DataBricks API Powershell

Question

我在使用 databricks api 2.0 时遇到问题

invoke-rest 方法因以下错误而失败： “错误 400 io.jsonwebtoken.IncorrectClaimException：预期的 aud 声明为：https://management.core.windows.net/，但为： https://management.azure.com。”

我按照微软文档中的说明进行操作。

cls

$DataBrick = <DataBrickURL>

$DataBricksResourceID = <ResourceID>

$VaultName = <KeyVault>
$KeyName = <Key>

$apiEndpointUri = "https://management.azure.com"  
$tenantId = <TenantID>  
$applicationId = <ApplicationID> 
$secret = Get-AzKeyVaultSecret -VaultName $VaultName -Name $KeyName -AsPlainText

$RequestAccessTokenUri = "https://login.microsoftonline.com/$tenantId/oauth2/token"
$body = "grant_type=client_credentials&client_id=$applicationId&client_secret=$encodedSecret&resource=2ff814a6-3304-4ab8-85cb-cd0e6f879c1d" 
$Managementbody = "grant_type=client_credentials&client_id=$applicationId&client_secret=$encodedSecret&resource=$apiEndpointUri"  
$contentType = 'application/x-www-form-urlencoded' 

$AccessToken = Invoke-RestMethod -Method Post -Uri $RequestAccessTokenUri -Body $body -ContentType $contentType  
Write-Output $AccessToken
$ManagementToken = Invoke-RestMethod -Method Post -Uri $RequestAccessTokenUri -Body $Managementbody -ContentType $contentType
Write-Output $Token

$apiuri = $DataBrick +"/api/2.0/clusters/get"
$headers = New-Object "System.Collections.Generic.Dictionary[[String],[String]]"
$headers.Add("Authorization", "Bearer " + $AccessToken.access_token)
$headers.Add("X-Databricks-Azure-SP-Management-Token", $ManagementToken.access_token)
$headers.Add("X-Databricks-Azure-Workspace-Resource-Id", $DataBricksResourceID)

Invoke-RestMethod -Uri $apiuri -Headers $headers

Answer 1

按照documentation，resource 参数（你的apiEndpointUri 变量）应该是https://management.core.windows.net/，但你有https://management.azure.com

Answer 2

基于例如问题中提到，正在发生以下步骤：

1. 从 Microsoft 登录服务获取令牌，以获取提供的 databircs 资源 ID。
2. 获取管理令牌。在您的示例中，它以“https://management.azure.com”的形式提供，这是不正确的。您还需要使用错误响应中提到的“https://management.core.windows.net/”。您可以参考 https://docs.microsoft.com/en-us/azure/databricks/dev-tools/api/latest/aad/service-prin-aad-token#--api-access-for-service-principals-that-are-not-workspace-users 以供参考，该参考不适用于 Powershell，但足以了解身份验证流程
3. 使用这两个令牌调用 Databricks API

简而言之，如果您根据错误更正 apiEndpointUri。如果其他详细信息正确并配置了正确的权限，它应该可以工作。