Databricks 服務委託人 OAuth 用戶端秘密

秘密值欄位

以下是必須包含在 Secrets Manager 秘密中的欄位：

{
  "accountId": "Databricks account UUID",
  "servicePrincipalId": "Numeric service principal ID",
  "clientId": "Service principal application UUID",
  "clientSecret": "dose followed by the secret value",
  "oauthSecretId": "Hexadecimal OAuth secret ID"
}

accountId

Databricks 您的帳戶 ID，即 UUID。

servicePrincipalId

服務主體的數值內部 ID。此值與應用程式 ID 不同。

clientId

服務主體的應用程式 ID。Secrets Manager 會像在 OAuth 請求client_id中一樣傳送。

clientSecret

目前的 OAuth 用戶端秘密。Secrets Manager 會輪換此欄位。

oauthSecretId

目前 OAuth 秘密的 Databricks ID。Secrets Manager 會使用它來讀取目前秘密的範圍，並刪除其取代的秘密。

秘密中繼資料欄位

以下是 Databricks Service Principal OAuth Client Secret 的中繼資料欄位：

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatabricksAdminServicePrincipal",
  "secretLifetimeDays": "730"
}

adminSecretArn

（選用） 輪換此秘密之 DatabricksSPSecret 類型的另一個秘密的 Amazon Resource Name (ARN)。省略此欄位，讓服務主體輪換自己的秘密。

secretLifetimeDays

（選用） 每個新秘密的生命週期，以天為單位。值必須大於您的輪換間隔。上限為 730。預設：730。

用量流程

此輪換類型支援兩種模式。在自我輪換中，服務主體會輪換自己的秘密。在輔助輪換中，第二個服務主體會輪換它。執行輪換的服務主體需要 account_admin角色，因為 OAuth 秘密端點是帳戶層級。

您可以使用 CreateSecret 呼叫建立秘密，其中秘密值包含上述欄位，秘密類型為 DatabricksSPSecret。您可以使用 RotateSecret 呼叫來設定輪換組態。如果您選擇自行輪換，您可以省略選用adminSecretArn欄位。您必須在 RotateSecret 呼叫中提供角色 ARN，授予服務輪換秘密所需的許可。如需許可政策的範例，請參閱 安全與許可。

在輪換期間，Secrets Manager 會使用用戶端登入資料流程請求存取字符。它會建立替代秘密，以承載其取代的秘密範圍，並將取代儲存為 AWSPENDING。它確認新的秘密已驗證。然後，它會刪除先前的秘密，並將 AWSPENDING 提升為 AWSCURRENT。

服務主體最多支援五個 OAuth 秘密。如果服務主體已經擁有五個 ， 會Databricks拒絕請求且輪換失敗。再次輪換之前，請先刪除未使用的秘密。

此類型所需的account_admin角色與Databricks個人存取字符輪換所需的工作區存取不同。單一授予不會涵蓋這兩個流程。