Microsoft Entra ID による自動 ID 管理への移行

このページでは、Databricks アカウントを Microsoft Entra ID を使用した自動 ID 管理に移行する方法について説明します。

Microsoft Entra ID を構成するステップについては、「自動 ID 管理用に Microsoft Entra ID を構成する」を参照してください。

自動ID管理の概要については、自動ID管理をご覧ください。

前提条件

自動ID管理を有効にする前に、環境が以下の要件を満たしていることを確認してください。

• Premium または Enterprise プラン : 自動ID管理は、Standard プランのアカウントでは利用できません。プランを確認するには、 Account console > Account settings > Subscription tier に移動します。
• 単一のMicrosoft Entra IDテナント ：自動ID管理は、テナントをまたぐIDをサポートしていません。すべてのユーザー、グループ、およびService Principalは、単一のMicrosoft Entra IDテナントに属している必要があります。テナントをまたぐIDを持つ環境では、引き続きSCIMプロビジョニングを使用する必要があります。
• 少なくとも1つのワークスペースでIDフェデレーションが有効になっていること ：自動ID管理には、少なくとも1つのIDフェデレーションワークスペースが必要です。非フェデレーションワークスペースは引き続き機能しますが、自動ID管理は使用されません。確認するには、アカウントコンソールで ワークスペース を開き、 IDフェデレーション バッジを探します。有効にするには、IDフェデレーションの有効化を参照してください。
• アカウント管理者ロール : アカウント管理者のみが自動ID管理を有効にできます。ロールを確認するには、 アカウントコンソール > ユーザー管理 に移動し、ロールチップに アカウント管理者 と表示されていることを確認します。

Microsoft Entra ID を使用した自動 ID 管理には、同じテナントを使用して Databricks アカウントに Microsoft Entra ID シングル サインオン (SSO) が構成されていることも必要です。SSO が構成されていない場合、または別のテナントを使用する必要がある場合は、Databricks アカウントチームにお問い合わせください。Microsoft Entra ID を構成するには、「自動 ID 管理用に Microsoft Entra ID を構成する」を参照してください。

同じままとなるもの

自動ID管理を有効にすると、以下が保持されます：

• SCIM で同期されたグループメンバーシップ : 自動 ID 管理では、元々 SCIM で同期されたグループメンバーシップは削除されません。これは、それらのメンバーシップに依存するジョブと権限が損なわれるのを防ぐための設計です。
• 既存の権限 ：ワークスペースとUnity Catalogの権限は、同じプリンシパルに対して引き続き解決されます。
• アクティブなセッション ：自動ID管理は、ユーザーのログアウトを強制したり、実行中のセッションを中断したりしません。
• **ジョブの実行**：現在の認証情報で認証されたサービスプリンシパルは、引き続き機能します。
• ワークスペースローカルグループ ：自動ID管理は、アカウントレベルのIDのみを管理します。ワークスペースローカルのグループは引き続き機能しますが、Microsoft Entra IDから同期されません。
• Databricks のみサービスプリンシパル : Microsoft Entra ID に登録されていないサービスプリンシパルは影響を受けません。

既存のSCIMプロビジョニングなしに移行する

DatabricksアカウントにアカウントレベルのSCIMプロビジョニングがない場合、このパスを使用してください。これは最もシンプルな移行パスです。

1. 表示名でサービスプリンシパルを参照する自動化を監査します。

   自動ID管理が有効になっている場合、Databricks は Microsoft Entra ID を信頼できるソースとして扱い、カスタムサービスプリンシパルの表示名を Microsoft Entra ID のもので上書きします。ワークフローの破損を防ぐために、オートメーション (Terraform 構成やスクリプトなど) を、表示名ではなくアプリケーション ID でサービスプリンシパルを参照するように更新してください。

2. 自動ID管理を有効化：

   「自動 ID 管理のために Microsoft Entra ID を構成する」()の手順に従って、Microsoft Entra ID を構成し、自動 ID 管理を有効にします。これにより、SSOアプリケーションにフェデレーション資格情報を作成し、必要なMicrosoft Graphの読み取り権限を付与し、グループクレームを有効化し、自動ID管理を有効にします。変更が反映されるまで5～10分ほどお待ちください。

3. （オプション）アカウントアクセス拒否リストを構成します。アカウントアクセス拒否リストを使用して、特定のMicrosoft Entra ID IDがDatabricksアカウントにアクセスすることを制限してください。「IDのアカウントへのアクセス拒否」を参照してください。

4. （オプション）ワークスペース管理者に通知ジャストインタイム プロビジョニングを含む想定される動作変更を理解してもらうため、ワークスペース管理者に自動ID管理の概要を共有してください。

自動ID管理を有効化した後、検証ステップを完了してください。

既存のSCIMプロビジョニングから移行する

Databricks アカウントで現在、アカウントレベルの SCIM プロビジョニングを使用している場合は、このパスを使用してください。Databricks では、既存の SCIM プロビジョニングと並行して自動 ID 管理を有効にし、両方を並行して実行することをお勧めします。自動ID管理が正常に動作していることを検証してから、SCIM を無効にすることができます。

自動ID管理を有効にすると、何が変わりますか

挙動	自動ID管理の前に	自動ID管理後
アイデンティティの起源	SCIM は、Microsoft Entra ID からユーザー、グループ、およびサービスプリンシパルをスケジュールに従ってアカウント SCIM エンドポイントにプロビジョニングします。	Databricks は Microsoft Entra ID から Graph API を使用して ID を直接読み取ります。プロビジョニングは、初回使用時またはログイン時にジャストインタイム（JIT）で行われます。
グループのメンバーシップ	直接メンバーのみ。入れ子になったグループは、Microsoft Entra ID 内で、または SCIM スコープルールでフラット化する必要があります。	推移的グループメンバーシップは自動的に展開されます。
グループメンバーシップ同期遅延	次のSCIMサイクル（通常40分）までお待ちください。	ブラウザサインイン: 最大5分ブラウザ以外（ジョブ、CLI、サービスプリンシパル）：最大40分です。
サービスプリンシパルのプロビジョニング	サービスプリンシパルはSCIMスコープルールによってプッシュされます。	サービスプリンシパルは、初回認証時にプロビジョニングされます。SCIMプッシュは必要ありません。
Microsoft Entra ID におけるグループの名称変更	SCIM は次回の同期時に表示名を更新します。	グループ名がプロアクティブに再同期されることはありません。アカウント管理者がアカウントコンソールでグループ詳細ページを開くと、更新がトリガーされます。また、外部グループ API を使用してグループを読み取ることもできます。これにより、Microsoft Entra ID に対してグループが解決され、Databricks 内で更新されます。

挙動	自動ID管理の前に	自動ID管理後
アイデンティティの起源	SCIM は、Microsoft Entra ID からユーザー、グループ、およびサービスプリンシパルをスケジュールに従ってアカウント SCIM エンドポイントにプロビジョニングします。	Databricks は Microsoft Entra ID から Graph API を使用して ID を直接読み取ります。プロビジョニングは、初回使用時またはログイン時にジャストインタイム（JIT）で行われます。
グループのメンバーシップ	直接メンバーのみ。入れ子になったグループは、Microsoft Entra ID 内で、または SCIM スコープルールでフラット化する必要があります。	推移的グループメンバーシップは自動的に展開されます。
グループメンバーシップ同期遅延	次のSCIMサイクル（通常40分）までお待ちください。	ブラウザサインイン: 最大5分ブラウザ以外（ジョブ、CLI、サービスプリンシパル）：最大40分です。
サービスプリンシパルのプロビジョニング	サービスプリンシパルはSCIMスコープルールによってプッシュされます。	サービスプリンシパルは、初回認証時にプロビジョニングされます。SCIMプッシュは必要ありません。
Microsoft Entra ID におけるグループの名称変更	SCIM は次回の同期時に表示名を更新します。	グループ名がプロアクティブに再同期されることはありません。アカウント管理者がアカウントコンソールでグループ詳細ページを開くと、更新がトリガーされます。また、外部グループ API を使用してグループを読み取ることもできます。これにより、Microsoft Entra ID に対してグループが解決され、Databricks 内で更新されます。

移行の準備

自動 ID 管理を有効にする前に、Microsoft Entra ID 接続を構成してください。「自動ID管理のためにMicrosoft Entra IDを構成する」 のステップ1から4に従って、フェデレーション資格情報を作成し、必要なMicrosoft Graph読み取り権限を付与し、グループクレームを有効にします。その後、ステップ5で**[接続のテスト]**を実行します。以下の準備ステップを完了するまで、**[AIMを有効にする]**をクリックしないでください。

1. 自動ID管理の準備状況レポートを実行します。

   レディネスレポートは、DatabricksとMicrosoft Entra ID間の外部IDおよびグループメンバーシップの不一致を特定して解決を支援し、どのワークスペースがIDフェデレーションされているかを特定します。

注記

自動ID管理では、ID同期の信頼できるLinkとして Microsoft Entra ID objectId を使用します。Databricks におけるプリンシパルの externalId が Microsoft Entra ID の objectId と一致しない場合、製品内で ID が重複して表示されたり、外部IDベースの同期が失敗したりする可能性があります。自動ID管理を有効にする前に準備状況レポートを実行し、これらの構成ミスを特定して解決してください。構成ミスとその影響の全リストについては、エラーのカテゴリと修復を参照してください。

2. 表示名でサービスプリンシパルを参照する自動化を監査します。

   自動ID管理が有効になっている場合、Databricks は Microsoft Entra ID を信頼できるソースとして扱い、カスタムサービスプリンシパルの表示名を Microsoft Entra ID のもので上書きします。ワークフローの破損を防ぐために、オートメーション (Terraform 構成やスクリプトなど) を、表示名ではなくアプリケーション ID でサービスプリンシパルを参照するように更新してください。

3. （オプション）アカウントアクセス拒否リストを構成します。「IDのアカウントへのアクセス拒否」を参照してください。

4. （オプション）ワークスペース管理者に通知ジャストインタイム プロビジョニングを含む想定される動作変更を理解してもらうため、ワークスペース管理者に自動ID管理の概要を共有してください。

自動ID管理の有効化

「自動ID管理用のMicrosoft Entra IDを構成する 」で、ステップ5を完了し、**クライアントID**を設定し、**接続テスト**を実行し、**AIMを有効にする**をクリックします。 変更が反映されるまで5～10分ほどお待ちください。

自動 ID 管理と SCIM プロビジョニングは、両方がアクティブな間、並行して実行されます。SCIM は、当初プロビジョニングしたユーザー ID を引き続き管理します。自動 ID 管理を検証後、SCIM を無効化できます。SCIMプロビジョニングを無効にするを参照してください。

自動ID管理を検証する

自動ID管理を有効にした後、IDが正しく同期されていることを確認してください。

ロールによるテスト

各ロールの代表ユーザーが次のテストを実行してください。

アカウント管理者

1. アカウントコンソールからユーザーをプロビジョニングする：

   1. 「アカウントコンソール」>「ユーザー管理」>「ユーザー」に移動し、「ユーザーを追加」をクリックします。
   2. Microsoft Entra ID 内で、Databricks にプロビジョニングされていないユーザーを検索します。
   3. ユーザーを選択して、 [ユーザーの追加] をクリックします。
   4. Databricks で、ユーザーのステータスが「 アクティブ 」であることを確認してください。

2. アカウントコンソールからグループをプロビジョニングする：

   1. 「 アカウントコンソール 」>「 ユーザー管理 」>「グループ」に移動して、「グループの追加」をクリックします。
   2. Databricks でプロビジョニングされていない Microsoft Entra ID のグループを検索してください。
   3. グループがDatabricksに表示されていることを確認してください。グループメンバーは、ログイン時にジャストインタイムでプロビジョニングされます。

3. ワークスペースのアクセスを確認します：

   1. 前のステップのグループをワークスペースに割り当てる
   2. ワークスペースに認証するよう、そのグループのメンバーに依頼してください。
   3. 認証が成功し、ユーザーがDatabricksでプロビジョニングされ、ワークスペースに追加されていることを確認してください。

ワークスペース管理者

1. ワークスペースからユーザーをプロビジョニングする：

   1. 設定 > ID とアクセス > ユーザーの管理 に移動して、ユーザーの追加をクリックします。
   2. Databricks にプロビジョニングされていない Microsoft Entra ID のユーザーを検索します。
   3. ユーザーのステータスが アクティブ と表示されていることを確認してください。

2. ワークスペースからグループをプロビジョニングする

   1. クエリやダッシュボードなどのワークスペースアセットを開き、 共有 をクリックします。
   2. Databricks でプロビジョニングされていない Microsoft Entra ID のグループを検索し、そのグループとアセットを共有します。
   3. Databricks にグループがプロビジョニングされていることを確認してください。
   4. そのグループのメンバーにワークスペースに認証してもらい、共有アセットにアクセスできることを確認してください。

監査ログにて自動ID管理を確認してください

system.access.auditテーブルに対してクエリを実行し、自動ID管理が有効であることを確認してください。add、addPrincipalToGroup、createGroup、およびupdateUserのようなイベントのゼロ以外のカウントは、IDが同期されていることを確認します。

SQL

SELECT action_name, count(*) AS n
FROM system.access.audit
WHERE request_params.endpoint = 'autoUserCreation'
  AND event_time > current_timestamp() - INTERVAL 2 DAYS
GROUP BY action_name
ORDER BY n DESC;

自動 ID 管理監査イベントに関する詳細情報については、自動 ID 管理イベントの監査を参照してください。

自動ID管理を無効にする

自動ID管理を無効にするステップについては、自動ID管理を無効にするを参照してください。

SCIM から移行した後に自動 ID 管理を無効にした場合：

• 自動ID管理によって作成されたIDはDatabricks内に残りますが、Microsoft Entra IDとは同期されなくなります。
• 自動ID管理によって同期されたグループメンバーシップは、権限の解決には使用されなくなりました。以前にそれらのグループメンバーシップを通じて権限を継承していたユーザーは、アクセスできなくなります。
• 自動ID管理がアクティブなときにDatabricksに認証したユーザーは、以前に表示したダッシュボードに引き続きアクセスできますが、グループメンバーシップはMicrosoft Entra IDから更新されません。
• Databricksにアクセスしたことがないユーザーは、自動ID管理が無効化されると、Microsoft Entra IDで割り当てられたグループに属していてもアクセスできません。

Databricks では、自動 ID 管理を無効化する前に SCIM プロビジョニングを設定することをお勧めします。「Microsoft Entra ID (Azure Active Directory) を使用してSCIMプロビジョニングを構成する」を参照してください。

SCIMプロビジョニングを無効化する

自動ID管理を検証した後、オプションでSCIMプロビジョニングを無効にすることが可能です。お使いの環境で以下のすべての条件が満たされていることを確認してから、SCIM を無効にしてください。

• ネストされたグループなし: ID構造は、Microsoft Entra ID のネストされたグループ メンバーシップに依存しません。
• 外部IDの整合性 ：グループはSCIM Connectorアプリを使用してMicrosoft Entra IDからレプリケートされているため、Databricks内のexternalId値は、対応するMicrosoft Entra IDのobjectId値と一致します。自動ID管理レディネスレポートを実行して、不一致を特定します。
• ローカルでのメンバーシップ変更なし ：グループのメンバーシップは SCIM を通じてのみ管理されており、Databricks 内で手動で変更されていません。準備状況レポートは、ローカルで変更されたメンバーシップを検出できます。

お使いの環境がこれらの条件をすべて満たさない場合、Databricksでは、SCIMプロビジョニングと自動ID管理を並行して継続することをお勧めします。

SCIM無効化後の既知の制限事項

永続的な SCIM 同期グループメンバーシップ

SCIMによって同期されたグループメンバーシップは、SCIMが無効になった後でも保持されます。例えば、Microsoft Entra IDで子グループCが親グループPの下にネストされており、Microsoft Entra IDでCとPの関係が後に削除された場合でも、メンバーシップがDatabricksに残っているため、ユーザーはPから権限を継承する可能性があります。Databricks では、SCIM を無効にする前に、外部グループからの直接グループメンバーシップを整理することをお勧めします。

ネストされたグループ構造の環境

ネストされたグループ構造を使用する環境では、Databricks は、ネストされたグループメンバーシップを同期させるために、自動 ID 管理と並行して SCIM プロビジョニングの実行を継続することを推奨します。

手動で変更されたグループのメンバーシップ

Databricksでグループメンバーシップが手動で編集されている場合、それらのメンバーシップはSCIMを無効にした後にMicrosoft Entra IDと同期されず、時間の経過とともに古くなる可能性があります。自動ID管理が有効な場合、Microsoft Entra IDがグループメンバーシップの信頼できるソース（source of truth）となるため、Databricksではローカルで変更されたメンバーシップを削除することを推奨しています。SCIMを無効にする前に、自動ID管理準備状況レポートを実行して、これらのメンバーシップを特定してください。

移行の考慮事項

ネストされたグループはワークスペースに明示的に割り当てる必要があります。

ネストされた Microsoft Entra ID グループを使用する場合、子グループはワークスペース内でのリソース共有に自動的には利用できません。子グループにノートブックやクエリなどのワークスペースオブジェクトに対する権限を付与するには、親グループがすでに割り当てられている場合でも、その子グループをワークスペースに直接割り当てる必要があります。

例えば、親グループ P に子グループ C が含まれていて、P のみがワークスペースに割り当てられている場合、C 自体も割り当てられるまで、C にワークスペースリソースの権限を付与することはできません。

グループメンバーはジャストインタイムでプロビジョニングされます

SCIM とは異なり、自動 ID 管理はグループメンバーシップを Databricks に積極的に同期しません。グループメンバーは、Databricksで活動があった場合（例えば、ログインするなど）、またはアカウント管理者またはワークスペース管理者が明示的に追加した場合にプロビジョニングされます。

削除済みユーザーはすぐには非アクティブ化されません。

ユーザーが Microsoft Entra ID から削除されると、Databricks ではアクティブとして表示され続けます。ログインできませんが、ステータスは自動的に更新されません。

メールアドレスの変更により新しいユーザーが作成されます

ユーザーのEメールアドレスがMicrosoft Entra ID で変更された場合（例: alice@example.com が alice-new@example.com になる）、自動ID管理は既存のレコードを更新するのではなく、Databricksに新しいユーザーを作成します。これは現在の SCIM の動作と一致します。Eメールアドレスの変更については、Databricks サポートにお問い合わせください。

SCIM API は、自動 ID 管理によってプロビジョニングされたメンバーを返しません。

SCIM GET /groups/{id} API は、Databricks UI または SCIM を通じてプロビジョニングされたグループメンバーのみを返します。自動ID管理によってプロビジョニングされたユーザー、またはMicrosoft Entra IDに存在するがDatabricksにまだプロビジョニングされていないユーザーは返されません。

Unity Catalog の権限にはプロビジョニングされたIDが必要です。

Unity Catalog のアクセス許可付与 APIs では、まだ Databricks でプロビジョニングされていないIDを参照することはできません。IDにアクセス許可を付与する前に、対応する外部IDリソース（外部ユーザー、外部グループ、または外部 Service Principal API）を読み取ってプロビジョニングを行います。リソースを読み取ることで、IDがMicrosoft Entra IDに対して解決され、Databricksでプロビジョニングされます。IDがプロビジョニングされたら、通常どおりアクセス許可を付与できます。

is_account_group_member()などのプリンシパルを名前で参照する関数では、最初にプリンシパルがプロビジョニングされている必要があります。

ワークスペースローカルグループは、自動 ID 管理によって管理されません

自動ID管理はワークスペースローカルグループを管理しません。ワークスペースローカルグループとそれらに割り当てられた権限は引き続き機能しますが、メンバーシップの更新は自動ID管理の外部で処理される必要があります。

Databricks では、自動 ID 管理でメンバーシップを管理できるように、ワークスペースローカルグループをアカウントレベルのグループに移行することをお勧めします。ワークスペースローカル グループをアカウント グループに移行するを参照してください。