メインコンテンツまでスキップ
に最終更新

モデルサービスへのアクセスを発見および管理します

備考

ベータ版

この機能はベータ版です。アカウント管理者は、アカウント コンソールの [プレビュー] ページからこの機能へのアクセスを制御できます。 Databricksのプレビューを管理するを参照してください。

このページでは、利用可能なモデルサービスを検出し、Unity Catalog 権限を使用してそれらへのアクセスを管理する方法について説明します。

要件​

  • お客様のアカウントでUnity AI Gatewayのプレビュー版が有効になりました。Databricksのプレビューを管理するを参照してください。
  • モデルサービスを管理するには、そのサービスに対するMANAGE権限、またはそのカタログかスキーマに対するMANAGEが必要です。system.aiでシステム提供のモデルサービスを管理するには、メタストア管理者であるか、system.aiに対するMANAGEが必要です。

モデルサービスを検出する​

カタログエクスプローラー、Unity AI Gateway UI、またはUnity Catalog REST APIで利用可能なモデルサービスを見つけるには、Unity Catalogのモデルサービスを参照してください。

Unity Catalog の権限でアクセスを管理します​

他のUnity Catalogセキュリティ保護可能なオブジェクトに使用するのと同じGRANT、REVOKE、およびDENYステートメントで、モデルサービスへのアクセスを許可または取り消します。モデルサービスをクエリするには、ユーザーはそれに対してEXECUTE、そしてそのカタログとスキーマに対してUSE CATALOGとUSE SCHEMAが必要です。

SQL
-- Grant access to a team
GRANT USE CATALOG ON CATALOG main TO ai_team;
GRANT USE SCHEMA ON SCHEMA main.default TO ai_team;
GRANT EXECUTE ON MODEL SERVICE main.default.team_chat TO ai_team;

-- Revoke access
REVOKE EXECUTE ON MODEL SERVICE main.default.team_chat FROM ai_team;

Databricksは、定義者の権限を使用してモデルサービスを呼び出します。ユーザーがモデルサービスをクエリすると、Databricksは、*所有者*が参照されるモデルに対してEXECUTEを持っていることを確認します。呼び出し元は、基盤となるモデルに直接アクセスする必要はありません。

システム提供のモデルサービスを制限する​

デフォルトでは、すべてのアカウントユーザーがsystem.ai内のシステム提供モデルサービスをクエリできます。高コストモデルなど、特定のモデルサービスへのすべてのユーザーからのクエリを防ぐには、それに対してEXECUTEを拒否します：

SQL
DENY EXECUTE ON MODEL SERVICE system.ai.databricks-claude-opus-4-6 TO `account users`;

すべてのシステム提供モデルサービスをチームに制限する​

system.ai の現在および将来のすべてのモデルサービスを AI プラットフォーム チームに制限するには、すべてのアカウント ユーザーからアクセスを取り消し、チームに付与します。

SQL
-- Remove access for all users
REVOKE USE SCHEMA ON SCHEMA system.ai FROM `account users`;
REVOKE EXECUTE ON SCHEMA system.ai FROM `account users`;

-- Grant access to the AI platform team only
GRANT USE SCHEMA ON SCHEMA system.ai TO ai_platform_team;
GRANT EXECUTE ON SCHEMA system.ai TO ai_platform_team;

異なるチームに異なるモデルサービスを提供する​

より広いユーザーベースと少数のパワーユーザーグループに異なるモデルとクォータを付与するために、グループごとに個別のモデルサービスを作成し、それに応じてEXECUTEを付与します。Unity AI Gateway UIまたはREST APIを使用してモデルサービスを作成します。モデルサービスを作成を参照してください。

モデルサービスを作成した後、各グループに EXECUTE を付与します。

SQL
-- All users can query the standard model service
GRANT EXECUTE ON MODEL SERVICE ai_platform.default.standard TO `account users`;

-- Only power users can query the power-user model service
GRANT EXECUTE ON MODEL SERVICE ai_platform.default.power_user TO ai_power_users;

容量とコストを管理するために、各モデルサービスで異なるレート制限を構成できます。Unity AI Gateway を使用して AI サービスのレート制限を構成するを参照してください。

モデルサービスインタラクションのコンテンツを管理する​

Unity Catalog の権限は、プリンシパルがモデルサービスをクエリできるかどうかを制御します。各インタラクションの進行方法を管理するには（たとえば、安全でないコンテンツやPIIを含む応答をブロックするために）、モデルサービスにサービスポリシーをアタッチします。サービスポリシーは、モデルサービスにガードレールを実装する方法です。組み込みのガードレールは、PII、プロンプトインジェクション、安全でないコンテンツなどの一般的なリスクに対応し、カスタムポリシーは組織固有のルールを適用します。

サービスポリシーについて学習し、それをアタッチする方法については、以下を参照してください：

次のステップ​

このページの見出し