メインコンテンツまでスキップ
に最終更新

Keycloak を使用した Databricks への SSO

備考

プレビュー

この機能は パブリック プレビュー段階です。

このページでは、Databricks アカウントでシングル サインオン (SSO) の ID プロバイダーとして Keycloak を構成する方法を示します。Keycloak は、OpenID Connect (OIDC) と SAML 2.0 の両方をサポートします。Keycloak では、ユーザーとグループを Databricks に同期するための SCIM はサポートされていません。

Keycloakシングルサインオンを有効にする​

ID プロトコルを選択してください:

  1. アカウント管理者としてアカウント コンソールにログインし、 [セキュリティ] をクリックします。

  2. 認証 タブをクリックします。

  3. 認証 の横にある 管理 をクリックします。

  4. [ID プロバイダーによるシングルサインオン ] を選択します。

  5. 続行 をクリックします。

  6. [ID プロトコル] で、[ OpenID Connect] を選択します。

  7. [ 認証 ] タブで、 Databricks リダイレクト URL の値をメモします。

  8. 新しいブラウザタブで、Keycloak管理コンソールにログインします。

  9. Databricks 統合のレルムを選択するか、新しいレルムを作成します。

  10. 新しいクライアントを作成します。

    1. [クライアント] をクリックし、[ クライアントの作成 ] をクリックします。

    2. [クライアントの種類] で、[ OpenID Connect] を選択します。

    3. クライアント ID と 名前 を入力します。

    4. [ 次へ ] をクリックして [保存] をクリックします。

    Keycloak は新しいクライアントを作成します。

  11. Databricks クライアントを構成します。

    1. [アクセス設定 ] で、 [ ホーム URL ] を Databricks アカウントの URL に設定します。
    2. [有効なリダイレクト URI] を、上記でコピーした Databricks リダイレクト URL に設定します。
    3. 機能構成 で、クライアント 認証を オン に設定 して機密アクセスします。

    Keycloak はアクセス設定を構成します。

  12. グループメンバーシップマッピングを設定します。

    1. [クライアント スコープ] をクリックし、クライアント専用のスコープを選択します。
    2. [ マッパー ] タブで、[ 新しいマッパーの設定] をクリックします。
    3. [ マッパー タイプ ] で、[ グループ メンバーシップ] を選択します。
    4. [ 名前 ] と [トークン要求名 ] の両方を [グループ ] に設定します。
    5. 好みに応じて、 完全なグループパス を オン または オフ に切り替えます。

    Keycloak はグループ設定を構成します。

  13. Databricks アカウント コンソールの [認証] タブに戻り、Keycloak からコピーした値を入力します。

    1. クライアントID : KeycloakのクライアントID。
    2. クライアント・シークレット : Keycloakクライアントの 「資格証明」 タブにあります。
    3. OpenID 発行者 URL : レルムを含む Keycloak URL (たとえば、 https://keycloak.example.com/realms/your-realm)。

  14. 保存 をクリックします。

  15. 「SSOテスト」 をクリックして、SSO設定が正しく機能していることを確認してください。Databricksは新しいブラウザウィンドウを開き、Keycloakを使用して認証を試みます。サインインの手順を完了し、テスト結果を確認してください。

  16. [SSOを有効にする] をクリックして、アカウントのシングルサインオンを有効にします。

  17. SSOを使用してテストアカウントコンソールにログインします。ステップのテストについては、 SSO構成のテスト」を参照してください。

Databricksにユーザーを追加する​

SSOの設定が完了したら、アカウントにユーザーを追加してください。Databricks 、自動 ID 管理を使用して ID プロバイダーからユーザーを同期することをお勧めします。これにより、ユーザーとグループが ID プロバイダーからDatabricksアカウントに自動的に同期されます。 自動的なID管理を行うには、Microsoft Entra IDの設定を参照してください。あるいは、ID プロバイダーが自動 ID 管理をサポートしていない場合は、 SCIMプロビジョニングを構成できます。 SCIMを使用してIDプロバイダーからユーザーとグループを同期する方法を参照してください。

ジャストインタイム（JIT）プロビジョニングは、ユーザーがSSOを使用して初めてログインした際に自動的にDatabricksにユーザーを追加する機能で、2026年2月2日以降に作成されたアカウントではデフォルトで有効になっています。ユーザーの自動プロビジョニング（JIT）を参照してください。

このページの見出し