モデルAPI(モデルサービス)へのアクセスを発見し管理する

利用可能な モデルAPI (モデルサービス)を発見し、Unity Catalogの権限でそれらへのアクセスを管理できます。

Requirements

  • モデル サービスを管理するには、モデル サービスに対する MANAGE 特権を持っているか、カタログまたはスキーマに MANAGE する必要があります。 system.aiでシステム提供のモデルサービスを管理するには、メタストア管理者であるか、MANAGE に対する system.ai 権限を持っている必要があります。

モデルサービスを見つける

カタログエクスプローラー、Unity AI Gateway UI、またはUnity Catalog REST APIで利用可能なモデルサービスについては、 モデルサービスをご覧ください。

Unity カタログ特権を使用してアクセスを管理する

他のセキュリティ保護可能なリソースに使用するのと同じ Unity カタログ権限を持つモデル サービスへのアクセスを管理します。 モデルサービスにクエリを実行するには、ユーザーにはそのモデルサービスに対する EXECUTE 権限と、そのカタログおよびスキーマに対する USE CATALOG 権限と USE SCHEMA 権限が必要です。

カタログ エクスプローラーでアクセスを管理するには、モデル サービスを開き、その [アクセス許可 ] タブを使用します。

  • チームにアクセス権を付与するには、[ 許可] をクリックし、チームを選択して、 EXECUTEを付与します。 チームは、モデル サービスのカタログとスキーマに USE CATALOG と USE SCHEMA も含まれていることを確認します。
  • アクセスを取り消すには、チームの EXECUTE 許可を選択し、[ 取り消す] をクリックします。

Note

特権やサービスポリシーの変更はクエリリクエストで伝播するのに数分かかることがあります。 その間もリクエストは以前の権限を使い続けることがあります。

Azure Databricksはdefinerの権限を使ってモデルサービスを呼び出します。つまり、クエリを呼び出し者の権限ではなく所有者のUnity Catalog権限と比較して評価します。 ユーザーがモデルサービスに問い合わせたとき、Azure Databricksは所有者が参照先に情報をEXECUTEしているかを確認します。 発信者は直接アクセスする必要はありません。

行き先にはDatabricksホスト型モデルや、モデルサービスがルーティングする任意の モデルプロバイダー サービスが含まれます。 モデルプロバイダーサービスを目的地として参照するには、所有者はそれに対して EXECUTE、 USE CATALOG、 USE SCHEMA が必要です。 呼び出しは所有者の権限を使用するため、所有者は参照されるすべてのモデルプロバイダーサービス(プライマリおよびフォールバック)を常に EXECUTE 管理しなければなりません。 所有者がいずれか 1 つで EXECUTE を失った場合、モデル サービスへのリクエストは失敗します。

システム提供のモデル サービスを制限する

既定では、すべてのアカウント ユーザーは、 system.aiでシステム提供のモデル サービスに対してクエリを実行できます。 コストの高いモデルなど、すべてのユーザーが特定のモデル サービスに対してクエリを実行できないようにするには、カタログ エクスプローラーでそのモデル サービスを開き、[アクセス許可] タブで、DENY グループのEXECUTEにを追加します。

システムが提供するすべてのモデル サービスをチームに制限する

system.aiのすべての現在および将来のモデル サービスを AI プラットフォーム チームに制限するには、カタログ エクスプローラーでsystem.ai スキーマ自体に対する特権を管理します。 スキーマの [アクセス許可] タブで、次の 手順を実行 します。

  • に対するUSE SCHEMA グループのEXECUTEおよびsystem.ai特権を削除します。
  • USE SCHEMAのEXECUTEとsystem.aiを AI プラットフォーム チームにのみ付与します。

スキーマに対する権限を付与すると、そのスキーマ内のすべての現在および将来のモデル サービスに適用されます。

異なるチームに異なるモデル サービスを提供する

より広いユーザー ベースと、パワー ユーザーの小規模なグループに異なるモデルとクォータを割り当てるには、グループごとに個別のモデル サービスを作成し、それに応じて EXECUTE を付与します。 Unity AI Gateway UI またはカタログ エクスプローラーでモデル サービスを作成します。 モデル サービスの作成を参照してください。

モデル サービスを作成したら、カタログ エクスプローラーの各モデル サービスの EXECUTE] タブから各グループにを付与します。

  • 標準モデル サービスの EXECUTE を アカウント ユーザー グループに付与します。
  • パワー ユーザー モデル サービスの EXECUTE をパワー ユーザー グループのみに付与します。

容量とコストを管理するために、モデル サービスごとに異なるレート制限を構成できます。 「 モデルおよびMCPサービスへのレート制限適用」を参照してください。

モデル サービスの相互作用のコンテンツを管理する

Important

サービスポリシーは ベータ版です。 Unity AI Gatewayは一般に利用可能ですが、ベータ機能は別途有効化されています。 アカウント管理者は、アカウントコンソールのプレビューページからUnity AI Gatewayのベータ機能をオンにする必要があります。 Manage Azure Databricks プレビューを参照してください。

Unity カタログ権限は、プリンシパルがモデル サービスに対してクエリを実行できるかどうかを制御します。 各操作の進め方を管理するには (安全でないコンテンツや PII を含む応答をブロックするなど)、サービス ポリシーをモデル サービスにアタッチします。 サービス ポリシーは、モデル サービスにガードレールを実装する方法です。組み込みのガードレールは、PII、プロンプトインジェクション、安全でないコンテンツなどの一般的なリスクをカバーし、カスタム ポリシーは組織に固有のルールを適用します。

サービスポリシーについて学び、1 つをアタッチする方法については、次を参照してください:

次のステップ

  • Last updated on