Databricks Token di accesso personale

Campi con valori segreti

Di seguito sono riportati i campi che devono essere contenuti nel segreto di Secrets Manager:

{
  "token": "dapi followed by 32 hexadecimal characters",
  "tokenId": "64-character hexadecimal token ID",
  "workspaceUrl": "https://dbc-xxxxxxxx-xxxx.cloud.databricks.com",
  "comment": "Comment shown in the token list"
}

token

Il token di accesso Databricks personale. Secrets Manager ruota questo campo.

TokenID

L'ID del token. Secrets Manager lo utilizza per leggere gli ambiti del token corrente e per revocare il token che sostituisce.

URL dello spazio di lavoro

L'URL del tuo Databricks spazio di lavoro, ad esempio. https://dbc-xxxxxxxx-xxxx.cloud.databricks.com Fornisci un'origine HTTPS semplice. Secrets Manager rifiuta un URL che contiene informazioni sull'utente, una porta, un percorso, una stringa di query, un frammento o una barra finale.

comment

(Facoltativo) Il commento visualizzato accanto al token nell'elenco dei token. Databricks La lunghezza massima è 255 caratteri.

Campi di metadati segreti

Di seguito sono riportati i campi di metadati per il token di accesso Databricks personale:

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksRotatorToken",
  "tokenLifetimeDays": "90"
}

admin SecretArn

(Facoltativo) L'Amazon Resource Name (ARN) di un altro segreto di tipo DataBrickSpat che ruota questo segreto. Ometti questo campo per consentire al token di ruotare da solo.

gettone LifetimeDays

(Facoltativo) La durata di ogni nuovo token, in giorni. Il valore deve essere maggiore dell'intervallo di rotazione. Valore predefinito: 90.

Un amministratore dell'area di lavoro può impostare una durata massima del token inferiore al valore scelto qui. Se il numero massimo dell'area di lavoro è inferiore, la creazione del token non riesce e la rotazione non può essere completata. Controlla le impostazioni dell'area di lavoro prima di scegliere un valore.

Flusso di utilizzo

Questo tipo di rotazione supporta due modalità. Durante l'autorotazione, il token ruota da solo. Nella rotazione assistita, un secondo token dello stesso tipo lo fa ruotare. In entrambi i casi, il token sostitutivo eredita gli ambiti del token che sostituisce. La rotazione fallisce invece di creare un token con privilegi diversi quando Secrets Manager non è in grado di leggere quegli ambiti.

È possibile creare il proprio segreto utilizzando la CreateSecretchiamata con il valore segreto contenente i campi sopra menzionati e il tipo di segreto come DataBrickSpat. Le configurazioni di rotazione possono essere impostate utilizzando una chiamata. RotateSecret Se si opta per l'autorotazione, è possibile omettere il campo opzionale. adminSecretArn È necessario fornire un ruolo ARN nella RotateSecretchiamata che conceda al servizio le autorizzazioni necessarie per ruotare il segreto. Per un esempio di politica di autorizzazioni, vedi Sicurezza e autorizzazioni.

Durante la rotazione, Secrets Manager convalida il token corrente e ne legge gli ambiti. Crea un token sostitutivo con gli stessi ambiti e memorizza il token sostitutivo come AWSPENDING. Conferma che il nuovo token si autentica. Conferma inoltre che gli ambiti, il proprietario e il workspaceUrl nuovo token corrispondono al token che sostituisce. Quindi revoca il token precedente e promuove AWSPENDING in AWSCURRENT.

Entrambi i token si autenticano dal momento in cui Secrets Manager crea il token sostitutivo fino alla revoca del token precedente. Un'applicazione che legge il segreto durante quella finestra non viene interrotta. La revoca stessa alla fine è coerente, perché Databricks memorizza nella cache le decisioni di autorizzazione. Il token precedente potrebbe continuare ad essere accettato per un breve periodo dopo la revoca di Secrets Manager. Quando ruotate in risposta a una sospetta compromissione delle credenziali, confermate Databricks che il token non è più accettato.

Databricksrevoca un token di accesso personale che rimane inutilizzato per 90 giorni. La rotazione utilizza un token rotatore solo quando è in esecuzione, quindi imposta un intervallo di rotazione inferiore a 90 giorni. Altrimenti Databricks revoca il gettone del rotatore per inattività e le rotazioni successive falliscono. Un intervallo di rotazione di 30 giorni con una durata predefinita di 90 giorni soddisfa entrambi i requisiti.

Secrets Manager rifiuta un indirizzo workspaceUrl che si risolve in un indirizzo loopback, link-local o privato. Uno spazio di lavoro raggiungibile solo tramite front-end AWS PrivateLink, con accesso pubblico disabilitato, non è quindi supportato per la rotazione dei token di accesso personali.