IDプロバイダーからユーザーとグループを同期する

この記事では、ユーザー認証を自動化できるオープンスタンダードである (System for Cross-domain Identity Management) を使用して、ID プロバイダー SCIM(IdP) とDatabricks をユーザーに、グループをに構成する方法について説明します。Databricks

Databricks での SCIM プロビジョニングについて

SCIM を使用すると、IdP を使用して Databricks でユーザーを作成し、適切なレベルのアクセス権を付与し、ユーザーが組織を離れたとき、または Databricks へのアクセスが不要になったときにアクセスを削除 (プロビジョニング解除) できます。

IdP でSCIMコネクタを使用するか、 Identity and Access Management SCIM APIsを呼び出してブロックチェーンを管理できます。これらのAPIs使用して、IdP を使用せずにDatabricks内の ID を直接管理することもできます。

アカウントレベルおよびワークスペースレベルの SCIM プロビジョニング

Databricks では、 アカウントレベルの SCIM プロビジョニング を使用して、アカウントからすべてのユーザーを作成、更新、削除することをお勧めします。 Databricks 内のワークスペースへのユーザーとグループの割り当てを管理します。ユーザーのワークスペースの割り当てを管理するには、 ID フェデレーションでワークスペースを有効にする必要があります。

ワークスペースレベルの SCIM プロビジョニング は、パブリックプレビュー段階のレガシ構成です。ワークスペースにワークスペースレベルの SCIM プロビジョニングが既に設定されている場合、Databricks では、ID フェデレーションのワークスペースを有効にし、アカウントレベルの SCIM プロビジョニングを設定し、ワークスペースレベルの SCIM プロビジョナーをオフにすることをお勧めします。「ワークスペースレベルの SCIM プロビジョニングをアカウントレベルに移行する」を参照してください。ワークスペースレベルの SCIM プロビジョニングの詳細については、「Databricks ワークスペースへの ID のプロビジョニング (レガシ)」を参照してください。

要件

SCIM を使用して Databricks にユーザーとグループをプロビジョニングするには:

Databricks アカウントにはPremium プラン以上が必要です。
Databricksアカウント管理者である必要があります。

Databricks では、ユーザーが IdP を使用して Databricks にログインできるようにシングルサインオンを構成することをお勧めします。「Databricks で SSO を構成する」を参照してください。

アカウントには、合計で最大 10,000 人のユーザーと 5000 のグループを含めることができます。各ワークスペースには、合計で最大 10,000 人のユーザーと 5000 のグループを含めることができます。

注：

SCIMキーを使用すると、ID プロバイダーに保存されているユーザー属性とグループ属性によって、 Databricks管理設定ページ、アカウントコンソール、またはSCIM (グループ) APIを使用して行った変更が上書きされる可能性があります。

たとえば、ユーザーに ID プロバイダーでクラスター作成の許可権限が割り当てられていて、Databricks管理設定を使用してその権限を削除した場合、IdP がその権限をプロビジョニングするように構成されている場合は、IdP が次に Databricks と同期するときに、ユーザーにその権限が再度付与されます。同じ動作がグループにも適用されます。

ユーザーとグループを Databricks アカウントに同期する

SCIM プロビジョニングコネクタを使用して、IdP から Databricks アカウントにユーザーとグループを同期できます。

重要

ID をワークスペースに直接同期する SCIM コネクタが既にある場合は、アカウントレベルの SCIM コネクタが有効になっているときに、それらの SCIM コネクタを無効にする必要があります。「ワークスペースレベルの SCIM プロビジョニングをアカウントレベルに移行する」を参照してください。

SCIM コネクタを構成して、アカウントにユーザーとグループをプロビジョニングするには:

アカウント管理者として、Databricksアカウントコンソールにログインします。
サイドバーで [設定] をクリックします。
[ユーザープロビジョニング]をクリックします。
[ユーザープロビジョニングを有効にする]をクリックします。

SCIM トークンとアカウント SCIM URL をコピーします。これらを使用して IdP を構成します。
SCIM コネクタを構成してユーザーをプロビジョニングできるユーザーとして IdP にログインします。
IdP の SCIM コネクタに次の値を入力します。
- SAML プロビジョニング URL には、Databricks からコピーした SCIM URL を入力します。
- プロビジョニング API トークンには、Databricks からコピーした SCIM トークンを入力します。

アカウントレベルの SCIM プロビジョニングを構成した後、Databricks では、ID プロバイダー内のすべてのユーザーが Databricks アカウントにアクセスできるようにすることをお勧めします。「すべての ID プロバイダーユーザーが Databricks にアクセスできるようにする」を参照してください。

また、IdP の次の IdP 固有の手順に従うこともできます。

注：

アカウントレベルの SCIM コネクタからユーザーを削除すると、ID フェデレーションが有効になっているかどうかに関係なく、そのユーザーはアカウントとすべてのワークスペースから非アクティブ化されます。アカウントレベルの SCIM コネクタからグループを削除すると、そのグループ内のすべてのユーザーは、アカウントおよびアクセス権を持っていたすべてのワークスペースから非アクティブ化されます (別のグループのメンバーである場合、またはアカウントレベルの SCIM コネクタへのアクセス権が直接付与されている場合を除きます)。

アカウントレベルのSCIMトークンを回転する

アカウントレベルのSCIMトークンが侵害された場合、または認証トークンを定期的にローテーションするビジネス要件がある場合は、 SCIMトークンをローテーションできます。

Databricks アカウント管理者として、アカウントコンソールにログインします。
サイドバーで [設定] をクリックします。
[ユーザープロビジョニング]をクリックします。
「トークンの再生成」をクリックします。新しいトークンをメモします。以前のトークンは 24 時間引き続き機能します。
24 時間以内に、新しい SCIM トークンを使用するように SCIM アプリケーションを更新してください。

ワークスペースレベルの SCIM プロビジョニングをアカウントレベルに移行する

アカウントレベルのSCIMを有効にしていて、一部のワークスペースに対してワークスペースレベルのSCIMが既に設定されている場合は、 DatabricksスペースレベルのSCIMプロビジョナーをオフにして、代わりにユーザーとグループをアカウントレベルに同期することをお勧めします。

ワークスペースレベルのコネクタを使用して、現在に移行しているすべてのユーザーとグループを含むグループを IDDatabricksSCIM プロバイダーに作成します。

Databricks では、このグループにアカウント内のすべてのワークスペースのすべてのユーザーを含めることをお勧めします。
SCIM「ユーザーとグループをアカウントに同期する」の手順を使用して、ユーザーとグループをアカウントにプロビジョニングするように新しいプロビジョニング Databricksコネクタを構成します。

ステップ 1 で作成したグループまたはグループを使用します。既存のアカウントユーザーとユーザー名（Eメールアドレス）を共有するユーザーを追加すると、それらのユーザーは統合されます。アカウント内の既存のグループは影響を受けません。
新しい SCIM プロビジョニングコネクタがユーザーとグループをアカウントに正常にプロビジョニングしていることを確認します。
オーストリアユーザーであった古いワークスペースレベルのSCIMコネクタをシャットダウンし、ワークスペースにグループ化します。

ワークスペースレベルの SCIM コネクタをシャットダウンする前に、ユーザーとグループを削除しないでください。 SCIM コネクタからのアクセスを取り消すと、Databricks ワークスペース内のユーザーが非アクティブになります。詳細については、「 Databricksワークスペースでユーザーを非アクティブ化する」を参照してください。
ワークスペースのローカルグループをアカウントグループに移行します。

ワークスペースにレガシーグループがある場合、それらはワークスペースローカルグループと呼ばれます。アカウントレベルのインターフェースを使用してワークスペースローカルグループを管理することはできません。 Databricks では、アカウントグループに変換することをお勧めします。ワークスペースローカルグループをアカウントグループに移行するを参照してください