Použití spravovaných identit Azure s Azure Databricks

Na této stránce se dozvíte, jak nastavit a používat ověřování spravovaných identit Azure k automatizaci účtů a pracovních prostorů Azure Databricks.

Azure automaticky spravuje identity v Microsoft Entra ID pro aplikace k ověřování pomocí prostředků, které podporují ověřování Microsoft Entra ID, včetně účtů a pracovních prostorů Azure Databricks. Tato metoda ověřování získá tokeny MICROSOFT Entra ID bez nutnosti správy přihlašovacích údajů.

Tato stránka vás provede procesem vytvoření uživatelsky přiřazené spravované identity a jejím přiřazením k vašemu účtu Azure Databricks, pracovnímu prostoru a virtuálnímu počítači Azure. Pak na virtuálním počítači Azure nainstalujete a nakonfigurujete rozhraní příkazového řádku Databricks tak, aby používalo ověřování spravovaných identit Azure a spouštěly příkazy k automatizaci účtu a pracovního prostoru Azure Databricks.

Poznámka:

Spravované identity pro prostředky Azure se liší od instančních objektů spravovaných Microsoft Entra ID, které Azure Databricks podporuje také pro ověřování. Informace o tom, jak místo toho používat spravované hlavní služby Microsoft Entra ID pro ověřování Azure Databricks, viz:

Požadavky

Krok 1: Vytvoření spravované identity přiřazené uživatelem

Vytvořte spravovanou identitu přiřazenou uživatelem pro prostředky Azure. Azure podporuje spravované identity přiřazené systémem i spravované identity přiřazené uživatelem. Databricks doporučuje používat spravované identity přiřazené uživatelem pro ověřování spravovaných identit Azure pomocí Azure Databricks.

Pokud chcete vytvořit spravovanou identitu přiřazenou uživatelem, postupujte podle pokynů v tématu Správa spravovaných identit přiřazených uživatelem pomocí webu Azure Portal.

Po vytvoření spravované identity zkopírujte hodnotu ID klienta ze stránky přehledu spravované identity. Tuto hodnotu budete potřebovat v krocích 2, 3 a 7.

Krok 2: Přiřazení spravované identity k účtu

Přiřaďte spravovanou identitu k účtu Azure Databricks. Databricks zpracovává spravované identity jako služební principy. Pokud nepotřebujete přístup na úrovni účtu, přejděte ke kroku 3.

Postupujte podle pokynů v části Přidání hlavních prvků služby do vašeho účtu. Zvolte Spravované ID Microsoft Entra a vložte ID klienta z kroku 1 jako ID aplikace Microsoft Entra.

Krok 3: Přiřazení spravované identity k pracovnímu prostoru

Přiřaďte spravovanou identitu k pracovnímu prostoru Azure Databricks. Databricks zpracovává spravované identity jako služební principy. Postupujte podle pokynů v části Přiřazení service principal k pracovnímu prostoru.

Při přidávání principálu služby:

  • Pokud je váš pracovní prostor povolený pro federaci identit: Vyberte instanční objekt, který jste vytvořili v kroku 2.
  • Pokud váš pracovní prostor není povolený pro federaci identit: Jako ID aplikace použijte ID klienta z kroku 1.

Krok 4: Získání ID prostředku Azure pro váš pracovní prostor

Získejte ID prostředku, které Azure přiřadí k vašemu pracovnímu prostoru Azure Databricks. Tuto hodnotu budete potřebovat v kroku 7.

  1. V pracovním prostoru Azure Databricks klikněte na své uživatelské jméno v horním panelu a klikněte na Azure Portal.

  2. V bočním podokně v části Nastavení klikněte na Vlastnosti.

  3. V části Základy zkopírujte hodnotu ID . Měl by vypadat nějak takto:

    /subscriptions/<subscription-id>/resourceGroups/<resource-group-id>/providers/Microsoft.Databricks/workspaces/<workspace-id>

Krok 5: Vytvoření a přihlášení k virtuálnímu počítači Azure

Virtuální počítače Azure jsou jedním z typů prostředků, které podporují spravované identity. Tento virtuální počítač použijete ke spuštění rozhraní příkazového řádku Databricks s ověřováním spravovaných identit.

Poznámka:

Tento virtuální počítač Azure slouží jenom pro demonstrační účely a používá nastavení, která nejsou optimalizovaná pro produkční použití.

Pokud chcete vytvořit virtuální počítač s Ubuntu Serverem a připojit se k němu pomocí ověřování SSH, postupujte podle pokynů v rychlém startu: Vytvoření virtuálního počítače s Linuxem na webu Azure Portal.

Při vytváření virtuálního počítače:

  • Jako image použijte Ubuntu Server 22.04 LTS .
  • Jako typ ověřování vyberte veřejný klíč SSH .
  • Poznamenejte si umístění staženého souboru privátního klíče (.pem) a veřejné IP adresy virtuálního počítače, protože je budete potřebovat pro připojení k virtuálnímu počítači.

Krok 6: Přiřazení spravované identity k virtuálnímu počítači Azure

Přidružte spravovanou identitu k virtuálnímu počítači Azure, aby ji Azure mohl použít k ověřování. Viz Přiřazení spravované identity přiřazené uživatelem k existujícímu virtuálnímu počítači.

  1. Na webu Azure Portal přejděte na stránku nastavení virtuálního počítače Azure a v části Nastavení klikněte na Možnost Identita.
  2. Na kartě Přiřazený uživatel klikněte na + Přidat.
  3. Vyberte spravovanou identitu, kterou jste vytvořili v kroku 1, a klikněte na Přidat.

Krok 7: Konfigurace ověřování

Nainstalujte a nakonfigurujte rozhraní příkazového řádku Databricks na virtuálním počítači Azure tak, aby používalo ověřování spravovaných identit Azure.

Instalace rozhraní příkazového řádku

Z relace SSH na virtuálním počítači Azure nainstalujte rozhraní příkazového řádku Databricks:

sudo apt install unzip
curl -fsSL https://raw.githubusercontent.com/databricks/setup-cli/main/install.sh | sudo sh

Ověřte instalaci:

databricks -v

Přidání konfiguračních profilů

Vytvořte nebo upravte .databrickscfg soubor v domovském adresáři (~/.databrickscfg) s následujícím obsahem. Viz konfigurační profily Azure Databricks.

Nahraďte následující hodnoty:

  • <account-console-url> s adresou URL konzoly účtu Azure Databricks.
  • <account-id> s ID účtu Azure Databricks. Viz Vyhledání ID účtu.
  • <azure-managed-identity-application-id> s hodnotou ID klienta pro vaši spravovanou identitu z kroku 1.
  • <workspace-url> s adresou URL pro jednotlivé pracovní prostory, například https://adb-1234567890123456.7.azuredatabricks.net.
  • <azure-workspace-resource-id> s ID prostředku Azure z kroku 4.
  • Volitelně můžete nahradit navrhované názvy AZURE_MI_ACCOUNT konfiguračních profilů a AZURE_MI_WORKSPACE různými názvy.

Pokud nepotřebujete operace na úrovni účtu, vymižte [AZURE_MI_ACCOUNT] oddíl.

[AZURE_MI_ACCOUNT]
host            = <account-console-url>
account_id      = <account-id>
azure_client_id = <azure-managed-identity-application-id>
azure_use_msi   = true

[AZURE_MI_WORKSPACE]
host                        = <workspace-url>
azure_workspace_resource_id = <azure-workspace-resource-id>
azure_client_id             = <azure-managed-identity-application-id>
azure_use_msi               = true

Krok 8: Otestování konfigurace

Otestujte konfiguraci spuštěním příkazů Databricks CLI z vaší SSH relace na Azure VM.

Pokud chcete otestovat přístup na úrovni účtu (pokud jste ho nakonfigurovali v kroku 7):

databricks account users list -p AZURE_MI_ACCOUNT

Testování přístupu na úrovni pracovního prostoru:

databricks users list -p AZURE_MI_WORKSPACE

Pokud jste přejmenovali konfigurační profily v kroku 7, nahraďte AZURE_MI_ACCOUNT nebo AZURE_MI_WORKSPACE vlastními názvy.

  • Last updated on