Administración de secretos

Un secreto de Azure Databricks almacena un valor sensible, como una contraseña, clave API o sal hash, de modo que los notebooks, trabajos y funciones puedan usarlo sin que el valor aparezca en el código. Puedes gestionar secretos en dos lugares:

• Ámbitos de secretos del espacio de trabajo: Colecciones nombradas de secretos en un solo espacio de trabajo. Los permisos se aplican a todo el ámbito. Consulta ámbitos de secretos del espacio de trabajo.
• Secretos en el Catálogo de Unity: Objetos protegibles (catalog.schema.secret) que están disponibles en todos los espacios de trabajo vinculados al metastore. Puedes conceder acceso a cada secret. Consulte Secretos en el catálogo de Unity.

Los secretos de Unity Catalog pueden estar gestionados por Azure Databricks o respaldados por Azure Key Vault. Consulta los secretos de Azure Key Vault en el Catálogo de Unity.

Elige dónde guardar un secreto

La siguiente tabla compara dónde almacena cada opción los valores secretos, qué espacios de trabajo pueden usarlos y cómo controlas el acceso.

	Alcance secreto del espacio de trabajo	secreto administrado por Azure Databricks en Unity Catalog	Azure Key Vault Secret respaldado en Unity Catalog (Beta)
Donde se almacena el valor	Azure Databricks, en el espacio de trabajo, o tu Azure Key Vault con un ámbito respaldado por Key Vault	Azure Databricks, en Unity Catalog	Azure Key Vault (Azure Databricks almacena solo el nombre del secreto en Unity Catalog)
Cifrado con tu propia clave	Sí, con una clave gestionada por el cliente para servicios gestionados	Sí, con una clave gestionada por el cliente en el catálogo
Disponible en	Un área de trabajo	Cada espacio de trabajo adjunto al metaalmacén	Cada espacio de trabajo adjunto al metaalmacén
Control de acceso	Permisos del ámbito secreto (sin control de acceso a nivel de secreto)	Privilegios del Catálogo de Unity sobre el secreto, esquema o catálogo	Privilegios del Catálogo de Unity sobre el secreto, esquema o catálogo
Girar	Actualizar el valor en Azure Databricks, o en Key Vault para un ámbito respaldado por Key Vault	Actualizar el valor en Azure Databricks	Rotar en Azure Key Vault. No hay cambios en Azure Databricks.

Dónde puedes usar secretos confidenciales

Los ámbitos secretos de Workspace y los secretos del Catálogo de Unity están soportados en diferentes lugares. Antes de elegir uno, comprueba que funcione donde se ejecuta tu código.

Surface	Ámbito de secretos del workspace	Secreto en Unity Catalog
dbutils.secrets en cuadernos y tareas	Yes. Ver Lee un secreto.	Sí, en entornos serverless versión 4 y superiores o Databricks Runtime 17.3 LTS y superiores. Ver Lee un secreto.
API REST y CLI Databricks	Yes. Los valores devueltos por la API no están anonimizados.	Yes. Los valores devueltos por la API no están ocultos.
Desarrollo remoto, como Databricks Connect	Sí, con el cliente Databricks Connect dbutils.secrets. Consulta Databricks Utilities con Databricks Connect para Python.	No
Catálogo Unity UDFs de Python y Scala	No	Yes. Los llamantes solo necesitan EXECUTE. Ver Usar secretos en UDFs.
Almacenes de SQL	Sí, con la función secreta	Solo a través de un UDF de Unity Catalog Python o Scala que declare el secreto
Propiedades de configuración de Spark y variables de entorno en el cómputo	Yes. Consulte el documento Usar un secreto en una propiedad de configuración de Spark o en una variable de entorno.	No
Variables de entorno del endpoint de servicio del modelo	Yes. Consulte Incorporación de variables de entorno basadas en secretos.	No
Repositorios de paquetes por defecto	Sí, en el databricks-package-management alcance. Consulta Configurar repositorios de paquetes por defecto.	No

Recursos adicionales

Resource	Description
Catálogo de Secretos en Unity	Crea secretos del Catálogo de Unity, concede acceso y léelos en notebooks, jobs y UDFs.
Mejores prácticas para los secretos del Catálogo de Unity	Organiza los secretos por entorno, aplicación o equipo, y deja que las cargas de trabajo usen los secretos sin leerlos.