Hitelesítés a Databricks parancssori felületéhez

  • Cikk

Feljegyzés

Ezek az információk a Databricks CLI 0.205-ös és újabb verzióira vonatkoznak, amelyek nyilvános előzetes verzióban érhetők el. A Databricks parancssori felület verziójának megkereséséhez futtassa a következőt databricks -v: .

Ez a cikk bemutatja, hogyan állíthat be hitelesítést a Databricks parancssori felület és az Azure Databricks-fiókok és -munkaterületek között. Lásd: Mi a Databricks parancssori felület?

Ez a cikk feltételezi, hogy már telepítette a Databricks parancssori felületet. Lásd: A Databricks parancssori felület telepítése vagy frissítése.

A Databricks CLI-parancsok futtatása előtt be kell állítania a hitelesítést a Databricks CLI és az Azure Databricks-fiókok, -munkaterületek vagy ezek kombinációjá között a futtatni kívánt PARANCSSOR-parancsok típusától függően.

Az Azure Databricks-fiókban vagy -munkaterületen az Azure Databricks automatizálási parancsainak futtatásához a Databricks parancssori felületét futásidőben hitelesítenie kell a megfelelő erőforrásokon. Attól függően, hogy azure Databricks-munkaterületszintű parancsokat, Azure Databricks-fiókszintű parancsokat vagy mindkettőt szeretne meghívni, hitelesítenie kell magát az Azure Databricks-munkaterületen, -fiókban vagy mindkettőben. Az Azure Databricks munkaterületszintű és fiókszintű parancssori felületi parancscsoportjainak listájához futtassa a parancsot databricks -h. A Databricks CLI-parancsok által lefedett Azure Databricks-munkaterület- és fiókszintű REST API-műveletek listáját a Databricks REST API-ban találja.

Feljegyzés

A Databricks cli implementálja a Databricks-ügyfél egységes hitelesítési szabványát, a hitelesítés konszolidált és egységes architekturális és programozott megközelítését. Ez a megközelítés segít központosítottabbá és kiszámíthatóbbá tenni az Azure Databricks-hitelesítés beállítását és automatizálását. Lehetővé teszi, hogy az Azure Databricks-hitelesítést egyszer konfigurálja, majd ezt a konfigurációt több Azure Databricks-eszközön és SDK-ban használja további hitelesítési konfigurációmódosítások nélkül. Erről a szabványról további információt a Databricks-ügyfél egyesített hitelesítésében talál.

A következő szakaszok a Databricks parancssori felület és az Azure Databricks közötti hitelesítés beállításával kapcsolatos információkat tartalmaznak:

Azure Databricks személyes hozzáférési jogkivonat hitelesítése

Az Azure Databricks személyes hozzáférési jogkivonatának hitelesítése egy Azure Databricks személyes hozzáférési jogkivonat használatával hitelesíti a célként megadott Azure Databricks-entitást, például egy Azure Databricks-felhasználói fiókot. Tekintse meg az Azure Databricks személyes hozzáférési jogkivonatának hitelesítését.

Feljegyzés

Az Azure Databricks személyes hozzáférési jogkivonat-hitelesítése nem használható Azure Databricks-fiókkal történő hitelesítéshez, mivel az Azure Databricks fiókszintű parancsai nem használják az Azure Databricks személyes hozzáférési jogkivonatait a hitelesítéshez. Azure Databricks-fiókkal való hitelesítéshez használja inkább az alábbi hitelesítési típusok egyikét:

Személyes hozzáférési jogkivonat létrehozásához tegye a következőket:

  1. Az Azure Databricks-munkaterületen kattintson az Azure Databricks-felhasználónevére a felső sávon, majd válassza Gépház a legördülő menüből.
  2. Kattintson a Fejlesztőeszközök elemre.
  3. Az Access-jogkivonatok mellett kattintson a Kezelés gombra.
  4. Kattintson az Új jogkivonat létrehozása elemre.
  5. (Nem kötelező) Írjon be egy megjegyzést, amely segít azonosítani a jogkivonatot a jövőben, és módosíthatja a jogkivonat alapértelmezett 90 napos élettartamát. Élettartam nélküli (nem ajánlott) jogkivonat létrehozásához hagyja üresen az Élettartam (nap) mezőt (üres).
  6. Kattintson a Létrehozás lehetőségre.
  7. Másolja a megjelenített jogkivonatot egy biztonságos helyre, majd kattintson a Kész gombra.

Feljegyzés

Ügyeljen arra, hogy a másolt jogkivonatot biztonságos helyre mentse. Ne ossza meg másokkal a másolt jogkivonatot. Ha elveszíti a másolt jogkivonatot, nem tudja pontosan ugyanazt a jogkivonatot újragenerálni. Ehelyett meg kell ismételnie ezt az eljárást egy új jogkivonat létrehozásához. Ha elveszíti a másolt jogkivonatot, vagy úgy véli, hogy a jogkivonat sérült, a Databricks határozottan javasolja, hogy azonnal törölje a jogkivonatot a munkaterületről az Access-jogkivonatok lapon a jogkivonat melletti kuka (Visszavonás) ikonra kattintva.

Ha nem tud jogkivonatokat létrehozni vagy használni a munkaterületen, ennek az lehet az oka, hogy a munkaterület rendszergazdája letiltotta a jogkivonatokat, vagy nem adott engedélyt a jogkivonatok létrehozására vagy használatára. Tekintse meg a munkaterület rendszergazdáját vagy a következőket:

Az Azure Databricks személyes hozzáférési jogkivonat-hitelesítésének konfigurálásához és használatához tegye a következőket:

Feljegyzés

Az alábbi eljárás létrehoz egy Azure Databricks-konfigurációs profilt a névvel DEFAULT. Ha már rendelkezik egy DEFAULT használni kívánt konfigurációs profillal, hagyja ki ezt az eljárást. Ellenkező esetben ez az eljárás felülírja a meglévő DEFAULT konfigurációs profilt. A meglévő konfigurációs profilok nevének és gazdagépeinek megtekintéséhez futtassa a parancsot databricks auth profiles.

Ha a következő databricks configure parancstól eltérő DEFAULTnevű konfigurációs profilt szeretne létrehozni, <configuration-profile-name> cserélje --profile <configuration-profile-name>-p <configuration-profile-name> le az új konfigurációs profil nevére.

  1. A Databricks parancssori felületével futtassa a következő parancsot:

    databricks configure

  2. A databricks-gazdagép kéréséhez adja meg például https://adb-1234567890123456.7.azuredatabricks.netaz Azure Databricks munkaterületenkénti URL-címét.

  3. A személyes hozzáférési jogkivonat megadásához adja meg a munkaterület Azure Databricks személyes hozzáférési jogkivonatát.

    Az Azure Databricks személyes hozzáférési jogkivonatának megadása után a rendszer hozzáad egy megfelelő konfigurációs profilt a .databrickscfg fájlhoz. Ha a Databricks parancssori felülete nem találja ezt a fájlt az alapértelmezett helyén, először létrehozza ezt a fájlt, majd hozzáadja ezt a konfigurációs profilt az új fájlhoz. Ennek a fájlnak az alapértelmezett helye a ~ Unix, Linux vagy macOS rendszerű unix-, Linux- vagy macOS-mappában, illetve a %USERPROFILE% Windows (a felhasználói kezdőlap) mappájában található.

  4. Mostantól használhatja a Databricks parancssori felületét vagy -p beállítását--profile, majd a konfigurációs profil nevét, például databricks clusters list -p <configuration-profile-name>a Databricks parancssori felületének parancshívása részeként.

OAuth machine-to-machine (M2M) hitelesítés

Az Azure Databricks-hitelesítés helyett az Azure Databricks személyes hozzáférési jogkivonatának hitelesítésével OAuth-hitelesítést használhat. Az OAuth gyorsabb lejárati időt biztosít a jogkivonatoknak, mint az Azure Databricks személyes hozzáférési jogkivonatai, és jobb kiszolgálóoldali munkamenet-érvénytelenítést és hatókörkezelést biztosít. Mivel az OAuth hozzáférési jogkivonatok kevesebb mint egy óra múlva lejárnak, ez csökkenti a jogkivonatok forrásvezérlőbe való véletlen ellenőrzésével járó kockázatot. Lásd még : OAuth machine-to-machine (M2M) hitelesítés.

Az OAuth M2M-hitelesítés konfigurálásához és használatához tegye a következőket:

  1. Végezze el az OAuth M2M hitelesítési beállítási utasításait. Lásd: OAuth machine-to-machine (M2M) hitelesítés

  2. Hozzon létre vagy azonosítsa az Azure Databricks konfigurációs profilját a fájl alábbi .databrickscfg mezőivel. Ha létrehozza a profilt, cserélje le a helyőrzőket a megfelelő értékekre.

    Fiókszintű parancsok esetén állítsa be a következő értékeket a .databrickscfg fájlban:

    [<some-unique-configuration-profile-name>]
host          = <account-console-url>
account_id    = <account-id>
client_id     = <service-principal-client-id>
client_secret = <service-principal-oauth-secret>

    Munkaterületszintű parancsok esetén állítsa be a következő értékeket a .databrickscfg fájlban:

    [<some-unique-configuration-profile-name>]
host          = <workspace-url>
client_id     = <service-principal-client-id>
client_secret = <service-principal-oauth-secret>

    Feljegyzés

    A fájl alapértelmezett helye a .databrickscfg felhasználó kezdőlapján található. Ez ~ Linuxra és macOS-re, valamint %USERPROFILE% Windowsra vonatkozik.

  3. Használja a Databricks parancssori felületét vagy beállítását--profile, majd a konfigurációs profil nevét a Databricks CLI parancshívás részeként, példáuldatabricks clusters list -p <configuration-profile-name>databricks account groups list -p <configuration-profile-name>.-p

    Tipp.

    --profile A konfigurációs profil nevének manuális megadása helyett nyomja Tab le vagy -p jelenítse meg a meglévő elérhető konfigurációs profilok listáját.

OAuth user-to-machine (U2M) hitelesítés

Az Azure Databricks-hitelesítés helyett az OAuth-hitelesítést használhatja. Az OAuth gyorsabb lejárati időt biztosít a jogkivonatoknak, mint az Azure Databricks személyes hozzáférési jogkivonatai, és jobb kiszolgálóoldali munkamenet-érvénytelenítést és hatókörkezelést biztosít. Mivel az OAuth hozzáférési jogkivonatok kevesebb mint egy óra múlva lejárnak, ez csökkenti a jogkivonatok forrásvezérlőbe való véletlen ellenőrzésével járó kockázatot. Lásd még : OAuth user-to-machine (U2M) hitelesítés.

Az OAuth U2M-hitelesítés konfigurálásához és használatához tegye a következőket:

  1. Az Azure Databricks-fiókszintű parancsok meghívása előtt helyileg kell kezdeményeznie az OAuth-jogkivonat kezelését az alábbi parancs futtatásával. Ezt a parancsot külön kell futtatni minden olyan fiókhoz, amelyen parancsokat szeretne futtatni. Ha nem szeretne fiókszintű műveleteket meghívni, ugorjon az 5. lépésre.

    A következő parancsban cserélje le a következő helyőrzőket:

    databricks auth login --host <account-console-url> --account-id <account-id>

  2. A Databricks parancssori felület kéri, hogy mentse a fiókkonzol URL-címét és fiókazonosítóját helyileg Azure Databricks-konfigurációs profilként. Nyomja le Enter a javasolt profilnevet, vagy adja meg egy új vagy meglévő profil nevét. Az azonos nevű meglévő profilok felülíródnak ezzel a fiókkonzol URL-címével és fiókazonosítójával.

    A meglévő profilok listájának lekéréséhez futtassa a parancsot databricks auth profilesegy külön terminálban vagy parancssorban. Egy adott profil meglévő beállításainak megtekintéséhez futtassa a parancsot databricks auth env --profile <profile-name>.

  3. A webböngészőben végezze el a képernyőn megjelenő utasításokat az Azure Databricks-fiókba való bejelentkezéshez.

  4. Az OAuth-jogkivonat aktuális értékének és a közelgő lejárati időbélyegnek a megtekintéséhez futtassa a parancsot databricks auth token --host <account-console-url> --account-id <account-id>.

  5. Az Azure Databricks-munkaterületszintű parancsok meghívása előtt helyileg kell kezdeményeznie az OAuth-jogkivonat kezelését az alábbi parancs futtatásával. Ezt a parancsot külön kell futtatni minden olyan munkaterületen, amelyen parancsokat szeretne futtatni.

    Az alábbi parancsban cserélje le <workspace-url> például az Azure Databricks munkaterületenkénti URL-címéthttps://adb-1234567890123456.7.azuredatabricks.net.

    databricks auth login --host <workspace-url>

  6. A Databricks parancssori felület kéri, hogy mentse a munkaterület URL-címét helyileg Azure Databricks-konfigurációs profilként. Nyomja le Enter a javasolt profilnevet, vagy adja meg egy új vagy meglévő profil nevét. Az azonos nevű meglévő profilok felülíródnak ezzel a munkaterület URL-címével.

    A meglévő profilok listájának lekéréséhez futtassa a parancsot databricks auth profilesegy külön terminálban vagy parancssorban. Egy adott profil meglévő beállításainak megtekintéséhez futtassa a parancsot databricks auth env --profile <profile-name>.

  7. A webböngészőben végezze el a képernyőn megjelenő utasításokat az Azure Databricks-munkaterületre való bejelentkezéshez.

  8. Az OAuth-jogkivonat aktuális értékének és a közelgő lejárati időbélyegnek a megtekintéséhez futtassa a parancsot databricks auth token --host <workspace-url>.

  9. Használja a Databricks parancssori felületét vagy -p beállítását--profile, majd a konfigurációs profil nevét a Databricks CLI parancshívás részeként, például databricks account groups list -p <configuration-profile-name> vagydatabricks clusters list -p <configuration-profile-name>.

    Tipp.

    A konfigurációs profil nevének manuális megadása helyett a Tab--profile-p meglévő elérhető konfigurációs profilok listáját is lenyomhatja vagy megjelenítheti.

Felügyelt Azure-identitások hitelesítése

Az Azure-beli felügyelt identitások hitelesítése felügyelt identitásokat használ az Azure-erőforrásokhoz (korábban felügyeltszolgáltatás-identitásokhoz (MSI)) a hitelesítéshez. Lásd az Azure-erőforrások felügyelt identitásairól szóló cikket. Lásd még az Azure által felügyelt identitások hitelesítését.

Az Azure felhasználó által hozzárendelt felügyelt identitás létrehozásához tegye a következőket:

  1. Hozzon létre vagy azonosítsan egy Azure-beli virtuális gépet, és telepítse a Databricks parancssori felületet, majd rendelje hozzá a felügyelt identitást az Azure-beli virtuális géphez és a cél Azure Databricks-fiókokhoz, munkaterületekhez vagy mindkettőhöz. Lásd: Azure-beli felügyelt identitások hitelesítésének beállítása és használata az Azure Databricks automatizálásához.

  2. Az Azure-beli virtuális gépen hozzon létre vagy azonosítsa az Azure Databricks konfigurációs profilját a fájl alábbi .databrickscfg mezőivel. Ha létrehozza a profilt, cserélje le a helyőrzőket a megfelelő értékekre.

    Fiókszintű parancsok esetén állítsa be a következő értékeket a .databrickscfg fájlban:

    [<some-unique-configuration-profile-name>]
host            = <account-console-url>
account_id      = <account-id>
azure_client_id = <azure-managed-identity-application-id>
azure_use_msi   = true

    Munkaterületszintű parancsok esetén állítsa be a következő értékeket a .databrickscfg fájlban:

    [<some-unique-configuration-profile-name>]
host            = <workspace-url>
azure_client_id = <azure-managed-identity-application-id>
azure_use_msi   = true

    Munkaterületszintű parancsok esetén, ha a célidentitás még nem lett hozzáadva a munkaterülethez, adja meg azure_workspace_resource_id az Azure-erőforrás-azonosítót a munkaterület URL-címe helyetthost. Ebben az esetben a célidentitásnak legalább közreműködői vagy tulajdonosi engedélyekkel kell rendelkeznie az Azure-erőforráshoz.

    Feljegyzés

    A fájl alapértelmezett helye a .databrickscfg felhasználó kezdőlapján található. Ez ~ Linuxra és macOS-re, valamint %USERPROFILE% Windowsra vonatkozik.

  3. Az Azure-beli virtuális gépen használja a Databricks parancssori felületét --profile vagy beállítását, majd a konfigurációs profil nevét a Databricks által használandó profil beállításához, például databricks account groups list -p <configuration-profile-name>databricks clusters list -p <configuration-profile-name>.-p

    Tipp.

    A konfigurációs profil nevének manuális megadása helyett a Tab--profile-p meglévő elérhető konfigurációs profilok listáját is lenyomhatja vagy megjelenítheti.

Microsoft Entra ID szolgáltatásnév hitelesítése

A Microsoft Entra ID szolgáltatásnév-hitelesítése a Microsoft Entra ID szolgáltatásnév hitelesítő adatait használja a hitelesítéshez. Az Azure Databricks szolgáltatásnevek létrehozásához és kezeléséhez lásd: Szolgáltatásnevek kezelése. Lásd még : Microsoft Entra ID szolgáltatásnév-hitelesítés.

A Microsoft Entra ID szolgáltatásnév-hitelesítésének konfigurálásához és használatához helyileg kell telepítenie az Azure CLI-t . A következőket is el kell végeznie:

  1. Hozzon létre vagy azonosítsa az Azure Databricks konfigurációs profilját a fájl alábbi .databrickscfg mezőivel. Ha létrehozza a profilt, cserélje le a helyőrzőket a megfelelő értékekre.

    Fiókszintű parancsok esetén állítsa be a következő értékeket a .databrickscfg fájlban:

    [<some-unique-configuration-profile-name>]
host                = <account-console-url>
account_id          = <account-id>
azure_tenant_id     = <azure-service-principal-tenant-id>
azure_client_id     = <azure-service-principal-application-id>
azure_client_secret = <azure-service-principal-client-secret>

    Munkaterületszintű parancsok esetén állítsa be a következő értékeket a .databrickscfg fájlban:

    [<some-unique-configuration-profile-name>]
host                = <workspace-url>
azure_tenant_id     = <azure-service-principal-tenant-id>
azure_client_id     = <azure-service-principal-application-id>
azure_client_secret = <azure-service-principal-client-secret>

    Munkaterületszintű parancsok esetén, ha a cél Microsoft Entra ID szolgáltatásnév még nem lett hozzáadva a munkaterülethez, adja meg azure_workspace_resource_id az Azure-erőforrás-azonosítót a munkaterület URL-címe helyetthost. Ebben az esetben a Cél Microsoft Entra ID szolgáltatásnévnek legalább közreműködői vagy tulajdonosi engedélyekkel kell rendelkeznie az Azure-erőforráson.

    Feljegyzés

    A fájl alapértelmezett helye a .databrickscfg felhasználó kezdőlapján található. Ez ~ Linuxra és macOS-re, valamint %USERPROFILE% Windowsra vonatkozik.

  2. Használja a Databricks parancssori felületét vagy -p beállítását--profile, majd a konfigurációs profil nevét a Databricks CLI parancshívás részeként, például databricks account groups list -p <configuration-profile-name> vagydatabricks clusters list -p <configuration-profile-name>.

    Tipp.

    A konfigurációs profil nevének manuális megadása helyett a Tab--profile-p meglévő elérhető konfigurációs profilok listáját is lenyomhatja vagy megjelenítheti.

Azure CLI-hitelesítés

Az Azure CLI-hitelesítés az Azure CLI használatával hitelesíti a bejelentkezett entitást. Lásd még az Azure CLI-hitelesítést.

Az Azure CLI-hitelesítés konfigurálásához a következőket kell tennie:

  1. Telepítse helyileg az Azure CLI-t .

  2. Az Azure CLI használatával jelentkezzen be az Azure Databricksbe a az login parancs futtatásával. Tekintse meg az Azure CLI-bejelentkezést egy Azure Databricks-felhasználói fiókkal.

  3. Hozzon létre vagy azonosítsa az Azure Databricks konfigurációs profilját a fájl alábbi .databrickscfg mezőivel. Ha létrehozza a profilt, cserélje le a helyőrzőket a megfelelő értékekre.

    Fiókszintű parancsok esetén állítsa be a következő értékeket a .databrickscfg fájlban:

    [<some-unique-configuration-profile-name>]
host       = <account-console-url>
account_id = <account-id>

    Munkaterületszintű parancsok esetén állítsa be a következő értékeket a .databrickscfg fájlban:

    [<some-unique-configuration-profile-name>]
host = <workspace-url>

    Feljegyzés

    A fájl alapértelmezett helye a .databrickscfg felhasználó kezdőlapján található. Ez ~ Linuxra és macOS-re, valamint %USERPROFILE% Windowsra vonatkozik.

  4. Használja a Databricks parancssori felületét vagy -p beállítását--profile, majd a konfigurációs profil nevét a Databricks CLI parancshívás részeként, például databricks account groups list -p <configuration-profile-name> vagydatabricks clusters list -p <configuration-profile-name>.

    Tipp.

    A konfigurációs profil nevének manuális megadása helyett a Tab--profile-p meglévő elérhető konfigurációs profilok listáját is lenyomhatja vagy megjelenítheti.

A kiértékelés hitelesítési sorrendje

Amikor a Databricks cli-nek össze kell gyűjtenie az Azure Databricks-munkaterülettel vagy -fiókkal való hitelesítéshez szükséges beállításokat, az alábbi helyeken keresi ezeket a beállításokat az alábbi sorrendben.

  1. A kötegparancsok esetében a projekt kötegbeállítási fájljaiban lévő mezők értékei. (A csomagbeállítási fájlok nem támogatják a hozzáférési hitelesítő adatok közvetlen felvételét.)
  2. A környezeti változók értékei az ebben a cikkben, valamint az ügyfél egységes hitelesítésének környezeti változóiban és mezőiben találhatók.
  3. A konfigurációs profil mező értékei a .databrickscfg fájlban, a cikkben korábban felsoroltak szerint.

Amikor a Databricks parancssori felület megkeresi a szükséges beállításokat, leállítja a keresést más helyeken. Példa:

  • A Databricks PARANCSSOR-nak szüksége van egy Azure Databricks személyes hozzáférési jogkivonat értékére. Be van állítva egy DATABRICKS_TOKEN környezeti változó, és a .databrickscfg fájl több személyes hozzáférési jogkivonatot is tartalmaz. Ebben a példában a Databricks CLI a környezeti változó értékét DATABRICKS_TOKEN használja, és nem keres a fájlban .databrickscfg .
  • A databricks bundle deploy -e development parancsnak szüksége van egy Azure Databricks személyes hozzáférési jogkivonat értékére. Nincs DATABRICKS_TOKEN beállítva környezeti változó, és a .databrickscfg fájl több személyes hozzáférési jogkivonatot tartalmaz. A projekt csomagbeállítási fájlja tartalmaz egy környezeti deklarációt development , amely a mezőn profile keresztül hivatkozik egy nevesített DEVkonfigurációs profilra. Ebben a példában a Databricks parancssori felület megkeresi a .databrickscfg fájlt egy elnevezett DEV profilban, és a profil token mezőjének értékét használja.
  • A databricks bundle run -e development hello-job parancsnak szüksége van egy Azure Databricks személyes hozzáférési jogkivonat értékére. Nincs DATABRICKS_TOKEN beállítva környezeti változó, és a .databrickscfg fájl több személyes hozzáférési jogkivonatot tartalmaz. A projekt csomagbeállítási fájlja tartalmaz egy környezeti deklarációt development , amely a saját mezőjén keresztül hivatkozik egy adott Azure Databricks-munkaterület URL-címére host . Ebben a példában a Databricks parancssori felület a fájl konfigurációs profiljai .databrickscfg között keres egy olyan profilt, amely egy host megfelelő munkaterület URL-címmel rendelkező mezőt tartalmaz. A Databricks parancssori felület megkeres egy egyező host mezőt, majd a profil mezőértékét token használja.