azure - 使用用户分配的托管标识连接到 Azure Databricks

Question

TL;DR:由于 token 中的受众声明错误，使用托管身份对 Databricks 进行身份验证失败。

技术细节:当使用托管身份(使用 http://169.254.169.254/metadata/identity/oauth2/token API)获取访问数据 block 的 token 时，返回的 token 受众为“spn:2ff814a6-3304-4ab8-85cb-cd0e6f879c1d”，而不是“2ff814a6-3304-4ab8-” 85cb-cd0e6f879c1d'。

当尝试使用获取的 token 时，出现以下错误:错误 400 io.jsonwebtoken.In CorrectClaimException:预期的 aud 声明为:2ff814a6-3304-4ab8-85cb-cd0e6f879c1d，但实际为:spn:2ff814a6-3304-4ab8-85cb-cd0e6f879c1d。

如果资源是 guid 而不是 url，受众似乎总是以“spn:”为前缀。

我还尝试使用 databricks 应用程序 URL('https://azuredatabricks.net/')作为资源，但此处也不接受 token 。

这是一个已知问题吗？是否有任何解决方法(除了使用服务主体方法之外)？

谢谢!

Answer 1

我还可以重现您的问题，它看起来像一个错误，using managed identity with Azure Container Instance仍然是预览功能。

我还使用相同的curl命令在Linux VM上测试了相同的用户分配的托管身份，它工作得很好。