使用服务主体Azure AD令牌连接Azure Databricks：为何需PAT令牌？

为什么需要同时使用两种令牌？ #

这两种令牌的核心作用完全不同：

• AAD令牌：仅用于验证身份合法性——证明你（或服务主体）是Azure AD体系内的可信实体，相当于给Azure层面看的「身份凭证」，但它不包含任何Databricks工作区内部的权限信息。
• PAT令牌：是Databricks工作区专属的授权凭证，绑定到工作区内的具体身份（个人用户/服务主体），用来管控你能访问哪些集群、执行哪些数据操作这类工作区内部的权限逻辑。

早期的JDBC驱动设计依赖PAT完成工作区内部的权限校验，所以文档会要求同时提供两种令牌。不过随着驱动迭代，现在新版本已经支持直接用AAD令牌完成全流程认证，部分旧文档可能还没同步更新。

只用AAD令牌能不能完成认证？ #

可以，但需要满足两个前提：

1. 使用最新版本的Databricks JDBC驱动。
2. 连接时指定AuthMech=11（Azure AD服务主体认证模式），并传入服务主体的客户端ID、租户ID、客户端密钥等参数，无需再配置PAT。

服务主体连接的最优方案 #

如果你想替换个人PAT，用服务主体实现更稳定的连接，推荐直接采用AAD令牌认证：

• 先在Azure AD中注册服务主体，然后在Databricks工作区给它分配对应权限（比如集群访问权限、目标表的查询权限）。
• 配置JDBC连接字符串时，启用AuthMech=11，填入服务主体的身份参数即可，不需要额外生成PAT。

这种方式既规避了个人PAT的风险（比如账号离职、权限变更），也符合企业级应用的安全与稳定性要求。

内容的提问来源于stack exchange，提问作者krishcoolster