外部モデルプロバイダーは、自分専用の鍵(BYOK)を持参できます。OpenAI、Anthropic、Amazon Bedrockなど、既に使っているLLMプロバイダーを一つの制御ポイントで管理できます。 各プロバイダーを一度登録すれば、多くのユーザーやモデルAPIは認証情報を処理することなくそのプロバイダーにルーティングされます。
Azure Databricksにおいて、外部モデルプロバイダーとは、プロバイダーの接続詳細と暗号化された認証情報を保存するUnity Catalogのセキュラブルオブジェクト(モデルプロバイダーサービス)です。 Unity Catalogはプロバイダーを保存するため、データに対して使う権限と同じ権限でアクセスを管理し、Unity AI Gatewayを通じて外部モデルを秘密を暴露せずに照会し、使用状況とコストを単一のガバナンスレイヤーから追跡できます。
モデル プロバイダー サービスとは
モデル プロバイダー サービスは Unity カタログ カタログとスキーマに存在し、 main.default.openai_prodなどの 3 部構成の名前を使用します。 次の内容が保持されます。
- プロバイダーの種類 (OpenAI や Amazon Bedrock など)。
- エンドポイントのベース URL やクラウド リージョンなど、そのプロバイダーの 接続構成 。
- Azure Databricks によって暗号化され、保存されるプロバイダーの資格情報。 Azure Databricksは、読み取り時に資格情報を返しません。 Azure OpenAIやMicrosoft Foundryでは、既存のサービス認証情報をキーやシークレットを保存する代わりに名前で参照でき、認証情報はそのまま残ります。 サービス認証でAzure OpenAIまたはMicrosoft Foundryを認証する方法を参照してください。
モデル プロバイダー サービスはセキュリティ保護可能な Unity カタログであるため、他の管理対象オブジェクトを管理するのと同じ方法で管理します。
- Unity カタログ特権を使用してアクセス権を付与および取り消します。
- カタログ エクスプローラーで、他のデータや AI 資産と共に検出します。
- レート制限や推論テーブルなどの Unity AI Gateway 機能を構成します。
呼び出し元は、名前を参照して Unity AI Gateway を介してモデル プロバイダー サービスに直接クエリを実行しますが、格納されている資格情報は表示されません。 モデル プロバイダー サービスは、モデル サービスがルーティングする外部プロバイダーを提供して、管理者にプロバイダー資格情報の管理された単一のチョークポイントを提供することもできます。
サポートされているプロバイダー
モデルプロバイダーサービスは、以下の外部プロバイダーおよび認証方法のみをサポートします。
| Provider | Authentication |
|---|---|
| OpenAI | API キー |
| Azure OpenAI | APIキー、Microsoft Entra IDサービスプリンシパル(テナントID、クライアントID、クライアントシークレット)、またはサービス認証情報 |
| Anthropic | API キー |
| アマゾン・ベッドロック | AWS アクセス キー ペア (アクセス キー ID とシークレット アクセス キー) |
| Microsoft Foundry | APIキー、Microsoft Entra IDサービスプリンシパル(テナントID、クライアントID、クライアントシークレット)、またはサービス認証情報 |
| Google Gemini Enterprise | GCP プロジェクト ID とリージョンを含む API キー |
| Custom | Bearer トークン、または指定した HTTP ヘッダーで送信する API キーと、エンドポイントのベース URL |
カスタムプロバイダーのエンドポイントがベアラートークンではなく特定のヘッダーにAPIキーを割り当てることを期待する場合、そのヘッダーに名前を付けることができます。 ヘッダー 内のカスタムプロバイダーAPIキーを送信する方法を参照してください。
Unity カタログで外部プロバイダーを管理する理由
中央レジストリがない場合、外部モデルを使用するすべてのチームは、独自のプロバイダー資格情報をアプリケーション コードまたはノートブックに埋め込みます。 モデル プロバイダー サービスは、次のことができるように、その構成を Unity カタログに移動します。
- プロバイダーを 1 回定義します。 資格情報と接続の詳細を 1 か所に登録し、多くのユーザーとモデル サービスがシークレットを処理することなく共有できるようにします。
- Unity カタログ特権を使用してアクセスを管理します。 他のセキュリティ保護可能なリソースに使用するのと同じ
GRANTステートメントとREVOKEステートメントを使用して、各プロバイダーに対してクエリを実行できるユーザーを管理します。 - ワークスペース間でクエリを実行します。 モデル プロバイダー サービスは、そのメタストアを共有するすべてのワークスペースで使用できます。
- 使用状況とコストを追跡します。 Unity AI Gateway は、モデル プロバイダー サービスを介してルーティングされるクエリの使用状況を記録します。 トラック モデルの使用例を参照してください。 Azure Databricksでは、外部モデルにルーティングされた要求の推定支出も計算されます。 外部モデルを参照してください。
- データ リネージを追跡する。 プロバイダーにルーティングするモデルサービスと、そのペイロードを消費する下流資産をご覧ください。 トラック モデルAPIおよびプロバイダー系譜を参照してください。
特権
次の Unity カタログ権限は、モデル プロバイダー サービスに適用されます。 プリンシパルには、親カタログとスキーマに USE CATALOG と USE SCHEMA も必要です。
| 権限 | ～する権限を付与します。 |
|---|---|
CREATE SERVICE（スキーマ上で） |
スキーマにモデル プロバイダー サービスを作成します。 |
EXECUTE |
Unity AI Gateway を使用してモデル プロバイダー サービスにクエリを実行します。 |
READ METADATA |
クエリを実行せずに、モデル プロバイダー サービスとその構成を表示します。 |
MANAGE |
モデル プロバイダー サービスを編集、削除、およびアクセス権を付与します。 |
これらの権限の付与および取り消し方法については、「 外部モデルプロバイダーへのアクセスを発見し管理する(モデルプロバイダーサービス)」をご覧ください。
Limitations
モデルプロバイダーサービスからの支出は 予算内で追跡されていません。 予算通知、アラート、ハード支出上限はモデルプロバイダーのサービス利用には適用されません。
