こちらのユーザー代理認証(on-behalf-of-user authorization)、実際に触ったことがなかったのでした。

ユーザー認証は、on-behalf-of-user authorization とも呼ばれ、Databricks Apps アプリがアプリユーザーのアイデンティティで動作することを可能にします。Databricks はユーザーのアクセストークンをアプリに転送し、アプリはそのトークンを使用してユーザーに代わってリソースにアクセスします。Databricks は、ユーザーの既存の Unity Catalog ポリシーに基づいてすべての権限を強制します。

デフォルトではアプリに割り当てられるサービスプリンシパルに対するアクセスコントロールなので、きめ細かいアクセス制御ができないので、こちらの機能はありがたいです。

ただ、試すの面倒だなーと思っていたところ、いい感じのサンプルがありました。

早速試してみます。上のリポジトリをGitフォルダとして連携して同期します。

アプリを作る際には、こちらで説明されているようにユーザー認証のセクションで、アクセスするリソースのスコープを追加する必要があります。

Gitフォルダのauth-demoをデプロイします。

デプロイしました。

アプリにアクセスすると、このアプリはあなたの資格情報でリソースにアクセスする旨のメッセージが表示されます。上でスコープを指定したリソースが表示されます。

アプリはこんな感じ。デフォルトで作成されるアプリごとのサービスプリンシパル(SP)とユーザー代理認証の比較を行うことができます。

ただ、デフォルトのテーブルはサンプルデータなのでSPだろうがユーザーだろうがアクセスできます。

そこで、冒頭にあったUnity Catalogのポリシーを適用したテーブルで試します。

以下のポリシーでは自分以外を対象として適用される、列マスクのポリシーとなっています。

サービスプリンシパルでアクセスするとemail列がマスキングされています。

自分として代理認証してもらうとマスキングされません。

アプリがデータなどのリソースにアクセスする際には、ユーザーごとに挙動を変えたいというニーズは多いと思います。是非OBOをご活用ください！

はじめてのDatabricks

はじめてのDatabricks

Databricks無料トライアル

Databricks無料トライアル