Microsoft Entra ID (Azure Active Directory) を使用して SCIM プロビジョニングを構成する

この記事では、Microsoft Entra ID (旧 Azure Active Directory) を使用して Databricks へのプロビジョニングを設定する方法について説明します。

Databricks アカウントレベルまたは Databricks ワークスペースレベルで Microsoft Entra ID を使用して Databricks へのプロビジョニングを設定できます。

Databricks 、ユーザー、サービスプリンシパル、およびグループをアカウントレベルに設定し、 Databricks内でユーザーとグループのワークスペースへの割り当てを管理することをお勧めします。ユーザーのワークスペースへの割り当てを管理するには、ワークスペースで ID フェデレーションを有効にする必要があります。 ID フェデレーションが有効になっていないワークスペースがある場合は、引き続きそれらのワークスペースにユーザー、サービスプリンシパル、およびグループを直接追加する必要があります。

Databricksユーザーは、Google クラウド Identity アカウント (または GSuite アカウント) を使用してアカウントおよびワークスペースに対して認証を行います。シングルサインオンをご覧ください。 Microsoft Entra ID を使用してアカウントまたはワークスペースにユーザーをログインする場合、そのユーザーは認証のために Google クラウド Identity アカウントも持っている必要があります。

Microsoft Entra ID を使用して Databricks アカウントに ID をプロビジョニングする

SCIM プロビジョニングコネクタを使用して、Microsoft Entra ID テナントから Databricks にアカウントレベルのユーザーとグループを同期できます。

重要

ID をワークスペースに直接同期する SCIM コネクタが既にある場合は、アカウントレベルの SCIM コネクタが有効になっているときに、それらの SCIM コネクタを無効にする必要があります。「ワークスペースレベルの SCIM プロビジョニングをアカウントレベルに移行する」を参照してください。

要件

Databricks アカウントにはプレミアムプランが必要です。
Microsoft Entra ID でクラウドアプリケーション管理者の役割を持っている必要があります。
グループをプロビジョニングするには、Microsoft Entra ID アカウントが Premium エディションアカウントである必要があります。ユーザーのプロビジョニングは、どの Microsoft Entra ID エディションでも利用できます。
Databricksアカウント管理者である必要があります。

ステップ 1: Databricksを構成する

Databricks アカウント管理者として、Databricksアカウントコンソールにログインします。
「設定」をクリックします。
[ユーザープロビジョニング]をクリックします。
[ユーザープロビジョニングの設定] をクリックします。

SCIM トークンとアカウント SCIM URL をコピーします。これらを使用して、Microsoft Entra ID アプリケーションを構成します。

注：

SCIMトークンはアカウントSCIM API /api/2.0/accounts/{account_id}/scim/v2/ に制限されており、他のDatabricks REST APIsへの認証には使用できません。

ステップ2: エンタープライズアプリケーションを構成する

これらの手順では、Azure ポータルでエンタープライズアプリケーションを作成し、そのアプリケーションをプロビジョニングに使用する方法について説明します。既存のエンタープライズアプリケーションがある場合は、 Microsoft Graph を使用して SCIM プロビジョニングを自動化するように変更できます。これにより、Azure Portal で別のプロビジョニングアプリケーションを使用する必要がなくなります。

Microsoft Entra ID がユーザーとグループをDatabricksに同期できるようにするには、次の手順に従ってください。この構成は、ユーザーとグループをワークスペースに同期するために作成した構成とは別です。

Azure ポータルで、 Microsoft Entra ID > エンタープライズアプリケーションに移動します。
アプリケーションリストの上にある [+ 新しいアプリケーション ] をクリックします。 [ギャラリーから追加]で、 Azure Databricks SCIMモル Connectorを検索して選択します。
アプリケーションの [名前 ] を入力し、[ 追加] をクリックします。
[管理]メニューで、 [プロビジョニング] をクリックします。
Modeを自動に設定します。
SCIM API エンドポイント URL を、先ほどコピーしたアカウント SCIM URL に設定します。
Secret を、先ほど生成したDatabricks SCIMトークンに設定します。
[接続のテスト]をクリックし、プロビジョニングを有効にするために資格情報が承認されていることを確認するメッセージを待ちます。
[保存]をクリックします。

ステップ3: アプリケーションにユーザーとグループを割り当てる

SCIM アプリケーションに割り当てられたユーザーとグループは、Databricks アカウントにプロビジョニングされます。既存の Databricks ワークスペースがある場合、Databricks では、それらのワークスペース内の既存のすべてのユーザーとグループを SCIM アプリケーションに追加することをお勧めします。

[>プロパティの管理] に移動します。
「割り当てが必要」を「いいえ」に設定します。Databricks では、すべてのユーザーが Databricks アカウントにサインインできるこのオプションを推奨しています。
[管理] > [プロビジョニング]に移動します。
Microsoft Entra ID ユーザーとグループを Databricks に同期するには、プロビジョニングステータスの切り替えを[オン]に設定します。
[保存]をクリックします。
[管理] > [ユーザーとグループ]に移動します。
[ユーザー/グループの追加]をクリックし、ユーザーとグループを選択して、 [割り当て]ボタンをクリックします。
数分待ってから、ユーザーとグループが Databricks アカウントに存在することを確認します。

追加して割り当てたユーザーとグループは、Microsoft Entra ID が次の同期をスケジュールすると、Databricks アカウントに自動的にプロビジョニングされます。

注：

アカウントレベルの SCIM アプリケーションからユーザーを削除すると、ID フェデレーションが有効になっているかどうかに関係なく、そのユーザーはアカウントとワークスペースから非アクティブ化されます。

Microsoft Entra ID (レガシ) を使用して Databricks ワークスペースに ID をプロビジョニングする

プレビュー

この機能はパブリックプレビュー段階です。

ID フェデレーションが有効になっていないワークスペースがある場合は、それらのワークスペースにユーザー、サービスプリンシパル、およびグループを直接追加する必要があります。このセクションでは、その方法について説明します。

次の例では、 <databricks-instance> Databricks デプロイメントのワークスペース URLに置き換えます。

要件

Databricks アカウントにはプレミアムプランが必要です。
Microsoft Entra ID でクラウドアプリケーション管理者の役割を持っている必要があります。
グループをプロビジョニングするには、Microsoft Entra ID アカウントが Premium エディションアカウントである必要があります。ユーザーのプロビジョニングは、どの Microsoft Entra ID エディションでも利用できます。
Databricks ワークスペース管理者である必要があります。

ステップ 1: エンタープライズアプリケーションを作成し、 Databricks SCIM APIに接続する

Entra ID を使用してDatabricks ワークスペースに直接アプライアンスを設定するには、ワークスペースごとにエンタープライズMicrosoftDatabricks アプリケーションを作成します。

これらの手順では、Azure ポータルでエンタープライズアプリケーションを作成し、そのアプリケーションをプロビジョニングに使用する方法について説明します。既存のエンタープライズアプリケーションがある場合は、 Microsoft Graph を使用して SCIM プロビジョニングを自動化するように変更できます。これにより、Azure Portal で別のプロビジョニングアプリケーションを使用する必要がなくなります。

ワークスペース管理者として、Databricks ワークスペースにログインします。
個人アクセストークンを生成してコピーします。このトークンは、後続のステップでMicrosoft Entra ID に提供されます。

重要

Microsoft Entra ID エンタープライズアプリケーションによって管理されていないDatabricks ワークスペース管理者としてこのトークンを生成します。個人のアクセストークンを所有するDatabricks管理者ユーザーがMicrosoft Entra ID を使用してプロビジョニング解除されると、 SCIMアプリケーションは無効になります。
Azure ポータルで、 Microsoft Entra ID > エンタープライズアプリケーションに移動します。
アプリケーションリストの上にある [+ 新しいアプリケーション ] をクリックします。 [ギャラリーから追加]で、 Azure Databricks SCIMコネクタを検索して選択します。
アプリケーションの [名前 ] を入力し、[ 追加] をクリックします。管理者が見つけやすい名前 ( <workspace-name>-provisioningなど) を使用します。
[管理]メニューで、 [プロビジョニング] をクリックします。
Modeを自動に設定します。
SCIM API エンドポイント URL を入力します。ワークスペース URL に/api/2.0/preview/scimを追加します:
```
https://<databricks-instance>/api/2.0/preview/scim
```
<databricks-instance>を Databricks デプロイメントのワークスペース URLに置き換えます。「ワークスペースオブジェクトの識別子を取得する」を参照してください。
Secret を、ステップ 1 で生成したDatabricks個人アクセストークンに設定します。
[接続のテスト]をクリックし、プロビジョニングを有効にするために資格情報が承認されていることを確認するメッセージを待ちます。
オプションで、 SCIMエラーに関する重大なエラーの通知を受信するための通知 E メールを入力します。
[保存]をクリックします。

ステップ2: アプリケーションにユーザーとグループを割り当てる

[>プロパティの管理] に移動します。
[割り当てが必要] を [はい] に設定します。Databricks では、エンタープライズアプリケーションに割り当てられたユーザーとグループのみを同期するこのオプションを推奨しています。
[管理] > [プロビジョニング]に移動します。
Microsoft Entra ID ユーザーとグループを Databricks に同期するには、プロビジョニングステータスの切り替えを[オン]に設定します。
[保存]をクリックします。
[管理] > [ユーザーとグループ]に移動します。
[ユーザー/グループの追加]をクリックし、ユーザーとグループを選択して、 [割り当て]ボタンをクリックします。
数分待ってから、ユーザーとグループが Databricks アカウントに存在することを確認します。

今後、追加して割り当てたユーザーとグループは、Microsoft Entra ID が次回の同期をスケジュールしたときに自動的にプロビジョニングされます。

重要

Azure DatabricksSCIMモジュール DatabricksConnector アプリケーションを構成するために個人のアクセストークンが使用されたワークスペース管理者を割り当てないでください。

(オプション) Microsoft Graph を使用して SCIM プロビジョニングを自動化する

Microsoft Graphには、SCIM プロビジョニングコネクタアプリケーションを構成する代わりに、アプリケーションに統合して、Databricks アカウントまたはワークスペースへのユーザーとグループのプロビジョニングを自動化できる認証および承認ライブラリが含まれています。

アプリケーションを Microsoft Graph に登録するための手順に従います。 アプリケーションIDとアプリケーションのテナントIDをメモします。
アプリケーションの [概要] ページに移動します。そのページで、次の操作を行います。
1. アプリケーションのクライアントシークレットを構成し、シークレットをメモします。
2. アプリケーションに次のアクセス許可を付与します。
  - Application.ReadWrite.All
  - Application.ReadWrite.OwnedBy
Microsoft Entra ID 管理者に管理者の同意を付与するよう依頼します。
アプリケーションのコードを更新して、 Microsoft Graph のサポートを追加します。

プロビジョニングのヒント

プロビジョニングを有効にする前に Databricks ワークスペースに存在していたユーザーとグループは、プロビジョニングの同期時に次の動作を示します。
- Microsoft Entra IDにも存在する場合は統合されます
- Microsoft Entra IDに存在しない場合は無視されます
個別に割り当てられ、グループのメンバーシップを通じて複製されたユーザー権限は、ユーザーのグループメンバーシップが削除された後も残ります。
Databricks ワークスペース管理者設定ページを使用して、Databricks ワークスペースから直接ユーザーを削除します。
- そのDatabricksスペースへのアクセスは失われますが、他のDatabricksワークスペースには引き続きアクセスできる可能性があります。
- エンタープライズアプリケーションに残っている場合でも、Microsoft Entra ID プロビジョニングを使用して再度同期されることはありません。
プロビジョニングを有効にするとすぐに、最初の Microsoft Entra ID 同期がトリガーされます。後続の同期は、アプリケーション内のユーザーとグループの数に応じて、20 ～ 40 分ごとにトリガーされます。 Microsoft Entra ID ドキュメントのプロビジョニング概要レポートを参照してください。
Databricksユーザーのユーザー名または電子メールアドレスを更新することはできません。
adminsグループは Databricks で予約されているグループであり、削除できません。
DatabricksグループAPIまたはグループ UIを使用して、任意のDatabricksワークスペースグループのメンバーのリストを取得できます。
<entra-service-principal>Azure Databricks SCIM プロビジョニングコネクタアプリケーションからネストされたグループまたは を同期することはできません。Databricksでは、エンタープライズアプリケーションを使用してユーザーとグループを同期し、 Databricks内でネストされたグループとサービスプリンシパルを管理することをお勧めします。ただし、ネストされたグループまたはを同期するために、 Databricks Terraform プロバイダーまたは Databricks SCIM API を対象とするカスタム<entra-service-principal> スクリプトを使用することもできます。

トラブルシューティング

ユーザーとグループは同期されません

Azure Databricks SCIM プロビジョニングコネクタアプリケーションを使用している場合:
- ワークスペースレベルトークンの場合: Databricks管理者設定ページで、Databricks トークンAzure DatabricksSCIM Connector アプリケーションによって個人のアクセストークンが使用されているユーザーがまだのワークスペース管理者ユーザーであり、トークンがまだ有効であることを確認します。Databricks
- アカウントレベルのプロビジョニングの場合: アカウントコンソールで、プロビジョニングの設定に使用された Databricks SCIM トークンがまだ有効であることを確認します。
ネストされたグループは Microsoft Entra ID 自動プロビジョニングではサポートされていないため、同期しないでください。詳細については、この FAQ を参照してください。

<entra-service-principal> が同期されない

Azure Databricks SCIMコネクタアプリケーションは、サービスプリンシパルの同期をサポートしていません。

最初の同期後、ユーザーとグループは同期を停止します

Azure Databricks SCIM プロビジョニングコネクタアプリケーションを使用している場合: 最初の同期後、ユーザーまたはグループの割り当てを変更しても、Microsoft Entra ID はすぐには同期されません。ユーザーとグループの数に基づいて、遅延後にアプリケーションとの同期をスケジュールします。即時同期を要求するには、エンタープライズアプリケーションの[管理] > [プロビジョニング]に移動し、 [現在の状態をクリアして同期を再開] を選択します。

Microsoft Entra ID プロビジョニングサービスの IP 範囲にアクセスできません

Microsoft Entra ID プロビジョニングサービスは、特定の IP 範囲で動作します。ネットワークアクセスを制限する必要がある場合は、この IP 範囲ファイルでAzureActiveDirectory IP アドレスからのトラフィックを許可する必要があります。詳細については、「IP 範囲」を参照してください。