Persoonlijke toegangstokens bewaken en intrekken

Om te verifiëren bij de REST API van Azure Databricks, kan een gebruiker een persoonlijk toegangstoken (PAT) maken en gebruiken in hun REST API-aanvraag. Een gebruiker kan ook een service-principal maken en gebruiken met een persoonlijk toegangstoken om Azure Databricks REST API's aan te roepen in hun CI/CD-hulpprogramma's en automatisering. In dit artikel wordt uitgelegd hoe Azure Databricks-beheerders persoonlijke toegangstokens in hun werkruimte kunnen beheren. Zie Verifiëren met persoonlijke toegangstokens van Azure Databricks (verouderd) om een persoonlijk toegangstoken te maken.

OAuth gebruiken in plaats van persoonlijke toegangstokens

Databricks raadt u aan OAuth-toegangstokens te gebruiken in plaats van PAT's voor betere beveiliging en gemak. Databricks blijft PAT's ondersteunen, maar vanwege hun grotere beveiligingsrisico's wordt u aangeraden het huidige PAT-gebruik van uw account te controleren en uw gebruikers en service-principals te migreren naar OAuth-toegangstokens. Als u een OAuth-toegangstoken (in plaats van een PAT) wilt maken voor gebruik met een service-principal in automatisering, raadpleegt u Service-principaltoegang tot Azure Databricks autoriseren met OAuth.

Databricks raadt u aan om de blootstelling van uw persoonlijke toegangstoken tot een minimum te beperken met de volgende stappen:

  1. Stel een korte levensduur in voor alle nieuwe tokens die in uw werkruimten zijn gemaakt. De levensduur moet korter zijn dan 90 dagen. Standaard is de maximale levensduur voor alle nieuwe tokens 730 dagen (twee jaar).
  2. Werk samen met uw Beheerders en gebruikers van uw Azure Databricks-werkruimte om over te schakelen naar die tokens met kortere levensduur.
  3. Trek alle langlopende tokens in om het risico te verminderen dat deze oudere tokens na verloop van tijd worden misbruikt. Databricks trekt automatisch alle PAT's voor uw Azure Databricks-werkruimten in wanneer het token in 90 of meer dagen niet is gebruikt.

Vereisten

U moet een beheerder zijn om persoonlijke toegangstokens te beheren.

Azure Databricks accountbeheerders kunnen persoonlijke toegangstokens in het account bewaken en intrekken.

Beheerders van Azure Databricks-werkruimten kunnen het volgende doen:

  • Persoonlijke toegangstokens uitschakelen voor een werkruimte.
  • Bepalen welke niet-beheerders tokens kunnen maken en tokens kunnen gebruiken.
  • Stel een maximale levensduur in voor nieuwe tokens.
  • Bewaken en intrekken van tokens in hun werkruimte.

Voor het beheren van persoonlijke toegangstokens in uw werkruimte is het Premium-abonnementvereist.

Persoonlijke toegangstokens in het account bewaken en intrekken

Accountbeheerders kunnen persoonlijke toegangstokens bewaken en intrekken vanuit de accountconsole. De query's voor het bewaken van tokens worden alleen uitgevoerd wanneer een accountbeheerder de tokenrapportpagina gebruikt.

  1. Meld u als accountbeheerder aan bij de accountconsole.

  2. Klik in de zijbalk op Beveiliging en Tokenrapport.

    U kunt filteren op de eigenaar van het token, de werkruimte, de gemaakte datum, de vervaldatum en de datum waarop het token voor het laatst is gebruikt. Gebruik de knoppen boven aan het rapport om te filteren op toegangstokens voor inactieve principals of toegangstokens zonder vervaldatum.

  3. Als u een rapport wilt exporteren naar een CSV, klikt u op Exporteren.

  4. Als u een token wilt intrekken, selecteert u een token en klikt u op Intrekken.

Verificatie van persoonlijke toegangstokens voor de werkruimte in- of uitschakelen

Verificatie van persoonlijke toegangstokens is standaard ingeschakeld voor alle Azure Databricks werkruimten. U kunt deze instelling wijzigen op de pagina met werkruimte-instellingen.

Wanneer persoonlijke toegangstokens zijn uitgeschakeld voor een werkruimte, kunnen deze niet worden gebruikt om te verifiëren bij Azure Databricks en kunnen werkruimtegebruikers en service-principals geen nieuwe tokens aanmaken. Er worden geen tokens verwijderd wanneer u persoonlijke toegangstokenverificatie voor een werkruimte uitschakelt. Als tokens later opnieuw worden ingeschakeld, zijn alle niet-verlopen tokens beschikbaar voor gebruik.

Als u tokentoegang wilt uitschakelen voor een subset van gebruikers, kunt u persoonlijke toegangstokenverificatie ingeschakeld houden voor de werkruimte en gedetailleerde machtigingen instellen voor gebruikers en groepen. Zie Bepalen wie persoonlijke toegangstokens kan maken en gebruiken.

Waarschuwing

Partner Connect en partnerintegraties vereisen dat persoonlijke toegangstokens zijn ingeschakeld in een werkruimte.

Als u de mogelijkheid wilt uitschakelen om persoonlijke toegangstokens voor de werkruimte te maken en te gebruiken:

  1. Ga naar de pagina Instellingen.

  2. Klik op het tabblad Geavanceerd.

  3. Klik op de wisselknop Persoonlijke toegangstokens .

  4. Klik op Bevestigen.

    Deze wijziging kan enkele seconden duren.

U kunt ook de API voor werkruimteconfiguratie gebruiken om persoonlijke toegangstokens voor de werkruimte uit te schakelen.

Bepalen wie persoonlijke toegangstokens kan maken en gebruiken

Werkruimtebeheerders kunnen machtigingen instellen voor persoonlijke toegangstokens om te bepalen welke gebruikers, service-principals en groepen tokens kunnen maken en gebruiken. Zie Persoonlijke toegangstokenmachtigingen beheren voor meer informatie over het configureren van persoonlijke toegangstokenmachtigingen.

De maximale levensduur van nieuwe persoonlijke toegangstokens instellen

De maximale levensduur van nieuwe tokens is standaard 730 dagen (twee jaar). Stel een kortere maximale levensduur van tokens in uw werkruimte in met behulp van de Databricks CLI of de werkruimteconfiguratie-API. Deze limiet geldt alleen voor nieuwe tokens.

Ingesteld maxTokenLifetimeDays op de maximale levensduur (in dagen) voor nieuwe tokens, als geheel getal. Voorbeeld:

Databricks-CLI

databricks workspace-conf set-status --json '{
  "maxTokenLifetimeDays": "90"
}'

Api voor werkruimteconfiguratie

curl -n -X PATCH "https://<databricks-instance>/api/2.0/workspace-conf" \
  -d '{
  "maxTokenLifetimeDays": "90"
  }'

Terraform

Als u de Databricks Terraform-provider wilt gebruiken om de maximale levensduur voor nieuwe tokens in een werkruimte te beheren, raadpleegt u de databricks_workspace_conf Resource.

Instelling maxTokenLifetimeDays voor "0" het verwijderen van een aangepaste levensduurlimiet en wordt teruggezet naar de standaardwaarde van 730 dagen (twee jaar). Gebruik deze instelling om een eerder geconfigureerde aangepaste limiet uit te schakelen.

Meldingen over het verlopen van persoonlijke toegangstokens

Databricks verzendt ongeveer zeven dagen voordat hun persoonlijke toegangstokens verlopen e-mailmeldingen naar werkruimtegebruikers. Gebruikers moeten gebruikersnamen op basis van e-mail hebben om deze meldingen te ontvangen. Databricks groepeert alle verlopen tokens in dezelfde werkruimte in één e-mail.

Meldingen van verlopen service-principaltokens

Voor service-principaltokens verzendt Databricks verloopmeldingen naar werkruimtebeheerders. Meldingen worden alleen verzonden voor service-principaltokens met een levensduur die langer is dan zeven dagen die ten minste één keer zijn gebruikt.

Tokens in uw werkruimte bewaken en intrekken

In deze sectie wordt beschreven hoe werkruimtebeheerders de Databricks CLI- kunnen gebruiken om bestaande tokens in de werkruimte te beheren. U kunt ook de Token Management-API gebruiken. Databricks trekt automatisch persoonlijke toegangstokens in die 90 dagen of langer niet zijn gebruikt.

tokens ophalen voor de werkruimte

Om de tokens van de werkruimte te verkrijgen:

Python

from databricks.sdk import WorkspaceClient

w = WorkspaceClient()

spark.createDataFrame([token.as_dict() for token in w.token_management.list()]).createOrReplaceTempView('tokens')

display(spark.sql('select * from tokens order by creation_time'))

Bash (een Unix-shell en programmeertaal)

# Filter results by a user by using the `created-by-id` (to filter by the user ID) or `created-by-username` flags.
databricks token-management list

Een token verwijderen (intrekken)

Als u een token wilt verwijderen, vervangt u TOKEN_ID door de id van het token dat u wilt verwijderen:

databricks token-management delete TOKEN_ID

Status van automatische scopetoewijzing van token controleren

U kunt de status van de automatische scoping van een token, afgeleide scopes en toegepaste scopes bekijken via de werkruimtegebruikersinterface of de Token-API. Zie Automatische scopetoewijzing voor persoonlijke toegangstokens voor een overzicht van hoe automatische scopetoewijzing werkt.

Voor nieuwe tokens kunt u voorgestelde scopes bekijken in de interface van de werkruimte. Voor bestaande tokens met toegang tot alle API’s zijn voorgestelde scopes alleen via de API beschikbaar.

Gebruikersinterface van werkruimte

  1. Klik in uw Azure Databricks werkruimte op uw gebruikersnaam in de rechterbovenhoek.
  2. Klik op Instellingen.
  3. Klik in het linkernavigatiedeelvenster op Ontwikkelaars.
  4. Klik op Toegangstokens>beheren.
  5. Controleer voor elk token de status van de automatische scopebepaling en de historische of toegepaste scopes.

API

Gebruik GET /api/2.0/token/list om afgeleide bereiken en de status van automatische bereiktoewijzing te bekijken.

Nieuwe tokens: Het antwoord bevat inferred_scopes, die de huidige afgeleide scopes tonen, en autoscope_state, die de huidige status van automatische scopebepaling tonen.

{
  "token_infos": [
    {
      "token_id": "<token-id>",
      "comment": "example autoscoping completed PAT",
      "scopes": ["authentication"],
      "autoscope_state": "AUTOSCOPE_STATE_COMPLETED",
      "inferred_scopes": ["authentication"]
    }
  ]
}

Bestaande tokens: het antwoord bevat een backfill_scopes-veld met machtigingen die zijn afgeleid uit historisch API-gebruik.

{
  "token_infos": [
    {
      "token_id": "<token-id>",
      "comment": "example existing all-apis PAT",
      "backfill_scopes": ["authentication"]
    }
  ]
}
  • Last updated on