Databricks 서비스 보안 주체 OAuth 클라이언트 보안 암호

보안 암호 값 필드

다음은 Secrets Manager 보안 암호에 포함되어야 하는 필드입니다.

{
  "accountId": "Databricks account UUID",
  "servicePrincipalId": "Numeric service principal ID",
  "clientId": "Service principal application UUID",
  "clientSecret": "dose followed by the secret value",
  "oauthSecretId": "Hexadecimal OAuth secret ID"
}

accountId

Databricks 계정 ID, 즉 UUID입니다.

servicePrincipalId

서비스 보안 주체의 숫자 내부 ID입니다. 이 값은 애플리케이션 ID와 다릅니다.

clientId

서비스 보안 주체의 애플리케이션 ID입니다. Secrets Manager는 OAuth 요청client_id에서 로 이를 전송합니다.

clientSecret

현재 OAuth 클라이언트 보안 암호입니다. Secrets Manager는이 필드를 교체합니다.

oauthSecretId

현재 OAuth 보안 암호의 Databricks ID입니다. Secrets Manager는 이를 사용하여 현재 보안 암호의 범위를 읽고 대체하는 보안 암호를 삭제합니다.

보안 암호 메타데이터 필드

다음은 Databricks 서비스 보안 주체 OAuth 클라이언트 보안 암호의 메타데이터 필드입니다.

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksAdminServicePrincipal",
  "secretLifetimeDays": "730"
}

adminSecretArn

(선택 사항)이 보안 암호를 교체하는 DatabricksSPSecret 유형의 다른 보안 암호의 Amazon 리소스 이름(ARN)입니다. 서비스 보안 주체가 자체 보안 암호를 교체하도록 하려면이 필드를 생략합니다.

secretLifetimeDays

(선택 사항) 각 새 보안 암호의 수명을 일 단위로 표시합니다. 값은 교체 간격보다 커야 합니다. 최대값은 730입니다. 기본값: 730.

사용 흐름

이 교체 유형은 두 가지 모드를 지원합니다. 자체 교체 시 서비스 보안 주체는 자체 보안 암호를 교체합니다. 보조 교체에서는 두 번째 서비스 보안 주체가 이를 교체합니다. OAuth 보안 암호 엔드포인트는 계정 수준이므로 교체를 수행하는 서비스 보안 주체에게 account_admin 역할이 필요합니다.

위에서 언급한 필드와 보안 암호 유형을 DatabricksSPSecret으로 포함하는 보안 암호 값을 사용하여 CreateSecret 호출을 사용하여 보안 암호를 생성할 수 있습니다. DatabricksSPSecret 교체 구성은 RotateSecret 호출을 사용하여 설정할 수 있습니다. 자체 회전을 선택하는 경우 선택적 adminSecretArn 필드를 생략할 수 있습니다. RotateSecret 호출에서 보안 암호를 교체하는 데 필요한 권한을 서비스에 부여하는 역할 ARN을 제공해야 합니다. 권한 정책의 예는 보안 및 권한을 참조하세요.

교체 중에 Secrets Manager는 클라이언트 자격 증명 흐름을 사용하여 액세스 토큰을 요청합니다. 대체하는 보안 암호의 범위를 포함하는 대체 보안 암호를 생성하고 대체 암호를 AWSPENDING으로 저장합니다. 새 보안 암호가 인증되는지 확인합니다. 그런 다음 이전 보안 암호를 삭제하고 AWSPENDING을 AWSCURRENT로 승격합니다.

서비스 보안 주체는 최대 5개의 OAuth 보안 암호를 지원합니다. 서비스 보안 주체가 이미 5개를 보유하고 있는 경우는 요청을 Databricks 거부하고 교체에 실패합니다. 다시 교체하기 전에 사용하지 않는 보안 암호를 삭제합니다.

이 유형에 필요한 account_admin 역할은 Databricks 개인 액세스 토큰 교체에 필요한 워크스페이스 액세스와 다릅니다. 단일 권한 부여는 두 흐름을 모두 다루지는 않습니다.