Databricks 個人用アクセストークン

シークレット値フィールド

以下は、Secrets Manager シークレットに含める必要があるフィールドです。

{
  "token": "dapi followed by 32 hexadecimal characters",
  "tokenId": "64-character hexadecimal token ID",
  "workspaceUrl": "https://dbc-xxxxxxxx-xxxx.cloud.databricks.com",
  "comment": "Comment shown in the token list"
}

トークン

Databricks 個人用アクセストークン。Secrets Manager はこのフィールドをローテーションします。

tokenId

トークン ID。Secrets Manager はこれを使用して現在のトークンの範囲を読み取り、置き換えるトークンを取り消します。

workspaceUrl

Databricks ワークスペース URL。例: https://dbc-xxxxxxxx-xxxx.cloud.databricks.com。ベア HTTPS オリジンを指定します。Secrets Manager は、ユーザー情報、ポート、パス、クエリ文字列、フラグメント、または末尾のスラッシュを含む URL を拒否します。

コメント

(オプション) トークンリスト内のDatabricksトークンの横に表示されるコメント。最大長は 255 文字です。

シークレットメタデータフィールド

以下は、Databricks個人用アクセストークンのメタデータフィールドです。

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksRotatorToken",
  "tokenLifetimeDays": "90"
}

adminSecretArn

(オプション) このシークレットをローテーションする DatabricksPAT タイプの別のシークレットの Amazon リソースネーム (ARN)。トークン自体をローテーションするには、このフィールドを省略します。

tokenLifetimeDays

(オプション) 新しい各トークンの有効期間。日数。値はローテーション間隔よりも大きくする必要があります。デフォルト: 90。

ワークスペース管理者は、ここで選択した値よりも低いトークンの最大有効期間を設定できます。ワークスペースの最大数が低い場合、トークンの作成は失敗し、ローテーションを完了できません。値を選択する前にワークスペース設定を確認してください。

使用フロー

このローテーションタイプは 2 つのモードをサポートしています。セルフローテーションでは、トークン自体がローテーションされます。アシストローテーションでは、同じタイプの 2 番目のトークンがローテーションします。いずれの場合も、置換トークンは置き換えるトークンのスコープを継承します。Secrets Manager がそれらのスコープを読み取れない場合、異なる権限を持つトークンを作成する代わりにローテーションは失敗します。

上記のフィールドと DatabricksPAT としてシークレットタイプを含むシークレット値を持つ CreateSecret 呼び出しを使用してシークレットを作成できます。ローテーション設定は、RotateSecret 呼び出しを使用して設定できます。セルフローテーションを選択した場合は、オプションの adminSecretArnフィールドを省略できます。RotateSecret 呼び出しでロール ARN を指定する必要があります。これにより、シークレットをローテーションするために必要なアクセス許可がサービスに付与されます。アクセス許可ポリシーの例については、「セキュリティとアクセス許可」を参照してください。

ローテーション中、Secrets Manager は現在のトークンを検証し、そのスコープを読み取ります。AWSPENDING と同じスコープを持つ置換トークンを作成し、置換を保存します。新しいトークンが認証されることを確認します。また、新しいトークンworkspaceUrlのスコープ、所有者、および が、置き換えるトークンと一致することも確認します。次に、前のトークンを取り消し、AWSPENDING を AWSCURRENT に昇格します。

両方のトークンは、Secrets Manager が置換を作成する瞬間から、前のトークンを取り消すまで認証されます。そのウィンドウ中にシークレットを読み取るアプリケーションは中断されません。は認可の決定をDatabricksキャッシュするため、失効自体は結果整合性があります。前のトークンは、Secrets Manager が取り消した後、短期間受け入れられ続ける場合があります。認証情報の侵害の疑いに応じてローテーションする場合は、トークンが受け入れられなくなったDatabricksことを を通じて確認します。

Databricks は、90 日間使用されない個人用アクセストークンを取り消します。ローテーションは、実行時にのみローテータートークンを使用するため、ローテーション間隔を 90 日より短く設定します。そうしないと、 は非アクティブ時のローテータートークンをDatabricks取り消し、それ以降のローテーションは失敗します。ローテーション間隔は 30 日、デフォルトの有効期間は 90 日で、両方の要件を満たします。

Secrets Manager は、ループバック、リンクローカル、またはプライベートアドレスに解決workspaceUrlされる を拒否します。したがって、パブリックアクセスが無効になっているフロントエンド AWS PrivateLink経由でのみ到達するワークスペースは、個人用アクセストークンのローテーションではサポートされていません。