Externa hemligheter i Unity-katalogen

Externa hemligheter kopplar ett Unity Catalog-schema till en extern hemlig hanterare. Istället för att Azure Databricks lagrar hemlighetsvärdena, stannar hemligheterna i din molnhemlighetshanterare och visas i Unity Catalog som säkerhetsbara objekt som du kan styra och referera till.

• För en introduktion till Unity Catalog-hemligheter och till de hemligheter som Azure Databricks lagrar och hanterar åt dig, se Secrets in Unity Catalog.
• För att backa ett schema med en extern hemlig hanterare, se Konfigurera externa hemligheter i Unity Catalog.

Hur externa hemligheter fungerar

Du konfigurerar den hemliga backenden per schema. Som standard lagrar och hanterar Azure Databricks varje hemlighet i ett schema, om inte en extern hemlig hanterare stöder det. Ett schema kan inte blanda båda.

När ett schema stöds av en extern hemlig hanterare gör Azure Databricks följande:

• Lyfter fram de hemligheter som anslutningen kan lista: Varje hemlighet som anslutningen får lista visas som en Unity-kataloghemlighet i Catalog Explorer, dbutils, och Unity Catalog REST API. Namngivningsrestriktioner gäller. Se Namngivningsbegränsningar.
• Läser värden på begäran: Azure Databricks lagrar inte det hemliga värdet i Unity Catalog. Varje hämtning läser det aktuella värdet direkt från den externa hemliga hanteraren, vilket ökar latens och kan medföra kostnader för molnleverantörer. Hämtade värden kan cachelagras på den beräkning som begärde dem, precis som med andra hemligheter.
• Åtkomst styrs med Unity Catalog-behörigheter: READ SECRET och REFERENCE SECRET, och privilegiearv fungerar på samma sätt som för hemligheter som hanteras av Azure Databricks. Eftersom externa hemligheter är skrivskyddade avvisar Unity Catalog CREATE SECRET, WRITE SECRET och borttagningsoperationer. Se Begränsningar. All åtkomst till den externa hemliga managern går via anslutningens tjänstelegitimation, så molnbaserade revisionsloggar attributar åtkomst till den identiteten, medan Unity Catalog-revisionsloggar fortfarande registrerar Azure Databricks-användaren.

Att visa ett schemas hemliga värden utlöser import. Det är inte en kontinuerlig bakgrundssynkronisering. Importen körs asynkront, så Unity Catalog återspeglar en hemlig uppgift som läggs till i eller tas bort från den externa hemlighetshanteraren först när en efterföljande listning utlöser en import, vilket kan ta upp till några minuter för hemlighetslager med många hemliga uppgifter. Att läsa en specifik hemlighet importerar eller uppdaterar bara den hemligheten, och varje läsning hämtar det senaste värdet. När du permanent raderar en hemlighet i den externa hemlighetshanteraren tar Azure Databricks bort motsvarande Unity-kataloghemlighet, inklusive dess metadata, behörigheter och taggar.

Namngivningsbegränsningar

Externa hemliga namn måste följa Unity Catalogs namngivningskonventioner för att importeras:

• Unity Catalog importerar inte namn längre än 248 tecken.
• Hemlighetsnamn i Unity Catalog är inte skiftlägeskänsliga. Om två externa hemligheter skiljer sig endast åt i fallet använder Unity Catalog endast den första importerade och ignorerar resten.
• Unity Catalog ersätter tecken som den inte stödjer: . blir : och / blir |. Azure Databricks rekommenderar att undvika dessa tecken i externa hemliga namn.

Hantera hemliga kvoter

Unity Catalog begränsar hur många hemligheter ett schema och en metastore kan innehålla. Se Begränsningar. Om ett schema har fler hemligheter än kvoten tillåter, importerar Azure Databricks de äldsta hemligheterna först efter skapandedatum i den externa hemlighetshanteraren, upp till kvoten, och importerar inte resten. Exponera endast de hemligheter du behöver i Azure Databricks så att schemat håller sig inom kvoten:

Rikta anslutningen till en dedikerad Key Vault som endast innehåller de hemligheter du vill ha tillgängliga i Azure Databricks.

Limitations

Utöver de begränsningar som gäller för alla Unity-kataloghemligheter har externt stödda hemligheter följande begränsningar:

• Skrivskyddat i Unity Catalog: Du kan inte skapa, uppdatera, byta namn på eller ta bort hemligheter i ett externt backat schema från Azure Databricks. Hantera dessa hemliga uppgifter i den externa hemlighetshanteraren.
• En backend per schema: Alla hemligheter i ett schema använder samma backend. Ett schema kan inte blanda Azure Databricks-hanterade och externt backade hemligheter.
• Att byta backend tar bort importerade hemligheter: Att ändra ett schemas backend eller peka det mot en annan anslutning tar bort tidigare importerade externa hemligheter från schemat, inklusive deras Unity Catalog-metadata, behörigheter och taggar.
• Åtkomst över molnet stöds inte: Säkerhetskopiera scheman med den hemliga hanteraren som är inbyggd i arbetsområdets moln.
• Läslatens och kostnad: Varje läsning hämtar värdet från den externa hemliga hanteraren, vilket ökar latens och kan medföra kostnader för molnleverantörer.
• Slutligen konsekvent listning: Hemligheter som läggs till eller tas bort från den externa hemliga hanteraren kan ta några minuter att dyka upp i Unity-katalogen, särskilt för stora hemliga butiker.

• Ingen taggfiltrering: Azure Key Vault stöder inte filtrering av importerade hemligheter efter tagg.
• Inaktiverade och raderade hemligheter: En inaktiverad Key Vault-hemlighet visas i Unity-katalogen, men att läsa dess värde misslyckas tills du aktiverar den igen. Unity Catalog visar inte längre en mjukt raderad hemlighet. Återställ den i Key Vault för att göra den tillgänglig igen.

Ytterligare resurser