外部モデルプロバイダーをモデルプロバイダーサービスとして登録し、アクセスを許可し、Unity AI Gatewayの機能を設定し、削除します。
Requirements
- モデル プロバイダー サービスを作成するスキーマの
CREATE SERVICE、加えて、そのカタログとスキーマのUSE CATALOGとUSE SCHEMA。 - 登録する外部プロバイダーの資格情報 (OpenAI API キーや AWS アクセス キー ペアなど)。
- OpenAIやMicrosoft Foundry Azure鍵や秘密ではなくサービス認証情報で認証するには、既存のサービス認証情報とそれに
ACCESSが必要です。 サービス認証でAzure OpenAIまたはMicrosoft Foundryを認証する方法を参照してください。
モデルプロバイダーサービスの作成
モデル プロバイダー サービスと モデル サービス は、Unity カタログ スキーマ内で 1 つの名前名前空間を共有します。 スキーマ内のモデル サービスで既に使用されている場合は、モデル プロバイダー サービスの名前を使用できません。その逆も同様です。
UI を使用する
- 次のいずれかの操作を行います。
- ワークスペースのサイドバーで 「AI Gateway」をクリックし、「 Providers 」タブを開き、「 Provider」をクリックします。
- カタログエクスプローラーで、モデルプロバイダーサービスを作成したいスキーマに移動し、「Create>Service」をクリックし、「Create a service」ダイアログで「Model provider service」を選択します。
- モデル プロバイダー サービスの名前を入力し、作成するカタログとスキーマを選択します。 カタログ エクスプローラーから開始すると、カタログとスキーマがカタログ エクスプローラーによって事前入力されます。
- プロバイダーの種類を選択し、プロバイダーの接続の詳細と資格情報を入力します。
- Create をクリックしてください。 Azure Databricksは、資格情報を暗号化して格納します。 この時点以降、UI には表示されません。
プロバイダーとその認証方法の完全な一覧については、外部モデルプロバイダーを管理する（モデルプロバイダーサービス）を参照してください。
サービス認証でAzure OpenAIまたはMicrosoft Foundryを認証する
Azure OpenAIやMicrosoft Foundryプロバイダーは、APIキーやMicrosoft Entra IDのサービスプリンシパルクライアント秘密を保存する代わりに、サービス認証情報で認証できます。 サービス認証はUnity Catalogが管理するAzureのアイデンティティを保持するため、長期存在するシークレットがモデルプロバイダーサービスにコピーされることはありません。Azure Databricksはそのアイデンティティから短命トークンを取得して各リクエストを認証します。
モデル プロバイダー サービスを作成するで説明されているように、モデル プロバイダー サービスを作成してください。 プロバイダータイプとしてAzure OpenAIまたはMicrosoft Foundryを選択し、エンドポイントの基本URLを含む接続詳細を入力します。 次に 、認証メソッド を サービス認証に 設定し、APIキーやクライアントシークレットを入力する代わりに認証情報を選択してください。 サービス認証情報は秘密のみを置き換えるため、エンドポイントのベースURLは依然として必要です。
次の要件を確認します。
モデルプロバイダーサービスの 所有者 はサービス認証情報に
ACCESSを持っています。 Azure Databricksはリクエストを送る際に所有者のアクセスを再確認するため、プロバイダーが使用されている間は所有者がアクセス権を保持しなければなりません。 取り消すと、プロバイダーにEXECUTEを持っている発信者も含めて、全員の問い合わせが停止します。 所有者に認証情報へのアクセスを付与するには:GRANT ACCESS ON SERVICE CREDENTIAL <service-credential-name> TO `<model-provider-service-owner>`;認証情報の目的は保存ではなく サービスにあります。
認証情報はリクエストが来るワークスペースで利用可能です。 ワークスペースのバインディングは依然として適用されるため、認証情報が拘束されていないワークスペースからのリクエストはそこで失敗します。モデルプロバイダーサービス自体はメタストアを共有するどのワークスペースからでもアクセス可能です。
サービス認証のAzureアイデンティティは、あなたが問い合わせる予定のAzure OpenAIまたはMicrosoft Foundryのデプロイメントを呼び出す権限を持っています。 サービス資格情報を作成するには、「 サービス資格情報の作成」を参照してください。
プロバイダーに問い合わせる電話は、他のプロバイダーと同じ助成金が必要です。 サービス認証情報の権限は不要で、それが認証情報自体を手の届かない状態にしています。
モデルプロバイダーサービスは内部識別子で認証情報を追跡するため、クエリ失敗なく資格情報を変更できます。
認証情報を削除するとクエリは失敗し、モデルプロバイダーサービスが参照している警告もありません。 この認証情報への参照がないか確認してから削除してください。
既存のモデルプロバイダーサービスをサービス認証情報とAPIキーやクライアントシークレット認証の間で切り替えることはできません。 代わりに新しいモデルプロバイダーサービスを作成しましょう。
カスタムプロバイダーAPIキーをヘッダーで送信します
カスタムプロバイダーはデフォルトでAPIキーをベアラートークンとして送信します。 エンドポイントが特定のヘッダーのキーを期待する場合は、APIキーヘッダー認証を使い、自分でヘッダー名を付けましょう。 Azure Databricksは各アウトバウンドリクエストでキーを<header name>: <header value>として送信します。
モデル プロバイダー サービスを作成する で説明されているように、モデル プロバイダー サービスを作成してください。 プロバイダータイプとして Custom を選択し、 Authメソッド を APIキーヘッダー に設定し、エンドポイントが期待する ヘッダー名 ( X-API-Key や Ocp-Apim-Subscription-Keyなど)と ヘッダーの値を入力します。
この 2 つの方法は相互排他的です。カスタムプロバイダーは、ベアラー トークンまたは名前付きヘッダーのいずれか一方のみを使用し、両方を同時に使用することはありません。 ヘッダー認証は正確に1つのヘッダーを扱います。
ヘッダー名は有効なHTTPヘッダー名でなければなりません。文字、数字、文字 !#$%&'*+-.^_`|~、最大255文字まで。 スペース、コロン、スラッシュ、改行など、他の文字は除外されます。
アクセス権を付与する
他のユーザーがモデル プロバイダー サービスに対してクエリを実行できるようにするには、モデル プロバイダー サービスに EXECUTE を付与し、そのカタログとスキーマの USE CATALOG と USE SCHEMA を付与します。 モデル プロバイダー サービスが推論テーブルにログを記録する場合は、テーブルに SELECT を付与して、ログに記録された要求と応答を読み取るようにします。
カタログ エクスプローラーでアクセス権を付与するには:
- カタログ エクスプローラーで、モデル プロバイダー サービスを開きます。
- [アクセス許可] タブで [付与] をクリックします。
- アクセス権を付与するユーザーまたはグループを選択し、
EXECUTE特権を選択して、[ 許可] をクリックします。
同じプリンシパルにも、モデル プロバイダー サービスのカタログとスキーマに USE CATALOG と USE SCHEMA があることを確認します。 ログに記録された要求と応答を読み取るようにするには、推論テーブルの [SELECT] タブからを付与します。
アクセスの付与および発見の詳細については、「 外部モデルプロバイダーへのアクセスを発見・統治する(モデルプロバイダーサービス)」をご覧ください。
機能の構成
モデル プロバイダー サービスは Unity AI Gateway を介してルーティングされるため、他の Unity AI Gateway トラフィックに使用するのと同じガバナンス機能と監視機能を適用します。
- 推論ログ。 Unity カタログ テーブルへの要求と応答をログに記録します。 推論テーブルへのリクエストとレスポンスのログ記録を参照してください。
- レート制限。 容量とコストを管理するために、1 分あたりのクエリ数を上限とします。 「 モデルおよびMCPサービスへのレート制限適用」を参照してください。
- サービス ポリシー。 サービスポリシーを付与することで、安全でないコンテンツのブロックや機密データの編集など、各やり取りの内容を管理できます。 AI セキュリティ保護可能なリソースのサービス ポリシーとサービス ポリシーの作成とアタッチに関する説明を参照してください。
モデル プロバイダー サービスを削除する
モデル プロバイダー サービスを削除するには、少なくともそれに対する MANAGE 特権が必要です。 所有者には、 MANAGEのスーパーセットがあります。
モデル プロバイダー サービスを削除するには、カタログ エクスプローラーでモデル プロバイダー サービスを開き、kebab メニューから [削除 ] を選択します。 モデル プロバイダー サービスを削除すると、格納されている資格情報が削除されます。
