メインコンテンツまでスキップ
に最終更新

Power BI 用の Microsoft Entra ID SSO を構成する

備考

プレビュー

この機能は パブリック プレビュー段階です。

アカウントレベルのフェデレーションポリシーを使用して、Power BIからDatabricksへのSingle Sign On (SSO) のIDプロバイダー (IdP) としてMicrosoft Entra ID を構成します。SSOを使用すると、レポートビューアーは自身のMicrosoft Entra ID 資格情報を使用して、DirectQueryモードで基盤となるDatabricksデータにアクセスできるようになります。

要件​

Microsoft Entra ID を使用して Power BI から Databricks への SSO を設定する前に、次のものがあることを確認してください。

アカウント フェデレーション ポリシーを構成します。​

アカウント管理者は、以下の値でフェデレーションポリシーを作成する必要があります。

  • 発行者 URL： https://sts.windows.net/<tenant-id>/。<tenant-id> をお使いの Microsoft Entra ID テナント ID に置き換えてください。末尾のスラッシュが必要です。
  • オーディエンス： 2ff814a6-3304-4ab8-85cb-cd0e6f879c1d
  • サブジェクトクレーム: email。Databricks アカウントのユーザー名が Eメールアドレスの代わりに Microsoft Entra ID ユーザープリンシパル名 (UPN) 形式と一致する場合、upn をサブジェクトクレームとして使用します。

ポリシーを作成するステップについては、アカウント フェデレーション ポリシーを構成するを参照してください。お使いのDatabricksアカウントに複数のアカウント フェデレーション ポリシーがある場合、最も早く作成されたポリシーのみがOIDCディスカバリに使用されます。

フェデレーションポリシーを設定した後、ユーザーはPower BI Desktopから手動接続を作成し 、**Azure Databricks**コネクタを選択し、認証タイプとして**Azure Active Directory**を選択します。

注記

コネクタ名は Azure Databricks ですが、Databricks on AWSでも動作します。 Databricks コネクタを選択しないでください。

Power BI サービスでレポートにアクセスするには SSO を有効にします。​

Power BI サービスでSSOを有効にすると、ユーザーは自身のMicrosoft Entra ID 資格情報をDatabricksに渡すことで、DirectQueryストレージモードを使用して構築されたレポートにアクセスできるようになります。

  1. Power BI Desktop から Power BI サービス に Power BI レポートを公開します。

  2. レポートおよび基になるデータソースへのSSOアクセスを有効化します。

    1. Power BI サービスで、レポートの基になる Databricks データセットに移動し、 データソースの資格情報 を展開し、 資格情報の編集 をクリックします。

    2. 構成ダイアログで、**レポートビューアーはDirect Queryを使用して独自のPower BI IDでこのデータソースにのみアクセスできます**を選択し、**サインイン**をクリックします。

      DatabricksデータアクセスのSSOを有効にします。

    このオプションを選択すると、データソースへのアクセスは DirectQuery を使用して処理され、レポートにアクセスしているユーザーの Microsoft Entra ID ID を使用して管理されます。このオプションを選択しない場合、レポートを公開したユーザーのみが Databricks データソースにアクセスできます。

構成のトラブルシューティング​

Microsoft Entra ID を使用したDatabricksへのSSO における Test SSO 検証 ステップ が失敗した場合は、以下を確認してください。

  • OpenID issuer URL には Microsoft Entra テナント ID が含まれており、スラッシュで終わります。例えば：

    https://sts.windows.net/<tenant-id>/

  • Microsoft Entraユーザーは、有効なEメールの申請があります。このEメールの申請も、Databricksワークスペースのユーザーである必要があります。

注記

お客様のユーザー Eメール プロパティが、お客様の User principal name プロパティと一致していることを確認してください。両方のプロパティは、お客様のDatabricks ワークスペースのメンバーである必要があります。

オプションのクレームを構成する必要がある場合があります。これを行うには、https://learn.microsoft.com/entra/identity-platform/optional-claimsを参照してください。 ID トークン と アクセストークン の両方に Eメール クレームがあることを確認してください。

このページの見出し