メインコンテンツまでスキップ
に最終更新

ロールベースのアクセス制御 (RBAC)

役割ベースのアクセス制御（RBAC）を使用すると、ユーザーとDatabricks Service PrincipalはDatabricksの役割を引き受けることができます。これにより、アクティブな権限がセッションのその役割の権限のみに置き換えられます。役割を使用して、プロジェクト全体で排他的アクセスを強制し、エージェントのデータアクセスを制限し、ワークスペース管理者が役割を引き受けて管理タスクを実行するようにします。

Databricksでは、ロールはグループとして実装されています。ユーザー、Databricks Service Principal、または他のグループに、そのグループに対するAssume権限を付与します。グループのすべてのメンバーは、自動的にそのグループに対するAssume権限を持ちます。非メンバーに直接Assume権限を付与することもできます。設定と有効化については、「RBAC入門」を参照してください。

グループメンバーのアクセス許可の継承 (左) とロールの引き受け (右) の比較図。ユーザーがロールを引き受けると、そのセッションにはロールのアクセス許可のみが適用され、ユーザーが継承するグループのアクセス許可は置き換えられます。

ロール権限の適用方法​

IDには、そのIDに直接付与された権限に加え、そのIDが属するグループおよびそれらのグループの親から継承した権限が付与されています。ロールを想定すると、セッションのロールの直接的な権限および継承された権限でそれらの権限が置き換えられます。

ユーザーがロールを割り当てる場合：

  • 引き受けられたロールの権限は、ユーザー自身の権限を置き換えます。ロールとして動作している間、ユーザーは自身のユーザーIDを通じてデータやアセットにアクセスすることはできません。
  • ユーザーは一度に 1 つの役割としてのみ行動できます。
  • 別のロールとして振る舞うか、ユーザーIDに戻るには、再度切り替える必要があります。ワークスペースに割り当てられていないユーザーは、自分のユーザーIDに戻ることができません。「ワークスペースにアクセスするためにロールを割り当てる必要がある場合」を参照してください。
  • ロールは、親グループから権限を継承します。defaultでは、ロールは、ワークスペースの users システムグループおよびアカウントの account users システムグループに付与された権限も継承します。これには、すべてのアカウントグループが暗黙的に含まれます。users に付与された権限は、ワークスペースオブジェクトとコンピュートに適用されます。Unity Catalog権限は account users には付与できますが、users には付与できません。これらの権限を管理するには、アクセス制御リストおよび権限の表示、付与、取り消しを参照してください。
  • 監査イベントは、開始した ID (identity_metadata.run_by) と認可に使用された ID (identity_metadata.run_as) を区別します。対話型リクエストの場合、これらはそれぞれユーザーとロールを識別します。監査の帰属の検証を参照してください。
  • このロールは、ユーザーがこの役割として動作中に作成した Unity Catalog セキュアブルオブジェクトおよびワークスペースオブジェクト（テーブル、ノートブック、SQL クエリー、SQL Warehouse、ジョブなど）を所有します。
  • Genie One（ワークスペースレベル）、Genie Code、およびGenie Agentは RBAC をサポートしています。ユーザーがロールとして動作している間、これらの機能は、そのロールがアクセスできるデータとアセットにのみアクセスできます。ユーザーがロールとして動作している間に作成したGenieチャットは、そのロールが所有します。

ロールを管理する​

ロールを作成し、引き受け権限を管理し、ユーザーとワークロードがどのようにロールとして動作するかを選択します。

    • 始めましょう
    • ロールの作成、アクセスの設定、Assume権限の管理を行います。
    • ロールの切り替え
    • ワークスペースUI、専用コンピュート、Databricks CLI、API、またはサードパーティのBIツールを使用してロールを引き受けます。
    • ABACとの併用
    • 属性ベースのアクセス制御（ABAC）ポリシーがアクティブなロールを評価する方法を理解します。

共有の管理​

役割として行動するユーザーが、その役割が所有する資産を共有できるかどうかを制御します。

チュートリアル​

アクセス要件の完全なセットアップと検証の手順に従ってください。

制限​

ワークロードでロールを使用する前に、機能のサポートと既知の問題を確認してください。

    • 制限事項
    • ロールとして動作する場合のサポートされていない機能、部分的なサポート、および回避策を確認します。
このページの見出し