Databricks 第7篇：管理Secret

有时，访问数据要求您通过JDBC对外部数据源进行身份验证，可以使用Azure Databricks Secret来存储凭据，并在notebook和job中引用它们，而不是直接在notebook中输入凭据。

要配置一个Secret，需要分三步：

创建secret scope，scope name是大小写敏感的。
把secret添加到secret scope中，secret name是大小写敏感的。
把权限授予secret scope。

一，Secret Scope简介

Secret Scope是Secret的集合，每一个Secret是由name唯一确定的。每一个Databricks 的workspace最多创建100个Secret Scope。Azure 支持两种类型的Secret Scope：Azure Key Vault-backed 和 Databricks-backed。

1，基于Azure Key Vault的Secret Scope

要引用存储在Azure Key Vault中的Secret，可以创建基于Azure Key Vault的Secret Scope，基于Azure Key Valut的Secret Scope对于Key Valut来说是只读的。本文重点介绍基于Azure Key Valut的Secret Scope。

2，基于Databricks的Secret Scope

基于Databricks的Secret Scope存储在由Azure Databricks拥有和管理的加密数据库中，Secret Scope的name在工作空间中必须唯一，必须包含字母数字字符，破折号，下划线和句点，并且不得超过128个字符。名称被认为是不敏感的，并且工作空间中的所有用户都可以读取。

二，创建基于Azure Key Vault的Secret Scope

使用 Azure Portal UI创建Azure Key Vault-backed 的 secret scope。首先，在创建该类型的Secret Scope之前，确保对Azure Key Valut实例具有Contributor权限。

打开网页“https://<databricks-instance>#secrets/createScope”，这个URL是大小写敏感的，注意URL中的“createScope”，其中的“Scope”首字母必须是大写的。

主要的配置选项：

Scope Name：指定Secret Scope的name，该名称是大小写敏感的。
Manage Principal：用于定义该Secret Scope的Manage Principal（拥有管理权限的安全主体），选项All Users表示所有的用户都有MANAGE权限，选项Creator表示只有Secret Scope的创建者拥有MANAGE权限。MANAGE权限拥有对Secret Scope的读写权限，推荐选项是Creator，把MANAGE权限只授权给Creator。但是，用户的账户必须具有Azure Databricks Premium Plan ，才可以选择Creator。
DNS Name：是Valut URI，从Key Valut的Properties面板中可以查看到。
Resource ID：从Azure Key Valut的属性面板中可以查看到Resource ID。

三，个人访问Token

如果要访问Databricks REST API，可以使用Databricks personal access tokens来进行权限验证。

点击Databricks 工作区右上角的user profile icon

点击“User Settings”，进入到“User Settings”页面，在该页面中点击“Generage New Token”生成新的Token。

注意：要把Token保存起来，再次进入该页面，Token不再可见。

四：配置Databricks CLI

使用Databricks CLI 命令来验证Secret Scope是否创建成功。

Step1：安装Databricks CLI

pip install databricks-cli

Step2：配置验证信息

输入Databricks Host，并输入生成的个人访问Token

databricks configure --token

Step3：查看Secret Scope列表

databricks secrets list-scopes

参考稳定：

Authentication using Azure Databricks personal access tokens

Secret management

Databricks CLI