Мониторинг и отзыв личных токенов доступа

Для проверки подлинности в REST API Azure Databricks пользователь может создать личный маркер доступа (PAT) и использовать его в запросе REST API. Пользователь также может создать учетную запись службы и использовать её с персональным токеном доступа для обращения к REST API Azure Databricks в инструментах CI/CD и автоматизации. В этой статье объясняется, как администраторы Azure Databricks могут управлять личными маркерами доступа в рабочей области. Сведения о создании личного маркера доступа см. в статье Аутентификация с помощью личных маркеров доступа Azure Databricks (устаревшая версия).

Использование OAuth вместо личных маркеров доступа

Databricks рекомендует использовать маркеры доступа OAuth вместо PATS для повышения безопасности и удобства. Databricks продолжает поддерживать PAT, но учитывая более высокий риск безопасности, рекомендуется провести аудит текущего использования PAT в вашем аккаунте и перенести ваших пользователей и принципалов служб на токены доступа OAuth. Чтобы создать маркер доступа OAuth (вместо PAT) для использования с субъектом-службой в службе автоматизации, см. статью "Авторизация доступа субъекта-службы к Azure Databricks с помощью OAuth".

Databricks рекомендует свести к минимуму вероятность раскрытия вашего личного токена доступа, следуя следующим шагам.

  1. Установите короткий срок действия для всех новых токенов, создаваемых в ваших рабочих областях. Время существования должно быть меньше 90 дней. По умолчанию максимальное время существования всех новых маркеров составляет 730 дней (два года).
  2. Обратитесь к администраторам рабочей области Azure Databricks и пользователям, чтобы перейти на эти маркеры с более коротким временем существования.
  3. Отменяйте все долгоживущие токены, чтобы снизить риск ненадлежащего использования этих устаревших токенов с течением времени. Databricks автоматически отзывает все личные токены доступа (PAT) для рабочих пространств Azure Databricks, если они не использовались в течение 90 дней или более.

Требования

Вы должны быть администратором для управления личными маркерами доступа.

Администраторы учетных записей Azure Databricks могут отслеживать и отзывать персональные токены доступа во всей учетной записи.

Администраторы рабочей области Azure Databricks могут выполнять следующие действия:

  • Отключите личные маркеры доступа для рабочей области.
  • Управление тем, какие пользователи, не являющиеся администраторами, могут создавать маркеры и использовать маркеры.
  • Задайте максимальное время существования для новых маркеров.
  • Отслеживайте и отменяйте токены в их рабочей области.

Для управления личными маркерами доступа в рабочей области требуется план Premium.

Мониторинг и отзыв персональных токенов доступа в учетной записи

Администраторы учетных записей могут отслеживать и отзывать личные маркеры доступа из консоли учетной записи. Запросы для отслеживания токенов выполняются только в том случае, если администратор учетной записи использует страницу отчета о токенах.

  1. Войдите в консоль учетной записи как администратор учетной записи.

  2. На боковой панели щелкните Безопасность и Отчет о токенах.

    Вы можете фильтровать по владельцу токена, рабочей области, дате создания, дате окончания срока действия и дате последнего использования маркера. Используйте кнопки в верхней части отчета, чтобы отфильтровать маркеры доступа для неактивных субъектов или маркеров доступа без даты окончания срока действия.

  3. Чтобы экспортировать отчет в CSV-файл, щелкните Экспортировать.

  4. Чтобы отозвать токен, выберите токен и нажмите Отозвать.

Включение или отключение аутентификации с помощью личного токена доступа для рабочей области

Аутентификация с помощью персонального маркера доступа включена по умолчанию для всех рабочих областей Azure Databricks. Этот параметр можно изменить на странице параметров рабочей области.

Если личные токены доступа отключены для рабочей области, их нельзя использовать для аутентификации в Azure Databricks, и пользователи рабочей области, и служебные субъекты не могут создавать новые токены. Токены не удаляются при отключении аутентификации личного токена доступа для рабочей области. Если маркеры снова включены позже, все маркеры, не истекшие срок действия, доступны для использования.

Если вы хотите отключить доступ по токенам для подмножества пользователей, вы можете оставить аутентификацию по токенам личного доступа включенной для рабочей области и задать более подробные разрешения для пользователей и групп. См. раздел "Управление тем, кто может создавать и использовать личные токены доступа".

Предупреждение

Partner Connect и интеграция с партнерами требуют включения личных токенов доступа в рабочей области.

Чтобы отключить возможность создания и использования личных маркеров доступа для рабочей области:

  1. Перейдите на страницу параметров.

  2. Перейдите на вкладку Дополнительно.

  3. Щелкните переключатель Личные токены доступа.

  4. Нажмите кнопку Подтвердить.

    Для вступления в силу этого изменения может потребоваться несколько секунд.

Вы также можете использовать API конфигурации рабочей области, чтобы отключить личные маркеры доступа для рабочей области.

Управление тем, кто может создавать и использовать личные токены доступа

Администраторы рабочей области могут задавать разрешения на личные маркеры доступа, чтобы управлять тем, какие пользователи, субъекты-службы и группы могут создавать и использовать маркеры. Дополнительные сведения о настройке разрешений маркера личного доступа см. в статье "Управление разрешениями личного маркера доступа".

Задайте максимальное время существования новых личных маркеров доступа

По умолчанию максимальное время существования новых маркеров составляет 730 дней (два года). Задайте более короткое максимальное время существования маркера в рабочей области с помощью интерфейса командной строки Databricks или API конфигурации рабочей области. Это ограничение применяется только к новым токенам.

Задайте maxTokenLifetimeDays максимальное время существования (в днях) для новых маркеров в качестве целого числа. Например:

Интерфейс командной строки Databricks

databricks workspace-conf set-status --json '{
  "maxTokenLifetimeDays": "90"
}'

API конфигурации рабочей области

curl -n -X PATCH "https://<databricks-instance>/api/2.0/workspace-conf" \
  -d '{
  "maxTokenLifetimeDays": "90"
  }'

Terraform

Сведения об использовании поставщика Databricks Terraform для управления максимальным временем существования новых маркеров в рабочей области см. в разделе databricks_workspace_conf Resource.

Установка maxTokenLifetimeDays в "0" удаляет любое пользовательское ограничение времени существования и возвращает к системному значению по умолчанию — 730 дней (два года). Используйте этот параметр, чтобы отключить ранее настроенное настраиваемое ограничение.

Уведомления об истечении срока действия личного маркера доступа

Databricks отправляет уведомления по электронной почте пользователям рабочей области примерно через семь дней до истечения срока действия маркеров личного доступа. Пользователи должны иметь имена пользователей на основе электронной почты для получения этих уведомлений. Databricks группирует все маркеры истечения срока действия в одной рабочей области в одном сообщении электронной почты.

Уведомления об истечении срока действия токена субъекта-службы

Для токенов субъекта-службы Databricks отправляет администраторам рабочей области уведомления об истечении срока действия. Уведомления отправляются только для токенов субъекта-службы со сроком действия более семи дней, которые использовались как минимум один раз.

Отслеживайте и отзывайте токены в рабочей области

В этом разделе описывается, как администраторы рабочих областей могут использовать интерфейс командной строки Databricks для управления существующими токенами в рабочей области. Вы также можете использовать API управления маркерами. Databricks автоматически отменяет личные маркеры доступа, которые не использовались в течение 90 или более дней.

Получите токены для рабочей области

Чтобы получить маркеры рабочей области, выполните следующие действия.

Питон

from databricks.sdk import WorkspaceClient

w = WorkspaceClient()

spark.createDataFrame([token.as_dict() for token in w.token_management.list()]).createOrReplaceTempView('tokens')

display(spark.sql('select * from tokens order by creation_time'))

Бить

# Filter results by a user by using the `created-by-id` (to filter by the user ID) or `created-by-username` flags.
databricks token-management list

Удаление (отмена) токена

Чтобы удалить маркер, замените TOKEN_ID идентификатором маркера для удаления:

databricks token-management delete TOKEN_ID

Проверьте состояние автоматического определения области действия токена

Вы можете просмотреть статус автоматического определения областей действия токена, определённые области действия и применённые области действия с помощью интерфейса рабочей области или API токенов. Общие сведения о том, как работает автоматическое назначение областей доступа, см. в статье Автоматическое назначение областей доступа для личных токенов доступа.

Для новых токенов можно просмотреть предлагаемые области доступа в интерфейсе рабочей области. Для существующих маркеров с доступом ко всем API предлагаемые области доступны только через API.

Пользовательский интерфейс рабочей области

  1. В рабочей области Azure Databricks щелкните имя пользователя в правом верхнем углу.
  2. Нажмите кнопку "Параметры".
  3. В области навигации слева щелкните "Разработчик".
  4. Щелкните Токены доступа>Управление.
  5. Просмотрите статус автоматического назначения областей действия для каждого токена, а также историю назначения или применённые области действия.

API

Используйте GET /api/2.0/token/list для просмотра предполагаемых областей и состояния автоматического определения областей.

Новые токены: ответ содержит inferred_scopes, показывающий текущие определённые области видимости, и autoscope_state, показывающий текущее состояние автоматического определения области видимости.

{
  "token_infos": [
    {
      "token_id": "<token-id>",
      "comment": "example autoscoping completed PAT",
      "scopes": ["authentication"],
      "autoscope_state": "AUTOSCOPE_STATE_COMPLETED",
      "inferred_scopes": ["authentication"]
    }
  ]
}

Существующие маркеры: ответ содержит backfill_scopes поле, показывающее области, полученные из исторического использования API.

{
  "token_infos": [
    {
      "token_id": "<token-id>",
      "comment": "example existing all-apis PAT",
      "backfill_scopes": ["authentication"]
    }
  ]
}
  • Last updated on