Compartir a través de

为 GitHub Actions 启用工作负载身份联合

Databricks OAuth 令牌联合（也称为 OpenID Connect（OIDC））允许在 Databricks 外部运行的自动化工作负荷以安全的方式访问 Databricks，而无需 Databricks 密钥。 请参阅使用 OAuth 令牌联合身份验证对 Azure Databricks 进行身份验证。

若要为 GitHub Actions 启用工作负荷标识联合身份验证，请执行以下操作：

  1. 创建联合策略

  2. 配置 GitHub Actions YAML 文件

启用工作负荷标识联合后，Databricks SDK 和 Databricks CLI 会自动从 GitHub 提取工作负载标识令牌，并将其交换为 Databricks OAuth 令牌。

创建联合策略

首先，创建工作负荷标识联合策略。 有关说明，请参阅 配置服务主体联合策略。 对于 GitHub，请为策略设置以下值：

  • 组织： Github 组织的名称。 例如，如果存储库 URL 为 https://github.com/databricks-inc/data-platform，则组织为 databricks-inc。
  • 存储 库： 要允许的单个存储库的名称，例如 data-platform。
  • 实体类型： 令牌声明 sub 中表示的 GitHub 实体类型。 默认值为 Branch。 Databricks 建议使用 环境，可以通过在 GitHub Actions YAML 文件中设置 environment 属性来启用环境。 请参阅 “部署到特定环境”。
  • 颁发者 URL：https://token.actions.githubusercontent.com
  • 主题： 通过连接 GitHub Actions 作业上下文中的值而形成的字符串。
  • 观众： 存储库 URL。 如果省略，则默认使用 Azure Databricks 帐户 ID。
  • 使用者声明： （可选）包含 OIDC 令牌中的工作负荷标识（sub）值的 JWT 声明。 对于 GitHub，请将字段保留为 sub，用于对触发工作流的存储库、分支、标记、拉取/合并请求或环境进行编码。

例如，以下 Databricks CLI 命令为名为和 Databricks 服务主体数字 ID 的组织my-org5581763342009999创建联合策略：

databricks account service-principal-federation-policy create 5581763342009999 --json '{
  "oidc_policy": {
	"issuer": "https://token.actions.githubusercontent.com",
	"audiences": [
  	  "https://github.com/my-org"
	],
	"subject": "repo:my-github-org/my-repo:environment:prod"
  }
}'

配置 GitHub Actions YAML 文件

接下来，配置 GitHub Actions YAML 文件。 设置以下环境变量：

  • DATABRICKS_AUTH_TYPE: github-oidc
  • DATABRICKS_HOST：Databricks 工作区 URL
  • DATABRICKS_CLIENT_ID：服务主体（应用程序）ID
name: GitHub Actions Demo
run-name: ${{ github.actor }} is testing out GitHub Actions 🚀
on: workflow_dispatch

permissions:
  id-token: write
  contents: read

jobs:
  my_script_using_wif:
    runs-on: ubuntu-latest
    environment: prod
    env:
      DATABRICKS_AUTH_TYPE: github-oidc
      DATABRICKS_HOST: https://my-workspace.cloud.databricks.com/
      DATABRICKS_CLIENT_ID: a1b2c3d4-ee42-1eet-1337-f00b44r

    steps:
      - name: Checkout repository
        uses: actions/checkout@v4

      - name: Install Databricks CLI
        uses: databricks/setup-cli@main

      - name: Run Databricks CLI commands
        run: databricks current-user me