Databricks で SSO を構成する

この記事では、組織の ID プロバイダーを使用して、アカウント コンソールと Databricks ワークスペースに対して認証を行うためにシングル サインオン (SSO) を構成する方法を説明します。 ID プロバイダーからユーザーとグループを同期するには、 「ID プロバイダーからユーザーとグループを同期する」を参照してください。 ユーザーがDatabricks E メールまたは Google や などの一般的な外部アカウントを使用してMicrosoft にログインできるようにするには、 「E メールまたは外部アカウントを使用したサインイン」を 参照してください。

SSO 設定の概要

SSO は、SAML 2.0 またはOpenID Connect (OIDC) のいずれかの使用をサポートします。 ID プロバイダー (IdP) は、これらのプロトコルの少なくとも 1 つをサポートしている必要があります。

アカウント コンソールで SSO を有効にすると、統合ログインを有効にできます。 統合ログインを使用すると、アカウントと Databricks ワークスペースに使用される 1 つの SSO 構成をアカウントで管理できます。 アカウントが 2023 年 6 月 21 日以降に作成された場合、統合ログインは、新規および既存のすべてのワークスペースに対してアカウントでデフォルトで有効になっており、無効にすることはできません。 Databricks では、すべてのワークスペースで統合ログインを有効にすることをお勧めします。 詳細については、 「統合ログインを有効にする」を参照してください。

統合ログインが無効になっているワークスペースでは、ワークスペースレベルのSSO個別に構成することで有効にすることができます。 これは従来の構成です。 詳細については、 「ワークスペース (レガシー) のSSOを設定する」を参照してください。

アカウント レベルの SSO が有効になっている場合、管理者を含むすべてのユーザーは、シングル サインオンを使用して Databricks アカウントと統合ログインが有効なワークスペースにサインインする必要があります。 緊急アクセス対象として選択されたユーザーは、ユーザー名とパスワード、セキュリティ キーを使用してログインできます。

ロックアウトを防ぐために、アカウント管理者は最大 10 人のユーザーに対して緊急アクセスを設定できます。 SSO の緊急アクセスを参照してください。

以下のIDプロバイダーへのSSOを構成する方法についての手順を確認することができます。

次のデモでは、Okta を使用した SSO の構成について説明します。

このプロセスは、OIDC または SAML 2.0 をサポートするどの ID プロバイダーでも同様です。 ご使用の ID プロバイダーが上記に記載されていない場合は、 OIDCまたはSAMLの手順に従ってください。

統合ログインを有効にする

統合ログインを使用すると、アカウントと Databricks ワークスペースに使用される 1 つの SSO 構成をアカウントで管理できます。 アカウントで SSO が有効になっている場合は、すべてのワークスペースまたは選択したワークスペースに対して統合ログインを有効にすることを選択できます。 統合ログイン ワークスペース は アカウント レベルのSSO 構成を使用するため、 アカウント および ワークスペース 管理者を含むすべてのユーザーはDatabricks を使用してSSO にサインインする必要があります。統合ログインが有効になっているワークスペースでは、ワークスペース レベルで SSO を個別に管理することはできません。 Databricks では、すべてのワークスペースに対して統合ログインを構成することをお勧めします。

アカウントが 2023 年 6 月 21 日以降に作成された場合、統合ログインは、新規および既存のすべてのワークスペースに対してアカウントでデフォルトで有効になっており、無効にすることはできません。

アカウント コンソールまたはワークスペース管理者設定ページを使用して、統合ログインを有効にできます。

統合ログインの設定のデモについては、「 統合ログイン」を参照してください。

アカウントコンソールを使用して統合ログインを有効にする

統合ログインを有効にするには、アカウントで SSO を有効にする必要があります。

  1. アカウント管理者としてアカウント コンソールにログインし、サイドバーの設定アイコンをクリックします。

  2. 「シングルサインオン」タブをクリックします。

  3. 統合ログインで、[開始する] をクリックします。

  4. アカウント レベルの SSO 構成で、すべてのワークスペース ユーザーが ID プロバイダーにアクセスできることを確認します。 「 確認」をクリックします。

  5. 統合ログインをすべてのワークスペースに適用するか、選択したワークスペースに適用するかを選択します。 Databricks では、すべてのワークスペースに対して統合ログインを有効にすることをお勧めします。 ユーザーとワークスペース間のプライベート接続を構成するワークスペースで統合ログインを有効にするには、追加のステップが必要です。 「ステップ 6: (オプション) 統合ログインを使用してフロントエンド PrivateLink を構成する」を参照してください。

    [選択したワークスペース]を選択した場合は、新しく作成されたワークスペースに設定を適用することを選択し、設定を適用する既存のワークスペースを選択します。 ユーザーとワークスペースのプライベート接続を構成するワークスペースで統合ログインを有効にするには、追加の設定を構成する必要があります。 「ステップ 6: (オプション) 統合ログインを使用してフロントエンド PrivateLink を構成する」を参照してください。

  6. 「保存」をクリックします。

ワークスペース管理者設定ページを使用して統合ログインを有効にする

アカウント管理者が選択したワークスペースで統合ログインを有効にした場合、ワークスペース管理者は自分のワークスペースで統合ログインを有効にできます。 すべてのワークスペースで統合ログインが有効になっている場合、ワークスペース レベルでシングル サインオン構成は使用できません。

ユーザーとワークスペースのプライベート接続を構成するワークスペースで統合ログインを有効にするには、追加のステップを構成する必要があります。 「ステップ 6: (オプション) 統合ログインを使用してフロントエンド PrivateLink を構成する」を参照してください。

  1. ワークスペース管理者として、Databrickワークスペースにログインします。

  2. Databricks ワークスペースの上部バーにあるユーザー名をクリックし、 [設定]を選択します。

  3. [IDとアクセス]タブをクリックします。

  4. SSO 設定の横にある[管理] をクリックします。

  5. [統合ログイン] の横にある [有効にする] をクリックします。

統合ログインへのアップグレード

ワークスペース レベルの SSO が構成された既存のワークスペースで統合ログインを有効にする場合は、次の手順を実行します。

  1. アカウントにシングル サインオンを設定します。

  2. ワークスペース内のユーザーが、ID プロバイダーのアカウント レベルの SSO アプリケーションにアクセスできることを確認します。

    ユーザーにアカウント レベルの SSO アプリケーションへのアクセスを許可しても、Databricks での追加アクセスは許可されません。 すべての Databricks ワークスペース ユーザーは、自動的に Databricks アカウントのユーザーになります。 「管理者はどのようにしてユーザーをアカウントに割り当てるのですか?」を参照してください。

  3. 「統合ログインを有効にする」に従って、ワークスペースで統合ログインを構成します。

  4. ワークスペース ユーザーにサインインしてもらい、ワークスペースで SSO をテストします。

  5. ID プロバイダーのワークスペース レベルの SSO アプリケーションを廃止します。