Git フォルダの Git 統合を構成する

このページでは、資格情報、ネットワーク接続、セキュリティ機能など、Databricks Git フォルダーの Git 統合を構成する方法について説明します。Git フォルダーを作成して Git 操作を開始するには、 「Git フォルダーの作成と管理」を参照してください。

重要

対話型開発にはGitフォルダを使用してください。CI/CDおよび本番運用のデプロイメントの場合は、バージョン管理されたアーティファクトと Workload Identity フェデレーションを備えた宣言的自動化バンドルを使用します。 Databricks Gitフォルダを使用したCI/CDと宣言型自動化バンドルとは何かを参照してください。

前提条件

始める前に、次の点を確認してください。

• ワークスペースで Git フォルダーが有効になっています (デフォルトで有効になっています)。「Databricks Git フォルダーを有効または無効にする」を参照してください。

• Git プロバイダー アカウント (GitHub、GitLab、Azure DevOps、Bitbucket、または AWS CodeCommit) があること。

• プライベート リポジトリまたは書き込み操作の場合は、 Gitプロバイダーからの個人アクセス権 (PAT) またはOAuth資格情報が必要です。 「Git プロバイダーを Databricks に接続する」を参照してください。

注記

Git 資格情報がなくてもパブリック リモート リポジトリをクローンできます。パブリック リモート リポジトリを変更したり、プライベート リポジトリを操作するには、 Git認証情報に 書き込み 権限を設定します。

Git 資格情報を追加する

Databricks で Git 資格情報を構成するには:

1. Databricksワークスペースの上部のバーにあるユーザー名をクリックし、 [設定] を選択します。
2. [リンクされたアカウント] をクリックします。
3. 「Git 資格情報の追加」 をクリックします。
4. ドロップダウン メニューから Git プロバイダーを選択します。一部のプロバイダーはOAuthアカウント リンクを提供していますが、他のプロバイダーは個人的なアクセス権 (PAT) を必要とします。 OAuthを使用してアカウントをリンクする場合は、認証フローを完了し、最後のステップまでスキップしてください。
5. Gitプロバイダーの電子メール」 フィールドに電子メールを入力します。
6. PAT を トークン フィールドに貼り付けます。PAT を作成する手順については、 「 Git プロバイダーを Databricks に接続する 」を参照してください。組織がGitHubでSAML SSOを有効にしている場合は、 SSOに対する個人アクセスを許可してください。
7. [ 保存 ]をクリックします。

Databricks Repos APIを使用して Git 資格情報を管理することもできます。

グループのGit資格情報（ロール）を追加する

ワークスペースが役割ベースのアクセス制御 (RBAC)を使用している場合、グループは独自のGit資格情報を持つことができます。この資格情報は、グループとしてランするすべてのGit操作を認証します。それには、**ラン アズ**がグループであるGitジョブのリポジトリのクローン、およびユーザーがグループとして行動 した場合のクローン、commit、pushが含まれます。

グループGit認証情報により、そのロールを引き受けるすべてのユーザーは、ジョブ、Terraform、APIアクセスなど、ロールとして実行される作業に対してGitプロバイダーへ一貫したアクセスができます。個人の認証情報やそのリポジトリの権限には依存しません。

グループに Git 資格情報を追加するには、グループに対して**管理**権限が必要です。

グループにGit資格情報を追加するには：

1. 設定 > IDとアクセス > グループ に移動し、グループを開きます。
2. Git integration tabに移動します。
3. Git プロバイダー を選択し、個人用アクセストークン（またはOAuthを使用して接続）を入力して、グループの Git ユーザー名 と Git Eメール を設定します。
4. [ 保存 ]をクリックします。

各グループは、グループを引き受けるすべてのユーザーで共有される、ワークスペースごとに最大10個のGit資格情報を持つことができます。

トークン権限

Databricksでは、グループのGit資格情報には読み取り専用トークンを推奨しています。ロールを引き受けるすべてのユーザーが資格情報を共有するため、読み取り専用トークンを使用すると、トークンが漏洩したり、誰かが悪用したりした場合の被害を抑えることができます。クローンできますが、グループのGit IDではプッシュ、Branchの削除、またはcommitのオーサリングはできません。読み取り専用資格情報を使用すると、ユーザーはロールのデータに対してオーサリングし、自身の個人資格情報でプッシュするため、Git プロバイダーは個々の開発者にcommitを関連付けます。オーサリングワークフローについては、ロールとして機能しながらGitフォルダーでオーサリングするを参照してください。

ユーザーがグループとして機能している間にcommitおよびプッシュすることを望む場合にのみ、トークンに書き込みアクセスを付与してください。ワークスペース UI は単一のアクションでcommitおよびpushするため、グループとしてcommitするには書き込みアクセスが必要です。Gitプロバイダーは、それらのcommitを個人ではなくグループのGit IDに帰属させます。

基になるGitアカウント

グループの資格情報を、個人ユーザーのトークンではなく、専用のサービスまたはボットアカウント (例: GitHub マシンユーザーまたは GitLab デプロイトークン) でサポートします。個人トークンはグループのGitアクセスを個人のライフサイクルに結び付けます。そのユーザーが離脱した場合、トークンをローテーションした場合、またはワークスペース管理者がアカウントを非アクティブにした場合、グループとして実行されているGitジョブは中断され、Gitプロバイダーはグループの非対話型commitをその個人に帰属させます。専用のサービスアカウントを使用すると、そのような結合を回避でき、どのチームメンバーからも独立してサービスアカウントをローテーションできます。

Azure DevOps

Git 統合では Microsoft Entra ID トークンはサポートされていません。Azure DevOps個人アクセス ノートを使用する必要があります。 「個人アクセス権」を参照してください。

ユーザーごとに複数の Git 認証情報

Databricks では各ユーザーが複数の Git 資格情報を保存できるため、資格情報を切り替えることなく異なるプロバイダーやアカウントを使用できます。

Gitフォルダの資格情報を選択する

各 Git フォルダーでは、Git 操作に特定の資格情報を使用できます。Git フォルダーの資格情報を変更するには:

1. Git フォルダーを開き、 Git 設定 タブに移動します。
2. 「Git 資格情報」 の下で、ドロップダウン メニューから資格情報を選択します。
3. [ 保存 ]をクリックします。

デフォルトの資格情報の仕組み

各 Git プロバイダーは、ユーザーごとに 1 つのデフォルトの Git 資格情報をサポートします。Databricks は、次の場合にこのデフォルトの資格情報を自動的に使用します。

• ジョブ
• Repos API操作
• Git フォルダ操作 (特定の資格情報が選択されていない場合)

プロバイダー用に作成した最初の資格情報が自動的にデフォルトになります。デフォルトの資格情報を変更するには:

1. [ユーザー設定] > [リンクされたアカウント] に移動します。
2. ケバブをクリックデフォルトにする資格情報の横にある をクリックします。
3. [デフォルトとして設定] を選択します。

制限事項

• プロバイダーに非安全Git資格情報を必要とするジョブは、サービスプリンシパルを使用する必要があります。
• Databricks GitHub アプリでは、リンクされた資格情報を1 つだけ許可します。
• 各ユーザーは最大 10 個の Git 認証情報を持つことができます。

Gitコミット ID を構成する

Git ID コミットによって、 Databricksから作成されたコミットがGitプロバイダーにどのように表示されるかが決まります。 Databricks Git フォルダーを通じてコミットする場合、Git プロバイダーはユーザーを作成者として識別する必要があります。電子メール アドレスを次のように設定します。

• コミットはGitプロバイダーのプロフィールに表示されます
• プロフィール写真と名前が正しく表示されます
• 貢献に対して適切な評価を受けられる
• チームメンバーは誰が変更を行ったかを追跡できる

ID コミットの仕組み

電子メール アドレスを使用してGit認証情報を構成する場合:

• Eメール: すべてのコミットの作成者Eメール ( GIT_AUTHOR_EMAILおよびGIT_COMMITTER_EMAIL ) になります。
• ユーザー名: コミッター名になります ( GIT_AUTHOR_NAMEとGIT_COMMITTER_NAME )

電子メール アドレスを指定しない場合、 Databricks Gitユーザー名を電子メールとして使用します。 これにより、Git プロバイダーでのコミットの帰属が適切に行われなくなる可能性があります。

Git 履歴でのコミットの例:

commit 480ee5b0214e4d46db2da401a83794c5f5c5d375 (HEAD -> main)
Author: GitHub-username <your.email@example.com>
Date:   Fri Sep 26 00:38:23 2025 -0700

    My commit message

Git プロバイダーの例:

注記

電子メール設定が利用可能になる前にGit認証情報を作成した場合、電子メール フィールドはユーザー名になります。 適切なコミットメントの帰属を得るには、実際の電子メール アドレスに更新してください。

ロールとして機能するときのcommit ID

ワークスペースがRBACを使用している場合、commit時に機能するIDがcommit作成者を決定します。ユーザーIDとして作成するcommitは個人のGit資格情報を使用するため、Gitプロバイダーはそれらをあなたに関連付けます。ロールとして機能する間に作成するcommitはロールのGit資格情報を使用するため、GitプロバイダーはそれらをロールのGit IDに関連付けます。作成時に両者のどちらを選択するかについては、ロールとして機能しながらGitフォルダーで作成するを参照してください。

リンクされた GitHub 資格情報

Databricks GitHubアプリを通じてリンクされたGit資格情報を使用する場合、 Databricks電子メールとGit ID が自動的に構成されます。 ID が正しく設定されていない場合は、必要な権限を承認するか、適切な権限を得るために GitHub アカウントを再リンクしてください。

ネットワーク接続を構成する

Git フォルダーには、Git プロバイダーへのネットワーク接続が必要です。ほとんどの構成は、追加のセットアップなしでインターネット経由で機能します。ただし、以下の場合には追加の構成が必要になる場合があります。

• Git プロバイダーの IP 許可リスト
• セルフホスト型 Git サーバー (GitHub Enterprise、Bitbucket Server、GitLab セルフマネージド)
• プライベートネットワークホスティング

を使用して フォルダーにアクセスし、サーバレス コンピュート上でGit GitCLIUI ベースの 操作を実行します。Gitワークスペース管理者は、サーバレス コンピュートがGitプロバイダーに到達できることを確認する必要があります。

サーバレス コンピュートをプライベートGitサーバーに接続するには、プライベート エンドポイント ルールを使用してネットワーク接続構成 (NCC) を構成します。 セットアップステップについては、 Databricksサーバーレス Private Gitの構成」を参照してください。 NCC 接続を使用するために、サーバーレス プライベートGitプレビューを有効にする必要はありません。

サーバレス コンピュートを有効にするには、 「サーバレス コンピュートに接続する」を参照してください。

IP許可リストを設定する

Git サーバーがインターネットにアクセスできるが、 GitHub 許可リストなどの IP 許可リストを使用している場合:

1. Databricks クラウドとリージョンで、ご自分のリージョンの Databricks コントロール プレーン ネットワーク アドレス変換 (NAT) IP アドレスを見つけます。
2. この IP アドレスを Git サーバーの IP 許可リストに追加します。

プライベートGitサーバーを構成する

プライベート Git サーバーをホストする場合は、 「Databricks Git フォルダーのプライベート Git 接続を設定する」を参照するか、セットアップ手順について Databricks アカウント チームにお問い合わせください。

セキュリティ機能

Databricks Git フォルダーには、コードと資格情報を保護するための次のセキュリティ機能が含まれています。

Git 資格情報を暗号化する

AWS Key Management サービス ( KMS ) を使用して、独自の暗号化キー (顧客管理キー) を使用してGitパーソナルアクセストークンおよびその他のGit認証情報を暗号化します。

詳細については、マネージドサービスの顧客管理キーを参照してください。

Git URL 許可リスト

ワークスペース管理者は、ユーザーがアクセスできるリモート リポジトリを制限できます。これにより、コードの流出を防ぎ、承認されたリポジトリの使用を強制することができます。

Git URL 許可リストを設定する

許可リストを構成するには:

1. Databricksワークスペースの上部のバーにあるユーザー名をクリックし、 [設定] を選択します。

2. [開発] をクリックします。

3. Git URL 許可リストの権限 オプションを選択します。

   • 無効 (制限なし): 許可リストは適用されません。
   • 許可された Git リポジトリへのクローン、コミット、プッシュを制限: すべての操作を許可リストの URL に制限します。
   • 許可された Git リポジトリへのコミットとプッシュのみを制限: 書き込み操作のみを制限します。クローンとプルは制限されないままです。

4. 編集アイコンをクリックします Git URL 許可リストの横: 空のリスト 。

5. URL プレフィックスのコンマ区切りリストを入力します。Databricks は、プレフィックス マッチング (大文字と小文字を区別しない) を使用してリポジトリ アクセスを許可します。ワイルドカードはサポートされていません。

   例：

   • https://github.com - すべてのGitHubリポジトリを許可します
   • https://github.com/CompanyName - 特定の組織に制限
   • https://dev.azure.com/CompanyName - Azure DevOps組織に制限

   ユーザー名や認証トークンを含む URL を入力しないでください。これらはグローバルに複製され、ユーザーが Git フォルダーを操作できなくなる可能性があります。

6. [ 保存 ]をクリックします。

新しいリストを保存すると、既存の許可リストが上書きされます。変更が有効になるまでに最大 15 分かかる場合があります。

アクセス制御

注記

アクセス制御が含まれるのはプレミアム プラン以上です。

権限を設定して、ワークスペース内の Git フォルダーにアクセスできるユーザーを制御します。権限は Git フォルダー内のすべてのコンテンツに適用されます。次のいずれかの権限レベルを割り当てます。

• NO PERMISSIONS: Gitフォルダにアクセスできません
• CAN READ: ファイルの表示のみ
• CAN RUN: ファイルの表示と実行
• CAN EDIT: ファイルの表示、実行、変更
• CAN MANAGE: 共有と削除を含むフルコントロール

Gitフォルダーの権限の詳細については、 Gitフォルダー ACL」を参照してください。

監査ログ

監査ログを有効にすると、Databricks は次のようなすべての Git フォルダー操作をログに記録します。

• Git フォルダの作成、更新、削除
• ワークスペース内の Git フォルダの一覧表示
• Git フォルダとリモートリポジトリ間の変更の同期

シークレット検出

Git フォルダーはコミット前に、公開された資格情報がないかコードを自動的にスキャンします。以下が検出されると警告が表示されます:

• AWSアクセスキーIDは以下で始まります AKIA
• その他の機密認証情報パターン

その他のリソース

Git フォルダーを設定したら、次の関連トピックを参照してください。

• Git フォルダの作成と管理
• ワークスペースファイルとは？
• Databricks Git フォルダーを使用した CI/CD
• Databricks Git フォルダーのプライベート Git 接続を設定する
• 最初の dbt ジョブを作成して実行する
• ワークスペースでバンドルを共同作業する