エンタイトルメントを管理する

このページでは、ユーザー、サービス プリンシパル、およびグループの権利を管理する方法について説明します。

エンタイトルメントの概要

エンタイトルメントとは、ユーザー、サービス プリンシパル、またはグループが、指定した方法で Azure Databricks と対話できるようにするプロパティです。 エンタイトルメントは、ワークスペース レベルでユーザーに割り当てられます。 エンタイトルメントは Premium プランでのみ使用できます。

アクセス権

各アクセス権は、ワークスペース内の特定の機能セットへのアクセス権をユーザーに付与します。

  • コンシューマー アクセス: ダッシュボード、Genie Agents、および共有されている Databricks Apps を表示するための簡略化された環境へのアクセスを許可します。 「 コンシューマー アクセスとは」を参照してください。
  • Databricks SQL アクセス: ダッシュボード、クエリ、SQL ウェアハウスなどの Databricks SQL 機能へのアクセスを許可します。 Azure Databricks のデータ ウェアハウスを参照してください。
  • ワークスペース アクセス: ノートブック、ジョブ、モデル、パイプラインなどのコア ワークスペース機能へのアクセスを許可します。 Data engineering with Databricks and Machine learning on Azure Databricks を参照してください。

次の表は、各アクセス権で付与される機能を示しています。

能力 消費者アクセス Databricks SQL アクセス ワークスペース アクセス
共有ダッシュボード、Genie エージェント、Databricks Apps の読み取り/実行 ✓ ✓ ✓
BI ツールを使用して SQL ウェアハウスにクエリを実行する ✓ ✓
Databricks SQL オブジェクトの読み取り/書き込み ✓
データ サイエンス オブジェクトとエンジニアリング オブジェクトの読み取り/書き込み ✓

Azure Databricks ワークスペースにアクセスするには、ユーザーに少なくとも 1 つのアクセス権が必要です。

コンシューマー アクセスとアカウント ユーザー

前の表は、ワークスペース内のアクセス権をまとめたものです。 次の表は、ワークスペース のメンバーシップを持たないアカウント ユーザーに対する コンシューマー アクセス 権を持つワークスペース ユーザーが使用できる機能を比較したものです。

能力 ワークスペースへのコンシューマー アクセス ワークスペース メンバーシップのないアカウント ユーザー
共有データのアクセス許可を使用してダッシュボードを表示する ✓ ✓
ビューアーの資格情報を使用してダッシュボードを表示する ✓ ✓
共有 Genie エージェントと Databricks アプリを表示する ✓
行レベルおよび列レベルのセキュリティを使用してオブジェクトを表示する ✓ ✓
ワークスペースにバインドされたセキュリティ保護可能なリソースからダッシュボード データにアクセスする ✓
制限付きコンシューマー ワークスペース UI へのアクセス ✓
BI ツールを使用して SQL ウェアハウスにクエリを実行する ✓

コンピューティング エンタイトルメント

[無制限のクラスター作成を許可する] と [プールの作成を許可する] エンタイトルメントは、ワークスペース内のコンピューティング リソースをプロビジョニングする機能を制御します。 ワークスペース管理者は、既定でこれらの権利を受け取ります。削除することはできません。 管理者以外のユーザーには、明示的に割り当てられない限り付与されません。

  • 無制限のクラスター作成を許可すると 、無制限のクラスターを作成するためのアクセス許可がユーザーまたはサービス プリンシパルに付与されます。

  • プールの作成を許可すると 、インスタンス プールの作成が有効になります。 削除できない admins グループを除き、管理者設定 UI または API を使用して、ユーザー、サービス プリンシパル、またはグループに対してこの権利を付与または削除できます。 API を使用したエンタイトルメントの管理を参照してください。

既定の権利

一部の権利は、特定のユーザーとグループに自動的に付与されます。

  • ワークスペース管理者 には常に次の権利が付与され、削除することはできません。

    • ワークスペース アクセス
    • 無制限のクラスターの作成を許可する
    • プールの作成を許可する

    管理者には Databricks SQL アクセス 権も既定で付与されますが、削除することもできます。 ただし、管理者はエンタイトルメント管理のアクセス許可を保持するため、いつでも自分自身に再割り当てできます。

  • ワークスペース ユーザーには、 グループのメンバーシップを使用して、ワークスペース アクセスと usersが既定で付与されます。 すべてのワークスペース ユーザーとサービス プリンシパルがこのグループに自動的に追加されます。

    users グループの既定の権利は、権利の割り当てまたは制限方法に影響します。 コンシューマー アクセス エクスペリエンスを提供するには、users グループを通じて付与された既定のエンタイトルメントに依存するのではなく、特定のユーザー、サービス プリンシパル、またはグループに権利を個別に割り当てます。 ワークスペースを新しいシステムグループの動作に移行した後、各プリンシパルを追加する際に、そのプリンシパルに付与するエンタイトルメントを選択します。 新しいプリンシパルは、 users グループから権利を継承しません。 「 ワークスペースエンタイトルメント制御の移行」を参照してください。

Note

2026 年 6 月 15 日より、Databricks では、ワークスペースにプリンシパルが追加されたときにワークスペースの権利が明示的に付与され、ワークスペース システム グループ (usersとadmins) が割り当て可能な権利を持たなくなった新しい動作がロールアウトされます。 users グループには権利がなく、admins グループにはすべてのワークスペースエンタイトルメントが含まれます。 両方のグループの権利がロックされています。 users上の既存のエンタイトルメントは、ワークスペースローカルクローングループに自動的に移行されるため、プリンシパルはアクセス権を保持します。 この新しい動作は 、2026 年 7 月 27 日に、オプトインまたはオプトアウトされていないワークスペースに対して自動的に有効になり、 2026 年 9 月 14 日にすべてのワークスペースに適用されます。 詳細については、「今後の動作変更: ワークスペースにプリンシパルを追加する際の権限の選択」を参照してください。

ワークスペース管理者設定ページを使用して権利を管理する

ワークスペース管理者は、ワークスペース管理者設定ページを使用して、ユーザー、サービス プリンシパル、およびグループの権利を管理できます。

  1. ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
  2. 上部のバーでユーザー名をクリックし、[ 設定] を選択します。
  3. [ ID とアクセス ] タブをクリックします。
  4. 管理する内容に応じて、[ユーザー]、[サービス プリンシパル]、または [グループ] の横にある [管理] をクリックします。
  5. 更新するユーザー、サービス プリンシパル、またはグループを選択します。
  6. 権利を付与するには、権利の横にあるトグルを選択します。

権利を削除するには、トグルの選択を解除します。

権利がグループから継承されている場合、トグルは選択されて表示されますが、淡色表示されます。継承された権利を削除するには、次のいずれかを行います。

  • 権利を持つグループからユーザーまたはサービス プリンシパルを削除します。
  • グループ自体からエンタイトルメントを削除します。

グループの権利を削除すると、個別または別のグループを通じて権利が付与されない限り、そのグループのすべてのメンバーに影響します。

API を使用して権利を管理する

次の API を使用して、ユーザー、サービス プリンシパル、およびグループの権利を管理できます。

次の表に、各エンタイトルメントとそれに対応する API 名を示します。

エンタイトルメント名 エンタイトルメント API 名
消費者アクセス workspace-consume
ワークスペース アクセス workspace-access
Databricks SQL アクセス databricks-sql-access
無制限のクラスターの作成を許可する allow-cluster-create
プールの作成を許可する allow-instance-pool-create

たとえば、API を使用してグループに allow-instance-pool-create エンタイトルメントを割り当てるには、次のようにします。

curl --netrc -X PATCH \
https://<databricks-instance>/api/2.0/preview/scim/v2/Groups/<group-id> \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "add",
      "path": "entitlements",
      "value": [
        {
          "value": "allow-instance-pool-create"
        }
      ]
    }
  ]
}
  • Last updated on