
從 Secrets Manager 建立取代的那一刻起，這兩個權杖都會進行驗證，直到撤銷先前的權杖為止。在該時段內讀取秘密的應用程式不會中斷。撤銷本身最終是一致的，因為 會Databricks快取授權決策。Secrets Manager 撤銷前一個字符後，可能會在短時間內繼續被接受。當您輪換以回應可疑的登入資料洩露時，請透過 Databricks 確認不再接受字符。
Databricks 會撤銷未使用的個人存取字符 90 天。輪換只會在輪換器權杖執行時使用，因此請設定少於 90 天的輪換間隔。否則會因閒置而Databricks撤銷輪換器權杖，之後輪換會失敗。預設生命週期為 90 天的 30 天輪換間隔可滿足這兩個需求。
Secrets Manager 拒絕workspaceUrl解析為迴路、連結本機或私有地址的 。因此，個人存取字符輪換不支援僅透過前端-end AWS PrivateLink 到達且已停用公有存取的工作區。
