在 Azure Key Vault 支持的 Databricks 中创建 Secret Scope 失败

Question

可以在 Azure Keyvault 支持的 Databricks 中创建范围，而不是使用 Databricks CLI。但是，当您尝试创建 Scope 时，会显示一条模糊的错误消息（拼写错误！）。似乎没有多少人遇到此错误：

“向 KeyVault: XYZ 授予 Databricks 服务主体的读取/列表权限时发生内部错误”

在这种情况下，将管理主体设置为所有用户无济于事。

Answer 1

我认为这是 Azure AD 中的服务主体问题。我登录到 Databricks 时使用的这个特定用户不是 AD 贡献者，并且只在 Databricks 和 Keyvault 服务上具有贡献者角色。我在 AD 中找不到 Databricks 的任何默认对象 ID，所以我假设它正在动态创建服务主体并将 Databricks 与 Keyvault 连接（我可能在这里错了 - 当您启用 Databricks 资源提供程序时，它可能已经存在于 AD 中） .

以具有创建服务主体的权限的管理员身份登录解决了该问题。之后，您可以在 Key Vault 中看到用于密钥检索的数据库服务主体：