Databricks Token de acesso pessoal

Campos de valor secreto

A seguir estão os campos que devem estar contidos no segredo do Secrets Manager:

{
  "token": "dapi followed by 32 hexadecimal characters",
  "tokenId": "64-character hexadecimal token ID",
  "workspaceUrl": "https://dbc-xxxxxxxx-xxxx.cloud.databricks.com",
  "comment": "Comment shown in the token list"
}

token

O token de acesso Databricks pessoal. O Secrets Manager gira esse campo.

ID do token

O ID do token. O Secrets Manager o usa para ler os escopos do token atual e revogar o token que ele substitui.

URL do espaço de trabalho

O URL do seu Databricks espaço de trabalho, por exemplohttps://dbc-xxxxxxxx-xxxx.cloud.databricks.com. Forneça uma origem HTTPS simples. O Secrets Manager rejeita uma URL que contém informações do usuário, uma porta, um caminho, uma sequência de caracteres de consulta, um fragmento ou uma barra final.

comment

(Opcional) O comentário mostrado ao lado do Databricks token na lista de tokens. O tamanho máximo é de 255 caracteres.

Campos de metadados secretos

A seguir estão os campos de metadados do Databricks Personal Access Token:

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksRotatorToken",
  "tokenLifetimeDays": "90"
}

administrador SecretArn

(Opcional) O Amazon Resource Name (ARN) de outro segredo do tipo DataBricksPat que alterna esse segredo. Omita esse campo para permitir que o token gire sozinho.

ficha LifetimeDays

(Opcional) A vida útil de cada novo token, em dias. O valor deve ser maior que seu intervalo de rotação. Padrão: 90.

Um administrador do espaço de trabalho pode definir uma vida útil máxima do token menor do que o valor escolhido aqui. Se o máximo do espaço de trabalho for menor, a criação do token falhará e a rotação não poderá ser concluída. Verifique a configuração do espaço de trabalho antes de escolher um valor.

Fluxo de uso

Esse tipo de rotação suporta dois modos. Na rotação automática, o token gira sozinho. Na rotação assistida, um segundo token do mesmo tipo o gira. Em ambos os casos, o token de substituição herda os escopos do token que ele substitui. A rotação falha em vez de criar um token com privilégios diferentes quando o Secrets Manager não consegue ler esses escopos.

Você pode criar seu segredo usando a CreateSecretchamada com o valor secreto contendo os campos mencionados acima e o tipo de segredo como DataBricksPat. As configurações de rotação podem ser definidas usando uma RotateSecretchamada. Se você optar pela rotação automática, poderá omitir o campo opcionaladminSecretArn. Você deve fornecer um ARN de função na RotateSecretchamada que conceda ao serviço as permissões necessárias para alternar o segredo. Para ver um exemplo de política de permissões, consulte Segurança e permissões.

Durante a rotação, o Secrets Manager valida o token atual e lê seus escopos. Ele cria um token de substituição que carrega os mesmos escopos e armazena a substituição como AWSPENDING. Isso confirma que o novo token é autenticado. Também confirma que os escopos, o proprietário e o workspaceUrl do novo token correspondem ao token que ele substitui. Em seguida, ele revoga o token anterior e promove AWSPENDING para AWSCURRENT.

Ambos os tokens são autenticados desde o momento em que o Secrets Manager cria o substituto até revogar o token anterior. Um aplicativo que lê o segredo durante essa janela não é interrompido. A revogação em si é eventualmente consistente, porque armazena em Databricks cache as decisões de autorização. O token anterior pode continuar sendo aceito por um curto período após a revogação do Secrets Manager. Ao alternar em resposta a uma suspeita de comprometimento de credencial, confirme se Databricks o token não é mais aceito.

Databricksrevoga um token de acesso pessoal que não é usado por 90 dias. A rotação usa um token rotador somente quando é executada, então defina um intervalo de rotação menor que 90 dias. Caso contrário, Databricks revoga o token do rotador por inatividade e as rotações posteriores falharão. Um intervalo de rotação de 30 dias com a vida útil padrão de 90 dias satisfaz os dois requisitos.

O Secrets Manager rejeita um workspaceUrl que se resolve para um endereço de loopback, link-local ou privado. Portanto, um espaço de trabalho que você acessa somente pelo front-end AWS PrivateLink, com o acesso público desativado, não é compatível com a rotação de tokens de acesso pessoal.