アプリスペース

Important

この機能は ベータ版です。 これを使うには、ワークスペース管理者がPreviewsページからGoverned agentic app buildingを有効にする必要があります。 Manage Azure Databricks プレビューを参照してください。

App Spaceとは、管理者が誰がアプリを作成・使用できるか、どの権限を持つか、どの支出ポリシーが適用されるかを定義するガバナンス境界のことです。

開発者が各アプリごとにリソースを定義し権限を設定する代わりに、App Spaceは管理者が複数のアプリ開発者グループごとに権限を設定できるようにします。

アプリ開発者は Genie App Builder を使ってApp Space内でアプリを構築します。

なぜApp Spacesを使うのか

コーディングエージェントがアプリの開発を容易にするにつれて、組織内のより多くの人がアプリを作成しています。 App Spacesは、ビジネスや非技術者が組織のガバナンスモデルを崩さずにデータにアクセスできるアプリを作成できるようにします。 管理者は一度だけガードレール(アイデンティティ、スコープ、リソース)をビルダーグループのために定義し、その空間で構築されたすべてのアプリがそれらを継承します。

アプリスペースを作成する

App Spaceを作成するにはワークスペース管理者でなければなりません。 以下のいずれかの方法で作成できます:

• DatabricksのApps UIで 「App Spaces」をクリックし、+ New Spaceを選びます。
• Azure DatabricksのREST APIかTerraformプロバイダーを使ってください。

Note

App Spaceを作成した後は名前を変更することはできません。

アプリスペースの設定

ワークスペース管理者として、以下の設定が可能です:

• ユーザー認証:アプリがユーザーのために何をできるか。
• サーバーレス使用ポリシー:その領域内のアプリに対するサーバーレス使用ポリシー。
• 権限:誰がその空間でアプリを作成できるか。

ユーザーの承認

ユーザー認証は、時にユーザー代理認証(OBO)とも呼ばれ、DataBricksアプリがサインインしたユーザーの身元を操作できるようにします。 アプリは、ユーザーがすでにアクセス許可されているデータやリソースにしかアクセスできません。ただし、許可範囲内でのことです。 Databricks アプリでの承認の構成を参照してください。

App Spaceは管理者がユーザー承認で使用できる役割や範囲を制限できるようにします。 ユーザー認証は、Unityカタログのテーブル、Genieスペースやエージェント、ダッシュボードなど、各ユーザーの既存のAzure Databricks権限に従うべき場合に適用してください。

ロールベースアクセス制御

ロールベースアクセス制御(RBAC)を使って、アプリの権限や共有を制限しましょう。 アプリにサインインする際にユーザーが役割を選択できるようにしたり、特定の役割を担うことを要求したりすることができます。

Azure Databricksでは、ロールはグループとして実装されます。 グループメンバーは自動的に役割を引き受けることができます。 他のユーザーは「 権限を取 る」必要があります。 ロールベースのアクセス制御 (RBAC) を参照してください。

Setting	誰がアプリを使えるか	ユーザー権限
どんな役割でも	開発者がアプリを共有する相手は誰でもいい	アプリにサインインした際にユーザーが選択した役割
選ばれた役割だけ	選択した役割を担えるユーザー(アプリが共有されている場合)	選ばれた役割だけ

例えば次が挙げられます。

• App Spaceはグループemea-salesで選択した役割のみを使用します。
• ジェーン・ドウは emea-salesのメンバーです。
• アプリ開発者はジェーン・ドウとアプリを共有しています。
• ジェーンはアプリにサインインする emea-sales の役割を担わなければなりません。
• ユーザーの承認がある場合、アプリがアクセスできるのは、emea-sales がアクセスできるもの（許可されたスコープ内）に限られます。ジェーン・ドウに追加の許可やアクセス許可が付与されている場合でも同様です。

Note

• 選択した役割のみを使用するには、アカウントレベルとワークスペースレベルでRBACを有効にしてください。
• 役割制限のあるアカウントグループのみが使用可能です。
• 開発者は役割を選んでも、自分のアプリを共有するコントロール権を持っています。
• App Spaceにロールを割り当てても、ユーザーに新たな権限は付与 されません 。 ユーザーがアプリを使用するには、たとえ開発者がそのユーザーとアプリを共有している場合でも、そのロールへのアクセス権が必要です。

Scopes

ユーザー承認を使用するアプリでは、ユーザーに代わってアプリが実行できる操作を制限するために、特定の承認スコープを宣言する必要があります。 Databricks アプリでの承認の構成を参照してください。

App Spaceでは、各アプリが要求するスコープを制御できます。

デフォルトでは、新しいApp Spaceは Data + AI プリセットを使用し、以下の11の範囲を利用できます:

• sql:restricted-query
• genie
• catalog.catalogs:read
• catalog.schemas:read
• catalog.tables:read
• files
• model-serving
• ai-functions
• ai-gateway
• mcp.external
• mcp.functions

App Spaceを作成または設定する際に、選択したスコープを閲覧または編集できます。

サーバーレス使用ポリシー

サーバーレス使用ポリシーのもとで動作するスペース内のアプリです。 Azure Databricksのコスト管理ツールを参照してください。

アクセス許可

以下の権限が、誰がアプリスペースで作業できるかを制御しています:

許可	～する能力を付与する
CAN CREATE APP	この分野でアプリを開発しましょう
CAN MANAGE	空間の設定を修正してください
CAN READ	空間は表示しますが、アプリは作成せず(あるいはアプリは必ずしも使わない)

ユースケースの例

グループの仕組みに合わせてアプリスペースを形作ることができます:

Type	説明
パブリックアプリ	ワークスペース内の誰とでも共有できるアプリ。 すべてのワークスペースユーザーが利用できるデータとリソースのみにアクセスできます。
チームアプリ	特定のチームによって構築され、そのチームの既存の役割、インフラ、データ、権限に整合したアプリ。
Projectアプリ	定義されたプロジェクトや関与に関連するアプリで、プロビジョニング済みのテーブル、倉庫、パイプライン、アクセス境界を共有します。

追加リソース

• Genie App Builder
• Databricks アプリで承認を構成する