サービスプリンシパルを管理する

[アーティクル]
04/24/2024

この記事では、Azure Databricks アカウントとワークスペースのサービスプリンシパルを作成し、管理する方法について説明します。

Azure Databricks ID モデルの概要については、「Azure Databricks の ID」を参照してください。

サービスプリンシパルのアクセスを管理するには、「認証とアクセス制御」を参照してください。

サービスプリンシパルとは

サービスプリンシパルは、自動化されたツール、ジョブ、アプリケーションで使用するための Azure Databricks で作成する ID です。サービスプリンシパルを使用すると、自動化されたツールとスクリプトに Azure Databricks リソースへの API 専用のアクセスが提供されるため、ユーザーやグループを使用するよりもセキュリティが強化されます。

サービスプリンシパルによるリソースへのアクセスを許可したり制限したりするには、Azure Databricks ユーザーと同じ方法を使用します。たとえば、次を実行できます。

サービスプリンシパルアカウント管理者とワークスペース管理者のロールを付与します。
Unity Catalog を使用してアカウントレベルまたはワークスペースレベルのデータへのアクセス権をサービスプリンシパルに付与します。
ワークスペース admins グループなど、アカウントレベルとワークスペースレベルの両方のグループにサービスプリンシパルを追加します。

Azure Databricks のユーザー、サービスプリンシパル、およびグループに、サービスプリンシパルを使用するためのアクセス許可を付与することもできます。これにより、ユーザーは自分の ID ではなく、サービスプリンシパルとしてジョブを実行できます。また、ユーザーが組織を離れた場合やグループが変更された場合に、ジョブが失敗するのを防ぎます。

Azure Databricks ユーザーとは異なり、サービスプリンシパルは API 専用の ID です。これを使用して、Azure Databricks UI にアクセスすることはできません。

Databricks では、ワークスペースで ID フェデレーションを有効にすることをお勧めします。 ID フェデレーションを使うと、アカウントコンソールでサービスプリンシパルを構成してから、それらに特定のワークスペースへのアクセス権を割り当てることができます。これにより、Azure Databricks の管理とデータガバナンスが簡略化されます。

重要

お使いのアカウントが 2023 年 11 月 9 日以降に作成されている場合、すべての新しいワークスペースで ID フェデレーションが既定で有効になり、無効にすることはできません。

Databricks と Microsoft Entra ID (旧称 Azure Active Directory) のサービスプリンシパル

サービスプリンシパルには、Azure Databricks マネージドサービスプリンシパルまたは Microsoft Entra ID マネージドサービスプリンシパルを指定できます。

Azure Databricks マネージドサービスプリンシパルは、Databricks OAuth 認証と個人用アクセストークンを使って、Azure Databricks に対する認証を行うことができます。 Microsoft Entra ID マネージドサービスプリンシパルは、Databricks OAuth 認証と Microsoft Entra ID トークンを使用して Azure Databricks に対して認証を行うことができます。サービスプリンシパルの認証について詳しくは、「サービスプリンシパルのトークンを管理する」をご覧ください。

Azure Databricks マネージドサービスプリンシパルは、Azure Databricks 内で直接管理されます。 Microsoft Entra ID マネージドサービスプリンシパルは、追加のアクセス許可が必要とされる Microsoft Entra ID 内で管理されます。 Databricks では、Azure Databricks の自動化に Azure Databricks マネージドサービスプリンシパルを使用し、Azure Databricks やその他の Azure リソースで同時に認証する必要がある場合は、Microsoft Entra ID マネージドサービスプリンシパルを使用することをお勧めします。

Azure Databricks マネージドサービスプリンシパルを作成するには、このセクションをスキップし、「サービスプリンシパルを管理および使用できるユーザー」をお読みください。

Azure Databricks で Microsoft Entra ID マネージドサービスプリンシパルを使うには、管理者ユーザーが Azure で Microsoft Entra ID アプリケーションを作成する必要があります。 Microsoft Entra ID マネージドサービスプリンシパルを作成するには、次の手順に従います。

Azure portal にサインインします。

Note

使用するポータルは、Microsoft Entra ID (旧称 Azure Active Directory) アプリケーションが Azure パブリッククラウド、各国のクラウドまたはソブリンクラウドのいずれで実行されるかによって異なります。詳細については、各国のクラウドに関する記事をご覧ください。
複数のテナント、サブスクリプション、またはディレクトリにアクセスできる場合は、上部のメニューの [ディレクトリ + サブスクリプション] (フィルター付きのディレクトリ) アイコンをクリックして、サービスプリンシパルをプロビジョニングするディレクトリに切り替えます。
[リソース、サービス、ドキュメントの検索] で「Microsoft Entra ID」を検索して選びます。
[+ 追加] をクリックし、[アプリの登録] を選びます。
[名前] にアプリケーションの名前を入力します。
[サポートされているアカウントの種類] セクションで、[この組織ディレクトリのみに含まれるアカウント (シングルテナント)] を選択します。
[登録] をクリックします。
アプリケーションページの [概要] ページの [要点] セクションで、次の値をコピーします。
- アプリケーション (クライアント) ID
- ディレクトリ (テナント) ID
クライアントシークレットを生成するには、[管理] 内で、[証明書とシークレット] をクリックします。

Note

このクライアントシークレットを使って、Azure Databricks で Microsoft Entra ID サービスプリンシパルを認証するための Microsoft Entra ID トークンを生成します。 Azure Databricks ツールまたは SDK が Microsoft Entra ID トークンを使用できるかどうかを確認するには、ツールまたは SDK のドキュメントを参照してください。
[クライアントシークレット] タブで、[新しいクライアントシークレット] をクリックします。
[クライアントシークレットの追加] ウィンドウの [説明] に、クライアントシークレットの説明を入力します。
[有効期限] で、クライアントシークレットの有効期限の期間を選択して、[追加] をクリックします。
クライアントシークレットの値をコピーし、安全な場所に保存します。このクライアントシークレットはアプリケーションのパスワードです。

サービスプリンシパルを管理および使用できるユーザー

Azure Databricks でサービスプリンシパルを管理するには、アカウント管理者ロール、ワークスペース管理者ロール、またはサービスプリンシパルに対するマネージャーあるいはユーザーロールのいずれかを持っている必要があります。

アカウント管理者は、アカウントにサービスプリンシパルを追加し、管理者ロールを割り当てることができます。また、ワークスペースで ID フェデレーションが使用されていれば、そのワークスペースにサービスプリンシパルを割り当てることもできます。
ワークスペース管理者は、サービスプリンシパルを Azure Databricks ワークスペースに追加し、ユーザーにワークスペース管理者ロールを割り当てることができます。また、ワークスペース内のオブジェクトや機能へのアクセスを管理できます。たとえば、クラスターの作成や、指定されたペルソナベース環境へのアクセスなどです。
サービスプリンシパルマネージャーは、サービスプリンシパル上のロールを管理できます。サービスプリンシパルの作成者はサービスプリンシパルマネージャーになります。アカウント管理者は、アカウント内のすべてのサービスプリンシパルのサービスプリンシパルマネージャーです。

Note

2023 年 6 月 13 日より前にサービスプリンシパルが作成された場合、サービスプリンシパルの作成者は既定ではサービスプリンシパルマネージャーロールを持ちません。自分にサービスプリンシパルマネージャーロールを付与するようにアカウント管理者に依頼してください。

サービスプリンシパルユーザーは、サービスプリンシパルとしてジョブを実行できます。ジョブは、ジョブの所有者の ID ではなく、サービスプリンシパルの ID を使用して実行されます。詳細については、「サービスプリンシパルとしてのジョブ実行」を参照してください。

サービスプリンシパルにマネージャーおよびユーザーのロールを付与する方法については、「サービスプリンシパルを管理するためのロール」を参照してください。

アカウントのサービスプリンシパルを管理する

アカウント管理者は、アカウントコンソールを使用して、Azure Databricks アカウントにサービスプリンシパルを追加できます。

アカウントコンソールを使用してアカウントにサービスプリンシパルを追加する

サービスプリンシパルは、Azure Databricks 内に作成することも、既存の Microsoft Entra ID (旧称 Azure Active Directory) サービスプリンシパルからリンクすることもできます。「Databricks と Microsoft Entra ID (旧称 Azure Active Directory) のサービスプリンシパル」をご覧ください。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[サービスプリンシパル] タブで、[サービスプリンシパルの追加] をクリックします。
[管理] で、[Databricks managed] (Databricks で管理) または [Microsoft Entra ID managed] (Microsoft Entra ID で管理) を選びます。
[Microsoft Entra ID managed] (Microsoft Entra ID で管理) を選んだ場合は、[Microsoft Entra アプリケーション ID] に、サービスプリンシパルのアプリケーション (クライアント) ID を貼り付けます。
サービスプリンシパルの名前を入力します。
[追加] をクリックします。

サービスプリンシパルにアカウント管理者ロールを割り当てる

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[サービスプリンシパル] タブで、ユーザー名を見つけてクリックします。
[ロール] タブで、[アカウント管理者] または [マーケットプレース管理者] をオンにします。

アカウントコンソールを使用してワークスペースにサービスプリンシパルを割り当てる

アカウントコンソールを使用してワークスペースにユーザーを追加するには、ワークスペースで ID フェデレーションが有効でなければなりません。ワークスペース管理者は、ワークスペース管理者設定ページを使用して、サービスプリンシパルをワークスペースに割り当てることもできます。詳細については、「ワークスペース管理者設定を使用してワークスペースにサービスプリンシパルを追加する」をご覧ください。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ワークスペース] をクリックします。
ワークスペース名をクリックします。
[Permissions](アクセス許可) タブで [Add permissions](アクセス許可の追加) をクリックします。
サービスプリンシパルを見つけて選択し、アクセス許可レベル (ワークスペース ユーザー、または管理者) を割り当てて、[保存] をクリックします。

アカウントコンソールを使用してワークスペースからサービスプリンシパルを削除する

アカウントコンソールを使用してワークスペースからサービスプリンシパルを削除するには、ワークスペースで ID フェデレーションが有効でなければなりません。サービスプリンシパルがワークスペースから削除されると、そのサービスプリンシパルからそのワークスペースにアクセスできなくなりますが、アクセス許可はそのサービスプリンシパルに維持されます。後でそのサービスプリンシパルがそのワークスペースに再び追加されると、以前のアクセス許可が回復します。

アカウント管理者としてアカウントコンソールにログインします
サイドバーで、[ワークスペース] をクリックします。
ワークスペース名をクリックします。
[アクセス許可] タブで、サービスプリンシパルを見つけます。
サービスプリンシパル行の右端にある kebab メニューをクリックし、[削除] を選択します。
確認のダイアログボックスで [削除] をクリックします。

Azure Databricks アカウント内のサービスプリンシパルを非アクティブ化する

アカウント管理者は、Azure Databricks アカウント全体でサービスプリンシパルを非アクティブ化できます。非アクティブ化されたサービスプリンシパルは、Azure Databricks アカウントまたはワークスペースに対して認証できません。ただし、サービスプリンシパルのすべてのアクセス許可とワークスペースオブジェクトは変更されません。サービスプリンシパルが非アクティブ化された場合、次のようになります。

サービスプリンシパルは、どの方法からもアカウントまたはワークスペースに対して認証できません。
サービスプリンシパルによって生成されたトークンを使用するアプリケーションまたはスクリプトは、Databricks API にアクセスできなくなります。トークンは残りますが、サービスプリンシパルが非アクティブである間は認証に使用できません。
サービスプリンシパルによって所有されるクラスターは実行され続けます。
サービスプリンシパルによって作成されたスケジュール済みジョブは、新しい所有者に割り当てられない限り失敗します。

サービスプリンシパルは、再アクティブ化されると、同じアクセス許可を使って Azure Databricks にログインできます。 Databricks では、サービスプリンシパルの削除は破壊的なアクションであるため、サービスプリンシパルを削除する代わりにアカウントから非アクティブ化することをお勧めします。「Azure Databricks アカウントからサービスプリンシパルを削除する」を参照ください。アカウントからサービスプリンシパルを非アクティブ化すると、そのサービスプリンシパルは ID フェデレーションワークスペースからも非アクティブ化されます。

アカウントコンソールを使用してユーザーを非アクティブ化することはできません。代わりに、Account Service Principals API を使用します。「API を使用してサービスプリンシパルを非アクティブ化する」を参照してください。

Azure Databricks アカウントからサービスプリンシパルを削除する

アカウント管理者は、Azure Databricks アカウントからサービスプリンシパルを削除できます。これをワークスペース管理者が行うことはできません。アカウントからサービスプリンシパルを削除すると、そのプリンシパルはワークスペースからも削除されます。

重要

アカウントからサービスプリンシパルを削除すると、ID フェデレーションが有効になっているかどうかに関係なく、そのサービスプリンシパルはワークスペースからも削除されます。アカウントレベルのサービスプリンシパルの削除は、それらによるアカウント内のすべてのワークスペースへのアクセスを禁止する場合を除き、行わないことをお勧めします。サービスプリンシパルを削除した場合の次の結果に注意してください。

サービスプリンシパルによって生成されたトークンを使用するアプリケーションまたはスクリプトは、Databricks API にアクセスできなくなります
サービスプリンシパルによって所有されるジョブは失敗します
サービスプリンシパルによって所有されるクラスターは停止します
サービスプリンシパルによって作成され、"所有者として実行" 資格情報を使用して共有されるクエリまたはダッシュボードは、共有が失敗しないようにするには、新しい所有者に割り当てる必要があります

Microsoft Entra ID のサービスプリンシパルがアカウントから削除されると、そのサービスプリンシパルからそのアカウントまたはワークスペースにアクセスできなくなりますが、アクセス許可はそのサービスプリンシパルに維持されます。後でそのサービスプリンシパルがそのアカウントに再び追加されると、以前のアクセス許可が回復します。

アカウントコンソールを使用してサービスプリンシパルを削除するには、次を行います。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[サービスプリンシパル] タブで、ユーザー名を見つけてクリックします。
[プリンシパル情報] タブで、右上角にあるケバブメニューをクリックし、[削除] を選択します。
確認ダイアログボックスで、[削除の確認] をクリックします。

ワークスペースのサービスプリンシパルを管理する

ワークスペース管理者は、ワークスペース管理者設定ページを使用して、ワークスペース内のサービスプリンシパルを管理できます。

ワークスペース管理者設定を使用してワークスペースにサービスプリンシパルを追加する

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[サービスプリンシパル] の横にある [管理] をクリックします。
[サービスプリンシパルの追加] をクリックします。
ワークスペースに割り当てる既存のサービスプリンシパルを選択するか、[新規追加] をクリックして新しいサービスプリンシパルを追加します。

新しいサービスプリンシパルを追加するには、[Databricks managed] (Databricks で管理) または [Microsoft Entra ID managed] (Microsoft Entra ID で管理) を選びます。 [Microsoft Entra ID managed] (Microsoft Entra ID で管理) を選んだ場合は、サービスプリンシパルのアプリケーション (クライアント) ID を貼り付けて、表示名を入力します。
[追加] をクリックします。

Note

ワークスペースで ID フェデレーションが有効になっていない場合は、既存のアカウントサービスプリンシパルをワークスペースに割り当てることはできません。

ワークスペース管理者設定ページを使用してワークスペース管理者ロールをサービスプリンシパルに割り当てる

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
admins システムグループを選択します。
[メンバーの追加] をクリックします。
サービスプリンシパルを選択し、[確認] をクリックします。

サービスプリンシパルからワークスペース管理者ロールを削除するには、管理者グループからサービスプリンシパルを削除します。

Azure Databricks ワークスペース内のサービスプリンシパルを非アクティブ化する

ワークスペース管理者は、Azure Databricks ワークスペース内のサービスプリンシパルを非アクティブ化できます。非アクティブ化されたサービスプリンシパルは、Azure Databricks API からワークスペースにアクセスできませんが、サービスプリンシパルのすべてのアクセス許可とワークスペースオブジェクトは変更されません。サービスプリンシパルが非アクティブ化された場合:

サービスプリンシパルは、どの方法からもワークスペースに対して認証できません。
サービスプリンシパルの状態は、ワークスペース管理者設定ページで [非アクティブ] と表示されます。
サービスプリンシパルによって生成されたトークンを使用するアプリケーションまたはスクリプトは、Databricks API にアクセスできなくなります。トークンは残りますが、サービスプリンシパルが非アクティブである間は認証に使用できません。
サービスプリンシパルによって所有されるクラスターは実行され続けます。
サービスプリンシパルによって作成されたスケジュールされたジョブは、失敗しないように新しい所有者に割り当てる必要があります。

サービスプリンシパルは、再アクティブ化されると、同じアクセス許可でワークスペースに対する認証を行うことができます。 Databricks では、サービスプリンシパルの削除は破壊的なアクションであるため、サービスプリンシパルを削除する代わりに非アクティブ化することをお勧めします。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[サービスプリンシパル] の横にある [管理] をクリックします。
非アクティブ化するサービスプリンシパルを選択します。
[状態]で、[アクティブ] をオフにします。

サービスプリンシパルをアクティブに設定するには、同じ手順を実行しますが、代わりにチェックボックスをオンにします。

ワークスペース管理者設定ページを使用してワークスペースからサービスプリンシパルを削除する

ワークスペースからサービスプリンシパルを削除しても、アカウントからサービスプリンシパルは削除されません。アカウントからサービスプリンシパルを削除するには、「Azure Databricks アカウントからサービスプリンシパルを削除する」を参照してください。

サービスプリンシパルがワークスペースから削除されると、そのサービスプリンシパルからそのワークスペースにアクセスできなくなりますが、アクセス許可はそのサービスプリンシパルに維持されます。後でそのサービスプリンシパルがワークスペースに再び追加されると、以前のアクセス許可が回復します。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[サービスプリンシパル] の横にある [管理] をクリックします。
サービスプリンシパルを選択します。
右上隅の [削除] をクリックします。
[削除] をクリックして確定します。

API を使用してサービスプリンシパルを管理する

アカウント管理者とワークスペース管理者は、Databricks API を使用して、Azure Databricks のアカウントとワークスペース内のサービスプリンシパルを管理できます。 API を使ったサービスプリンシパルのロールの管理については、「Databricks CLI を使用してサービスプリンシパルのロールを管理する」をご覧ください。

API を使用してアカウント内のサービスプリンシパルを管理する

管理者は、Account Service Principals API を使用して、Azure Databricks アカウントでサービスプリンシパルを追加および管理できます。アカウント管理者とワークスペース管理者は、別のエンドポイント URL を使用して API を呼び出します。

アカウント管理者は {account-domain}/api/2.0/accounts/{account_id}/scim/v2/ を使用します。
ワークスペース管理者は {workspace-domain}/api/2.0/account/scim/v2/ を使用します。

詳細については、「Account Service Principals API」を参照してください。

API を使用してサービスプリンシパルを非アクティブ化する

アカウント管理者は、Account Service Principals API を使用してサービスプリンシパルの状態を false に変更することでサービスプリンシパルを非アクティブ化することができます。

次に例を示します。

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.0/accounts/{account_id}/scim/v2/ServicePrincipals/{id} \
--header 'Content-type: application/scim+json' \
--data @update-sp.json \
| jq .

update-sp.json:

{
  "schemas": [ "urn:ietf:params:scim:api:messages:2.0:PatchOp" ],
  "Operations": [
    {
      "op": "replace",
      "path": "active",
      "value": [
        {
          "value": "false"
        }
      ]
    }
  ]
}

非アクティブ化されたサービスプリンシパルの状態には、アカウントコンソールで [非アクティブ] というラベルが付けられます。アカウントからサービスプリンシパルを非アクティブ化すると、そのサービスプリンシパルはそのワークスペースからも非アクティブ化されます。

API を使用してアカウント内のサービスプリンシパルを管理する

アカウント管理者とワークスペース管理者は、Workspace Assignment API を使用して、ID フェデレーションが有効なワークスペースにサービスプリンシパルを割り当てることができます。 Workspace Assignment API は、Azure Databricks のアカウントとワークスペースでサポートされています。

アカウント管理者は {account-domain}/api/2.0/accounts/{account_id}/workspaces/{workspace_id}/permissionassignments を使用します。
ワークスペース管理者は {workspace-domain}/api/2.0/preview/permissionassignments/principals/{principal_id} を使用します。

「ワークスペース割り当て API」を参照してください。

ワークスペースで ID フェデレーションが有効でない場合、ワークスペース管理者はワークスペースレベルの API を使用して、ワークスペースにサービスプリンシパルを割り当てることができます。「Workspace Service Principals API」をご覧ください。

サービスプリンシパルのトークンを管理する

サービスプリンシパルは、次のように Azure Databricks OAuth トークンまたは Azure Databricks 個人用アクセストークンを使って、Azure Databricks 上の API に対する認証を行うことができます。

Azure Databricks OAuth トークンは、Azure Databricks のアカウントレベルおよびワークスペースレベルの API に対する認証に使用できます。
- Azure Databricks のアカウントレベルで作成される Azure Databricks OAuth トークンは、Azure Databricks のアカウントレベルおよびワークスペースレベルの API に対する認証に使用できます。
- Azure Databricks のワークスペースレベルで作成される Azure Databricks OAuth トークンは、Azure Databricks ワークスペースレベルの API に対する認証にのみ使用できます。
Azure Databricks 個人用アクセストークンは、Azure Databricks ワークスペースレベルの API に対する認証にのみ使用できます。

サービスプリンシパルは、Microsoft Entra ID (旧称 Azure Active Directory) トークンを使用して Azure Databricks 上の API に対する認証を行うこともできます。

サービスプリンシパルの Databricks OAuth 認証を管理する

アカウントレベルとワークスペースレベルの Databricks REST API に対して認証するために、アカウント管理者はサービスプリンシパルに Azure Databricks OAuth トークンを使用できます。サービスプリンシパルのクライアント ID とクライアントシークレットを使って、OAuth トークンを要求できます。詳細については、「OAuth マシン間 (M2M) 認証」を参照してください。

サービスプリンシパルの個人用アクセストークンを管理する

Azure Databricks 上の API に対してのみ認証を行うために、サービスプリンシパルでは次のようにそれ自体の Databricks 個人用アクセストークンを作成できます。

Note

Azure Databricks ユーザーインターフェイスを使用して、サービスプリンシパル用の Azure Databricks 個人用アクセストークンを生成することはできません。このプロセスでは、Databricks CLI バージョン 0.205 以降を使用してサービスプリンシパル用のアクセストークンを生成します。 Databricks CLI が既にインストールされている場合は、Databricks CLI のインストールまたは更新を参照してください。

この手順では、OAuth マシン間 (M2M) 認証または Microsoft Entra ID サービスプリンシパル認証を使用して、サービスプリンシパル認証用の Databricks CLI を設定し、それ自体の Azure Databricks 個人用アクセストークンを生成することを前提としています。「OAuth マシン間 (M2M) 認証」または「 Microsoft Entra ID サービスプリンシパル認証」を参照してください。

Databricks CLI を使用して次のコマンドを実行し、サービスプリンシパル用に別のアクセストークンを生成します。

次のコマンドでは、次のプレースホルダーを置き換えます。
- オプションで、アクセストークンの目的に関する意味のあるコメントで <comment> を置き換えます。 --comment オプションが指定されていない場合は、コメントは生成されません。
- オプションで、アクセストークンが有効になる秒数で <lifetime-seconds> を置き換えます。たとえば、1 日は 86400 秒です。 --lifetime-seconds オプションが指定されていない場合、アクセストークンは期限切れにならないように設定されます (推奨されません)。
- オプションで、サービスプリンシパルとターゲットワークスペースの認証情報を含む Azure Databricks 構成プロファイル名で <profile-name> を置き換えます。 -p オプションが指定されていない場合、Databricks CLI は DEFAULT という名前の構成プロファイルを検索して使用しようとします。
```
databricks tokens create --comment <comment> --lifetime-seconds <lifetime-seconds> -p <profile-name>
```
応答では、サービスプリンシパルのアクセストークンである token_value の値をコピーします。

コピーしたトークンは必ず安全な場所に保存してください。コピーしたトークンは他人に見せないでください。コピーしたトークンを失った場合、それとまったく同じトークンは再生成できません。代わりに、この手順を繰り返して新しいトークンを作成する必要があります。

ワークスペースでトークンを作成することや使用することができない場合は、ワークスペース管理者によってトークンが無効にされているか、トークンを作成または使用する権限が作業者に付与されていない可能性があります。ワークスペース管理者に連絡するか、以下の情報を参照してください。
- ワークスペースの個人アクセストークン認証を有効または無効にする
- 個人用アクセストークンのアクセス許可

サービスプリンシパルの Microsoft Entra ID (旧称 Azure Active Directory) 認証を管理する

Microsoft Entra ID トークンを使用して API に対する認証を行えるのは、Microsoft Entra ID マネージドサービスプリンシパルだけです。 Microsoft Entra ID アクセストークンの作成については、「サービスプリンシパルの Microsoft Entra ID (旧称 Azure Active Directory) トークンを取得する」をご覧ください。

Microsoft Entra ID アクセストークンを使用して Tokens API を呼び出し、サービスプリンシパルの Databricks 個人用アクセストークンを作成できます。

サービス プリンシパルを管理する

サービス プリンシパルとは

Databricks と Microsoft Entra ID (旧称 Azure Active Directory) のサービス プリンシパル

サービス プリンシパルを管理および使用できるユーザー

アカウントのサービス プリンシパルを管理する

アカウント コンソールを使用してアカウントにサービス プリンシパルを追加する

サービス プリンシパルにアカウント管理者ロールを割り当てる

アカウント コンソールを使用してワークスペースにサービス プリンシパルを割り当てる

アカウント コンソールを使用してワークスペースからサービス プリンシパルを削除する

Azure Databricks アカウント内のサービス プリンシパルを非アクティブ化する

Azure Databricks アカウントからサービス プリンシパルを削除する

ワークスペースのサービス プリンシパルを管理する

ワークスペース管理者設定を使用してワークスペースにサービス プリンシパルを追加する

ワークスペース管理者設定ページを使用してワークスペース管理者ロールをサービス プリンシパルに割り当てる

Azure Databricks ワークスペース内のサービス プリンシパルを非アクティブ化する

ワークスペース管理者設定ページを使用してワークスペースからサービス プリンシパルを削除する

API を使用してサービス プリンシパルを管理する

API を使用してアカウント内のサービス プリンシパルを管理する

API を使用してサービス プリンシパルを非アクティブ化する

API を使用してアカウント内のサービス プリンシパルを管理する

サービス プリンシパルのトークンを管理する

サービス プリンシパルの Databricks OAuth 認証を管理する

サービス プリンシパルの個人用アクセス トークンを管理する

サービス プリンシパルの Microsoft Entra ID (旧称 Azure Active Directory) 認証を管理する

その他のリソース

サービスプリンシパルを管理する

サービスプリンシパルとは

Databricks と Microsoft Entra ID (旧称 Azure Active Directory) のサービスプリンシパル

サービスプリンシパルを管理および使用できるユーザー

アカウントのサービスプリンシパルを管理する

アカウントコンソールを使用してアカウントにサービスプリンシパルを追加する

サービスプリンシパルにアカウント管理者ロールを割り当てる

アカウントコンソールを使用してワークスペースにサービスプリンシパルを割り当てる

アカウントコンソールを使用してワークスペースからサービスプリンシパルを削除する

Azure Databricks アカウント内のサービスプリンシパルを非アクティブ化する

Azure Databricks アカウントからサービスプリンシパルを削除する

ワークスペースのサービスプリンシパルを管理する

ワークスペース管理者設定を使用してワークスペースにサービスプリンシパルを追加する

ワークスペース管理者設定ページを使用してワークスペース管理者ロールをサービスプリンシパルに割り当てる

Azure Databricks ワークスペース内のサービスプリンシパルを非アクティブ化する

ワークスペース管理者設定ページを使用してワークスペースからサービスプリンシパルを削除する

API を使用してサービスプリンシパルを管理する

API を使用してアカウント内のサービスプリンシパルを管理する

API を使用してサービスプリンシパルを非アクティブ化する

API を使用してアカウント内のサービスプリンシパルを管理する

サービスプリンシパルのトークンを管理する

サービスプリンシパルの Databricks OAuth 認証を管理する

サービスプリンシパルの個人用アクセストークンを管理する

サービスプリンシパルの Microsoft Entra ID (旧称 Azure Active Directory) 認証を管理する