Databricks 개인 액세스 토큰

보안 암호 값 필드

다음은 Secrets Manager 보안 암호에 포함되어야 하는 필드입니다.

{
  "token": "dapi followed by 32 hexadecimal characters",
  "tokenId": "64-character hexadecimal token ID",
  "workspaceUrl": "https://dbc-xxxxxxxx-xxxx.cloud.databricks.com",
  "comment": "Comment shown in the token list"
}

token

Databricks 개인 액세스 토큰입니다. Secrets Manager는이 필드를 교체합니다.

tokenId

토큰 ID입니다. Secrets Manager는 이를 사용하여 현재 토큰의 범위를 읽고 대체하는 토큰을 취소합니다.

workspaceUrl

작업 Databricks 영역 URL, 예: https://dbc-xxxxxxxx-xxxx.cloud.databricks.com. 베어 HTTPS 오리진을 제공합니다. Secrets Manager는 사용자 정보, 포트, 경로, 쿼리 문자열, 조각 또는 후행 슬래시가 포함된 URL을 거부합니다.

설명

(선택 사항) 토큰 목록의 Databricks 토큰 옆에 표시된 설명입니다. 최대 길이는 255자입니다.

보안 암호 메타데이터 필드

다음은 Databricks 개인 액세스 토큰의 메타데이터 필드입니다.

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksRotatorToken",
  "tokenLifetimeDays": "90"
}

adminSecretArn

(선택 사항)이 보안 암호를 교체하는 DatabricksPAT 유형의 다른 보안 암호의 Amazon 리소스 이름(ARN)입니다. 토큰이 회전하도록 하려면이 필드를 생략합니다.

tokenLifetimeDays

(선택 사항) 각 새 토큰의 수명을 일 단위로 표시합니다. 값은 교체 간격보다 커야 합니다. 기본값: 90.

워크스페이스 관리자는 여기에서 선택한 값보다 낮은 최대 토큰 수명을 설정할 수 있습니다. 워크스페이스 최대값이 더 낮으면 토큰 생성이 실패하고 교체를 완료할 수 없습니다. 값을 선택하기 전에 워크스페이스 설정을 확인합니다.

사용 흐름

이 교체 유형은 두 가지 모드를 지원합니다. 자체 회전에서는 토큰이 자체적으로 회전합니다. 보조 교체에서는 동일한 유형의 두 번째 토큰이 토큰을 교체합니다. 두 경우 모두 대체 토큰은 대체 토큰의 범위를 상속합니다. Secrets Manager가 해당 범위를 읽을 수 없는 경우 다른 권한을 가진 토큰을 생성하는 대신 교체가 실패합니다.

위에서 언급한 필드와 보안 암호 유형을 DatabricksPAT로 포함하는 보안 암호 값을 사용하여 CreateSecret 호출을 사용하여 보안 암호를 생성할 수 있습니다. 교체 구성은 RotateSecret 호출을 사용하여 설정할 수 있습니다. 자체 회전을 선택하는 경우 선택적 adminSecretArn 필드를 생략할 수 있습니다. RotateSecret 호출에서 보안 암호를 교체하는 데 필요한 권한을 서비스에 부여하는 역할 ARN을 제공해야 합니다. 권한 정책의 예는 보안 및 권한을 참조하세요.

교체 중에 Secrets Manager는 현재 토큰을 검증하고 범위를 읽습니다. AWSPENDING과 동일한 범위를 전달하고 대체를 저장하는 대체 토큰을 생성합니다. 새 토큰이 인증되는지 확인합니다. 또한 새 토큰의 범위, 소유자 및이 대체workspaceUrl하는 토큰과 일치하는지 확인합니다. 그런 다음 이전 토큰을 취소하고 AWSPENDING을 AWSCURRENT로 승격합니다.

두 토큰 모두 Secrets Manager가 교체를 생성하는 순간부터 이전 토큰을 취소할 때까지 인증합니다. 해당 기간 동안 보안 암호를 읽는 애플리케이션은 중단되지 않습니다. 가 권한 부여 결정을 Databricks 캐싱하기 때문에 취소 자체는 최종적으로 일관됩니다. 이전 토큰은 Secrets Manager가 토큰을 취소한 후에도 잠시 동안 계속 수락될 수 있습니다. 의심되는 자격 증명 손상에 대응하여 교체하는 경우 토큰이 더 이상 수락되지 Databricks 않는지 확인합니다.

Databricks는 90일 동안 사용되지 않는 개인 액세스 토큰을 취소합니다. 교체는 교체 토큰이 실행될 때만 사용되므로 교체 간격을 90일 미만으로 설정합니다. 그렇지 않으면가 비활성에 대한 로테이터 토큰을 Databricks 취소하고 이후 교체가 실패합니다. 기본 수명이 90일인 교체 간격 30일은 두 요구 사항을 모두 충족합니다.

Secrets Manager는 루프백, 링크-로컬 또는 프라이빗 주소로 확인workspaceUrl되는를 거부합니다. 따라서 퍼블릭 액세스가 비활성화된 상태에서 front-end AWS PrivateLink를 통해서만 도달하는 워크스페이스는 개인 액세스 토큰 교체에 지원되지 않습니다.