Szolgáltatásnevek a CI/CD-hez

Ez a cikk azt ismerteti, hogyan használhatja a CI/CD szolgáltatásneveit az Azure Databricks használatával. A szolgáltatásnév automatizált eszközökkel és alkalmazásokkal való használatra létrehozott identitás, beleértve a következőket:

• CI-/CD-platformok, például a GitHub Actions, az Azure Pipelines és a GitLab CI/CD
• Adatfolyam az adatfolyamokban
• Jenkins

Ajánlott biztonsági eljárásként a Databricks azt javasolja, hogy az Azure Databricks-felhasználó vagy a Databricks személyes hozzáférési jogkivonata helyett használjon szolgáltatásnevet és annak jogkivonatát a munkaterület-felhasználó számára, hogy a CI/CD-platformok számára hozzáférést biztosítson az Azure Databricks-erőforrásokhoz. Ennek a megközelítésnek néhány előnye a következők:

• Az Azure Databricks-erőforrásokhoz való hozzáférést felhasználótól függetlenül engedélyezheti és korlátozhatja egy szolgáltatásnév számára. Ez lehetővé teszi például, hogy megtiltsa, hogy egy szolgáltatásnév rendszergazdaként működjön az Azure Databricks-munkaterületen, miközben a munkaterület más meghatározott felhasználói továbbra is rendszergazdaként működhetnek.
• A felhasználók megvédhetik a hozzáférési jogkivonataikat a CI/CD-platformok általi hozzáféréstől.
• A szolgáltatásnév ideiglenesen letiltható vagy véglegesen törölhető anélkül, hogy más felhasználókat érintenének. Ez lehetővé teszi például, hogy felfüggesztse vagy eltávolítsa a hozzáférést egy olyan szolgáltatásnévről, amelyet gyanít, hogy rosszindulatú módon használják.
• Ha egy felhasználó elhagyja a szervezetet, eltávolíthatja a felhasználót anélkül, hogy bármilyen szolgáltatásnévre hatással lenne.

Ha CI/CD-platform hozzáférést szeretne adni az Azure Databricks-munkaterülethez, tegye a következőket:

Válasszon az alábbi támogatott MS Entra hitelesítési mechanizmusok közül szolgáltatáskapcsolattal:

• A Microsoft Entra számítási feladatok identitásának összevonása az Azure CLI használatával hitelesítési mechanizmusként.

  • Egy Microsoft Entra-szolgáltatásnév, amely egy Microsoft Entra ügyfélkulcsot használ hitelesítési mechanizmusként.
    • Felügyelt Microsoft Entra-azonosító.

  A Microsoft Entra-hitelesítés implementálásával kapcsolatos részletekért lásd : Hitelesítés az Azure DevOps on Databricks szolgáltatással.

  Ha tudni szeretné, hogyan hitelesítheti az Azure Databricks Git-mappákhoz való hozzáférést az Azure DevOps használatával, olvassa el a Microsoft Entra szolgáltatásnév használata az Azure Databricks Git-mappákhoz való hozzáférés hitelesítéséhez című témakört.

Követelmények

• Az Azure Databricks OAuth-jogkivonata vagy Microsoft Entra ID-jogkivonata egy Azure Databricks által felügyelt szolgáltatásnévhez vagy egy Microsoft Entra ID által felügyelt szolgáltatásnévhez. Az Azure Databricks által felügyelt szolgáltatásnév vagy a Microsoft Entra ID által felügyelt szolgáltatásnév, valamint az Azure Databricks OAuth-jogkivonat vagy a Microsoft Entra ID-jogkivonat létrehozásához lásd: Szolgáltatásnevek kezelése.
• Egy fiók a Git-szolgáltatónál.

A GitHub Actions beállítása

A GitHub Actionsnek hozzá kell tudnia férni az Azure Databricks-munkaterülethez. Ha Azure Databricks Git-mappákat szeretne használni, a munkaterületnek hozzá kell férnie a GitHubhoz is.

Ahhoz, hogy a GitHub Actions hozzáférhessen az Azure Databricks-munkaterülethez, meg kell adnia az Azure Databricks által felügyelt szolgáltatásnévvel vagy a Microsoft Entra ID által felügyelt szolgáltatásnévvel kapcsolatos információkat a GitHub Actions számára. Ilyen lehet például az alkalmazás (ügyfél) azonosítója, a Microsoft Entra ID által felügyelt szolgáltatásnév címtár-(bérlői) azonosítója , az Azure Databricks által felügyelt szolgáltatásnév vagy a Microsoft Entra ID által felügyelt szolgáltatásnév ügyfélkódja, vagy access_token egy Azure Databricks által felügyelt szolgáltatásnév értéke a GitHub-művelet követelményeitől függően. További információ: Szolgáltatásnevek kezelése és a GitHub-művelet dokumentációja.

Ha azt is engedélyezni szeretné, hogy az Azure Databricks-munkaterület hozzáférhessen a GitHubhoz az Azure Databricks Git-mappák használatakor, hozzá kell adnia a GitHub személyes hozzáférési jogkivonatát egy GitHub-gép felhasználójához a munkaterülethez.

Szolgáltatásnévvel kapcsolatos információk megadása a GitHub Actions számára

Ez a szakasz azt ismerteti, hogyan engedélyezheti a GitHub Actions számára az Azure Databricks-munkaterület elérését.

Ajánlott biztonsági eljárásként a Databricks azt javasolja, hogy ne adja meg közvetlenül a GitHub Actions-fájlok törzsébe a szolgáltatásnév adatait. Ezeket az információkat a GitHub Actions számára a GitHub titkosított titkos kódokkal kell megadnia.

A GitHub Actions, például a Databricks által a GitHub Actions használatával történő folyamatos integrációban és kézbesítésben listázott műveletek különböző GitHub-titkosított titkos kódokra támaszkodnak, például:

• DATABRICKS_HOSTérték, amelyet például a https://munkaterület-példány neveadb-1234567890123456.7.azuredatabricks.net követ.
• AZURE_CREDENTIALS, amely egy JSON-dokumentumot jelöl, amely az Azure CLI futtatásának kimenetét képviseli, hogy információkat kapjon a Microsoft Entra ID által felügyelt szolgáltatási főazonosítóról. További információkért tekintse meg a GitHub-művelet dokumentációját.
• AZURE_SP_APPLICATION_ID, amely a Microsoft Entra ID által felügyelt szolgáltatásnév alkalmazás-(ügyfél-) azonosítójának értéke.
• AZURE_SP_TENANT_ID, amely egy Felügyelt Microsoft Entra ID szolgáltatásnév címtár-(bérlői) azonosítójának értéke.
• AZURE_SP_CLIENT_SECRET, amely egy Microsoft Entra ID által felügyelt szolgáltatásnév ügyféltitkának értéke .

További információ arról, hogy mely GitHub-titkos kulcsokra van szükség egy GitHub-művelethez: Szolgáltatásnevek kezelése és az adott GitHub-művelet dokumentációja.

Ha ezeket a GitHub-titkosított titkos kulcsokat fel szeretné adni a GitHub-adattárba, olvassa el a Titkosított titkos kódok létrehozása az adattárhoz a GitHub dokumentációjában című témakört. A GitHub-adattár titkos kulcsainak hozzáadásának egyéb megközelítéseit a GitHub dokumentációjában található Titkosított titkos kulcsok című témakörben találja.

GitHub-alapú személyes hozzáférési jogkivonat hozzáadása Egy GitHub-gép felhasználójához az Azure Databricks-munkaterülethez

Ez a szakasz azt ismerteti, hogyan engedélyezheti az Azure Databricks-munkaterületnek a GitHub azure Databricks Git-mappákkal való elérését. Ez ci/CD-forgatókönyvekben nem kötelező feladat.

Biztonsági szempontból ajánlott eljárásként a Databricks azt javasolja, hogy GitHub-alapú személyes fiókok helyett GitHub-gépfelhasználókat használjon, számos okból, hogy azure Databricks-felhasználó helyett szolgáltatásnevet használjon. Ha hozzá szeretné adni a GitHub személyes hozzáférési jogkivonatát egy GitHub-gépfelhasználóhoz az Azure Databricks-munkaterülethez, tegye a következőket:

1. Hozzon létre egy GitHub-felhasználót, ha még nem rendelkezik elérhető felhasználóval. A GitHub-gép felhasználója egy Személyes GitHub-fiók, amely a saját Személyes GitHub-fiókjától független, a GitHubon végzett tevékenységek automatizálására használható. Hozzon létre egy új különálló GitHub-fiókot , amelyet GitHub-gépfelhasználóként szeretne használni, ha még nem rendelkezik elérhető fiókkal.

   Feljegyzés

   Ha új különálló GitHub-fiókot hoz létre GitHub-gépfelhasználóként, nem társíthatja azt a saját Személyes GitHub-fiókjához tartozó e-mail-címmel. Ehelyett tekintse meg a szervezet levelezési rendszergazdáját egy külön e-mail-cím beszerzéséről, amelyet gitHub-felhasználóként társíthat ehhez az új különálló GitHub-fiókhoz.

   Tekintse meg a szervezet fiókadminisztrátorát a különálló e-mail-cím és a hozzá tartozó GitHub-gép felhasználójának, valamint a szervezeten belüli GitHub személyes hozzáférési jogkivonatainak kezelésével kapcsolatban.

2. Adjon hozzáférést a GitHub-gép felhasználóinak a GitHub-adattárhoz. Lásd: Csapat vagy személy meghívása a GitHub dokumentációjában. A meghívás elfogadásához először ki kell jelentkeznie a Személyes GitHub-fiókjából, majd vissza kell jelentkeznie GitHub-gépfelhasználóként.

3. Jelentkezzen be a GitHubra gépfelhasználóként, majd hozzon létre egy Személyes GitHub-hozzáférési jogkivonatot a gépfelhasználó számára. Lásd: Személyes hozzáférési jogkivonat létrehozása a GitHub dokumentációjában. Mindenképpen adjon hozzáférést a GitHub személyes hozzáférési jogkivonat-adattárához.

4. Gyűjtse össze a Microsoft Entra ID token-t a szolgáltatási főazonosítóhoz, a GitHub gép felhasználónevéhez, majd nézze meg a A szolgáltatási főazonosító használata a Databricks Git-mappákkalszakaszt.

Az Azure Pipelines beállítása

Az Azure Pipelinesnak hozzá kell tudnia férni az Azure Databricks-munkaterülethez. Ha Azure Databricks Git-mappákat is szeretne használni, a munkaterületnek hozzá kell férnie az Azure Pipelineshoz.

Az Azure Pipelines YAML-folyamatfájljai környezeti változókra támaszkodnak az Azure Databricks-munkaterület eléréséhez. Ezek a környezeti változók a következők:

• DATABRICKS_HOSTérték, amelyet például a https://munkaterület-példány neveadb-1234567890123456.7.azuredatabricks.net követ.
• DATABRICKS_TOKEN, amely annak az értéknek az token_value értéke, amelyet a Microsoft Entra ID-jogkivonat létrehozása után másolt a Microsoft Entra ID felügyelt szolgáltatásnévhez.

Ha ezeket a környezeti változókat szeretné hozzáadni az Azure-folyamathoz, olvassa el Azure Key Value-titkos kulcsok használata az Azure Pipelinesban és Titkos változók beállítása az Azure dokumentációjában.

Lásd még a következő Databricks blogot:

• CI/CD implementálása a Databricksen a Databricks Notebooks és az Azure DevOps használatával

Ci/CD-forgatókönyvek esetén nem kötelező: Ha a munkaterület Azure Databricks Git-mappákat használ, és engedélyezni szeretné a munkaterület számára az Azure Pipelines elérését, gyűjtse össze a következőket:

• A Szolgáltatásnév Microsoft Entra ID-jogkivonata
• Az Azure Pipelines-felhasználónév

Ezután tekintse meg Szolgáltatásnév használata a Databricks Git-mappákkalcímű témakört.

GitLab CI/CD beállítása

A GitLab CI/CD-nek hozzá kell tudnia férni az Azure Databricks-munkaterülethez. Ha Azure Databricks Git-mappákat is szeretne használni, a munkaterületnek hozzá kell férnie a GitLab CI/CD-hez.

Az Azure Databricks-munkaterület eléréséhez a GitLab CI/CD-fájlok.gitlab-ci.yml, például az alapszintű Python-sablonhasznált fájlok egyéni CI-/CD-változókra támaszkodnak, például:

• DATABRICKS_HOSTérték, amelyet például a https://munkaterület-példány neveadb-1234567890123456.7.azuredatabricks.net követ.
• DATABRICKS_TOKEN, amely annak az értéknek az token_value értéke, amelyet a Microsoft Entra ID-jogkivonat létrehozása után másolt a szolgáltatásnévhez.

Ha ezeket az egyéni változókat a GitLab CI/CD-projekthez szeretné hozzáadni, olvassa el a Ci/CD-változó hozzáadása projekthez a GitLab CI/CD dokumentációjában.

Ha a munkaterület Databricks Git-mappákat használ, és engedélyezni szeretné a munkaterület számára a GitLab CI/CD elérését, gyűjtse össze az alábbiakat:

• A Szolgáltatásnév Microsoft Entra ID-jogkivonata
• Az Ön GitLab CI/CD-felhasználóneve

Ezután tekintse meg Szolgáltatásnév használata a Databricks Git-mappákkalcímű témakört.