共用方式為


MS Entra 服務主體驗證

MS Entra 服務主體 驗證會使用 MS Entra 服務主體的憑證進行身份驗證。 若要建立及管理服務 Azure Databricks 的服務主體,請參閱:

注意

Databricks 建議您在大部分情況下使用 OAuth 機器對機器 (M2M) 驗證,而不是 MS Entra 服務主體驗證。 這是因為當 OAuth M2M 驗證僅使用 Azure Databricks OAuth 存取權杖進行驗證時,可更加強固。

只有在您必須同時向 Azure Databricks 和其他 Azure 資源進行驗證時,才應該使用 MS Entra 服務主體驗證。

若要使用 OAuth M2M 驗證,而不是 MS Entra 服務主體驗證,請略過本文,並參閱使用 OAuth (OAuth M2M) 透過服務主體對 Azure Databricks 的存取進行驗證

MS Entra 服務主體與 Azure 資源受控識別不同,Azure Databricks 也支援以其進行驗證。 若要瞭解如何針對 Azure 資源使用受控識別,而不是使用 MS Entra 服務主體進行 Azure Databricks 驗證,請參閱 設定和使用 Azure Databricks 自動化的 Azure 受控識別驗證

如需有關具體使用 Azure DevOps 對 Databricks 進行 Microsoft Entra 驗證的詳細資訊,請參閱使用 Databricks 上的 Azure DevOps 進行驗證

若要使用 Azure Databricks 設定 MS Entra 服務主體驗證,您必須設定下列相關聯的環境變數、.databrickscfg 字段、Terraform 欄位或 Config 欄位:

  • Azure Databricks 主機。

    • 針對帳戶作業,請指定 https://accounts.azuredatabricks.net

    • 針對工作區作業,請指定個別工作區網址,例如 https://adb-1234567890123456.7.azuredatabricks.net

      如果尚未將 MS Entra 服務主體新增至工作區,請改為指定 Azure 資源識別碼。 在此情況下,MS Entra 服務主體必須至少對 Azure 資源擁有參與者或擁有者權限。

  • 針對帳戶作業,則為 Azure Databricks 帳戶識別碼

  • Azure 資源識別碼。

  • MS Entra 服務主體的租用戶識別碼。

  • MS Entra 服務主體的用戶端識別碼。

  • MS Entra 服務主體的用戶端密碼。

若要使用 Azure Databricks 執行 MS Entra 服務主體驗證,請根據參與工具或 SDK 將下列內容整合到您的程式碼中:

若要透過工具或 SDK 將環境變數用於特定 Azure Databricks 驗證類型,請參閱對 Azure Databricks 資源的存取進行驗證或者參閱工具或 SDK 的文件。 另請參閱用戶端統一驗證的環境變數和欄位用戶端統一驗證的預設方法

針對 帳戶層級作業,請設定下列環境變數:

  • DATABRICKS_HOST設定為您的 Azure Databricks 帳戶主控台 URL https://accounts.azuredatabricks.net的值。

    • DATABRICKS_ACCOUNT_ID
    • ARM_TENANT_ID
    • ARM_CLIENT_ID
    • ARM_CLIENT_SECRET

    針對工作區層級作業 ,請設定下列環境變數:

    • DATABRICKS_HOST,將 設定為 Azure Databricks 每個工作區 URL的值,例如 https://adb-1234567890123456.7.azuredatabricks.net
    • ARM_TENANT_ID
    • ARM_CLIENT_ID
    • ARM_CLIENT_SECRET

    針對工作區層級作業,如果尚未將 MS Entra 服務主體新增至工作區,則請指定 DATABRICKS_AZURE_RESOURCE_ID 與 Azure Databricks 工作區的 Azure 資源識別碼,而不是 HOST 與工作區網址。 在此情況下,MS Entra 服務主體必須至少對 Azure Databricks 工作區的 Azure 資源擁有參與者或擁有者權限。

使用 檔案中的下列欄位,建立或識別 Azure Databricks .databrickscfg。 如果您建立設定檔,請將佔位符取代為適當的值。 若要透過工具或 SDK 使用設定檔,請參閱對 Azure Databricks 資源的存取進行驗證或者參閱工具或 SDK 的文件。 另請參閱用戶端統一驗證的環境變數和欄位用戶端統一驗證的預設方法

針對 帳戶層級作業,請在 .databrickscfg 檔案中設定下列值。 在此情況下,Azure Databricks 帳戶主控台網址為 https://accounts.azuredatabricks.net

[<some-unique-configuration-profile-name>]
host                = <account-console-url>
account_id          = <account-id>
azure_tenant_id     = <azure-service-principal-tenant-id>
azure_client_id     = <azure-service-principal-application-id>
azure_client_secret = <azure-service-principal-client-secret>

針對 工作區層級作業,請在 .databrickscfg 檔案中設定下列值。 在此情況下,主機是 Azure Databricks 個別工作區網址,例如 https://adb-1234567890123456.7.azuredatabricks.net

[<some-unique-configuration-profile-name>]
host                = <workspace-url>
azure_tenant_id     = <azure-service-principal-tenant-id>
azure_client_id     = <azure-service-principal-application-id>
azure_client_secret = <azure-service-principal-client-secret>

針對工作區層級作業,如果尚未將 MS Entra 服務主體新增至工作區,則請指定 azure_workspace_resource_id 與 Azure Databricks 工作區的 Azure 資源識別碼,而不是 host 與工作區網址。 在此情況下,MS Entra 服務主體必須至少對 Azure Databricks 工作區的 Azure 資源擁有參與者或擁有者權限。

針對 Databricks CLI,請執行下列其中一項:

  • 如本文的「環境」一節中所指定,設定環境變數。
  • .databrickscfg 檔案中的值設定為本文章「設定檔」一節中指定的內容。

環境變數一律優先於 .databrickscfg 檔案中的值。

另請參閱 Microsoft Entra ID 服務主體驗證

注意

下列 Databricks Connect 版本支援 MS Entra 服務主體驗證:

  • 對於 Python,為 Databricks Connect for Databricks Runtime 13.1 和更新版本的。
  • 針對 Scala,即為適用於 Databricks Runtime 13.3 LTS 和更新版本的 Databricks Connect。

針對 Databricks Connect,您可以執行下列其中一項:

.databrickscfg 檔案中的值一律優先於環境變數。

若要使用 .databrickscfg 檔案中的這些環境變數或值初始化 Databricks Connect 用戶端,請參閱 databricks Connect的計算組態。

針對適用於 Visual Studio Code 的 Databricks 延伸項目,請執行下列動作:

  1. 為 Azure Databricks 工作區層級作業設定 .databrickscfg 檔案中的值, 如本文的一節中所指定。
  2. 在適用於 Visual Studio Code 的 Databricks 延伸項目的 [設定] 窗格中,按下 [設定 Databricks]
  3. 在 [命令選擇區] 中,針對 [Databricks 主機],輸入個別工作區網址,例如 https://adb-1234567890123456.7.azuredatabricks.net,然後按 Enter
  4. 命令調色盤中,從 URL 清單中選取您的目標設定檔名稱。

如需詳細資料,請參閱適用於 Visual Studio Code 的 Databricks 延伸項目的驗證設定

針對帳戶層級作業,對於預設驗證

provider "databricks" {
  alias = "accounts"
}

針對直接設定(將 retrieve 佔位元取代為您自己的實作,以從主控台或其他一些組態存放區擷取值,例如 HashiCorp Vault。另請參閱 保存庫提供者)。 在此情況下,Azure Databricks 帳戶主控台網址為 https://accounts.azuredatabricks.net

provider "databricks" {
  alias               = "accounts"
  host                = <retrieve-account-console-url>
  account_id          = <retrieve-account-id>
  azure_tenant_id     = <retrieve-azure-tenant-id>
  azure_client_id     = <retrieve-azure-client-id>
  azure_client_secret = <retrieve-azure-client-secret>
}

針對工作區層級作業,對於預設驗證

provider "databricks" {
  alias = "workspace"
}

針對直接設定(將 retrieve 佔位符替換為您自己的實作程式碼,以便從主控台或其他組態存放庫中擷取值,例如 HashiCorp Vault)。另請參閱 Vault 提供者。 在此情況下,主機是 Azure Databricks 個別工作區網址,例如 https://adb-1234567890123456.7.azuredatabricks.net

provider "databricks" {
  alias               = "workspace"
  host                = <retrieve-workspace-url>
  azure_tenant_id     = <retrieve-azure-tenant-id>
  azure_client_id     = <retrieve-azure-client-id>
  azure_client_secret = <retrieve-azure-client-secret>
}

針對工作區層級作業,如果尚未將 MS Entra 服務主體新增至工作區,則請指定 azure_workspace_resource_id 與 Azure Databricks 工作區的 Azure 資源識別碼,而不是 host 與工作區網址。 在此情況下,MS Entra 服務主體必須至少對 Azure Databricks 工作區的 Azure 資源擁有參與者或擁有者權限。

如需有關使用 Databricks Terraform 提供者進行驗證的詳細資訊,請參閱驗證

針對帳戶層級作業,對於預設驗證

from databricks.sdk import AccountClient

a = AccountClient()
# ...

直接配置時(將 retrieve 佔位符替換成您自己的實作,以從控制台或其他一些組態存放區中擷取值,例如 Azure KeyVault)。 在此情況下,Azure Databricks 帳戶主控台網址為 https://accounts.azuredatabricks.net

from databricks.sdk import AccountClient

a = AccountClient(
  host                = retrieve_account_console_url(),
  account_id          = retrieve_account_id(),
  azure_tenant_id     = retrieve_azure_tenant_id(),
  azure_client_id     = retrieve_azure_client_id(),
  azure_client_secret = retrieve_azure_client_secret()
)
# ...

針對工作區層級作業,對於預設驗證

from databricks.sdk import WorkspaceClient

w = WorkspaceClient()
# ...

針對直接配置(將 retrieve 佔位符以您自己的實作替換,以從控制台或其他配置存儲如 Azure KeyVault中擷取值)。 在此情況下,主機是 Azure Databricks 個別工作區網址,例如 https://adb-1234567890123456.7.azuredatabricks.net

from databricks.sdk import WorkspaceClient

w = WorkspaceClient(
  host                = retrieve_workspace_url(),
  azure_tenant_id     = retrieve_azure_tenant_id(),
  azure_client_id     = retrieve_azure_client_id(),
  azure_client_secret = retrieve_azure_client_secret()
)
# ...

針對工作區層級作業,如果尚未將 MS Entra 服務主體新增至工作區,則請指定 azure_workspace_resource_id 與 Azure Databricks 工作區的 Azure 資源識別碼,而不是 host 與工作區網址。 在此情況下,MS Entra 服務主體必須至少對 Azure Databricks 工作區的 Azure 資源擁有參與者或擁有者權限。

如需有關透過使用 Python 並實作 Databricks 用戶端統一驗證的 Databricks 工具和 SDK 進行驗證的詳細資訊,請參閱:

針對帳戶層級作業,對於預設驗證

import com.databricks.sdk.AccountClient;
// ...
AccountClient a = new AccountClient();
// ...

針對直接配置(將 retrieve 佔位符替換成您自己的實作,以便從控制台或其他組態存放區中擷取值,例如 Azure KeyVault)。 在此情況下,Azure Databricks 帳戶主控台網址為 https://accounts.azuredatabricks.net

import com.databricks.sdk.AccountClient;
import com.databricks.sdk.core.DatabricksConfig;
// ...
DatabricksConfig cfg = new DatabricksConfig()
  .setHost(retrieveAccountConsoleUrl())
  .setAccountId(retrieveAccountId())
  .setAzureTenantId(retrieveAzureTenantId())
  .setAzureClientId(retrieveAzureClientId())
  .setAzureClientSecret(retrieveAzureClientSecret())
AccountClient a = new AccountClient(cfg);
// ...

針對工作區層級作業,對於預設驗證

import com.databricks.sdk.WorkspaceClient;
// ...
WorkspaceClient w = new WorkspaceClient();
// ...

針對直接組態(將 retrieve 佔位符替換為您自己的實施,以從控制台或其他一些組態儲存中擷取值,例如 Azure KeyVault)。 在此情況下,主機是 Azure Databricks 個別工作區網址,例如 https://adb-1234567890123456.7.azuredatabricks.net

import com.databricks.sdk.WorkspaceClient;
import com.databricks.sdk.core.DatabricksConfig;
// ...
DatabricksConfig cfg = new DatabricksConfig()
  .setHost(retrieveWorkspaceUrl())
  .setAzureTenantId(retrieveAzureTenantId())
  .setAzureClientId(retrieveAzureClientId())
  .setAzureClientSecret(retrieveAzureClientSecret())
WorkspaceClient w = new WorkspaceClient(cfg);
// ...

針對工作區層級作業,如果尚未將 MS Entra 服務主體新增至工作區,則請指定 setAzureWorkspaceResourceId 與 Azure Databricks 工作區的 Azure 資源識別碼,而不是 setHost 與工作區網址。 在此情況下,MS Entra 服務主體必須至少對 Azure Databricks 工作區的 Azure 資源擁有參與者或擁有者權限。

如需有關透過使用 Java 並實作 Databricks 用戶端統一驗證的 Databricks 工具和 SDK 進行驗證的詳細資訊,請參閱:

針對帳戶層級作業,對於預設驗證

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
a := databricks.Must(databricks.NewAccountClient())
// ...

針對直接設定(將 retrieve 佔位符替換為您自己的實作,從控制台或其他配置存儲區檢索值,例如 Azure KeyVault)。 在此情況下,Azure Databricks 帳戶主控台網址為 https://accounts.azuredatabricks.net

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
a := databricks.Must(databricks.NewAccountClient(&databricks.Config{
  Host:              retrieveAccountConsoleUrl(),
  AccountId:         retrieveAccountId(),
  AzureTenantId:     retrieveAzureTenantId(),
  AzureClientId:     retrieveAzureClientId(),
  AzureClientSecret: retrieveAzureClientSecret(),
}))
// ...

針對工作區層級作業,對於預設驗證

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
w := databricks.Must(databricks.NewWorkspaceClient())
// ...

針對直接設定(將 retrieve 佔位符取代為您自己的實現,以從終端機或其他設定儲存區獲取值,例如 Azure KeyVault)。 在此情況下,主機是 Azure Databricks 個別工作區網址,例如 https://adb-1234567890123456.7.azuredatabricks.net

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
w := databricks.Must(databricks.NewWorkspaceClient(&databricks.Config{
  Host:              retrieveWorkspaceUrl(),
  AzureTenantId:     retrieveAzureTenantId(),
  AzureClientId:     retrieveAzureClientId(),
  AzureClientSecret: retrieveAzureClientSecret(),
}))
// ...

針對工作區層級作業,如果尚未將 MS Entra 服務主體新增至工作區,則請指定 AzureWorkspaceResourceId 與 Azure Databricks 工作區的 Azure 資源識別碼,而不是 Host 與工作區網址。 在此情況下,MS Entra 服務主體必須至少對 Azure Databricks 工作區的 Azure 資源擁有參與者或擁有者權限。

如需使用 Go 和實作 Databricks 用戶端統一驗證的 Databricks 工具和 SDK 進行驗證的詳細資訊,請參閱使用 Azure Databricks 帳戶或工作區驗證適用於 Go 的 Databricks SDK