Databricks Token de acceso personal

Campos de valores secretos

Los siguientes son los campos que deben estar incluidos en el secreto de Secrets Manager:

{
  "token": "dapi followed by 32 hexadecimal characters",
  "tokenId": "64-character hexadecimal token ID",
  "workspaceUrl": "https://dbc-xxxxxxxx-xxxx.cloud.databricks.com",
  "comment": "Comment shown in the token list"
}

token

El token de acceso Databricks personal. Secrets Manager rota este campo.

ID del token

El ID del token. Secrets Manager lo usa para leer los alcances del token actual y revocar el token al que reemplaza.

URL del espacio de trabajo

La URL Databricks de tu espacio de trabajo, por ejemplo. https://dbc-xxxxxxxx-xxxx.cloud.databricks.com Proporcione un origen HTTPS simple. Secrets Manager rechaza una URL que contenga información del usuario, un puerto, una ruta, una cadena de consulta, un fragmento o una barra al final.

comentario

(Opcional) El comentario que se muestra junto al token en la lista de Databricks tokens. La longitud máxima es de 255 caracteres.

Campos de metadatos secretos

Los siguientes son los campos de metadatos del token de acceso Databricks personal:

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksRotatorToken",
  "tokenLifetimeDays": "90"
}

administrador SecretArn

(Opcional) El nombre de recurso de Amazon (ARN) de otro secreto del tipo DataBricksPat que rota este secreto. Omita este campo para permitir que el token gire solo.

token LifetimeDays

(Opcional) La vida útil de cada nuevo token, en días. El valor debe ser mayor que el intervalo de rotación. Predeterminado: 90.

Un administrador del espacio de trabajo puede establecer una duración máxima del token inferior al valor que elija aquí. Si el espacio de trabajo máximo es inferior, se produce un error en la creación del token y no se puede completar la rotación. Compruebe la configuración del espacio de trabajo antes de elegir un valor.

Flujo de uso

Este tipo de rotación admite dos modos. En la rotación automática, la ficha gira sola. En la rotación asistida, una segunda ficha del mismo tipo la hace girar. En ambos casos, la ficha de sustitución hereda los alcances de la ficha a la que sustituye. La rotación falla en lugar de crear un token con diferentes privilegios cuando Secrets Manager no puede leer esos ámbitos.

Puedes crear tu secreto mediante la CreateSecretllamada cuyo valor secreto contenga los campos mencionados anteriormente y cuyo tipo de secreto sea DataBrickSpat. Las configuraciones de rotación se pueden configurar mediante una llamada. RotateSecret Si opta por la rotación automática, puede omitir el campo opcionaladminSecretArn. Debe proporcionar un ARN de rol en la RotateSecretllamada que otorgue al servicio los permisos necesarios para rotar el secreto. Para ver un ejemplo de una política de permisos, consulta Seguridad y permisos.

Durante la rotación, Secrets Manager valida el token actual y lee sus alcances. Crea un token de reemplazo que tiene los mismos alcances y almacena el reemplazo como AWSPENDING. Confirma que el nuevo token se autentica. También confirma que los ámbitos, el propietario y el workspaceUrl del nuevo token coinciden con el token al que reemplaza. A continuación, revoca el token anterior y promueve AWSPENDING a AWSCURRENT.

Ambos tokens se autentican desde el momento en que Secrets Manager crea el sustituto hasta que revoca el token anterior. La aplicación que lee el secreto durante ese período no se interrumpe. La revocación en sí misma es, en última instancia, coherente, porque guarda en Databricks caché las decisiones de autorización. El token anterior podría seguir aceptándose durante un breve periodo de tiempo después de que Secrets Manager lo revoque. Si lo cambias en respuesta a una sospecha de que las credenciales están comprometidas, confirma Databricks que el token ya no se acepta.

Databricksrevoca un token de acceso personal que no se utiliza durante 90 días. La rotación usa un token rotativo solo cuando se ejecuta, así que establece un intervalo de rotación inferior a 90 días. De lo contrario, Databricks revoca el token de rotación por inactividad y las rotaciones posteriores fallarán. Un intervalo de rotación de 30 días con una vida útil predeterminada de 90 días cumple ambos requisitos.

Secrets Manager rechaza una dirección workspaceUrl que se resuelva en una dirección de bucle invertido, local de enlace o privada. Por lo tanto AWS PrivateLink, no se admite la rotación de los tokens de acceso personal a un espacio de trabajo al que solo se accede a través de la interfaz y con el acceso público desactivado.