モデルサービスへのアクセスを発見および管理します
ベータ版
この機能はベータ版です。アカウント管理者は、アカウント コンソールの [プレビュー] ページからこの機能へのアクセスを制御できます。 Databricksのプレビューを管理するを参照してください。
このページでは、利用可能なモデルサービスを検出し、Unity Catalog 権限を使用してそれらへのアクセスを管理する方法について説明します。
要件
- お客様のアカウントでUnity AI Gatewayのプレビュー版が有効になりました。Databricksのプレビューを管理するを参照してください。
- モデルサービスを管理するには、そのサービスに対する
MANAGE権限、またはそのカタログかスキーマに対するMANAGEが必要です。system.aiでシステム提供のモデルサービスを管理するには、メタストア管理者であるか、system.aiに対するMANAGEが必要です。
モデルサービスを検出する
カタログエクスプローラー、Unity AI Gateway UI、またはUnity Catalog REST APIで利用可能なモデルサービスを見つけるには、Unity Catalogのモデルサービスを参照してください。
Unity Catalog の権限でアクセスを管理します
他のセキュリティ保護可能なオブジェクトに使用するのと同じUnity Catalog権限で、モデルサービスへのアクセスを管理します。モデルサービスをクエリーするには、ユーザーはそれに対してEXECUTEと、そのカタログとスキーマに対してUSE CATALOGおよびUSE SCHEMAの権限が必要です。
カタログエクスプローラーでアクセスを管理するには、モデルサービスを開き、その [権限]tab を使用します。
- チームにアクセスを許可するには、 [付与] をクリックし、チームを選択し、
EXECUTEを付与します。チームがモデルサービスのカタログとスキーマに対してUSE CATALOGとUSE SCHEMAの権限も持っていることを確認してください。 - アクセス権を取り消すには、チームの
EXECUTE付与を選択し、**取り消し**をクリックします。
Databricksは、定義者の権限を使用してモデルサービスを呼び出します。ユーザーがモデルサービスをクエリすると、Databricksは、*所有者*が参照されるモデルに対してEXECUTEを持っていることを確認します。呼び出し元は、基盤となるモデルに直接アクセスする必要はありません。
システム提供のモデルサービスを制限する
By default, すべてのアカウントユーザーはsystem.aiでシステム提供のモデルサービスをクエリーできます。特定のモデルサービス (高コストモデルなど) のクエリーをすべてのユーザーが実行できないようにするには、Catalog Explorer でそのモデルサービスを開き、その tab で、 アカウントユーザー グループに対してEXECUTEにDENYを追加します。
すべてのシステム提供モデルサービスをチームに制限する
system.ai内のすべての現在および将来のモデルサービスをAIプラットフォームチームに制限するには、Catalog Explorerでsystem.aiスキーマ自体の権限を管理します。スキーマの Permissions tab：
- **アカウントユーザー**グループの に対する
USE SCHEMAEXECUTEおよびsystem.ai権限を削除します。 - AIプラットフォームチームにのみ、
system.aiに対するUSE SCHEMAとEXECUTEを付与します。
スキーマに対する権限を付与すると、そのスキーマ内の現在および将来のすべてのモデルサービスに適用されます。
異なるチームに異なるモデルサービスを提供する
より広範なユーザー ベースとより小規模なパワー ユーザー グループに異なるモデルとクォータを割り当てるには、グループごとに個別のモデルサービスを作成し、それに応じて EXECUTE を付与します。Unity AI Gateway UI または Catalog Explorer でモデルサービスを作成します。モデルサービスを作成するを参照してください。
モデルサービスを作成したら、Catalog Explorer で各モデルサービスの [Permissions] tab から各グループに EXECUTE を付与します。
EXECUTE標準モデルサービスに対するを**アカウントユーザー**グループに付与します。- パワーユーザーモデルサービスで
EXECUTEをパワーユーザーグループにのみ付与します。
容量とコストを管理するために、各モデルサービスで異なるレート制限を構成できます。Unity AI Gateway を使用して AI サービスのレート制限を構成するを参照してください。
モデルサービスインタラクションのコンテンツを管理する
Unity Catalog の権限は、プリンシパルがモデルサービスをクエリできるかどうかを制御します。各インタラクションの進行方法を管理するには（たとえば、安全でないコンテンツやPIIを含む応答をブロックするために）、モデルサービスにサービスポリシーをアタッチします。サービスポリシーは、モデルサービスにガードレールを実装する方法です。組み込みのガードレールは、PII、プロンプトインジェクション、安全でないコンテンツなどの一般的なリスクに対応し、カスタムポリシーは組織固有のルールを適用します。
サービスポリシーについて学習し、それをアタッチする方法については、以下を参照してください：
- AIセキュラブルのサービス ポリシー、コンセプト、組み込みのガードレール、および評価モデル。
- サービスポリシーを作成してアタッチする：ポリシー関数を作成し、サービスにアタッチします。
- チュートリアル：サービスポリシーを使用してモデルサービスにガードレールを実装する — ガードレールとカスタムポリシーをモデルサービスに適用する実践的なチュートリアルです。