コンテキストベースのイングレス ポリシーでパートナー プラットフォームを許可する

パートナープラットフォームを使用すると、ワークスペースへのパブリックアクセスをロックダウンしつつ、Power BI、Tableau Cloud、Slack用Databricks Genieアプリなどのサポートされているソフトウェア・アズ・ア・サービス（SaaS）ツールからのトラフィックを許可することができます。コンテキストベースのイングレスルールでパートナーを選択すると、DatabricksはパートナーのIP範囲またはOAuthアプリの詳細を最新の状態に保つため、パートナーのIPアドレスを自分で追跡する必要はありません。

このページには、サポートされているパートナープラットフォームが一覧表示されており、アカウントコンソールを使用してワークスペースレベルのポリシーでそれらを許可する方法が示されています。コンテキストベースのイングレスの概要については、 コンテキストベースのイングレス制御を参照してください。

パートナープラットフォームのルールがトラフィックとどのように一致するか

Databricksは、パートナーに応じて、次のいずれかの方法でパートナーのトラフィックを識別します：

• 管理された IP 範囲 : パートナーは、そのエグレス IP アドレスを公開します。Databricksは公開された範囲を1〜2週間ごとに同期し、これらのIPからのリクエストを許可します。一部のパートナーでは、特定のリージョンからのトラフィックのみを許可するようにルールを制限できます。
• 管理されたOAuthアプリケーション ：パートナー製品は、Slack用Databricks GenieアプリやMicrosoft Teams用Databricks Genieアプリなど、Databricksアプリをホストします。Databricksは、アプリのOAuthクライアントIDによってトラフィックを識別し、Databricksサービスを経由する場合にのみ許可します。

パートナープラットフォームルールでは、パートナーのトラフィックソースのみが許可されます。ユーザーとService Principalは引き続き認証を行い、各リクエストはそれを送信したIDのアクセス許可で実行されます。

対応しているパートナープラットフォーム

パートナー プラットフォーム	一致タイプ	リージョンの選択	パートナーIP範囲	セットアップガイド
Microsoft Power BI	マネージドIP範囲	はい	Azure IP 範囲とサービス タグ	DatabricksからPower BIサービスにパブリッシュする
Tableau Cloud	マネージドIP範囲	はい	Tableau Cloud IPアドレス	Tableau と Databricksの接続
dbt Cloud	マネージドIP範囲	はい	dbt CloudのIPアドレス	dbt Cloudに接続する
Databricks Slackアプリ	管理対象 OAuth アプリケーション	No	該当なし	Slack向けDatabricks Genieアプリ
Databricks Teams App	管理対象 OAuth アプリケーション	No	該当なし	Microsoft Teams内の Databricks Genieアプリ

パートナー プラットフォーム	一致タイプ	リージョンの選択	パートナーIP範囲	セットアップガイド
Microsoft Power BI	マネージドIP範囲	はい	Azure IP 範囲とサービス タグ	DatabricksからPower BIサービスにパブリッシュする
Tableau Cloud	マネージドIP範囲	はい	Tableau Cloud IPアドレス	Tableau と Databricksの接続
dbt Cloud	マネージドIP範囲	はい	dbt CloudのIPアドレス	dbt Cloudに接続する
Databricks Slackアプリ	管理対象 OAuth アプリケーション	No	該当なし	Slack向けDatabricks Genieアプリ
Databricks Teams App	管理対象 OAuth アプリケーション	No	該当なし	Microsoft Teams内の Databricks Genieアプリ

リージョンの選択は、パートナーがIP範囲をリージョンごとに公開しているかどうかによって異なります。

要件

• アカウント管理者である必要があります。
• DatabricksアカウントはEnterpriseプランである必要があります。
• ワークスペースでパブリックアクセスを有効にする必要があります。パートナープラットフォームはパブリックインターネット経由で接続します。パブリックアクセスが無効になっている場合、Databricksはイングレスポリシーを評価する前に、パートナーからのリクエストをブロックします。

パブリックアクセスは、ワークスペースのプライベートアクセス設定の パブリックアクセスが有効 設定によって制御されます。プライベートアクセス設定の管理を参照してください。

制限

• Databricks Slack AppやDatabricks Teams Appなどの管理されたOAuthアプリケーションは、ワークスペースレベルのポリシーでしか使用できません。
• ルールを許可するパートナープラットフォームを追加できますが、ルールを拒否するパートナープラットフォームを追加することはできません。
• 各ルールで許可できるパートナープラットフォームは1つです。複数のパートナーを許可するには、パートナーごとにルールを追加します。

アカウントレベルのポリシーでは、Power BIなどの管理対象IP範囲パートナーも使用できます。アカウントのコンテキストベースのイングレスポリシーを管理するを参照してください。

アカウントコンソールを使用してパートナープラットフォームを許可する

ワークスペースポリシーを開く

ワークスペースのネットワークポリシーを開くか作成します。「ネットワーク ポリシーへのアクセス」を参照してください。

すべてのパブリックIPからのアクセスを無効にする

イングレス tabの パブリックネットワークアクセス で、 すべてのパブリックIPからのアクセスを許可 の選択を解除します。 許可ルール と 拒否ルール のリストが表示されます。

パートナーの許可ルールを追加する

1. [許可ルールを追加] をクリックします。

2. [IDの許可] の下で、そのパートナーを使用できる ID を選択します。パートナーを使用できるユーザーを制限するには、特定のユーザーまたはService Principalを選択します。

3. ソース の ソースタイプ で、 パートナープラットフォーム を選択します。

   

4. 「 パートナー名 」で、パートナープラットフォームを選択します。

   

5. パートナーがリージョンの選択をサポートしている場合は、オプションで 「リージョン」 を選択します。 「すべてのリージョン」 を選択したままにすると、ルールによってパートナーのすべてのリージョンが許可されます。

   

6. 「 送信先 」で、パートナーがアクセスできる対象として「 ワークスペース UI 」、「 ワークスペース API 」、「 Lakebase ランタイム 」、または「 アプリランタイム 」を選択します。パートナーを必要な APIs のみに制限するには、「 ワークスペース API 」を選択し、特定の「 API スコープ 」を選択します。たとえば、Slack および Microsoft Teams 用の Databricks Genie アプリの場合、「 Genie 」 API スコープを選択します。

7. ルールを追加します。

ポリシーの保存、テスト、適用

1. 保存 をクリックして、ポリシーを保存します。
2. ポリシーの強制モード を ドライランモード に設定し、そのポリシーをワークスペースにアタッチします。強制モードの設定およびワークスペースへのポリシーのアタッチを参照してください。
3. 拒否されたパートナーリクエストについては、system.access.inbound_networkテーブルを確認してください。拒否Logsを確認するを参照してください。
4. パートナーからのリクエストが拒否されなくなったら、 ポリシー適用モード を 適用 に設定します。

その他のリソース

• • ワークスペースのコンテキストベースのイングレス ポリシーを管理する
  • ワークスペースレベルのポリシーを作成し、パブリック、プライベート、およびクロスワークスペースのルールを構成して、ポリシーをワークスペースにアタッチします。
• • ワークスペースIPアクセスリストをコンテキストベースのイングレスに移行する
  • 既存のワークスペースIPアクセスリストをコンテキストベースのイングレスポリシーに移行します。