Ajouter une ressource secrète à une application Databricks

Ajoutez des secrets Databricks en tant que ressources Databricks Apps pour transmettre en toute sécurité des valeurs sensibles, telles que des clés d’API ou des jetons, à votre application. Databricks Apps prend en charge les secrets stockés dans des étendues de secrets. Les applications récupèrent ces secrets au moment de l’exécution, ce qui les empêche de définir le code et l’environnement de votre application.

Ajouter une ressource secrète

Avant d’ajouter un secret en tant que ressource, passez en revue les prérequis des ressources d’application.

1. Lorsque vous créez ou modifiez une application, accédez à l’étape Configurer .
2. Dans la section Ressources de l’application , cliquez sur + Ajouter une ressource.
3. Sélectionnez Secret comme type de ressource.
4. Choisissez une étendue de secret.
5. Sélectionnez une clé secrète dans cette étendue à utiliser dans votre application.
6. Choisissez un niveau d’autorisation pour l’étendue (et non le secret individuel) :
   • Peut lire : Accorde à l’application l’accès en lecture à tous les secrets de l’étendue sélectionnée.
   • Peut écrire : Octroie à l’application l’autorisation de mettre à jour n’importe quel secret dans l’étendue.
   • Peut gérer : Accorde à l’application l’autorisation de lire, de mettre à jour et de supprimer un secret dans l’étendue.
7. (Facultatif) Spécifiez une clé de ressource personnalisée, c’est-à-dire la façon dont vous référencez le secret dans la configuration de votre application. La clé par défaut est secret.

Variables d’environnement

Lorsque vous déployez une application qui utilise des ressources secrètes, Azure Databricks injecte chaque secret en tant que variable d’environnement. Le nom de chaque variable correspond à la clé de ressource que vous avez définie lorsque vous avez ajouté le secret.

Pour accéder au secret à partir de votre application, utilisez cette variable d’environnement. Dans votre fichier de configuration d’application (par exemple app.yaml), définissez une variable qui référence le secret à l’aide du valueFrom champ. Cette configuration garantit que la valeur secrète réelle reste gérée en toute sécurité par Azure Databricks et n’est pas exposée en texte clair.

Si vous utilisez le même secret entre plusieurs entrées de ressources avec des clés de ressource différentes, chacun devient une variable d’environnement distincte lorsqu’elle est référencée dans valueFrom.

Pour plus d’informations, consultez Les variables d’environnement Access à partir de ressources.

Supprimer une ressource secrète

Lorsque vous supprimez une ressource de secret d’une application, le secret lui-même reste dans l’étendue de secret. Toutefois, l’application perd l’accès au secret, sauf si vous l’ajoutez à nouveau.

Meilleures pratiques

Suivez ces bonnes pratiques lors de la gestion des secrets dans votre application :

• N’exposez pas de valeurs secrètes brutes. Les valeurs secrètes injectées directement en tant que variables d’environnement apparaissent en texte clair dans la page Environnement de l’application. Pour éviter cela, référencez le secret à l’aide du valueFrom champ dans la configuration de votre application et récupérez la valeur en toute sécurité dans votre code d’application.
• Limitez l’accès de l’application aux étendues spécifiques dont elle a besoin. Évitez d’accorder l’accès à toutes les étendues de l’espace de travail.
• Établissez un planning de rotation pour tous les secrets, et effectuez une rotation immédiatement lorsqu'un membre de l'équipe change de rôle ou quitte votre organisation.