Databricks 个人访问令牌

秘密值字段

以下是 Secrets Manager 密钥中必须包含的字段：

{
  "token": "dapi followed by 32 hexadecimal characters",
  "tokenId": "64-character hexadecimal token ID",
  "workspaceUrl": "https://dbc-xxxxxxxx-xxxx.cloud.databricks.com",
  "comment": "Comment shown in the token list"
}

token

Databricks个人访问令牌。Secrets Manager 会轮换此字段。

tokenID

令牌 ID。Secrets Manager 使用它来读取当前令牌的作用域并撤消它所替换的令牌。

工作空间网址

例如，您的Databricks工作空间网址https://dbc-xxxxxxxx-xxxx.cloud.databricks.com。提供一个裸露的 HTTPS 来源。Secrets Manager 拒绝包含用户信息、端口、路径、查询字符串、片段或尾部斜杠的网址。

comment

（可选）标记列表中标记旁边显示的Databricks注释。最大长度为 255 个字符。

机密元数据字段

以下是Databricks个人访问令牌的元数据字段：

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksRotatorToken",
  "tokenLifetimeDays": "90"
}

管理员 SecretArn

（可选）轮换此密钥的另一个类型为 DatabrickSpat 的密钥的亚马逊资源名称 (ARN)。省略此字段可让令牌自行轮换。

代币 LifetimeDays

（可选）每个新令牌的生命周期，以天为单位。该值必须大于您的旋转间隔。默认值：90。

工作空间管理员可以将令牌的最大生命周期设置为低于您在此处选择的值。如果工作空间最大值较低，则令牌创建失败且无法完成轮换。在选择值之前，请检查工作空间设置。

使用流程

此旋转类型支持两种模式。在自我轮换中，代币会自行旋转。在辅助旋转中，第二个相同类型的令牌会对其进行旋转。在这两种情况下，替换令牌都会继承它所替换的令牌的作用域。当 Secrets Manager 无法读取这些作用域时，轮换会失败，而不是创建具有不同权限的令牌。

您可以使用CreateSecret调用来创建您的密钥，其密钥值包含上述字段，密钥类型为 DatabrickSpat。可以使用RotateSecret呼叫来设置轮换配置。如果您选择自旋转，则可以省略可选adminSecretArn字段。您必须在RotateSecret调用中提供角色 ARN，该角色向服务授予轮换密钥所需的权限。有关权限策略的示例，请参阅安全和权限。

在轮换期间，Secrets Manager 会验证当前令牌并读取其作用域。它会创建一个具有相同作用域的替换令牌，并存储与 AWSPENDING 相同的替换令牌。它确认新令牌已通过身份验证。它还确认新令牌的作用域、所有者和与其替换workspaceUrl的令牌相匹配。然后，它会撤销之前的代币，并将 AWSPENDING 提升为 AWSCURRENT。

从 Secrets Manager 创建替换令牌的那一刻起，这两个令牌都将进行身份验证，直到它撤消之前的令牌。在该窗口中读取密钥的应用程序不会中断。撤销本身最终是一致的，因为会Databricks缓存授权决定。在 Secrets Manager 撤销之前的代币后，该代币可能会在短时间内继续被接受。当你轮换以应对可疑的凭证泄露时，请通过Databricks确认该令牌不再被接受。

Databricks撤销在 90 天内未使用的个人访问令牌。轮换仅在运行时才使用轮换标记，因此请将轮换间隔设置为小于 90 天。否则，将因不活动而Databricks撤消轮换令牌，以后的轮换将失败。30 天的轮换间隔和默认的生命周期为 90 天，可以满足这两个要求。

Secrets Manager 拒绝解析为环回、本地链路或私有地址的。workspaceUrl因此，仅通过前端 AWS PrivateLink访问且禁用公共访问权限的工作空间不支持个人访问令牌轮换。