python - 使用 Rest Api 和 DataBricks CLI 创建 DataBricks Azure Key Vault secret 范围后端

Question

我正在尝试创建由 azure key Vault 后端的 secret 范围，因此当我尝试使用 secret api 时，出现错误

输入:

response = requests.post(
    'https://%s/api/2.0/secrets/scopes/create' % (DOMAIN),
    headers={'Authorization': 'Bearer %s' % TOKEN,},
    json={"scope": "my-simple-azure-keyvault-scope",
    "scope_backend_type": "AZURE_KEYVAULT",
  "backend_azure_keyvault":
  {
    "resource_id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/azure-rg/providers/Microsoft.KeyVault/vaults/my-azure-kv",
    "dns_name": "https://my-azure-kv.vault.azure.net/"
  },
  "initial_manage_principal": "users"
})

输出:

{
  "error_code": "INVALID_PARAMETER_VALUE",
  "message": "Scope with Azure KeyVault must have userAADToken defined!"
}

我尝试了不同的方法，即 Databricks Cli，因为我遇到了错误，因此我使用 databricks UI 创建了一个 secret 范围并尝试通过 cli 进行访问

输入:

databricks configure --token
Databricks Host (should begin with https://): https://adb-...azuredatabricks.net/
Token: 

D:\Users\>databricks secrets list-scopes

输出:

Error: b'Bad Request'

在 Cmd 提示符中

有没有办法获取AAD token，我已经实现了Microsoft documents用于获取 token 但不起作用

Answer 1

2023 年 5 月更新:现在可以使用服务主体从 azure keyvault 创建 secret 范围:https://learn.microsoft.com/en-us/azure/databricks/release-notes/product/2023/april#create-an-azure-key-vault-backed-secret-scope-with-a-service-principal

这是 documentation 中描述的众所周知的限制评论中链接 - 您必须使用用户的 AAD token 来创建由 Azure KeyVault 烘焙的 secret 范围。

创建 secret 范围的最简单方法不是使用 API，而是使用 Databricks CLI - 有一个命令可以创建 secret 范围:

databricks secrets create-scope --scope <scope-name> \  
  --scope-backend-type AZURE_KEYVAULT --resource-id <azure-keyvault-resource-id> \
  --dns-name <azure-keyvault-dns-name>

您甚至不需要配置 CLI - 指定 DATABRICKS_HOST 和 DATABRICKS_TOKEN 环境变量，如下所示:

export DATABRICKS_TOKEN=$(az account get-access-token -o tsv --query accessToken --resource 2ff814a6-3304-4ab8-85cb-cd0e6f879c1d)
export DATABRICKS_HOST=https://adb-.....azuredatabricks.net

请注意，这里我们通过使用 Azure CLI 中的 az account get-access-token 命令获取用户的 AAD token (确保您之前执行过az login)