Skapa ett mottagarobjekt för användare som inte använder Databricks med hjälp av bearertoken (delning från Databricks till Open)

Den här sidan beskriver hur man skapar OpenSharing-mottagare som inte har tillgång till en Databricks-arbetsyta aktiverad av Unity Catalog och ger dessa mottagare tillgång till säkert delad data med hjälp av bärartokens. Detta autentiseringsflöde, tillsammans med Open ID Connect (OIDC) tokenfederationsautentiseringsflödet, kallas öppen delning.

Så här fungerar det:

1. Som dataprovider skapar du mottagarobjektet i ditt Unity Catalog-metaarkiv.

2. När du skapar mottagarobjektet väljer du bärartokenmetoden, och Azure Databricks genererar en token och en legitimationsfil som inkluderar token. Välj sedan om Azure Databricks mejlar mottagaren eller om du delar inloggningsfilen manuellt med en aktiveringslänk.

   Mottagarobjektet har autentiseringstypen TOKEN. Du kan uppdatera och återkalla token efter behov.

3. Mottagaren laddar ner inloggningsfilen från aktiveringslänken eller från e-posten. De använder inloggningsfilen för att autentisera sig och få läsbehörighet till den delade datan.

OIDC-federationsflödet är ett alternativ till bärartokenflödet som beskrivs på denna sida. Men du kan inte ge mottagaren tillgång via e-post. Mer information finns i Aktivera OIDC-federation (Open ID Connect) för OpenSharing-mottagare.

Skapa mottagaren

Om du vill skapa en mottagare för Databricks-till-Open-delning kan du använda Catalog Explorer, Databricks Unity Catalog CLI eller SQL-kommandot CREATE RECIPIENT i en Azure Databricks-notebook eller Databricks SQL-frågeredigeraren. För att skapa en mottagare med REST API:et, inklusive en e-postmottagare, se Skapa en mottagare i REST API-referensen.

Behörigheter som krävs: Metaarkivadministratör eller användare med CREATE RECIPIENT behörighet för Unity Catalog-metaarkivet där de data som du vill dela är registrerade.

Katalogutforskaren

1. På din Azure Databricks-arbetsyta klickar du på Katalog.

2. Längst upp i fönstret Katalog klickar du på kugghjulsikonen och väljer OpenSharing.

   Du kan också klicka på Dela > OpenSharing i det övre högra hörnet.

3. På fliken Delat av mig klickar du på Ny mottagare.

4. Välj hur din mottagare kan komma åt sina aktier:

   • Dela med e-post (Beta): Detta skickar ett mejl till mottagaren så att de kan ladda ner inloggningsfilen och läsa den delade datan. Se e-postdelning för detaljer och begränsningar.

     1. Ange mottagarens namn och deras e-postadress.
     2. För Konfigurera hur den här delningen kan användas, välj Valfri OpenSharing-klient som stöds eller Begränsa till tokenmottagare. Alla stödda OpenSharing-klienter låter din mottagare ladda ner en legitimationsfil och komma åt delningen på Azure Databricks.
     3. Tokenlivslängden ärver som standard värdet från inställningen för metastore. Se Ändra livslängden för mottagartoken.

     Note

     När man delar via e-post är det att ge delad tillgång som skickar inbjudan. OpenSharing mejlar mottagaren en säker aktiveringslänk för att ladda ner legitimationsfilen. Behörighetsfilen kan endast laddas ner en gång av mottagaren.

   • Dela med delningsidentifierare: Detta genererar en inloggningsfil som du manuellt måste dela med din mottagare.

     1. Ange mottagarnamn.

     2. Välj Öppna.

     3. (Valfritt) Ställ in Tokens livstids utgångstid (i sekunder, minuter, timmar eller dagar från mottagarens skapande). Lämna Ange förfallodatum markerat för att ange en förfallotid. Token är giltiga i högst ett år efter skapandet.

        Om du väljer Ange förfallodatum och lämnar fältet tomt, är livslängden för token standardvärdet för mottagarens tokenlivslängd som anges i metaarkivkonfigurationen. Se Ändra livslängden för mottagartoken. Information om hur du ändrar tokenlivslängden och roterar token finns i Hantera mottagartoken.

     4. (Valfritt) Ange en beskrivning för din mottagare.

5. Klicka på Skapa.

6. Om du inte använde e-postdelning, kopiera aktiveringslänken.

   Du kan också hämta aktiveringslänken senare. Se Skicka mottagaren deras anslutningsinformation.

7. (Valfritt) Skapa anpassade egenskaper för mottagare.

   På fliken Översikt, klicka på bredvid Egenskaper för mottagare. Lägg sedan till ett egenskapsnamn (nyckel) och värde. Mer information finns i Hantera mottagaregenskaper.

SQL

Kör följande kommando i en notebook-fil eller Databricks SQL-frågeredigeraren:

CREATE RECIPIENT [IF NOT EXISTS] <recipient-name>
[COMMENT "<comment>"];

Du kan också lägga till anpassade egenskaper för mottagaren. Mer information finns i Hantera mottagaregenskaper.

CLI

Kör följande kommando med hjälp av Databricks CLI.

databricks recipients create <recipient-name>

Du kan också lägga till anpassade egenskaper för mottagaren. Mer information finns i Hantera mottagaregenskaper.

Utdata innehåller den activation_url som du delar med mottagaren.

Mottagaren skapas med authentication_type av TOKEN.

Skicka sin anslutningsinformation till mottagaren

Instruera mottagaren att ladda ner inloggningsfilen och få tillgång till den delade datan.

Mottagare kan ladda ner inloggningsfilen endast en gång. Den nedladdade inloggningsfilen ska behandlas som hemlig och får inte delas utanför organisationen. Om du är orolig för att en autentiseringsuppgift kan ha hanterats osäkert kan du rotera en mottagares autentiseringsuppgifter när som helst. Mer information om hur du hanterar autentiseringsuppgifter för att säkerställa säker mottagaråtkomst finns i Säkerhetsöverväganden för token.

Skicka via e-post

Din mottagare kan komma åt och ladda ner inloggningsfilen från e-posten. Se begränsningar för e-postdelning.

Skicka med en delningsidentifierare

Använd en säker kanal för att dela aktiveringslänken och en länk till instruktioner för hur du använder den.

Om du behöver komma åt aktiveringslänken kan du använda Catalog Explorer, Databricks Unity Catalog CLI eller SQL-kommandot DESCRIBE RECIPIENT i en Azure Databricks-notebook eller Databricks SQL-frågeredigerare.

Om mottagaren redan har laddat ned filen med autentiseringsuppgifter returneras eller visas inte aktiveringslänken.

Behörigheter som krävs: Metaarkivadministratör, användare med USE RECIPIENT behörigheten eller mottagarens objektägare.

Katalogutforskaren

1. På din Azure Databricks-arbetsyta klickar du på Katalog.

2. Längst upp i fönstret Katalog klickar du på kugghjulsikonen och väljer OpenSharing.

   Du kan också klicka på Dela > OpenSharing i det övre högra hörnet.

3. På fliken Delat av mig klickar du på Mottagare och väljer mottagaren.

4. På sidan med mottagarens information kopierar du aktiveringslänken.

SQL

Kör följande kommando i en notebook-fil eller Databricks SQL-frågeredigeraren.

DESCRIBE RECIPIENT <recipient-name>;

Utdata innehåller activation_link.

CLI

Kör följande kommando med hjälp av Databricks CLI.

databricks recipients get <recipient-name>

Utdata innehåller activation_url.

Ge mottagaren tillgång till en andel

När du har skapat mottagaren och skapat resurser kan du ge mottagaren åtkomst till dessa resurser.

Om du vill bevilja delningsåtkomst till mottagare kan du använda Catalog Explorer, Databricks Unity Catalog CLI eller GRANT ON SHARE SQL-kommandot i en Azure Databricks-anteckningsbok eller Databricks SQL-frågeredigeraren.

Behörigheter som krävs: Något av följande:

• Metastore-administratör.
• Delegerade behörigheter eller ägarskap för både resursen och mottagarobjekten ((USE SHARE + SET SHARE PERMISSION) eller resursägaren) OCH (USE RECIPIENT eller mottagarens ägare).

Anvisningar finns i Hantera åtkomst till OpenSharing-dataresurser (för leverantörer).

Hantera mottagartoken

Om du delar data med en mottagare via Databricks-to-Open Sharing bearer token-flödet kan du behöva rotera den mottagarens token. Att rotera en token består av att ange att en befintlig token ska upphöra att gälla och ersätta den med en ny token och en aktiverings-URL.

Du bör rotera en mottagares token och generera en ny aktiverings-URL under följande omständigheter:

• När den befintliga mottagartoken snart upphör att gälla.
• Om en mottagare förlorar sin aktiverings-URL eller om den komprometteras.
• Om autentiseringsuppgifterna är skadade, förlorade eller komprometterade när den har laddats ned av en mottagare.
• När du ändrar livslängden för mottagartoken för ett metaarkiv. Se Ändra livslängden för mottagartoken.

Säkerhetsöverväganden för token

När som helst kan en mottagare ha högst två token: en aktiv token och en roterad token. Den roterade token är en token som har angetts för att upphöra att gälla och ersättas av den aktiva token. Tills den roterade token upphör att gälla resulterar försök att rotera token igen i ett fel.

När du roterar en mottagares token kan du valfritt ställa in --existing-token-expire-in-seconds antalet sekunder innan den befintliga mottagartoken (den som roteras) går ut. Om du anger värdet till 0upphör den befintliga mottagartoken att gälla omedelbart.

Databricks rekommenderar att du ställer in --existing-token-expire-in-seconds på en relativt kort period som ger mottagarorganisationen tid att komma åt den nya aktiverings-URL:en samtidigt som den tid som mottagaren har två aktiva token minimeras. Om du misstänker att den befintliga mottagartoken har komprometterats rekommenderar Databricks att du tvingar den att upphöra att gälla omedelbart.

Om en mottagares befintliga aktiverings-URL aldrig har använts ogiltigförklaras aktiverings-URL när den befintliga nyckeln roteras och ersätts med en ny.

Om alla mottagartoken har upphört att gälla ersätter rotation av token den befintliga aktiverings-URL:en med en ny. Databricks rekommenderar att du snabbt roterar eller släpper en mottagare vars token har upphört att gälla.

Om en mottagaraktiverings-URL oavsiktligt skickas till fel person eller skickas via en osäker kanal rekommenderar Databricks att du:

1. Återkalla mottagarens åtkomst till resursen.
2. Rotera mottagaren och ange --existing-token-expire-in-seconds till 0.
3. Dela den nya aktiverings-URL:en med den avsedda mottagaren via en säker kanal.
4. När aktiverings-URL:en har använts ger du mottagaren åtkomst till resursen igen.

I extrema situationer kan du, istället för att rotera mottagarens token, ta bort och skapa om mottagaren.

Rotera en mottagares token

Om du vill rotera en mottagares token kan du använda Catalog Explorer eller Databricks Unity Catalog CLI.

Behörigheter som krävs: Ägare av mottagarobjektet.

Katalogutforskaren

1. På din Azure Databricks-arbetsyta klickar du på Katalog.

2. Längst upp i fönstret Katalog klickar du på kugghjulsikonen och väljer OpenSharing.

   Du kan också klicka på Dela > OpenSharing i det övre högra hörnet.

3. I den vänstra rutan expanderar du Menyn OpenSharing och väljer Delat av mig.

4. På fliken Delat av mig klickar du på Mottagare och väljer mottagaren.

5. I kolumnen längst till höger, under Tokenhantering, bredvid Tokens förfallotid, klickar du på Rotera.

6. I dialogrutan Rotera token anger du att token ska upphöra att gälla antingen omedelbart eller under en viss tidsperiod. Råd om när befintliga token ska upphöra att gälla finns i Säkerhetsöverväganden för token.

7. Klicka på Rotera.

8. På fliken Information kopierar du den nya aktiveringslänken och delar den med mottagaren via en säker kanal. Se Skicka mottagaren deras anslutningsinformation.

CLI

1. Kör följande kommando med hjälp av Databricks CLI. Ersätt platshållarvärdena:

   • <recipient-name>: mottagarens namn.
   • <expiration-seconds>: Antalet sekunder tills den befintliga mottagartoken ska upphöra att gälla. Under den här perioden fortsätter den befintliga tokenen att fungera. 0 Värdet innebär att den befintliga token upphör att gälla omedelbart. Råd om när befintliga token ska upphöra att gälla finns i Säkerhetsöverväganden för token.

   databricks recipients rotate-token \
   <recipient-name> \
   <expiration-seconds>
   

2. Hämta mottagarens nya aktiveringslänk och dela den med mottagaren via en säker kanal. Se Skicka mottagaren deras anslutningsinformation.

Uppdatera livslängden för mottagartoken

Om du vill uppdatera livslängden för en befintlig mottagartoken använder du Katalogutforskaren.

Behörigheter som krävs: Ägare av mottagarobjektet.

1. På din Azure Databricks-arbetsyta klickar du på Katalog.

2. Längst upp i fönstret Katalog klickar du på kugghjulsikonen och väljer OpenSharing.

   Du kan också klicka på Dela > OpenSharing i det övre högra hörnet.

3. I den vänstra rutan expanderar du Menyn OpenSharing och väljer Delat av mig.

4. På fliken Delat av mig klickar du på Mottagare och väljer mottagaren.

5. I kolumnen längst till höger, under Tokenhantering, bredvid Tokens förfallotid, klickar du på Uppdatera.

6. I dialogrutan Redigera livslängd för mottagartoken anger du den nya tokenlivslängden. Råd om när befintliga token ska upphöra att gälla finns i Säkerhetsöverväganden för token.

7. Klicka på Spara.

Ändra livslängden för mottagartoken

Om du behöver ändra standardlivslängden för mottagartoken för unity-katalogmetaarkivet kan du använda Catalog Explorer eller Databricks Unity Catalog CLI.

Behörigheter som krävs: Kontoadministratör.

Katalogutforskaren

1. Logga in på kontokonsolen.
2. I sidofältet klickar du på Katalog.
3. Klicka på metastore-namnet.
4. Under Livslängd för OpenSharing-mottagarens token klickar du på Redigera.
5. Aktivera Ange förfallodatum.
6. Ange ett antal sekunder, minuter, timmar eller dagar och välj måttenhet. Token är giltiga i högst ett år efter skapandet.
7. Klicka på Spara.

CLI

Kör följande kommando med hjälp av Databricks CLI. Ersätt 12a345b6-7890-1cd2-3456-e789f0a12b34 med metaarkivets UUID och ersätt 86400 med antalet sekunder innan mottagartoken upphör att gälla. Token är giltiga i högst ett år efter skapandet.

databricks metastores update \
12a345b6-7890-1cd2-3456-e789f0a12b34 \
--delta-sharing-recipient-token-lifetime-in-seconds 86400

Ytterligare resurser

• Hantera åtkomst till OpenSharing-dataresurser (för leverantörer)
• Hantera datamottagare för OpenSharing
• Begränsa OpenSharing-mottagaråtkomst med hjälp av IP-åtkomstlistor (Databricks-to-Open-delning)