As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

# Databricks Segredo do cliente OAuth principal do serviço
<a name="mes-partner-DatabricksSPSecret"></a>

## Campos de valor secreto
<a name="w2aac27c13c21b3"></a>

A seguir estão os campos que devem estar contidos no segredo do Secrets Manager:

```
{
  "accountId": "{{Databricks account UUID}}",
  "servicePrincipalId": "{{Numeric service principal ID}}",
  "clientId": "{{Service principal application UUID}}",
  "clientSecret": "{{dose followed by the secret value}}",
  "oauthSecretId": "{{Hexadecimal OAuth secret ID}}"
}
```

accountId  
O ID Databricks da sua conta, que é um UUID.

serviço PrincipalId  
O ID interno numérico do responsável pelo serviço. Esse valor é diferente do ID do aplicativo.

clientId  
O ID do aplicativo do responsável pelo serviço. O Secrets Manager o envia como `client_id` nas solicitações do OAuth.

Segredo do cliente  
O segredo atual do cliente OAuth. O Secrets Manager gira esse campo.

juramento SecretId  
O Databricks ID do segredo atual do OAuth. O Secrets Manager o usa para ler os escopos do segredo atual e excluir o segredo que ele substitui.

## Campos de metadados secretos
<a name="w2aac27c13c21b5"></a>

A seguir estão os campos de metadados do Databricks Service Principal OAuth Client Secret:

```
{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:{{DatabricksAdminServicePrincipal}}",
  "secretLifetimeDays": "{{730}}"
}
```

administrador SecretArn  
(Opcional) O Amazon Resource Name (ARN) de outro segredo do tipo DataBrickSSPSecret que alterna esse segredo. Omita esse campo para permitir que o diretor de serviço alterne seu próprio segredo.

segredo LifetimeDays  
(Opcional) A vida útil de cada novo segredo, em dias. O valor deve ser maior que seu intervalo de rotação. O máximo é 730. Padrão: 730.

## Fluxo de uso
<a name="w2aac27c13c21b7"></a>

Esse tipo de rotação suporta dois modos. Na autorrotação, o diretor de serviço gira seu próprio segredo. Na rotação assistida, um segundo diretor de serviço o faz a rotação. O responsável pelo serviço que executa a rotação precisa da `account_admin` função, porque os endpoints secretos do OAuth estão no nível da conta.

Você pode criar seu segredo usando a [CreateSecret](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_CreateSecret.html)chamada com o valor secreto contendo os campos mencionados acima e o tipo de segredo como DataBrickSSPSecret. As configurações de rotação podem ser definidas usando uma [RotateSecret](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_RotateSecret.html)chamada. Se você optar pela rotação automática, poderá omitir o campo opcional`adminSecretArn`. Você deve fornecer um ARN de função na [RotateSecret](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_RotateSecret.html)chamada que conceda ao serviço as permissões necessárias para alternar o segredo. Para ver um exemplo de política de permissões, consulte [Segurança e permissões](mes-security.md).

Durante a rotação, o Secrets Manager solicita um token de acesso usando o fluxo de credenciais do cliente. Ele cria um segredo de substituição que carrega os escopos do segredo que ele substitui e armazena o substituto como AWSPENDING. Isso confirma que o novo segredo é autenticado. Em seguida, ele exclui o segredo anterior e promove AWSPENDING para AWSCURRENT.

Um diretor de serviço oferece suporte a no máximo cinco segredos do OAuth. Se o responsável pelo serviço já tiver cinco, Databricks rejeitará a solicitação e a rotação falhará. Exclua um segredo não utilizado antes de girar novamente.

A `account_admin` função que esse tipo precisa difere do acesso ao espaço de trabalho que a rotação do Databricks Personal Access Token precisa. Uma única subvenção não cobre os dois fluxos.