Escopos de segredos
O gerenciamento de segredos começa com a criação de um escopo de segredos. Um escopo de segredos é a coleção de segredos identificada por um nome. Para acessar segredos usando os Utilitários do Databricks, consulte Utilitário de segredos (dbutils.secrets).
Um workspace é limitado a um máximo de 1000 escopos secretos. Entre em contato com a equipe de suporte do Azure Databricks se você precisar de mais informações.
Observação
A Databricks recomenda alinhar escopos secretos a funções ou aplicativos em vez de indivíduos.
Visão geral
Há dois tipos de escopo de segredos: com suporte do Azure Key Vault e com suporte do Databricks.
Escopos com suporte do Azure Key Vault
Para referenciar segredos armazenados em um Azure Key Vault, crie um escopo de segredos com suporte do Azure Key Vault. Assim, você pode aproveitar todos os segredos na instância do Key Vault correspondente desse escopo de segredos. Como o escopo de segredos com suporte do Azure Key Vault é uma interface somente leitura para o Key Vault, não há permissão para as operações PutSecret e DeleteSecret da API de Segredos. Para gerenciar segredos no Azure Key Vault, você deve usar a API REST Set Secret do Azure ou a interface do usuário do portal do Azure.
Escopos com suporte do Databricks
Um escopo de segredos com suporte do Databricks é armazenado em (tem suporte de) um banco de dados criptografado de propriedade e gerenciado pelo Azure Databricks. O nome do escopo de segredos:
- Deve ser exclusivo dentro de um workspace.
- Deve conter caracteres alfanuméricos, traços, sublinhados,
@e pontos e não pode exceder 128 caracteres.
Os nomes são considerados não confidenciais e podem ser lidos por todos os usuários no workspace.
Você cria um escopo de segredos com suporte do Databricks usando a CLI do Databricks (versão 0.205 e superior). Como alternativa, você pode usar a API de Segredos.
Permissões do escopo
Os escopos são criados com permissões controladas por ACLs secretas. Por padrão, os escopos são criados com a permissão MANAGE atribuída ao usuário que o criou (o "criador"), permitindo que ele leia e grave segredos no escopo e altere as ACLs do escopo. Se a sua conta tiver o plano Premium, você poderá atribuir permissões granulares a qualquer momento após a criação do escopo. Para obter detalhes, consulte ACLs de segredo.
Durante a criação do escopo, você também pode substituir o padrão e conceder explicitamente a permissão MANAGE a todos os usuários. Na verdade, você precisará fazer isso se a sua conta não tiver o plano Premium.
Observação
As ACLs secretas estão no nível do escopo. Se você usar escopos com suporte Azure Key Vault, os usuários que recebem acesso ao escopo terão acesso a todos os segredos no Azure Key Vault. Para restringir o acesso, utilize instâncias separadas do Azure Key Vault.
Criar um escopo de segredo com backup Azure Key Vault
Esta seção descreve como criar um escopo de segredos com suporte do Azure Key Vault usando o portal do Azure e a interface do usuário do workspace do Azure Databricks. Você também pode criar um escopo de segredo com suporte do Azure Key Vault usando a CLI do Databricks.
Requisitos
Você deve ter a função de Colaborador do Key Vault, Colaborador ou Proprietário na instância do cofre de chaves do Azure que você deseja usar para fazer o backup do escopo do segredo.
Se você não tem uma instância do de cofre de chaves, siga as instruções em Criar um Key Vault usando o portal do Azure.
Observação
A criação de um escopo de segredo com suporte do Azure Key Vault requer a função Colaborador ou Proprietário na instância do cofre de chaves do Azure, mesmo que o serviço Azure Databricks tenha recebido acesso ao cofre de chaves.
Se o cofre de chaves existir em um locatário diferente do workspace do Azure Databricks, o usuário do Azure AD que cria o escopo de segredos deverá ter permissão para criar entidades de serviço no locatário do cofre de chaves. Caso contrário, o seguinte erro ocorrerá:
Unable to grant read/list permission to Databricks service principal to KeyVault 'https://xxxxx.vault.azure.net/': Status code 403, {"odata.error":{"code":"Authorization_RequestDenied","message":{"lang":"en","value":"Insufficient privileges to complete the operation."},"requestId":"XXXXX","date":"YYYY-MM-DDTHH:MM:SS"}}
Configurar sua instância do cofre de chaves do Azure para o Azure Databricks
Faça logon no Portal do Azure, localize e selecione a instância do cofre de chaves do Azure.
Acesse a guia Configuração de Acesso em Configurações.
Defina o Modelo de permissão como Política de acesso do key vault.
Observação
A criação de uma função de escopo de segredo com suporte do Azure Key Vault concede as permissões Obter e Listar à ID do aplicativo para o serviço Azure Databricks usando as políticas de acesso do cofre de chaves. Atualmente, o modelo de permissão de controle de acesso baseado em função do Azure não tem suporte no Azure Databricks.
Selecione a guia Rede em Configurações.
Em Firewalls e redes virtuais, defina Permitir acesso de: a Permitir acesso público de redes virtuais e endereços IP específicos.
Em Exceção, selecione Permitir que serviços confiáveis da Microsoft contornem este firewall.
Observação
Você também pode definir Permitir acesso de: para Permitir acesso público de todas as redes.
Criar um escopo de segredo com backup Azure Key Vault
Ir para
https://<databricks-instance>#secrets/createScope. Substitua<databricks-instance>pela URL do workspace da sua implantação do Azure Databricks. Essa URL diferencia maiúsculas e minúsculas (o escopo emcreateScopeprecisa estar em maiúsculas).
Insira o nome do escopo de segredos. Os nomes de escopo secreto não diferenciam maiúsculas de minúsculas.
Use a lista suspensa Gerenciar Entidade de Segurança para especificar se Todos os Usuários têm a permissão MANAGE para esse escopo de segredos ou apenas o Criador do escopo de segredos (ou seja, você).
Com a permissão MANAGE, os usuários podem ler gravar nesse escopo de segredos e, no caso de contas no plano Premium, alterar as permissões do escopo.
Sua conta precisa ter o plano Premium para que você possa selecionar Criador. Essa é a abordagem recomendada: conceda a permissão MANAGE ao Criador ao criar o escopo de segredos e atribua permissões de acesso mais granulares depois de testar o escopo. Para ver um exemplo de fluxo de trabalho, confira um exemplo de fluxo de trabalho de segredo.
Se sua conta tiver o Plano Standard, você deverá definir a permissão MANAGE para o grupo "Todos os Usuários". Se você selecionar Criador aqui, verá uma mensagem de erro ao tentar salvar o escopo.
Para saber mais sobre a permissão MANAGE, confira Controle de acesso ao segredo.
Insira o Nome DNS (por exemplo,
https://databrickskv.vault.azure.net/) e a ID do Recurso, por exemplo:/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourcegroups/databricks-rg/providers/Microsoft.KeyVault/vaults/databricksKVEssas propriedades estão disponíveis na guia Configurações > Propriedades de um Azure Key Vault no portal do Azure.
Selecione o botão Criar.
Use o comando
databricks secrets list-scopesda CLI do Databricks para verificar se o escopo foi criado com sucesso.
Criar um escopo de segredo com suporte do Databricks
Os nomes de escopo secreto não diferenciam maiúsculas de minúsculas.
Para criar um escopo usando a CLI do Databricks:
databricks secrets create-scope <scope-name>
Por padrão, os escopos são criados com a permissão MANAGE atribuída ao usuário que criou o escopo. Se sua conta não tiver o plano Premium, será necessário substituir o padrão e conceder explicitamente a permissão MANAGE a "usuários" (todos os usuários) durante a criação do escopo:
databricks secrets create-scope <scope-name> --initial-manage-principal users
Também é possível criar um escopo de segredos com suporte do Databricks usando a API de Segredos.
Se a sua conta tiver o plano Premium, você poderá substituir as permissões a qualquer momento após a criação do escopo. Para obter detalhes, consulte ACLs de segredo.
Depois de criar um escopo de segredos com suporte do Databricks, você poderá adicionar segredos.
Listar escopos de segredo
Para listar os escopos existentes em um workspace usando a CLI:
databricks secrets list-scopes
Você também pode listar escopos existentes usando a API de Segredos.
Excluir um escopo de segredo
A exclusão de um escopo de segredo exclui todos os segredos e ACLs aplicados ao escopo. Para excluir um escopo usando a CLI, execute o seguinte:
databricks secrets delete-scope <scope-name>
Você também pode excluir um escopo de segredos usando a API de Segredos.