MS Entra サービスプリンシパルの認証

[アーティクル]
11/14/2024

MS Entra サービスプリンシパル認証では、MS Entra サービスプリンシパルの資格情報を使用して認証します。 Azure Databricks サービスプリンシパルを作成および管理するには、次を参照してください。

Note

Databricks では、ほとんどのシナリオで MS Entra サービスプリンシパル認証ではなく、OAuth マシン間 (M2M) 認証を使用することをお勧めします。なぜなら、OAuth M2M 認証には、Azure Databricks でのみ認証する場合により堅牢である Azure Databricks OAuth アクセストークンが使われるからです。

Azure Databricks とその他の Azure リソースを同時に認証する必要がある場合にのみ、MS Entra サービスプリンシパル認証を使用する必要があります。

MS Entra サービスプリンシパル認証の代わりに OAuth M2M 認証を使用する場合は、この記事はスキップして、「OAuth (OAuth M2M) を使用してサービスプリンシパルで Azure Databricks にアクセスを認証する」を参照してください。

MS Entra サービスプリンシパルは、Azure Databricks でも認証用にサポートされている Azure リソースのマネージド ID とは異なります。 Azure Databricks 認証に MS Entra サービスプリンシパルではなく Azure リソースのマネージド ID を使用する方法については、「Azure Databricks 自動化用の Azure マネージド ID 認証の設定と使用」を参照してください。

Azure DevOps を使用した Databricks への Microsoft Entra 認証の詳細については、「Databricks 上の Azure DevOps による認証」を参照してください。

Azure Databricks での MS Entra サービスプリンシパル認証を構成するには、次の関連付けられた環境変数、.databrickscfg フィールド、Terraform フィールド、または Config フィールドを設定する必要があります。

Azure Databricks ホスト。
- アカウント操作の場合は、https://accounts.azuredatabricks.net を指定します。
- ワークスペース操作の場合は、ワークスペースごとの URL を指定します (例: https://adb-1234567890123456.7.azuredatabricks.net)。
  
  MS Entra サービスプリンシパルがワークスペースにまだ追加されていない場合は、代わりに Azure リソース ID を指定します。この場合、MS Entra サービスプリンシパルには、Azure リソースに対する共同作成者または所有者のアクセス許可が少なくとも必要です。
アカウント操作の場合は、Azure Databricks アカウント ID。
Azure リソース ID。
MS Entra サービスプリンシパルのテナント ID。
MS Entra サービスプリンシパルのクライアント ID。
MS Entra サービスプリンシパルのクライアントシークレット。

Azure Databricks での MS Entra サービスプリンシパル認証を実行するには、関与するツールまたは SDK に基づいてコード内に以下を統合します。

ツールまたは SDK で特定の Azure Databricks 認証の種類に環境変数を使用するには、「Azure Databricks ツールと API の認証」またはツールまたは SDK のドキュメントを参照してください。「クライアント統合認証の環境変数とフィールド」、および「クライアント統合認証のデフォルトの方法」も参照してください。

アカウントレベルの操作の場合、次の環境変数を設定します。

DATABRICKS_HOST。Azure Databricks アカウントコンソール URL (https://accounts.azuredatabricks.net) の値に設定します。
- DATABRICKS_ACCOUNT_ID
- ARM_TENANT_ID
- ARM_CLIENT_ID
- ARM_CLIENT_SECRET
ワークスペースレベルの操作の場合は、次の環境変数を設定します。
- DATABRICKS_HOST。Azure Databricks のワークスペースごとの URL (例: https://adb-1234567890123456.7.azuredatabricks.net) に設定します。
- ARM_TENANT_ID
- ARM_CLIENT_ID
- ARM_CLIENT_SECRET
ワークスペースレベルの操作では、MS Entra サービスプリンシパルがまだワークスペースに追加されていない場合は、ワークスペース URL とともに HOST を指定する代わりに、Azure Databricks ワークスペースの Azure リソース ID とともに DATABRICKS_AZURE_RESOURCE_ID を指定します。この場合、MS Entra サービスプリンシパルには、Azure Databricks ワークスペースの Azure リソースに対する少なくとも共同作成者または所有者のアクセス許可が必要です。

.databrickscfg ファイルで次のフィールドを使用して、Azure Databricks 構成プロファイルを作成または識別します。プロファイルを作成する場合は、プレースホルダーを適切な値に置き換えます。ツールまたは SDK でプロファイルを使用するには、「Azure Databricks リソースへのアクセスの認証」またはツールまたは SDK のドキュメントを参照してください。「クライアント統合認証の環境変数とフィールド」、および「クライアント統合認証のデフォルトの方法」も参照してください。

アカウントレベルの操作の場合、.databrickscfg ファイルで次の値を設定します。この場合、Azure Databricks アカウントコンソールの URL は https://accounts.azuredatabricks.net です。

[<some-unique-configuration-profile-name>]
host                = <account-console-url>
account_id          = <account-id>
azure_tenant_id     = <azure-service-principal-tenant-id>
azure_client_id     = <azure-service-principal-application-id>
azure_client_secret = <azure-service-principal-client-secret>

ワークスペースレベルの操作の場合は、.databrickscfg ファイルに次の値を設定します。この場合、ホストは Azure Databricks のワークスペースごとの URL です (例: https://adb-1234567890123456.7.azuredatabricks.net)。

[<some-unique-configuration-profile-name>]
host                = <workspace-url>
azure_tenant_id     = <azure-service-principal-tenant-id>
azure_client_id     = <azure-service-principal-application-id>
azure_client_secret = <azure-service-principal-client-secret>

ワークスペースレベルの操作では、MS Entra サービスプリンシパルがまだワークスペースに追加されていない場合は、ワークスペース URL とともに host を指定する代わりに、Azure Databricks ワークスペースの Azure リソース ID とともに azure_workspace_resource_id を指定します。この場合、MS Entra サービスプリンシパルには、Azure Databricks ワークスペースの Azure リソースに対する少なくとも共同作成者または所有者のアクセス許可が必要です。

Databricks CLI の場合は、次のいずれかを行います。

この記事の「環境」セクションで指定されているように環境変数を設定します。
この記事の「プロファイル」セクションで指定されているように .databrickscfg ファイルの値を設定します。

環境変数は、.databrickscfg ファイル内の値よりも常に優先されます。

「Microsoft Entra ID サービスプリンシパルの認証」も参照してください。

Note

MS Entra サービスプリンシパル認証は、次の Databricks Connect バージョンでサポートされています。

Python の場合、Databricks Connect for Databricks Runtime 13.1 以降。
Scala の場合、Databricks Connect for Databricks Runtime 13.3 LTS 以降。

Databricks Connect の場合は、次のいずれかを行うことができます。

この記事の「プロファイル」セクションで指定されているように、Azure Databricks ワークスペースレベルの操作の .databrickscfg ファイル内の値を設定します。また、プロファイル内の cluster_id 環境変数をワークスペースごとの URL に設定します (例: https://adb-1234567890123456.7.azuredatabricks.net)。
この記事の「環境」セクションで指定されているように、Azure Databricks ワークスペースレベルの操作の環境変数を設定します。また、DATABRICKS_CLUSTER_ID 環境変数をワークスペースごとの URL に設定します (例: https://adb-1234567890123456.7.azuredatabricks.net)。

.databrickscfg ファイル内の値は、環境変数よりも常に優先されます。

.databrickscfg ファイル内のこれらの環境変数または値を使用して Databricks Connect クライアントを初期化するには、「databricks Connect のCompute 構成を参照してください。

Visual Studio Code 用 Databricks 拡張機能の場合は、次を実行します。

この記事の「プロファイル」セクションで指定されているように、Azure Databricks ワークスペースレベルの操作の .databrickscfg ファイル内の値を設定します。
Visual Studio Code 用の Databricks 拡張機能の [構成] ペインで、[Databricks の構成] をクリックします。
コマンドパレットの Databricks Host に、ワークスペースごとの URL (例: https://adb-1234567890123456.7.azuredatabricks.net) を入力し、Enter キーを押します。
コマンドパレットで、URL の一覧からターゲットプロファイルの名前を選択します。

詳細については、「Visual Studio Code 用 Databricks 拡張機能の認証設定」を参照してください。

アカウントレベルの操作の場合 (既定の認証の場合):

provider "databricks" {
  alias = "accounts"
}

直接構成の場合 (retrieve プレースホルダーを独自の実装に置き換えて、コンソールまたは HashiCorp Vault などの他の構成ストアから値を取得します。Vault Provider もご覧ください)。この場合、Azure Databricks アカウントコンソールの URL は https://accounts.azuredatabricks.net です。

provider "databricks" {
  alias               = "accounts"
  host                = <retrieve-account-console-url>
  account_id          = <retrieve-account-id>
  azure_tenant_id     = <retrieve-azure-tenant-id>
  azure_client_id     = <retrieve-azure-client-id>
  azure_client_secret = <retrieve-azure-client-secret>
}

ワークスペースレベルの操作の場合 (既定の認証の場合):

provider "databricks" {
  alias = "workspace"
}

直接構成の場合 (retrieve プレースホルダーを独自の実装に置き換えて、コンソールまたは HashiCorp Vault などの他の構成ストアから値を取得します。Vault Provider もご覧ください)。この場合、ホストは Azure Databricks のワークスペースごとの URL です (例: https://adb-1234567890123456.7.azuredatabricks.net)。

provider "databricks" {
  alias               = "workspace"
  host                = <retrieve-workspace-url>
  azure_tenant_id     = <retrieve-azure-tenant-id>
  azure_client_id     = <retrieve-azure-client-id>
  azure_client_secret = <retrieve-azure-client-secret>
}

Databricks Terraform プロバイダーを使用した認証の詳細については、「認証」を参照してください。

アカウントレベルの操作の場合 (既定の認証の場合):

from databricks.sdk import AccountClient

a = AccountClient()
# ...

直接構成の場合 (retrieve プレースホルダーを独自の実装に置き換えて、コンソールまたは Azure KeyVault のような他の構成ストアから値を取得します)。この場合、Azure Databricks アカウントコンソールの URL は https://accounts.azuredatabricks.net です。

from databricks.sdk import AccountClient

a = AccountClient(
  host                = retrieve_account_console_url(),
  account_id          = retrieve_account_id(),
  azure_tenant_id     = retrieve_azure_tenant_id(),
  azure_client_id     = retrieve_azure_client_id(),
  azure_client_secret = retrieve_azure_client_secret()
)
# ...

ワークスペースレベルの操作の場合 (既定の認証の場合):

from databricks.sdk import WorkspaceClient

w = WorkspaceClient()
# ...

直接構成の場合 (retrieve プレースホルダーを独自の実装に置き換えて、コンソールまたは Azure KeyVault のような他の構成ストアから値を取得します)。この場合、ホストは Azure Databricks のワークスペースごとの URL です (例: https://adb-1234567890123456.7.azuredatabricks.net)。

from databricks.sdk import WorkspaceClient

w = WorkspaceClient(
  host                = retrieve_workspace_url(),
  azure_tenant_id     = retrieve_azure_tenant_id(),
  azure_client_id     = retrieve_azure_client_id(),
  azure_client_secret = retrieve_azure_client_secret()
)
# ...

Python を使用し、Databricks クライアント統合認証を実装した Databricks ツールや SDK を使用した認証については、以下を参照してください。

アカウントレベルの操作の場合 (既定の認証の場合):

import com.databricks.sdk.AccountClient;
// ...
AccountClient a = new AccountClient();
// ...

import com.databricks.sdk.AccountClient;
import com.databricks.sdk.core.DatabricksConfig;
// ...
DatabricksConfig cfg = new DatabricksConfig()
  .setHost(retrieveAccountConsoleUrl())
  .setAccountId(retrieveAccountId())
  .setAzureTenantId(retrieveAzureTenantId())
  .setAzureClientId(retrieveAzureClientId())
  .setAzureClientSecret(retrieveAzureClientSecret())
AccountClient a = new AccountClient(cfg);
// ...

ワークスペースレベルの操作の場合 (既定の認証の場合):

import com.databricks.sdk.WorkspaceClient;
// ...
WorkspaceClient w = new WorkspaceClient();
// ...

import com.databricks.sdk.WorkspaceClient;
import com.databricks.sdk.core.DatabricksConfig;
// ...
DatabricksConfig cfg = new DatabricksConfig()
  .setHost(retrieveWorkspaceUrl())
  .setAzureTenantId(retrieveAzureTenantId())
  .setAzureClientId(retrieveAzureClientId())
  .setAzureClientSecret(retrieveAzureClientSecret())
WorkspaceClient w = new WorkspaceClient(cfg);
// ...

ワークスペースレベルの操作では、MS Entra サービスプリンシパルがまだワークスペースに追加されていない場合は、ワークスペース URL とともに setHost を指定する代わりに、Azure Databricks ワークスペースの Azure リソース ID とともに setAzureWorkspaceResourceId を指定します。この場合、MS Entra サービスプリンシパルには、Azure Databricks ワークスペースの Azure リソースに対する少なくとも共同作成者または所有者のアクセス許可が必要です。

Java を使用し、Databricks クライアント統合認証を実装した Databricks ツールや SDK を使用した認証については、以下を参照してください。

Scala 用に Databricks Connect クライアントを設定する (Scala 用 Databricks Connect クライアントは、同梱の Java 用 Databricks SDK を認証に使用します)
Azure Databricks アカウントまたはワークスペースで Databricks SDK for Java を認証する

アカウントレベルの操作の場合 (既定の認証の場合):

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
a := databricks.Must(databricks.NewAccountClient())
// ...

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
a := databricks.Must(databricks.NewAccountClient(&databricks.Config{
  Host:              retrieveAccountConsoleUrl(),
  AccountId:         retrieveAccountId(),
  AzureTenantId:     retrieveAzureTenantId(),
  AzureClientId:     retrieveAzureClientId(),
  AzureClientSecret: retrieveAzureClientSecret(),
}))
// ...

ワークスペースレベルの操作の場合 (既定の認証の場合):

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
w := databricks.Must(databricks.NewWorkspaceClient())
// ...

import (
  "github.com/databricks/databricks-sdk-go"
)
// ...
w := databricks.Must(databricks.NewWorkspaceClient(&databricks.Config{
  Host:              retrieveWorkspaceUrl(),
  AzureTenantId:     retrieveAzureTenantId(),
  AzureClientId:     retrieveAzureClientId(),
  AzureClientSecret: retrieveAzureClientSecret(),
}))
// ...

ワークスペースレベルの操作では、MS Entra サービスプリンシパルがまだワークスペースに追加されていない場合は、ワークスペース URL とともに Host を指定する代わりに、Azure Databricks ワークスペースの Azure リソース ID とともに AzureWorkspaceResourceId を指定します。この場合、MS Entra サービスプリンシパルには、Azure Databricks ワークスペースの Azure リソースに対する少なくとも共同作成者または所有者のアクセス許可が必要です。

Go を使用し、Databricks クライアント統合認証を実装する Databricks ツールおよび SDK を使用した認証の詳細については、「Azure Databricks アカウントまたはワークスペースで Databricks SDK for Go を認証する」を参照してください。

次の方法で共有

MS Entra サービスプリンシパルの認証

フィードバック

その他のリソース

次の方法で共有

MS Entra サービス プリンシパルの認証

フィードバック

その他のリソース

MS Entra サービスプリンシパルの認証