Proteja credenciais de provedores de IA com Unity Catalog Secret

Imagine que você gerencia serviços de modelos de IA no Databricks e precisa evitar chaves de API estáticas no código. Agora você pode associar a credencial de um provedor a um secret gerenciado pelo Unity Catalog. O gateway lê o secret em tempo de consulta, permitindo rotação de chaves sem alterar o serviço de modelo.

Para que serve

• Armazenar chaves de API de provedores externos com segurança no Unity Catalog.
• Rotacionar chaves sem precisar atualizar o serviço de modelo de IA.
• Evitar credenciais em texto plano nas definições de infraestrutura.

Como usar

Você pode criar o serviço de provedor de modelo utilizando o SDK do Python para referenciar o secret.

from databricks.sdk.service import catalog as c

model_provider_service = w.ai_gateway.create_model_provider_service(
    parent="schemas/main.default",
    model_provider_service_id="my_provider",
    model_provider_service=c.ModelProviderService(
        comment="Routes to a custom OpenAI-compatible provider",
        config=c.ModelProviderServiceConfig(
            provider_type=(
                c.ModelProviderServiceConfigExternalModelProviderType
                .EXTERNAL_MODEL_PROVIDER_TYPE_CUSTOM
            ),
            targets=[
                c.ModelProviderServiceConfigModelTargetConfig(
                    model="gpt-4o",
                    native_api_types=["openai/v1/chat/completions"],
                )
            ],
            custom=c.ModelProviderServiceConfigCustomProviderConfig(
                direct=c.ModelProviderServiceConfigCustomProviderDirectConfig(
                    base_url="https://api.example.com/v1",
                    api_key=c.ModelProviderServiceConfigProviderSecret(
                        plaintext="dummy-api-key"
                    ),
                )
            ),
        ),
    ),
)

O que acontece nesse código:

1. Importa os módulos de catálogo do SDK do Databricks.
2. Define o identificador e o esquema pai onde o serviço será criado.
3. Configura o tipo de provedor personalizado e aponta o alvo do modelo.
4. Envia a requisição para registrar o serviço de provedor no catálogo.

Limitações e requisitos

• É necessário ter permissão CREATE SERVICE no esquema, além de USE CATALOG e USE SCHEMA.
• Para usar secrets do Unity Catalog, você precisa ter a permissão READ SECRET no secret correspondente.