Uwierzytelnianie pakietów zasobów Databricks

W tym artykule opisano sposób konfigurowania uwierzytelniania dla pakietów zasobów usługi Databricks. Zobacz Co to są pakiety zasobów usługi Databricks?.

Wdrażasz i uruchamiasz pakiety zasobów usługi Databricks w kontekście dwóch typów scenariuszy uwierzytelniania: udział i nienadzorowane:

• Scenariusze uwierzytelniania z udziałem użytkownika (użytkownik-komputer) to ręczne przepływy pracy, na przykład przy użyciu przeglądarki internetowej na komputerze lokalnym w celu zalogowania się do docelowego obszaru roboczego usługi Azure Databricks po wyświetleniu monitu przez Databricks CLI. Ta metoda jest idealna do eksperymentowania lub szybkiego rozwoju.
• Scenariusze uwierzytelniania nienadzorowanego (maszyny do maszyny) są w pełni zautomatyzowanymi przepływami pracy ciągłej integracji/ciągłego wdrażania, na przykład w przypadku korzystania z systemów ciągłej integracji/ciągłego wdrażania, takich jak GitHub.

W poniższych sekcjach zalecamy użycie typów i ustawień uwierzytelniania usługi Azure Databricks dla pakietów zasobów usługi Databricks w oparciu o te dwa typy scenariuszy uwierzytelniania.

Uwierzytelnianie z udziałem osoby

W przypadku scenariuszy uwierzytelniania uczestniczącego z pakietami zasobów Databricks, Databricks zaleca użycie uwierzytelniania użytkownika względem maszyny (U2M) protokołu OAuth dla konta użytkownika Azure Databricks w docelowym obszarze roboczym.

Możesz również użyć osobistego tokenu dostępu skojarzonego z kontem użytkownika usługi Azure Databricks dla docelowego obszaru roboczego.

Aby uzyskać więcej informacji na temat tych typów uwierzytelniania usługi Azure Databricks, zobacz Metody autoryzacji.

W przypadku przechowywania ustawień scenariuszy uwierzytelniania z udziałem użytkownika, Databricks zaleca używanie profilów konfiguracji Azure Databricks na lokalnym komputerze deweloperskim. Profile konfiguracji umożliwiają szybkie przełączanie się między różnymi kontekstami uwierzytelniania Azure Databricks, co pozwala na szybką pracę lokalną w wielu obszarach roboczych Azure Databricks. W przypadku profilów można użyć opcji --profile lub -p, aby wybrać profil podczas uruchamiania poleceń pakietu validate, deploy, run i destroy za pomocą interfejsu wiersza polecenia Databricks. Zobacz Profile konfiguracji usługi Azure Databricks.

Uwaga / Notatka

Jeśli profil konfiguracji DEFAULT istnieje, jest używany, gdy nie określono opcji wiersza polecenia -p <profile-name> lub mapowania profile (lub host).

Usługa Databricks obsługuje również użycie mapowania profile w mapowaniu workspace'u, aby określić profil, który ma być stosowany dla każdego docelowego workspace'u w plikach konfiguracji pakietu. Jednak zakodowane mapowania sprawiają, że pliki konfiguracji pakietu są mniej użyteczne w projektach.

Uwierzytelnianie nienadzorowane

W przypadku scenariuszy uwierzytelniania nienadzorowanego w pakietach zasobów usługi Databricks usługa Databricks zaleca użycie następujących typów uwierzytelniania usługi Azure Databricks w następującej kolejności preferencji:

• Uwierzytelnianie za pomocą tożsamości zarządzanych platformy Azure przy użyciu tożsamości zarządzanej platformy Azure zarejestrowanej na maszynie wirtualnej platformy Azure, jeśli ta konfiguracja jest obsługiwana przez system CI/CD.
• Uwierzytelnianie maszyny do maszyny (M2M) OAuth dla jednostki usługi zarządzanej usługi Azure Databricks w docelowym obszarze roboczym.
• Uwierzytelnianie jednostki usługi Microsoft Entra ID dla jednostki usługi zarządzanej Microsoft Entra ID w docelowym obszarze roboczym.

Aby uzyskać więcej informacji na temat tych typów uwierzytelniania usługi Azure Databricks, zobacz Metody autoryzacji.

W przypadku scenariuszy uwierzytelniania nienadzorowanego usługa Databricks zaleca używanie zmiennych środowiskowych do przechowywania ustawień uwierzytelniania usługi Azure Databricks w docelowym systemie ciągłej integracji/ciągłego wdrażania, ponieważ systemy ciągłej integracji/ciągłego wdrażania są zwykle zoptymalizowane pod tym kątem.

W przypadku projektów pakietów zasobów Databricks używanych w systemach CI/CD przeznaczonych do pracy z wieloma obszarami roboczymi Azure Databricks (na przykład trzema oddzielnymi, ale powiązanymi obszarami roboczymi do celów deweloperskich, testowych i produkcyjnych) rekomendujemy używanie zasad usługi do uwierzytelniania i udzielenie jednej zasadzie usługi dostępu do wszystkich obszarów roboczych. Dzięki temu można używać tych samych zmiennych środowiskowych we wszystkich obszarach roboczych projektu.

Usługa Databricks obsługuje również używanie trwale zakodowanych ustawień związanych z uwierzytelnianiem w mapowaniu obszaru roboczego dla docelowych obszarów roboczych w plikach konfiguracji pakietu. Jednak zakodowane ustawienia sprawiają, że konfiguracje pakietów są mniej przydatne do ponownego użycia w różnych projektach i narażają na ryzyko ujawnienia poufnych informacji, takich jak identyfikatory podmiotów usługi.

W przypadku scenariuszy uwierzytelniania nienadzorowanego należy również zainstalować interfejs wiersza polecenia usługi Databricks na skojarzonych zasobach obliczeniowych w następujący sposób:

• Aby przeprowadzić instalację ręczną, zobacz Instalowanie lub aktualizowanie interfejsu wiersza polecenia usługi Databricks.
• W przypadku usługi GitHub zobacz GitHub Actions.

Uwierzytelnianie zarządzanych tożsamości Azure

Aby skonfigurować uwierzytelnianie tożsamości zarządzanych platformy Azure, zobacz Uwierzytelnianie za pomocą tożsamości zarządzanych platformy Azure.

Lista zmiennych środowiskowych do ustawienia uwierzytelniania nienadzorowanego znajduje się w zakresie operacji na poziomie obszaru roboczego w sekcji "Środowisko" w temacie Uwierzytelnianie za pomocą tożsamości zarządzanych platformy Azure. Aby ustawić zmienne środowiskowe, zapoznaj się z dokumentacją systemu operacyjnego lub dokumentacją dostawcy systemu ciągłej integracji/ciągłego wdrażania.

Uwierzytelnianie maszyna-do-maszyny OAuth (M2M)

Aby skonfigurować uwierzytelnianie OAuth M2M, zobacz Autoryzowanie dostępu jednostki usługi do usługi Azure Databricks przy użyciu protokołu OAuth.

Lista zmiennych środowiskowych do ustawienia uwierzytelniania nienadzorowanego znajduje się w zakresie operacji na poziomie obszaru roboczego w sekcji "Środowisko" w sekcji Autoryzowanie dostępu jednostki usługi do usługi Azure Databricks za pomocą protokołu OAuth. Aby ustawić zmienne środowiskowe, zapoznaj się z dokumentacją systemu operacyjnego lub dokumentacją dostawcy systemu ciągłej integracji/ciągłego wdrażania.

Uwierzytelnianie jednostki usługi Microsoft Entra ID

Aby skonfigurować uwierzytelnianie za pomocą jednostek usługi Microsoft Entra ID, zobacz Uwierzytelnianie za pomocą jednostek usługi Microsoft Entra.

Lista zmiennych środowiskowych do ustawienia dla uwierzytelniania nienadzorowanego znajduje się w zakresie operacji na poziomie obszaru roboczego w sekcji "Środowisko" w sekcji Uwierzytelnianie za pomocą jednostek usługi Microsoft Entra. Aby ustawić zmienne środowiskowe, zapoznaj się z dokumentacją systemu operacyjnego lub dokumentacją dostawcy systemu ciągłej integracji/ciągłego wdrażania.

Uwierzytelnianie Azure CLI

Aby skonfigurować uwierzytelnianie za pomocą Azure CLI, zobacz Uwierzytelnianie za pomocą Azure CLI.

Aby wziąć udział w scenariuszach uwierzytelniania interaktywnego i utworzyć profil konfiguracji Azure Databricks, zobacz sekcję "Profil" w Uwierzytelnianie za pomocą interfejsu wiersza polecenia platformy Azure.

Uwierzytelnianie typu użytkownik-komputer (U2M) OAuth

Aby skonfigurować uwierzytelnianie OAuth U2M, zobacz sekcję „CLI” w temacie Autoryzowanie dostępu użytkowników do usługi Azure Databricks przy użyciu OAuth.

W przypadku scenariuszy interaktywnych uwierzytelniania, ukończenie instrukcji w sekcji "CLI" Autoryzowanie dostępu użytkowników do usługi Azure Databricks za pomocą protokołu OAuth automatycznie tworzy profil konfiguracji usługi Azure Databricks dla użytkownika.

Uwierzytelnianie osobistego tokenu dostępu w usłudze Azure Databricks

Aby utworzyć osobisty token dostępu usługi Azure Databricks, zobacz Uwierzytelnianie przy użyciu osobistych tokenów dostępu usługi Azure Databricks (starsza wersja).

W scenariuszach uwierzytelniania asystowanego, aby utworzyć profil konfiguracji dla Azure Databricks, zobacz sekcję „CLI” w temacie Uwierzytelnianie za pomocą osobistych tokenów dostępu usługi Azure Databricks (starsza wersja).

Lista zmiennych środowiskowych do ustawienia uwierzytelniania nienadzorowanego znajduje się w zakresie operacji na poziomie obszaru roboczego w sekcji "Środowisko" w sekcji Uwierzytelnianie za pomocą osobistych tokenów dostępu usługi Azure Databricks (starsza wersja). Aby ustawić zmienne środowiskowe, zapoznaj się z dokumentacją systemu operacyjnego lub dokumentacją dostawcy systemu ciągłej integracji/ciągłego wdrażania.