アクセス制御リスト

この記事では、さまざまなワークスペース オブジェクトで使用できる権限について詳しく説明します。

注：

アクセス制御には Premium プランが必要です。

アクセス制御の設定は、Standard プランから Premium プランにアップグレードされたワークスペースでは、デフォルトで無効になります。 アクセス制御設定は、いったん有効にすると無効にすることはできません。 詳細については、「 アップグレードされたワークスペースでアクセス制御リストを有効にすることができます」を参照してください。

アクセス制御リストの概要

Databricks では、アクセス制御リスト (ACL) を使用して、ワークスペース レベルのオブジェクトにアクセスするためのアクセス許可を構成できます。 ワークスペース管理者は、ワークスペース内のすべてのオブジェクトに対するCAN MANAGE権限を持ち、ワークスペース内のすべてのオブジェクトに対する権限を管理することができます。 ユーザーには、自分が作成したオブジェクトに対する CAN MANAGE 権限が自動的に付与されます。

一般的なペルソナをワークスペース レベルのアクセス許可にマップする方法の例については、 「Databricks グループとアクセス許可の使用開始の提案」を参照してください。

フォルダでアクセス制御リストを管理する

You can manage workspace object permissions by adding objects to folders. Objects in a folder inherit all permissions settings of that folder. For example, a user that has the CAN RUN permission on a folder has CAN RUN permission on the alerts in that folder.

If you grant a user access to an object inside the folder, they can view the parent folder’s name, even if they do not have permissions on the parent folder. For example, a notebook named test1.py is in a folder named Workflows. If you grant a user CAN READ on test1.py and no permissions on Workflows, the user can see that the parent folder is named Workflows. The user cannot view or access any other objects in the Workflows folder unless they have been granted permissions on them.

To learn about organizing objects into folders, see Workspace browser.

AI/BIダッシュボードACL

許可される操作（X）

NO PERMISSIONS

CAN VIEW/CAN RUN

CAN EDIT

CAN MANAGE

ダッシュボードと結果を表示する

x

x

x

ウィジェットの操作

x

x

x

ダッシュボードを更新する

x

x

x

ダッシュボードを編集

x

x

ダッシュボードのクローン作成

x

x

x

ダッシュボードのスナップショットを公開する

x

x

権限を変更する

x

ダッシュボードを削除

x

アラート ACL

許可される操作（X）

NO PERMISSIONS

CAN RUN

CAN MANAGE

アラートリストで見る

x

x

アラートと結果を表示

x

x

アラートを手動で実行する

x

x

通知をサブスクライブする

x

x

アラートを編集する

x

権限を変更する

x

アラートを削除

x

コンピュート ACL

重要

Can Attach To権限を持つユーザーは、log4j ファイル内のサービス アカウント キーを表示できます。 このアクセス許可レベルを付与する場合は注意してください。

許可される操作（X）

NO PERMISSIONS

Can Attach To

Can Restart

CAN MANAGE

ノートブックをコンピュートに添付する

x

x

x

Spark UIを閲覧する

x

x

x

コンピュート メトリクスを見る

x

x

x

コンピュートを終了する

x

x

コンピュートの起動と再起動

x

x

ドライバーログを閲覧する

x (注を参照)

コンピュートを編集

x

ライブラリをコンピュートにアタッチする

x

サイズ変更コンピュート

x

権限を変更する

x

注：

シークレットは、クラスターの Spark ドライバー ログstdoutおよびstderrストリームから編集されません。 機密データを保護するために、デフォルトでは、Spark ドライバー ログは、ジョブ、シングル ユーザー アクセス モード、および共有アクセス モードのクラスターに対する CAN MANAGE 権限を持つユーザーのみが表示できます。 Can Attach ToまたはCan Restart権限を持つユーザーがこれらのクラスターのログを表示できるようにするには、クラスター構成で次のSpark構成プロパティを設定します: spark.databricks.acl.needAdminPermissionToViewLogs false。

分離なしの共有アクセス モード クラスターでは、Spark Can Attach Toまたは 権限を持つユーザーが ドライバーCAN MANAGE ログを表示できます。ログを読み取ることができるユーザーを CAN MANAGE 権限を持つユーザーのみに制限するには、 spark.databricks.acl.needAdminPermissionToViewLogsをtrueに設定します。

クラスター構成に Spark プロパティを追加する方法については、 「Spark 構成」を参照してください。

レガシーダッシュボードACL

許可される操作（X）

NO PERMISSIONS

CAN VIEW

CAN RUN

CAN EDIT

CAN MANAGE

ダッシュボード リストで見る

x

x

x

x

ダッシュボードと結果を表示する

x

x

x

x

ダッシュボードでクエリ結果を更新します (または別の を選択してください)

x

x

x

ダッシュボードを編集

x

x

権限を変更する

x

ダッシュボードを削除

x

レガシーダッシュボードを編集するには、 「閲覧者として実行」共有設定が必要です。 「更新動作と実行コンテキスト」を参照してください。

Delta Live Tables ACL

許可される操作（X）

NO PERMISSIONS

CAN VIEW

CAN RUN

CAN MANAGE

IS OWNER

パイプラインの詳細と一覧を表示する

x

x

x

x

Spark UI とドライバーのログを表示する

x

x

x

x

パイプラインの更新を開始および停止する

x

x

x

パイプラインクラスターを直接停止する

x

x

x

パイプライン設定を編集

x

x

パイプラインを削除する

x

x

ランとエクスペリメントのパージ

x

x

権限を変更する

x

x

特徴表 ACL

この表では、 Unity Catalogで有効になっていないワークスペース内の特徴テーブルへのアクセスを制御する方法について説明します。 ワークスペースで Unity Catalog が有効になっている場合は、代わりにUnity Catalog 権限を使用します。

注：

許可される操作（X）

CAN VIEW METADATA

CAN EDIT METADATA

CAN MANAGE

特徴量テーブルの読み取り

X

X

X

特徴量テーブルの検索

X

X

X

特徴量テーブルへの特徴量の書き込み

X

X

特徴量テーブルの説明を更新する

X

X

権限を変更する

X

特徴量テーブルの削除

X

ファイル ACL

許可される操作（X）

NO PERMISSIONS

CAN READ

CAN RUN

CAN EDIT

CAN MANAGE

ファイルの読み取り

x

x

x

x

コメントをつける

x

x

x

x

ファイルの添付とデタッチ

x

x

x

ファイルを対話的に実行する

x

x

x

ファイルの編集

x

x

権限を変更する

x

フォルダ ACL

許可される操作（X）

NO PERMISSIONS

CAN READ

CAN EDIT

CAN RUN

CAN MANAGE

フォルダ内のオブジェクトを一覧表示する

x

x

x

x

x

フォルダ内のオブジェクトを表示する

x

x

x

x

アイテムのクローン作成とエクスポート

x

x

x

フォルダ内のオブジェクトを実行する

x

x

アイテムの作成、インポート、削除

x

アイテムの移動と名前変更

x

権限を変更する

x

Genieスペース ACL

許可される操作（X）

NO PERMISSIONS

CAN RUN

CAN EDIT

CAN MANAGE

Genieスペースリストで見る

x

x

x

x

Genieに質問する

x

x

x

応答フィードバックを提供する

x

x

x

Genieへの指示を追加または編集する

x

x

サンプルの質問を追加または編集する

x

x

含まれるテーブルを追加または削除する

x

x

スペースを監視する

x

権限を変更する

x

スペースの削除

x

他のユーザーの会話を表示する

x

Git フォルダ ACL

許可される操作（X）

NO PERMISSIONS

CAN READ

CAN RUN

CAN EDIT

CAN MANAGE

フォルダー内のアセットを一覧表示する

x

x

x

x

x

フォルダー内のアセットの表示

x

x

x

x

アセットのクローン作成とエクスポート

x

x

x

x

フォルダ内の実行可能アセットを実行する

x

x

x

フォルダー内のアセットの編集と名前変更

x

x

フォルダーにブランチを作成する

x

フォルダへの分岐のプルまたはプッシュ

x

資産の作成、インポート、削除、移動

x

権限を変更する

x

ジョブ ACL

許可される操作（X）

NO PERMISSIONS

CAN VIEW

CAN MANAGE RUN

IS OWNER

CAN MANAGE

ジョブの詳細と設定を表示する

x

x

x

x

結果の表示

x

x

x

x

Spark UI、ジョブ実行のログを表示する

x

x

x

今すぐ実行

x

x

x

ランをキャンセル

x

x

x

ジョブ設定の編集

x

x

ジョブを削除

x

x

権限を変更する

x

x

MLflowエクスペリメントACL

許可される操作（X）

NO PERMISSIONS

CAN READ

CAN EDIT

CAN MANAGE

ラン情報の表示 ランの検索と比較

x

x

x

ランアーティファクトの表示、リスト、ダウンロード

x

x

x

ランの作成、削除、復元

x

x

ランパラメータ、メトリクス、タグの記録

x

x

ランアーティファクトの記録

x

x

エクスペリメントタグの編集

x

x

ランとエクスペリメントのパージ

x

権限を変更する

x

MLflow モデル ACL

この表では、Unity Catalog が有効になっていないワークスペース内の登録済みモデルへのアクセスを制御する方法について説明します。 ワークスペースで Unity Catalog が有効になっている場合は、代わりにUnity Catalog 権限を使用します。

許可される操作（X）

NO PERMISSIONS

CAN READ

CAN EDIT

CAN MANAGE STAGING VERSIONS

CAN MANAGE PRODUCTION VERSIONS

CAN MANAGE

モデルの詳細、バージョン、ステージの移行リクエスト、アクティビティ、アーティファクトのダウンロード URI を表示します

x

x

x

x

x

モデルバージョンステージの移行をリクエストする

x

x

x

x

x

モデルにバージョンを追加する

x

x

x

x

モデル、バージョンの説明の更新

x

x

x

x

タグを追加または編集する

x

x

x

x

ステージ間でのモデルバージョンの遷移

x

x

x

移行リクエストを承認する

x

x

x

移行リクエストをキャンセルする

x

モデル名の変更

x

権限を変更する

x

モデル、モデルバージョンの削除

x

ノートブック ACL

許可される操作（X）

NO PERMISSIONS

CAN READ

CAN RUN

CAN EDIT

CAN MANAGE

セルの表示

x

x

x

x

コメントをつける

x

x

x

x

%run またはノートブックワークフロー経由で実行

x

x

x

x

ノートブックのアタッチとデタッチ

x

x

x

コマンドを実行する

x

x

x

セルを編集する

x

x

権限を変更する

x

プール ACL

許可される操作（X）

NO PERMISSIONS

Can Attach To

CAN MANAGE

クラスターをプールに接続する

x

x

プールを削除

x

プールを編集

x

権限を変更する

x

ACL のクエリ

許可される操作（X）

NO PERMISSIONS

CAN VIEW

CAN RUN

CAN EDIT

CAN MANAGE

独自のクエリを表示する

x

x

x

x

クエリ一覧で見る

x

x

x

x

クエリ テキストを表示する

x

x

x

x

クエリ結果の表示

x

x

x

x

クエリ結果を更新します (または別のクエリを選択してください)

x

x

x

クエリをダッシュボードに含める

x

x

x

クエリ テキストの編集

x

x

SQLウェアハウスまたはデータソースを変更する

x

権限を変更する

x

クエリの削除

x

シークレット ACL

許可される操作（X）

READ

WRITE

MANAGE

シークレットスコープを読む

x

x

x

スコープ内のシークレットを一覧表示する

x

x

x

シークレットスコープに書き込む

x

x

権限を変更する

x

SQLウェアハウス ACL

許可される操作（X）

NO PERMISSIONS

CAN USE

CANモニター

IS OWNER

CAN MANAGE

ウェアハウスの開始

x

x

x

x

ウェアハウスの詳細を見る

x

x

x

x

ウェアハウスのクエリを表示

x

x

x

ウェアハウス監視タブの表示

x

x

x

ウェアハウスを停止する

x

x

ウェアハウスを削除する

x

x

ウェアハウスを編集する

x

x

権限を変更する

x

x