Teilen über

Autorisieren des Benutzerzugriffs auf Azure Databricks mit OAuth

Auf dieser Seite wird erläutert, wie Sie den Benutzerzugriff auf Azure Databricks-Ressourcen autorisieren, wenn Sie die Azure Databricks CLI- oder Azure Databricks-REST-APIs verwenden.

Azure Databricks verwendet OAuth 2.0 als bevorzugtes Protokoll für die Benutzerautorisierung und Authentifizierung außerhalb der Benutzeroberfläche. Die einheitliche Clientauthentifizierung automatisiert die Tokengenerierung und -aktualisierung. Nachdem sich ein Benutzer angemeldet und seine Zustimmung erteilt hat, gibt OAuth ein Zugriffstoken für die CLI, das SDK oder ein anderes Tool aus, das im Namen des Benutzers verwendet werden soll. Jedes Zugriffstoken ist für eine Stunde gültig, danach wird automatisch ein neues Token angefordert.

Auf dieser Seite bezieht sich die Autorisierung auf die Verwendung von OAuth, um Zugriff auf Azure Databricks-Ressourcen zu gewähren, während die Authentifizierung auf die Überprüfung von Anmeldeinformationen über Zugriffstoken verweist.

Weitere allgemeine Details finden Sie unter Autorisieren des Zugriffs auf Azure Databricks-Ressourcen.

Möglichkeiten zum Autorisieren des Zugriffs auf Azure Databricks-Ressourcen

Azure Databricks unterstützt zwei Möglichkeiten zum Autorisieren von Benutzerkonten mit OAuth:

  • Automatisch (empfohlen): Verwenden Sie einheitliche Authentifizierung , wenn Sie mit unterstützten Tools und SDKs wie dem Azure Databricks Terraform SDK arbeiten. Dieser Ansatz behandelt die Tokengenerierung und -aktualisierung automatisch.

  • Manuell: Generieren Sie eine Codeüberprüfung und Abfrage, und tauschen Sie sie dann für ein OAuth-Token aus. Verwenden Sie diese Methode, wenn Ihr Tool keine einheitliche Authentifizierung unterstützt. Ausführliche Informationen finden Sie unter Manuelles Generieren von OAuth U2M-Zugriffstoken.

Automatische Autorisierung mit einheitlicher Authentifizierung

Hinweis

Bevor Sie die Autorisierung konfigurieren, überprüfen Sie die ACL-Berechtigungen für den Typ der Arbeitsbereichsvorgänge, die Sie ausführen möchten, und bestätigen Sie, dass Ihr Konto über die erforderliche Zugriffsebene verfügt. Ausführliche Informationen finden Sie unter Access-Steuerelementlisten.

Um OAuth-Autorisierung mit Azure Databricks-SDKs und Tools durchzuführen, die die einheitliche Authentifizierung unterstützen, integrieren Sie Folgendes in Ihren Code:

Umwelt

Informationen zum Verwenden von Umgebungsvariablen für einen bestimmten Azure Databricks-Authentifizierungstyp mit einem Tool oder SDK finden Sie unter Autorisieren des Zugriffs auf Azure Databricks-Ressourcen oder die Dokumentation des Tools oder SDKs. Siehe auch Umgebungsvariablen und Felder für die einheitliche Authentifizierung und die Priorität der Authentifizierungsmethode.

Legen Sie für Vorgänge auf Kontoebene die folgenden Umgebungsvariablen fest:

  • DATABRICKS_HOST, legen Sie diesen Parameter auf den Wert der Konsolen-URL Ihres Azure Databricks-Kontos fest, https://accounts.azuredatabricks.net.
  • DATABRICKS_ACCOUNT_ID

Legen Sie für Vorgänge auf Arbeitsbereichsebene die folgenden Umgebungsvariablen fest:

Profil

Erstellen oder identifizieren Sie ein Azure Databricks-Konfigurationsprofil mit den folgenden Feldern in Ihrer .databrickscfg-Datei. Wenn Sie das Profil erstellen, ersetzen Sie die Platzhalter durch die entsprechenden Werte. Informationen zum Verwenden des Profils mit einem Tool oder SDK finden Sie unter Autorisieren des Zugriffs auf Azure Databricks-Ressourcen oder die Dokumentation des Tools oder SDKs. Siehe auch Umgebungsvariablen und Felder für die einheitliche Authentifizierung und die Priorität der Authentifizierungsmethode.

Legen Sie für Vorgänge auf Kontoebene die folgenden Werte in Ihrer .databrickscfg-Datei fest. In diesem Fall lautet die Konsolen-URL Ihres Azure Databricks-Kontos https://accounts.azuredatabricks.net:

[<some-unique-configuration-profile-name>]
host       = <account-console-url>
account_id = <account-id>

Legen Sie für Vorgänge auf Arbeitsbereichsebene die folgenden Werte in Ihrer .databrickscfg-Datei fest. In diesem Fall ist der Host die arbeitsbereichsspezifische Azure Databricks-URL, z. B. https://adb-1234567890123456.7.azuredatabricks.net:

[<some-unique-configuration-profile-name>]
host = <workspace-url>

Befehlszeilenschnittstelle (CLI)

Führen Sie für die Azure Databricks CLI den databricks auth login Befehl mit den folgenden Optionen aus:

Folgen Sie dann den Anweisungen in Ihrem Webbrowser, um sich bei Ihrem Azure Databricks-Konto oder -Arbeitsbereich anzumelden.

Weitere Details finden Sie unter OAuth-Autorisierung mit dem Databricks CLI-.

VS-Code

Führen Sie für die Databricks-Erweiterung für Visual Studio Code die Schritte unter Einrichten der Autorisierung für die Databricks-Erweiterung für Visual Studio Code aus.

Verbinden

OAuth U2M-Authentifizierung wird in Databricks Connect für Python ab Databricks Runtime 13.1 und für Scala ab Databricks Runtime 13.3 LTS unterstützt.

Für Databricks Connect können Sie eine der folgenden Aktionen ausführen:

  • Verwenden Eines Konfigurationsprofils: Legen Sie Werte auf Arbeitsbereichsebene in Ihrer .databrickscfg Datei fest, wie auf der Registerkarte "Profil " beschrieben. Legen Sie außerdem die cluster_id URL der Arbeitsbereichsinstanz fest.
  • Verwenden sie Umgebungsvariablen: Legen Sie die gleichen Werte wie auf der Registerkarte " Umgebung " fest. Legen Sie außerdem die DATABRICKS_CLUSTER_ID URL der Arbeitsbereichsinstanz fest.

Werte, die .databrickscfg Vorrang vor Umgebungsvariablen haben.

Informationen zum Initialisieren von Databricks Connect mit diesen Einstellungen finden Sie unter Computekonfiguration für Databricks Connect.

Terraformierung

Bevor Sie Ihre Terraform-Konfiguration anwenden, müssen Sie einen der databricks auth login Befehle auf der CLI-Registerkarte ausführen, je nachdem, ob Ihre Konfiguration Arbeitsbereich- oder Kontovorgänge verwendet. Diese Befehle generieren und zwischenspeichern das erforderliche OAuth-Token .databricks/token-cache.json im Heimordner Ihres Benutzers.

Vorgänge auf Kontoebene

Für die Standardauthentifizierung:

provider "databricks" {
  alias = "account"
}

Für die direkte Konfiguration:

provider "databricks" {
  alias      = "account"
  host       = <retrieve-account-console-url>
  account_id = <retrieve-account-id>
}

Ersetzen Sie die retrieve- Platzhalter durch Ihre eigene Implementierung, um die Werte aus der Konsole oder einem anderen Konfigurationsspeicher abzurufen, z. B. HashiCorp Vault. Siehe auch Tresoranbieter. In diesem Beispiel können Sie die Konsolen-URL des Azure Databricks-Kontos festlegen account_id .

Vorgänge auf Arbeitsbereichsebene

Für die Standardauthentifizierung:

  provider "databricks" {
  alias = "workspace"
}

Für die direkte Konfiguration:

provider "databricks" {
  alias = "workspace"
  host  = <retrieve-workspace-url>
}

Python

Bevor Sie Ihren Code ausführen, müssen Sie den databricks auth login Befehl auf der CLI-Registerkarte mit den Optionen für Arbeitsbereich- oder Kontovorgänge ausführen. Diese Befehle generieren und zwischenspeichern das erforderliche OAuth-Token .databricks/token-cache.json im Heimordner Ihres Benutzers.

Vorgänge auf Kontoebene

Für die Standardauthentifizierung:

from databricks.sdk import AccountClient

a = AccountClient()
# ...

Für die direkte Konfiguration:

from databricks.sdk import AccountClient

a = AccountClient(
  host       = retrieveAccountConsoleUrl(),
  account_id = retrieveAccountId()
)
# ...

Ersetzen Sie die retrieve Platzhalter durch Ihre eigene Implementierung, um die Werte aus der Konsole oder einem anderen Konfigurationsspeicher wie Azure KeyVault abzurufen.

Vorgänge auf Arbeitsbereichsebene

Für die Standardauthentifizierung:

from databricks.sdk import WorkspaceClient

w = WorkspaceClient()
# ...

Für die direkte Konfiguration:

from databricks.sdk import WorkspaceClient

w = WorkspaceClient(host = retrieve_workspace_url())
# ...

Weitere Informationen zur Authentifizierung mit Azure Databricks-Tools und SDKs, die Python verwenden und die einheitliche Databricks-Authentifizierung implementieren, finden Sie unter:

Java

Bevor Sie Ihren Code ausführen, müssen Sie den databricks auth login Befehl auf der CLI-Registerkarte mit den Optionen für Arbeitsbereich- oder Kontovorgänge ausführen. Diese Befehle generieren und zwischenspeichern das erforderliche OAuth-Token .databricks/token-cache.json im Heimordner Ihres Benutzers.

Vorgänge auf Kontoebene

Für die Standardauthentifizierung:

import com.databricks.sdk.AccountClient;
// ...
AccountClient a = new AccountClient();
// ...

Für die direkte Konfiguration:

import com.databricks.sdk.AccountClient;
import com.databricks.sdk.core.DatabricksConfig;
// ...
DatabricksConfig cfg = new DatabricksConfig()
  .setHost(retrieveAccountConsoleUrl())
  .setAccountId(retrieveAccountId());
AccountClient a = new AccountClient(cfg);
// ...

Ersetzen Sie die retrieve Platzhalter durch Ihre eigene Implementierung, um die Werte aus der Konsole oder einem anderen Konfigurationsspeicher wie Azure KeyVault abzurufen.

Vorgänge auf Arbeitsbereichsebene

Für die Standardauthentifizierung:

import com.databricks.sdk.WorkspaceClient;
// ...
WorkspaceClient w = new WorkspaceClient();
// ...

Für die direkte Konfiguration:

import com.databricks.sdk.WorkspaceClient;
import com.databricks.sdk.core.DatabricksConfig;
// ...
DatabricksConfig cfg = new DatabricksConfig()
  .setHost(retrieveWorkspaceUrl())
WorkspaceClient w = new WorkspaceClient(cfg);
// ...

Weitere Informationen zur Autorisierung und Authentifizierung mit Azure Databricks-Tools und SDKs, die Java verwenden und die einheitliche Databricks-Authentifizierung implementieren, finden Sie unter:

Geh

Bevor Sie Ihren Code ausführen, müssen Sie den databricks auth login Befehl auf der CLI-Registerkarte mit den Optionen für Arbeitsbereich- oder Kontovorgänge ausführen. Diese Befehle generieren und zwischenspeichern das erforderliche OAuth-Token .databricks/token-cache.json im Heimordner Ihres Benutzers.

Vorgänge auf Kontoebene

Für die Standardauthentifizierung:

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
a := databricks.Must(databricks.NewAccountClient())
// ...

Für die direkte Konfiguration:

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
a := databricks.Must(databricks.NewAccountClient(&databricks.Config{
  Host:      retrieveAccountConsoleUrl(),
  AccountId: retrieveAccountId(),
}))
// ...

Ersetzen Sie die retrieve Platzhalter durch Ihre eigene Implementierung, um die Werte aus der Konsole oder einem anderen Konfigurationsspeicher wie Azure KeyVault abzurufen.

Vorgänge auf Arbeitsbereichsebene

Für die Standardauthentifizierung:

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
w := databricks.Must(databricks.NewWorkspaceClient())
// ...

Für die direkte Konfiguration:

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
w := databricks.Must(databricks.NewWorkspaceClient(&databricks.Config{
  Host: retrieveWorkspaceUrl(),
}))
// ...

Weitere Informationen zur Authentifizierung mit Databricks-Tools und -SDKs, die Go verwenden und die einheitliche Databricks-Clientauthentifizierung implementieren, finden Sie unter Authentifizieren des Databricks SDK für Go bei Ihrem Azure Databricks-Konto oder -Arbeitsbereich.

Manuelles Generieren von OAuth U2M-Zugriffstoken

Dieser Abschnitt richtet sich an Benutzer, die mit Drittanbietertools oder -diensten arbeiten, die den einheitlichen Authentifizierungsstandard Databricks nicht unterstützen. Wenn Sie Azure Databricks OAuth-Token für die OAuth-U2M-Authentifizierung manuell generieren, aktualisieren oder verwenden müssen, führen Sie die Schritte in diesem Abschnitt aus.

Schritt 1: Generieren eines Codeprüfers und einer Herausforderung

Um OAuth U2M-Zugriffstoken manuell zu generieren, erstellen Sie zunächst eine Codeüberprüfung und eine entsprechende Codeabfrage. Sie verwenden die Herausforderung in Schritt 2, um einen Autorisierungscode abzurufen, und der Prüfer in Schritt 3, um diesen Code für ein Zugriffstoken auszutauschen.

Hinweis

Folgen Sie dem OAuth PKCE-Standard:

  • Die Codeüberprüfung ist eine kryptografisch zufällige Zeichenfolge (43–128 Zeichen) mit Zeichen A–Z, , a–z, 0–9. -._~
  • Die Codeabfrage ist ein BASE64-URL-codierter SHA256-Hash des Prüfers.

Weitere Informationen finden Sie unter Autorisierungsanforderung.

Das folgende Python-Skript generiert eine Überprüfung und Herausforderung. Obwohl Sie sie mehrmals verwenden können, empfiehlt Azure Databricks, jedes Mal ein neues Paar zu generieren, wenn Sie Zugriffstoken manuell generieren.

import hashlib, base64, secrets, string

# Allowed characters for the code verifier, per PKCE spec
allowed_chars = string.ascii_letters + string.digits + "-._~"

# Generate a secure code verifier (43–128 characters)
code_verifier = ''.join(secrets.choice(allowed_chars) for _ in range(64))

# Create the SHA256 hash of the code verifier
sha256_hash = hashlib.sha256(code_verifier.encode()).digest()

# Base64-url-encode the hash and strip any trailing '=' padding
code_challenge = base64.urlsafe_b64encode(sha256_hash).decode().rstrip("=")

# Output values
print(f"code_verifier:  {code_verifier}")
print(f"code_challenge: {code_challenge}")

Schritt 2: Generieren eines Autorisierungscodes

Um ein Azure Databricks OAuth-Zugriffstoken abzurufen, müssen Sie zuerst einen OAuth-Autorisierungscode generieren. Dieser Code läuft unmittelbar nach der Verwendung ab. Sie können den Code entweder auf Konto- oder Arbeitsbereichsebene generieren:

  • Kontenebene: Wird verwendet, um REST-APIs auf Kontoebene und Arbeitsbereichsebene für alle Arbeitsbereiche aufzurufen, auf die Der Benutzer zugreifen kann.
  • Arbeitsbereichsebene: Wird verwendet, um REST-APIs innerhalb eines einzelnen Arbeitsbereichs aufzurufen.

Hinweis

Diese Beispiele werden als Client-ID verwendet databricks-cli . Wenn Sie kein integriertes Azure Databricks-Tool wie cli oder SDKs verwenden, müssen Sie eine benutzerdefinierte OAuth-Anwendung aktivieren und in client_id Ihren Anforderungen verwenden. Weitere Informationen unter Aktivieren oder Deaktivieren von OAuth-Partneranwendungen.

Generieren eines Autorisierungscodes auf Kontoebene

  1. Suchen Sie Ihre Konto-ID.

  2. Navigieren Sie in Ihrem Browser zu der URL mit den folgenden Ersetzungen:

    • <account-id>: Ihre Azure Databricks-Konto-ID
    • <redirect-url>: Ein lokaler Umleitungs-URI (z. B http://localhost:8020. )
    • <state>: Eine beliebige Nur-Text-Zeichenfolge zum Überprüfen der Antwort
    • <code-challenge>: Die Codeabfrage aus Schritt 1
    https://accounts.azuredatabricks.net/oidc/accounts/<account-id>/v1/authorize
?client_id=databricks-cli
&redirect_uri=<redirect-url>
&response_type=code
&state=<state>
&code_challenge=<code-challenge>
&code_challenge_method=S256
&scope=all-apis+offline_access

  3. Melden Sie sich an, wenn Sie aufgefordert werden, auf Ihr Azure Databricks-Konto zuzugreifen.

  4. Kopieren Sie den Autorisierungscode aus der Adressleiste Ihres Browsers. Es ist der Wert nach code= und vor & in der Umleitungs-URL:

    http://localhost:8020/?code=dcod...7fe6&state=<state>

    Stellen Sie sicher, dass der state Wert dem entspricht, was Sie ursprünglich angegeben haben. Falls nicht, verwerfen Sie den Code.

  5. Fahren Sie mit dem Generieren eines Zugriffstokens auf Kontoebene fort.

Generieren eines Autorisierungscodes auf Arbeitsbereichsebene

  1. Navigieren Sie in Ihrem Browser zu der URL mit den folgenden Ersetzungen:

    • <databricks-instance>: Ihr <databricks-instance> Name mit dem Namen der Azure Databricks-Arbeitsbereichsinstanz, z. B. adb-1234567890123456.7.azuredatabricks.net
    • <redirect-url>: Eine lokale Umleitung (z. B http://localhost:8020. )
    • <state>: Jeder Nur-Text-Wert für die Antwortüberprüfung
    • <code-challenge>: Die Abfragezeichenfolge aus Schritt 1
    https://<databricks-instance>/oidc/v1/authorize
?client_id=databricks-cli
&redirect_uri=<redirect-url>
&response_type=code
&state=<state>
&code_challenge=<code-challenge>
&code_challenge_method=S256
&scope=all-apis+offline_access

  2. Melden Sie sich an, wenn Sie aufgefordert werden, auf Ihr Azure Databricks-Konto zuzugreifen.

  3. Kopieren Sie den Autorisierungscode aus der Adressleiste Ihres Browsers. Es ist der Wert nach code= und vor & in der Umleitungs-URL:

    http://localhost:8020/?code=dcod...7fe6&state=<state>

    Stellen Sie sicher, dass der state Wert dem entspricht, was Sie ursprünglich angegeben haben. Falls nicht, verwerfen Sie den Code.

  4. Fahren Sie mit dem Generieren eines Zugriffstokens auf Arbeitsbereichsebene fort.

Schritt 3: Austauschen des Autorisierungscodes für ein Zugriffstoken

Um den Autorisierungscode für ein Azure Databricks OAuth-Zugriffstoken auszutauschen, wählen Sie die entsprechende Ebene aus:

  • Kontenebene: Wird verwendet, um REST-APIs auf Kontoebene und Arbeitsbereichsebene in allen Arbeitsbereichen aufzurufen, auf die Der Benutzer zugreifen kann.
  • Arbeitsbereichsebene: Wird verwendet, um REST-APIs innerhalb eines einzelnen Arbeitsbereichs aufzurufen.

Generieren eines Zugriffstokens auf Kontoebene

  1. Wird verwendet curl , um den Autorisierungscode auf Kontoebene für ein OAuth-Zugriffstoken auszutauschen.

    Ersetzen Sie Folgendes in der Anforderung:

    • <account-id>: Ihre Azure Databricks-Konto-ID
    • <redirect-url>: Die Umleitungs-URL aus dem vorherigen Schritt
    • <code-verifier>: Der Prüfer, den Sie zuvor generiert haben
    • <authorization-code>: Der Autorisierungscode aus dem vorherigen Schritt
    curl --request POST \
https://accounts.azuredatabricks.net/oidc/accounts/<account-id>/v1/token \
--data "client_id=databricks-cli" \
--data "grant_type=authorization_code" \
--data "scope=all-apis offline_access" \
--data "redirect_uri=<redirect-url>" \
--data "code_verifier=<code-verifier>" \
--data "code=<authorization-code>"

  2. Kopieren Sie den access_token-Wert aus der Antwort. Beispiel:

    {
  "access_token": "eyJr...Dkag",
  "refresh_token": "doau...f26e",
  "scope": "all-apis offline_access",
  "token_type": "Bearer",
  "expires_in": 3600
}

    Das Token ist für eine Stunde gültig.

  3. Fahren Sie mit Schritt 4 fort: Aufrufen einer Azure Databricks-REST-API.

Generieren eines Zugriffstokens auf Arbeitsbereichsebene

  1. Wird verwendet curl , um den Autorisierungscode auf Arbeitsbereichsebene für ein OAuth-Zugriffstoken auszutauschen.

    Ersetzen Sie Folgendes in der Anforderung:

    • <databricks-instance>: Ihr <databricks-instance> Name mit dem Namen der Azure Databricks-Arbeitsbereichsinstanz, z. B. adb-1234567890123456.7.azuredatabricks.net
    • <redirect-url>: Die Umleitungs-URL aus dem vorherigen Schritt
    • <code-verifier>: Der Prüfer, den Sie zuvor generiert haben
    • <authorization-code>: Der Autorisierungscode auf Arbeitsbereichsebene
    curl --request POST \
https://<databricks-instance>/oidc/v1/token \
--data "client_id=databricks-cli" \
--data "grant_type=authorization_code" \
--data "scope=all-apis offline_access" \
--data "redirect_uri=<redirect-url>" \
--data "code_verifier=<code-verifier>" \
--data "code=<authorization-code>"

  2. Kopieren Sie den access_token-Wert aus der Antwort. Beispiel:

    {
  "access_token": "eyJr...Dkag",
  "refresh_token": "doau...f26e",
  "scope": "all-apis offline_access",
  "token_type": "Bearer",
  "expires_in": 3600
}

    Das Token ist für eine Stunde gültig.

Schritt 4: Aufrufen einer Azure Databricks-REST-API

Verwenden Sie das Zugriffstoken, um REST-APIs auf Kontoebene oder Arbeitsbereichsebene abhängig vom Umfang aufzurufen. Um APIs auf Kontoebene aufzurufen, muss Ihr Azure Databricks-Benutzer ein Kontoadministrator sein.

Beispiel einer REST-API-Anforderung auf Kontoebene

In diesem Beispiel wird curl zusammen mit der Bearer-Authentifizierung verwendet, um eine Liste aller Arbeitsbereiche abzurufen, die einem Konto zugeordnet sind.

  • Ersetzen Sie <oauth-access-token> durch das OAuth-Zugriffstoken auf Kontoebene.
  • Ersetzen Sie <account-id> durch Ihre Konto-ID.
export OAUTH_TOKEN=<oauth-access-token>

curl --request GET --header "Authorization: Bearer $OAUTH_TOKEN" \
"https://accounts.azuredatabricks.net/api/2.0/accounts/<account-id>/workspaces"

Beispiel einer REST-API-Anforderung auf Arbeitsbereichsebene

In diesem Beispiel wird curl zusammen mit der Bearer-Authentifizierung verwendet, um alle verfügbaren Cluster im angegebenen Arbeitsbereich aufzulisten.

  • Ersetzen Sie <oauth-access-token> durch das OAuth-Zugriffstoken auf Konto- oder Arbeitsbereichsebene.
  • Ersetzen Sie <databricks-instance> durch den Namen der Azure Databricks-Arbeitsbereichsinstanz, zum Beispiel adb-1234567890123456.7.azuredatabricks.net.
export OAUTH_TOKEN=<oauth-access-token>

curl --request GET --header "Authorization: Bearer $OAUTH_TOKEN" \
"https://<databricks-instance>/api/2.0/clusters/list"
  • Last updated on