SAS / OAuth / MI 認証方式まとめ
📚 関連書籍
『ゼロから触ってわかった！Azure × Databricksでつくる次世代データ基盤 非公式ガイド ―』
クラウドでデータ基盤を作ろうとすると、Azure・Storage・ネットワーク・権限・セキュリティ…そこに Databricks が加わった瞬間、一気に難易度が跳ね上がります。
「結局どこから理解すればいいの？」
「Private Link むずかしすぎない？」
「Unity Catalog って実務ではどう扱うの？」
——そんな “最初のつまづき” を丁寧にほどいていくのが本書です。
👉 https://amzn.to/4ocWcJI
本文
Databricks と ADLS Gen2 を組み合わせてデータ基盤を構築する際、
最も誤解を生む領域が 認証方式の違い です。
- とりあえずSASで動いたからOK
- OAuthでアプリ登録したけど更新作業が面倒
- Managed Identityを使いたいが仕組みが難しい
このような混乱が発生する理由は、認証方式の“性格”が根本的に異なるためです。
本記事では、SAS・OAuth・Managed Identity の本質的な違いと、Databricks実務における最適解を整理します。
1. 🔑 認証方式の全体像：SAS / OAuth / Managed Identity の役割を理解する
🎟 SAS（Shared Access Signature）
SAS は「期限付き・権限限定」の共有鍵で、あるStorageリソースに対して読み書き権限を一時的に付与できる仕組みです。
SASの特徴
- URLに秘密鍵が埋め込まれている
- 有効期限・アクセス範囲・操作を限定できる
- 単発利用のスクリプト・外部連携に便利
- だが「漏洩＝即時アクセス可能」という弱点あり
SASは手軽で便利な一方、鍵管理の負債を生みやすいため、本番運用では避けられることが多くなっています。
🔐 OAuth（Service Principal 認証）
OAuthは、アプリケーションが Azure AD（Entra ID）に“ログインする”方式です。
- Client ID
- Client Secret
- Tenant ID
これらを使ってアプリがトークンを取得し、そのトークンを使って ADLS へアクセスします。
OAuthの特徴
- アプリ主体の認証方式として堅牢
- 鍵のローテーションが必須（運用コスト高）
- 複数アプリ間で統一管理できる
- セキュリティポリシーに準拠しやすい
Databricks では Service Principal を使って OAuth 認証も可能ですが、鍵管理が重く、クラスターごとの設定が煩雑になるため、現在は MI が主流となっています。
👤 Managed Identity（MI）
Managed Identity は Azure リソースに“埋め込まれたID”で、パスワードを持たずに安全に認証を行えます。
Databricksでは PMI（Private Managed Identity） がクラスターに割り当てられ、
PMI → RBAC → ACL → Unity Catalog
という流れでアクセス制御が行われます。
MIの特徴
- パスワード・鍵が不要
- ローテーション不要
- RBACと自然に統合
- Databricksとの相性が抜群
まとめると、MIはクラウドネイティブ認証の最適解です。
2. 🧭 各方式のメリット・デメリット：実務で効く判断基準を知る
SASのメリット・デメリット
- 👍 簡単に発行できる
- 👍 外部システムとの連携が簡便
- 👎 鍵がURLに露出
- 👎 管理しづらい（棚卸しの地獄）
- 👎 運用チームが嫌がる
OAuthのメリット・デメリット
- 👍 認証的には非常に強い
- 👍 企業規模のアプリ開発と相性◎
- 👎 Client Secret のローテーションが運用負荷に
- 👎 Databricksでは構築時の手間が増える
MIのメリット・デメリット
- 👍 鍵レスで安全
- 👍 RBAC/ACL との統合が簡単
- 👍 Unity Catalog と相性が良い（Storage Credential）
- 👎 ネットワーク制約があると動作に慣れが必要
Databricksではどれが最適か？
結論：
本番運用では Managed Identity 一択に近い。
理由：
- クラスターはPMIとして動く
- Storage Credential と統合可能
- External Location が安全に作成できる
- データアクセスのトレーサビリティが向上
3. 🚀 Databricks × ADLS Gen2でのベストプラクティス：MI × UC の黄金パターン
Databricksでは、以下の構成がほぼ“標準解”です。
🔹 PMI（Private Managed Identity）をDatabricksクラスターに付与
クラスターが ADLS にアクセスする際の“代表ユーザー”になります。
🔹 PMI に RBAC を付与
Storage Blob Data Contributor
yaml
コードをコピーする
これがないと Storage Account に入れません。
🔹 ACL を付与（必要に応じて）
Directory レベルで r-x / rwx を付与。
Delta Lake のテーブルフォルダに ACL がないと書き込みエラーになります。
🔹 Unity Catalog に Storage Credential を作成
Storage Credential = “MI を論理層に見せる仕組み”
External Location と組み合わせることで、安全にテーブル管理が可能。
🔹 Databricks内部からは SQL でアクセス
CREATE EXTERNAL TABLE ...
USING DELTA
LOCATION 'abfss://...'
yaml
コードをコピーする
RBAC → ACL → UC の三層が整うことで、
Databricks のデータアクセスは最も安全で、運用しやすくなる。
🏁 最後はまとめ：認証方式の理解がレイクハウス成功の鍵
本質は次の通りです。
- SAS＝使い捨ての“鍵”
- OAuth＝アプリが“ログインする”方式
- MI＝クラウドネイティブで最も安全な認証
Databricks × ADLS Gen2 では、
MI × RBAC × ACL × Unity Catalog
という黄金パターンを採用することで、セキュリティと運用性の両立が実現します。
認証方式の選択を誤らなければ、レイクハウスは驚くほど安定します。
📚 関連書籍
Databricks／n8n／Salesforce／AI基盤 を体系的に学べる「ゼロから触ってわかった！」シリーズをまとめました。
Databricks
『Databricks──ゼロから触ってわかった！Databricks非公式ガイド』
クラウド時代の分析基盤を “体験的” に学べるベストセラー入門書。
Databricksの操作、SQL／DataFrame、Delta Lakeの基本、ノートブック操作などを
初心者でも迷わず進められる構成で解説しています。
https://www.amazon.co.jp/dp/B0FBGH8PQF
『ゼロから触ってわかった！Azure × Databricksでつくる次世代データ基盤 非公式ガイド ―』
クラウドでデータ基盤を作ろうとすると、Azure・Storage・ネットワーク・権限・セキュリティ…そこに Databricks が加わった瞬間、一気に難易度が跳ね上がります。
「結局どこから理解すればいいの？」
「Private Link むずかしすぎない？」
「Unity Catalog って実務ではどう扱うの？」
——そんな “最初のつまづき” を丁寧にほどいていくのが本書です。
👉 https://amzn.to/4ocWcJI
『Databricks──ゼロから触ってわかった！DatabricksとConfluent(Kafka)連携！非公式ガイド』
Kafkaによるストリーム処理とDatabricksを統合し、リアルタイム分析基盤を構築するハンズオン形式の一冊。
イベント駆動アーキテクチャ、リアルタイムETL、Delta Live Tables連携など、
モダンなデータ基盤の必須スキルがまとめられています。
『Databricks──ゼロから触ってわかった！AI・機械学習エンジニア基礎 非公式ガイド』
Databricksでの プロンプト設計・RAG構築・モデル管理・ガバナンス を扱うAIエンジニアの入門決定版。
生成AIとデータエンジニアリングの橋渡しに必要な“実務の型”を体系化しています。
資格本ではなく、実務基盤としてAIを運用する力 を育てる内容です。
『ゼロから触ってわかった！ Snowflake × Databricksでつくる次世代データ基盤 - 比較・共存・連携 非公式ガイド』
SnowflakeとDatabricks――二つのクラウドデータ基盤は、これまで「どちらを選ぶか」で語られることが多くありました。
しかし、実際の現場では「どう共存させるか」「どう連携させるか」が、より重要なテーマになりつつあります。
本書は、両プラットフォームをゼロから触り、構築・運用してきた実体験をもとに、比較・共存・連携のリアルを丁寧に解説する“非公式ガイド”です。
🧠 Advancedシリーズ（上／中／下）
Databricksを “設計・運用する” ための完全版実践書
「ゼロから触ってわかった！Databricks非公式ガイド」の続編として誕生した Advancedシリーズ は、
Databricksを触って慣れた“その先”――本格運用・チーム開発・資格対策・再現性ある設計 に踏み込む構成です。
Databricks Certified Data Engineer Professional（2025年9月改訂版）のカリキュラムをベースに、
設計思考・ガバナンス・コスト最適化・トラブルシュートなど、実務で必須の力を養えます。
📘 ［上］開発・デプロイ・品質保証編
📘 ［中］取込・変換・監視・コスト最適化編
📘 ［下］セキュリティ・ガバナンス・トラブルシュート・最適化戦略編
n8n
『n8n──ゼロから触ってわかった！AIワークフロー自動化！非公式ガイド』
オープンソースの自動化ツール n8n を “ゼロから手を動かして” 学べる実践ガイド。
プログラミングが苦手な方でも取り組めるよう、画面操作中心のステップ構成で、
業務自動化・AI連携・API統合の基礎がしっかり身につきます。
Salesforce
『ゼロから触ってわかった！Salesforce AgentForce + Data Cloud 非公式ガイド』
Salesforceの最新AI基盤 AgentForce と Data Cloud を、実際の操作を通じて理解できる解説書。
エージェント設計、トピック／アクション構築、プロンプトビルダー、RAG（検索拡張生成）など、
2025年以降のAI×CRMのハンズオン知識をまとめた一冊です。
要件定義（上流工程/モダンデータスタック）
『モダンデータスタック時代の シン・要件定義 クラウド構築大全 ― DWHからCDP、そしてMA / AI連携へ』
クラウド時代の「要件定義」って、どうやって考えればいい？
Databricks・Snowflake・Salesforce・n8nなど、主要サービスを横断しながら“構築の全体像”をやさしく解説！
DWHからCDP、そしてMA／AI連携まで──現場で使える知識をこの一冊で。
💡 まとめ：このラインナップで“構築者の視点”が身につく
これらの書籍を通じて、
クラウド基盤の理解 → 要件定義 → 分析基盤構築 → 自動化 → AI統合 → 運用最適化
までのモダンデータスタック時代のソリューションアーキテクトとしての全体像を
「体系的」かつ「実践的」に身につけることができます。
- PoC要件整理
- データ基盤の要件定義
- チーム開発／ガバナンス
- AIワークフロー構築
- トラブルシュート
など、現場で直面しがちな課題を解決する知識としても活用できます。