メインコンテンツまでスキップ
に最終更新

Keycloak を使用した Databricks への SSO

このページでは、Databricks アカウントでシングル サインオン (SSO) の ID プロバイダーとして Keycloak を構成する方法を示します。Keycloak は、OpenID Connect (OIDC) と SAML 2.0 の両方をサポートします。Keycloak では、ユーザーとグループを Databricks に同期するための SCIM はサポートされていません。

警告

シングル サインオンのテスト中に Databricks からロックアウトされないようにするには、別のブラウザー ウィンドウでアカウント コンソールを開いたままにしておきます。ロックアウトを防ぐために、セキュリティ キーを使用して緊急アクセスを構成することもできます。ロックアウトを防ぐための緊急アクセスを参照してください。

Keycloakシングルサインオンを有効にする​

ID プロトコルを選択してください:

  1. アカウント管理者としてアカウント コンソールにログインし、 [セキュリティ] をクリックします。

  2. [Identity provider setup] tabをクリックします。

  3. Authentication セクションでSingle Sign Onを設定し、SSO設定ダイアログを開きます。

  4. [詳細の追加 (Add details)] ステップの [ID プロトコル (Identity protocol)] で、 [OpenID Connect] を選択します。

  5. Databricks Redirect URL の値をメモします。

  6. 新しいブラウザタブで、Keycloak管理コンソールにログインします。

  7. Databricks 統合のレルムを選択するか、新しいレルムを作成します。

  8. 新しいクライアントを作成します。

    1. [クライアント] をクリックし、[ クライアントの作成 ] をクリックします。

    2. [クライアントの種類] で、[ OpenID Connect] を選択します。

    3. クライアント ID と 名前 を入力します。

    4. [ 次へ ] をクリックして [保存] をクリックします。

      Keycloak は新しいクライアントを作成します。

  9. Databricks クライアントを構成します。

    1. [アクセス設定 ] で、 [ ホーム URL ] を Databricks アカウントの URL に設定します。
    2. [有効なリダイレクト URI] を、上記でコピーした Databricks リダイレクト URL に設定します。
    3. 機能構成 で、クライアント 認証を オン に設定 して機密アクセスします。

    Keycloak はアクセス設定を構成します。

  10. グループメンバーシップマッピングを設定します。

    1. [クライアント スコープ] をクリックし、クライアント専用のスコープを選択します。
    2. [ マッパー ] タブで、[ 新しいマッパーの設定] をクリックします。
    3. [ マッパー タイプ ] で、[ グループ メンバーシップ] を選択します。
    4. [ 名前 ] と [トークン要求名 ] の両方を [グループ ] に設定します。
    5. 好みに応じて、 完全なグループパス を オン または オフ に切り替えます。

    Keycloak はグループ設定を構成します。

  11. DatabricksアカウントコンソールのSSO構成ダイアログに戻り、Keycloakからコピーした値を入力します：

    1. クライアントID : KeycloakのクライアントID。
    2. クライアント・シークレット : Keycloakクライアントの 「資格証明」 タブにあります。
    3. OpenID 発行者 URL : レルムを含む Keycloak URL (たとえば、 https://keycloak.example.com/realms/your-realm)。

  12. [SSOの有効化] ステップで、 [SSOの有効化] をクリックします。Databricks は設定を無効な状態で保存し、接続テストを実行します。Keycloakでのサインインを完了するようにリダイレクトされます。テストが成功すると、SSO が自動的に有効になります。テストが失敗した場合、Databricks は設定を検証できなかったことを報告します。入力した値を確認して、もう一度お試しください。

  13. SSOを有効にした後、ユーザーが初めてサインインするときにユーザーアカウントを作成するには、次のステップカードの Create new identities during first-time signup トグルを使用して、ジャストインタイム（JIT）プロビジョニングを有効にします。ユーザーの自動プロビジョニング（JIT）を参照してください。

ワークスペースログインテストを含むセットアップ後のテストの詳細なガイダンスについては、Test your SSO configurationを参照してください。

Databricksにユーザーを追加する​

SSOの設定が完了したら、アカウントにユーザーを追加してください。Databricks 、自動 ID 管理を使用して ID プロバイダーからユーザーを同期することをお勧めします。これにより、ユーザーとグループが ID プロバイダーからDatabricksアカウントに自動的に同期されます。 自動的なID管理を行うには、Microsoft Entra IDの設定を参照してください。あるいは、ID プロバイダーが自動 ID 管理をサポートしていない場合は、 SCIMプロビジョニングを構成できます。 SCIMを使用してIDプロバイダーからユーザーとグループを同期する方法を参照してください。

ジャストインタイム（JIT）プロビジョニングは、ユーザーがSSOを使用して初めてログインした際に自動的にDatabricksにユーザーを追加する機能で、2025年5月1日以降に作成されたアカウントではデフォルトで有効になっています。ユーザーの自動プロビジョニング（JIT）を参照してください。

統合ログインを有効にする​

ほとんどのアカウントでは、統合ログインがすでに有効になっています。これは、アカウント レベルのSSO設定がすべてのワークスペースに適用されることを意味します。 アカウントが2023年6月21日より前に作成された場合は、有効化する必要があるかもしれません。統合ログインを有効にする方法については、こちらをご覧ください。

このページの見出し