グループの管理

このページでは、Azure Databricks アカウントとワークスペースのグループを管理する方法について説明します。

グループの概要については、「グループ」を参照してください。

Note

このページでは、ワークスペースで ID フェデレーションが有効になっていることを前提としています。これは、ほとんどのワークスペースの既定値です。 ID フェデレーションを使用しないレガシワークスペースの詳細については、「ID フェデレーションのないレガシワークスペース」を参照してください。

Microsoft Entra ID テナントから Azure Databricks アカウントにグループを同期する

Microsoft Entra ID テナントから Azure Databricks アカウントにグループを自動的に同期することも、SCIM プロビジョニングコネクタを使用して同期することもできます。

自動 ID 管理 を使用すると、Microsoft Entra ID でアプリケーションを構成することなく、Microsoft Entra ID のユーザー、サービスプリンシパル、およびグループを Azure Databricks に追加できます。 Databricks は Microsoft Entra ID をレコードのソースとして使用するため、ユーザーまたはグループメンバーシップに対する変更は Azure Databricks で尊重されます。自動 ID 管理では、入れ子になったグループがサポートされます。自動 ID 管理は、2025 年 8 月 1 日以降に作成されたアカウントに対して既定で有効になっています。詳細については、「 Microsoft Entra ID からユーザーとグループを自動的に同期する」を参照してください。

SCIM プロビジョニングを使用すると、Microsoft Entra ID でエンタープライズアプリケーションを構成して、ユーザーとグループを Microsoft Entra ID と同期させ続けることができます。 SCIM プロビジョニングでは、入れ子になったグループはサポートされません。手順については、「 SCIM を使用して Microsoft Entra ID のユーザーとグループを同期する」を参照してください。

アカウントにグループを追加する

アカウント管理者とワークスペース管理者は、アカウントコンソールまたはワークスペース管理者設定ページを使用して、Azure Databricks アカウントにグループを追加できます。

アカウントコンソール

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、[グループの追加] をクリックします。
グループの名前を入力します。
[Confirm](確認) をクリックします。
ダイアログが表示されたら、グループにユーザー、サービスプリンシパル、グループを追加します。

ワークスペース管理者設定

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ ID とアクセス ] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
[グループの追加] をクリックします。
[ 新規追加] をクリックします。
グループの名前を入力します。
追加をクリックします。

グループへのメンバーの追加

アカウント管理者とワークスペース管理者は、アカウントコンソールまたはワークスペース管理者設定ページを使用して、Azure Databricks アカウントにグループを追加できます。ワークスペース管理者ではないグループマネージャーは、Account Groups API を使用してグループメンバーシップを管理する必要があります。

Note

外部グループを Microsoft Entra ID と同期させるために、既定ではアカウントコンソールで外部グループのメンバーシップを管理することはできません。 Azure Databricks UI から外部グループメンバーシップを更新するには、アカウント管理者は、アカウントコンソールのプレビューページ 変更できない外部グループのプレビュー を無効にすることができます。自動 ID 管理を使用して管理されている外部グループは、変更できない外部グループプレビューが無効になっている場合でも、Azure Databricks では更新できません。

アカウントコンソール

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、更新しようとしているグループを選択します。
[メンバーの追加] をクリックします。
追加しようとしているユーザー、グループ、またはサービスプリンシパルを検索して選択します。
追加をクリックします。

グループを更新してから、グループメンバーシップがすべてのシステムに完全に反映されるまでに数分の遅延があります。

ワークスペース管理者設定

Note

子グループを admins グループに追加することはできません。ワークスペースのローカルグループやシステムグループをアカウントグループのメンバーとして追加することはできません。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ ID とアクセス ] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
更新するグループを選択します。更新するには、グループに対するグループマネージャーロールが必要です。
[メンバー] タブで [メンバーの追加] をクリックします。
ダイアログで、追加するユーザー、サービスプリンシパル、およびグループを参照または検索して選択します。
[Confirm](確認) をクリックします。

グループの名前を変更する

アカウント管理者はアカウントコンソールを使用してグループの名前を更新でき、グループマネージャーはアカウントグループ API を使用してグループの名前を更新できます。外部グループを Microsoft Entra ID と同期させるために、アカウントコンソールの外部グループの名前を既定で更新することはできません。

アカウントコンソール

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、更新しようとしているグループを選択します。
[グループ情報] をクリックします。
[名前] で、名前を更新します。
[保存] をクリックします。

アカウントグループ API

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.1/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": [ "urn:ietf:params:scim:api:messages:2.0:PatchOp" ],
  "Operations": [
    {
      {
          "op": "replace",
          "path": "displayName",
          "value": "<updated-name>"
      }
    }
  ]
}

アカウントグループ API に対して認証する方法については、「 Azure Databricks リソースへのアクセスを承認する」を参照してください。

ワークスペースにグループを割り当てる

アカウント管理者とワークスペース管理者は、アカウントコンソールまたはワークスペース管理者設定ページを使用して、Azure Databricks ワークスペースにグループを割り当てることができます。

アカウントコンソール

ワークスペースローカルグループは、アカウントコンソールを使用してワークスペースに割り当てできません。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ワークスペース] をクリックします。
ワークスペース名をクリックします。
[Permissions](アクセス許可) タブで [Add permissions](アクセス許可の追加) をクリックします。
グループを検索して選択し、アクセス許可レベル (ワークスペース ユーザー、または管理) を割り当ててから、[保存] をクリックします。

ワークスペース管理者設定

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ ID とアクセス ] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
[グループの追加] をクリックします。
ワークスペースに割り当てる既存のグループを選択します。
追加をクリックします。

ワークスペースからグループを削除する

アカウントグループがワークスペースから削除されると、グループのメンバーはワークスペースにアクセスできなくなりますが、グループに対するアクセス許可は維持されます。後でそのグループがワークスペースに再び追加されると、グループには以前のアクセス許可が再び付与されます。

アカウント管理者とワークスペース管理者は、アカウントコンソールまたはワークスペース管理者設定ページを使用して、Azure Databricks ワークスペースからグループを削除できます。

アカウントコンソール

アカウントコンソールを使用して、ワークスペースローカルグループをワークスペースから削除することはできません。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ワークスペース] をクリックします。
ワークスペース名をクリックします。
[アクセス許可] タブで、グループを見つけます。
をクリックします。グループ行の右端にある kebab メニューをクリックし、[削除] を選択します。
確認ダイアログで、[ 削除] をクリックします。

ワークスペース管理者設定

Note

別のグループのメンバーシップを使用して、ワークスペースに間接的に割り当てられているグループを削除することはできません。これらのグループを削除するには、親グループから削除するか、アカウントレベルで削除する必要があります。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ ID とアクセス ] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
グループを選んで、[x 削除] をクリックします
[削除] をクリックして確定します。

グループのロールを管理する

Important

この機能はパブリックプレビュー段階です。

アカウント管理者はアカウントコンソールでグループにロールを付与でき、ワークスペース管理者はワークスペース管理者設定ページを使用してグループロールを管理できます。ワークスペース管理者ではないグループマネージャーは、Account Access Control API を使用して、グループロールを管理できます。

アカウントコンソール

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、グループ名を見つけてクリックします。
[Permissions] タブをクリックします。
[アクセス権の付与] をクリックします。
ユーザー、サービスプリンシパル、またはグループを検索して選択し、グループマネージャー ロールを選択します。
[保存] をクリックします。

ワークスペース管理者設定

アカウントグループに対してワークスペースのローカルグループやシステムグループのロールを割り当てることはできません。

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ ID とアクセス ] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
更新するグループを選択します。更新するには、グループに対するグループマネージャーロールが必要です。
[Permissions] タブをクリックします。
[アクセス権の付与] をクリックします。
ユーザー、サービスプリンシパル、またはグループを検索して選択し、グループマネージャー ロールを選択します。
[保存] をクリックします。

グループにアカウント管理者ロールを割り当てる

アカウントコンソールを使用してアカウント管理者ロールをグループに割り当てることはできませんが、アカウントグループ API を使用してグループに割り当てることができます。例えば次が挙げられます。

curl --netrc -X PATCH \
https://${DATABRICKS_HOST}/api/2.1/accounts/{account_id}/scim/v2/Groups/{id} \
--header 'Content-type: application/scim+json' \
--data @update-group.json \
| jq .

update-group.json:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "add",
      "path": "roles",
      "value": [
        {
          "value": "account_admin"
        }
      ]
    }
  ]
}

アカウントグループ API に対して認証する方法については、「 Azure Databricks リソースへのアクセスを承認する」を参照してください。

親グループの表示

ワークスペース管理者として、Azure Databricks ワークスペースにログインします。
Azure Databricks ワークスペースの上部バーでユーザー名をクリックし、[設定] を選択します。
[ID およびアクセス管理] タブをクリックします。
[グループ] の横にある [管理] をクリックします。
表示するグループを選びます。
[親グループ] タブで、グループの親グループを表示します。

Azure Databricks アカウントからグループを削除する

アカウント管理者は、Azure Databricks アカウントからグループを削除できます。グループマネージャーは、アカウントグループ API を使用してアカウントからグループを削除することもできます。「API を使用したグループの管理」を参照してください。アカウントコンソールを使用してグループを削除する場合、そのアカウントに設定されている SCIM プロビジョニングコネクタまたは SCIM API アプリケーションを使用してそのグループを削除する必要もあります。そうしないと、SCIM プロビジョニングは、次回同期するときにグループとそのメンバーを追加するだけです。 SCIM を使用して Microsoft Entra ID からユーザーとグループを同期するを参照してください。

Important

グループを削除すると、そのグループ内のすべてのユーザーがアカウントから削除され、それらのユーザーが持っていたワークスペースへのアクセス権が失われます (ただし、それらのユーザーが別のグループのメンバーである場合や、それらのユーザーに対してアカウントまたはいずれかのワークスペースへのアクセスが直接許可されている場合は除きます)。 Databricks では、アカウントレベルのグループの削除は、アカウント内のすべてのワークスペースへのアクセスを禁止することを望む場合を除き、行わないことをお勧めします。ユーザーを削除した場合の次の結果に注意してください。

ユーザーによって生成されたトークンを使用するアプリケーションまたはスクリプトは、Databricks API にアクセスできなくなりました。
ユーザーが所有するジョブは失敗します。
ユーザーが所有するクラスターは停止します。
そのユーザーによってインストールされたライブラリは無効であり、再インストールする必要があります。
共有が失敗しないように、ユーザーが作成し、所有者として実行資格情報を使用して共有するクエリまたはダッシュボードを新しい所有者に割り当てる必要があります。

アカウントコンソールを使用してグループを削除するには、以下の操作を行います。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、[ユーザー管理] をクリックします。
[グループ] タブで、削除しようとしているグループを見つけます。
をクリックします。ユーザー行の右端にある kebab メニューをクリックし、[削除] を選択します。
確認ダイアログボックスで、[削除の確認] をクリックします。

Note

自動 ID 管理を有効にすると、Microsoft Entra ID 内のグループがアカウントコンソールに表示されます。グループは 非アクティブとして表示されます。 ワークスペースに追加されていない場合は使用されません。これらのグループをグループの一覧から削除することはできません。グループの制限にはカウントされません。

API を使用してグループを管理する

アカウント管理者、ワークスペース管理者、グループマネージャーは、Account Groups API を使用して、Azure Databricks アカウントでグループの追加、削除、管理を行うことができます。アカウント管理者、ワークスペース管理者、グループマネージャーは、別のエンドポイント URL を使用して API を呼び出す必要があります。

アカウント管理者は {account-domain}/api/2.1/accounts/{account_id}/scim/v2/ を使用します。
ワークスペース管理者とグループマネージャーは {workspace-domain}/api/2.0/account/scim/v2/ を使用します。

詳細については、アカウントグループ API に関するページを参照してください。

アカウント管理者とワークスペース管理者は、ワークスペース割り当て API を使用して、ワークスペースにグループを割り当てることができます。 Workspace Assignment API は、Azure Databricks のアカウントとワークスペースでサポートされています。

アカウント管理者は {account-domain}/api/2.0/accounts/{account_id}/workspaces/{workspace_id}/permissionassignments を使用します。
ワークスペース管理者は {workspace-domain}/api/2.0/preview/permissionassignments/principals/{group_id} を使用します。

「ワークスペース割り当て API」を参照してください。

API を使用してグループに対するロールを管理する

Important

この機能はパブリックプレビュー段階です。

グループマネージャーは、アカウントアクセス制御 API を使用してグループロールを管理できます。アカウント管理者、ワークスペース管理者、グループマネージャーは、別のエンドポイント URL を使用して API を呼び出す必要があります。

アカウント管理者は {account-domain}/api/2.0/preview/accounts/{account_id}/access-control/assignable-roles を使用します。
ワークスペース管理者とグループマネージャーは {workspace-domain}/api/2.0/preview/accounts/access-control/assignable-roles を使用します。

「Account Access Control API」と「Accounts Access Control Workspace Proxy API」をご覧ください。

グループを管理するための API の例

次の例は、ワークスペース管理者がアカウントグループ API とワークスペース割り当て API を使用してグループを管理する方法を示しています。ワークスペース管理者は、API トークンを使用してワークスペースに対して認証を行います。

アカウントグループを作成する

curl --request POST \
  --location '{workspace-domain}/api/2.0/account/scim/v2/Groups' \
  --header 'Authorization: Bearer $OAUTH_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "displayName": "<group-name>"
  }'

これにより、新しいアカウントグループのグループ ID が返されます。次の API の例で参照するために保存します。

ワークスペースにグループを追加する

次の例では、ワークスペースユーザーのアクセス許可を持つグループをワークスペースに追加します。 permissionsを [ADMIN]に設定して、グループにワークスペース管理者ロールを付与することもできます。

curl --location --request PUT '{workspace-domain}/api/2.0/preview/permissionassignments/principals/{group-id}' \
  --header 'Authorization: Bearer $OAUTH_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "permissions": ["USER"]
  }'

ワークスペースからグループを削除する

次の例では、ワークスペースからグループを削除します。ワークスペースからグループを削除しても、そのグループはアカウントから削除されません。

Note

curl --location --request PUT '{workspace-domain}/api/2.0/preview/permissionassignments/principals/{group-id}' \
  --header 'Authorization: Bearer $OAUTH_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "permissions": []
  }'

グループにメンバーを追加する

curl --location --request PATCH '{workspace-domain}/api/2.0/account/scim/v2/Groups/{group-id}' \
  --header 'Authorization: Bearer $OAUTH_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "schemas": [
      "urn:ietf:params:scim:api:messages:2.0:PatchOp"
    ],
    "Operations": [
      {
        "op": "add",
        "value": {
          "members": [
            {
              "value": "{user-id}"
            }
          ]
        }
      }
    ]
  }'

フィードバック

このページはお役に立ちましたか?

Last updated on 2025-11-25

次の方法で共有

グループの管理

Microsoft Entra ID テナントから Azure Databricks アカウントにグループを同期する

アカウントにグループを追加する

アカウント コンソール

ワークスペース管理者設定

グループへのメンバーの追加

アカウント コンソール

ワークスペース管理者設定

グループの名前を変更する

アカウント コンソール

アカウント グループ API

ワークスペースにグループを割り当てる

アカウント コンソール

ワークスペース管理者設定

ワークスペースからグループを削除する

アカウント コンソール

ワークスペース管理者設定

グループのロールを管理する

アカウント コンソール

ワークスペース管理者設定

グループにアカウント管理者ロールを割り当てる

親グループの表示

Azure Databricks アカウントからグループを削除する

API を使用してグループを管理する

API を使用してグループに対するロールを管理する

グループを管理するための API の例

アカウント グループを作成する

ワークスペースにグループを追加する

ワークスペースからグループを削除する

グループにメンバーを追加する

フィードバック

その他のリソース

アカウントコンソール

アカウントコンソール

アカウントコンソール

アカウントグループ API

アカウントコンソール

アカウントコンソール

アカウントコンソール

アカウントグループを作成する