グループの管理

[アーティクル]
03/01/2024

この記事では、管理者が Azure Databricks グループを作成して管理する方法について説明します。 Azure Databricks ID モデルの概要については、「Azure Databricks の ID」を参照してください。

グループ管理の概要

グループを使用すると、ワークスペースやデータなどのセキュリティ保護可能なオブジェクトへのアクセスを簡単に割り当てることができるようになり、ID 管理が簡素化されます。すべての Databricks ID は、グループのメンバーとして割り当てることができます。

アカウントグループとワークスペースローカルグループの違い

Azure Databricks には "アカウントグループ" と従来の "ワークスペースローカルグループ" の概念があります。

アカウントグループには、Unity Catalog メタストア内のデータへのアクセス権、サービスプリンシパルとグループ上のロール、ID フェデレーションワークスペースへのアクセス許可を付与できます。
ワークスペースローカルグループはレガシグループです。これらのグループは、ワークスペース管理者設定ページで "ワークスペースローカル" として識別されます。 Unity Catalog メタストア内で、ワークスペースローカルグループを追加のワークスペースに割り当てたり、データへのアクセスをこれらのグループに許可したりすることはできません。ワークスペースローカルグループには、アカウントレベルのロールを付与できません。ワークスペースローカルグループの詳細については、「ワークスペースローカルグループを管理する (レガシ)」をご覧ください。

各ワークスペースには、users と admins の 2 つのシステムグループがあります。すべてのワークスペースユーザーは users グループのメンバーであり、すべてのワークスペース管理者は admins グループのメンバーです。システムグループは、ワークスペースのローカルグループです。システムグループを削除することはできません。

Databricks では、ワークスペースローカルグループをアカウントグループに変更して、Unity Catalog を使用した一元化されたワークスペースの割り当てとデータアクセス管理を利用することが推奨されています。「ワークスペースローカルグループをアカウントグループに移行する」を参照してください。

Note

Azure 内のワークスペースリソースの組み込みの共同作成者ロールまたは所有者ロールを持つユーザーは、ワークスペースの admins グループに自動的に割り当てられます。詳しくは、「サブスクリプションを管理する」をご覧ください。

アカウントグループを管理できるユーザー

Azure Databricks でアカウントグループを作成するには、アカウント管理者またはワークスペース管理者である必要があります。ワークスペース管理者の場合、アカウトグループを作成するには ID フェデレーションワークスペースに存在する必要があります。

Azure Databricks でアカウントグループを管理するには、グループに対するグループマネージャー ロール (パブリックプレビュー) が必要です。グループマネージャーは、グループメンバーシップを管理し、グループを削除できます。また、他のユーザーにグループマネージャーロールを割り当てることもできます。アカウント管理者はアカウントコンソールを利用してグループロールを管理できます。ワークスペース管理者はワークスペース管理者設定ページを利用してグループロールを管理できます。ワークスペース管理者ではないグループマネージャーは、アカウントアクセス制御 API を使用して、グループロールを管理できます。

アカウント管理者はアカウントレベルでグループマネージャーロールを持っています。つまり、アカウント内のすべてのグループに対してグループマネージャーロールが割り当てられます。ワークスペース管理者は、自分が作成するアカウントグループに対するグループマネージャーロールを持っています。

ワークスペース管理者は、ワークスペースローカルグループを作成して管理することもできます。

Microsoft Entra ID (旧称 Azure Active Directory) テナントから Azure Databricks アカウントにグループを同期する

SCIM プロビジョニングコネクタを使用して、Microsoft Entra ID (旧称 Azure Active Directory) テナントのグループを Azure Databricks アカウントに同期できます。手順については、「Microsoft Entra ID を使用した Azure Databricks への ID のプロビジョニング」をご覧ください。

重要

ID をワークスペースに直接同期する SCIM コネクタがあり、それらのワークスペースで ID フェデレーションが有効になっている場合、アカウントレベルの SCIM コネクタが有効になっているときには、これらの SCIM コネクタを無効にすることをお勧めします。 ID フェデレーションを使用していないワークスペースがある場合は、アカウントレベルの SCIM コネクタと同時に実行されている、それらのワークスペース用に構成した SCIM コネクタを引き続き使用する必要があります。

アカウントコンソールを使用してアカウントグループを管理する

アカウント管理者は、アカウントコンソールを使用して、Azure Databricks アカウントでグループを追加したり管理したりできます。ワークスペース管理者とグループマネージャーは、ワークスペース設定ページと Databricks API を使用してグループを管理できます。「ワークスペース管理者設定ページを使用してアカウントグループを管理する」および「API を使用してアカウントグループを管理する」を参照してください。

アカウントコンソールを使用してアカウントにグループを追加する

アカウントコンソールを使用してアカウントにグループを追加するには、以下の操作を行います。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、[グループの追加] をクリックします。
グループの名前を入力します。
[Confirm](確認) をクリックします。
ダイアログが表示されたら、グループにユーザー、サービスプリンシパル、グループを追加します。

アカウントコンソールを使用してグループにメンバーを追加する

アカウントコンソールを使用してグループにユーザー、サービスプリンシパル、グループを追加するには、次の操作を実行します。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、更新しようとしているグループを選択します。
[メンバーの追加] をクリックします。
追加しようとしているユーザー、グループ、またはサービスプリンシパルを検索して選択します。
[追加] をクリックします。

Note

アカウントからグループを更新してから、ワークスペース内でグループが更新されるまでには数分の遅延があります。

アカウントコンソールを使用してグループのロールを管理する

重要

この機能はパブリックプレビュー段階にあります。

アカウント管理者は、アカウントコンソールでアカウントグループにロールを付与できます。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、グループ名を見つけてクリックします。
[Permissions] タブをクリックします。
[アクセス権の付与] をクリックします。
ユーザー、サービスプリンシパル、またはグループを検索して選択し、グループマネージャー ロールを選択します。
[保存] をクリックします。

グループの名前を変更する

アカウント管理者は、アカウントコンソールを使用して、アカウントグループの名前を更新できます:

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、更新しようとしているグループを選択します。
[グループ情報] をクリックします。
[名前] で、名前を更新します。
[保存] をクリックします。

グループマネージャーは、アカウントコンソールを使用してグループの名前を変更できません。代わりに、アカウントグループ API を使用してください。次に例を示します。

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.0/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": [ "urn:ietf:params:scim:api:messages:2.0:PatchOp" ],
  "Operations": [
    {
      {
          "op": "replace",
          "path": "displayName",
          "value": "<updated-name>"
      }
    }
  ]
}

Account Groups API に対する認証を行う方法については、「Azure Databricks 自動化の認証 - 概要」を参照してください。

アカウントコンソールを使用してグループをワークスペースに割り当てる

アカウントコンソールを使用してワークスペースにグループを追加するには、ワークスペースで ID フェデレーションが有効でなければなりません。ワークスペースに割り当て可能なのは、アカウントグループのみです。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ワークスペース] をクリックします。
ワークスペース名をクリックします。
[Permissions](アクセス許可) タブで [Add permissions](アクセス許可の追加) をクリックします。
グループを検索して選択し、アクセス許可レベル (ワークスペース ユーザー、または管理) を割り当ててから、[保存] をクリックします。

アカウントコンソールを使用してグループをワークスペースから削除する

アカウントコンソールを使ってワークスペースからグループを削除するには、ワークスペースが ID フェデレーションに対して有効にされている必要があります。アカウントコンソールを使ってワークスペースから削除できるのは、アカウントグループだけです。

アカウントグループがワークスペースから削除されると、グループのメンバーはワークスペースにアクセスできなくなりますが、グループに対するアクセス許可は維持されます。後でそのグループがワークスペースに再び追加されると、グループには以前のアクセス許可が再び付与されます。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ワークスペース] をクリックします。
ワークスペース名をクリックします。
[アクセス許可] タブで、グループを見つけます。
グループの行の右端にあるケバブメニューをクリックして、[削除] を選びます。
確認のダイアログボックスで [削除] をクリックします。

グループにアカウント管理者ロールを割り当てる

アカウントコンソールを使用してアカウント管理者ロールまたはマーケットプレイス管理者ロールをグループに割り当てることはできませんが、アカウントグループ API を使用してグループに割り当てることはできます。次に例を示します。

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.0/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": [ "urn:ietf:params:scim:api:messages:2.0:PatchOp" ],
  "Operations": [
    {
      "op": "add",
      "path": "roles",
      "value": [
        {
          "value": "account_admin"
        }
      ]
    }
  ]
}

Account Groups API に対する認証を行う方法については、「Azure Databricks 自動化の認証 - 概要」を参照してください。

Azure Databricks アカウントからグループを削除する

アカウント管理者は、Azure Databricks アカウントからグループを削除できます。グループマネージャーは、Account Groups API を使用して、アカウントからグループを削除することもできます。「API を使用してアカウントグループを管理する」をご覧ください。

重要

グループを削除すると、そのグループ内のすべてのユーザーがアカウントから削除され、それらのユーザーが持っていたワークスペースへのアクセス権が失われます (ただし、それらのユーザーが別のグループのメンバーである場合や、それらのユーザーに対してアカウントまたはいずれかのワークスペースへのアクセスが直接許可されている場合は除きます)。 Databricks では、アカウントレベルのグループの削除は、アカウント内のすべてのワークスペースへのアクセスを禁止することを望む場合を除き、行わないことをお勧めします。ユーザーを削除した場合の次の結果に注意してください。

ユーザーが生成したトークンを使用するアプリケーションまたはスクリプトは、Databricks API にアクセスできなくなる
ユーザーが所有するジョブは失敗する
ユーザーが所有するクラスターは停止する
ユーザーによって作成され、"所有者として実行" 資格情報を使用して共有されるクエリまたはダッシュボードは、共有が失敗しないように、新しい所有者に割り当てる必要がある

アカウントコンソールを使用してグループを削除するには、以下の操作を行います。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、削除しようとしているグループを見つけます。
ユーザー行の右端にある kebab メニューをクリックし、[削除] を選択します。
確認ダイアログボックスで、[削除の確認] をクリックします。

アカウントコンソールを使用してグループを削除する場合、そのアカウントに設定されている SCIM プロビジョニングコネクタまたは SCIM API アプリケーションを使用してそのグループを削除する必要もあります。そうしないと、SCIM プロビジョニングによって、次回の同期時にグループとそのメンバーが再び追加されてしまいます。「Microsoft Entra ID からユーザーとグループを同期する」を参照してください。

API を使用して Azure Databricks アカウントからグループを削除するには、「Azure Databricks アカウントに ID をプロビジョニングする」と Account Groups API に関するページを参照してください。

ワークスペース管理者設定ページを使用してアカウントグループを管理する

ワークスペース管理者は、ワークスペース管理者設定ページを使用して、ID フェデレーションワークスペースにアカウントグループを作成して管理できます。

Note

ワークスペースからアカウントグループを更新してから、アカウント内でグループが更新されるまでには数分の遅延があります。

ワークスペースでワークスペースローカルグループを作成する方法の詳細については、「ワークスペースローカルグループを管理する (レガシ)」をご覧ください。

ワークスペース管理者設定ページを使用してワークスペースにグループを作成または割り当てる

ワークスペース管理者設定ページを使用して、ワークスペースにアカウントグループを割り当てまたは作成するには、次の操作を実行します。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[管理者設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
[グループの追加] をクリックします。
既存のグループを選んでワークスペースに割り当てるか、[新規追加] をクリックして新しいアカウントグループを作成します。

Note

ワークスペースで ID フェデレーションが有効になっていない場合、ワークスペースに既存のアカウントグループを割り当てたり、アカウントグループの追加や作成を行ったりすることはできません。代わりに、ワークスペースローカルグループを使用する必要があります。「ワークスペースローカルグループを管理する (レガシ)」をご覧ください。

ワークスペース管理者設定ページを使用してグループにメンバーを追加する

ワークスペース管理者設定ページを使用して、ユーザー、サービスプリンシパル、グループをアカウントグループに追加するには、ワークスペース管理者である必要があります。管理できるのは、グループマネージャーロールを持つグループのメンバーのみです。

Note

子グループを admins グループに追加することはできません。ワークスペースのローカルグループやシステムグループをアカウントグループのメンバーとして追加することはできません。

ワークスペース管理者ではないグループマネージャーは、Account Groups API を使用してグループメンバーシップを管理する必要があります。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[管理者設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
更新するグループを選択します。更新するには、グループに対するグループマネージャーロールが必要です。
[メンバー] タブで [メンバーの追加] をクリックします。
ダイアログで、追加しようとしているユーザー、サービスプリンシパル、グループを参照または検索して選択します。
[Confirm](確認) をクリックします。

ワークスペース管理者設定ページを使用してアカウントグループに対するロールを管理する

重要

この機能はパブリックプレビュー段階にあります。

グループマネージャー ロールは、ユーザー、アカウントグループ、サービスプリンシパルに割り当てることができます。グループマネージャーは、グループメンバーシップを管理できます。また、グループマネージャーロールを他のユーザーに割り当てることもできます。

ワークスペース管理者設定ページを使用してグループロールを管理するには、ワークスペース管理者である必要があります。ワークスペース管理者ではないグループマネージャーは、Account Access Control API を使用して、グループロールを管理できます。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[管理者設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
更新するグループを選択します。更新するには、グループに対するグループマネージャーロールが必要です。
[Permissions] タブをクリックします。
[アクセス権の付与] をクリックします。
ユーザー、サービスプリンシパル、またはグループを検索して選択し、グループマネージャー ロールを選択します。

Note

アカウントグループに対してワークスペースのローカルグループやシステムグループのロールを割り当てることはできません。
[保存] をクリックします。

グループにエンタイトルメントを割り当てる

エンタイトルメントとは、ユーザー、サービスプリンシパル、またはグループが、指定した方法で Azure Databricks と対話できるようにするプロパティです。エンタイトルメントは、ワークスペースレベルでユーザーに割り当てられます。次の表に、エンタイトルメントと、その各々を管理するために使用するワークスペース UI および API プロパティ名をリストします。ワークスペースの管理者設定ページとワークスペースレベルの SCIM REST API を使用して、エンタイトルメントを管理できます。

エンタイトルメントの名前	エンタイトルメントの API 名	既定値	説明
ワークスペースアクセス	`workspace-access`	既定で付与されます。	これを許可されたユーザーまたはサービスプリンシパルは、Data Science & Engineering および Databricks Machine Learning のペルソナベースの環境にアクセスすることができます。ワークスペース管理者から削除することはできません。
Databricks SQL アクセス	`databricks-sql-access`	既定で付与されます。	付与されたユーザーまたはサービスプリンシパルは、Databricks SQL にアクセスできます。
無制限のクラスターの作成を許可する	`allow-cluster-create`	既定では、ユーザーまたはサービスプリンシパルには付与されません。	付与されたユーザーまたはサービスプリンシパルは、無制限のクラスターを作成できます。クラスターレベルのアクセス許可を使用して、既存のクラスターへのアクセスを制限することができます。ワークスペース管理者から削除することはできません。
プールの作成を許可する (UI では不可)	`allow-instance-pool-create`	個々のユーザーまたはサービスプリンシパルに付与することはできません。	グループに付与されると、そのメンバーはインスタンスプールを作成できます。ワークスペース管理者から削除することはできません。

users グループには、既定でワークスペースアクセスと Databricks SQL アクセス エンタイトルメントが付与されます。すべてのワークスペースユーザーとサービスプリンシパルは、users グループのメンバーです。これらのエンタイトルメントをユーザーごとに割り当てるには、ワークスペース管理者が users グループからこのエンタイトルメントを削除し、ユーザー、サービスプリンシパル、グループに個別に割り当てる必要があります。

重要

Azure Databricks ワークスペースにログインしてアクセスするには、ユーザーが Databricks SQL アクセスまたはワークスペースアクセスのエンタイトルメントを持っている必要があります。

管理者設定ページを使用して allow-instance-pool-create のエンタイトルメントを付与することはできません。代わりに、ワークスペースユーザー、サービスプリンシパル、または Groups API を使用します。

ワークスペース管理者設定ページを使用してグループのエンタイトルメントを追加または削除する

グループがアカウントで作成されたか、ワークスペースローカルであるかに関係なく、グループエンタイトルメントはワークスペースレベルで管理します。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[管理者設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
更新するグループを選択します。更新するには、グループに対するグループマネージャーロールが必要です。
[資格] タブで、グループ内のすべてのユーザーに付与するエンタイトルメントを選択します。

エンタイトルメントを削除するには、同じ手順を実行しますが、代わりに切り替えをオフにします。グループメンバーは、個々のユーザーまたは別のグループメンバーシップを通じてアクセス許可が付与されていない限り、エンタイトルメントを失います。

親グループの表示

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[管理者設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
表示するグループを選びます。
[親グループ] タブで、グループの親グループを表示します。

ワークスペースで [管理者設定] ページを使用して、ワークスペースからグループを削除する

ワークスペースからグループを削除しても、アカウント内のグループは削除されません。グループがワークスペースから削除されると、グループのメンバーはワークスペースにアクセスできなくなりますが、グループに対するアクセス許可は維持されます。後でそのグループがワークスペースに再び追加されると、グループには以前のアクセス許可が再び付与されます。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[管理者設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
グループを選んで、[x 削除] をクリックします
[削除] をクリックして確定します。

API を使用してアカウントグループを管理する

アカウント管理者、ワークスペース管理者、グループマネージャーは、Account Groups API を使用して、Azure Databricks アカウントでグループの追加、削除、管理を行うことができます。アカウント管理者、ワークスペース管理者、グループマネージャーは、別のエンドポイント URL を使用して API を呼び出す必要があります。

アカウント管理者は {account-domain}/api/2.0/accounts/{account_id}/scim/v2/ を使用します。
ワークスペース管理者とグループマネージャーは {workspace-domain}/api/2.0/account/scim/v2/ を使用します。

詳細については、アカウントグループ API に関するページを参照してください。

API を使用してワークスペースにグループを割り当てる

アカウント管理者とワークスペース管理者は、ワークスペース割り当て API を使用して、ID フェデレーションが有効なワークスペースにグループを割り当てることができます。 Workspace Assignment API は、Azure Databricks のアカウントとワークスペースでサポートされています。

アカウント管理者は {account-domain}/api/2.0/accounts/{account_id}/workspaces/{workspace_id}/permissionassignments を使用します。
ワークスペース管理者は {workspace-domain}/api/2.0/preview/permissionassignments/principals/{group_id} を使用します。

「ワークスペース割り当て API」を参照してください。

API を使用してグループに対するロールを管理する

重要

この機能はパブリックプレビュー段階にあります。

グループマネージャーは、アカウントアクセス制御 API を使用してグループロールを管理できます。アカウント管理者、ワークスペース管理者、グループマネージャーは、別のエンドポイント URL を使用して API を呼び出す必要があります。

アカウント管理者は {account-domain}/api/2.0/preview/accounts/{account_id}/access-control/assignable-roles を使用します。
ワークスペース管理者とグループマネージャーは {workspace-domain}/api/2.0/preview/accounts/access-control/assignable-roles を使用します。

「Account Access Control API」と「Accounts Access Control Workspace Proxy API」をご覧ください。

グループの管理

グループ管理の概要

アカウント グループとワークスペース ローカル グループの違い

アカウント グループを管理できるユーザー

Microsoft Entra ID (旧称 Azure Active Directory) テナントから Azure Databricks アカウントにグループを同期する

アカウント コンソールを使用してアカウント グループを管理する

アカウント コンソールを使用してアカウントにグループを追加する

アカウント コンソールを使用してグループにメンバーを追加する

アカウント コンソールを使用してグループのロールを管理する

グループの名前を変更する

アカウント コンソールを使用してグループをワークスペースに割り当てる

アカウント コンソールを使用してグループをワークスペースから削除する

グループにアカウント管理者ロールを割り当てる

Azure Databricks アカウントからグループを削除する

ワークスペース管理者設定ページを使用してアカウント グループを管理する

ワークスペース管理者設定ページを使用してワークスペースにグループを作成または割り当てる

ワークスペース管理者設定ページを使用してグループにメンバーを追加する

ワークスペース管理者設定ページを使用してアカウント グループに対するロールを管理する

グループにエンタイトルメントを割り当てる

ワークスペース管理者設定ページを使用してグループのエンタイトルメントを追加または削除する

親グループの表示

ワークスペースで [管理者設定] ページを使用して、ワークスペースからグループを削除する

API を使用してアカウント グループを管理する

API を使用してワークスペースにグループを割り当てる

API を使用してグループに対するロールを管理する

その他のリソース

アカウントグループとワークスペースローカルグループの違い

アカウントグループを管理できるユーザー

アカウントコンソールを使用してアカウントグループを管理する

アカウントコンソールを使用してアカウントにグループを追加する

アカウントコンソールを使用してグループにメンバーを追加する

アカウントコンソールを使用してグループのロールを管理する

アカウントコンソールを使用してグループをワークスペースに割り当てる

アカウントコンソールを使用してグループをワークスペースから削除する

ワークスペース管理者設定ページを使用してアカウントグループを管理する

ワークスペース管理者設定ページを使用してアカウントグループに対するロールを管理する

API を使用してアカウントグループを管理する