provisionamento a entidade de serviço utilizando Terraform

Observação

Para provisionar a Databricks entidade de serviço usando a Databricks interface de usuário, consulte gerenciar entidade de serviço.

Uma entidade de serviço é uma identidade para ferramentas e sistemas automatizados, como scripts, aplicativos e plataformas CI/CD. Databricks recomenda o uso de uma entidade de serviço e seus tokens OAuth ou access token pessoal em vez de seu usuário Databricks account e access token pessoal. Os benefícios incluem:

  • Conceder e restringir o acesso ao recurso independentemente de um usuário.

  • Permitindo que os usuários protejam melhor seu próprio access tokens.

  • Desativar ou excluir uma entidade de serviço sem afetar outros usuários.

  • Remover um usuário quando ele deixa a organização sem afetar nenhuma entidade de serviço.

Siga estas instruções para usar o provedorDatabricks Terraform para criar uma Databricks entidade de serviço em seu Databricks workspace e, em seguida, criar um Databricks pessoal access token para a Databricks entidade de serviço.

Requisitos

  • Um Databricks pessoal access token para permitir que o provedor Databricks Terraform chame o Databricks APIs em nome de seu usuário Databricks account dentro do Databricks workspace. Para criar um access token pessoal, consulte Databricks personal access token authentication.

  • Databricks CLI versão 0.205 ou acima, configurado com um perfil de configuração de autenticação Databricks que faz referência ao Databricks pessoal correspondente access token. Para criar esse perfil de configuração, faça o seguinte:

    Observação

    O procedimento a seguir usa o Databricks CLI para criar um perfil de configuração do Databricks com o nome DEFAULT. Se você já tiver um perfil de configuração DEFAULT, este procedimento sobrescreverá seu perfil de configuração DEFAULT existente.

    Para verificar se você já tem um perfil de configuração DEFAULT e para ver as configurações desse perfil, se ele existir, use a CLI do Databricks para executar o comando databricks auth env --profile DEFAULT.

    Para criar um perfil de configuração com um nome diferente de DEFAULT, substitua a parte DEFAULT de --profile DEFAULT no comando databricks configure a seguir por um nome diferente para o perfil de configuração.

    1. Use a CLI do Databricks para criar um perfil de configuração do Databricks com o nome DEFAULT que utiliza autenticação por access token pessoal do Databricks. Para fazer isso, execute o seguinte comando:

      databricks configure --profile DEFAULT

    2. Para o prompt Databricks Host, insira o URL da instância do seu workspace do Databricks, por exemplo https://1234567890123456.7.gcp.databricks.com.

    3. Para o prompt Access token pessoal, insira o access token pessoal do Databricks para seu workspace

  • A CLI do Terraform. Consulte o download Terraform.

Crie os sites Databricks entidade de serviço e Databricks personal access token

  1. No seu terminal, crie um diretório vazio e depois mude para ele. Cada conjunto separado de arquivos de configuração do Terraform deve estar em seu próprio diretório. Por exemplo: mkdir terraform_service_principal_demo && cd terraform_service_principal_demo.

    mkdir terraform_service_principal_demo && cd terraform_service_principal_demo

  2. Nesse diretório vazio, crie um arquivo chamado main.tf. Adicione o conteúdo a seguir a esse arquivo e salve-o.

    Aviso

    O conteúdo a seguir contém a declaração authorization = "tokens". Só pode haver um recurso de permissão authorization = "tokens" por Databricks workspace. Após aplicar as alterações a seguir, os usuários que anteriormente tinham permissão CAN_USE ou CAN_MANAGE terão seu acesso à autenticação baseada em tokens revogado. Seus tokens ativos também são imediatamente excluídos (revogados). Devido à natureza potencialmente disruptiva dessas operações, a configuração relacionada é comentada no arquivo main.tf.

    Como alternativa, o senhor pode usar a interface de usuário Databricks para permitir que a Databricks entidade de serviço use um Databricks pessoal access token. Consulte gerenciar pessoal access token permissões. O senhor também pode usar a interface de usuário Databricks para gerar um Databricks pessoal access token para a Databricks entidade de serviço. Consulte gerenciar tokens para uma entidade de serviço.

    Observação

    O conteúdo a seguir cria uma entidade de serviço no nível Databricks workspace . Se o seu Databricks workspace estiver habilitado para federação de identidade, o conteúdo a seguir também sincronizará automaticamente a entidade de serviço com o Databricks account relacionado (consulte Como os administradores atribuem usuários ao espaço de trabalho?) Para criar uma entidade de serviço somente no nível Databricks account em vez de no nível workspace, consulte a seção "Creating entidade de serviço in AWS Databricks account" do recurso serviço na documentação do provedor Databricks Terraform .

    Se o senhor optar por descomentar o recurso e a saída a seguir, também será gerado um access token pessoal. Este access token pessoal pode ser usado pela entidade de serviço para automação somente dentro do Databricks workspace especificado.

    O senhor não pode usar o access tokens pessoal com entidade de serviço para Databricks account-level automation. Se o senhor tentar gerar um access token pessoal para uma entidade de serviço no nível Databricks account , a tentativa falhará.

    variable "databricks_connection_profile" {
  description = "The name of the Databricks authentication configuration profile to use."
  type        = string
}

variable "service_principal_display_name" {
  description = "The display name for the service principal."
  type        = string
}

variable "service_principal_access_token_lifetime" {
  description = "The lifetime of the service principal's access token, in seconds."
  type        = number
  default     = 3600
}

terraform {
  required_providers {
    databricks = {
      source = "databricks/databricks"
    }
  }
}

provider "databricks" {
  profile = var.databricks_connection_profile
}

resource "databricks_service_principal" "sp" {
  provider     = databricks
  display_name = var.service_principal_display_name
}

# Uncomment the following "databricks_permissions" resource
# if you want to enable the service principal to use
# personal access tokens.
#
# Warning: uncommenting the following "databricks_permissions" resource
# causes users who previously had either CAN_USE or CAN_MANAGE permission
# to have their access to token-based authentication revoked.
# Their active tokens are also immediately deleted (revoked).
#
# Alternatively, you can enable this later through the Databricks user interface.
#
# resource "databricks_permissions" "token_usage" {
#   authorization    = "tokens"
#   access_control {
#     service_principal_name = databricks_service_principal.sp.application_id
#     permission_level       = "CAN_USE"
#   }
# }
#
# Uncomment the following "databricks_obo_token" resource and
# "service_principal_access_token" output if you want to generate
# a personal access token for service principal and then see the
# generated personal access token.
#
# If you uncomment the following "databricks_obo_token" resource and
# "service_principal_access_token" output, you must also
# uncomment the preceding "databricks_permissions" resource.
#
# Alternatively, you can generate a personal access token later through the
# Databricks user interface.
#
# resource "databricks_obo_token" "this" {
#   depends_on       = [databricks_permissions.token_usage]
#   application_id   = databricks_service_principal.sp.application_id
#   comment          = "Personal access token on behalf of ${databricks_service_principal.sp.display_name}"
#   lifetime_seconds = var.service_principal_access_token_lifetime
# }

output "service_principal_name" {
  value = databricks_service_principal.sp.display_name
}

output "service_principal_id" {
  value = databricks_service_principal.sp.application_id
}

# Uncomment the following "service_principal_access_token" output if
# you want to see the generated personal access token for the service principal.
#
# If you uncomment the following "service_principal_access_token" output, you must
# also uncomment the preceding "service_principal_access_token" resource and
# "databricks_obo_token" resource.
#
# output "service_principal_access_token" {
#   value     = databricks_obo_token.this.token_value
#   sensitive = true
# }

    Observação

    Para adicionar esta entidade de serviço aos grupos Databricks workspace e para adicionar os direitos Databricks workspace a esta entidade de serviço, consulte serviço no site Terraform.

  3. No mesmo diretório, crie um arquivo chamado terraform.tfvars. Adicione o conteúdo a seguir a esse arquivo, substituindo os valores a seguir e salve o arquivo:

    • Substitua o valor databricks_connection_profile pelo nome do seu perfil de configuração de autenticação dos requisitos.

    • Substitua o valor service_principal_display_name por um nome de exibição para a entidade de serviço.

    • Substitua o valor service_principal_access_token_lifetime pelo número de segundos de duração do access token para a entidade de serviço.

    databricks_connection_profile           = "<Databricks authentication configuration profile name>"
service_principal_display_name          = "<Service principal display name>"
service_principal_access_token_lifetime = 3600

  4. Inicialize o diretório de trabalho que contém o arquivo main.tf executando o comando terraform init. Para obter mais informações, consulte Comando: init no site do Terraform.

    terraform init

  5. Verifique se há algum erro de sintaxe na configuração executando o comando terraform validate. Para obter mais informações, consulte o comando: validate no site Terraform.

    terraform validate

  6. Aplique as alterações necessárias para atingir o estado desejado da configuração executando o comando terraform apply. Para obter mais informações, consulte Comando: aplique no site do Terraform.

    terraform apply

  7. Se o senhor descomentar o recurso databricks_permissions, o recurso databricks_obo_token e a saída service_principal_access_token, para obter a entidade de serviço access token, consulte o valor de outputs.service_principal_access_token.value no arquivo terraform.tfstate, que está no diretório de trabalho que contém o arquivo main.tf.