用途：在 Databricks 上落实安全最佳实践，包括凭据存储、访问控制与安全审计。
主要能力：使用密钥作用域（Secret Scopes）保存凭据，支持 Databricks 后端与 Azure Key Vault 后端；通过 ACL 控制作用域访问；审计并轮换个人访问令牌（PAT）；用 Unity Catalog 授权实现最小权限；对敏感字段做列级脱敏与行级过滤；借助 system.access.audit 系统表查询权限变更与失败登录。
必要用法：需配置 Databricks CLI、具备工作区管理员权限（创建作用域）、启用 Unity Catalog。创建作用域：databricks secrets create-scope my-app-secrets；写入密钥：databricks secrets put-secret my-app-secrets db-password；授权：databricks secrets put-acl my-app-secrets user@company.com READ。笔记本中通过 dbutils.secrets.get(scope="my-app-secrets", key="db-password") 读取，输出自动显示 [REDACTED]。令牌审计与轮换可用 databricks.sdk 的 WorkspaceClient().tokens 接口。Unity Catalog 授权使用 GRANT USAGE/CREATE/MODIFY/SELECT，脱敏与行过滤通过 CREATE FUNCTION 配合 SET MASK、SET ROW FILTER 实现。
适用场景：保护 API 令牌与数据库口令、按角色分配数据权限、对 PII 字段脱敏、持续安全监控。
限制：Azure Key Vault 后端仅适用于 Azure；部分功能依赖 Unity Catalog 与工作区管理员权限；具体价格、平台版本与效果资料未提供。