ID属性
ID属性は、Databricksがアカウントユーザーに対して保存し、IDプロバイダー（IdP）から取得する 9 つの属性の固定セットです。Unity CatalogのABACポリシーで値を参照できるように、アカウント管理者がそれらをプロビジョニングします。
ベータ版
この機能はベータ版です。アカウント管理者は、アカウント コンソールの [プレビュー] ページから、この機能へのアクセスを管理できます。「アカウント レベルのプレビューを管理する」を参照してください。
機密情報を保存するためにID属性を使用しないでください。
自動ID管理を使用してID属性を取り込む場合、またはユーザーに書き込める属性を制限する場合は、アカウント管理者が [ID属性コントロールリスト] 機能プレビューを有効にする必要があります。このプレビューはdefaultでオフになっており、アカウントコンソールの [プレビュー] ページから有効にできます。「アカウントレベルのプレビューを管理する」を参照してください。
概要
ID属性は、Databricksがアカウントユーザーに対して保存する9つのIdP由来のフィールドです：title、userType、locality、region、country、costCenter、organization、division、およびdepartment。Databricksは、ユーザーの値がIdPのソースレコードを反映するように、これらの属性をIDプロバイダーと同期し続けます。
ID属性は、Databricksの他の場所でユーザー特性を参照できるようにするために存在します。ベータ版では、ユーザーのcountry属性がデータの国と一致しない限り列をマスクするなど、列マスキングのためのUnity Catalog属性ベースのアクセス制御（ABAC）ポリシーでそれらを使用できます。ABACの詳細については、Unity Catalogの属性ベースのアクセス制御を参照してください。
ID 属性を使用する Unity Catalog の ABAC ポリシー機能は、この機能とは別に提供されます。このページでは、ID 属性がどのようにプロビジョニング、保存、読み取りされるかのみを扱います。
各属性がSCIMコアユーザー・スキーマおよびエンタープライズユーザー拡張機能のどこにマッピングされるかについては、「アカウントSCIMによるID属性の管理」を参照してください。
仕組み
ID 属性は ID プロバイダーからプロビジョニングされ、アカウントユーザーに保存され、アカウントコンソールおよびアカウント SCIM APIs を通じて読み取られます。
ID属性を取り込む
ID属性は、次の2つのいずれかの方法でIDプロバイダーからDatabricksに到達します。
- 自動ID管理 は、スケジュールに基づいてIDプロバイダーから属性を取得します。これが推奨される今後のメカニズムです。詳細については、自動ID管理を参照してください。
- Account SCIM 2.1 は、プロビジョニングコネクターまたは直接の API 呼び出しから属性をプッシュします。
AWSおよびGCPでは、いずれかのメカニズムを使用してID属性を取り込むことができます。Databricksでは、SCIMベースのモデルよりも高速にIDプロバイダーと属性を同期できる、自動ID管理の使用を推奨しています。これらの属性のSCIMベースの管理は推奨されません。Databricksは、新しい属性サポートを自動ID管理に集中させています。アカウントSCIMを使用してID属性を管理するには、アカウントSCIMを使用したID属性の管理を参照してください。
どの属性を保存するかを制御する
属性コントロールリスト は、アカウント内のユーザーに対して書き込み可能な9つの属性を管理するアカウントレベルの許可リストです。自動ID管理が有効な場合、同期のたびにユーザーの保存済み属性とリストの照合も行われます。リストの適用方法を含む詳細については、ID属性コントロールリストを参照してください。
ID属性を読み取る
アカウント管理者は、GET /Users/<id> を使用してアカウントSCIM 2.1経由で任意のユーザーのID属性を読み取ることができます。すべてのユーザーは、読み取り専用である account-SCIM-for-workspaces /Me Endpoint (https://<workspace-host>/api/2.0/account/scim/v2/Me) を通じて、自身の属性を読み取ることができます。ワークスペース管理者は、他のユーザーのID属性を読み取ったり変更したりすることはできません。読み取りは属性コントロールリストによってフィルタリングされることはないため、属性がリストから削除される前に保存された値は完全に表示されたままになります。
IDプロバイダーでの属性の変更は、Databricksに即座には反映されません。ユーザーがサインインすると、自動ID管理は約 5 分以内にそのユーザーの属性を更新します。Unity Catalogはサインインしたユーザーのポリシーを評価するため、アクティブなユーザーのポリシー決定には、これらの最近同期された値が使用されます。サインインしていない、または自動ID管理同期がTriggerされていないユーザーは、定期的なバックグラウンド同期によって 5 日以内に更新されます。
ユーザーの ID 属性を表示する
アカウントコンソールでユーザーに保存されている ID 属性を表示できるため、SCIM API を呼び出さなくても実際に何が反映されたかを確認できます。
- アカウント管理者として、アカウントコンソールにログインします。
- サイドバーで、[ ユーザー管理 ] をクリックします。
- [Users] tabで、ユーザーを見つけてクリックします。
- [ Identity attributes tab] をクリックします。
The tabには、9つの属性すべてが一覧表示されます。これを読む際は、次の点に留意してください。
- 読み取り専用です。 ID属性はIdPから取得されるため、ここで編集することはできません。ソースであるIDプロバイダーを通じてそれらを変更すると、次の読み込み時にtabに新しい値が反映されます。
- すべての属性が常にリストされます。 保存された値がない属性は非表示にならず、enダッシュ (–) が表示されるため、「設定なし」と「予期しない値に設定」を区別できます。
- ビューは属性コントロールリストによってフィルタリングされていません。 属性がリストから削除される前に保存された値は、ここにも表示されます。これにより、保持しているデータを正確に把握できるため、そのデータを破棄するかどうかを判断できます。
- 値は保存された通りに表示され 、IDプロバイダーから送信された大文字と小文字の区別が保持されます。
ユーザーのページに Identity attributes tabが表示されない場合、その機能はお使いのアカウントで有効になっておらず、直接移動しようとするとユーザーの情報ページに戻されます。
制限事項
ベータ版におけるID属性には、次の制限があります。
- ID属性はユーザーに対してのみサポートされています。Service Principalとグループはまだサポートされていません。
- 各属性は単一の値を保持します。勤務先住所は、
locality、region、およびcountryを持つ単一のオブジェクトです。複数値属性は将来の課題です。 - 属性コントロールリストは、アカウントコンソールでのみ構成できます。プログラムで構成するためのAPIはありません。
- Azureでは、SCIMベースのID属性のセルフサービス管理はドキュメント化されていません。Azureの顧客は自動ID管理を使用するか、SCIM APIについてアカウントチームにお問い合わせください。
- Microsoft Entra IDには
costCenterまたはdivisionのネイティブなソースフィールドがないため、カスタム拡張属性または式を指定しない限り、これら2つの属性はマッピングされないままになります。