Serverless コンピュート アクセスコントロール
ワークスペース管理者は、組み込みのServerlessコンピュートオブジェクトを使用して、Serverlessへのアクセスを管理できます。Serverlessコンピュートオブジェクトは、Serverlessワークロードの権限境界を定義するリソースタイプです。ワークスペースには、2つのdefault コンピュート オブジェクトが自動的に取得されます：
- **Default Interactive コンピュート**：ノートブックとDatabricks Connectへのアクセスを管理します。
- Default Automated コンピュート ：LakeFlow上のジョブとSpark宣言型パイプラインへのアクセスを管理します。
By default、すべてのワークスペースユーザーは両方のオブジェクトに対して**CanUse**権限を持っているため、既存のワークロードは変更なしで実行され続けます。ワークスペース管理者は、いずれかのオブジェクトからユーザーまたはグループを削除して、アクセスを制限できます。 アクセスを失ったユーザーは、製品インターフェイスで**Serverless** コンピュート オプションが利用不可として表示されます。
Serverless コンピュート へのアクセスを管理する
Serverless コンピュートへのアクセスを制御するために、ワークスペース管理者は Default Interactive Compute および Default Automated Compute オブジェクトの権限を編集できます。ワークスペース管理者は、defaultで Can Manage 権限を持っていますが、その権限を任意のユーザーに付与できます。これらの Serverless コンピュートオブジェクトは、名前を変更したり削除したりできません。
各 Serverless コンピュート オブジェクトは、2つの権限レベルをサポートしています。
権限 | 〜することができます |
|---|---|
Can Use | このコンピュートでワークロードを実行します。 |
Can Manage | このコンピュートでワークロードを実行し、コンピュートの権限を編集します |
アカウント Access Control API を使用して、Serverless コンピュートオブジェクトの権限をプログラムで管理することもできます。
Serverless Interactiveへのアクセスを制限する
ノートブックとDatabricks ConnectでServerlessを使用できるユーザーを制限するには：
- ワークスペースのサイドバーで「 コンピュート 」をクリックします。
- **Serverless**
tabで、**Default Interactive コンピュート**の横にあるケバブメニュー をクリックし、次に**Edit permissions**をクリックします。 - **すべてのユーザー**グループ、またはすべてのワークスペースユーザーを含むグループを削除します。
- 承認したい特定のユーザー、グループ、またはService Principalのみを追加してください。
ユーザーの対話型 Serverless 権限を取り消すと、すでに Serverless にアタッチされている ノートブック は、ユーザーがセルをランしたときに接続に失敗し、ユーザーには ノートブック の コンピュート ピッカーに **Serverless** オプションが利用可能なものとして表示されなくなります。 Databricks Connect をランしようとすると、ユーザーが Serverless へのアクセス権を持っていないことを示すエラーで接続要求が失敗します。
Serverless ジョブとパイプラインへのアクセスを制限する
ジョブとパイプラインでServerlessを使用できるユーザーを制限するには：
- ワークスペースのサイドバーで「 コンピュート 」をクリックします。
- Serverless tabで、 Default Automated コンピュート の横にあるケバブメニュー をクリックし、次に Edit permissions をクリックします。
- **すべてのユーザー**グループ、またはすべてのワークスペースユーザーを含むグループを削除します。
- 承認したい特定のユーザー、グループ、またはService Principalのみを追加してください。
ユーザーの自動 Serverless 権限を取り消すと、そのユーザーの既存のジョブまたはパイプラインはすべて実行に失敗します。ユーザーが Serverless でジョブを実行しようとすると、エラーメッセージが表示されます。
**Default Automated コンピュート**へのユーザーのアクセス権を取り消す前に、影響を受けるユーザーが所有しているジョブとパイプラインを監査してください。次のクエリーは、特定のユーザー向けの最近のServerless ワークロードを識別します。
SELECT *
FROM system.billing.usage
WHERE usage_date >= date_add(now(), -30)
AND billing_origin_product IN ('JOBS', 'DLT')
AND identity_metadata.run_as = '<user_email>';
影響を受けるリソース（ジョブ ID やパイプライン ID など）を確認するには、usage_metadata 列をチェックしてください。
Serverless 使用状況の監査
サーバレスの請求レコードには、usage_metadata 内に serverless_compute_id フィールドが含まれています。これを使用して、ワークロードがどのコンピュートオブジェクト上で実行されたかを追跡します：
SELECT
usage_metadata.serverless_compute_id,
identity_metadata.run_as,
SUM(usage_quantity) AS total_dbus
FROM system.billing.usage
WHERE billing_origin_product IN ('JOBS', 'DLT', 'INTERACTIVE')
AND usage_metadata.serverless_compute_id IS NOT NULL
AND usage_date >= date_add(now(), -30)
GROUP BY 1, 2
ORDER BY 3 DESC;
サポートされている Serverless コンピュートのアクセス制御機能
以下の機能は、Serverlessコンピュートのアクセス制御と統合されています。
インタラクティブ（default インタラクティブ コンピュート）
- ノートブックとServerless GPUノートブック
- Databricks Connect
自動化 (default の自動コンピュート)
- ジョブ と Serverless GPU ジョブ
- Lakeflow上のSpark宣言型パイプライン
Unsupported Serverless コンピュートのアクセス制御機能
以下の機能は、Serverless コンピュートのアクセス制御と統合されていません：
- Databricks SQL (DBSQL)
- バッチ推論 (
ai_query()) - モデルサービング
- 基盤モデル API プロビジョニング throughput Endpoint
- Lakebase
- Databricks Apps
- Agent Evaluationと合成データ
- ベクトル検索インデックス作成
- 予測最適化
- レイクハウスモニタリング
ここに記載されていない機能については、その状況についてDatabricksアカウントチームにお問い合わせください。
既知の制限事項
サービスの中断が発生した場合、アクセスチェックが「フェイルオープン」状態になり、本来アクセスを拒否されるはずのユーザーがServerlessワークロードを開始できてしまう可能性があります。この機能は、Serverlessコンピュートへのアクセスを管理しやすくすることを目的としています。最終的な請求額に対する絶対的な支出上限を保証する方法として、この機能を使用しないでください。Databricks は、そのようなイベント中に実行されたワークロードによって発生したコストについては責任を負いません。
- default computeオブジェクトの名前を変更したり、削除したりすることはできません。
- Serverlessで実行するように既に構成されているジョブまたはパイプラインは、Default Automated Computeへの 使用可能 なアクセス権を失ったユーザーに対して失敗します。ユーザーのアクセス権を削除する前に、アクティブなワークロードを確認してください。
- バックグラウンドコンピュート（システム開始ジョブ）は、Serverless コンピュートのアクセス制御の対象外です。