Appスペース
ベータ版
この機能はベータ版です。使用するには、ワークスペース管理者は Previews ページから Governed agentic app-building を有効にする必要があります。Databricks のプレビューの管理を参照してください。
アプリスペースはガバナンス境界であり、管理者はアプリを作成および使用できるユーザー、アプリに付与される権限、アプリに適用される支出ポリシーを定義します。
開発者が各アプリのリソースを定義してアクセス許可を設定する代わりに、App Spaceを使用すると、管理者はアプリ開発者グループのアクセス許可を構成できます。
アプリ開発者は Genie App Builder を使用して、App Space でアプリを構築します。
アプリスペースを使用する理由
コーディングエージェントによってアプリの構築が容易になるにつれて、組織内のより多くの人々がアプリを作成するようになっています。Appスペースを使用すると、ビジネスユーザーなどの非技術系ユーザーが、組織のガバナンスモデルを損なうことなく、データにアクセスするアプリを作成できるようになります。管理者がビルダーのグループに対してガードレール（ID、スコープ、リソース）を一度定義すると、そのスペースで構築されたすべてのアプリがそれらを継承します。
Appスペースを作成する
App Space を作成するには、ワークスペース管理者である必要があります。次のいずれかの方法で作成できます：
- Databricks Apps UIで、 App Spaces をクリックし、 + New Space をクリックします。
- Databricks REST API または Terraform プロバイダーを使用します。
Appスペースの作成後に名前を変更することはできません。
Appスペースの構成
ワークスペース管理者として、次の項目を構成できます。
- ユーザー認証 ：アプリがユーザーに代わって実行できる操作。
- Serverless usage policy : スペース内のアプリに対するServerless使用ポリシーです。
- 権限 : スペースでアプリを作成できるユーザー
ユーザー認可
ユーザー認可 (ユーザー代理 (OBO) 認可と呼ばれることもあります) を使用すると、Databricks アプリはサインインしているユーザーの ID で動作できます。許可したスコープの範囲内で、ユーザーがアクセスをすでに許可されているデータとリソースにのみアプリがアクセスできます。Databricks アプリでの承認の構成を参照してください。
Appスペースを使用すると、管理者はユーザー認可で使用できるロールとスコープを制限できます。Unity Catalog テーブル、Genie spaces およびエージェント、ダッシュボードなど、アクセスが各ユーザーの既存の Databricks 権限に従う必要がある場合は、ユーザー認可を使用します。
役割ベースのアクセス制御
役割ベースのアクセス制御（RBAC）を使用して、アプリの権限と共有を制限します。アプリにサインインするときにユーザーがロールを選択できるようにするか、ワークスペース内のアプリを使用するために特定のロールを引き受けるようユーザーに要求できます。
Databricksでは、ロールがグループとして実装されています。グループメンバーは自動的にロールを引き受けることができます。他のユーザーには Assume 権限が必要です。役割ベースのアクセス制御（RBAC）を参照してください。
設定 | アプリを使用できるユーザー | ユーザー認可の権限 |
|---|---|---|
任意のロール | 開発者がアプリを共有しているすべてのユーザー | アプリへのサインイン時にユーザーが選択したロール |
選択されたロールのみ | 選択したロールを引き受けることができるユーザー (アプリが共有されている場合) | 選択されたロールのみ |
例えば：
- An App Space uses Only the selected role with the グループ
emea-sales. - Jane Doeは
emea-salesのメンバーです。 - アプリ開発者は、自分のアプリをJane Doeと共有します。
- アプリにサインインするには、Janeが
emea-salesロールを引き受ける必要があります。 - ユーザー認証を使用すると、Jane Doe に追加の付与や権限がある場合でも、アプリは
emea-salesがアクセスできるもの（許可されたスコープ内）のみにアクセスできます。
- 選択したロールのみ を使用するには、アカウントレベルとワークスペースレベルでRBACを有効にします。
- ロールの制限で使用できるのはアカウントグループのみです。
- ロールが選択されている場合でも、開発者はアプリの共有に対する制御を維持できます。
- App Space にロールを割り当てても、ユーザーに新しい権限が付与されることは ありません 。開発者がユーザーとアプリを共有している場合でも、アプリを使用するには、ユーザーがそのロールへのアクセス権を持っているだけで十分です。
スコープ
ユーザー認可を使用するアプリは、アプリがユーザーに代わって実行できる操作を制限するために、特定の認可スコープを宣言する必要があります。Databricks アプリでの認可の構成を参照してください。
Appスペースでは、各アプリがリクエストするスコープを制御できます。
defaultでは、新しいApp Spaceは Data + AI プリセットを使用し、次の11のスコープを許可します：
sql:restricted-querygeniecatalog.catalogs:readcatalog.schemas:readcatalog.tables:readfilesmodel-servingai-functionsai-gatewaymcp.externalmcp.functions
App Spaceの作成または設定時に、選択したスコープを表示または編集できます。
Serverless 使用ポリシー
スペース内のアプリは、Serverless使用ポリシーに基づいて実行されます。Databricks上のコスト管理ツールを参照してください。
権限
App Space で作業できるユーザーを次の権限で制御します。
権限 | 〜する権限を付与します |
|---|---|
| スペースでアプリを開発する |
| スペースの設定を変更する |
| スペースの表示は許可するが、スペース内でのアプリの作成（または必ずしもスペース内でのアプリの使用）は許可しない |
使用例
グループの働き方に合わせて App Space を形成できます。
Type | 説明 |
|---|---|
パブリックアプリ | ワークスペース内の全員と共有可能なアプリ。すべてのワークスペースユーザーが利用できるデータとリソースのみにアクセスできます。 |
チームアプリ | 特定チームによって構築され、既存のロール、インフラストラクチャ、データ、権限に合わせたアプリ。 |
Project apps | 定義されたプロジェクトまたはエンゲージメントに関連付けられ、プロビジョニングされたテーブル、warehouse、パイプライン、アクセス境界を共有するアプリ。 |