通过ODBC/JDBC驱动连接Azure Databricks出现401/403错误问询

401对应身份认证失败、403对应授权不足，由于你可在Databricks Notebook内正常执行SQL，说明账号基础数据权限正常，问题均出在外部连接的专属鉴权环节，优先排查以下易遗漏的配置项：

401错误常见根因 #

• 个人访问令牌（PAT）异常：PAT已过有效期、生成PAT时勾选了仅允许UI访问限制、PAT值复制时多带了空格/换行符
• 认证格式错误：Simba ODBC驱动要求认证字段必须带token 前缀（前缀后保留1个空格），仅填写PAT值会直接触发认证失败
• IP访问拦截：运行Python/Power BI的机器公网IP未加入Databricks工作区的IP允许列表，请求被工作区网络规则直接拦截

403错误常见根因 #

• 集群附加权限缺失：你的账号没有ODBC连接绑定的Databricks集群的「可附加到（Can Attach To）」权限，该权限和Notebook运行权限是独立配置项
• 服务主体权限不全：若使用Azure服务主体连接，服务主体未被添加到Databricks工作区、或未分配对应集群/数据目录权限
• Unity Catalog鉴权冲突：若公司启用Unity Catalog做权限管控，外部连接默认走Unity Catalog鉴权，你的账号缺少对应catalog、schema的USAGE权限

1. 验证PAT有效性
   执行本地curl命令验证PAT权限：

   curl -X GET https://<你的Databricks工作区域名>/api/2.0/clusters/list -H "Authorization: Bearer <你的PAT值>"
   

   若返回集群列表说明PAT有效，返回401则直接重新生成PAT，生成时不要勾选「仅UI访问」选项
2. 修正ODBC认证配置
   打开64位ODBC数据源管理员，进入对应Simba Spark DSN的HTTP配置页，确认认证字段格式为token <你的PAT值>，保证前缀与PAT之间有1个空格
3. 配置集群访问权限
   进入Databricks工作区的集群管理页，找到绑定的集群，在权限配置中给你的账号/使用的服务主体分配「Can Attach To」权限
4. 核对IP白名单配置
   联系Databricks管理员确认你运行Python/Power BI的机器公网IP，已添加到工作区的IP访问允许列表
5. Unity Catalog适配
   若启用Unity Catalog，在ODBC DSN的高级属性中新增参数UseNativeQuery=1，同时给账号分配对应catalog、schema的USAGE权限以及目标表的SELECT权限

内容的提问来源于stack exchange，提问作者nosirrah