使用Databricks CLI创建Azure KeyVault托管密钥范围报错求助

问题根源 #

Databricks CLI v0.200及以上版本对创建Azure KeyVault托管密钥范围的命令参数做了调整，旧版使用的--resource-id、--dns-name等独立参数已被弃用，需通过--scope-backend-config传递JSON格式的配置信息。

正确命令示例 #

执行以下命令创建AKV托管密钥范围：

databricks secrets create-scope "keyvault_nonHR_QUA" \
  --scope-backend-type AZURE_KEYVAULT \
  --scope-backend-config '{"resource_id": "<azure-keyvault-resource-id>", "dns_name": "<azure-keyvault-dns-name>"}' \
  --initial-manage-principal users

参数说明 #

• 将<azure-keyvault-resource-id>替换为你的KeyVault资源ID，格式示例：/subscriptions/xxx/resourceGroups/xxx/providers/Microsoft.KeyVault/vaults/xxx
• 将<azure-keyvault-dns-name>替换为你的KeyVault DNS地址，格式示例：https://xxx.vault.azure.net/
• --initial-manage-principal users指定所有用户拥有该密钥范围的管理权限，可根据实际需求改为特定服务主体或用户组

错误解析 #

1. Error: Scope with Azure KeyVault must have AzureKeyVaultSecretScopeMetadata defined!：未提供KeyVault的元数据信息（资源ID和DNS地址），新版CLI要求通过--scope-backend-config传递这些必填配置
2. Error: unknown flag: --resource-id：旧版CLI的独立参数在新版本中已被移除，必须改用JSON格式的配置参数传递KeyVault信息

内容的提问来源于stack exchange，提问作者gaut