メインコンテンツまでスキップ
に最終更新

外部モデルプロバイダー（モデルプロバイダーサービス）へのアクセスを検出および管理する

利用可能な外部モデルプロバイダー（モデルプロバイダーサービス）を確認し、Unity Catalogの権限を使用してそれらへのアクセスを管理します。

要件​

  • モデルプロバイダーサービスを管理するには、そのサービスに対するMANAGE権限、またはそのカタログまたはスキーマに対するMANAGE権限が必要です。

モデルプロバイダーサービスを探索する​

モデルプロバイダーサービスはUnity Catalogのセキュリティ保護可能なオブジェクトであるため、Catalog Explorerのカタログおよびスキーマの下に、他のデータおよびAIアセットと並んで表示されます。Catalog Explorerを使用して、アクセス権を持つモデルプロバイダーサービスを見つけ、そのプロバイダータイプと設定を検査できます。サービスは資格情報を表示しません。

Unity Catalog の権限でアクセスを管理します​

他の Unity Catalog セキュリティ保護可能オブジェクトに使用するのと同じ GRANT および REVOKE ステートメントで、モデル プロバイダー サービスへのアクセスを許可または取り消します。モデル プロバイダー サービスをクエリするには、ユーザーはそれに対して EXECUTE が必要で、そのカタログとスキーマに対して USE CATALOG および USE SCHEMA が必要です。

SQL
-- Grant access to a team
GRANT USE CATALOG ON CATALOG main TO ai_team;
GRANT USE SCHEMA ON SCHEMA main.default TO ai_team;
GRANT EXECUTE ON MODEL PROVIDER SERVICE main.default.openai_prod TO ai_team;

-- Revoke access
REVOKE EXECUTE ON MODEL PROVIDER SERVICE main.default.openai_prod FROM ai_team;
注記

権限およびサービスポリシーの変更がクエリーリクエストに反映されるまで、数分かかる場合があります。その間、リクエストは以前の権限を引き続き使用する可能性があります。

呼び出し元は、資格情報を見ることなくモデルプロバイダーサービスを照会します。Unity AI Gatewayは、リクエスト時に保存された資格情報をアタッチします。したがって、EXECUTEを付与することで、チームはAPIキーを配布せずにプロバイダーを使用できます。

モデルプロバイダーサービスを更新して、保存されている資格情報をローテーションまたは置き換えます。モデルプロバイダーサービスを編集するには、その上でMANAGEが必要です。これは直接保持するか、親カタログまたはスキーマから継承されます。サービスがどのプロバイダー資格情報を使用するかを設定することを意図するプリンシパルにのみ、MANAGEを付与してください。サービスは、読み取り時に保存されている資格情報をプレーンテキストで返しません。サービスを更新すると、資格情報が置き換えられ、開示されません。

さまざまなプロバイダーを異なるチームに提供する​

異なるチームに異なるプロバイダーへのアクセス権を付与するには、プロバイダーごとに個別のモデルプロバイダーサービスを作成し、それに応じて EXECUTE を付与してください。例えば、一般的な用途向けに低コストのプロバイダー用のサービスを1つ作成し、小規模なグループ向けにプレミアムプロバイダー用のサービスをもう1つ作成します。外部モデルプロバイダー（モデルプロバイダーサービス）の作成と管理を参照してください。

SQL
-- All users can query the standard provider
GRANT EXECUTE ON MODEL PROVIDER SERVICE ai_platform.default.standard TO `account users`;

-- Only power users can query the premium provider
GRANT EXECUTE ON MODEL PROVIDER SERVICE ai_platform.default.premium TO ai_power_users;

容量とコストを管理するために、各モデルプロバイダーサービスで異なるレート制限を構成します。モデルおよび MCP サービスへのレート制限の適用を参照してください。

インタラクションのコンテンツを管理する​

備考

ベータ版

サービスポリシーはベータ版です。Unity AI Gatewayは一般提供されていますが、そのベータ機能は個別に有効にする必要があります。アカウント管理者は、アカウント コンソールの [プレビュー] ページから Unity AI Gateway のベータ機能を有効にする必要があります。Databricksのプレビューを管理するを参照してください。

Unity Catalogの権限は、プリンシパルがモデルプロバイダーサービスに対してクエリーを実行できるかどうかを決定します。各インタラクションの進行を管理するため（例えば、安全でないコンテンツやPIIを含むレスポンスをブロックするため）には、モデルプロバイダーサービスにサービスポリシーをアタッチします。サービスポリシーは、ガードレールを実装するための手段です。組み込みのガードレールは、PII、プロンプトインジェクション、安全でないコンテンツなどの一般的なリスクをカバーし、カスタムポリシーは組織固有のルールを強制します。

サービスポリシーについて学習し、それをアタッチする方法については、以下を参照してください：

次のステップ​

このページの見出し