Een ontvangerobject maken voor niet-Databricks-gebruikers met bearer-tokens (Databricks-to-Open delen)

Deze pagina beschrijft hoe je OpenSharing-ontvangers kunt aanmaken die geen toegang hebben tot een Databricks-werkruimte met Unity Catalog en deze ontvangers toegang geeft tot veilig gedeelde gegevens via bearertokens. Deze authenticatieflow, samen met de Open ID Connect (OIDC) tokenfederatie-authenticatieflow, wordt open sharing genoemd.

Dit werkt als volgt:

1. Als gegevensprovider maakt u het ontvangerobject in uw Unity Catalog-metastore.

2. Wanneer je het ontvangerobject aanmaakt, selecteer je de bearer token-methode, en Azure Databricks genereert een token en een credentialbestand dat het token bevat. Kies vervolgens of Azure Databricks de ontvanger mailt of dat je het credentialbestand handmatig deelt via een activatielink.

   Het ontvangerobject heeft het verificatietype TOKEN. U kunt het token zo nodig vernieuwen en intrekken.

3. De ontvanger downloadt het credentialbestand via de activatielink of via de e-mail. Ze gebruiken het credentialbestand om te authenticeren en leestoegang te krijgen tot de gedeelde gegevens.

De OIDC-federatiestroom is een alternatief voor de bearer token-flow die op deze pagina wordt beschreven. Maar je kunt de ontvanger geen toegang geven via een e-mail. Zie OpenID Connect (OIDC)-federatie inschakelen voor OpenSharing-ontvangers voor meer informatie.

de geadresseerde creëren

Als u een ontvanger wilt maken voor het delen van Databricks-to-Open, kunt u Catalog Explorer, de Databricks Unity Catalog CLI of de CREATE RECIPIENT SQL-opdracht gebruiken in een Azure Databricks notebook of de Databricks SQL-query-editor. Om een ontvanger aan te maken met de REST API, inclusief een e-mailontvanger, zie Een ontvanger aanmaken in de REST API-referentie.

Vereiste machtigingen: Metastore-beheerder of gebruiker met de bevoegdheid voor de CREATE RECIPIENT Unity Catalog-metastore waarin de gegevens die u wilt delen, zijn geregistreerd.

Catalogusverkenner

1. Klik in uw Azure Databricks werkruimte op Catalog.

2. Klik bovenaan het deelvenster Catalogus op het en selecteer OpenSharing.

   U kunt ook in de rechterbovenhoek op OpenSharing delen >klikken.

3. Klik op het tabblad Gedeeld door mij op Nieuwe geadresseerde.

4. Kies hoe je ontvanger toegang krijgt tot hun aandelen:

   • Delen via e-mail (Bèta): Dit stuurt een e-mail naar de ontvanger zodat hij het inloggegevensbestand kan downloaden en de gedeelde gegevens kan lezen. Zie e-maildelen voor details en beperkingen.

     1. Voer de naam van de ontvanger en hun e-mailadres in.
     2. Voor Configureren hoe deze share kan worden gebruikt, selecteer Elke ondersteunde OpenSharing-client of Beperk tot tokenontvangers. Elke ondersteunde OpenSharing-client stelt je ontvanger in staat een inloggegevensbestand te downloaden en toegang te krijgen tot de share op Azure Databricks.
     3. De levensduur van het token is standaard ingesteld op de metastore-instelling. Zie De levensduur van de geadresseerde-token wijzigen.

     Note

     Bij delen via e-mail is het verlenen van deeltoegang wat de uitnodiging verstuurt. OpenSharing stuurt de ontvanger een beveiligde activatielink om het credentialbestand te downloaden. Het credentialbestand kan slechts één keer door de ontvanger worden gedownload.

   • Delen met deelidentificatie: Dit genereert een inloggegevens die je handmatig met je ontvanger moet delen.

     1. Voer de naam van de ontvanger in.

     2. Klik op Openen.

     3. (Optioneel) Stel de vervaldatum van de Token-levensduur in (in seconden, minuten, uren of dagen vanaf het aanmaken van de ontvanger). Laat Verlooptijd instellen geselecteerd om een verlooptijd in te stellen. Tokens zijn maximaal één jaar na het maken geldig.

        Als u verloopdatum instellen selecteert en het veld leeg laat, wordt de levensduur van het token standaard ingesteld op de waarde die is ingesteld voor de levensduur van het token in de metastore-configuratie. Zie De levensduur van de geadresseerde-token wijzigen. Zie Ontvangerstokens beherenvoor meer informatie over het wijzigen van de levensduur van tokens en het roteren van tokens.

     4. (Optioneel) Voer een beschrijving in voor je ontvanger.

5. Klik op Create.

6. Als je geen e-maildeling hebt gebruikt, kopieer dan de activatielink.

   U kunt de activeringskoppeling ook later downloaden. Zie Stuur de ontvanger hun verbindingsgegevens.

7. (Optioneel) Maak aangepaste eigenschappen voor geadresseerden.

   Klik op het pictogram Bewerken naast Edit iconOntvangerseigenschappenop het tabblad Overzicht. Voeg vervolgens een eigenschapsnaam (sleutel) en waarde toe. Zie Eigenschappen van geadresseerden beheren voor meer informatie.

SQL

Voer de volgende opdracht uit in een notebook of de Sql-queryeditor van Databricks:

CREATE RECIPIENT [IF NOT EXISTS] <recipient-name>
[COMMENT "<comment>"];

U kunt ook aangepaste eigenschappen toevoegen voor de geadresseerde. Zie Eigenschappen van geadresseerden beheren voor meer informatie.

CLI

Voer de volgende opdracht uit met behulp van de Databricks CLI.

databricks recipients create <recipient-name>

U kunt ook aangepaste eigenschappen toevoegen voor de geadresseerde. Zie Eigenschappen van geadresseerden beheren voor meer informatie.

De uitvoer bevat de activation_url die u met de ontvanger deelt.

De ontvanger wordt gemaakt met de authentication_type van TOKEN.

Verzend de verbindingsgegevens naar de ontvanger.

Geef de ontvanger opdracht het inloggegevens te downloaden en toegang te krijgen tot de gedeelde gegevens.

Ontvangers kunnen het credentialbestand slechts één keer downloaden. De gedownloade credential moet als geheim worden behandeld en mag niet buiten de organisatie worden gedeeld. Als u zich zorgen maakt dat een referentie mogelijk onveilig is behandeld, kunt u op elk gewenst moment de referentie van een geadresseerde roteren. Zie Beveiligingsoverwegingen voor tokens voor meer informatie over het beheer van inloggegevens om veilige toegang voor ontvangers te garanderen.

Verzenden via e-mail

Je ontvanger kan toegang krijgen tot en downloaden van het credentialbestand vanuit de e-mail. Zie beperkingen voor e-maildelen.

Verzenden met een delingsidentificatie

Gebruik een beveiligd kanaal om de activatielink te delen en een link naar instructies voor het gebruik ervan.

Als je toegang nodig hebt tot de activatielink, kun je Catalog Explorer, de Databricks Unity Catalog CLI, of het DESCRIBE RECIPIENT SQL-commando in een Azure Databricks-notebook of de Databricks SQL-query-editor gebruiken.

Als de ontvanger het referentiebestand al heeft gedownload, wordt de activeringskoppeling niet geretourneerd of weergegeven.

Vereiste machtigingen: Metastore-beheerder, gebruiker met de USE RECIPIENT bevoegdheid of de eigenaar van het ontvangerobject.

Catalogusverkenner

1. Klik in uw Azure Databricks werkruimte op Catalog.

2. Klik bovenaan het deelvenster Catalogus op het en selecteer OpenSharing.

   U kunt ook in de rechterbovenhoek op OpenSharing delen >klikken.

3. Klik op het tabblad Gedeeld door mij op Geadresseerden en selecteer de geadresseerde.

4. Kopieer de activeringskoppeling op de pagina met gegevens van de geadresseerde.

SQL

Voer de volgende opdracht uit in een notebook of de Sql-query-editor van Databricks.

DESCRIBE RECIPIENT <recipient-name>;

De uitvoer bevat de activation_link.

CLI

Voer de volgende opdracht uit met behulp van de Databricks CLI.

databricks recipients get <recipient-name>

De uitvoer bevat de activation_url.

Verleen de ontvanger toegang tot een aandeel

Nadat u de ontvanger hebt gemaakt en shares hebt gemaakt, kunt u de ontvanger toegang verlenen tot deze shares.

Als u sharetoegang wilt verlenen aan ontvangers, kunt u Catalog Explorer, de Databricks Unity Catalog CLI of de GRANT ON SHARE SQL-opdracht gebruiken in een Azure Databricks-notebook of de Databricks SQL-queryeditor.

Vereiste machtigingen: een van de volgende:

• Metastore-beheerder.
• Gedelegeerde machtigingen of eigendom voor zowel de share- als de ontvangerobjecten ((USE SHARE + SET SHARE PERMISSION) of de eigenaar van de share) EN (USE RECIPIENT of de eigenaar van de ontvanger).

Zie Toegang tot OpenSharing-gegevensdelen beheren (voor aanbieders) voor instructies.

Ontvangerstokens beheren

Als u gegevens deelt met een ontvanger via de bearer-tokenflow voor Databricks-naar-Open Sharing, moet u mogelijk het token van die ontvanger vervangen. Een token vervangen bestaat uit het laten verlopen van een bestaand token en het vervangen door een nieuw token met een activerings-URL.

U moet het token van een geadresseerde roteren en een nieuwe activerings-URL genereren in de volgende omstandigheden:

• Wanneer het bestaande ontvangsttoken bijna verloopt.
• Als een geadresseerde de activerings-URL verliest of als deze is gecompromitteerd.
• Als de referentie is beschadigd, kwijtgeraakt of gecompromitteerd nadat deze is gedownload door een ontvanger.
• Wanneer u de levensduur van het token van de geadresseerde voor een metastore wijzigt. Zie De levensduur van de geadresseerde-token wijzigen.

Beveiligingsoverwegingen voor tokens

Op elk gewenst moment kan een geadresseerde maximaal twee tokens hebben: een actief token en een gedraaid token. Het gedraaide token is een token dat is ingesteld om te verlopen en te worden vervangen door het actieve token. Totdat het gerouleerde token verloopt, leidt een poging om het opnieuw te roteren tot een fout.

Wanneer je het token van een ontvanger roteert, kun je optioneel --existing-token-expire-in-seconds instellen op het aantal seconden voordat het bestaande ontvangertoken (degene die geroteerd wordt) verloopt. Als u de waarde 0instelt op, verloopt het bestaande token van de geadresseerde onmiddellijk.

Databricks raadt aan om --existing-token-expire-in-seconds in te stellen op een relatief korte periode. Dit geeft de organisatie van de ontvanger de tijd om toegang te krijgen tot de nieuwe activerings-URL en minimaliseert de periode waarin de ontvanger twee actieve tokens heeft. Als u vermoedt dat het bestaande ontvangertoken is aangetast, raadt Databricks u aan om het onmiddellijk te laten verlopen.

Als de bestaande activerings-URL van een geadresseerde nog nooit is geopend, maakt het roteren van het bestaande token de activerings-URL ongeldig, en vervangt deze door een nieuwe.

Als alle ontvangertokens zijn verlopen, vervangt het vernieuwen van het token de bestaande activerings-URL door een nieuwe. Databricks raadt u aan om een geadresseerde waarvan het token is verlopen, onmiddellijk te draaien of neer te zetten.

Als een activerings-URL van een geadresseerde per ongeluk naar de verkeerde persoon wordt verzonden of via een onveilig kanaal wordt verzonden, raadt Databricks u aan:

1. De toegang van de ontvanger tot de share intrekken.
2. Draai de ontvanger en stel --existing-token-expire-in-seconds in op 0.
3. Deel de nieuwe activerings-URL met de beoogde ontvanger via een beveiligd kanaal.
4. Nadat de activerings-URL is geopend, verleent u de ontvanger opnieuw toegang tot de share.

In extreme situaties kunt u in plaats van het token van de ontvanger te roteren de ontvanger verwijderen en opnieuw aanmaken.

Een token van een ontvanger roteren

Als u het token van een geadresseerde wilt roteren, kunt u dit doen door Catalog Explorer of de Databricks Unity Catalog CLI te gebruiken.

Vereiste machtigingen: Eigenaar van het ontvangerobject.

Catalogusverkenner

1. Klik in uw Azure Databricks werkruimte op Catalog.

2. Klik bovenaan het deelvenster Catalogus op het en selecteer OpenSharing.

   U kunt ook in de rechterbovenhoek op OpenSharing delen >klikken.

3. Vouw in het linkerdeelvenster het menu OpenSharing uit en selecteer Gedeeld door mij.

4. Klik op het tabblad Gedeeld door mij op Geadresseerden en selecteer de geadresseerde.

5. Klik in de meest rechtse kolom onder Tokenbeheer, naast verloop van token, op Draaien.

6. Stel in het dialoogvenster Token rotatie het token in zodat het onmiddellijk verloopt of voor een bepaalde periode geldig is. Zie Beveiligingsoverwegingen voor tokens voor advies over het verlopen van bestaande tokens.

7. Klik op Draaien.

8. Kopieer op het tabblad Details de nieuwe activeringskoppeling en deel deze met de ontvanger via een beveiligd kanaal. Zie Stuur de ontvanger hun verbindingsgegevens.

CLI

1. Voer de volgende opdracht uit met behulp van de Databricks CLI. Vervang de waarden van de tijdelijke aanduidingen:

   • <recipient-name>: de naam van de geadresseerde.
   • <expiration-seconds>: Het aantal seconden totdat het bestaande token van de geadresseerde moet verlopen. In deze periode blijft het bestaande token werken. Een waarde van 0 betekent dat het bestaande token onmiddellijk verloopt. Zie Beveiligingsoverwegingen voor tokens voor advies over het verlopen van bestaande tokens.

   databricks recipients rotate-token \
   <recipient-name> \
   <expiration-seconds>
   

2. Haal de nieuwe activeringskoppeling van de ontvanger op en deel deze met de ontvanger via een beveiligd kanaal. Zie Stuur de ontvanger hun verbindingsgegevens.

Levensduur van ontvanger-token bijwerken

Gebruik Catalog Explorer om de levensduur van een bestaand ontvangertoken bij te werken.

Vereiste machtigingen: Eigenaar van het ontvangerobject.

1. Klik in uw Azure Databricks werkruimte op Catalog.

2. Klik bovenaan het deelvenster Catalogus op het en selecteer OpenSharing.

   U kunt ook in de rechterbovenhoek op OpenSharing delen >klikken.

3. Vouw in het linkerdeelvenster het menu OpenSharing uit en selecteer Gedeeld door mij.

4. Klik op het tabblad Gedeeld door mij op Geadresseerden en selecteer de geadresseerde.

5. Klik in de meest rechtse kolom onder Tokenbeheer, naast verloop van token, op Bijwerken.

6. In het dialoogvenster Ontvangerstoken levensduur bewerken, stel de nieuwe levensduur van het token in. Zie Beveiligingsoverwegingen voor tokens voor advies over het verlopen van bestaande tokens.

7. Klik op Opslaan.

De levensduur van het ontvangertoken wijzigen

Als u de standaardlevensduur van het ontvangertoken voor uw Unity Catalog-metastore wilt wijzigen, kunt u Catalog Explorer of de Databricks Unity Catalog CLI gebruiken.

Vereiste machtigingen: accountbeheerder.

Catalogusverkenner

1. Meld u aan bij de accountconsole.
2. Klik in de zijbalk op Catalogus.
3. Klik op de naam van de metastore.
4. Klik onder OpenSharing-tokenlevensduur op Bewerken.
5. Schakel Verlooptijd instellen in.
6. Voer een aantal seconden, minuten, uren of dagen in en selecteer de maateenheid. Tokens zijn maximaal één jaar na het maken geldig.
7. Klik op Opslaan.

CLI

Voer de volgende opdracht uit met behulp van de Databricks CLI. Vervang 12a345b6-7890-1cd2-3456-e789f0a12b34 door de metastore UUID en vervang door 86400 het aantal seconden voordat het token van de ontvanger verloopt. Tokens zijn maximaal één jaar na het maken geldig.

databricks metastores update \
12a345b6-7890-1cd2-3456-e789f0a12b34 \
--delta-sharing-recipient-token-lifetime-in-seconds 86400

Aanvullende bronnen

• Toegang tot OpenSharing-datashares beheren (voor aanbieders)
• Gegevensontvangers voor OpenSharing beheren
• Toegang van OpenSharing-ontvangers beperken met IP-toegangslijsten (Databricks-naar-Open sharing)