メインコンテンツまでスキップ

フェデレーション ポリシーを構成する

Databricks OAuth トークンフェデレーションを使用すると、ID プロバイダー (IdP) からトークンを使用して Databricks APIs に安全にアクセスできます。 OAuth トークンのフェデレーションを有効にするには、フェデレーションポリシーを Databricks アカウント全体またはワークロード用に構成する必要があります。

この記事では、OAuth トークン フェデレーション ポリシーを作成および構成する方法について説明します。

ワークロード ID フェデレーション​

ワークロード ID フェデレーションを使用すると、 の外部で実行されている自動化されたワークロードは、Databricks DatabricksAPIシークレットを必要とせずにDatabricks にアクセスできます。アカウント 管理者は、サービスプリンシパル フェデレーション ポリシーを使用してワークロード ID フェデレーションを構成できます。

サービスプリンシパル federation ポリシーは、 Databricks アカウントのサービスプリンシパルに関連付けられ、次の項目を指定します。

  • サービスプリンシパルが認証できる ID プロバイダー (または発行者)。
  • Databricks サービスプリンシパルとしての認証が許可されているワークロード ID (またはサブジェクト)。

たとえば、 GitHub Actions ワークロードに対して次のサービスプリンシパル フェデレーション ポリシーがあるとします。

  • 発行者： https://token.actions.githubusercontent.com
  • 観客： https://github.com/my-github-org
  • 件名： repo:my-github-org/my-repo:environment:prod

この JWT 本文を使用して、Databricks に対して認証できます。

JSON
{
  "iss": "https://token.actions.githubusercontent.com",
  "aud": "https://github.com/my-github-org",
  "sub": "repo:my-github-org/my-repo:environment:prod"
}

サービスプリンシパル フェデレーション ポリシーを構成する​

アカウント管理者は、 Databricks CLI または Databricks APIを使用してサービスプリンシパルフェデレーションポリシーを構成できます。 サービスプリンシパルごとに最大 20 個のサービスプリンシパル フェデレーション ポリシーを作成できます Databricks プリンシパル。

サービスプリンシパル フェデレーション ポリシーを設定するには、以下を指定する必要があります。

  • 発行者URL: ワークロード ID トークンの iss 要求で指定された、ワークロード ID プロバイダーを識別する HTTPS URL。
  • 件名： ワークロード・ランタイム環境内のワークロードの固有識別子。デフォルトは sub で、
  • 観客： aud 要求で指定されているトークンの意図された受信者。トークンは、その対象ユーザーがポリシー内の少なくとも 1 つの対象と一致する場合、一致と見なされます。指定しない場合、 デフォルト は アカウント ID Databricks です。
  • サブジェクト要求: (省略可能) トークンのワークロード ID (サブジェクトとも呼ばれます) を含むトークン要求を指定します。設定しない場合、 Databricks は sub by デフォルトを使用します。 Databricks 、ワークロード ID フェデレーションの デフォルト sub 要求を維持することをお勧めします。 別の主張を選択するのは、 sub が適切または安定したサブジェクト識別子でない場合のみであり、これはまれです。詳細については、「 サービスプリンシパル フェデレーション ポリシーの例」を参照してください。
  • トークン署名の検証: (オプション) トークン署名の検証に使用される Web キーセット (JWKS) 形式の公開鍵またはその URL JSON 。 指定しない場合、Databricks は発行者の既知のエンドポイントから自動的に取得します (推奨されるアプローチです)。公開鍵を指定しない場合、ID プロバイダーは <issuer-url>/.well-known/openid-configurationで OpenID プロバイダーメタデータを提供する必要があります。メタデータには、トークン署名の検証に使用される公開鍵の場所を指定する jwks_uri が含まれている必要があります。
  1. アカウント管理者として、 https://accounts.cloud.databricks.comで Databricks アカウント コンソールにサインインします。
  2. [ ユーザー管理 ] をクリックします。
  3. サービスプリンシパル タブに移動します。
  4. ポリシーを作成するサービスプリンシパルを選択します。
  5. [ 資格情報とシークレット ] タブに移動します。
  6. [フェデレーション ポリシー ] タブで、[ ポリシーの作成 ] をクリックします。
  7. フェデレーション資格情報プロバイダーを選択し、対応するフィールドを構成します。
  8. 「 ポリシーの作成 」をクリックします。

Example Databricks サービスプリンシパル federation ポリシー​

次の表に、サービスプリンシパル federation ポリシーと対応する JWT 本文の例を示します。

これらの一般的な ID プロバイダーの一部でワークロード ID フェデレーションを有効にするための完全な構成手順については、「 CI/CD でワークロード ID フェデレーションを有効にする」を参照してください。

ツール

フェデレーション ポリシー

一致するトークンの例

GitHub Actions

発行者： https://token.actions.githubusercontent.com
聴衆： https://github.com/<github-org>
件名： repo:<github-org>/<repo>:environment:prod

{
"iss": "https://token.actions.githubusercontent.com",
"aud": "https://github.com/<github-org>",
"sub": "repo:<github-org>/<repo>:environment:prod"
}

Kubernetes の

発行者： https://kubernetes.default.svc
聴衆： https://kubernetes.default.svc
件名： system:serviceaccount:namespace:podname
JWKS JSON: {"keys":[{"kty":"rsa","e":"AQAB","use":"sig","kid":"<key-id>","alg":"RS256","n":"uPUViFv..."}]}

{
"iss": "https://kubernetes.default.svc",
"aud": ["https://kubernetes.default.svc"],
"sub": "system:serviceaccount:namespace:podname"
}

Azure DevOps

発行者： https://vstoken.dev.azure.com/<org_id>
聴衆： api://AzureADTokenExchange
件名： sc://my-org/my-project/my-connection

{
"iss": "https://vstoken.dev.azure.com/<org_id>",
"aud": "api://AzureADTokenExchange",
"sub": "sc://my-org/my-project/my-connection"
}

GitLab

発行者： https://gitlab.example.com
聴衆： https://gitlab.example.com
件名： project_path:my-group/my-project:...

{
"iss": "https://gitlab.example.com",
"aud": "https://gitlab.example.com",
"sub": "project_path:my-group/my-project:..."
}

CircleCIの

発行者： https://oidc.circleci.com/org/<org_id>
聴衆： <org_id>
件名： 7cc1d11b-46c8-4eb2-9482-4c56a910c7ce
主題の主張: oidc.circleci.com/project-id

{
"iss": "https://oidc.circleci.com/org/<org_id>",
"aud": "<org_id>",
"oidc.circleci.com/project-id": "7cc1d11b-46c8-4eb2-9482-4c56a910c7ce"
}

アカウント全体のトークンフェデレーション​

アカウント 管理者は OAuth アカウント フェデレーション ポリシーを使用して、 Databricks アカウントでトークン フェデレーションを構成できます。 アカウント federation ポリシー を使用すると、 Databricks アカウント内のすべてのユーザーとサービスプリンシパルが、ID プロバイダーからのトークンを使用して Databricks API にアクセスできます。 アカウント フェデレーション ポリシーでは、次のものを指定します。

  • Databricks がトークンを受け入れる ID プロバイダーまたは発行者。
  • トークンを対応する Databricks ユーザーまたはサービスプリンシパルにマッピングするための基準。

たとえば、次のフィールドを持つフェデレーションポリシーがあるとします。

  • 発行者： https://idp.mycompany.com/oidc
  • 観客： databricks
  • 主題の主張: sub

この JWT 本文を使用して、次のように Databricks に認証しますusername@mycompany.com

JSON
{
  "iss": "https://idp.mycompany.com/oidc",
  "aud": "databricks",
  "sub": "username@mycompany.com"
}

アカウントフェデレーションポリシーを構成する​

アカウント 管理者は、 Databricks UI、 Databricks CLI 、または Databricks REST APIを使用してアカウントフェデレーションポリシーを構成できます。 Databricks アカウントでは、最大 20 個のアカウント フェデレーション ポリシーを指定できます。

アカウントフェデレーションポリシーを設定するには、以下を指定する必要があります。

  • 発行者URL: トークンの iss 要求で指定された ID プロバイダーを識別する HTTPS URL。
  • 観客： aud 要求で指定されているトークンの意図された受信者。トークンは、その対象ユーザーがポリシー内の少なくとも 1 つの対象と一致する場合、一致と見なされます。指定しない場合、 デフォルト は アカウント ID Databricks です。
  • 主題の主張: トークンが発行されたユーザーの Databricks ユーザー名を含むトークン要求。指定しない場合、デフォルトは subです。
  • トークン署名の検証: (オプション) トークン署名の検証に使用される Web キーセット (JWKS) 形式の公開鍵またはその URL JSON 。 指定しない場合、Databricks は発行者の既知のエンドポイントから自動的に取得します (推奨されるアプローチです)。公開鍵を指定しない場合、ID プロバイダーは <issuer-url>/.well-known/openid-configurationで OpenID プロバイダーメタデータを提供する必要があります。メタデータには、トークン署名の検証に使用される公開鍵の場所を指定する jwks_uri が含まれている必要があります。
important

アカウント全体のフェデレーションの場合、 登録する フルマネージド 会社独自の IdP など、組織から信頼されています。 顧客やパートナーが管理するIdPなど、制御できない外部IdPとのアカウント全体のフェデレーションは構成しないでください。

  1. アカウント管理者として、 https://accounts.cloud.databricks.comで Databricks アカウント コンソールにサインインします。
  2. [ 設定 ] をクリックし、[ 認証] タブに移動します。
  3. [フェデレーション ポリシー] で、[ ポリシーの作成 ] をクリックします。
  4. 発行者の URL、対象ユーザー、サブジェクト要求、およびオプションのトークン署名検証を入力します。
  5. 「 ポリシーの作成 」をクリックします。

アカウントフェデレーションポリシーの例​

次の表に、アカウント フェデレーション ポリシーの例と、一致する JWT 本文を示します。

フェデレーション ポリシー

一致するトークンの例

発行者： https://idp.mycompany.com/oidc
聴衆： 2ff814a6-3304-4ab8-85cb-cd0e6f879c1d

{
"iss": "https://idp.mycompany.com/oidc",
"aud": "2ff814a6-3304-4ab8-85cb-cd0e6f879c1d",
"sub": "username@mycompany.com"
}

発行者： https://idp.mycompany.com/oidc
聴衆： 2ff814a6-3304-4ab8-85cb-cd0e6f879c1d
主題の主張: preferred_username

{
"iss": "https://idp.mycompany.com/oidc",
"aud": ["2ff814a6-3304-4ab8-85cb-cd0e6f879c1d", "other-audience"],
"preferred_username": "username@mycompany.com",
"sub": "some-other-ignored-value"
}

発行者： https://idp.mycompany.com/oidc
聴衆： 2ff814a6-3304-4ab8-85cb-cd0e6f879c1d
JWKS JSON: {"keys":[{"kty":"RSA","e":"AQAB","use":"sig","kid":"<key-id>","alg":"RS256","n":"uPUViFv..."}]}

{
"iss": "https://idp.mycompany.com/oidc",
"aud": "2ff814a6-3304-4ab8-85cb-cd0e6f879c1d",
"sub": "username@mycompany.com"
}
(ポリシーの公開鍵を使用して署名が検証されます)

発行者： https://idp.mycompany.com/oidc
聴衆： 2ff814a6-3304-4ab8-85cb-cd0e6f879c1d
JWKS URI: https://idp.mycompany.com/jwks.json

{
"iss": "https://idp.mycompany.com/oidc",
"aud": "2ff814a6-3304-4ab8-85cb-cd0e6f879c1d",
"sub": "username@mycompany.com"
}
(jwks_uriから取得した公開鍵を使用して署名が検証されました)

次のステップ​

アカウントのフェデレーションポリシーを設定した後、次の操作を行います。

  • ユーザーが Databricks と交換できるトークンを生成するように ID プロバイダー (IdP) を構成します。セットアップの詳細については、IdP のドキュメントを参照してください。一般的な IdP でワークロード ID フェデレーションを有効にする手順については、「 CI/CD でのワークロード ID フェデレーションの有効化」を参照してください。
  • IdP の JWT を使用して、最初に Databricks OAuth トークンと交換して Databricks API にアクセスします。API 呼び出しの Bearer: ヘッダーに Databricks OAuth トークンを含めて、要求を完了します。JWT は有効であり、RS256 または ES256 アルゴリズムを使用して署名されている必要があります。実装の詳細については、「 ID プロバイダートークンを使用して認証する Databricks REST APIsを参照してください。
に最終更新