As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

# Databricks Token de acesso pessoal
<a name="mes-partner-DatabricksPAT"></a>

## Campos de valor secreto
<a name="w2aac27c13c19b3"></a>

A seguir estão os campos que devem estar contidos no segredo do Secrets Manager:

```
{
  "token": "{{dapi followed by 32 hexadecimal characters}}",
  "tokenId": "{{64-character hexadecimal token ID}}",
  "workspaceUrl": "{{https://dbc-xxxxxxxx-xxxx.cloud.databricks.com}}",
  "comment": "{{Comment shown in the token list}}"
}
```

token  
O token de acesso Databricks pessoal. O Secrets Manager gira esse campo.

ID do token  
O ID do token. O Secrets Manager o usa para ler os escopos do token atual e revogar o token que ele substitui.

URL do espaço de trabalho  
O URL do seu Databricks espaço de trabalho, por exemplo`https://dbc-xxxxxxxx-xxxx.cloud.databricks.com`. Forneça uma origem HTTPS simples. O Secrets Manager rejeita uma URL que contém informações do usuário, uma porta, um caminho, uma sequência de caracteres de consulta, um fragmento ou uma barra final.

comment  
(Opcional) O comentário mostrado ao lado do Databricks token na lista de tokens. O tamanho máximo é de 255 caracteres.

## Campos de metadados secretos
<a name="w2aac27c13c19b5"></a>

A seguir estão os campos de metadados do Databricks Personal Access Token:

```
{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:{{DatabricksRotatorToken}}",
  "tokenLifetimeDays": "{{90}}"
}
```

administrador SecretArn  
(Opcional) O Amazon Resource Name (ARN) de outro segredo do tipo DataBricksPat que alterna esse segredo. Omita esse campo para permitir que o token gire sozinho.

ficha LifetimeDays  
(Opcional) A vida útil de cada novo token, em dias. O valor deve ser maior que seu intervalo de rotação. Padrão: 90.  
Um administrador do espaço de trabalho pode definir uma vida útil máxima do token menor do que o valor escolhido aqui. Se o máximo do espaço de trabalho for menor, a criação do token falhará e a rotação não poderá ser concluída. Verifique a configuração do espaço de trabalho antes de escolher um valor.

## Fluxo de uso
<a name="w2aac27c13c19b7"></a>

Esse tipo de rotação suporta dois modos. Na rotação automática, o token gira sozinho. Na rotação assistida, um segundo token do mesmo tipo o gira. Em ambos os casos, o token de substituição herda os escopos do token que ele substitui. A rotação falha em vez de criar um token com privilégios diferentes quando o Secrets Manager não consegue ler esses escopos.

Você pode criar seu segredo usando a [CreateSecret](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_CreateSecret.html)chamada com o valor secreto contendo os campos mencionados acima e o tipo de segredo como DataBricksPat. As configurações de rotação podem ser definidas usando uma [RotateSecret](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_RotateSecret.html)chamada. Se você optar pela rotação automática, poderá omitir o campo opcional`adminSecretArn`. Você deve fornecer um ARN de função na [RotateSecret](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_RotateSecret.html)chamada que conceda ao serviço as permissões necessárias para alternar o segredo. Para ver um exemplo de política de permissões, consulte [Segurança e permissões](mes-security.md).

Durante a rotação, o Secrets Manager valida o token atual e lê seus escopos. Ele cria um token de substituição que carrega os mesmos escopos e armazena a substituição como AWSPENDING. Isso confirma que o novo token é autenticado. Também confirma que os escopos, o proprietário e o `workspaceUrl` do novo token correspondem ao token que ele substitui. Em seguida, ele revoga o token anterior e promove AWSPENDING para AWSCURRENT.

Ambos os tokens são autenticados desde o momento em que o Secrets Manager cria o substituto até revogar o token anterior. Um aplicativo que lê o segredo durante essa janela não é interrompido. A revogação em si é eventualmente consistente, porque armazena em Databricks cache as decisões de autorização. O token anterior pode continuar sendo aceito por um curto período após a revogação do Secrets Manager. Ao alternar em resposta a uma suspeita de comprometimento de credencial, confirme se Databricks o token não é mais aceito.

Databricksrevoga um token de acesso pessoal que não é usado por 90 dias. A rotação usa um token rotador somente quando é executada, então defina um intervalo de rotação menor que 90 dias. Caso contrário, Databricks revoga o token do rotador por inatividade e as rotações posteriores falharão. Um intervalo de rotação de 30 dias com a vida útil padrão de 90 dias satisfaz os dois requisitos.

O Secrets Manager rejeita um `workspaceUrl` que se resolve para um endereço de loopback, link-local ou privado. Portanto, um espaço de trabalho que você acessa somente pelo front-end AWS PrivateLink, com o acesso público desativado, não é compatível com a rotação de tokens de acesso pessoal.