Cree un objeto de destinatario para usuarios que no sean de Databricks utilizando tokens de portador (compartición de Databricks a Open)

Esta página describe cómo crear destinatarios de OpenSharing que no tienen acceso a un espacio de trabajo Databricks habilitado para el Catálogo de Unity y conceder a esos destinatarios acceso a datos compartidos de forma segura usando tokens portadores. Este flujo de autenticación, junto con el flujo de autenticación de federación de tokens Open ID Connect (OIDC), se denomina compartición abierta.

Así es como funciona:

1. Como proveedor de datos, crea el objeto de destinatario en su metastore de Unity Catalog.

2. Cuando creas el objeto receptor, seleccionas el método del token portador y Azure Databricks genera un token y un archivo de credenciales que incluye el token. Luego, elige si Azure Databricks envía un correo electrónico al destinatario o compartes el archivo de credenciales manualmente usando un enlace de activación.

   El objeto recipient tiene el tipo de autenticación de TOKEN. Puede actualizar y revocar el token según sea necesario.

3. El destinatario descarga el archivo de credenciales desde el enlace de activación o desde el correo electrónico. Utilizan el archivo de credenciales para autenticar y obtener acceso de lectura a los datos compartidos.

El flujo de federación OIDC es una alternativa al flujo de token de portador descrito en esta página. Pero no puedes conceder acceso al destinatario usando un correo electrónico. Para obtener más información, consulte Habilitación de la federación de Open ID Connect (OIDC) para destinatarios de OpenSharing.

Important

Todos los tokens de destinatarios de uso compartido de Databricks a Open emitidos antes del 8 de diciembre de 2025, con fechas de expiración posteriores al 8 de diciembre de 2026 o sin fecha de expiración, expiran automáticamente el 8 de diciembre de 2026. Si actualmente usa tokens de destinatario con duraciones largas o ilimitadas, revise las integraciones y renueve los tokens según sea necesario para evitar cambios importantes después de esta fecha.

Creación del destinatario

Para crear un destinatario para el uso compartido de Databricks-to-Open, puede usar el Explorador de catálogos, la CLI del catálogo de Databricks Unity o el CREATE RECIPIENT comando SQL en un cuaderno de Azure Databricks o el editor de consultas SQL de Databricks. Para crear un destinatario con la API REST, incluyendo un destinatario de correo electrónico, consulte Crear un destinatario en la referencia de la API REST.

Permisos requeridos: Administrador del metastore o usuario con el privilegio de CREATE RECIPIENT para el metastore de Unity Catalog donde están registrados los datos que quiere compartir.

Explorador de catálogos

1. En el área de trabajo de Azure Databricks, haga clic en Catalog.

2. En la parte superior del panel Catálogo, haga clic en el y seleccione OpenSharing.

   Como alternativa, en la esquina superior derecha, haga clic en Compartir > openSharing.

3. En la pestaña Compartido por mí, haga clic en Nuevo destinatario.

4. Elige cómo tu destinatario puede acceder a sus acciones:

   • Compartir usando correo electrónico (Beta): Esto envía un correo electrónico al destinatario para que pueda descargar el archivo de credenciales y leer los datos compartidos. Consulta el correo electrónico compartido para más detalles y limitaciones.

     1. Introduce el nombre del destinatario y su dirección de correo electrónico.
     2. Para configurar cómo se puede usar este recurso compartido, selecciona Cualquier cliente de OpenSharing compatible o Limitar a los destinatarios del token. Cualquier cliente OpenSharing compatible permite que tu destinatario descargue un archivo de credenciales y acceda al recurso compartido en Azure Databricks.
     3. La vida útil del token se asigna por defecto a la configuración de metastore. Consulte Modificación de la duración del token del destinatario.

     Note

     Al compartir por correo electrónico, conceder acceso de uso compartido es lo que envía la invitación. OpenSharing envía al destinatario un enlace seguro de activación para descargar el archivo de credenciales. El archivo de credencial solo puede descargarse una vez por parte del destinatario.

   • Compartir usando identificador de uso compartido: Esto genera un archivo de credenciales que debes compartir manualmente con tu destinatario.

     1. Escriba el nombre del destinatario.

     2. Seleccione Abrir.

     3. (Opcional) Establece el tiempo de expiración de la vigencia del token (en segundos, minutos, horas o días a partir de la hora de creación del destinatario). Deje Establecer expiración seleccionada para establecer una hora de expiración. Los tokens son válidos para un máximo de un año después de la creación.

        Si selecciona Establecer expiración y deja el campo en blanco, la duración del token se ajusta por defecto al valor de duración del token del destinatario establecido en la configuración del metastore. Consulte Modificación de la duración del token del destinatario. Para obtener información sobre cómo cambiar la duración del token y rotar tokens, consulte Administración de tokens de destinatario.

     4. (Opcional) Introduce una descripción para tu destinatario.

5. Haga clic en Crear.

6. Si no usaste el correo compartido, copia el enlace de activación.

   Como alternativa, puede obtener el vínculo de activación más adelante. Consulte Envío de la información de conexión al destinatario.

7. (Opcional) Cree propiedades de Destinatario personalizadas.

   En la pestaña Información general del destinatario, haga clic en el icono de edición situado junto a Propiedades del destinatario. A continuación, agregue un nombre de propiedad (Clave) y un Valor. Para obtener más información, consulte Administrar las propiedades del destinatario.

SQL

Ejecute el comando siguiente en un cuaderno o en el editor de consultas SQL de Databricks:

CREATE RECIPIENT [IF NOT EXISTS] <recipient-name>
[COMMENT "<comment>"];

También es posible agregar propiedades personalizadas para el destinatario. Para obtener más información, consulte Administrar las propiedades del destinatario.

CLI

Ejecute el siguiente comando mediante la CLI de Databricks.

databricks recipients create <recipient-name>

También es posible agregar propiedades personalizadas para el destinatario. Para obtener más información, consulte Administrar las propiedades del destinatario.

La salida incluye la activation_url que comparte con el destinatario.

El destinatario se crea con el authentication_type de TOKEN.

Note

Al crear el destinatario, tiene la opción de limitar el acceso de destinatario a un conjunto restringido de direcciones IP. También puede agregar una lista de acceso IP a un destinatario existente. Consulte Restringir el acceso de los destinatarios de OpenSharing mediante listas de acceso de IP (compartición de Databricks a Open).

Enviar al destinatario su información de conexión

Indica al destinatario que descargue el archivo de credenciales y acceda a los datos compartidos.

Los destinatarios solo pueden descargar el archivo de credenciales una vez. La credencial descargada debe tratarse como un secreto y no debe compartirse fuera de la organización. Si le preocupa que una credencial haya sido manejada de manera insegura, puede rotar la credencial de un destinatario en cualquier momento. Para obtener más información sobre cómo administrar credenciales para garantizar el acceso seguro a los destinatarios, consulte Consideraciones de seguridad para tokens.

Enviar por correo electrónico

Important

Esta característica se encuentra en su versión beta. Para utilizarla, un administrador de cuenta en la cuenta del proveedor debe habilitar OpenSharing por correo electrónico desde la página de Vistas previas de la consola de cuentas. Consulte Gestionar previsualizaciones a nivel de cuenta.

Tu destinatario puede acceder y descargar el archivo de credenciales desde el correo electrónico. Consulta las limitaciones para compartir correo electrónico.

Enviar usando un identificador de compartición

Utiliza un canal seguro para compartir el enlace de activación y un enlace a instrucciones para usarlo.

Si necesitas acceder al enlace de activación, puedes usar Catalog Explorer, la CLI de Databricks Unity Catalog, o el DESCRIBE RECIPIENT comando SQL en un cuaderno de Azure Databricks o el editor de consultas SQL de Databricks.

Si el destinatario ya ha descargado el archivo de credenciales, no se devuelve ni se muestra el vínculo de activación.

Permisos necesarios: administrador del metastore, usuario con el privilegio USE RECIPIENT o el propietario del objeto del destinatario.

Explorador de catálogos

1. En el área de trabajo de Azure Databricks, haga clic en Catalog.

2. En la parte superior del panel Catálogo, haga clic en el y seleccione OpenSharing.

   Como alternativa, en la esquina superior derecha, haga clic en Compartir > openSharing.

3. En la pestaña Compartido por mí, haga clic en Destinatarios y seleccione el destinatario.

4. En la página de detalles del destinatario, copie el vínculo Activación.

SQL

Ejecute el siguiente comando en un cuaderno o en el editor de consultas de Databricks SQL.

DESCRIBE RECIPIENT <recipient-name>;

La salida incluye el activation_link.

CLI

Ejecute el siguiente comando mediante la CLI de Databricks.

databricks recipients get <recipient-name>

La salida incluye el activation_url.

Concede al beneficiario acceso a una cuota

Después de crear el destinatario y los recursos compartidos creados, puede conceder al destinatario acceso a esos recursos compartidos.

Para conceder acceso compartido a los destinatarios, puede usar Catalog Explorer, la CLI de Unity Catalog de Databricks o el comando SQL GRANT ON SHARE en un cuaderno de Azure Databricks o en el editor de consultas de Databricks SQL.

Permisos necesarios: uno de los siguientes:

• Administrador de metastore.
• Permisos delegados o control tanto en el recurso compartido como en los objetos de destinatario ((USE SHARE + SET SHARE PERMISSION) o propietario del recurso compartido) AND (USE RECIPIENT o propietario del destinatario).

Para obtener instrucciones, consulte Administración del acceso a recursos compartidos de datos de OpenSharing (para proveedores).

Administración de tokens de destinatario

Si comparte datos con un destinatario mediante el flujo de tokens de portador de la compartición de Databricks a Open, es posible que tenga que rotar el token de ese destinatario. La rotación de un token consiste en establecer un token existente para que expire y reemplazarlo por un nuevo token y una dirección URL de activación.

Debe rotar el token de un destinatario y generar una nueva dirección URL de activación en las siguientes circunstancias:

• Cuando el token de destinatario existente está a punto de expirar.
• Si un destinatario pierde su dirección URL de activación o si está en peligro.
• Si la credencial está dañada, perdida o comprometida después de que un destinatario lo descargue.
• Cuando modifique la duración del token de destinatario para un metastore. Consulte Modificación de la duración del token del destinatario.

Consideraciones de seguridad para tokens

En un momento dado, un destinatario puede tener como máximo dos tokens: un token activo y un token girado. El token rotado es uno que se ha programado para expirar y ser reemplazado por el token activo. Hasta que expire el token girado, si intenta rotar el token de nuevo, se producirá un error.

Cuando rotas el token de un destinatario, puedes opcionalmente establecer --existing-token-expire-in-seconds el número de segundos antes de que expire el token existente (el que se está rotando). Si establece el valor en 0, el token existente del destinatario expira inmediatamente.

Databricks recomienda establecer --existing-token-expire-in-seconds en un período relativamente corto que dé tiempo a la organización del destinatario para acceder a la nueva dirección URL de activación, a la vez que minimiza la cantidad de tiempo que el destinatario tiene dos tokens activos. Si sospecha que el token de destinatario existente está en peligro, Databricks recomienda forzar que expire inmediatamente.

Si nunca se ha accedido a la dirección URL de activación existente de un destinatario, la rotación del token existente invalida esa dirección URL de activación y la reemplaza por una nueva.

Si todos los tokens de destinatario han expirado, la rotación del token reemplaza la dirección URL de activación existente por una nueva. Databricks recomienda rotar o quitar rápidamente un destinatario cuyo token ha expirado.

Si una dirección URL de activación del destinatario se envía accidentalmente a la persona incorrecta o se envía a través de un canal no seguro, Databricks recomienda que:

1. Revoque el acceso del destinatario al recurso compartido.
2. Gire el recipiente y establezca --existing-token-expire-in-seconds en 0.
3. Comparta la nueva dirección URL de activación con el destinatario previsto a través de un canal seguro.
4. Una vez que se haya accedido a la dirección URL de activación, conceda al destinatario acceso de nuevo al recurso compartido.

En situaciones extremas, en lugar de rotar el token del destinatario, puede quitar y volver a crear el destinatario.

Rotación del token de un destinatario

Para rotar el token de un destinatario, puede usar el Explorador de catálogos o la CLI del catálogo de Databricks Unity.

Permisos requeridos: propietario del objeto destinatario.

Note

Después de compartir el nuevo vínculo de activación, el destinatario debe aplicar la nueva credencial por su parte. Si el destinatario importó la credencial como un objeto de proveedor en el Catálogo de Unity, debe actualizar el objeto de proveedor con la API rest de Databricks. Consulte Rotación de credenciales para destinatarios abiertos.

Explorador de catálogos

1. En el área de trabajo de Azure Databricks, haga clic en Catalog.

2. En la parte superior del panel Catálogo, haga clic en el y seleccione OpenSharing.

   Como alternativa, en la esquina superior derecha, haga clic en Compartir > openSharing.

3. En el panel izquierdo, expanda el menú OpenSharing y seleccione Compartido por mí.

4. En la pestaña Compartido por mí, haga clic en Destinatarios y seleccione el destinatario.

5. En la columna más a la derecha, en Administración de tokens, junto a Expiración del token, haga clic en Rotar.

6. En el cuadro de diálogo Rotar token, establezca el token de manera que expire inmediatamente o durante un período de tiempo establecido. Para obtener consejos sobre cuándo expirar los tokens existentes, consulte Consideraciones de seguridad para tokens.

7. Haga clic en Rotar.

8. En la pestaña Detalles , copie el nuevo vínculo Activación y compártalo con el destinatario a través de un canal seguro. Consulte Envío de la información de conexión al destinatario.

CLI

1. Ejecute el siguiente comando mediante la CLI de Databricks. Reemplace los valores de marcador de posición:

   • <recipient-name>: el nombre del destinatario.
   • <expiration-seconds>: número de segundos hasta que el token de destinatario existente debe expirar. Durante este periodo, el token existente sigue funcionando. Un valor de 0 significa que el token existente expira inmediatamente. Para obtener consejos sobre cuándo expirar los tokens existentes, consulte Consideraciones de seguridad para tokens.

   databricks recipients rotate-token \
   <recipient-name> \
   <expiration-seconds>
   

2. Obtenga el nuevo vínculo de activación del destinatario y compártalo con el destinatario a través de un canal seguro. Consulte Envío de la información de conexión al destinatario.

Actualización de la duración del token de destinatario

Para actualizar la duración de un token de destinatario existente, use el Explorador de catálogos.

Permisos requeridos: propietario del objeto destinatario.

1. En el área de trabajo de Azure Databricks, haga clic en Catalog.

2. En la parte superior del panel Catálogo, haga clic en el y seleccione OpenSharing.

   Como alternativa, en la esquina superior derecha, haga clic en Compartir > openSharing.

3. En el panel izquierdo, expanda el menú OpenSharing y seleccione Compartido por mí.

4. En la pestaña Compartido por mí, haga clic en Destinatarios y seleccione el destinatario.

5. En la columna situada más a la derecha, en Administración de tokens, junto a Expiración del token, haga clic en Actualizar.

6. En el cuadro de diálogo Editar tiempo de vida del token de destinatario, establezca el nuevo tiempo de vida del token. Para obtener consejos sobre cuándo expirar los tokens existentes, consulte Consideraciones de seguridad para tokens.

7. Haz clic en Guardar.

Modificación de la duración del token de destinatario

Si necesita modificar la duración predeterminada del token de destinatario para el metastore de Unity Catalog, puede usar el Explorador de Catálogos o la CLI de Unity Catalog de Databricks.

Note

La duración del token de destinatario para los destinatarios existentes no se actualiza automáticamente cuando se cambia la duración predeterminada del token de destinatario para un metastore. Para aplicar la nueva duración del token a un destinatario determinado, debe rotar su token. Consulte Administración de tokens de destinatarios.

Permisos necesarios: administrador de la cuenta.

Explorador de catálogos

1. Inicie sesión en la consola de la cuenta.
2. En la barra lateral, haga clic en Catálogo.
3. Haga clic en el nombre del metastore.
4. En OpenSharing recipient token lifetime (Duración del token de destinatario de OpenSharing), haga clic en Editar.
5. Habilite Establecer expiración.
6. Escriba un número de segundos, minutos, horas o días y seleccione la unidad de medida. Los tokens son válidos para un máximo de un año después de la creación.
7. Haz clic en Guardar.

CLI

Ejecute el siguiente comando mediante la CLI de Databricks. Reemplace por 12a345b6-7890-1cd2-3456-e789f0a12b34 el UUID de metastore y reemplace 86400 por el número de segundos antes de que expire el token de destinatario. Los tokens son válidos para un máximo de un año después de la creación.

databricks metastores update \
12a345b6-7890-1cd2-3456-e789f0a12b34 \
--delta-sharing-recipient-token-lifetime-in-seconds 86400

Recursos adicionales

• Administrar el acceso a recursos compartidos de datos de OpenSharing (para proveedores)
• Administración de destinatarios de datos para OpenSharing
• Restringir el acceso de los destinatarios de OpenSharing mediante listas de acceso de IP (compartición de Databricks a Open)