Databricks 第7篇：管理Secret

Azure中的Secret是指密码、凭证和密钥等，举个例子，使用Azure Databricks Secret来存储凭证，并在notebook和job中引用它们，而不是直接在notebook中输入凭据。

Secret Scope是Secret的集合，每个Secret是由name惟一肯定的。每个Databricks 的workspace最多建立100个Secret Scope。Azure 支持两种类型的Secret Scope：Azure Key Vault-backed 和 Databricks-backed。

• 基于Azure Key Vault的Secret Scope：要引用存储在Azure Key Vault中的Secret，能够建立基于Azure Key Vault的Secret Scope，基于Azure Key Vault的Secret Scope对于Key Vault来讲是只读的。 
• 基于Databricks的Secret Scope：基于Databricks的Secret Scope存储在由Azure Databricks拥有和管理的加密数据库中，Secret Scope的name在工做空间中必须惟一，必须包含字母数字字符，破折号，下划线和句点，而且不得超过128个字符。名称被认为是不敏感的，而且工做空间中的全部用户均可以读取。 

本文重点介绍基于Azure Key Vault的Secret Scope。

一，建立基于Azure Key Vault的Secret Scope

使用 Azure Portal UI建立Azure Key Vault-backed 的 secret scope。首先，在建立该类型的Secret Scope以前，确保对Azure Key Vault实例具备Contributor权限。

打开网页“https://<databricks-instance>#secrets/createScope”，这个URL是大小写敏感的，注意URL中的“createScope”，其中的“Scope”首字母必须是大写的。

主要的配置选项：

• Scope Name：指定Secret Scope的name，该名称是大小写敏感的。
• Manage Principal：用于定义该Secret Scope的Manage Principal（拥有管理权限的安全主体），选项All Users表示全部的用户都有MANAGE权限，选项Creator表示只有Secret Scope的建立者拥有MANAGE权限。MANAGE权限拥有对Secret Scope的读写权限，推荐选项是Creator，把MANAGE权限只受权给Creator。可是，用户的帐户必须具备Azure Databricks Premium Plan ，才能够选择Creator。
• DNS Name：是Vault URI，从Key Vault的Properties面板中能够查看到。
• Resource ID：从Azure Key Valut的属性面板中能够查看到Resource ID。

二，我的访问Token

若是要访问Databricks REST API，可使用Databricks personal access tokens来进行权限验证。

点击Databricks 工做区右上角的user profile icon

点击“User Settings”，进入到“User Settings”页面，在该页面中点击“Generage New Token”生成新的Token。

注意：要把Token保存起来，再次进入该页面，Token再也不可见。

三：配置Databricks CLI

使用Databricks CLI  (command-line interface)命令来验证Secret Scope是否建立成功。

Step1：安装Databricks CLI

pip install databricks-cli

查看Databricks CLI是否安装成功，能够运行Databricks CLI -h得到help文档：

databricks -h

Step2：配置验证信息

输入Databricks Host，并输入生成的我的访问Token

databricks configure --token
Databricks Host (should begin with https://):
Token:<personal-access-token>

Step3：查看Secret Scope列表

databricks secrets list-scopes

Step4：删除Secret Scope

注意：<scope-name>是大小写敏感的。

databricks secrets delete-scope --scope <scope-name>

 

 

参考稳定：

Authentication using Azure Databricks personal access tokens

Secret management

Databricks CLI