ワークスペース用の Microsoft Entra ID (旧 Azure Active Directory) による SSO

注：

ワークスペースレベルの SSO は、統合ログインが無効になっている場合にのみ構成できます。統合ログインの場合、ワークスペースはアカウントと同じ SSO 構成を使用します。 Databricks では、すべてのワークスペースで統合ログインを有効にすることをお勧めします。「統合ログイン」を参照してください。

この記事では、Databricks を使用し、ユーザーとグループが Microsoft Entra ID (以前の Azure Active Directory) で管理されている場合に、シングルサインオン (SSO) を構成する方法について説明します。 Microsoft Entra ID は Azure テナントで実行され、SAML 2.0 をサポートしています。 Azure テナントまたはオンプレミスでホストしている Microsoft Windows Active Directory を使用する場合は、この記事ではなく、 Microsoft Windows Active Directory を用いたワークスペースの SSO に関するページを参照してください。

この記事では、Databricks ワークスペースの ID プロバイダーとして Microsoft Entra ID を構成する方法を説明します。 Databricks アカウントで SSO を構成するには、 Databricks アカウントコンソールの SSOを参照してください。

必要な情報を収集する

ワークスペース管理者として、Databrickワークスペースにログインします。
Databricks ワークスペースの上部バーにあるユーザー名をクリックし、 [設定]を選択します。
[IDとアクセス]タブをクリックします。
SSO 設定の横にある[管理] をクリックします。
Databricks SAML URLをコピーします。

このブラウザタブを閉じないでください。

Microsoft Entra ID (旧 Azure Active Directory) を構成する

このセクションの内容：

Azure ポータルアプリケーションを作成する
Azure ポータルアプリケーションを構成する

Azure ポータルアプリケーションを作成する

ギャラリー以外のAzureポータルSAMLアプリケーションを作成するには、次の手順に従います。

Azure ポータルメニューで、 [すべてのサービス]をクリックします。「 ID 」セクションで、「 エンタープライズ・アプリケーション」をクリックします。
「 新規アプリケーション」をクリックし、「 独自のアプリケーションの作成」をクリックします。
アプリケーションの名前を入力します。 [ アプリケーションで何をしますか?] という質問が表示されたら、[ ギャラリーにない他のアプリケーションを統合する] を選択します。
[作成]をクリックします。

Azure ポータルアプリケーションを構成する

Azure ポータルメニューで、 [ユーザーとグループ]をクリックします。
[ユーザー/グループの追加]をクリックし、このSAMLアプリケーションへのアクセスを許可するユーザーまたはグループを選択します。 SSO を使用して Databricks ワークスペースにログインするには、ユーザーはこの SAML アプリケーションにアクセスできる必要があります。
Azure ポータルメニューで、 [シングルサインオン]をクリックします。
SAMLタイルをクリックして、SAML 認証用にアプリケーションを構成します。
「基本的なSAML構成」の横にある「編集」をクリックします。
- 必要な情報を収集して、 エンティティ ID を Databricks SAML URL に設定します。
- 必要な情報を収集して、 応答 URL を Databricks SAML URL に設定します。
「SAML署名証明書」の横にある「編集」をクリックします。
「署名オプション」ドロップダウンリストで、「SAML応答とアサーションに署名」を選択します。
[ Attributes & Claims] で [Edit] をクリックします。
[ 一意のユーザー識別子(名前 ID)] フィールドを user.mailに設定します。
[SAML 証明書]の下にある[証明書 (Base64)]の横にある[ダウンロード]をクリックします。証明書は、拡張子が .cer のファイルとしてローカルにダウンロードされます。
テキストエディタで .cer ファイルを開きます。 macOS のデフォルトである macOS キーチェーンを使用して開かないでください。このファイルは、Microsoft Entra ID SAML アプリケーションの x.509 証明書全体で構成されています。

重要

証明書は機密データです。ダウンロードする場所に注意し、できるだけ早くローカルストレージから削除してください。
ファイルの内容をコピーします。
Microsoft Entra ID SAML ツールキットのセットアップで、ログイン URL と Microsoft Entra ID 識別子をコピーします。

Databricksの設定

ワークスペース管理者として、Databrickワークスペースにログインします。
Databricks ワークスペースの上部バーにあるユーザー名をクリックし、 [設定]を選択します。
[IDとアクセス]タブをクリックします。
SSO 設定の横にある[管理] をクリックします。
ポータルアプリケーションの構成 から、シングルAzure サインオン URL をログイン URL に設定します。
Azure ポータルアプリケーションの構成 から、ID プロバイダーエンティティ ID を Microsoft Entra ID 識別子に設定します。
Azure ポータルアプリケーションの構成からの証明書を[X.509 証明書]フィールドに貼り付けます。
「SSOを有効にする」をクリックします。
必要に応じて、「ユーザーの自動作成を許可する」をクリックします。

設定をテストする

シークレットブラウザウィンドウで、Databricksワークスペースに移動します。
シングルオンをクリックします。 Microsoft Entra ID にリダイレクトされます。
Microsoft Entra ID の資格情報を入力します。 SSO が正しく構成されている場合は、Databricks にリダイレクトされます。

テストが失敗した場合は、「トラブルシューティング」を確認してください。