サービスプリンシパルを管理するためのロール

[アーティクル]
10/10/2024

この記事では、Azure Databricks アカウントにおけるサービスプリンシパルのロールを管理する方法について説明します。

サービスプリンシパルは、自動化されたツール、ジョブ、アプリケーションで使用するための Azure Databricks で作成する ID です。サービスプリンシパルを使用すると、自動化されたツールとスクリプトに Azure Databricks リソースへの API 専用のアクセスが提供されるため、ユーザーやグループを使用するよりもセキュリティが強化されます。

Azure Databricks のユーザー、サービスプリンシパル、アカウントグループに、サービスプリンシパルを使用するためのアクセス権を付与できます。これにより、ユーザーは自分の ID ではなく、サービスプリンシパルとしてジョブを実行できます。また、ユーザーが組織を離れた場合やグループが変更された場合に、ジョブが失敗するのを防ぎます。

サービスプリンシパルの概要については、「サービスプリンシパルを管理する」を参照してください。

サービスプリンシパルのロール

サービスプリンシパルのロールは、アカウントレベルのロールです。つまり、アカウントで 1 回だけ定義する必要があり、すべてのワークスペースで適用されます。サービスプリンシパルに付与できるロールは、サービスプリンシパルマネージャーとサービスプリンシパルユーザーの 2 つがあります。

サービスプリンシパルマネージャーを使用すると、サービスプリンシパル上のロールを管理できます。サービスプリンシパルの作成者は、そのサービスプリンシパルのサービスプリンシパルマネージャー ロールを持ちます。アカウント管理者は、アカウント内のすべてのサービスプリンシパルのサービスプリンシパルマネージャー ロールを持ちます。

Note

2023 年 6 月 13 日より前にサービスプリンシパルが作成された場合、既定では、サービスプリンシパルの作成者はサービスプリンシパルマネージャー ロールを持ちません。マネージャーである必要がある場合は、サービスプリンシパルマネージャー ロールの付与をアカウント管理者に依頼してください。

サービスプリンシパルユーザーは、ワークスペースユーザーがサービスプリンシパルとしてジョブを実行することを許可できます。ジョブは、ジョブの所有者の ID ではなく、サービスプリンシパルの ID を使用して実行されます。

サービスプリンシパルマネージャー ロールを持つユーザーは、サービスプリンシパルユーザー ロールを継承しません。サービスプリンシパルを作成した後でも、サービスプリンシパルを使用してジョブを実行する場合は、自分にサービスプリンシパルユーザーロールを明示的に割り当てる必要があります。

Note

Azure Databricks のサービスプリンシパルのロールは、Azure のロールまたは Microsoft Entra ID のロールと重複していません。これらのロールは、Azure Databricks アカウントでのみ適用されます。

アカウントコンソールを使用してサービスプリンシパルのロールを管理する

アカウント管理者は、アカウントコンソールを使用してサービスプリンシパルのロールを管理できます。

サービスプリンシパルのロールを表示する

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[サービスプリンシパル] タブで、名前を見つけてクリックします。
[Permissions] タブをクリックします。

プリンシパルの一覧と、サービスプリンシパルに付与されているロールを表示できます。検索バーを使用して、特定のプリンシパルまたはロールを検索することもできます。

サービスプリンシパルにロールを付与する

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[サービスプリンシパル] タブで、名前を見つけてクリックします。
[Permissions] タブをクリックします。
[アクセス権の付与] をクリックします。
ユーザー、サービスプリンシパル、またはグループを検索して選択し、割り当てる 1 つまたは複数のロール ("サービスプリンシパル: マネージャー" または "サービスプリンシパル: ユーザー") を選択します。

Note

サービスプリンシパルマネージャー ロールを持つユーザーは、サービスプリンシパルユーザー ロールを継承しません。ユーザーにサービスプリンシパルを使用してジョブを実行させたい場合は、サービスプリンシパルユーザー ロールを明示的に割り当てる必要があります。
[保存] をクリックします。

サービスプリンシパルのロールを取り消す

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[サービスプリンシパル] タブで、名前を見つけてクリックします。
[Permissions] タブをクリックします。
ロールを編集するユーザー、サービスプリンシパル、またはグループを検索します。
プリンシパルがある行で、ケバブメニューを選択し、[編集] を選択します。または、[削除] を選択して、プリンシパルのすべてのロールを取り消します。
編集をクリックします。
取り消すロールの横にある X を選択します。
[保存] をクリックします。

ワークスペース管理者設定ページを使用してサービスプリンシパルのロールを管理する

ワークスペース管理者は、管理者設定ページを使用して、自分がサービスプリンシパルマネージャー ロールを持っているサービスプリンシパルのサービスプリンシパルロールを管理できます。

サービスプリンシパルのロールを表示する

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名を選択し、[設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[サービスプリンシパル] の横にある [管理] をクリックします。
名前を見つけてクリックします。
[Permissions] タブをクリックします。

サービスプリンシパルにロールを付与する

ロールを付与するには、サービスプリンシパルに対するサービスプリンシパルマネージャー ロールが必要です。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名を選択し、[設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[サービスプリンシパル] の横にある [管理] をクリックします。
名前を見つけてクリックします。
[Permissions] タブをクリックします。
[アクセス権の付与] をクリックします。
ユーザー、サービスプリンシパル、またはグループを検索して選択し、割り当てる 1 つまたは複数のロール ("サービスプリンシパル: マネージャー" または "サービスプリンシパル: ユーザー") を選択します。

Note

ロールは、アカウントレベルの任意のユーザー、サービスプリンシパル、またはグループ (ワークスペースのメンバーでない場合も含む) に付与できます。ワークスペースローカルグループにロールを付与することはできません。

サービスプリンシパルマネージャー ロールを持つユーザーは、サービスプリンシパルユーザー ロールを継承しません。ユーザーにサービスプリンシパルを使用してジョブを実行させたい場合は、サービスプリンシパルユーザー ロールを明示的に割り当てる必要があります。
[保存] をクリックします。

サービスプリンシパルのロールを取り消す

ロールを取り消すには、サービスプリンシパルに対するサービスプリンシパルマネージャー ロールが必要です。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名を選択し、[設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[サービスプリンシパル] の横にある [管理] をクリックします。
名前を見つけてクリックします。
[Permissions] タブをクリックします。
ロールを編集するユーザー、サービスプリンシパル、またはグループを検索します。
プリンシパルがある行で、ケバブメニューを選択し、[編集] を選択します。または、[削除] を選択して、プリンシパルのすべてのロールを取り消します。
編集をクリックします。
取り消すロールの横にある X を選択します。
[保存] をクリックします。

Databricks CLI を使用してサービスプリンシパルのロールを管理する

サービスプリンシパルに対するロールを管理するには、サービスプリンシパルマネージャー ロールが必要です。 Databricks CLI を使用して、ロールを管理できます。 Databricks CLI のインストールと認証については、「Databricks CLI とは」を参照してください。

アカウントアクセスの制御 API を使用して、サービスプリンシパルのロールを管理することもできます。アカウントアクセス制御 API は、Azure Databricks のアカウントとワークスペースでサポートされています。

アカウント管理者は、accounts.azuredatabricks.net ({account-domain}/api/2.0/preview/accounts/{account_id}/access-control) で API を呼び出します。

サービスプリンシパルマネージャー ロールを持つアカウント管理者ではないユーザーは、ワークスペースドメイン ({workspace-domain}/api/2.0/preview/accounts/access-control/) 上で API を呼び出します。

Databricks CLI を使用してサービスプリンシパルにロールを付与する

Accounts Access Control API および CLI では、etag フィールドを使用して一貫性を確保します。 API を使用してサービスプリンシパルのロールの付与または取り消しを行うには、まず GET ルールセットコマンドを発行し、応答で etag を受け取ります。次に、ローカルで変更を適用します。最後に、etag を使用して PUT ルールセットを発行します。

たとえば、次のコマンドを実行して、アクセス権を付与するサービスプリンシパルに対する GET ルールセットを発行します。

databricks account access-control get-rule-set accounts/<account-id>/servicePrincipals/<application-id>/ruleSets/default <etag>

置換前のコード:

<account-id> をアカウント ID にする。
<application-id> をサービスプリンシパルのアプリケーション ID にする。
<etag> を "" にする

応答の例:

{
  "etag":"<etag>",
  "grant_rules": [
    {
      "principals": [
        "users/user@example.com"
      ],
      "role":"roles/servicePrincipal.manager"
    },
    {
      "principals": [
        "users/user@example.com"
      ],
      "role":"roles/servicePrincipal.user"
    }
  ],
  "name":"<name>"
}

後で使用するために、応答本文から etag フィールドをコピーします。

次に、ルールの最終状態を決定したら、ローカルで更新を行い、etag を使用してルールセットを更新することができます。 "サービスプリンシパル: ユーザー" ロールをユーザー user2@example.com に付与するには、次を実行します。

databricks account access-control update-rule-set --json '{
  "name": "accounts/<account-id>/servicePrincipals/<application-id>/ruleSets/default",
  "rule_set": {
      "name": "accounts/<account-id>/servicePrincipals/<application-id>/ruleSets/default",
      "grant_rules": [
        {
            "role": "roles/servicePrincipal.user",
            "principals": ["users/user2@example.com"]
        }
      ],
      "etag": "<etag>"
  }
}'

置換前のコード:

<account-id> をアカウント ID にする。
<application-id> をサービスプリンシパルのアプリケーション ID にする。
<etag> を、最後の応答からコピーした etag にする。

応答の例:

{
  "etag":"<new-etag>",
  "grant_rules": [
    {
      "principals": [
        "users/user2@example.com"
      ],
      "role":"roles/servicePrincipal.user"
    }
  ],
  "name":"accounts/<account-id>/servicePrincipals/<application-id>/ruleSets/default"
}

重要

これは PUT メソッドであるため、すべての既存のロールが上書きされます。既存のロールを保持するには、それらを grant_roles 配列に追加する必要があります。

使用できるサービスプリンシパルを一覧表示する

ワークスペースサービスプリンシパル API を使用すると、servicePrincipal/use でフィルター処理をして、自分がユーザーロールを持っているサービスプリンシパルを一覧表示できます。

自分がサービスプリンシパルユーザー ロールを持っているサービスプリンシパルを一覧表示するには、次のコマンドを実行します。

databricks service-principals list -p WORKSPACE --filter "permission eq 'servicePrincipal/use'"

ワークスペースサービスプリンシパル API を使用して、サービスプリンシパルを一覧表示することもできます。

次の方法で共有

サービスプリンシパルを管理するためのロール

サービスプリンシパルのロール

アカウントコンソールを使用してサービスプリンシパルのロールを管理する

サービスプリンシパルのロールを表示する

サービスプリンシパルにロールを付与する

サービスプリンシパルのロールを取り消す

ワークスペース管理者設定ページを使用してサービスプリンシパルのロールを管理する

サービスプリンシパルのロールを表示する

サービスプリンシパルにロールを付与する

サービスプリンシパルのロールを取り消す

Databricks CLI を使用してサービスプリンシパルのロールを管理する

Databricks CLI を使用してサービスプリンシパルにロールを付与する

使用できるサービスプリンシパルを一覧表示する

フィードバック

その他のリソース

次の方法で共有

サービス プリンシパルを管理するためのロール

サービス プリンシパルのロール

アカウント コンソールを使用してサービス プリンシパルのロールを管理する

サービス プリンシパルのロールを表示する

サービス プリンシパルにロールを付与する

サービス プリンシパルのロールを取り消す

ワークスペース管理者設定ページを使用してサービス プリンシパルのロールを管理する

サービス プリンシパルのロールを表示する

サービス プリンシパルにロールを付与する

サービス プリンシパルのロールを取り消す

Databricks CLI を使用してサービス プリンシパルのロールを管理する

Databricks CLI を使用してサービス プリンシパルにロールを付与する

使用できるサービス プリンシパルを一覧表示する

フィードバック

その他のリソース

サービスプリンシパルを管理するためのロール

サービスプリンシパルのロール

アカウントコンソールを使用してサービスプリンシパルのロールを管理する

サービスプリンシパルのロールを表示する

サービスプリンシパルにロールを付与する

サービスプリンシパルのロールを取り消す

ワークスペース管理者設定ページを使用してサービスプリンシパルのロールを管理する

サービスプリンシパルのロールを表示する

サービスプリンシパルにロールを付与する

サービスプリンシパルのロールを取り消す

Databricks CLI を使用してサービスプリンシパルのロールを管理する

Databricks CLI を使用してサービスプリンシパルにロールを付与する

使用できるサービスプリンシパルを一覧表示する