Important
この機能は パブリック プレビュー段階です。
このページは、組織内の Azure Databricks Genie モバイル アプリをロールアウトする準備をしている IT およびセキュリティ チーム向けです。 セキュリティ モデル、推奨される構成、デプロイ プロセスについて説明します。
Genie モバイル アプリがデータをセキュリティで保護する方法
Genie モバイル アプリは、既存のAzure Databricks ガバナンスをバイパスしません。 ユーザーは、Web バージョンのAzure Databricksと同じデータアクセス許可とアクセス制御を継承します。
ID とアクセス
- Genie One へのアクセスはワークスペーススコープであり、データは Unity カタログによって管理されます。 ユーザーには、少なくともコンシューマー アクセス権があるワークスペースのみが表示されます。 行レベルと列レベルのセキュリティは引き続き適用されます。 「 コンシューマー アクセスとは」を参照してください。
- アカウント レベルでプレビューを有効にしても、ユーザー アクセスは許可されません。 公式アプリがアカウントに対して認証を行う場合にのみ許可されます。 メンバーシップと権利は、引き続き既存のユーザー管理プロセスから取得されます。
- アプリでは、ブラウザーと同じ認証フローが使用されます。 これはファースト パーティの OAuth クライアントであるため、個別の IdP アプリケーションの登録は必要ありません。 「認証とアクセス制御」を参照してください。
- アプリは、Web エクスペリエンスと同じ認証フローを使用します。 これは、Microsoft Entra IDを使用して
login.databricks.com経由でサインインするファースト パーティの OAuth クライアントです。 既存の MFA、条件付きアクセス、デバイス体制のポリシーはすべて引き続き適用されます。
ワークスペースのURLでサインインしてください
ユーザーがアプリを開くと、[ ログイン ] を選択して標準フローを使用するか、[ ワークスペースの入力] リンク を選択してワークスペースの URL を入力し、そのワークスペースに直接サインインできます。 ワークスペース URL を使用してサインインすると、最初にアカウントにサインインしなくてもワークスペースに接続されます。 次のシナリオのように、標準のサインイン フローが失敗した場合に使用します。
- 電子メールの検証を完了できません:標準フローで電子メール ワンタイム パスワード (OTP) が必要な場合(コードがメールボックスのないアドレスに送信される場合を含む)、ワークスペース URL を使用してサインインすると、その手順はスキップされます。
ワークスペースのアクセス制御と Unity カタログ ガバナンスは引き続き適用されます。
デバイスセーフガード
- トークンは自動ローテーションで暗号化されます。 Genie One にアクセスできるのは、認証されたデバイスだけです。
- 認証では、SSO や生体認証 (顔や指紋) などの要素を含むMicrosoft Entra IDが使用されます。
ネットワークとインフラストラクチャ
Genie アプリでは、別のモバイル データ プレーンは使用されません。
- アプリは HTTPS を使用して、ブラウザーと同じワークスペースとアカウントの URL に到達します。 モバイル専用エンドポイントはなく、認証されていない API もありません。
- IP アクセス リスト、コンテキストベースのイングレス、Private Link、モバイル VPN、デバイス上の DLP など、既存のネットワークおよび DLP コントロールは引き続き適用されます。
- Genie Mobile では、 コンプライアンス セキュリティ プロファイル が有効になっているワークスペースがサポートされています。 コンプライアンス セキュリティ プロファイル ワークスペース内のデータは、Web ブラウザーによるアクセスと同様に、移動したりリージョン外に出たりすることはありません。
ベースライン構成に関する推奨事項
Genie アプリをデプロイするときに、次のベースライン セキュリティコントロールを適用します。 組織のモバイル戦略の制限が厳しい場合は、より厳密なコントロールを実装します。
| コントロール | 推奨されるベースライン |
|---|---|
| Identity | MFA を使用した SSO |
| ネットワークイングレス | ワークスペースで有効になっている IP アクセス リスト。 許可された IP アドレスからデバイスが接続するように構成された方法 (VPN など)。 |
| ワークスペース コントロール | Genie モバイルはアカウント レベルで有効になっています。 VPN を使用している場合は、各ワークスペースで VPN IP が許可されていることを確認します。 |
| デバイスの状態 | モバイル戦略に沿ったデバイスの状態チェックを実装してください。 |
| アプリの配布 | パブリック ストアのインストール (App Store または Google Play)。 |
Note
Genie アプリからのトラフィックのみがワークスペースに到達するため、アプリごとの VPN は最も強力なネットワーク制御を提供します。 VPN は、 login.databricks.com とワークスペース ホストの両方を対象にする必要があります。
Databricks では、ワークスペース レベルの IP アクセス リストを使用してモバイル アクセスを制御することをお勧めします。 アカウントレベルのIPアクセスリストはモバイルサインインパス上で強制されないため、モバイルサインインをブロックしません。
環境を理解する
ワークスペースの構成
Genie モバイル アプリを有効にする前に、次のワークスペース設定を確認します。
- 機能の有効化: ユーザーにロールアウトする前に、プレビューが有効になっていることを確認します。 「 アプリを有効にする」を参照してください。
- IP アクセス リスト: ワークスペースで IP アクセス リストが使用されている場合は、モバイル ユーザーの IP アドレスが一覧に含まれている必要があります。 これには通常、VPN が必要です。
ネットワークアクセス
ワークスペースに IP アクセス リストがある場合、モバイル デバイスは許可された IP アドレスから接続する必要があります。 VPN は最も一般的なソリューションです。
アプリごとの VPN は、最も強力な分離を提供します。Genie アプリからのトラフィックのみが VPN 経由でルーティングされます。 アプリごとの VPN は、 login.databricks.com とワークスペース ホストの両方を対象にする必要があります。
パブリックイングレスがブロックされたPrivate Link経由でのみワークスペースにアクセスできる場合、モバイル デバイスにはプライベート ネットワーク内で終了するネットワーク パスが必要です。 一般的なパターンは次のとおりです。
- オンプレミスまたはワークスペースネットワークにピアリングされた VPC 内で終了するモバイル VPN。
- ExpressRoute、Direct Connect、Interconnect、または企業ゲートウェイと Private Link を介したモバイルネットワークのブレークアウト。
詳細については、「ユーザーから Azure Databricks へのネットワーク接続」を参照してください。
iOS: ユニバーサル リンクと AASA ファイル
iOS では、Genie アプリは Apple Universal Links を使用して、ワークスペースのホスト上の /one/* へのリンクと、/mobile-redirect 上の login.databricks.com を処理します。 Apple は、アプリがそのドメインを初めて見た時に各ホストから https://<host>/.well-known/apple-app-site-association をフェッチすることで、これを検証します。
ネットワークがこのパスをブロックする場合 (たとえば、認証されていない要求を削除するプロキシで)、Universal Link インターセプトは、アプリではなく Safari でワークスペース URL を開くことに自動的にフォールバックし、 /mobile-redirect への OAuth コールバックはユーザーをアプリに返しません。 アプリを初めて起動する際に、デバイスのアクティブなネットワークからこのパスに到達できることを確認します。
iOS でのアプリごとの VPN
iOS のログイン リダイレクトは、アプリ内ではなく、システム ブラウザーで開きます。 Genie アプリのみにスコープが設定されたアプリごとの VPN では、サインイン ウィンドウはカバーされません。 サインインエラーを回避するには:
-
login.databricks.comを、デバイス全体の VPN、またはシステム ブラウザーと Genie アプリのアプリ単位の VPN の対象にします。 - 通信フローを開始したアプリに関係なく、常に
login.databricks.comとワークスペース ホストを対象とする ZTNA またはデバイス トンネルの構成を使用します。
サポートしていません
- コンテキストベースのイングレス: Genie One モバイル パスでは、現在、アカウント レベルのコンテキストベースのイングレス ポリシーは受け入れられません。 IP/VPN の代替手段としてコンテキストベースのイングレスに依存している場合は、代わりにワークスペースの IP アクセス リストでモバイル ユーザーをゲートします。
- TLS 検査: アプリは証明書をピン留めしません。 MDM が標準メカニズム (Apple Configuration Profile または Android デバイス証明書ストア) を介してデバイスに企業ルートを配信する場合、デバイスによって信頼されている企業ルート証明書を提示する TLS 検査プロキシが機能します。 証明書のピン留めは、一般提供前に追加できます。
デプロイ プロセス
Genie モバイル アプリをロールアウトするには、次の一般的な手順を使用します。
- ワークスペースを準備します。 Genie Mobile がアカウント レベルで有効になっていることを確認します。 モバイルでユーザーを許可するワークスペースを特定します。 VPN を使用する場合は、ワークスペースの IP アクセス リストを VPN エグレス IP で更新します。
- ネットワーク体制を決定します。 ほとんどの企業では、これはアプリごとの VPN またはデバイス トンネルです。
login.databricks.comとワークスペース ドメインを含むように更新します。 モバイル デバイスがワークスペースにアクセスできることを検証します。 - Microsoft Entra ID ポリシーを更新します。 モバイル ポリシーで、ワークスペースへの認証を許可し、デバイスの状態要件を適用するようにしてください。
- アプリを展開します。 このアプリは、Apple App Store と Google Play から入手できます。 MDM を使用する場合は、管理対象の iOS ストア アプリまたは管理対象の Google Play アプリとして mdm カタログに
com.databricks.one.mobileを追加し、ターゲット デバイス グループに割り当てます。 - 少数のユーザー グループでパイロットします。 アプリのインストール、VPN のセットアップ、サインイン、Genie エージェントの開き方について説明します。 エラーを文書化してヘルプデスクのドキュメントをシードします。
- 広く展開します。 IT 通信チャネルを介して、インストール プロセスと VPN 要件をユーザーに伝えます。
IP アクセス リスト
ワークスペース レベルの IP アクセス リストに、使用するネットワーク モバイル デバイスのエグレス IP を追加します。 アカウントレベルのIPアクセスリストはモバイルサインインパス上で強制されないため、モバイルサインインをブロックしません。
「ワークスペース向けの IP アクセス リストを構成する」をご覧ください。
VPN とネットワークの到達可能性
Private Link、PrivateLink、または Private Service Connect 経由でのみワークスペースにアクセスできる場合は、login.databricks.comとワークスペース ホストの両方を対象とするモバイル VPN を構成します。
ID プロバイダー ポリシー
Genie モバイル アプリを、SSO、条件付きアクセス、MFA、およびモバイル戦略に合わせたデバイスポスチャ ルールを使用して、Microsoft Entra IDで許可されるクライアントとして追加します。
モバイル デバイス管理 (MDM)
Note
Genie モバイル アプリは現在、モバイル アプリケーション管理 (MAM) SDK を統合していません。
MDM を使用して展開するには、MDM プロバイダーのドキュメントを参照してください。
- Intune: Microsoft Intuneにアプリを追加する
- Jamf: セルフサービスを使用して Jamf Pro からモバイル デバイス アプリをデプロイする
- Omnissa Workspace ONE: Workspace ONE UEM
- BlackBerry: アプリの管理
- Google Workspace MDM: 組織のモバイル アプリを管理する
