特定のワークスペースへのカタログアクセスを制限する

この記事では、ワークスペースカタログバインディングを紹介し、 Unity CatalogカタログをDatabricksスペースにバインドして、 Databricks内の他のワークスペースがアクセスできないようにする方法について説明します。

ワークスペースカタログバインディングとは何ですか?

ワークスペースを使用してユーザーデータアクセスを分離する場合、カタログアクセスをアカウント内の特定のワークスペースに制限できます (ワークスペースカタログバインディングとも呼ばれます)。デフォルトでは、現在のメタストアに接続されているすべてのワークスペースとカタログを共有します。

このデフォルトの例外は、すべての新しいワークスペースに対して自動的に作成されるワークスペースカタログです。このワークスペースカタログは、他のワークスペースにアクセスを許可しない限り、自分のワークスペースにのみバインドされます。このカタログをバインド解除する場合の権限の割り当てに関する重要な情報については、「ワークスペースからカタログをバインド解除する」を参照してください。

ワークスペースからカタログへの読み取りおよび書き込みアクセスを許可することも、読み取り専用アクセスを指定することもできます。読み取り専用を指定すると、そのワークスペースからそのカタログへのすべての書き込み操作がブロックされます。

カタログを特定のワークスペースにバインドする一般的な使用例は次のとおりです。

ユーザーが本番運用ワークスペース環境からのみ本番運用データにアクセスできるようにします。
ユーザーが専用のワークスペースからのみ機密データを処理できるようにします。
開発とテストを可能にするために、開発者ワークスペースから本番運用データへの読み取り専用アクセス権をユーザーに付与します。

注：

また、外部ロケーションとストレージの認証情報を特定のワークスペースにバインドして、外部ロケーションのデータにアクセスする機能をそれらのワークスペースの特権ユーザーに制限することもできます。「(オプション) 特定のワークスペースに外部ロケーションを割り当てる」および「(オプション) 特定のワークスペースにストレージ資格情報を割り当てる」を参照してください。

ワークスペースとカタログのバインディングの例

本番運用と開発の分離の例を見てみましょう。実稼働データカタログに実稼働ワークスペースからのみアクセスできるように指定した場合、これはユーザーに発行される個々の許可よりも優先されます。

この図では、 prod_catalog 2 つの本番運用ワークスペースにバインドされています。ユーザーが my_table というprod_catalogのテーブルへのアクセス権を付与されているとします (GRANT SELECT ON my_table TO <user>を使用)。ユーザーが Dev ワークスペースでmy_tableにアクセスしようとすると、エラーメッセージが表示されます。ユーザーは、Prod ETLおよび Prod アナリティクスワークスペースからのみ my_table にアクセスできます。

ワークスペースとカタログのバインディングは、プラットフォームのすべての領域で尊重されます。たとえば、情報スキーマをクエリすると、クエリを発行したワークスペースでアクセス可能なカタログのみが表示されます。同様に、データリネージと検索 UI には、ワークスペースに割り当てられているカタログのみが表示されます (バインディングを使用するか、デフォルトによって割り当てられるかに関係なく)。

カタログを 1 つ以上のワークスペースにバインドする

特定のワークスペースにカタログを割り当てるには、カタログエクスプローラーまたは Databricks CLI を使用できます。

必要なアクセス許可: メタストア管理者、カタログ所有者、またはカタログの MANAGE と USE CATALOG 。

注：

メタストア管理者は、カタログエクスプローラーを使用してメタストア内のすべてのカタログを表示できます。また、カタログ所有者は、カタログが現在のワークスペースに割り当てられているかどうかに関係なく、メタストア内で所有するすべてのカタログを表示できます。ワークスペースに割り当てられていないカタログはグレー表示され、子オブジェクトは表示されず、クエリも実行できません。

メタストアにリンクされているワークスペースにログインします。
[ カタログ ] をクリックします。
[ カタログ ] ウィンドウの左側で、カタログ名をクリックします。

メインのカタログエクスプローラーペインには、デフォルトでカタログリストが表示されます。そこでカタログを選択することもできます。
ワークスペースタブで、 [すべてのワークスペースにアクセス権がある]チェックボックスをオフにします。

カタログがすでに 1 つ以上のワークスペースにバインドされている場合、このチェックボックスはすでにオフになっています。
「ワークスペースへの割り当て」をクリックし、割り当てるワークスペースを入力または検索します。
(オプション) ワークスペースへのアクセスを読み取り専用に制限します。

[ アクセスレベルの管理 ] メニューで、[ アクセスを読み取り専用に変更] を選択します。

この選択は、カタログを編集し、[ 読み取りと書き込みへのアクセスの変更] を選択することで、いつでも元に戻すことができます。

アクセスを取り消すには、ワークスペースタブに移動し、ワークスペースを選択して、 「取り消し」をクリックします。

ワークスペースにカタログを割り当てるには、2 つのDatabricks CLIコマンドグループと 2 つのステップが必要です。

次の例では、 <profile-name> Databricks 認証構成プロファイルの名前に置き換えます。個人アクセストークンを生成したワークスペースのワークスペースインスタンス名とワークスペース ID に加えて、個人アクセストークンの値も含める必要があります。 Databricks個人アクセストークン認証を参照してください。

catalogsコマンドグループのupdateコマンドを使用して、カタログのisolation modeをISOLATEDに設定します。
```
databricks catalogs update <my-catalog> \
--isolation-mode ISOLATED \
--profile <profile-name>
```
デフォルトのisolation-modeは、メタストアにアタッチされているすべてのワークスペースに対してOPENです。
workspace-bindingsコマンドグループのupdate-bindingsコマンドを使用して、ワークスペースをカタログに割り当てます。
```
databricks workspace-bindings update-bindings catalog <my-catalog> \
--json '{
  "add": [{"workspace_id": <workspace-id>, "binding_type": <binding-type>}...],
  "remove": [{"workspace_id": <workspace-id>, "binding_type": "<binding-type>}...]
}' --profile <profile-name>
```
ワークスペースバインディングを追加または削除するには、 "add"プロパティと"remove"プロパティを使用します。 <binding-type>は“BINDING_TYPE_READ_WRITE” (デフォルト) または“BINDING_TYPE_READ_ONLY”のいずれかになります。

カタログのすべてのワークスペース割り当てを一覧表示するには、 workspace-bindingsコマンドグループのget-bindingsコマンドを使用します。

databricks workspace-bindings get-bindings catalog <my-catalog> \
--profile <profile-name>

ワークスペースからのカタログのバインド解除

Catalog Explorer または workspace-bindings CLIコマンドグループを使用してカタログへのワークスペースアクセスを取り消す手順については、「カタログを 1 つ以上のワークスペースにバインドする」を参照してください。

重要

ワークスペースで Unity Catalog が自動的に有効になっていて、 ワークスペースカタログがある場合、ワークスペース管理者はそのカタログを所有し、そのカタログに対するすべてのアクセス許可を ワークスペース内でのみ持ちます。そのカタログのバインドを解除するか、他のカタログにバインドする場合は、ワークスペース admins グループのメンバーに必要なアクセス許可を手動で個々のユーザーとして付与するか、アカウントレベルのグループを使用して付与する必要があります。これは、ワークスペース admins グループがワークスペースローカルグループであるためです。アカウントグループとワークスペース-local グループの詳細については、「Databricksのグループの種類」を参照してください。