ワークスペースのエンタイトルメント制御を移行する

ワークスペースのエンタイトルメント制御を移行し、プリンシパルが users システムグループから権限を自動的に継承するのではなく、追加時に各プリンシパルのエンタイトルメントを選択するようにします。 これにより、ワークスペースへのアクセスを正確に制御でき、作成アクセス許可を付与せずにコンシューマー専用ユーザーを追加できます。 これは、すべてのワークスペースの既定の動作になります。 早期に移行して、自分のスケジュールでテストすることができます。

移行により、 users および admins システム グループの動作方法が変更され、プリンシパルが現在のアクセス権を維持できるように、既存のエンタイトルメントが新しいグループに移動されます。 このページでは、新しい動作、移行手順、および必要な移行前アクションについて説明します。

概要

すべてのワークスペースには 2 つのシステム グループがあります。 usersには、ワークスペースへのアクセス権が付与されているすべてのプリンシパルと、ワークスペース管理者を含む adminsが含まれます。 現在、ワークスペースに追加されたすべてのプリンシパルは、 usersに付与された権利を継承します。 既定では、次の権利があります。

  • ワークスペース アクセス: ノートブック、ジョブ、パイプライン、アプリなどを作成して使用します。
  • Databricks SQL アクセス: ダッシュボード、Genie エージェント、アラートなどを作成して使用します。

変更後:

  • 各プリンシパルを追加する際に、それぞれのアクセス権を選択します。 コンシューマー専用のユーザーを含め、どのアクセス レベルにも、作成権限が自動的に継承されることなくプリンシパルを追加できます。

    ワークスペースにプリンシパルを追加し、各権利を明示的に選択します。

  • users グループには権利がなく、admins グループにはすべてのワークスペースエンタイトルメントがあります。 どちらも変更できません。

  • usersグループとadmins グループを他のグループのメンバーとして入れ子にすることはできません。

既存のプリンシパルは、現在のアクセス レベルを保持します。 Azure Databricksは、usersに付与されたエンタイトルメントを、既定の名前が users-clone-<TIMESTAMP> の新しいワークスペースローカル複製グループに自動的に移行します。<TIMESTAMP>は移行の時刻です。 移行中にグループの名前を変更し、他のワークスペースローカル グループと同様に管理できます。 admins グループには、すべてのワークスペースエンタイトルメントが自動的に付与されるため、移行は必要ありません。

タイムライン

これは、すべてのワークスペースの既定の動作になります。 この変更は、次の 3 つのフェーズで行われます。

  • 2026 年 6 月 15 日 – オプトインが利用可能。 ワークスペースを早期に移行して、新しい動作をテストします。
  • 2026 年 7 月 27 日 – オプトインまたはオプトアウトされていないワークスペースの自動有効化。適用されるまで、一時的にオプトアウトすることもできます。
  • 2026 年 9 月 14 日 – すべてのワークスペースに適用されます。 オプトアウトは使用できなくなりました。

詳細については、「今後の動作変更: ワークスペースにプリンシパルを追加する際の権限の選択」を参照してください。

始める前の準備

ワークスペースを移行し、新しい動作を管理するには、ワークスペース管理者である必要があります。

Note

この変更は、Azure Governmentワークスペースには適用されません。 これらのワークスペースは移行されていません。

ワークスペースで新しい動作が有効になる前に、次のアクションを実行します。

  • 自動化: Terraform、Workspace SCIM API、またはカスタム スクリプトを使用してシステム グループの権利を管理する場合は、システム グループではなくターゲット アカウント グループにワークフローを更新します。 Azure Databricks新しい動作を有効にすると、システム グループのエンタイトルメントの変更が失敗します。
  • 入れ子になったシステム グループ: users または admins が別のグループのメンバーとして入れ子になっている場合は、入れ子になっているグループを削除します。 新しい動作では、入れ子は許可されません。
  • SCIM 同期: SCIM 同期によって認識されないワークスペース グループが削除された場合は、移行クローン グループ (users-clone-<TIMESTAMP>) を保持するように構成を更新します。 同期によって複製グループが削除された場合、そのグループに移行されたプリンシパルは権利を失います。

ワークスペースを移行する

新しい動作は、ワークスペース設定にある新しい動作: ワークスペースにプリンシパルを追加するときにエンタイトルメントを選択する設定で管理します。

ワークスペースを新しい動作に移行するには:

  1. ワークスペース管理者として、Azure Databricks ワークスペースにログインします。

  2. 上部のバーでユーザー名をクリックし、[ 設定] を選択します。

  3. [詳細設定] タブをクリックします。

  4. [ アクセス制御] で、[ 新しい動作: ワークスペースにプリンシパルを追加するときに権利を選択する] を見つけます。 状態には 、従来の動作 (アクションが必要な場合があります) が表示されます。

    前の動作を使用してワークスペースを示すアクセス制御設定。

  5. [管理] をクリックします。

  6. ダイアログで、 users グループと admins グループの現在の権利付与を確認します。 [このワークスペースの動作] で、[新しい動作を使用] を選択します。

  7. [グループ名を複製] に、users に付与された権限を引き継ぐグループの名前を入力するか、既定値のままにします。 このグループは、既存のプリンシパルの権限を維持します。

    新しい動作を選択した状態の、クローングループ名フィールドを含む［管理］ダイアログ。

  8. 保存 をクリックします。

    Azure Databricksは、usersの権利を複製グループに移行します。 ワークスペースに直接割り当てられたプリンシパルは、アクセス権を保持するために複製グループに追加されます。 これらのプリンシパルには、直接追加されたユーザーとサービス プリンシパルに加えて、ワークスペースに割り当てられているすべてのアカウント グループが含まれます。

移行が完了すると、ワークスペースが新しい動作であることを示す設定が表示されます。

新しい動作でワークスペースを表示するアクセス制御設定。

変更を確認する

移行が完了したら、変更が正しく適用されたことを確認します。

  1. ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
  2. 上部のバーでユーザー名をクリックし、[ 設定] を選択します。
  3. [ ID とアクセス ] タブをクリックします。
  4. [グループ] の横にある [管理] をクリックします。
  5. 次のことを確認します。
    • 複製グループが存在し、移行前に users グループが持っていた権利を持ちます。
    • 複製グループには、直接追加されたユーザー、サービス プリンシパル、ワークスペースに割り当てられたアカウント グループなど、 usersを介してワークスペースに直接追加されたプリンシパルが含まれます。
    • users グループには権利がなく、admins グループにはすべてのワークスペースエンタイトルメントがあります。

Note

複製グループには直接メンバーのみが含まれているため、 users グループよりも少ないメンバーが表示される場合があります。これには、アカウント グループ メンバーシップを介して追加された全員が含まれます。 これは、誰かがアクセスを失ったという意味ではありません。 アカウント グループを通じてワークスペースに参加したプリンシパルは、そのアカウント グループが複製グループに追加されるため、引き続き対象となります。 ワークスペース ローカル グループは、ワークスペース メンバーシップを付与しないため、コピーされません。

考慮事項とベスト プラクティス

ワークスペースを移行するときは、次の点を考慮してください。

  • 移行後のプリンシパルの追加: 新しい動作が有効になったら、ワークスペースに追加するときに各プリンシパルの権利を選択します。 作成アクセス許可を付与するには、 ワークスペース アクセス または Databricks SQL アクセスを選択します。 ビューのみのコンシューマーを追加するには、 コンシューマーアクセス権のみを付与します。 詳細については、「 コンシューマー アクセスとは」 と「 Genie One を使用する」を参照してください。
  • 複製グループの管理: users-clone-<TIMESTAMP> グループは、標準のワークスペースローカル グループです。 他のグループと同様に、メンバーシップと資格を管理します。 「グループの管理」を参照してください。
  • オプトアウト: 移行後にオプトアウトした場合、 users-clone-<TIMESTAMP> グループは残ります。 保持して管理することも、手動で削除することもできます。
  • ID プロバイダーとの調整: SCIM プロビジョニングを使用してユーザーとグループを同期する場合は、複製グループが保持されるように、この変更を ID 管理プロセスと調整します。 SCIM を使用して Microsoft Entra ID からユーザーとグループを同期するを参照してください。

次の予定

ワークスペースを移行した後、次の作業を行うことができます。

  • Last updated on