Uzyskiwanie tokenów identyfikatora entra firmy Microsoft dla użytkowników przy użyciu interfejsu wiersza polecenia platformy Azure

Ważne

W tym artykule opisano sposób ręcznego tworzenia tokenów identyfikatorów entra firmy Microsoft dla użytkowników przy użyciu interfejsu wiersza polecenia platformy Azure.

Usługa Databricks nie zaleca ręcznego tworzenia tokenów identyfikatorów entra firmy Microsoft dla użytkowników usługi Azure Databricks. Dzieje się tak, ponieważ każdy token identyfikatora Entra firmy Microsoft jest krótkotrwały, zazwyczaj wygasa w ciągu jednej godziny. Po tym czasie należy ręcznie wygenerować zastępczy token identyfikatora entra firmy Microsoft. Zamiast tego należy użyć jednego z uczestniczących narzędzi lub zestawów SDK, które implementują ujednolicony standard uwierzytelniania klienta usługi Databricks. Te narzędzia i zestawy SDK automatycznie generują i zastępują wygasłe tokeny identyfikatorów Entra firmy Microsoft, korzystając z uwierzytelniania interfejsu wiersza polecenia platformy Azure.

Możesz użyć interfejsu wiersza polecenia platformy Azure, aby uzyskać tokeny dostępu identyfikatora Entra firmy Microsoft dla użytkowników.

Uwaga

Możesz również zdefiniować jednostkę usługi w usłudze Azure Active Directory, a następnie uzyskać token dostępu identyfikatora Entra firmy Microsoft dla tej jednostki usługi zamiast dla użytkownika. Zobacz Get Microsoft Entra ID tokens for service principals (Uzyskiwanie tokenów identyfikatora entra firmy Microsoft dla jednostek usługi).

1. Pobierz prawidłowy identyfikator subskrypcji platformy Azure dla konta użytkownika, jeśli jeszcze nie znasz tego identyfikatora, wykonując jedną z następujących czynności:

   • Na górnym pasku nawigacyjnym obszaru roboczego usługi Azure Databricks kliknij swoją nazwę użytkownika, a następnie kliknij pozycję Azure Portal. Na wyświetlonej stronie zasobu obszaru roboczego usługi Azure Databricks kliknij pozycję Przegląd na pasku bocznym. Następnie wyszukaj pole Identyfikator subskrypcji, które zawiera identyfikator subskrypcji.

   • Użyj interfejsu wiersza polecenia platformy Azure, aby uruchomić polecenie az databricks workspace list, używając --query poleceń i -o lub --output , aby zawęzić wyniki. Zastąp adb-0000000000000000.0.azuredatabricks.net ciąg nazwą wystąpienia obszaru roboczego, a nie w tym .https:// W tym przykładzie po 00000000-0000-0000-0000-000000000000 /subscriptions/ w danych wyjściowych jest identyfikator subskrypcji.

     az databricks workspace list --query "[?workspaceUrl==\`adb-0000000000000000.0.azuredatabricks.net\`].{id:id}" -o tsv
     
     # /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-rg/providers/Microsoft.Databricks/workspaces/my-ws
     

     Jeśli zostanie wyświetlony następujący komunikat, zalogowano się do niewłaściwej dzierżawy: The subscription of '<subscription-id>' doesn't exist in cloud 'AzureCloud'. Aby zalogować się do odpowiedniej dzierżawy, musisz ponownie uruchomić az login polecenie, używając -t opcji lub --tenant , aby określić prawidłowy identyfikator dzierżawy.

     Identyfikator dzierżawy dla obszaru roboczego usługi Azure Databricks można uzyskać, uruchamiając polecenie curl -v <per-workspace-URL>/aad/auth i wyszukując w danych wyjściowych < location: https://login.microsoftonline.com/00000000-0000-0000-0000-000000000000, gdzie 00000000-0000-0000-0000-000000000000 jest identyfikatorem dzierżawy. Zobacz również Pobieranie identyfikatorów subskrypcji i dzierżaw w witrynie Azure Portal.

     az login -t <tenant-id>
     

2. Po poprawnym identyfikatorze subskrypcji platformy Azure dla konta użytkownika rozpocznij logowanie się do platformy Azure przy użyciu interfejsu wiersza polecenia platformy Azure, aby uruchomić polecenie az login. Po uruchomieniu tego polecenia postępuj zgodnie z instrukcjami wyświetlanymi na ekranie, aby zakończyć logowanie się przy użyciu konta.

   az login
   

3. Upewnij się, że zalogowano się do właściwej subskrypcji dla zalogowanego użytkownika. W tym celu uruchom polecenie az account set , używając -s opcji lub --subscription , aby określić prawidłowy identyfikator subskrypcji.

   az account set -s <subscription-id>
   

4. Wygeneruj token dostępu identyfikatora Entra firmy Microsoft, uruchamiając polecenie az account get-access-token . --resource Użyj opcji , aby określić unikatowy identyfikator zasobu dla usługi Azure Databricks, czyli 2ff814a6-3304-4ab8-85cb-cd0e6f879c1d. Możesz wyświetlić tylko wartość tokenu Microsoft Entra ID w danych wyjściowych polecenia przy użyciu --query opcji i -o lub --output .

   az account get-access-token \
   --resource 2ff814a6-3304-4ab8-85cb-cd0e6f879c1d \
   --query "accessToken" \
   -o tsv
   

Uwaga

Interfejs wiersza polecenia platformy Azure oparty na bibliotece MSAL używa biblioteki Microsoft Authentication Library (MSAL) jako podstawowej biblioteki uwierzytelniania. Jeśli nie możesz pomyślnie użyć tokenu dostępu microsoft Entra ID wygenerowanego przez interfejs wiersza polecenia platformy Azure, możesz spróbować użyć biblioteki MSAL bezpośrednio, aby uzyskać token dostępu identyfikatora Entra firmy Microsoft dla użytkownika. Zobacz Get Microsoft Entra ID tokens for users by using MSAL (Uzyskiwanie tokenów identyfikatora entra firmy Microsoft dla użytkowników przy użyciu biblioteki MSAL).