メインコンテンツまでスキップ
に最終更新

アクセスリクエストの宛先を構成する

このページでは、アクセスリクエストの送信先と、リクエストを構成する方法について説明します。ユーザーがどのようにアクセスをリクエストし、リクエストがどのように追跡およびレビューされるかなど、アクセスリクエスト（RFA）の概要については、「アクセスリクエスト」を参照してください。

Slack、Microsoft Teams、または別のWebhookでアクセスリクエストを構成するには、ワークスペース管理者がそれらを通知送信先として最初に構成する必要があります。通知先を管理するを参照してください。

宛先タイプ​

宛先は次のいずれかになります。

  • 組織の外部アクセスリクエストシステムへのリダイレクトURL。オブジェクトごとに設定できるリダイレクトURLは1つだけです。URLが設定されている場合、他の宛先は設定できず、ユーザーは製品内のリクエストフォームを表示する代わりにそのURLにリダイレクトされます。

  • メールアドレス

    アクセスリクエスト Eメールは noreply@databricks.comから送信されます。

  • Slack チャンネル

  • Microsoft Teams チャンネル

  • Webhook Endpoint。リクエストペイロードについては、「Webhook 宛先の統合」を参照してください。

アクセス要求の宛先は、Unity Catalog の metastore、カタログ、スキーマ、テーブル、ビュー、ボリューム、関数、モデル、ストレージ資格情報、サービス資格情報、外部ロケーション、接続などのオブジェクトで構成できます。

メタストアのアクセスリクエスト宛先を構成する​

アクセスリクエストはすべてのメタストアで有効になっており、defaultでオブジェクト所有者のEメールアドレスにリクエストが送信されます。defaultの宛先を更新して、SlackやMicrosoft Teamsチャンネルなどの追加のEメールやWebhookを含めたり、すべてのリクエストをリダイレクトURL経由でルーティングしたりできます。さらに、オブジェクト所有者のメールアドレスにリクエストが送信されるのを無効にして、代替の宛先を設定することもできます。

メタストアのdefaultの保存先を更新するには、メタストア管理者である必要があります：

  1. Databricks ワークスペースで、データアイコン。 カタログ をクリックします。

  2. カタログ ペインの上部にある歯車アイコン。歯車アイコンをクリックし、 メタストア を選択します。

  3. 「**Details**」tabで、「**アクセス要求**」の横にある編集アイコンをクリックします。

    カタログエクスプローラーでメタストアのアクセスリクエストを編集します。

  4. 「オブジェクトの所有者にアクセスリクエストを自動的に送信」 設定はdefaultで有効になっています。このオプションをオフにすると、オブジェクト所有者のメールアドレスにリクエストが送信されなくなります。

  5. オプションで、以下の宛先タイプのいずれかを構成します：

    • EメールとWebhook : リクエストを受信する1つ以上のEメールアドレスやWebhookを設定します。Slack や Microsoft Teams チャンネルにリクエストを送信するには、それらを Webhook として設定してください。
    • リダイレクトURL : 組織の外部アクセスリクエストシステムへのリダイレクトURLを設定します。リダイレクトURLを設定すると、他の宛先タイプは追加できません。

  6. 保存 をクリックします。

特定のオブジェクトに対するアクセス要求の宛先を設定する​

オブジェクトの所有者、オブジェクトに対する MANAGE 権限を持つユーザー、およびメタストア管理者は、オブジェクトに対して明示的な宛先を設定できます。

注記

MANAGE ACCESS CONTROLを拒否して、オブジェクトの所有者およびMANAGEを持つユーザーが宛先を設定できないようにすることができます。メタストア管理者は影響を受けません。ABAC DENYポリシー（ベータ）を参照してください。

オブジェクトに明示的な宛先が設定されている場合、親オブジェクトから継承された宛先は上書きされます。明示的な宛先は、独自の宛先が設定されていない子オブジェクトにも継承されます。「宛先の解決方法」を参照してください。

カタログエクスプローラ、REST API、または Terraform を使用して宛先を構成できます。

  1. Databricks ワークスペースで、データアイコン。 カタログ をクリックします。

  2. セキュリティ保護可能なオブジェクトを選択します。

  3. ケバブメニューのアイコン。ケバブメニューをクリックし、 アクセスリクエストの宛先の管理 を選択します。

  4. 1つ以上のEメールまたは外部の宛先を選択するか、リダイレクトURLを設定してください。URLが選択されている場合、他の宛先タイプは追加できません。

    アクセス要求の宛先を設定します。

  5. 更新 をクリックします。

Webhook宛先の統合​

リクエストがWebhook宛先にルーティングされると、Databricksは次のようなペイロードを送信します：

JSON
{
  "requesterName": "<first-name> <last-name>",
  "objectName": "<catalog>.<schema>.<table>",
  "objectType": "Table",
  "privileges": "SELECT",
  "principalName": "<user-name>",
  "onBehalfOf": "<user-name> (<email>)",
  "onBehalfOfType": "User Principal",
  "comment": "I need access to run queries on this table.",
  "databricksWorkspaceUrl": "https://<account>.databricks.com/explore/data/<catalog>/<schema>/<table>?o=<workspace-id>&activeTab=permissions&showGrantModal=true&requestedPrivileges=SELECT"
}

ユーザープリンシパルの場合、Eメールが利用可能なときは、onBehalfOfは名前の後に括弧で囲まれたEメールを含みます。グループリクエストの場合、onBehalfOfはグループ名、onBehalfOfTypeはGroupです。

詳細については、Webhook を一般的なツールと統合する方法については、以下を参照してください。

宛先の解決方法​

Databricksは、指定されたオブジェクトのアクセスリクエストの宛先を次の順序で解決します。

  1. **オブジェクトレベルの明示的な宛先**: オブジェクトに明示的な宛先が設定されている場合、リクエストはそこに送信されます。
  2. オブジェクト所有者の Eメール：オブジェクトの所有者が個人ユーザーである場合は、リクエストは、その Eメールアドレスに送信されます。
  3. 親オブジェクトの宛先 : オブジェクト所有者がグループまたはService Principalの場合、Databricksはオブジェクト階層を上って、最初に見つかった明示的な宛先または個人の所有者のEメールを使用します。
  4. メタストアレベルの宛先 : オブジェクト階層に宛先が見つからない場合、リクエストはメタストアレベルの宛先にフォールバックします。メタストアレベルの宛先が設定されていない場合、ユーザーはオブジェクトへのアクセスをリクエストできません。詳しくは、「メタストアのアクセスリクエストの宛先を設定する」を参照してください。

この順序のため、Unity Catalogオブジェクト階層の上位レベルで構成された宛先は、独自の宛先セットを持たないすべての子オブジェクトに継承されます。オブジェクトの明示的な宛先は、親オブジェクトから継承された宛先をオーバーライドします。

アクセス要求の宛先継承の例

このページの見出し