Databricks Principal del servicio: OAuth, cliente secreto

Campos de valores secretos

Los siguientes son los campos que deben estar incluidos en el secreto de Secrets Manager:

{
  "accountId": "Databricks account UUID",
  "servicePrincipalId": "Numeric service principal ID",
  "clientId": "Service principal application UUID",
  "clientSecret": "dose followed by the secret value",
  "oauthSecretId": "Hexadecimal OAuth secret ID"
}

accountId

El ID Databricks de su cuenta, que es un UUID.

servicio PrincipalId

El identificador interno numérico del principal del servicio. Este valor difiere del ID de la aplicación.

clientId

El ID de aplicación del director del servicio. Secrets Manager lo envía como client_id en las solicitudes de OAuth.

Secreto del cliente

El secreto actual del cliente de OAuth. Secrets Manager rota este campo.

jurar SecretId

El Databricks ID del secreto de OAuth actual. Secrets Manager lo usa para leer los alcances del secreto actual y para eliminar el secreto al que reemplaza.

Campos de metadatos secretos

Los siguientes son los campos de metadatos de Databricks Service Principal OAuth Client Secret:

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksAdminServicePrincipal",
  "secretLifetimeDays": "730"
}

admin SecretArn

(Opcional) El nombre de recurso de Amazon (ARN) de otro secreto del tipo DataBrickSSPSecret que rota este secreto. Omita este campo para permitir que el director del servicio modifique su propio secreto.

secreto LifetimeDays

(Opcional) La duración de cada nuevo secreto, en días. El valor debe ser mayor que el intervalo de rotación. El máximo es 730. Predeterminado: 730.

Flujo de uso

Este tipo de rotación admite dos modos. En la rotación automática, el director del servicio rota su propio secreto. En la rotación asistida, un segundo director de servicio lo hace girar. El director de servicio que realiza la rotación necesita esa account_admin función, ya que los puntos finales secretos de OAuth son de nivel de cuenta.

Puedes crear tu secreto mediante la CreateSecretllamada con el valor secreto que contiene los campos mencionados anteriormente y el tipo de secreto DatabrickSSPSecret. Las configuraciones de rotación se pueden establecer mediante una llamada. RotateSecret Si opta por la rotación automática, puede omitir el campo opcionaladminSecretArn. Debe proporcionar un ARN de rol en la RotateSecretllamada que otorgue al servicio los permisos necesarios para rotar el secreto. Para ver un ejemplo de una política de permisos, consulta Seguridad y permisos.

Durante la rotación, Secrets Manager solicita un token de acceso mediante el flujo de credenciales del cliente. Crea un secreto de reemplazo que incluye los alcances del secreto al que reemplaza y almacena el reemplazo como AWSPENDING. Confirma que el nuevo secreto se autentica. A continuación, elimina el secreto anterior y convierte AWSPENDING en AWSCURRENT.

Un director de servicio admite como máximo cinco secretos de OAuth. Si el director del servicio ya tiene cinco, Databricks rechaza la solicitud y se produce un error en la rotación. Elimine un secreto no utilizado antes de volver a rotarlo.

El account_admin rol que necesita este tipo es diferente del acceso al espacio de trabajo que necesita la rotación del token de acceso Databricks personal. Una sola subvención no cubre ambos flujos.