Azure Databricks リソースへのアクセスを認証する

[アーティクル]
09/27/2024

Databricks CLI または REST API を使用して Azure Databricks リソースにアクセスするには、リソースへのアクセスに必要な承認を持つ Azure Databricks アカウントを使用してクライアントを認証することが必要です。 Databricks CLI コマンドを安全に実行するか、アカウントまたはワークスペースへの承認されたアクセスを必要とする Databricks API 要求を呼び出すには、有効な Azure Databricks アカウントの資格情報に基づいてアクセストークンを指定することが必要です。この記事では、Azure Databricksワークスペースまたはアカウントへのアクセスを認証し、認証情報を提供するための認証オプションについて説明します。

次の表に、Azure Databricks アカウントで使用できる認証方法を示します。

Azure Databricks 認証方法

この記事では、Azure Databricksワークスペースまたはアカウントへのアクセスを認証し、認証情報を提供するための認証オプションについて説明します。Azure DatabricksツールとSDKは、サポートされているAzure Databricks認証方法の1つまたは複数と連携して動作するため、ユースケースに最適な認証方法を選択できます。詳細については、開発者ツールのツールまたは SDK のドキュメントを参照してください。

Method	説明	ユースケース
サービスプリンシパルの OAuth (OAuth M2M)	サービスプリンシパルの有効期間が短い OAuth トークン。	完全に自動化された CI/CD ワークフローなどの無人認証シナリオ。
ユーザーの OAuth (OAuth U2M)	ユーザーの有効期間が短い OAuth トークン。	要求されたら、Web ブラウザーを使用して Azure Databricks でリアルタイムで認証する、参加済みの認証シナリオ。
個人用アクセストークン (PAT)	ユーザーまたはサービスプリンシパルの有効期間が短いトークンまたは有効期間の長いトークン。	ターゲットツールが OAuth をサポートしていないシナリオ。
Azure マネージド ID 認証	Azure マネージド ID 用の Microsoft Entra ID トークン。	マネージド ID をサポートする Azure リソース (Azure 仮想マシンなど) でのみ使用します。
Microsoft Entra ID サービスプリンシパル認証	Microsoft Entra ID サービスプリンシパル用の Microsoft Entra ID トークン。	Azure DevOps などのマネージドIDをサポートせず、Microsoft Entra IDトークンをサポートするAzureリソースでのみ使用してください。
Azure CLI 認証	ユーザーまたは Microsoft Entra ID サービスプリンシパル用の Microsoft Entra ID トークン。	Azure CLI を使用して Azure リソースと Azure Databricks のアクセスに対する認証に使用します。
Microsoft Entra ID ユーザー認証	ユーザー向けの Microsoft Entra ID トークン。	Microsoft Entra ID トークンのみをサポートする Azure リソースでのみ使用します。 Databricks では、Azure Databricks ユーザー用の Microsoft Entra ID トークンを手動で作成することはお勧めしません。

どのような認証方法を選択する必要がありますか？

Azure Databricks リソースにアクセスするための Databricks CLI コマンドまたは API 呼び出しを認証するには、次のふたつのオプションがあります。

Azure Databricks ユーザーアカウント (「ユーザーからマシンへの」認証、または U2M と呼ばれます) を使用します。これは、ローカルクライアント環境から Azure Databricks CLI コマンドを実行している場合、または所有して排他的に実行するコードから Azure Databricks API 要求を呼び出す場合にのみ選択します。
Azure Databricks サービスプリンシパルを使用します(「マシン間」認証、または M2M と呼ばれる)。他のユーザーがコードを実行する場合 (特にアプリの場合)、または Azure Databricks CLI コマンドまたは API 要求を呼び出す自動化を構築する場合は、これを選択します。

Azure Databricks を使用している場合は、MS Entra サービスプリンシパルを使用して、Azure Databricks アカウントまたはワークスペースへのアクセスを認証することもできます。ただし、Databricks では、MICROSOFT が提供する MS Entra サービスプリンシパル認証を介した OAuth 認証で Databricks サービスプリンシパルを使用することをお勧めします。なぜなら、認証には、Azure Databricks でのみ認証する場合により堅牢である OAuth アクセストークンが使われるからです。

MS Entra サービスプリンシパルを使用して Databricks リソースにアクセスする方法の詳細については、「MS Entra サービスプリンシパル認証」を参照してください。

Databricks API の呼び出しに使用するアカウントにリンクされたアクセストークンも必要です。このトークンには、OAuth 2.0 アクセストークンまたは個人用アクセストークン (PAT) のいずれかを指定できます。ただし、Azure Databricks では、OAuth トークンが既定で自動的に更新され、アクセストークンを直接管理する必要が無く、トークンハイジャックや不要なアクセスに対するセキュリティが向上するので、承認には認証に対して OAuth over PAT を使用することを強くお勧めします。 OAuth によってアクセストークンが作成および管理されるため、トークン文字列を自分で直接指定するのではなく、Azure Databricks ワークスペースから生成する OAuth トークンエンドポイント URL、クライアント ID、シークレットを指定します。 AT は、定期的に監査およびローテーションまたは取り消されていない場合、またはトークン文字列とパスワードが開発環境用に安全に管理されていない場合に、送信機会を提供する有効期間の長いトークンのリスクを公開します。

OAuth を使用して Azure Databricks で認証を行う操作方法

Azure Databricks では、特定の資格情報の値に設定できる既定の環境変数セットを使用して認証を支援するためにクライアント認証が提供されます。これらの環境変数は、Azure Databricks CLI コマンドを実行する環境や Azure Databricks API を呼び出す環境に固有であるため、より簡単かつ安全に作業できます。

ユーザーアカウント (ユーザーからマシンへの) 認証の場合、ツールと SDK で標準が実装されている限り、Azure Databricks OAuth は Databricks クライアント統合認証で自動的に処理されます。そうでない場合は、OAuth コード検証ツールとチャレンジペアを手動で生成して、Azure Databricks CLI コマンドと API 要求で直接使用できます。「手順 1: OAuth コード検証ツールとコードチャレンジのペアを生成する」を参照してください。
サービスプリンシパル (マシン間) 認証の場合、Azure Databricks OAuth では、要求を承認できるトークンエンドポイント URL と共に、呼び出し元がクライアント資格情報を提供する必要があります。 (これは、Databricks 統合クライアント認証をサポートする Azure Databricks ツールと SDK を使用する場合に自動的に処理されます)。資格情報には、一意の client ID および client シークレットが含まれます。コードを実行する Databricks サービスプリンシパルであるクライアントは、Databricks ワークスペースに割り当てられている必要があります。アクセスするワークスペースにサービスプリンシパルを割り当てると、特定の環境変数で設定するクライアント ID とクライアントシークレットが提供されます。

それらの環境変数を次に示します。

DATABRICKS_HOST:この環境変数は、Azure Databricks アカウントコンソール (http://accounts.cloud.databricks.com) または Azure Databricks ワークスペース URL (https://{workspace-id}.cloud.databricks.com) の URL に設定されます。コードで実行する操作の種類に基づいて、ホスト URL の種類を選択します。具体的には、Azure Databricks アカウントレベルの CLI コマンドまたは REST API 要求を使用している場合この変数を Azure Databricks アカウントの URL に設定します。 Azure Databricks workspace レベルの CLI コマンドまたは REST API 要求を使用している場合、Azure Databricks ワークスペースの URL を使用します。
DATABRICKS_ACCOUNT_ID：Azure Databricks アカウントレベルの操作の場合これがAzure Databricks アカウント ID です。取得するには、「アカウント ID を特定する」を参照してください。
DATABRICKS_CLIENT_ID: (M2M OAuth のみ) サービスプリンシパルの作成時に割り当てられたクライアント ID 。
DATABRICKS_CLIENT_SECRET: (M2M OAuth のみ) サービスプリンシパルの作成時に生成したクライアントシークレット。

これらは直接設定することも、クライアントコンピューターで Databricks 構成プロファイル (.databrickscfg) を使用して設定することもできます。

OAuth アクセストークンを使用するには、Azure Databricks ワークスペースまたはアカウント管理者が、コードがアクセスするアカウントとワークスペース機能の CAN USE 特権をユーザーアカウントまたはサービスプリンシパルに付与している必要があります。

クライアントの OAuth 承認を構成する方法と、クラウドプロバイダー固有の承認オプションを確認する方法の詳細については、「クライアント認証の解除」を参照してください。

サードパーティのサービスおよびツールの認証

サードパーティのサービス、ツール、または SDK にアクセスするコードを記述する場合は、サードパーティによって提供される認証と承認のメカニズムを使用する必要があります。ただし、サードパーティのツール、SDK、またはサービスに Azure Databricks アカウントまたはワークスペースリソースへのアクセス権を付与する必要がある場合、Databricks では次のサポートが提供されます。

Databricks Terraform プロバイダー: このツールは、Azure Databricks ユーザーアカウントを使用して、ユーザーに代わって Terraform から Azure Databricks API にアクセスできます。詳細は、「Terraform を使用してサービスプリンシパルをプロビジョニングする」を参照してください。
GitHub、GitLab、Bitbucket などの Git プロバイダーは、Databricks サービスプリンシパルを使用して Azure Databricks API にアクセスできます。詳細については、「CI/CDのサービスプリンシパル名」を参照してください。
Jenkins は、Databricks サービスプリンシパルを使用して Azure Databricks API にアクセスできます。詳細については、Azure Databricks Jenkins での CI/CDを参照してください。
Azure DevOps は、MS Entra サービスプリンシパルと ID を使用して Azure Databricks API にアクセスできます。詳細については、「Authenticate with Azure DevOps on Databricks」を参照してください。

Azure Databricks 構成プロファイル

Azure Databricks 構成プロファイルには、Azure Databricks が認証するために必要な設定とその他の情報が含まれています。 Azure Databricks構成プロファイルは、使用するツール、Sdk、スクリプト、およびアプリのローカルクライアントファイルに格納されます。標準構成プロファイルファイルには、.databrickscfg という名前が付けられています。詳細については、「Azure Databricks 構成プロファイル」を参照してください。

次の方法で共有