本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# Databricks 個人存取字符
<a name="mes-partner-DatabricksPAT"></a>

## 秘密值欄位
<a name="w2aac27c13c19b3"></a>

以下是必須包含在 Secrets Manager 秘密中的欄位：

```
{
  "token": "{{dapi followed by 32 hexadecimal characters}}",
  "tokenId": "{{64-character hexadecimal token ID}}",
  "workspaceUrl": "{{https://dbc-xxxxxxxx-xxxx.cloud.databricks.com}}",
  "comment": "{{Comment shown in the token list}}"
}
```

token  
Databricks 個人存取字符。Secrets Manager 會輪換此欄位。

tokenId  
字符 ID。Secrets Manager 會使用它來讀取目前權杖的範圍，並撤銷其取代的權杖。

workspaceUrl  
您的Databricks工作區 URL，例如 `https://dbc-xxxxxxxx-xxxx.cloud.databricks.com`。提供裸露的 HTTPS 原始伺服器。Secrets Manager 拒絕包含使用者資訊、連接埠、路徑、查詢字串、片段或結尾斜線的 URL。

comment  
（選用） 字符清單中Databricks字符旁邊的註解。長度上限為 255 個字元。

## 秘密中繼資料欄位
<a name="w2aac27c13c19b5"></a>

以下是Databricks個人存取字符的中繼資料欄位：

```
{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:{{DatabricksRotatorToken}}",
  "tokenLifetimeDays": "{{90}}"
}
```

adminSecretArn  
（選用） 輪換此秘密之 DatabricksPAT 類型的另一個秘密的 Amazon Resource Name (ARN)。省略此欄位，讓字符自行輪換。

tokenLifetimeDays  
（選用） 每個新權杖的生命週期，以天為單位。值必須大於您的輪換間隔。預設：90。  
工作區管理員可以設定低於您在此處選擇值的最大字符存留期。如果工作區上限較低，權杖建立會失敗，且輪換無法完成。在選擇值之前，請檢查工作區設定。

## 用量流程
<a name="w2aac27c13c19b7"></a>

此輪換類型支援兩種模式。在自我輪換中，字符會自行輪換。在輔助輪換中，相同類型的第二個權杖會輪換它。在這兩種情況下，取代權杖會繼承取代權杖的範圍。當 Secrets Manager 無法讀取這些範圍時，輪換失敗，而不是建立具有不同權限的權杖。

您可以使用 [CreateSecret](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_CreateSecret.html) 呼叫建立秘密，其中秘密值包含上述欄位，秘密類型為 DatabricksPAT。您可以使用 [RotateSecret](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_RotateSecret.html) 呼叫來設定輪換組態。如果您選擇自行輪換，您可以省略選用`adminSecretArn`欄位。您必須在 [RotateSecret](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_RotateSecret.html) 呼叫中提供角色 ARN，授予服務輪換秘密所需的許可。如需許可政策的範例，請參閱 [安全與許可](mes-security.md)。

在輪換期間，Secrets Manager 會驗證目前的權杖並讀取其範圍。它會建立具有相同範圍的取代權杖，並將取代儲存為 AWSPENDING。它會確認新的權杖已驗證。它也會確認範圍、擁有者和新權杖`workspaceUrl`的 符合其取代的權杖。然後，它會撤銷先前的字符，並將 AWSPENDING 提升為 AWSCURRENT。

從 Secrets Manager 建立取代的那一刻起，這兩個權杖都會進行驗證，直到撤銷先前的權杖為止。在該時段內讀取秘密的應用程式不會中斷。撤銷本身最終是一致的，因為 會Databricks快取授權決策。Secrets Manager 撤銷前一個字符後，可能會在短時間內繼續被接受。當您輪換以回應可疑的登入資料洩露時，請透過 Databricks 確認不再接受字符。

Databricks 會撤銷未使用的個人存取字符 90 天。輪換只會在輪換器權杖執行時使用，因此請設定少於 90 天的輪換間隔。否則會因閒置而Databricks撤銷輪換器權杖，之後輪換會失敗。預設生命週期為 90 天的 30 天輪換間隔可滿足這兩個需求。

Secrets Manager 拒絕`workspaceUrl`解析為迴路、連結本機或私有地址的 。因此，個人存取字符輪換不支援僅透過前端-end AWS PrivateLink 到達且已停用公有存取的工作區。