Microsoft Entra ID からユーザーとグループを自動的に同期する

2025-06-12

重要

この記事では、自動 ID 管理を使用して Microsoft Entra ID のユーザー、サービスプリンシパル、およびグループを同期するように Azure Databricks を構成する方法について説明します。

自動 ID 管理の概要

自動 ID 管理を使用すると、Microsoft Entra ID でアプリケーションを構成することなく、Microsoft Entra ID のユーザー、サービスプリンシパル、グループを Azure Databricks にシームレスに追加できます。自動 ID 管理が有効になっている場合は、Microsoft Entra ID ユーザー、サービスプリンシパル、およびグループを ID フェデレーションワークスペースで直接検索し、ワークスペースに追加できます。 Databricks はレコードのソースとして Microsoft Entra ID を使用するため、グループメンバーシップに対する変更はすべて Azure Databricks で適用されます。

ワークスペースAdd MS Entra ID group from workspaceから MS Entra ID グループを追加

ユーザーは、Microsoft Entra ID の任意のユーザー、サービスプリンシパル、またはグループとダッシュボードを共有することもできます。これらのユーザーは、ログイン時に Azure Databricks アカウントに自動的に追加されます。これらは、ダッシュボードが存在するワークスペースにメンバーとして追加されません。ワークスペースにアクセスできない Microsoft Entra ID のメンバーには、資格情報が埋め込まれたダッシュボードの表示専用コピーへのアクセス権が付与されます。ダッシュボード共有の詳細については、「ダッシュボードの共有」を参照してください。

ID 以外のフェデレーションワークスペースでは、自動 ID 管理はサポートされていません。 ID フェデレーションの詳細については、「ID フェデレーションを有効にする」を参照してください。

ユーザーとグループの状態

自動 ID 管理を有効にすると、Microsoft Entra ID のユーザー、サービスプリンシパル、およびグループが、アカウントコンソールとワークスペース管理者設定ページに表示されます。その状態は、Microsoft Entra ID と Azure Databricks 間のアクティビティと状態を反映しています。

ステータス	意味
非アクティブ: 使用なし	Azure Databricks にまだログインしていない Microsoft Entra ID の ID。
アクティブです	ID は Azure Databricks でアクティブです。
アクティブ: Entra ID から削除済み	以前は Azure Databricks でアクティブでしたが、Microsoft Entra ID から削除されています。
非アクティブ	ID が Microsoft Entra ID で非アクティブにされました。

非アクティブ化されたユーザーと Microsoft Entra ID から削除されたユーザーは、Azure Databricks にログインすることも、Azure Databricks API に対して認証することもできません。セキュリティのベストプラクティスとして、 非アクティブ化 および アクティブ: EntraID ユーザーから削除 された個人用アクセストークンを取り消することをお勧めします。

自動 ID 管理を使用して管理されるグループとサービスプリンシパルは、Azure Databricks では外部として表示されます。 Azure Databricks UI を使用して外部 ID を更新することはできません。

自動 ID 管理と SCIM プロビジョニング

自動 ID 管理を有効にすると、すべてのユーザー、グループ、およびグループメンバーシップが Microsoft Entra ID から Azure Databricks に同期されるため、SCIM プロビジョニングは必要ありません。 SCIM エンタープライズアプリケーションを並列で実行し続ける場合、SCIM アプリケーションは Microsoft Entra ID エンタープライズアプリケーションで構成されたユーザーとグループを引き続き管理します。 SCIM provisoning を使用して追加されなかった Microsoft Entra ID ID は管理されません。

Databricks では、自動 ID 管理を使用することをお勧めします。次の表は、自動 ID 管理の機能と SCIM プロビジョニングの機能を比較しています。

特徴	ID の自動管理	SCIM プロビジョニング
ユーザーの同期	✓	✓
同期グループ	✓	✓ (直接メンバーのみ)
入れ子になったグループを同期する	✓
サービスプリンシパルを同期する	✓
Microsoft Entra ID アプリケーションの構成と管理		✓
Microsoft Entra ID Premium エディションが必要です		✓
Microsoft Entra ID クラウドアプリケーション管理者ロールが必要です		✓
ID フェデレーションが必要	✓

Azure Databricks の外部 ID と Microsoft Entra ID オブジェクト ID

Azure Databricks は、ID とグループメンバーシップを同期するための権限のあるリンクとして Microsoft Entra ID ObjectIdを使用し、毎日繰り返されるフローのexternalIdと一致するようにObjectId フィールドを自動的に更新します。場合によっては、ユーザー、サービスプリンシパル、またはグループが自動 ID 管理と SCIM プロビジョニングなどの別の方法の両方を使用して Azure Databricks に追加された場合は特に、ID の不一致や重複が引き続き発生することがあります。このような状況では、エントリが重複し、1 つの一覧に [ 非アクティブ] という状態が表示される場合があります。使用状況はありません。ユーザーは非アクティブではなく、Azure Databricks にログインできます。

これらの重複する ID は、Azure Databricks で外部 ID を指定することでマージできます。アカウントユーザー、アカウントサービスプリンシパル、またはアカウントグループ API を使用してプリンシパルを更新し、objectId フィールドに Microsoft Entra ID externalIdを追加します。

externalIdは時間の経過と同時に更新される可能性があるため、Azure Databricks では、externalId フィールドに依存するカスタムワークフローを使用しないことを強くお勧めします。

ID の自動管理を有効にする

アカウント管理者は、[プレビュー] ページを使用して ID の自動管理を有効にすることができます。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで[ プレビュー]をクリックします。
[自動 ID 管理] を [オン] に切り替えます。

アカウントを有効にした後、Microsoft Entra ID からユーザー、サービスプリンシパル、およびグループを追加および削除するには、次の手順に従います。

自動 ID 管理が有効になっている場合、アカウント管理者は [プレビュー] ページを使用して無効にすることができます。無効にすると、以前にプロビジョニングされたユーザー、サービスプリンシパル、およびグループは Azure Databricks に残りますが、Microsoft Entra ID と同期されなくなります。これらのユーザーは、アカウントコンソールで削除または非アクティブ化できます。

ユーザーログインの監査

system.access.audit テーブルに対してクエリを実行して、ワークスペースにログインしたユーザーを監査できます。例えば：

SELECT
  DISTINCT user_identity.email
FROM
  system.access.audit
WHERE
  action_name = "aadBrowserLogin"

system.access.audit テーブルの詳細については、「監査ログシステムテーブルリファレンスを参照してください。

次の方法で共有