メインコンテンツまでスキップ
に最終更新

アカウントで表示するグループを制御する

自動ID管理が有効になっている場合、IDプロバイダーからのすべてのグループがDatabricksディレクトリ検索およびグループピッカーに表示されます。グループ表示フィルターを使用すると、アカウント管理者はどのIDプロバイダーグループが表示されるかを制御できるため、許可したグループのみが検索に表示され、ポリシーに追加できるようになります。

グループ表示フィルターは、どのグループが検索可能かを変更するだけです。プロビジョニングは変更されません。IDプロバイダー内のすべてのユーザーとDatabricksサービスプリンシパルは、引き続きジャストインタイムでプロビジョニングされ、サインインできます。JITプロビジョニングの情報については、 ユーザーを自動的にプロビジョニングする（JIT）を参照してください。

グループ表示フィルターの仕組み​

グループ表示フィルターは、すべてのアクティブなワークスペースに適用されるアカウントレベルの構成です。次の2種類のルールを定義できます。

  • 完全一致 : 外部IDでグループを照合します。
  • で始まる : 表示名が値で始まるグループを照合します。

グループまたはその推移的な親グループのいずれかが少なくとも1つのルールに一致する場合、グループは表示されます。たとえば、data-の 「起動」 ルールでは、data-platformとその子グループが表示されます。2つの例外が適用されます：

  • フィルターを構成していない場合、すべてのグループが表示されます。
  • プロビジョニング済みのグループとローカルDatabricksグループは、フィルターに関係なく常に表示されます。

フィルターは、検出だけでなくプロビジョニングにも適用されます。フィルターを設定すると、外部IDがどのフィルターにも一致しないグループの作成または更新は拒否されます。

フィルターは不変です。ルールを変更するには、それを削除して新しく作成してください。ルールを削除すると、一致しなくなったグループは検索に表示されなくなり、ポリシーに追加できなくなりますが、すでにプロビジョニングされたグループは削除されません。プロビジョニングされたグループを完全に削除するには、IDプロバイダーから削除して同期します。

グループ表示フィルターの構成​

アカウント管理者は、アカウントコンソールでグループ表示フィルタを設定します。

自動ID管理を有効にする前に​

  1. アカウント管理者として、アカウントコンソールにログインします。
  2. サイドバーで、 セキュリティ をクリックします。
  3. [ IDプロバイダーの設定 ] tabをクリックし、[ ID管理 ] セクションの [ 自動ID管理 ] をクリックします。
  4. 構成 をクリックし、必要なフィールドを記入します。
  5. [ テスト接続 ] をクリックします。
  6. 接続が成功した場合は、 Databricksで表示されるグループを制御する の下で、 フィルターの管理 をクリックします。
  7. [グループ表示フィルター] ダイアログで [ルールの追加] をクリックし、ルールタイプとして、グループの外部IDに対する [完全一致] 、または表示名のプレフィックスに一致する [以下で始まる] を選択します。
  8. 変更を保存します。

フィルターを設定したら、自動ID管理を有効にできます。

「Configure AIM」ウィザードの「Identity visibility」ステップ。 「Manage filters」をクリックして、表示するグループを制御します

自動ID管理が有効になった後​

  1. アカウント管理者として、アカウントコンソールにログインします。
  2. サイドバーで、 セキュリティ をクリックします。
  3. [ IDプロバイダーの設定 ] tabをクリックし、[ ID管理 ] セクションの [ 自動ID管理 ] をクリックします。
  4. Databricksで表示されるグループを制御する で、 フィルターの管理 をクリックします。
  5. [グループ表示フィルター] ダイアログで [ルールの追加] をクリックし、ルールタイプとして、グループの外部IDに対する [完全一致] 、または表示名のプレフィックスに一致する [以下で始まる] を選択します。
  6. 変更を保存します。

ルールを追加、表示をテスト、および保存するオプションを表示するグループ表示フィルターダイアログ

グループの表示をテスト​

フィルターを適用する前に、現在の構成で特定のグループが表示されるかどうかをテストできます。

  1. グループ表示フィルター ダイアログで、 グループの表示をテスト をクリックします。
  2. テストするグループを検索します。
  3. 結果を確認して、グループが表示されるかどうかを判断します。

API でフィルターを管理する​

アカウントREST APIを使用してグループ表示フィルターを管理できます。APIは、フィルターの作成、取得、一覧表示、および削除をサポートしています。

POST   /2.0/identity/accounts/{account_id}/identity-visibility-filters
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters
DELETE /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}

グループのフィルターを作成するには、principal_typeをGROUPに設定します。フィルターは不変であるため、更新操作はありません。フィルターを変更するには、それを削除して新しいフィルターを作成します。

制限事項​

グループ表示フィルターは、 完全一致 （グループの外部ID）および 前方一致 （表示名のプレフィックス）ルールのみをサポートします。表示名のサフィックス、部分文字列、または正規表現での照合はサポートされていません。

このページの見出し