Crie um objeto destinatário para utilizadores que não sejam Databricks usando tokens portadores (Databricks-to-Open sharing)

Esta página descreve como criar destinatários OpenSharing que não têm acesso a um espaço de trabalho Databricks habilitado pelo Unity Catalog e conceder a esses destinatários acesso a dados partilhados de forma segura usando tokens portadores. Este fluxo de autenticação, juntamente com o fluxo de autenticação de federação de tokens Open ID Connect (OIDC), é chamado open sharing.

Eis como funciona:

1. Como um provedor de dados, você cria o objeto de destinatário em seu metastore do Unity Catalog.

2. Quando cria o objeto destinatário, seleciona o método do token portador, e o Azure Databricks gera um token e um ficheiro de credencial que inclui o token. Depois, escolha se o Azure Databricks envia um email ao destinatário ou se partilha manualmente o ficheiro de credencial usando um link de ativação.

   O objeto destinatário tem o tipo de autenticação de TOKEN. Você pode atualizar e revogar o token conforme necessário.

3. O destinatário descarrega o ficheiro de credencial a partir do link de ativação ou do email. Eles usam o ficheiro de credencial para autenticar e obter acesso de leitura aos dados partilhados.

O fluxo de federação OIDC é uma alternativa ao fluxo de tokens portadores descrito nesta página. Mas não pode conceder acesso ao destinatário através de um email. Para mais detalhes, consulte a federação Enable Open ID Connect (OIDC) para destinatários do OpenSharing.

Criar o destinatário

Para criar um destinatário para partilha Databricks-to-Open, pode usar o Explorador de Catálogo, a CLI do Databricks Unity Catalog, ou o CREATE RECIPIENT comando SQL num caderno Azure Databricks ou no editor de consultas SQL do Databricks. Para criar um destinatário com a API REST, incluindo um destinatário de email, consulte Criar um destinatário na referência da API REST.

Permissões necessárias: administrador ou usuário do Metastore com o CREATE RECIPIENT privilégio para o metastore do Unity Catalog onde os dados que você deseja compartilhar estão registrados.

Explorador de Catálogos

1. No seu espaço de trabalho do Azure Databricks, clique no Catálogo.

2. No topo do painel de Catálogo , clique no ícone de engrenagem e selecione OpenSharing.

   Alternativamente, no canto superior direito, clique em Partilhar > OpenSharing.

3. Na guia Compartilhado por mim, clique em Novo destinatário.

4. Escolha como o destinatário pode aceder às suas partilhas:

   • Partilhar por email (Beta): Isto envia um email ao destinatário para que possa descarregar o ficheiro da credencial e ler os dados partilhados. Consulte a partilha de emails para detalhes e limitações.

     1. Introduza o nome do destinatário e o seu endereço de email.
     2. Para Configurar como esta partilha pode ser consumida, selecione Qualquer cliente OpenSharing suportado ou Limitar a destinatários de Tokens. Qualquer cliente OpenSharing suportado permite ao destinatário descarregar um ficheiro de credencial e aceder à partilha no Azure Databricks.
     3. A duração do token é, por predefinição, a definida pela configuração do metastore. Consulte Modificar o tempo de vida do token de destinatário.

     Note

     Ao partilhar por email, conceder o acesso à partilha é o que envia o convite. O OpenSharing envia ao destinatário um link de ativação seguro para descarregar o ficheiro de credencial. O ficheiro da credencial só pode ser descarregado uma vez pelo destinatário.

   • Partilhar usando identificador de partilha: Isto gera um ficheiro de credenciais que deve partilhar manualmente com o seu destinatário.

     1. Introduza o Nome do destinatário.

     2. Selecione Abrir.

     3. (Opcional) Defina o tempo de expiração da validade do token (em segundos, minutos, horas ou dias a partir do momento de criação do destinatário). Deixe Definir expiração selecionado para definir um tempo de expiração. Os tokens são válidos por um máximo de um ano após a criação.

        Se selecionar Definir expiração e deixar o campo em branco, o tempo de vida do token será definido pelo valor de tempo de vida do token do destinatário estabelecido na configuração do metastore. Consulte Modificar o tempo de vida do token de destinatário. Para obter informações sobre como alterar o tempo de vida do token e rodar tokens, consulte Gerir tokens de destinatário.

     4. (Opcional) Introduza uma descrição para o seu destinatário.

5. Clique em Criar.

6. Se não usou partilha de email, copie o link de ativação.

   Como alternativa, você pode obter o link de ativação mais tarde. Consulte Enviar informações de conexão ao destinatário.

7. (Opcional) Crie propriedades personalizadas de Destinatário.

   Na guia Visão Geral do Destinatário, clique no ícone ícone de edição ao lado de Propriedades do Destinatário. Em seguida, adicione um nome de propriedade (Key) e Value. Para obter detalhes, consulte Gerenciar propriedades do destinatário.

SQL

Execute o seguinte comando em um bloco de anotações ou no editor de consultas Databricks SQL:

CREATE RECIPIENT [IF NOT EXISTS] <recipient-name>
[COMMENT "<comment>"];

Você também pode adicionar propriedades personalizadas para o destinatário. Para obter detalhes, consulte Gerenciar propriedades do destinatário.

CLI

Execute o seguinte comando usando a CLI do Databricks.

databricks recipients create <recipient-name>

Você também pode adicionar propriedades personalizadas para o destinatário. Para obter detalhes, consulte Gerenciar propriedades do destinatário.

A saída inclui o activation_url que você compartilha com o destinatário.

O destinatário é criado usando o authentication_type de TOKEN.

Enviar ao destinatário suas informações de conexão

Instrua o destinatário a descarregar o ficheiro de credencial e aceder aos dados partilhados.

Os destinatários podem descarregar o ficheiro de credencial apenas uma vez. A credencial descarregada deve ser tratada como um segredo e não deve ser partilhada fora da organização. Se você tiver preocupações de que uma credencial pode ter sido tratada de forma insegura, você pode alternar a credencial de um destinatário a qualquer momento. Para obter mais informações sobre como gerenciar credenciais para garantir acesso seguro de destinatários, consulte Considerações de segurança para tokens.

Enviar por email

O seu destinatário pode aceder e descarregar o ficheiro de credencial a partir do email. Consulte as limitações de partilha de emails.

Enviar usando um identificador de partilha

Use um canal seguro para partilhar o link de ativação e um link para instruções para o utilizar.

Se precisares de aceder ao link de ativação, podes usar o Explorador de Catálogos, a CLI do Databricks Unity Catalog, ou o DESCRIBE RECIPIENT comando SQL num notebook Azure Databricks ou o editor de consultas SQL do Databricks.

Se o destinatário já tiver baixado o arquivo de credenciais, o link de ativação não será retornado ou exibido.

Permissões necessárias: administrador do Metastore, usuário com o USE RECIPIENT privilégio ou proprietário do objeto destinatário.

Explorador de Catálogos

1. No seu espaço de trabalho do Azure Databricks, clique no Catálogo.

2. No topo do painel de Catálogo , clique no ícone de engrenagem e selecione OpenSharing.

   Alternativamente, no canto superior direito, clique em Partilhar > OpenSharing.

3. Na guia Compartilhado por mim, clique em Destinatários e selecione o destinatário.

4. Na página de detalhes do destinatário, copie o link Ativação.

SQL

Execute o seguinte comando em um bloco de anotações ou no editor de consultas Databricks SQL.

DESCRIBE RECIPIENT <recipient-name>;

A saída inclui o activation_link.

CLI

Execute o seguinte comando usando a CLI do Databricks.

databricks recipients get <recipient-name>

A saída inclui o activation_url.

Conceda ao beneficiário acesso a uma quota

Depois de criar o destinatário e criar partilhas, pode conceder acesso ao destinatário a essas partilhas.

Para conceder acesso de compartilhamento aos destinatários, você pode usar o Gerenciador de Catálogos, a CLI do Catálogo Unity do Databricks ou o GRANT ON SHARE comando SQL em um bloco de anotações do Azure Databricks ou no editor de consultas do Databricks SQL.

Permissões necessárias: uma das seguintes opções:

• Administrador da Metastore.
• Permissões delegadas ou propriedade tanto nos objetos da partilha quanto nos objetos do destinatário ((USE SHARE + SET SHARE PERMISSION) ou proprietário da partilha) E (USE RECIPIENT ou proprietário do destinatário).

Para instruções, consulte Gerir o acesso a partilhas de dados OpenSharing (para fornecedores).

Gerenciar tokens de destinatário

Se estiver a partilhar dados com um destinatário através do fluxo de token bearer de partilha Databricks-to-Open, poderá ser necessário renovar o token do destinatário. Girar um token consiste em definir um token existente para expirar e substituí-lo por um novo token e URL de ativação.

Você deve girar o token de um destinatário e gerar uma nova URL de ativação nas seguintes circunstâncias:

• Quando o token de destinatário existente estiver prestes a expirar.
• Se um destinatário perder o URL de ativação ou se estiver comprometido.
• Se a credencial estiver corrompida, perdida ou comprometida depois de ser baixada por um destinatário.
• Quando você modifica o tempo de vida do token de destinatário para um metastore. Consulte Modificar o tempo de vida do token de destinatário.

Considerações de segurança para tokens

A qualquer momento, um destinatário pode ter, no máximo, dois tokens: um token ativo e um token rotativo. O token girado é aquele que foi definido para expirar e ser substituído pelo token ativo. Até que o token girado expire, tentar girá-lo novamente resulta em um erro.

Quando rodas o token de um destinatário, podes opcionalmente definir --existing-token-expire-in-seconds o número de segundos antes de o token do destinatário existente (o que está a ser rodado) expirar. Se você definir o valor como 0, o token de destinatário existente expirará imediatamente.

O Databricks recomenda que você defina --existing-token-expire-in-seconds para um período relativamente curto que dê à organização do destinatário tempo para acessar a nova URL de ativação enquanto minimiza a quantidade de tempo que o destinatário tem dois tokens ativos. Se você suspeitar que o token de destinatário existente está comprometido, o Databricks recomenda que você o force a expirar imediatamente.

Se a URL de ativação existente de um destinatário nunca tiver sido acessada, girar o token existente invalidará essa URL de ativação e a substituirá por uma nova.

Se todos os tokens de destinatário tiverem expirado, a rotação do token substituirá a URL de ativação existente por uma nova. A Databricks recomenda que rotei ou elimine prontamente um destinatário cujo token tenha expirado.

Se um URL de ativação de destinatário for enviado inadvertidamente para a pessoa errada ou for enviado por um canal inseguro, o Databricks recomenda que você:

1. Revogar o acesso do destinatário ao compartilhamento.
2. Gire o destinatário e defina --existing-token-expire-in-seconds como 0.
3. Partilhe o novo URL de ativação com o destinatário pretendido através de um canal seguro.
4. Depois que a URL de ativação for acessada, conceda ao destinatário acesso ao compartilhamento novamente.

Em situações extremas, em vez de girar o token do destinatário, pode-se eliminar e recriar o destinatário.

Rodar o token do destinatário

Para girar o token de um destinatário, você pode usar o Catalog Explorer ou a CLI do Databricks Unity Catalog.

Permissões necessárias: Proprietário do objeto do recetor.

Explorador de Catálogos

1. No seu espaço de trabalho do Azure Databricks, clique no Catálogo.

2. No topo do painel de Catálogo , clique no ícone de engrenagem e selecione OpenSharing.

   Alternativamente, no canto superior direito, clique em Partilhar > OpenSharing.

3. No painel esquerdo, expande o menu OpenSharing e seleciona Partilhado por mim.

4. Na guia Compartilhado por mim, clique em Destinatários e selecione o destinatário.

5. Na coluna mais à direita, em Gestão de Tokens, ao lado de Expiração do Token, clique em Rodarizar.

6. Na caixa de diálogo Rodear token, configure o token para expirar imediatamente ou por um período de tempo determinado. Para obter conselhos sobre quando expirar tokens existentes, consulte Considerações de segurança para tokens.

7. Clique em Girar.

8. Na guia Detalhes, copie a nova ligação de Ativação e partilhe-a com o destinatário através de um canal seguro. Consulte Enviar informações de conexão ao destinatário.

CLI

1. Execute o seguinte comando usando a CLI do Databricks. Substitua os valores dos espaços reservados:

   • <recipient-name>: o nome do destinatário.
   • <expiration-seconds>: O número de segundos até que o token de destinatário existente expire. Durante este período, o token existente continua a funcionar. Um valor de 0 significa que o token existente expira imediatamente. Para obter conselhos sobre quando expirar tokens existentes, consulte Considerações de segurança para tokens.

   databricks recipients rotate-token \
   <recipient-name> \
   <expiration-seconds>
   

2. Obtenha o novo link de ativação do destinatário e compartilhe-o com o destinatário em um canal seguro. Consulte Enviar informações de conexão ao destinatário.

Atualização da vida útil do token destinatário

Para atualizar a vida útil de um token de destinatário existente, utilize o Explorador de Catálogos.

Permissões necessárias: Proprietário do objeto do recetor.

1. No seu espaço de trabalho do Azure Databricks, clique no Catálogo.

2. No topo do painel de Catálogo , clique no ícone de engrenagem e selecione OpenSharing.

   Alternativamente, no canto superior direito, clique em Partilhar > OpenSharing.

3. No painel esquerdo, expande o menu OpenSharing e seleciona Partilhado por mim.

4. Na guia Compartilhado por mim, clique em Destinatários e selecione o destinatário.

5. Na coluna mais à direita, em Gestão de Tokens, ao lado de Expiração do Token, clique em Atualizar.

6. No diálogo Editar tempo de vida do token destinatário, defina o novo tempo de vida do token. Para obter conselhos sobre quando expirar tokens existentes, consulte Considerações de segurança para tokens.

7. Clique em Salvar.

Modificar o tempo de vida do token do destinatário

Se você precisar modificar o tempo de vida do token de destinatário padrão para seu metastore do Catálogo Unity, poderá usar o Catalog Explorer ou a CLI do Databricks Unity Catalog.

Permissões necessárias: Administrador da conta.

Explorador de Catálogos

1. Inicie sessão na consola da conta.
2. Na barra lateral, clique no Catálogo.
3. Clique no nome do metastore.
4. Na secção OpenSharing, tempo de vida do token destinatário, clique em Editar.
5. Habilite Definir expiração.
6. Insira um número de segundos, minutos, horas ou dias e selecione a unidade de medida. Os tokens são válidos por um máximo de um ano após a criação.
7. Clique em Salvar.

CLI

Execute o seguinte comando usando a CLI do Databricks. Substitua 12a345b6-7890-1cd2-3456-e789f0a12b34 pelo UUID do metastore e substitua 86400 pelo número de segundos antes que o token de destinatário expire. Os tokens são válidos por um máximo de um ano após a criação.

databricks metastores update \
12a345b6-7890-1cd2-3456-e789f0a12b34 \
--delta-sharing-recipient-token-lifetime-in-seconds 86400

Recursos adicionais

• Gerir o acesso a partilhas de dados OpenSharing (para fornecedores)
• Gerir recetores de dados para OpenSharing
• Restrinja o acesso dos destinatários do OpenSharing utilizando listas de acesso IP (Databricks-to-Open sharing)