Databricks Secret du client OAuth principal du service

Champs de valeurs secrets

Les champs suivants doivent figurer dans le secret du Gestionnaire de Secrets :

{
  "accountId": "Databricks account UUID",
  "servicePrincipalId": "Numeric service principal ID",
  "clientId": "Service principal application UUID",
  "clientSecret": "dose followed by the secret value",
  "oauthSecretId": "Hexadecimal OAuth secret ID"
}

accountId

Votre identifiant de Databricks compte, qui est un UUID.

service PrincipalId

L'ID interne numérique du principal de service. Cette valeur est différente de l'ID de l'application.

clientId

L'ID d'application du principal de service. Secrets Manager l'envoie comme client_id dans les requêtes OAuth.

Secret du client

Le secret actuel du client OAuth. Secrets Manager fait pivoter ce champ.

oauth SecretId

L'DatabricksID du secret OAuth actuel. Secrets Manager l'utilise pour lire l'étendue du secret actuel et pour supprimer le secret qu'il remplace.

Champs de métadonnées secrets

Les champs de métadonnées pour Databricks Service Principal OAuth Client Secret sont les suivants :

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksAdminServicePrincipal",
  "secretLifetimeDays": "730"
}

administrateur SecretArn

(Facultatif) Le nom de ressource Amazon (ARN) d'un autre secret de type DataBricksSPSecret qui fait pivoter ce secret. Omettez ce champ pour permettre au directeur du service de modifier son propre secret.

secret LifetimeDays

(Facultatif) Durée de vie de chaque nouveau secret, en jours. La valeur doit être supérieure à votre intervalle de rotation. Le maximum est de 730. Par défaut : 730.

Flux d'utilisation

Ce type de rotation prend en charge deux modes. Dans le cas d'une rotation automatique, le directeur du service transmet son propre secret. En cas de rotation assistée, un deuxième directeur de service le fait pivoter. Le principal de service qui effectue la rotation a besoin de ce account_admin rôle, car les points de terminaison secrets OAuth se situent au niveau du compte.

Vous pouvez créer votre secret à l'aide de l'CreateSecretappel dont la valeur secrète contient les champs mentionnés ci-dessus et dont le type de secret est DataBricksSPSecret. Les configurations de rotation peuvent être définies à l'aide d'un RotateSecretappel. Si vous optez pour la rotation automatique, vous pouvez omettre le champ facultatifadminSecretArn. Vous devez fournir un ARN de rôle dans l'RotateSecretappel qui accorde au service les autorisations requises pour faire pivoter le secret. Pour un exemple de politique d'autorisations, voir Sécurité et autorisations.

Pendant la rotation, Secrets Manager demande un jeton d'accès en utilisant le flux d'informations d'identification du client. Il crée un secret de remplacement qui contient les étendues du secret qu'il remplace et stocke le remplacement sous le nom AWSPENDING. Cela confirme que le nouveau secret authentifie. Il supprime ensuite le secret précédent et promeut AWSPENDING en AWSCURRENT.

Un principal de service prend en charge au maximum cinq secrets OAuth. Si le directeur du service en détient déjà cinq, il Databricks rejette la demande et la rotation échoue. Supprimez un secret non utilisé avant de procéder à une nouvelle rotation.

Le account_admin rôle dont ce type a besoin est différent de l'accès à l'espace de travail requis par la rotation des jetons d'accès Databricks personnels. Une subvention unique ne couvre pas les deux flux.