OneLogin による Databricks への SSO

この記事では、Databricks アカウントでシングルサインオン (SSO) の ID プロバイダーとして OneLogin を構成する方法を説明します。 OneLogin は OpenID Connect (OIDC) と SAML 2.0 の両方をサポートしています。 OneLogin からユーザーとグループを同期するには、「ID プロバイダーからユーザーとグループを同期する」を参照してください。

警告

シングルサインオンのテスト中にDatabricksからロックアウトされないようにするには、アカウントDatabricksを別のブラウザーウィンドウで開いたままにしておくことをお勧めします。ロックアウトを防ぐために、セキュリティキーを使用して緊急アクセスを構成することもできます。 SSO の緊急アクセスを参照してください。

OIDCを使用したアカウントのシングルサインオン認証を有効にする

アカウント所有者またはアカウント管理者として、アカウントコンソールにログインし、サイドバーの[設定]アイコンをクリックします。
「シングルサインオン」タブをクリックします。
このタブの上部にあるドロップダウンから、「OpenID Connect」を選択します。
「シングルサインオン」タブで、「DatabricksリダイレクトURI」の値をメモします。
新しいブラウザタブで、OneLoginにログインします。
「管理」をクリックします。
「アプリケーション」をクリックします。
「アプリの追加」をクリックします。
OpenId Connectを検索し、OpenId Connect（OIDC）アプリを選択します。
名前を入力し、「保存」をクリックします。
「構成」タブで、手順4の「DatabricksリダイレクトURI」を選択します。他の設定を構成することも、デフォルト値のままにすることもできます。
「SSO」タブで、「クライアントID」、「クライアントシークレット」、「発行者URL」の値をコピーします。
- クライアントIDは、 OneLoginで作成したDatabricksアプリケーションの一意の識別子です。
- クライアントシークレットは、作成したDatabricksアプリケーション用に生成されたシークレットまたはパスワードです。これは、IDプロバイダーでDatabricksを承認するために使用されます。
- OpenID発行者URLは、OneLoginのOpenID構成ドキュメントを参照するためのURLです。OpenID構成ドキュメントは、{issuer-url}/.well-known/openid-configurationにある必要があります。
Databricksアカウントコンソールの「シングルサインオン」タブに戻り、IDプロバイダーアプリケーションからコピーした値を「クライアントID」、「クライアントシークレット、「OpenID発行者URL」フィールドに入力します。
[保存]をクリックします。
「SSOのテスト」をクリックして、SSO設定が正しく機能していることを確認します。
「SSOを有効にする」をクリックして、アカウントのシングルサインオンを有効にします。
SSOを使用したアカウントコンソールログインをテストします。

SAMLを使用したアカウントのシングルサインオン認証を有効にする

以下の手順に従って、Databricksアカウントコンソールで使用するOneLogin SAMLアプリケーションを作成してください。

Databricks SAML URL を取得するには、アカウント所有者またはアカウント管理者としてアカウントコンソールにログインします。サイドバーの「設定」をクリックし、 「シングルサインオン」タブをクリックします。ピッカーから、 SAML 2.0 を選択します。 Databricks リダイレクト URIフィールドの値をコピーします。
新しいブラウザタブで、OneLoginにログインします。
「管理」をクリックします。
「アプリケーション」をクリックします。
「アプリの追加」をクリックします。
「SAMLカスタムコネクタ（高度）」を検索し、OneLogin, Inc.の結果をクリックします。
「表示名」を「Databricks」に設定します。
「保存」をクリックします。アプリケーションの「情報」タブがロードされます。
「構成」をクリックします。
「必要な情報を収集する」で、以下の各フィールドをDatabricks SAML URLに設定します。
- オーディエンス
- 受信者
- ACS（コンシューマ）URLバリデータ
- ACS（コンシューマ）URL
- シングルログアウトURL
- ログインURL
「SAML署名要素」を「両方」に設定します。
「パラメーター」をクリックします。
「認証情報」を「管理者が設定し、すべてのユーザーが共有」に設定します。
「Eメール」をクリックします。値をEメールに設定し、「SAMLアサーションに含める」を有効にします。
「SSO」タブをクリックします。
以下の値をコピーします。
- x.509証明書
- 発行者URL
- SAML 2.0エンドポイント（HTTP）
「SAML署名要素」が「応答」または「両方」に設定されていることを確認します。
「アサーションを暗号化」が無効になっていることを確認します。
Databricks アカウントコンソールの SSO ページで Databricks を構成します。オプションフィールドの詳細については、「SAML を使用したアカウントのシングルサインオン認証の有効化」を参照してください。
1. 「シングルサインオン」をクリックします。
2. SSOタイプドロップダウンをSAML 2.0に設定します。
3. シングルサインオンURLをOneLogin SAML 2.0エンドポイントに設定します。
4. IDプロバイダーエンティティIDをOneLogin発行者URLに設定します。
5. x.509証明書を、証明書の開始と終了のマーカーを含めて、OneLogin x.509証明書に設定します。
6. [保存]をクリックします。
7. 「SSOのテスト」をクリックして、SSO設定が正しく機能していることを確認します。
8. 「SSOを有効にする」をクリックして、アカウントのシングルサインオンを有効にします。
9. SSOを使用したアカウントコンソールログインをテストします。