Abrufen von Microsoft Entra ID-Token für Microsoft Entra ID-Dienstprinzipale mithilfe der Azure-Befehlszeilenschnittstelle
Wichtig
In diesem Artikel wird beschrieben, wie Sie mithilfe der Azure CLI manuell Microsoft Entra ID-Token für Microsoft Entra ID-Dienstprinzipale erstellen.
Verwaltete Dienstprinzipale von Azure Databricks werden direkt in Azure Databricks verwaltet. Verwaltete Dienstprinzipale der Microsoft Entra ID werden in der Microsoft Entra ID verwaltet, die zusätzliche Berechtigungen erfordert. Databricks empfiehlt für die meisten Anwendungsfälle durch Azure Databricks verwaltete Dienstprinzipale zu verwenden. Databricks empfiehlt jedoch auch, verwaltete Dienstprinzipale von Microsoft Entra ID in Fällen zu verwenden, in denen Sie sich bei Azure Databricks und anderen Azure-Ressourcen gleichzeitig authentifizieren müssen.
Informationen zum Erstellen eines verwalteten Dienstprinzipals von Azure Databricks anstelle eines verwalteten Dienstprinzipals von Microsoft Entra ID finden Sie unter Verwalten von Dienstprinzipalen.
Databricks empfiehlt nicht, Microsoft Entra ID-Tokens für Microsoft Entra ID-Dienstprinzipale manuell zu erstellen. Der Grund dafür ist, dass jedes Microsoft Entra ID-Token kurzlebig ist und normalerweise innerhalb einer Stunde abläuft. Nach diesem Zeitpunkt müssen Sie manuell ein Microsoft Entra ID-Ersatztoken generieren. Verwenden Sie stattdessen eines der teilnehmenden Tools oder SDKs, die den Databricks-Clientstandard für die einheitliche Authentifizierung implementieren. Diese Tools und SDKs generieren und ersetzen automatisch abgelaufene Microsoft Entra ID-Tokens für Sie, wobei die folgenden Databricks-Authentifizierungstypen verwendet werden:
Sie können die Azure CLI verwenden, um Microsoft Entra ID-Zugriffstoken für Microsoft Entra ID-Dienstprinzipale abzurufen.
Sammeln Sie die folgenden Informationen:
Parameter Beschreibung Tenant ID
Directory (tenant) ID
für die zugehörige in Microsoft Entra ID registrierte Anwendung.Client ID
Application (client) ID
für die zugehörige in Microsoft Entra ID registrierte Anwendung.Client secret
Value
des geheimen Clientschlüssels für die zugehörige in Microsoft Entra ID registrierte Anwendung.Rufen Sie die richtige Azure-Abonnement-ID für den Microsoft Entra ID-Dienstprinzipal ab, wenn Sie diese ID noch nicht kennen. Gehen Sie dazu wie folgt vor:
Klicken Sie auf der oberen Navigationsleiste Ihres Azure Databricks-Arbeitsbereichs auf Ihren Benutzernamen, und wählen Sie Azure-Portal aus. Klicken Sie auf der angezeigten Ressourcenseite des Azure Databricks-Arbeitsbereichs in der Seitenleiste auf Übersicht. Suchen Sie dann nach dem Feld Abonnement-ID, das die Abonnement-ID enthält.
Verwenden Sie die Azure CLI, um den Befehl az databricks workspace list auszuführen, indem Sie die Optionen
--query
und-o
oder--output
verwenden, um die Ergebnisse einzugrenzen. Ersetzen Sieadb-0000000000000000.0.azuredatabricks.net
durch den Namen Ihrer Arbeitsbereichsinstanz ohnehttps://
. In diesem Beispiel ist00000000-0000-0000-0000-000000000000
nach/subscriptions/
in der Ausgabe die Abonnement-ID.az databricks workspace list --query "[?workspaceUrl==\`adb-0000000000000000.0.azuredatabricks.net\`].{id:id}" -o tsv # /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-rg/providers/Microsoft.Databricks/workspaces/my-ws
Wenn die folgende Meldung angezeigt wird, sind Sie bei dem falschen Mandanten angemeldet:
The subscription of '<subscription-id>' doesn't exist in cloud 'AzureCloud'.
Um sich bei dem richtigen Mandanten anzumelden, müssen Sie denaz login
-Befehl erneut ausführen und dabei die Option-t
oder--tenant
verwenden, um die richtige Mandanten-ID anzugeben.Sie können die Mandanten-ID für einen Azure Databricks-Arbeitsbereich abrufen, indem Sie den Befehl
curl -v <per-workspace-URL>/aad/auth
ausführen und in der Ausgabe nach< location: https://login.microsoftonline.com/00000000-0000-0000-0000-000000000000
suchen, wobei00000000-0000-0000-0000-000000000000
die Mandanten-ID ist. Siehe auch Abrufen von Abonnement- und Mandanten-IDs im Azure-Portal.az login -t <tenant-id>
Wenn Sie über die richtigen Werte für die Azure-Mandanten-ID, die Client-ID, den geheimen Clientschlüssel und die Abonnement-ID für Ihren Microsoft Entra ID-Dienstprinzipal verfügen, melden Sie sich mit der Azure CLI bei Azure an, um den Befehl az login auszuführen. Verwenden Sie die Option
--service-principal
zusammen mit den Werten für die ParameterTenant ID
(Directory (tenant) ID
),Client ID
(Application (client) ID
) undClient secret
(Value
) für die zugehörige Anwendung, die in Microsoft Entra ID registriert ist.az login \ --service-principal \ -t <Tenant-ID> \ -u <Client-ID> \ -p <Client-secret>
Vergewissern Sie sich, dass Sie beim richtigen Abonnement für den angemeldeten Microsoft Entra ID-Dienstprinzipal angemeldet sind. Führen Sie dazu den Befehl az account set aus. Verwenden Sie dabei die Option
-s
oder--subscription
, um die richtige Abonnement-ID anzugeben.az account set -s <subscription-id>
Generieren Sie das Microsoft Entra ID-Zugriffstoken für den angemeldeten Microsoft Entra ID-Dienstprinzipal, indem Sie den Befehl az account get-access-token ausführen. Verwenden Sie die
--resource
-Option, um die eindeutige Ressourcen-ID für den Azure Databricks-Dienst anzugeben, nämlich2ff814a6-3304-4ab8-85cb-cd0e6f879c1d
. Sie können nur den Wert des Microsoft Entra ID-Token in der Ausgabe des Befehls anzeigen, indem Sie die Optionen--query
und-o
oder--output
verwenden.az account get-access-token \ --resource 2ff814a6-3304-4ab8-85cb-cd0e6f879c1d \ --query "accessToken" \ -o tsv
Hinweis
Die MSAL-basierte Azure CLI verwendet Microsoft Authentication Library (MSAL) als die zugrunde liegende Authentifizierungsbibliothek. Wenn Sie das Microsoft Entra ID-Zugriffstoken, das die Azure-Befehlszeilenschnittstelle generiert, nicht erfolgreich verwenden können, können Sie als Alternative versuchen, direkt MSAL zu verwenden, um ein Microsoft Entra ID-Zugriffstoken für einen Microsoft Entra ID-Dienstprinzipal abzurufen. Weitere Informationen finden Sie unter Abrufen von Microsoft Entra ID-Token für Dienstprinzipale.