Databricks Segredo do cliente OAuth principal do serviço

Campos de valor secreto

A seguir estão os campos que devem estar contidos no segredo do Secrets Manager:

{
  "accountId": "Databricks account UUID",
  "servicePrincipalId": "Numeric service principal ID",
  "clientId": "Service principal application UUID",
  "clientSecret": "dose followed by the secret value",
  "oauthSecretId": "Hexadecimal OAuth secret ID"
}

accountId

O ID Databricks da sua conta, que é um UUID.

serviço PrincipalId

O ID interno numérico do responsável pelo serviço. Esse valor é diferente do ID do aplicativo.

clientId

O ID do aplicativo do responsável pelo serviço. O Secrets Manager o envia como client_id nas solicitações do OAuth.

Segredo do cliente

O segredo atual do cliente OAuth. O Secrets Manager gira esse campo.

juramento SecretId

O Databricks ID do segredo atual do OAuth. O Secrets Manager o usa para ler os escopos do segredo atual e excluir o segredo que ele substitui.

Campos de metadados secretos

A seguir estão os campos de metadados do Databricks Service Principal OAuth Client Secret:

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksAdminServicePrincipal",
  "secretLifetimeDays": "730"
}

administrador SecretArn

(Opcional) O Amazon Resource Name (ARN) de outro segredo do tipo DataBrickSSPSecret que alterna esse segredo. Omita esse campo para permitir que o diretor de serviço alterne seu próprio segredo.

segredo LifetimeDays

(Opcional) A vida útil de cada novo segredo, em dias. O valor deve ser maior que seu intervalo de rotação. O máximo é 730. Padrão: 730.

Fluxo de uso

Esse tipo de rotação suporta dois modos. Na autorrotação, o diretor de serviço gira seu próprio segredo. Na rotação assistida, um segundo diretor de serviço o faz a rotação. O responsável pelo serviço que executa a rotação precisa da account_admin função, porque os endpoints secretos do OAuth estão no nível da conta.

Você pode criar seu segredo usando a CreateSecretchamada com o valor secreto contendo os campos mencionados acima e o tipo de segredo como DataBrickSSPSecret. As configurações de rotação podem ser definidas usando uma RotateSecretchamada. Se você optar pela rotação automática, poderá omitir o campo opcionaladminSecretArn. Você deve fornecer um ARN de função na RotateSecretchamada que conceda ao serviço as permissões necessárias para alternar o segredo. Para ver um exemplo de política de permissões, consulte Segurança e permissões.

Durante a rotação, o Secrets Manager solicita um token de acesso usando o fluxo de credenciais do cliente. Ele cria um segredo de substituição que carrega os escopos do segredo que ele substitui e armazena o substituto como AWSPENDING. Isso confirma que o novo segredo é autenticado. Em seguida, ele exclui o segredo anterior e promove AWSPENDING para AWSCURRENT.

Um diretor de serviço oferece suporte a no máximo cinco segredos do OAuth. Se o responsável pelo serviço já tiver cinco, Databricks rejeitará a solicitação e a rotação falhará. Exclua um segredo não utilizado antes de girar novamente.

A account_admin função que esse tipo precisa difere do acesso ao espaço de trabalho que a rotação do Databricks Personal Access Token precisa. Uma única subvenção não cobre os dois fluxos.