メインコンテンツまでスキップ
に最終更新

アカウントで表示するグループを制御する

自動ID管理が有効になっている場合、IDプロバイダーからのすべてのグループがDatabricksディレクトリ検索およびグループピッカーに表示されます。グループ表示フィルターを使用すると、アカウント管理者はどのIDプロバイダーグループが表示されるかを制御できるため、許可したグループのみが検索に表示され、ポリシーに追加できるようになります。

グループ表示フィルターは、どのグループが検索可能かを変更するだけです。プロビジョニングは変更されません。IDプロバイダー内のすべてのユーザーとDatabricksサービスプリンシパルは、引き続きジャストインタイムでプロビジョニングされ、サインインできます。JITプロビジョニングの情報については、 ユーザーを自動的にプロビジョニングする（JIT）を参照してください。

グループ表示フィルターの仕組み​

グループの可視性フィルターは、すべてのワークスペースに適用されるアカウントレベルの構成です。次の3種類のルールを定義できます。

  • 完全一致 : 外部IDでグループを照合します。
  • 次で始まる ：表示名が値で始まるグループに一致します。照合は大文字と小文字を区別します。
  • 正規表現 (regex) : 大文字と小文字を区別する RE2 正規表現が完全な表示名に一致する場合にグループに一致します。

グループまたはその推移的な親グループのいずれかが少なくとも1つのルールに一致する場合、グループは表示されます。たとえば、data-の 「起動」 ルールでは、data-platformとその子グループが表示されます。2つの例外が適用されます：

  • フィルターを構成していない場合、すべてのグループが表示されます。
  • プロビジョニング済みのグループとローカルDatabricksグループは、フィルターに関係なく常に表示されます。

フィルターは、検出だけでなくプロビジョニングにも適用されます。フィルターを設定すると、外部IDがどのフィルターにも一致しないグループの作成または更新は拒否されます。

フィルターは不変です。ルールを変更するには、それを削除して新しく作成してください。ルールを削除すると、一致しなくなったグループは検索に表示されなくなり、ポリシーに追加できなくなりますが、すでにプロビジョニングされたグループは削除されません。プロビジョニングされたグループを完全に削除するには、IDプロバイダーから削除して同期します。

グループ表示フィルターの構成​

アカウント管理者は、アカウントコンソールでグループ表示フィルタを設定します。

自動ID管理を有効にする前に​

  1. アカウント管理者として、アカウントコンソールにログインします。
  2. サイドバーで、 セキュリティ をクリックします。
  3. [ IDプロバイダーの設定 ] tabをクリックし、[ ID管理 ] セクションの [ 自動ID管理 ] をクリックします。
  4. 構成 をクリックし、必要なフィールドを記入します。
  5. [ テスト接続 ] をクリックします。
  6. 接続が成功した場合は、 Databricksで表示されるグループを制御する の下で、 フィルターの管理 をクリックします。
  7. [グループの可視性フィルター] ダイアログで、 [ルールの追加] をクリックし、ルールタイプを選択します：グループの外部IDの [完全一致] 、表示名の接頭辞に一致させる [～で始まる] 、または正規表現で表示名に一致させる [正規表現] を選択します。
  8. 変更を保存します。

フィルターを設定したら、自動ID管理を有効にできます。

「Configure AIM」ウィザードの「Identity visibility」ステップ。 「Manage filters」をクリックして、表示するグループを制御します

自動ID管理が有効になった後​

  1. アカウント管理者として、アカウントコンソールにログインします。
  2. サイドバーで、 セキュリティ をクリックします。
  3. [ IDプロバイダーの設定 ] tabをクリックし、[ ID管理 ] セクションの [ 自動ID管理 ] をクリックします。
  4. Databricksで表示されるグループを制御する で、 フィルターの管理 をクリックします。
  5. [グループの可視性フィルター] ダイアログで、 [ルールの追加] をクリックし、ルールタイプを選択します：グループの外部IDの [完全一致] 、表示名の接頭辞に一致させる [～で始まる] 、または正規表現で表示名に一致させる [正規表現] を選択します。
  6. 変更を保存します。

ルールを追加、表示をテスト、および保存するオプションを表示するグループ表示フィルターダイアログ

グループの表示をテスト​

フィルターを適用する前に、現在の構成で特定のグループが表示されるかどうかをテストできます。

  1. グループ表示フィルター ダイアログで、 グループの表示をテスト をクリックします。
  2. テストするグループを検索します。
  3. 結果を確認して、グループが表示されるかどうかを判断します。

API でフィルターを管理する​

アカウントID可視性フィルタAPIを使用して、グループの可視性フィルタを管理できます。APIは、フィルタの作成、取得、一覧表示、削除をサポートしています：

POST   /2.0/identity/accounts/{account_id}/identity-visibility-filters
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}
GET    /2.0/identity/accounts/{account_id}/identity-visibility-filters
DELETE /2.0/identity/accounts/{account_id}/identity-visibility-filters/{filter_id}

グループのフィルターを作成するには、principal_type を GROUP に設定します。フィルターはイミュータブルであるため、APIに更新操作はありません。

例えば、data-platformやml-researchのような表示名に一致する正規表現ルールを作成するには、以下のリクエスト本文をPOSTEndpointに送信します：

JSON
{
  "principal_type": "GROUP",
  "regex": {
    "display_name_regex": "(data|ml)-.*"
  }
}

制限事項​

正規表現ルールはRE2構文を使用し、最大255文字で、複雑さの制限を満たしている必要があります。APIは、これらの制限を超える式をINVALID_PARAMETER_VALUEエラーで拒否します。式を短縮または単純化して、もう一度やり直してください。

正規表現ルールは表示名全体と一致する必要があるため、.*data.*のような部分文字列と一致させるには.*を含める必要があります。

このページの見出し