サービスプリンシパルを管理する

2025-05-04

このページでは、Azure Databricks アカウントとワークスペースのサービスプリンシパルを管理する方法について説明します。

サービスプリンシパルの概要については、「サービスプリンシパル」を参照してください。

Microsoft Entra ID テナントから Azure Databricks アカウントにサービスプリンシパルを同期する

Microsoft Entra ID サービスプリンシパルは、自動 ID 管理 (パブリックプレビュー) を使用して、Microsoft Entra ID テナントから Azure Databricks アカウントに自動的に同期できます。 Databricks はソースとして Microsoft Entra ID を使用するため、ユーザーまたはグループメンバーシップに対する変更は Azure Databricks で尊重されます。自動 ID 管理を有効にするには、「 Microsoft Entra ID からユーザーとグループを自動的に同期する」を参照してください。

SCIM プロビジョニングでは、サービスプリンシパルの同期はサポートされていません。

アカウントにサービスプリンシパルを追加する

アカウント管理者とワークスペース管理者は、アカウントコンソールまたはワークスペース管理者設定ページを使用して、Azure Databricks アカウントにサービスプリンシパルを追加できます。

サービスプリンシパルは、Azure Databricks 内に作成することも、既存の Microsoft Entra ID サービスプリンシパルからリンクすることもできます。 Databricks と Microsoft Entra ID サービスプリンシパルを参照してください。自動 ID 管理が有効になっている場合は、Microsoft Entra ID から直接サービスプリンシパルを検索して追加できます。

アカウントコンソール

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ ユーザー管理] をクリックします。
[ サービスプリンシパル ] タブで、[ サービスプリンシパルの追加] をクリックします。
[ 管理] で、[ Databricks マネージド ] または [Microsoft Entra ID マネージド] を選択します。
Microsoft Entra ID managed を選択した場合は、Microsoft Entra アプリケーション ID の下に、サービスプリンシパルのアプリケーション (クライアント) ID を貼り付けます。
サービスプリンシパルの名前を入力します。
[ 追加] をクリックします。

ワークスペース管理者設定

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーにあるユーザー名をクリックし、[ 設定] を選択します。
[ ID とアクセス ] タブをクリックします。
サービスプリンシパルの横にある管理をクリックします。
サービスプリンシパルの追加をクリックします。
[ 新規追加] をクリックします。
Databricks マネージドまたは Microsoft Entra ID マネージドを選択します。 Microsoft Entra ID managed を選択した場合は、サービスプリンシパルのアプリケーション (クライアント) ID を貼り付けます。
サービスプリンシパルの名前を入力します。
[ 追加] をクリックします。

アカウントレベルの管理者ロールをサービスプリンシパルに割り当てる

注

[ サービスプリンシパル の詳細] ページには、サービスプリンシパルに直接割り当てられているロールのみが表示されます。グループメンバーシップを通じて継承されたロールはアクティブですが、そのトグルは UI で有効として表示されません。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ ユーザー管理] をクリックします。
[ サービスプリンシパル ] タブで、ユーザー名を見つけてクリックします。
[ ロール ] タブで、1 つ以上のロールを選択します。

ワークスペースにサービスプリンシパルを割り当てる

アカウント管理者とワークスペース管理者は、アカウントコンソールまたはワークスペース管理者設定ページを使用して、Azure Databricks ワークスペースにサービスプリンシパルを割り当てることができます。

アカウントコンソール

アカウントコンソールを使用してワークスペースにユーザーを追加するには、ID フェデレーションに対してワークスペースを有効にする必要があります。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで[ ワークスペース]をクリックします。
ワークスペース名をクリックします。
[ アクセス許可 ] タブで、[ アクセス許可の追加] をクリックします。
サービスプリンシパルを検索して選択し、アクセス許可レベル (ワークスペース ユーザー または 管理者) を割り当てて 、[保存] をクリックします。

ワークスペース管理者設定

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーにあるユーザー名をクリックし、[ 設定] を選択します。
[ ID とアクセス ] タブをクリックします。
サービスプリンシパルの横にある管理をクリックします。
サービスプリンシパルの追加をクリックします。
既存のサービスプリンシパルを選択します。
[ 追加] をクリックします。

ワークスペースからサービスプリンシパルを削除する

アカウント管理者とワークスペース管理者は、アカウントコンソールまたはワークスペース管理者設定ページを使用して、Azure Databricks ワークスペースからサービスプリンシパルを削除できます。

サービスプリンシパルがワークスペースから削除されると、そのサービスプリンシパルからそのワークスペースにアクセスできなくなりますが、アクセス許可はそのサービスプリンシパルに維持されます。後でそのサービスプリンシパルがそのワークスペースに再び追加されると、以前のアクセス許可が回復します。

アカウントコンソール

アカウントコンソールを使用してワークスペースからサービスプリンシパルを削除するには、ワークスペースで ID フェデレーションが有効でなければなりません。

アカウント管理者として、アカウントコンソールにログインします
サイドバーで[ ワークスペース]をクリックします。
ワークスペース名をクリックします。
[ アクセス許可 ] タブで、サービスプリンシパルを見つけます。
をクリックします。サービスプリンシパル行の右端にある kebab メニューをクリックし、[削除] を選択します。
確認ダイアログで、[ 削除] をクリックします。

ワークスペース管理者設定

サービスプリンシパルがワークスペースから削除されると、そのサービスプリンシパルからそのワークスペースにアクセスできなくなりますが、アクセス許可はそのサービスプリンシパルに維持されます。後でそのサービスプリンシパルがワークスペースに再び追加されると、以前のアクセス許可が回復します。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーにあるユーザー名をクリックし、[ 設定] を選択します。
[ ID とアクセス ] タブをクリックします。
サービスプリンシパルの横にある管理をクリックします。
サービスプリンシパルを選択します。
右上隅の [ 削除] をクリックします。
[ 削除 ] をクリックして確定します。

ワークスペース管理者ロールをサービスプリンシパルに割り当てる

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーにあるユーザー名をクリックし、[ 設定] を選択します。
[ ID とアクセス ] タブをクリックします。
[ グループ] の横にある [ 管理] をクリックします。
admins システムグループを選択します。
[ メンバーの追加] をクリックします。
サービスプリンシパルを選択し、[ 確認] をクリックします。

サービスプリンシパルからワークスペース管理者ロールを削除するには、管理者グループからサービスプリンシパルを削除します。

サービスプリンシパルを非アクティブ化する

サービスプリンシパルは、アカウントレベルまたはワークスペースレベルで非アクティブ化できます。非アクティブ化により、サービスプリンシパルは Databricks API を認証およびアクセスできなくなりますが、そのアクセス許可やオブジェクトは削除されません。これは、破壊的な作用である除去に好ましい。

非アクティブ化の影響:

サービスプリンシパルは、Databricks API を認証またはアクセスできません。
サービスプリンシパルによって生成されたトークンを使用するアプリケーションまたはスクリプトは、Databricks API にアクセスできなくなります。トークンは残りますが、サービスプリンシパルが非アクティブである間は認証に使用できません。
サービスプリンシパルが所有するコンピューティングリソースは引き続き実行されます。
サービスプリンシパルによって作成されたスケジュール済みジョブは、新しい所有者に割り当てられない限り失敗します。

再アクティブ化すると、サービスプリンシパルは同じアクセス許可でアクセスを回復します。

アカウントレベルの非アクティブ化

アカウント管理者は、Azure Databricks アカウント全体でサービスプリンシパルを非アクティブ化できます。サービスプリンシパルがアカウントレベルで非アクティブ化されている場合、Azure Databricks アカウントまたはアカウント内のワークスペースに対して認証を行うことはできません。

アカウントコンソールを使用してサービスプリンシパルを非アクティブ化することはできません。代わりに、アカウントサービスプリンシパル API を使用します。

例えば次が挙げられます。

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.1/accounts/{account_id}/scim/v2/ServicePrincipals/{id} \
--header 'Content-type: application/scim+json' \
--data @update-sp.json \
| jq .

update-sp.json:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "replace",
      "path": "active",
      "value": [
        {
          "value": "false"
        }
      ]
    }
  ]
}

ワークスペースレベルの非アクティブ化

サービスプリンシパルがワークスペースレベルで非アクティブ化されている場合、その特定のワークスペースに対して認証することはできませんが、アカウントとアカウント内の他のワークスペースに対して認証を行うことができます。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーにあるユーザー名をクリックし、[ 設定] を選択します。
[ ID とアクセス ] タブをクリックします。
サービスプリンシパルの横にある管理をクリックします。
非アクティブ化するサービスプリンシパルを選択します。
[ 状態] で [ アクティブ] をオフにします。

サービスプリンシパルをアクティブに設定するには、同じ手順を実行しますが、代わりにチェックボックスをオンにします。

Azure Databricks アカウントからサービスプリンシパルを削除する

アカウント管理者は、Azure Databricks アカウントからサービスプリンシパルを削除できます。これをワークスペース管理者が行うことはできません。アカウントからサービスプリンシパルを削除すると、そのプリンシパルはワークスペースからも削除されます。

重要

アカウントからサービスプリンシパルを削除すると、ID フェデレーションが有効になっているかどうかに関係なく、そのサービスプリンシパルはワークスペースからも削除されます。アカウントレベルのサービスプリンシパルの削除は、それらによるアカウント内のすべてのワークスペースへのアクセスを禁止する場合を除き、行わないことをお勧めします。サービスプリンシパルを削除した場合の次の結果に注意してください。

サービスプリンシパルによって生成されたトークンを使用するアプリケーションまたはスクリプトは、Databricks API にアクセスできなくなります
サービスプリンシパルによって所有されるジョブは失敗します
サービスプリンシパルによって所有されるコンピューティングは停止します
サービスプリンシパルによって作成され、"所有者として実行" 資格情報を使用して共有されるクエリまたはダッシュボードは、共有が失敗しないようにするには、新しい所有者に割り当てる必要があります

Microsoft Entra ID のサービスプリンシパルがアカウントから削除されると、そのサービスプリンシパルからそのアカウントまたはワークスペースにアクセスできなくなりますが、アクセス許可はそのサービスプリンシパルに維持されます。後でそのサービスプリンシパルがそのアカウントに再び追加されると、以前のアクセス許可が回復します。

アカウントコンソールを使用してサービスプリンシパルを削除するには、次の操作を行います。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ ユーザー管理] をクリックします。
[ サービスプリンシパル ] タブで、ユーザー名を見つけてクリックします。
[ プリンシパル情報 ] タブで、をクリックします。右上隅にある kebab メニューをクリックし、[ 削除] を選択します。
確認ダイアログボックスで、[削除の確認] をクリックします。

注

自動 ID 管理を有効にすると、Microsoft Entra ID 内のサービスプリンシパルがアカウントコンソールに表示されます。状態は非アクティブ: 使用なしとして表示され、サービスプリンシパルの一覧から削除することはできません。これらはアカウントでアクティブではなく、制限に対してカウントされません。

API を使用してサービスプリンシパルを管理する

アカウント管理者とワークスペース管理者は、Databricks API を使用して、Azure Databricks のアカウントとワークスペース内のサービスプリンシパルを管理できます。 API を使用してサービスプリンシパルのロールを管理するには、 Databricks CLI を使用したサービスプリンシパルロールの管理に関するページを参照してください。

API を使用してアカウント内のサービスプリンシパルを管理する

管理者は、Account Service Principals API を使用して、Azure Databricks アカウントでサービスプリンシパルを追加および管理できます。アカウント管理者とワークスペース管理者は、別のエンドポイント URL を使用して API を呼び出します。

アカウント管理者は {account-domain}/api/2.1/accounts/{account_id}/scim/v2/ を使用します。
ワークスペース管理者は {workspace-domain}/api/2.0/account/scim/v2/ を使用します。

詳細については、アカウントサービスプリンシパル API を参照してください。

API を使用してアカウント内のサービスプリンシパルを管理する

アカウント管理者とワークスペース管理者は、Workspace Assignment API を使用して、ID フェデレーションが有効なワークスペースにサービスプリンシパルを割り当てることができます。 Workspace Assignment API は、Azure Databricks のアカウントとワークスペースでサポートされています。

アカウント管理者は {account-domain}/api/2.0/accounts/{account_id}/workspaces/{workspace_id}/permissionassignments を使用します。
ワークスペース管理者は {workspace-domain}/api/2.0/preview/permissionassignments/principals/{principal_id} を使用します。

ワークスペース割り当て API を参照してください。

ワークスペースで ID フェデレーションが有効でない場合、ワークスペース管理者はワークスペースレベルの API を使用して、ワークスペースにサービスプリンシパルを割り当てることができます。ワークスペースサービスプリンシパル API を参照してください。

サービスプリンシパルのトークンを管理する

サービスプリンシパルは、OAuth トークンまたは個人用アクセストークン (AT) を使用して Databricks API に対して認証を行うことができます。それぞれのスコープとセキュリティに関する考慮事項が異なります。

重要

Databricks では、セキュリティとライフサイクル管理を強化するために、可能な限りサービスプリンシパル認証に OAuth トークンを使用することをお勧めします。使用するユースケースで OAuth が使用できない場合にのみ、AT を使用します。

Azure Databricks OAuth トークン
- アカウントレベルの API とワークスペースレベルの API の両方に対して認証します。
- アカウントレベルで作成された OAuth トークンは、アカウント API とワークスペース API の両方にアクセスできます。ワークスペースレベルで作成された OAuth トークンのスコープは、ワークスペース API です。
- セキュリティが強化され、トークンの自動管理が強化されるため、ほとんどのシナリオで OAuth が推奨されます。
- セットアップ手順については、「 OAuth を使用してサービスプリンシパルを使用して Azure Databricks リソースへの無人アクセスを承認する」を参照してください。
個人用アクセストークン
- ワークスペースレベルの API に対してのみ認証します。
- Databricks では、OAuth がサポートされていない場合にのみ、AT を使用することをお勧めします。
- 詳細については、 Azure Databricks の個人用アクセストークン認証に関するページを参照してください。

Microsoft マネージドサービス ID (MSI) または Microsoft Entra ID アクセストークンの操作の詳細については、それぞれ Azure マネージド ID 認証と MS Entra サービスプリンシパル認証に関するページを参照してください。

次の方法で共有

サービス プリンシパルを管理する

Microsoft Entra ID テナントから Azure Databricks アカウントにサービス プリンシパルを同期する

アカウントにサービス プリンシパルを追加する

アカウント コンソール

ワークスペース管理者設定

アカウント レベルの管理者ロールをサービス プリンシパルに割り当てる

ワークスペースにサービス プリンシパルを割り当てる

アカウント コンソール

ワークスペース管理者設定

ワークスペースからサービス プリンシパルを削除する

アカウント コンソール

ワークスペース管理者設定

ワークスペース管理者ロールをサービス プリンシパルに割り当てる

サービス プリンシパルを非アクティブ化する

アカウント レベルの非アクティブ化

ワークスペース レベルの非アクティブ化

Azure Databricks アカウントからサービス プリンシパルを削除する

API を使用してサービス プリンシパルを管理する

API を使用してアカウント内のサービス プリンシパルを管理する

API を使用してアカウント内のサービス プリンシパルを管理する

サービス プリンシパルのトークンを管理する

フィードバック

その他のリソース

サービスプリンシパルを管理する

Microsoft Entra ID テナントから Azure Databricks アカウントにサービスプリンシパルを同期する

アカウントにサービスプリンシパルを追加する

アカウントコンソール

アカウントレベルの管理者ロールをサービスプリンシパルに割り当てる

ワークスペースにサービスプリンシパルを割り当てる

アカウントコンソール

ワークスペースからサービスプリンシパルを削除する

アカウントコンソール

ワークスペース管理者ロールをサービスプリンシパルに割り当てる

サービスプリンシパルを非アクティブ化する

アカウントレベルの非アクティブ化

ワークスペースレベルの非アクティブ化

Azure Databricks アカウントからサービスプリンシパルを削除する

API を使用してサービスプリンシパルを管理する

API を使用してアカウント内のサービスプリンシパルを管理する

API を使用してアカウント内のサービスプリンシパルを管理する

サービスプリンシパルのトークンを管理する