ID属性コントロールリスト
ID属性コントロールリストは、Databricksアカウント内のユーザーに対して書き込み可能なID属性を管理する、アカウントレベルの許可リストです。アカウント管理者は、SCIMおよび自動ID管理全体での属性書き込みを制御するための機能プレビューとしてこれを有効にします。
ベータ版
この機能はベータ版です。アカウント管理者は、アカウント コンソールの [プレビュー] ページから、この機能へのアクセスを管理できます。「アカウント レベルのプレビューを管理する」を参照してください。
属性コントロールリストは、アカウントレベルの Identity Attribute Control List （ID属性コントロールリスト）機能プレビューを通じて有効になります。この機能はdefaultでオフになっています。アカウント管理者は、アカウントコンソールの [プレビュー] ページからこれを有効にします。アカウントレベルのプレビューを管理するを参照してください。
概要
属性コントロールリストは、すべてのアカウントの書き込みソース全体で、9つのID属性のうちどれをアカウント内のユーザーに書き込めるかを決定するアカウントレベルの許可リストです。アカウント管理者はこれを使用して、どの属性をDatabricksに書き込めるかを制御します。
このリストは 書き込み時のみ 適用されます：
- 読み取りがフィルタリングされることはありません。以前に保存された属性は、リストから削除された後も完全に表示されたままになります。
- 保存された値の削除は常に許可されているため、管理者は、アカウントで許可されなくなった属性の値を含め、いつでも値を廃止できます。
SCIM APIを通じて属性を書き込むためにプレビューを有効にする必要はありません。これを有効にすると、書き込み可能な属性を制御できるようになります。また、自動ID管理が有効な場合は、同期のたびに各ユーザーの保存済み属性がリストと照合されます。
プレビューを有効化
登録は、 Identity Attribute Control List という名称のアカウントレベルの機能プレビューであり、アカウントコンソールの [プレビュー] ページから切り替え可能です。トグルはdefaultでオフになっています。
- アカウント管理者として、アカウントコンソールにログインします。
- サイドバーで、 プレビュー をクリックします。
- Identity Attribute Control List トグルをオンにします。
プレビューの有効化および無効化は、今後の書き込みで何が許可されるかのみを変更します。ユーザーにすでに保存されている値が遡及的に変更されることはありません。ただし、自動 ID 管理が有効になっている場合、次回の同期でリストに基づいてユーザーが照合されるため、保存されているデータが削除される可能性があります。強制適用の仕組みを参照してください。
コントロールリストを設定する
アカウントがプレビューに登録されると、アカウントコンソールでリストを構成できるようになります。
- アカウント管理者として、アカウントコンソールにログインします。
- サイドバーで、 セキュリティ をクリックします。
- ユーザー プロビジョニング をクリックします。
- ID属性を設定する セクションで、 属性を管理する をクリックしてください。
- ID属性コントロールリストの管理 ダイアログで、許可する各属性のチェックボックスをオンにし、許可しない各属性のチェックボックスをオフにします。
- 保存 をクリックします。
ダイアログには、9つの属性すべてがチェックボックス（ Title 、 User type 、 Locality 、 Region 、 Country 、 Cost center 、 Organization 、 Division 、および Department ）として表示され、現在許可されている属性が選択されています。選択を変更するまで Save は無効になっています。
ID属性を設定する セクションは、アカウントがプレビューに登録されている場合にのみ表示されます。表示されない場合は、そのプレビューはお使いのアカウントで有効になっていません。
適用の仕組み
コントロールリストは書き込みに対してのみ強制適用されます。その強制適用の動作は、属性が自動 ID 管理を通じて書き込まれるか、SCIM を通じて書き込まれるかによって異なります。
自動ID管理を使用する場合
自動ID管理はスケジュールに基づいてIDプロバイダー（IdP）から属性を取得し、コントロールリストがその同期を管理します。プレビューが有効かどうかによって、動作が大きく異なります。
プレビューが無効な場合 、自動ID管理はID属性に影響を与えません。それらを同期することはなく、既に保存されているものを消去することもありません。属性は同期の範囲外です。
プレビューが有効な場合 、同期のたびにコントロールリストに基づいてユーザーが照合されます：
- IdPに設定され、かつ コントロールリストにも含まれている属性のみが同期されます。
- リストに 含まれていない属性は 、以前にSCIMを通じて設定された値が保持されていたとしても、Databricksユーザーからクリアされます。
- リストに含まれているものの、 IdPで存在しない、または空になっている 属性はDatabricksでもクリアされ、両者の同期が維持されます。
- コントロールリストが 空 の場合、同期によって9つの属性すべてがクリアされます。
同期は即座には行われません。プレビューを切り替えるかリストを編集した後、変更がユーザーに反映されるまで数分間お待ちください。同期のタイミングについては、ID属性を参照してください。
誤ってコントロールリストから属性を削除し、自動 ID 管理によってユーザーから保存済みの値が削除された場合、その属性をコントロールリストに再度追加し、自動 ID 管理で ID を再同期させることで復旧できます。
SCIMを使用する場合
SCIM APIを通じて属性を管理するためにこのプレビューを有効にする必要はありませんが、有効にすると、書き込み可能な属性を制御できるようになります。
プレビューが有効な場合、アカウント SCIM 2.1 を介したリスト外属性の挿入または更新は 400 Bad Request で拒否され、scimType は invalidValue となり、detail に問題のある属性名が示されます。この拒否には、次のプロパティがあります。
- 拒否されたPATCHはアトミックです。 リスト外の属性を対象とする操作が含まれている場合、要求全体が拒否され、許可されている変更も一切適用されません。ユーザーレコードが変更される前に検証ランが実行されます。
- 変更された値のみがチェックされます。 保存されている値と同じ値を再送信しても何も実行されず、リスト外の属性であっても通過します。コネクターはリストを絞り込んだ後も同期を正常に継続でき、次にIdP側の値が変更されたときにのみ失敗し始めます。
- 削除は常に許可されます。 リストに存在しなくなった属性を含め、保存された値はいつでも消去できます。
自動ID管理が 有効になっていない 場合、コントロールリストから属性を削除しても、ユーザーに既に保存されているSCIM同期済みの値は削除されません。リストを絞り込むと今後の書き込みは停止されますが、保存済みの値は誰かが削除するまでそのまま残ります。
正確なエラー本文と、リストを絞り込んだ後に同期が失敗するようになったコネクタを復旧する方法については、アカウント SCIM による ID 属性の管理を参照してください。
制限事項
属性コントロールリストには、ベータ版において以下の制限があります：
- コントロールリストは、アカウントコンソールでのみ構成できます。プログラムで構成するための API はありません。
- コントロールリストは、ユーザーのID属性のみを管理します。Service Principalとグループはまだサポートされていません。