メインコンテンツまでスキップ
に最終更新

アカウントへのアクセスを拒否する

備考

プレビュー

Oktaの自動ID管理のサポートは、プライベートプレビューで利用可能です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

自動 ID 管理が有効になっている場合、アカウント アクセス拒否リストを構成して、ID プロバイダーのどの ID がDatabricksアカウントへのアクセスを許可されるかを制御できます。 拒否リスト モデルを使用して、アカウント管理者は特定のユーザー、グループ、またはDatabricksプリンシパルを拒否リストに追加して、アクセスをブロックします。

否定論者のメンバーシップは推移的である。グループを拒否すると、そのグループに属するすべてのメンバーも拒否されます。これには、ネストされたグループメンバーシップを通じて所属しているユーザーも含まれます。拒否されたユーザーとDatabricksプリンシパルは、 Databricksアカウントで自動的に 非アクティブ に設定されます。

アカウントアクセス拒否リストを設定する​

アカウント管理者は、アカウント コンソールでアカウントのアクセス拒否リストを構成できます。 拒否リストはアカウントレベルの設定であり、アカウント内のすべてのワークスペースに適用されます。

各アカウントは最大100個のルールをサポートします。

自動ID管理を有効化する前に​

  1. アカウント管理者として、アカウントコンソールにログインします。
  2. サイドバーで 「セキュリティ」 をクリックします。
  3. Identity provider setup tab をクリックし、 Identity management セクションで Automatic identity management をクリックします。
  4. 構成 をクリックして、必須項目を入力してください。
  5. [ テスト接続 ] をクリックします。
  6. 接続が成功した場合は、 拒否リストの設定 をクリックします。
  7. IDプロバイダーでIDを編集するオプションをクリックしてください。
  8. IDプロバイダーからIDを検索して選択し、デニリストに追加します。
  9. 変更を保存してください。

拒否リストを設定すると、自動ID管理を有効にできます。

自動ID管理が有効になった後​

  1. アカウント管理者として、アカウントコンソールにログインします。
  2. サイドバーで 「セキュリティ」 をクリックします。
  3. Identity provider setup tab をクリックし、 Identity management セクションで Automatic identity management をクリックします。
  4. IDプロバイダーでIDを編集するオプションをクリックしてください。
  5. ID プロバイダーからユーザー、 Databricksサービス プリンシパル、またはグループを検索して、拒否リストに追加します。
  6. 変更を保存してください。

拒否ルールは継承されます。親グループが拒否された場合、その子グループのすべてのメンバーもアクセスを拒否されます。 拒否リストの変更が反映されるまで最大10分かかる場合があります。

拒否リストをテストする​

アカウントアクセス拒否リストにはテストモードが含まれています。これを使用して、適用する前に、現在の拒否リスト構成に基づいて特定のユーザー、 Databricksサービス プリンシパル、またはグループがアクセスを拒否されるかどうかを確認します。

  1. 拒否リストの設定で、 「テストモード」 をクリックします。
  2. テストするユーザー、 Databricksサービスプリンシパル、またはグループを検索します。
  3. 結果を確認し、そのIDがアクセスを拒否されるかどうかを確認してください。

拒否ルールの仕組み​

拒否リストにIDが追加されると、以下の影響が生じます。

認証を拒否されたユーザーはDatabricksにログインできません。

  • 拒否されたユーザーとDatabricksプリンシパルは、 Databricksにログインしたり、個人的なアクセス権を使用したりできません。
  • あるグループが拒否された場合、そのグループのすべてのメンバーおよび推移的メンバーも拒否されます。
  • 拒否されたIDがログインしようとした場合、システムはアカウントにそのIDをプロビジョニングする可能性がありますが、IDプロバイダーでアクティブな状態であっても、非アクティブ状態に設定します。
  • IAMv2 APIs (such as the external user, external group, and external service principal APIs) also provision denied principals as inactive.
注記

拒否ルールを評価する場合、ローカル グループ メンバーシップのオーバーライドが外部 ID プロバイダー グループより優先されます。 例えば、Databricks APIを使用してユーザーをグループに手動で追加し、そのグループに対して拒否ルールを作成した場合、そのユーザーのIDプロバイダーにおけるステータスに関係なく、アクセスは拒否されます。

拒否されたIDは、共有ダイアログやIDセレクターには表示されません。

  • 拒否されたプリンシパルは、共有ダイアログなど、ユーザーがアクセスするID選択画面から除外されます。
  • 拒否されたプリンシパルが既に権限を持っている場合、それらの権限は引き続き表示されます。
  • アクセスを拒否されたユーザーはログインできないため、付与された権限を一切使用できません。
  • APIs拒否されたプリンシパルにも権限を付与することはできますが、それらの権限は使用できません。

拒否されたIDは、拒否ステータスを持つ管理者に表示されます。

  • 拒否されたプリンシパルは、アカウント管理者ページとワークスペース管理者ページに引き続き表示されます。
  • 彼らのステータスは 「拒否」 と表示されます。

拒否されたIDは、まず拒否リストから削除されない限り削除できません。

  • 拒否リストに登録されているユーザー、サービスプリンシパル、およびグループは、拒否リストから削除されるまでアカウントから削除できません。

拒否されたグループのグループ外部 ID は更新できません

  • 拒否リストに登録されているグループは、拒否リストから削除されるまで、 externalIdを更新できません。
このページの見出し