はじめに

Azure Databricks で Azure Key Vault Backed Scope を使うときに Key Vault のアクセスポリシーをみると Azure Databricks となっていました。
これを見る限り、 Azure Databricks はすべて許可しているように見えます。

実際、個別の Azure Databricks ワークスペースを指定することはできないようで、
例えば dbw-abc みたいな名前の Azure Databricks ワークスペースのみにアクセスポリシーを付与することはできません。

だとすると、アクセスポリシーに Azure Databricks があれば、誰でも Azure Key Vault Backed Scope を設定できてしまうのか気になりました。

結論：`Key Vault` の権限があれば、誰でも `Azure Key Vault Backed Scope` を設定できる

Azure Key Vault と Azure Databricks の両方にアクセスできる人に限って Azure Key Vault Backed Scope の設定ができるようです。
Azure Key Vault にアクセスできない人は Azure Databricks からスコープ設定しようとしても、エラーになります。

ちなみに、 Azure Key Vault Backed Scope をすでに設定済みの場合は、
Azure Key Vault にアクセスできない人でも dbutils.secrets.get() コマンドでシークレットを利用できるようになります

`Azure Key Vault` の権限を持っている	`Azure Databricks` にログインできる	`Azure Key Vault Backed Scope` を設定できるか
YES	YES	YES
NO	YES	NO