Токены сервисных аккаунтов
Токены сервисных аккаунтов позволяют безопасно проходить аутентификацию в API dbt: каждому токену назначается ограниченный набор разрешений для более точного управления доступом к API. Хотя они похожи на персональные токены доступа, токены сервисных аккаунтов принадлежат аккаунту, а не пользователю.
Токены сервисных аккаунтов можно использовать для интеграций на уровне системы, которые не выполняются от имени конкретного пользователя. Назначьте токену сервисного аккаунта любые наборы разрешений, доступные в dbt. Доступные наборы могут немного различаться в зависимости от вашего тарифного плана:
- Планы Enterprise и Enterprise+ могут применять к сервисным токенам любые доступные наборы разрешений.
- Планы Developer и Starter могут применять к сервисным токенам набор разрешений Semantic Layer.
- Устаревшие планы Team (Legacy Team) могут применять к сервисным токенам наборы разрешений Account Admin, Member, Job Admin, Read-Only, Metadata и Semantic Layer.
Одному токену можно назначить столько наборов разрешений, сколько необходимо. Подробнее о наборах разрешений см. в разделе «Разрешения Enterprise».
Генерация токенов сервисных аккаунтов
Вы можете создавать сервисные токены, если у вас есть лицензия Developer и права администратора аккаунта. Чтобы создать сервисный токен в dbt, выполните следующие действия:
- В dbt нажмите на название своего аккаунта в меню слева и выберите Account settings.
- На левой боковой панели нажмите Service Tokens.
- Нажмите кнопку + Create service token, чтобы создать новый токен.
- Введите имя токена.
- Добавьте необходимые права.
- После создания токена вы больше не сможете его просмотреть, поэтому обязательно сохраните его в безопасном месте.
Разрешения для токенов сервисных аккаунтов
Токенам сервисных аккаунтов можно назначать любые наборы разрешений, доступные в dbt. При назначении набора разрешений токену вы также можете выбрать, будут ли эти разрешения действовать для всех проектов аккаунта или только для определённых проектов.
Планы для команд, использующие токены сервисных аккаунтов
Следующие разрешения можно назначить токену сервисного аккаунта на тарифном плане Team. Подробнее об этих ролях см. в разделе Разрешения Enterprise.
- Account Admin — сервисные токены Account Admin имеют полный доступ
read + writeко всей учётной записи, поэтому используйте их с осторожностью. В плане Team этот набор прав называется ролью "Owner role". - Billing Admin
- Job Admin
- Metadata Only
- Member
- Read-only
- Semantic Layer Only
Корпоративные планы, использующие токены сервисных аккаунтов
Подробнее об этих ролях см. в разделе Разрешения Enterprise.
- Account Admin — сервисные токены Account Admin имеют полный доступ
read + writeко всей учетной записи, поэтому используйте их с осторожностью. - Account Viewer
- Admin
- Analyst
- Billing Admin
- Database Admin
- Developer
- Git Admin
- Job Admin
- Job Runner
- Job Viewer
- Manage marketplace apps
- Metadata Only
- Только для чтения
- Только Semantic Layer
- Security Admin
- Stakeholder
- Team Admin
Обновление сервисных токенов
18 июля 2023 года dbt Labs изменила способ генерации и проверки токенов, чтобы повысить производительность. Эти улучшения применяются только к токенам, созданным после 18 июля 2023 года.
Старые токены остаются действительными, однако если они используются для высокочастотных вызовов API, мы рекомендуем выполнить их ротацию, чтобы снизить задержки.
Чтобы выполнить ротацию токена:
- Перейдите в Account settings и нажмите Service tokens на левой боковой панели.
- Убедитесь, что дата создания токена в поле Created — 18 июля 2023 года или ранее.
- Нажмите + New Token в правом верхнем углу экрана. Убедитесь, что у нового токена те же разрешения, что и у старого.
- Скопируйте новый токен и замените им старый в своих системах. Сохраните его в безопасном месте, поскольку после закрытия экрана создания токена он больше не будет доступен.
- Удалите старый токен в dbt, нажав значок корзины. Выполняйте это действие только после замены старого токена новым, чтобы избежать перебоев в работе сервисов.
