Tworzenie obiektu adresata dla użytkowników niebędących użytkownikami usługi Databricks przy użyciu tokenów elementu nośnego (udostępnianie usługi Databricks-to-Open)

Ta strona opisuje, jak tworzyć odbiorców OpenSharing, którzy nie mają dostępu do obszaru roboczego Databricks z włączoną funkcją Unity Catalog, oraz jak przyznawać im dostęp do bezpiecznie udostępnianych danych za pomocą tokenów okaziciela. Ten proces uwierzytelniania wraz z przepływem uwierzytelniania federacji tokenów Open ID Connect (OIDC) nazywa się otwarte udostępnianie.

Oto, jak to działa:

1. Jako dostawca danych utworzysz obiekt odbiorcy w metasklepie danych Unity Catalog.

2. Gdy tworzysz obiekt odbiorcy, wybierasz metodę tokena nosiciela, a Azure Databricks generuje token oraz plik poświadczenia, który zawiera token. Następnie wybierz, czy Azure Databricks wysyła e-mail do odbiorcy, czy ręcznie udostępniasz plik poświadczenia za pomocą linku aktywacyjnego.

   Obiekt adresata ma typ TOKENuwierzytelniania . Możesz odświeżyć i odwołać token zgodnie z potrzebami.

3. Odbiorca pobiera plik uwierzytelniający z linku aktywacyjnego lub z e-maila. Używają pliku uwierzytelniającego do uwierzytelniania i uzyskania dostępu do odczytu danych współdzielonych.

Przepływ federacyjny OIDC jest alternatywą dla przepływu tokenu bearer opisanego na tej stronie. Ale nie możesz przyznać odbiorcy dostępu za pomocą e-maila. Aby uzyskać szczegółowe informacje, zobacz Włączanie federacji open ID Connect (OIDC) dla adresatów openSharing.

Utwórz adresata

Aby utworzyć odbiorcę na potrzeby udostępniania Databricks-to-Open, możesz użyć Catalog Explorer, interfejsu wiersza polecenia Databricks Unity Catalog lub polecenia SQL CREATE RECIPIENT w notatniku Azure Databricks albo w edytorze zapytań Databricks SQL. Aby utworzyć odbiorcę za pomocą REST API, w tym odbiorcę e-mail, zobacz Utworzenie odbiorcy w referencji REST API.

Wymagane uprawnienia: administrator magazynu metadanych lub użytkownik z przywilejem CREATE RECIPIENT do magazynu metadanych Unity Catalog, w którym zarejestrowano dane, które chcesz udostępnić.

Eksplorator wykazu

1. W obszarze roboczym Azure Databricks kliknij pozycję Catalog.

2. W górnej części panelu Katalog kliknij ikonę koła zębatego i wybierz pozycję OpenSharing.

   Alternatywnie, w górnym prawym rogu kliknij Udostępnij > OpenSharing.

3. Na karcie Udostępnione przeze mnie kliknij pozycję Nowy adresat.

4. Wybierz, jak odbiorca może uzyskać dostęp do swoich udziałów:

   • Udostępnij za pomocą e-maila (Beta): To wysyła e-mail do odbiorcy, aby mógł pobrać plik poświadczenia i przeczytać udostępnione dane. Szczegóły i ograniczenia można znaleźć w sekcji udostępnianie e-maili .

     1. Wpisz imię odbiorcy oraz adres e-mail.
     2. Aby skonfigurować sposób korzystania z tego udziału, wybierz Dowolny obsługiwany klient OpenSharing lub Ogranicz do odbiorców tokenu. Każdy obsługiwany klient OpenSharing pozwala odbiorcy pobrać plik poświadczenia i uzyskać dostęp do udostępnienia na Azure Databricks.
     3. Domyślny czas życia tokena jest określony przez ustawienie metastore. Zobacz Modyfikowanie okresu istnienia tokenu odbiorcy.

     Note

     Podczas udostępniania za pomocą wiadomości e-mail to nadanie uprawnień dostępu powoduje wysłanie zaproszenia. OpenSharing wysyła odbiorcy e-mail z bezpiecznym linkiem aktywacyjnym do pobrania pliku poświadczeń. Plik uwierzytelniający może być pobrany tylko raz przez odbiorcę.

   • Udostępnij za pomocą identyfikatora udostępniania: Generuje to plik poświadczenia, który musisz ręcznie udostępnić odbiorcy.

     1. Wprowadź nazwę adresata .

     2. Wybierz opcję Otwórz.

     3. (Opcjonalnie) Ustaw czas ważności tokena (w sekundach, minutach, godzinach lub dniach od czasu utworzenia odbiorcy). Zostaw opcję Ustaw wygaśnięcie ustawioną, aby ustawić czas wygaśnięcia. Tokeny są ważne przez maksymalnie jeden rok po utworzeniu.

        Jeśli wybierzesz pozycję Ustaw wygasanie i pozostawisz pole puste, domyślny okres istnienia tokenu zostanie ustawiony na taki, jak dla tokenu odbiorcy określonego w konfiguracji metastore. Zobacz Modyfikowanie okresu istnienia tokenu odbiorcy. Aby uzyskać informacje na temat zmiany okresu istnienia tokenu i rotacji tokenów, zobacz Zarządzanie tokenami adresatów.

     4. (Opcjonalnie) Wprowadź opis odbiorcy.

5. Kliknij pozycję Utwórz.

6. Jeśli nie korzystałeś z udostępniania e-maili, skopiuj link aktywacyjny.

   Alternatywnie możesz uzyskać link aktywacji później. Zobacz Wyślij odbiorcy informacje o połączeniu.

7. (Opcjonalnie) Utwórz niestandardowe właściwości adresata.

   Na karcie Podsumowanie odbiorcy kliknij ikonę edycji obok właściwości odbiorcy. Następnie dodaj nazwę właściwości (klucz) i wartość. Aby uzyskać szczegółowe informacje, zobacz Zarządzanie właściwościami adresatów.

SQL

Uruchom następujące polecenie w notesie lub edytorze zapytań SQL usługi Databricks:

CREATE RECIPIENT [IF NOT EXISTS] <recipient-name>
[COMMENT "<comment>"];

Możesz również dodać właściwości niestandardowe dla adresata. Aby uzyskać szczegółowe informacje, zobacz Zarządzanie właściwościami adresatów.

CLI

Uruchom następujące polecenie za pomocą Databricks CLI.

databricks recipients create <recipient-name>

Możesz również dodać właściwości niestandardowe dla adresata. Aby uzyskać szczegółowe informacje, zobacz Zarządzanie właściwościami adresatów.

Dane wyjściowe obejmują activation_url, które udostępniasz adresatowi.

Adresat jest tworzony przy użyciu authentication_type i TOKEN.

Wyślij adresatowi informacje o połączeniu

Polec odbiorcy pobrać plik poświadczenia i uzyskać dostęp do udostępnionych danych.

Odbiorcy mogą pobrać plik z uprawnieniami tylko raz. Pobrane dane uwierzytelniające powinny być traktowane jako tajemnica i nie mogą być udostępniane poza organizacją. Jeśli masz obawy, że poświadczenie mogło zostać obsłużone w sposób niebezpieczny, możesz w dowolnym momencie odnowić poświadczenie odbiorcy. Aby uzyskać więcej informacji na temat zarządzania poświadczeniami w celu zapewnienia bezpiecznego dostępu adresata, zobacz Zagadnienia dotyczące zabezpieczeń tokenów.

Wyślij za pomocą e-maila

Twój odbiorca może uzyskać dostęp do pliku uwierzytelniającego i pobrać go z e-maila. Zobacz ograniczenia dotyczące udostępniania e-maili.

Wyślij za pomocą identyfikatora współdzielenia

Użyj bezpiecznego kanału, aby udostępnić link aktywacyjny oraz link do instrukcji korzystania z niego.

Jeśli potrzebujesz dostępu do linku aktywacyjnego, możesz użyć Catalog Explorer, CLI Databricks Unity Catalog lub DESCRIBE RECIPIENT polecenia SQL w notatniku Azure Databricks albo edytora zapytań SQL Databricks.

Jeśli odbiorca pobrał już plik poświadczeń, link aktywacji nie zostanie zwrócony ani wyświetlony.

Wymagane uprawnienia: administrator magazynu metadanych, użytkownik z USE RECIPIENT uprawnieniami lub właściciel obiektu adresata.

Eksplorator wykazu

1. W obszarze roboczym Azure Databricks kliknij pozycję Catalog.

2. W górnej części panelu Katalog kliknij ikonę koła zębatego i wybierz pozycję OpenSharing.

   Alternatywnie, w górnym prawym rogu kliknij Udostępnij > OpenSharing.

3. Na karcie Udostępnione przeze mnie kliknij pozycję Adresaci i wybierz adresata.

4. Na stronie szczegółów adresata skopiuj link aktywacyjny.

SQL

Uruchom następujące polecenie w notesie lub edytorze zapytań SQL usługi Databricks.

DESCRIBE RECIPIENT <recipient-name>;

Dane wyjściowe obejmują element activation_link.

CLI

Uruchom następujące polecenie za pomocą Databricks CLI.

databricks recipients get <recipient-name>

Dane wyjściowe obejmują element activation_url.

Przyznaj adresatowi dostęp do elementu udostępnionego

Po utworzeniu adresata i utworzeniu udziałów można udzielić adresatowi dostępu do tych udziałów.

Aby udzielić dostępu do zasobów adresatom, możesz użyć Eksploratora katalogów, interfejsu wiersza polecenia usługi Databricks Unity Catalog lub polecenia SQL w notesie usługi Azure Databricks lub edytorze zapytań SQL usługi Databricks.

Wymagane uprawnienia: jeden z następujących elementów:

• Administrator magazynu metadanych.
• Delegowane uprawnienia lub własność zarówno w przypadku udziału, jak i obiektów odbiorcy ((USE SHARE + SET SHARE PERMISSION) lub właściciel udziału) oraz (USE RECIPIENT lub właściciel odbiorcy).

Aby uzyskać instrukcje, zobacz Zarządzanie dostępem do udziałów danych openSharing (dla dostawców).

Zarządzanie tokenami adresatów

Jeśli udostępniasz dane adresatowi przy użyciu przepływu tokenu elementu nośnego udostępniania usługi Databricks-to-Open, może być konieczne obracanie tokenu tego adresata. Rotacja tokenu polega na ustawieniu istniejącego tokenu do wygaśnięcia i zastąpieniu go nowym tokenem i adresem URL aktywacji.

Należy obrócić token odbiorcy i wygenerować nowy adres URL aktywacji w następujących okolicznościach:

• Gdy istniejący token odbiorcy wkrótce wygaśnie.
• Jeśli odbiorca utraci adres URL aktywacji lub jeśli zostanie naruszony.
• Jeśli poświadczenie jest uszkodzone, utracone lub naruszone po jego pobraniu przez odbiorcę.
• Podczas modyfikowania okresu istnienia tokenu odbiorcy dla magazynu metadanych. Zobacz Modyfikowanie okresu istnienia tokenu odbiorcy.

Zagadnienia dotyczące zabezpieczeń tokenów

W danym momencie odbiorca może mieć co najwyżej dwa tokeny: aktywny token i obracany token. Token podlegający rotacji to ten, który został ustawiony do wygaśnięcia i zastąpienia przez aktywny token. Dopóki rotowany token nie wygaśnie, próba rotacji tokenu ponownie spowoduje wystąpienie błędu.

Gdy obracasz token odbiorcy, możesz opcjonalnie ustawić --existing-token-expire-in-seconds liczbę sekund przed wygaśnięciem istniejącego tokena odbiorcy (tego obracanego). Jeśli ustawisz wartość na 0, istniejący token odbiorcy wygaśnie natychmiast.

Usługa Databricks zaleca ustawienie --existing-token-expire-in-seconds na stosunkowo krótki okres, który daje organizacji odbiorcy czas dostępu do nowego adresu URL aktywacji, jednocześnie minimalizując czas, przez jaki odbiorca ma dwa aktywne tokeny. Jeśli podejrzewasz, że istniejący token odbiorcy został naruszony, Databricks zaleca natychmiastowe wymuszenie jego wygaśnięcia.

Jeśli istniejący adres URL aktywacji odbiorcy nigdy nie został uzyskany, rotacja istniejącego tokenu unieważnia ten adres URL aktywacji i zastępuje go nowym.

Jeśli wszystkie tokeny adresatów wygasły, rotacja tokenu zastępuje istniejący adres URL aktywacji nowym. Usługa Databricks zaleca szybkie obracanie lub usuwanie adresata, którego token wygasł.

Jeśli adres URL aktywacji odbiorcy jest przypadkowo wysyłany do niewłaściwej osoby lub jest wysyłany przez niezabezpieczony kanał, usługa Databricks zaleca:

1. Odebranie adresatowi dostępu do udziału.
2. Obróć adresata i ustaw --existing-token-expire-in-seconds na 0.
3. Udostępnij nowy adres URL aktywacji zamierzonemu adresatowi za pośrednictwem bezpiecznego kanału.
4. Po dokonaniu dostępu do adresu URL aktywacji ponownie przyznaj adresatowi dostęp do udziału.

W skrajnych sytuacjach, zamiast obracać token odbiorcy, możesz usunąć i ponownie utworzyć adresata.

Obracanie tokenu odbiorcy

Aby obrócić token odbiorcy, możesz użyć Eksploratora katalogu lub interfejsu wiersza polecenia Unity Catalog Databricks.

Wymagane uprawnienia: właściciel obiektu adresata.

Eksplorator wykazu

1. W obszarze roboczym Azure Databricks kliknij pozycję Catalog.

2. W górnej części panelu Katalog kliknij ikonę koła zębatego i wybierz pozycję OpenSharing.

   Alternatywnie, w górnym prawym rogu kliknij Udostępnij > OpenSharing.

3. W okienku po lewej stronie rozwiń menu OpenSharing i wybierz pozycję Udostępnione przeze mnie.

4. Na karcie Udostępnione przeze mnie kliknij pozycję Adresaci i wybierz adresata.

5. W prawej kolumnie w obszarze Zarządzanie tokenami obok pozycji Wygaśnięcie tokenu kliknij pozycję Obróć.

6. W oknie dialogowym Obracanie tokenu ustaw token na wygaśnięcie natychmiast lub przez określony czas. Aby uzyskać porady dotyczące wygasania istniejących tokenów, zobacz Zagadnienia dotyczące zabezpieczeń tokenów.

7. Kliknij Obróć.

8. Na karcie Szczegóły skopiuj nowy link Aktywacja i udostępnij go odbiorcy za pośrednictwem bezpiecznego kanału. Zobacz Wyślij odbiorcy informacje o połączeniu.

CLI

1. Uruchom następujące polecenie za pomocą Databricks CLI. Zastąp wartości zastępcze:

   • <recipient-name>: nazwa adresata.
   • <expiration-seconds>: liczba sekund do wygaśnięcia istniejącego tokenu odbiorcy. W tym czasie istniejący token nadal działa. Wartość 0 oznacza, że istniejący token wygasa natychmiast. Aby uzyskać porady dotyczące wygasania istniejących tokenów, zobacz Zagadnienia dotyczące zabezpieczeń tokenów.

   databricks recipients rotate-token \
   <recipient-name> \
   <expiration-seconds>
   

2. Pobierz nowy link aktywacji odbiorcy i udostępnij go odbiorcy za pośrednictwem bezpiecznego kanału. Zobacz Wyślij odbiorcy informacje o połączeniu.

Aktualizowanie okresu istnienia tokenu odbiorcy

Aby zaktualizować okres istnienia istniejącego tokenu adresata, użyj Eksploratora wykazu.

Wymagane uprawnienia: właściciel obiektu adresata.

1. W obszarze roboczym Azure Databricks kliknij pozycję Catalog.

2. W górnej części panelu Katalog kliknij ikonę koła zębatego i wybierz pozycję OpenSharing.

   Alternatywnie, w górnym prawym rogu kliknij Udostępnij > OpenSharing.

3. W okienku po lewej stronie rozwiń menu OpenSharing i wybierz pozycję Udostępnione przeze mnie.

4. Na karcie Udostępnione przeze mnie kliknij pozycję Adresaci i wybierz adresata.

5. W prawej kolumnie w obszarze Zarządzanie tokenami obok pozycji Wygaśnięcie tokenu kliknij pozycję Aktualizuj.

6. W oknie dialogowym Edytowanie okresu ważności tokenu adresata ustaw nowy okres ważności tokenu. Aby uzyskać porady dotyczące wygasania istniejących tokenów, zobacz Zagadnienia dotyczące zabezpieczeń tokenów.

7. Kliknij Zapisz.

Modyfikowanie okresu istnienia tokenu odbiorcy

Jeśli musisz zmodyfikować domyślny okres istnienia tokenu adresata dla metastora katalogu Unity, możesz użyć Eksploratora Katalogu lub interfejsu wiersza polecenia Unity Catalog od Databricks.

Wymagane uprawnienia: administrator konta.

Eksplorator wykazu

1. Zaloguj się do konsoli konta.
2. Na pasku bocznym kliknij Wykaz.
3. Kliknij nazwę magazynu metadanych.
4. W obszarze Okres istnienia tokenu adresata openSharing kliknij pozycję Edytuj.
5. Włącz Ustaw wygaśnięcie.
6. Wprowadź liczbę sekund, minut, godzin lub dni i wybierz jednostkę miary. Tokeny są ważne przez maksymalnie jeden rok po utworzeniu.
7. Kliknij Zapisz.

CLI

Uruchom następujące polecenie za pomocą Databricks CLI. Zastąp 12a345b6-7890-1cd2-3456-e789f0a12b34 identyfikatorem UUID magazynu metadanych, a 86400 liczbą sekund do wygaśnięcia tokenu odbiorcy. Tokeny są ważne przez maksymalnie jeden rok po utworzeniu.

databricks metastores update \
12a345b6-7890-1cd2-3456-e789f0a12b34 \
--delta-sharing-recipient-token-lifetime-in-seconds 86400

Dodatkowe zasoby

• Zarządzaj dostępem do udziałów danych OpenSharing (dla dostawców)
• Zarządzaj odbiorcami danych w usłudze OpenSharing
• Ograniczanie dostępu odbiorców Open Sharing przy użyciu list dostępu IP (z Databricks do Open Sharing)