Erstellen und Verwalten von Datenempfängern für Delta Sharing: Azure Databricks

Artikel
08/07/2024

In diesem Artikel wird erläutert, wie Sie Empfänger für Delta Sharing erstellen und verwalten.

Ein Empfänger ist ein benanntes Objekt, das die Identität eines Benutzers oder einer Benutzergruppe in der realen Welt darstellt, der bzw. die freigegebene Daten nutzt. Die Vorgehensweise bei der Erstellung von Empfängern hängt davon ab, ob der Empfänger Zugriff auf einen Databricks-Arbeitsbereich mit Unterstützung von Unity Catalog hat:

Für Empfänger mit Zugriff auf einen Databricks-Arbeitsbereich mit Unity Catalog-Unterstützung können Sie ein Empfängerobjekt mit einer sicheren Verbindung erstellen, die vollständig von Databricks verwaltet wird. Dieser Freigabemodus wird als Databricks-zu-Databricks-Freigabe bezeichnet.
Für Empfänger ohne Zugriff auf einen Databricks-Arbeitsbereich mit Unity Catalog-Unterstützung muss eine offene Freigabe mit einer sicheren Verbindung verwendet werden, die mittels tokenbasierter Authentifizierung verwaltet wird.

Weitere Informationen zu diesen beiden Freigabemodi und dazu, wann welcher Modus verwendet werden muss, finden Sie in der Gegenüberstellung von offener Freigabe und Databricks-zu-Databricks-Freigabe.

Anforderungen

So erstellen Sie einen Empfänger

Sie müssen ein Metastore-Administrator sein oder über die Berechtigung CREATE_RECIPIENT für den Unity Catalog-Metastore verfügen, in dem die freizugebenden Daten registriert sind.
Sie müssen den Empfänger mithilfe eines Azure Databricks-Arbeitsbereichs erstellen, in dem der Unity Catalog-Metastore angefügt ist.
Wenn Sie zum Erstellen des Empfängers ein Databricks-Notebook verwenden, muss Ihr Cluster mindestens über Databricks Runtime 11.3 LTS verfügen und einen entweder den gemeinsamen Clusterzugriffsmodus oder den Clusterzugriffsmodus für Einzelbenutzer verwenden.

Informationen zu anderen Empfängerverwaltungsvorgängen (z. B. Anzeigen, Löschen, Aktualisieren und Gewähren von Zugriff auf eine Freigabe) finden Sie in den Berechtigungsanforderungen, die in den vorgangsspezifischen Abschnitten dieses Artikels aufgeführt sind.

Wenn Ihr Datenempfänger Zugriff auf einen Databricks-Arbeitsbereich mit Unity Catalog-Unterstützung hat, können Sie ein Empfängerobjekt mit dem Authentifizierungstyp DATABRICKS erstellen.

Ein Empfängerobjekt mit dem Authentifizierungstyp DATABRICKS stellt einen Datenempfänger in einem bestimmten Unity Catalog-Metastore dar, der in der Empfängerobjektdefinition durch einen Freigabebezeichner identifiziert wird. Hierbei handelt es sich um eine Zeichenfolge, die sich aus der Cloud, Region und UUID des Metastores zusammensetzt. Auf die für diesen Empfänger freigegebenen Daten kann nur in diesem Metastore zugegriffen werden.

Schritt 1: Anfordern des Freigabebezeichners des Empfängers

Bitten Sie einen Empfängerbenutzer, Ihnen den Freigabebezeichner für den Unity Catalog-Metastore zu senden, der an die Arbeitsbereiche angefügt ist, in denen der Empfängerbenutzer oder die Empfängerbenutzergruppe mit den freigegebenen Daten arbeitet.

Der Freigabebezeichner ist eine Zeichenfolge mit der Cloud, der Region und der UUID (eindeutiger Bezeichner für den Metastore) des Metastores im Format <cloud>:<region>:<uuid>.

Im folgenden Screenshot ist der vollständige Freigabebezeichner beispielsweise die Zeichenfolge aws:us-west-2:19a84bee-54bc-43a2-87de-023d0ec16016.

Der Empfänger kann den Bezeichner per Katalog-Explorer, über die Databricks Unity Catalog-Befehlszeilenschnittstelle oder mithilfe der SQL-Standardfunktion CURRENT_METASTORE in einem Databricks-Notebook oder in einer Databricks SQL-Abfrage ermitteln, die in einem Cluster mit Unity Catalog-Unterstützung für den zu verwendenden Arbeitsbereich ausgeführt wird.

Katalog-Explorer

So rufen Sie den Freigabebezeichner mithilfe des Katalog-Explorers ab

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie rechts oben auf der Registerkarte Für mich freigegeben auf den Namen der Organisation für die Databricks-Freigabe, und wählen Sie Freigabebezeichner kopieren aus.

SQL

Führen Sie in einem Notebook oder im Databricks SQL-Abfrage-Editor den folgenden Befehl aus:

SELECT CURRENT_METASTORE();

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks-Befehlszeilenschnittstelle den folgenden Befehl aus. Der Freigabebezeichner wird als global_metastore_id zurückgegeben.

databricks metastores summary

Sie können den Empfänger unterstützen, indem Sie Ihrem Ansprechpartner die in diesem Schritt enthaltenen Informationen senden. Alternativ können Sie auf den Abschnitt Erhalten von Zugriff im Databricks-zu-Databricks-Modell verweisen.

Schritt 2: Erstellen des Empfängers

Sie können den Katalog-Explorer, die Databricks Unity Catalog-Befehlszeilenschnittstelle oder den SQL-Befehl CREATE RECIPIENT in einem Azure Databricks-Notebook oder im Databricks SQL-Abfrage-Editor verwenden, um einen Empfänger für die Databricks-zu-Databricks-Freigabe zu erstellen.

Erforderliche Berechtigungen: Sie müssen ein Metastore-Administrator oder ein Benutzer mit der Berechtigung CREATE_RECIPIENT für den Unity Catalog-Metastore sein, in dem die freizugebenden Daten registriert sind.

Katalog-Explorer

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie auf der Registerkarte Von mir freigegeben auf Neuer Empfänger.
Geben Sie unter Empfängername den Namen und unter Freigabebezeichner den Freigabebezeichner ein.

Verwenden Sie die gesamte Zeichenfolge des Freigabebezeichners im Format <cloud>:<region>:<uuid>. Beispiel: aws:us-west-2:19a84bee-54bc-43a2-87de-023d0ec16016.
(Optional) Geben Sie einen Kommentar ein.
Klicken Sie auf Erstellen.
(Optional) Erstellen Sie benutzerdefinierte Empfängereigenschaften.

Klicken Sie auf Eigenschaften bearbeiten > +Eigenschaft hinzufügen. Fügen Sie dann einen Eigenschaftsnamen (Schlüssel) und einen Wert hinzu. Details finden Sie unter Verwalten von Empfängereigenschaften.

SQL

Führen Sie in einem Notebook oder im Databricks SQL-Abfrage-Editor den folgenden Befehl aus:

CREATE RECIPIENT [IF NOT EXISTS] <recipient-name>
USING ID '<sharing-identifier>'
[COMMENT "<comment>"];

Verwenden Sie die gesamte Zeichenfolge des Freigabebezeichners im Format <cloud>:<region>:<uuid>. Beispiel: aws:eu-west-1:g0c979c8-3e68-4cdf-94af-d05c120ed1ef.

Sie können auch benutzerdefinierte Eigenschaften für den Empfänger hinzufügen. Details finden Sie unter Verwalten von Empfängereigenschaften.

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks CLI den folgenden Befehl aus. Ersetzen Sie folgende Platzhalterwerte:

<recipient-name>: Name des Empfängers
<sharing-identifier>: Die gesamte Zeichenfolge des Freigabebezeichners im Format <cloud>:<region>:<uuid>. Beispiel: aws:eu-west-1:g0c979c8-3e68-4cdf-94af-d05c120ed1ef.
<authentication-type>: Wird auf DATABRICKS festgelegt, wenn eine Zeichenfolge für den Freigabebezeichner im Format <cloud>:<region>:<uuid> für <sharing-identifier> bereitgestellt wird.

databricks recipients create <recipient-name> <authentication-type> --sharing-code <sharing-identifier>

Sie können auch benutzerdefinierte Eigenschaften für den Empfänger hinzufügen. Details finden Sie unter Verwalten von Empfängereigenschaften.

Der Empfänger wird mit dem folgenden Authentifizierungstyp (authentication_type) erstellt: DATABRICKS

Wenn Sie Daten für Benutzer außerhalb Ihres Azure Databricks-Arbeitsbereichs freigeben möchten (unabhängig davon, ob diese Benutzer Databricks verwenden), können Sie Ihre Daten mithilfe der offenen Freigabe von Delta Sharing sicher freigeben. So funktioniert es:

Als Datenanbieter erstellen Sie das Empfängerobjekt in Ihrem Unity Catalog-Metastore.
Wenn Sie das Empfängerobjekt erstellen, generiert Azure Databricks ein Token, eine Anmeldeinformationsdatei, die das Token enthält, und einen Aktivierungslink, den Sie an den Empfänger weitergeben. Das Empfängerobjekt hat den Authentifizierungstyp TOKEN.
Der Empfänger greift auf den Aktivierungslink zu, lädt die Anmeldeinformationsdatei herunter und verwendet sie, um sich zu authentifizieren und Lesezugriff auf die Tabellen zu erhalten, die Sie in die Freigaben einschließen, auf die Sie dem Empfänger Zugriff gewähren.

Schritt 1: Erstellen des Empfängers

Katalog-Explorer

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie auf der Registerkarte Von mir freigegeben auf Neuer Empfänger.
Geben Sie unter Name den Namen des Empfängers ein.
(Optional) Geben Sie einen Kommentar ein.
Klicken Sie auf Erstellen.

Für Empfänger der offenen Freigabe wird der Freigabebezeichner nicht verwendet.
Kopieren Sie den Aktivierungslink.

Alternativ können Sie den Aktivierungslink später abrufen. Weitere Informationen finden Sie unter Schritt 2: Abrufen des Aktivierungslinks.
(Optional) Erstellen Sie benutzerdefinierte Empfängereigenschaften.

Klicken Sie auf der Registerkarte Details des Empfängers auf Eigenschaften bearbeiten > +Eigenschaft hinzufügen. Fügen Sie dann einen Eigenschaftsnamen (Schlüssel) und einen Wert hinzu. Details finden Sie unter Verwalten von Empfängereigenschaften.

SQL

Führen Sie in einem Notebook oder im Databricks SQL-Abfrage-Editor den folgenden Befehl aus:

CREATE RECIPIENT [IF NOT EXISTS] <recipient-name>
[COMMENT "<comment>"];

Sie können auch benutzerdefinierte Eigenschaften für den Empfänger hinzufügen. Details finden Sie unter Verwalten von Empfängereigenschaften.

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks CLI den folgenden Befehl aus.

databricks recipients create <recipient-name>

Sie können auch benutzerdefinierte Eigenschaften für den Empfänger hinzufügen. Details finden Sie unter Verwalten von Empfängereigenschaften.

Die Ausgabe enthält die Aktivierungs-URL (activation_url), die Sie an den Empfänger weitergeben.

Der Empfänger wird mit dem folgenden Authentifizierungstyp (authentication_type) erstellt: TOKEN

Hinweis

Bei der Empfängererstellung kann der Empfängerzugriff auf eine eingeschränkte Gruppe von IP-Adressen beschränkt werden. Es ist auch möglich, einem vorhandenen Empfänger eine IP-Zugriffsliste hinzuzufügen. Weitere Informationen finden Sie unter Einschränken des Zugriffs von Delta Sharing-Empfangenden mithilfe von IP-Zugriffslisten (offene Freigabe).

Schritt 2: Abrufen des Aktivierungslinks

Sie können den Katalog-Explorer, die Databricks Unity Catalog-Befehlszeilenschnittstelle oder den SQL-Befehl DESCRIBE RECIPIENT in einem Azure Databricks-Notebook oder im Databricks SQL-Abfrage-Editor verwenden, um den Aktivierungslink für den neuen Empfänger abzurufen.

Wenn der Empfänger die Anmeldeinformationsdatei bereits heruntergeladen hat, wird der Aktivierungslink nicht zurückgegeben oder angezeigt.

Erforderliche Berechtigungen: Metastore-Administrator, Benutzer mit den USE RECIPIENT-Berechtigungen oder Empfängerobjektbesitzer.

Katalog-Explorer

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie auf der Registerkarte Von mir freigegeben auf Empfänger, und wählen Sie den Empfänger aus.
Kopieren Sie auf der Seite mit den Empfängerdetails den Aktivierungslink.

SQL

Führen Sie in einem Notebook oder im Databricks SQL-Abfrage-Editor den folgenden Befehl aus.

DESCRIBE RECIPIENT <recipient-name>;

Die Ausgabe enthält den Aktivierungslink (activation_link).

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks-Befehlszeilenschnittstelle den folgenden Befehl aus:

databricks recipients get <recipient-name>

Die Ausgabe enthält die Aktivierungs-URL (activation_url).

Nachdem Sie den Empfänger erstellt und Freigaben erstellt haben, können Sie dem Empfänger Zugriff auf diese Freigaben gewähren.

Wenn Sie Empfängern Zugriff auf eine Freigabe gewähren möchten, können Sie hierzu den Katalog-Explorer, die Databricks Unity Catalog-Befehlszeilenschnittstelle oder den SQL-Befehl GRANT ON SHARE in einem Azure Databricks-Notebook oder im Databricks SQL-Abfrage-Editor verwenden.

Erforderliche Berechtigungen: Eine der folgenden Berechtigungen:

Metastore-Administrator.
Delegierte Berechtigungen oder Besitz sowohl für die Freigabe als auch für die Empfängerobjekte ((USE SHARE + SET SHARE PERMISSION) oder Besitzer der Freigabe) UND (USE RECIPIENT oder Besitzer des Empfängers).

Anweisungen finden Sie unter Verwalten des Zugriffs auf Delta Sharing-Datenfreigaben (für Anbieter).

Senden der Verbindungsinformationen an den Empfänger

Sie müssen dem Empfänger mitteilen, wie er auf die für ihn freigegebenen Daten zugreifen kann. Welche Informationen Sie an den Empfänger weitergeben, hängt davon ab, ob Sie die Databricks-zu-Databricks-Freigabe oder die offene Freigabe verwenden:

Databricks-zu-Databricks-Freigabe: Senden Sie einen Link zu einer Anleitung für den Zugriff auf die freigegebenen Daten.

Im Metastore des Empfängers wird automatisch ein Anbieterobjekt erstellt, das verfügbare Freigaben auflistet. Empfänger müssen sich lediglich die Freigaben ansehen und die gewünschten Freigaben auswählen. Weitere Informationen finden Sie unter Lesen von per Databricks-zu-Databricks Delta Sharing freigegebenen Daten (für Empfänger).
Offene Freigabe: Verwenden Sie einen sicheren Kanal, um den Aktivierungslink und einen Link zu einer Verwendungsanleitung weiterzugeben.

Die Anmeldeinformationsdatei kann nur einmal heruntergeladen werden. Empfänger sollten die heruntergeladenen Anmeldeinformationen als Geheimnis behandeln und dürfen sie nicht außerhalb ihrer Organisation freigeben. Wenn Sie vermuten, dass Anmeldeinformationen nicht sicher behandelt wurden, können Sie jederzeit die Anmeldeinformationen eines Empfängers rotieren. Weitere Informationen zur Verwaltung von Anmeldeinformationen, um die Sicherheit des Empfängerzugriffs zu gewährleisten, finden Sie unter Sicherheitsüberlegungen für Token.

Anzeigen von Empfängern

Sie können den Katalog-Explorer, die Databricks Unity Catalog-Befehlszeilenschnittstelle oder den SQL-Befehl SHOW RECIPIENTS in einem Azure Databricks-Notebook oder im Databricks SQL-Abfrage-Editor verwenden, um eine Empfängerliste anzuzeigen.

Erforderliche Berechtigungen: Sie müssen Metastore-Administrator sein oder über die USE RECIPIENT-Berechtigung, um alle Empfänger im Metastore anzuzeigen, verfügen. Andere Benutzer haben nur auf die Empfänger Zugriff, die sie besitzen.

Katalog-Explorer

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie auf der Registerkarte Von mir freigegeben auf Empfänger.

SQL

Führen Sie in einem Notebook oder im Databricks SQL-Abfrage-Editor den folgenden Befehl aus. Optional können Sie <pattern> durch ein LIKE-Prädikat ersetzen.

SHOW RECIPIENTS [LIKE <pattern>];

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks-Befehlszeilenschnittstelle den folgenden Befehl aus:

databricks recipients list

Anzeigen von Empfängerdetails

Erforderliche Berechtigungen: Metastore-Administrator, Benutzer mit den USE RECIPIENT-Berechtigungen oder Empfängerobjektbesitzer.

Zu den Details gehören:

Ersteller, Erstellungszeitstempel, Kommentare und Authentifizierungstyp des Empfängers (TOKEN oder DATABRICKS).
Wenn der Empfänger die offene Freigabe verwendet: Tokengültigkeitsdauer, Aktivierungslink, Aktivierungsstatus (Angabe, ob die Anmeldeinformationen heruntergeladen wurden) und IP-Zugriffslisten, sofern zugewiesen.
Wenn der Empfänger die Databricks-zu-Databricks-Freigabe verwendet: die Cloud, Region und Metastore-ID des Unity Catalog-Metastores des Empfängers sowie der Aktivierungsstatus.
Empfängereigenschaften, einschließlich benutzerdefinierter Eigenschaften. Siehe Verwalten von Empfängereigenschaften.

Katalog-Explorer

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie auf der Registerkarte Von mir freigegeben auf Empfänger, und wählen Sie den Empfänger aus.

SQL

Führen Sie in einem Notebook oder im Databricks SQL-Abfrage-Editor den folgenden Befehl aus.

DESCRIBE RECIPIENT <recipient-name>;

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks-Befehlszeilenschnittstelle den folgenden Befehl aus:

databricks recipients get <recipient-name>

Anzeigen der Freigabeberechtigungen eines Empfängers

Zum Anzeigen einer Liste der Freigaben, auf die ein Empfänger zugreifen darf, können Sie den Katalog-Explorer, die Databricks-CLI oder den SQL-Befehl SHOW GRANTS TO RECIPIENT in einem Azure Databricks-Notebook oder im Databricks SQL-Abfrage-Editor verwenden.

Erforderliche Berechtigungen: Metastore-Administrator, Benutzer mit den USE RECIPIENT-Berechtigungen oder Empfängerobjektbesitzer.

Katalog-Explorer

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie auf der Registerkarte Von mir freigegeben auf Empfänger, und wählen Sie den Empfänger aus.
Navigieren Sie zur Registerkarte Freigaben, um die Liste mit den Freigaben anzuzeigen, die für den Empfänger freigegeben wurden.

SQL

Führen Sie in einem Notebook oder im Databricks SQL-Abfrage-Editor den folgenden Befehl aus.

SHOW GRANTS TO RECIPIENT <recipient-name>;

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks CLI den folgenden Befehl aus.

databricks recipients share-permissions <recipient-name>

Aktualisieren eines Empfängers

Sie können den Katalog-Explorer, die Databricks Unity Catalog-Befehlszeilenschnittstelle oder den SQL-Befehl ALTER RECIPIENT in einem Azure Databricks-Notebook oder im Databricks SQL-Abfrage-Editor verwenden, um einen Empfänger zu aktualisieren.

Zu den Eigenschaften, die Sie aktualisieren können, zählen Empfängername, Besitzer, Kommentar und benutzerdefinierte Eigenschaften.

Erforderliche Berechtigungen: Sie müssen ein Metastore-Administrator oder Besitzer des Empfängerobjekts sein, um den Besitzer aktualisieren zu können. Zum Aktualisieren des Namens müssen Sie ein Metastore-Administrator (oder ein Benutzer mit der Berechtigung CREATE_RECIPIENT) und der Besitzer sein. Zum Aktualisieren des Kommentars oder der benutzerdefinierten Eigenschaften müssen Sie der Besitzer sein.

Katalog-Explorer

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie auf der Registerkarte Von mir freigegeben auf Empfänger, und wählen Sie den Empfänger aus.
Gehen Sie auf der Seite „Empfängerdetails“ wie folgt vor:
- den Besitzer aktualisieren.
- einen Kommentar bearbeiten oder hinzufügen.
- Benennen Sie den Empfänger um.
  
  Klicken Sie auf das Optionsmenü , und wählen Sie Umbenennen aus.
- benutzerdefinierte Empfängereigenschaften bearbeiten, entfernen oder hinzufügen.
  
  Klicken Sie auf Eigenschaften bearbeiten. Klicken Sie zum Hinzufügen einer Eigenschaft auf + Eigenschaft hinzufügen, und geben Sie einen Eigenschaftennamen (Schlüssel) und Wert ein. Details finden Sie unter Verwalten von Empfängereigenschaften.

SQL

Führen Sie in einem Notebook oder im Databricks SQL-Abfrage-Editor einen oder mehrere der folgenden Befehle aus:

ALTER RECIPIENT <recipient-name> RENAME TO <new-recipient-name>;

ALTER RECIPIENT <recipient-name> OWNER TO <new-owner>;

COMMENT ON RECIPIENT <recipient-name> IS "<new-comment>";

ALTER RECIPIENT <recipient-name> SET PROPERTIES ( <property-key>  =  property_value [, ...] )

ALTER RECIPIENT <recipient-name> UNSET PROPERTIES ( <property-key> [, ...] )

Weitere Informationen zu Eigenschaften finden Sie unter Verwalten von Empfängereigenschaften.

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Erstellen Sie eine JSON-Datei, die eine Aktualisierung des Empfängernamens, des Kommentars, des Besitzers, der IP-Zugriffsliste oder von benutzerdefinierten Eigenschaften enthält.

{
    "name": "new-recipient-name",
    "owner": "someone-else@example.com",
    "comment": "something new",
    "ip_access_list": {
            "allowed_ip_addresses": ["8.8.8.8", "8.8.8.4/10"]
    },
    "property": {
            "country": "us",
            "id": "001"
    }
}

Führen Sie dann über die Databricks-Befehlszeilenschnittstelle den folgenden Befehl aus. Ersetzen Sie <recipient-name> durch den aktuellen Empfängernamen und update-recipient-settings.json durch den Dateinamen der JSON-Datei.

databricks recipients update --json-file update-recipient-settings.json

Weitere Informationen zu Eigenschaften finden Sie unter Verwalten von Empfängereigenschaften.

Wenn Sie Daten mithilfe der offenen Freigabe für einen Empfänger freigeben, müssen Sie möglicherweise das Token dieses Empfängers rotieren. Beim Rotieren eines Tokens wird ein vorhandenes Token so festgelegt, dass es abläuft und durch ein neues Token und eine neue Aktivierungs-URL ersetzt wird.

In den folgenden Situationen sollten Sie das Token von Empfänger:innen rotieren und eine neue Aktivierungs-URL generieren:

Das vorhandene Empfängertoken läuft ab.
Ein Empfänger hat keinen Zugang zur Aktivierungs-URL, oder die Aktivierungs-URL ist kompromittiert.
Die Anmeldeinformationen sind beschädigt, verloren gegangen oder kompromittiert, nachdem sie von einem Empfänger heruntergeladen wurden.
Die Gültigkeitsdauer des Empfängertokens für einen Metastore wurde geändert. Weitere Informationen finden Sie unter Ändern der Gültigkeitsdauer des Empfängertokens.

Sicherheitsüberlegungen für Token

Ein Empfänger kann immer nur über maximal zwei Token gleichzeitig verfügen: ein aktives und ein rotiertes Token. Das rotierte Token ist ein Token, das so festgelegt wurde, dass es abläuft und durch das aktive Token ersetzt wird. Bis das rotierte Token abläuft, führt der Versuch, das Token erneut zu rotieren, zu einem Fehler.

Wenn Sie das Token von Empfänger:innen rotieren, können Sie optional mithilfe von --existing-token-expire-in-seconds festlegen, nach wie vielen Sekunden das vorhandene Empfängertoken (das rotiert wird) ablaufen soll. Wenn Sie den Wert auf 0 festlegen, läuft das vorhandene Empfängertoken sofort ab.

Databricks empfiehlt, dass Sie --existing-token-expire-in-seconds auf einen relativ kurzen Zeitraum festlegen, in dem die Empfängerorganisation auf die neue Aktivierungs-URL zugreifen kann. Auf diese Weise wird auch die Zeitspanne verringert, in der der Empfänger über zwei aktive Token verfügt. Wenn Sie vermuten, dass das Empfängertoken kompromittiert ist, empfiehlt Databricks, dass Sie seinen sofortigen Ablauf erzwingen.

Wenn auf die vorhandene Aktivierungs-URL von Empfänger:innen nie zugegriffen wurde, wird durch Rotieren des vorhandenen Tokens diese Aktivierungs-URL ungültig und durch eine neue ersetzt.

Wenn alle Empfängertoken abgelaufen sind, ersetzt das Rotieren des Tokens die vorhandene Aktivierungs-URL durch eine neue. Databricks empfiehlt, einen Empfänger, dessen Token abgelaufen ist, sofort zu rotieren oder zu löschen.

Wenn die Aktivierungs-URL von Empfänger:innen versehentlich an die falsche Person oder über einen unsicheren Kanal gesendet wird, empfiehlt Databricks Folgendes:

Widerrufen Sie die Zugriffsberechtigung des Empfängers auf die Freigabe.
Rotieren Sie den Empfänger, und legen Sie --existing-token-expire-in-seconds auf 0 fest.
Teilen Sie die neue Aktivierungs-URL über einen sicheren Kanal mit den dafür vorgesehenen Empfänger:innen.
Nachdem auf die Aktivierungs-URL zugegriffen wurde, gewähren Sie dem Empfänger erneut Zugriff auf die Freigabe.

In Extremsituationen können Sie den Empfänger löschen und neu erstellen, anstatt das Token des Empfängers zu rotieren.

Drehen des Empfängertokens

Sie können den Katalog-Explorer oder die Databricks Unity Catalog-Befehlszeilenschnittstelle verwenden, um das Token eines Empfängers zu rotieren.

Erforderliche Berechtigungen: Besitzer des Empfängerobjekts

Katalog-Explorer

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Erweitern Sie im linken Bereich das Menü Delta Sharing, und wählen Sie Von mir freigegeben aus.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie auf der Registerkarte Von mir freigegeben auf Empfänger, und wählen Sie den Empfänger aus.
Klicken Sie auf der Registerkarte Details unter Tokenablauf auf Rotieren.
Legen Sie im Dialogfeld Token rotieren fest, ob das Token sofort oder nach einem bestimmten Zeitraum ablaufen soll. Informationen zum Ablaufen vorhandener Token finden Sie unter Sicherheitsüberlegungen für Token.
Klicken Sie auf Rotieren.
Kopieren Sie auf der Registerkarte Details den neuen Aktivierungslink, und geben Sie ihn über einen sicheren Kanal an den Empfänger weiter. Weitere Informationen finden Sie unter Schritt 2: Abrufen des Aktivierungslinks.

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks CLI den folgenden Befehl aus. Ersetzen Sie folgende Platzhalterwerte:
- <recipient-name>: Name des Empfängers
- <expiration-seconds>: Die Anzahl der Sekunden, bis das vorhandene Empfängertoken abläuft. Während dieses Zeitraums funktioniert das vorhandene Token weiterhin. Der Wert 0 bedeutet, dass das vorhandene Token sofort abläuft. Informationen zum Ablaufen vorhandener Token finden Sie unter Sicherheitsüberlegungen für Token.
```
databricks recipients rotate-token \
<recipient-name> \
<expiration-seconds>
```
Rufen Sie den neuen Aktivierungslink des Empfängers ab, und geben Sie ihn über einen sicheren Kanal an den Empfänger weiter. Weitere Informationen finden Sie unter Schritt 2: Abrufen des Aktivierungslinks.

Ändern der Gültigkeitsdauer des Empfängertokens

Die Standardgültigkeitsdauer des Empfängertokens für Ihren Unity Catalog-Metastore kann bei Bedarf über den Katalog-Explorer oder über die Databricks Unity Catalog-Befehlszeilenschnittstelle geändert werden.

Hinweis

Wenn Sie die Standardgültigkeitsdauer eines Empfängertokens für einen Metastore ändern, wird die Gültigkeitsdauer des Empfängertokens für bereits vorhandene Empfänger nicht automatisch aktualisiert. Um die neue Tokengültigkeitsdauer auf einen bestimmten Empfänger anzuwenden, müssen Sie dessen Token rotieren. Weitere Informationen finden Sie unter Verwalten von Empfängertoken (offene Freigabe).

Erforderliche Berechtigungen: Kontoadministrator.

Katalog-Explorer

Melden Sie sich bei der Kontokonsole an.
Klicken Sie auf der Randleiste auf Katalog.
Klicken Sie auf den Namen des Metastores.
Klicken Sie unter Gültigkeitsdauer des Delta Sharing-Empfängertokens auf Bearbeiten.
Aktivieren Sie Ablaufdatum festlegen.
Geben Sie die Anzahl der Sekunden, Minuten, Stunden oder Tage ein, und wählen Sie eine Maßeinheit aus.
Klicken Sie auf Speichern.

Wenn Sie Ablaufdatum festlegen deaktivieren, laufen Empfängertoken nicht ab. Databricks empfiehlt, Token so zu konfigurieren, dass sie ablaufen.

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks-CLI den folgenden Befehl aus. Ersetzen Sie 12a345b6-7890-1cd2-3456-e789f0a12b34 durch die Metastore-UUID, und ersetzen Sie 86400 durch die Anzahl von Sekunden, bevor das Empfängertoken abläuft. Wenn Sie diesen Wert auf 0 festlegen, laufen Empfängertoken nicht ab. Databricks empfiehlt, Token so zu konfigurieren, dass sie ablaufen.

databricks metastores update \
12a345b6-7890-1cd2-3456-e789f0a12b34 \
--delta-sharing-recipient-token-lifetime-in-seconds 86400

(Optional) Einschränken des Empfängerzugriffs mithilfe von Zugriffslisten

Beim Konfigurieren des Empfängerobjekts kann der Empfängerzugriff auf eine eingeschränkte Gruppe von IP-Adressen beschränkt werden. Weitere Informationen finden Sie unter Einschränken des Zugriffs von Delta Sharing-Empfangenden mithilfe von IP-Zugriffslisten (offene Freigabe).

Verwalten von Empfängereigenschaften

Empfängerobjekte enthalten vordefinierte Eigenschaften, mit denen Sie den Zugriff auf die Datenfreigabe verfeinern können. Sie können sie beispielsweise verwenden, um folgendes zu tun:

Geben Sie unterschiedliche Tabellenpartitionen für unterschiedliche Empfänger frei, sodass Sie dieselben Freigaben für mehrere Empfänger verwenden können, und trotzdem Datengrenzen zwischen ihnen beibehalten werden.
Geben Sie dynamische Ansichten frei, die den Empfängerzugriff auf Tabellendaten auf Zeilen- oder Spaltenebene auf der Grundlage von Empfängereigenschaften einschränken.

Sie können auch benutzerdefinierte Eigenschaften erstellen.

Die vordefinierten Eigenschaften beginnen mit „databricks.“ und enthalten Folgendes:

databricks.accountId: Das Azure Databricks-Konto, zu dem ein Datenempfänger gehört (nur Databricks-zu-Databricks-Freigabe).
databricks.metastoreId: Der Unity Catalog-Metastore, zu dem ein Datenempfänger gehört (nur Databricks-zu-Databricks-Freigabe).
databricks.name: Der Name des Datenempfängers.

Möglicherweise nützliche benutzerdefinierte Eigenschaften sind z. B country. Wenn Sie beispielsweise die benutzerdefinierte Eigenschaft „'country' = 'us'“ an einen Empfänger anfügen, können Sie Tabellendaten nach Land partitionieren und nur Zeilen mit US-Daten für die Empfänger freigeben, denen diese Eigenschaft zugewiesen ist. Sie können auch eine dynamische Ansicht freigeben, die den Zeilen- oder Spaltenzugriff basierend auf den Empfängereigenschaften einschränkt. Ausführlichere Beispiele finden Sie unter Verwenden von Empfängereigenschaften zum Ausführen der Partitionsfilterung und Hinzufügen dynamischer Ansichten zu einer Freigabe zum Filtern von Zeilen und Spalten.

Anforderungen

Empfängereigenschaften werden in Databricks Runtime 12.2 und höher unterstützt.

Hinzufügen von Eigenschaften beim Erstellen oder Aktualisieren eines Empfängers

Sie können Eigenschaften hinzufügen, wenn Sie einen Empfänger erstellen oder sie für einen vorhandenen Empfänger aktualisieren. Sie können den Katalog-Explorer, die Databricks Unity Catalog-Befehlszeilenschnittstelle oder SQL-Befehle in einem Azure Databricks-Notebook oder im Databricks SQL-Abfrage-Editor verwenden.

Erforderliche Berechtigungen: Metastore-Administrator oder Benutzer mit der CREATE RECIPIENT-Berechtigung für den Unity Catalog-Metastore.

Katalog-Explorer

Wenn Sie einen Empfänger mithilfe des Katalog-Explorers erstellen oder aktualisieren, fügen Sie benutzerdefinierte Eigenschaften wie folgt hinzu oder aktualisieren sie:

Wechseln Sie zur Seite „Empfängerdetails“.

Wenn Sie einen neuen Empfänger erstellen, gelangen Sie auf diese Seite, nachdem Sie auf Erstellen geklickt haben. Wenn Sie einen vorhandenen Empfänger aktualisieren, wechseln Sie zu dieser Seite, indem Sie auf Zahnradsymbol > Delta Sharing > Von mir freigegeben > Empfänger klicken und den Empfänger auswählen.
Klicken Sie auf Eigenschaften bearbeiten > +Eigenschaft hinzufügen.
Geben Sie einen Eigenschaftsnamen (Schlüssel) und einen Wert ein.

Wenn Sie beispielsweise freigegebene Daten nach Land filtern und nur US-Daten für diesen Empfänger freigeben möchten, können Sie einen Schlüssel mit dem Namen „Land“ und mit dem Wert „US“ erstellen.
Klicken Sie auf Speichern.

SQL

Um beim Erstellen eines Empfängers eine benutzerdefinierte Eigenschaft hinzuzufügen, führen Sie den folgenden Befehl in einem Notebook oder im Databricks SQL-Abfrage-Editor aus:

CREATE RECIPIENT [IF NOT EXISTS] <recipient-name>
[USING ID '<sharing-identifier>'] /* Skip this if you are using open sharing */
[COMMENT "<comment>"]
PROPERTIES ( '<property-key>' = '<property-value>' [, ...] );

<property-key> kann ein Zeichenfolgenliteral oder ein Bezeichner sein. <property-value> muss ein Zeichenfolgenliteral sein.

Beispiele:

CREATE RECIPIENT acme PROPERTIES ('country' = 'us', 'partner_id' = '001');

Um benutzerdefinierte Eigenschaften für einen vorhandenen Empfänger hinzuzufügen, zu bearbeiten oder zu löschen, führen Sie einen der folgenden Befehle aus:

ALTER RECIPIENT <recipient-name> SET PROPERTIES ( '<property-key>' = '<property-value>' [, ...] );

ALTER RECIPIENT <recipient-name> UNSET PROPERTIES ( '<property-key>' );

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Um benutzerdefinierte Eigenschaften hinzuzufügen, wenn Sie einen Empfänger erstellen, führen Sie den folgenden Befehl mithilfe der Databricks-Befehlszeilenschnittstelle aus. Ersetzen Sie folgende Platzhalterwerte:

<recipient-name>: Name des Empfängers
<property-key> kann ein Zeichenfolgenliteral oder ein Bezeichner sein.
<property-value> muss ein Zeichenfolgenliteral sein.

databricks recipients create \
--json='{
  "name": "<recipient-name>",
  "properties_kvpairs": {
    "properties": {
      "<property-key>": "<property-value>",
    }
  }
}'

Beispiele:

databricks recipients create \
--json='{
  "name": "<recipient-name>",
  "properties_kvpairs": {
    "properties": {
      "country": "us",
      "partner_id":"001"
    }
  }
}'

Um benutzerdefinierte Eigenschaften für einen vorhandenen Empfänger hinzuzufügen oder zu bearbeiten, verwenden Sie update anstelle von create:

databricks recipients update \
--json='{
  "name": "<recipient-name>",
  "properties_kvpairs": {
    "properties": {
      "country": "us",
      "partner_id":"001"
    }
  }
}'

Anzeigen von Empfängereigenschaften

Befolgen Sie zum Anzeigen der Empfängereigenschaften die Anweisungen unter Anzeigen von Empfängerdetails.

Löschen eines Empfängers

Sie können den Katalog-Explorer, die Databricks Unity Catalog-Befehlszeilenschnittstelle oder den SQL-Befehl DROP RECIPIENT in einem Azure Databricks-Notebook oder im Databricks SQL-Abfrage-Editor verwenden, um einen Empfänger zu löschen. Sie müssen der Besitzer des Empfängerobjekts sein, um den Empfänger löschen zu können.

Wenn Sie einen Empfänger löschen, können die durch den Empfänger dargestellten Benutzer nicht mehr auf die freigegebenen Daten zugreifen. Token, die von Empfängern in einem Szenario mit offener Freigabe verwendet werden, werden ungültig.

Erforderliche Berechtigungen: Besitzer des Empfängerobjekts

Katalog-Explorer

Klicken Sie in Ihrem Azure Databricks-Arbeitsbereich auf Katalog.
Klicken Sie oben im Bereich Katalog auf das Zahnradsymbol , und wählen Sie Delta Sharing aus.

Klicken Sie alternativ auf der Seite Schnellzugriff auf die Schaltfläche Delta Sharing >.
Klicken Sie auf der Registerkarte Von mir freigegeben auf Empfänger, und wählen Sie den Empfänger aus.
Suchen Sie auf der Registerkarte Empfänger den Empfänger, und wählen Sie ihn aus.
Wählen Sie das Kebab-Menü und dann Löschen aus.
Klicken Sie im Bestätigungsdialogfeld auf Löschen.

SQL

Führen Sie in einem Notebook oder im Databricks SQL-Abfrage-Editor den folgenden Befehl aus.

DROP RECIPIENT [IF EXISTS] <recipient-name>;

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie über die Databricks-CLI den folgenden Befehl aus.

databricks recipients delete <recipient-name>

Freigeben über

Erstellen und Verwalten von Datenempfängern für Delta Sharing

Anforderungen

Erstellen eines Empfängerobjekts für Benutzer mit Zugriff auf Databricks (Databricks-zu-Databricks-Freigabe)

Schritt 1: Anfordern des Freigabebezeichners des Empfängers

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Schritt 2: Erstellen des Empfängers

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Erstellen eines Empfängerobjekts für alle anderen Benutzer (offene Freigabe)

Schritt 1: Erstellen des Empfängers

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Schritt 2: Abrufen des Aktivierungslinks

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Gewähren von Zugriff auf eine Freigabe für den Empfänger

Senden der Verbindungsinformationen an den Empfänger

Anzeigen von Empfängern

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Anzeigen von Empfängerdetails

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Anzeigen der Freigabeberechtigungen eines Empfängers

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Aktualisieren eines Empfängers

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Verwalten von Empfängertoken (offene Freigabe)

Sicherheitsüberlegungen für Token

Drehen des Empfängertokens

Katalog-Explorer

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Ändern der Gültigkeitsdauer des Empfängertokens

Katalog-Explorer

BEFEHLSZEILENSCHNITTSTELLE (CLI)

(Optional) Einschränken des Empfängerzugriffs mithilfe von Zugriffslisten

Verwalten von Empfängereigenschaften

Anforderungen

Hinzufügen von Eigenschaften beim Erstellen oder Aktualisieren eines Empfängers

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Anzeigen von Empfängereigenschaften

Löschen eines Empfängers

Katalog-Explorer

SQL

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Feedback

Zusätzliche Ressourcen