Databricksにおけるグループの管理

[Manage groups \| Databricks on AWS](https://docs.databricks.com/administration-guide/users-groups/groups.html) [2021/6/30時点]の翻訳です。

:::note warn
本書は抄訳であり内容の正確性を保証するものではありません。正確な内容に関しては原文を参照ください。
:::

グループを用いることで複数のユーザーに対して同じ資格情報やインスタンスプロファイルを割り当てることができます。管理者は管理コンソール、[Groups API 2\.0](https://docs.databricks.com/dev-tools/api/latest/groups.html)、[SCIM API 2\.0](https://docs.databricks.com/dev-tools/api/latest/scim/index.html)、OktaやAzure Active Directoryのような[SCIM\-enabled identity provider](https://docs.databricks.com/administration-guide/users-groups/scim/index.html)を用いてグループを管理することができます。本書ではDatabricks管理コンソールを用いたグループ管理を説明します。
![](https://docs.databricks.com/_images/groups-tab-aws.png)

管理コンソールを用いて以下のことを行うことができます。

- グループの追加
- グループへのユーザー、サービスプリンシパルの追加及び削除
- 別のグループへのグループの追加及び削除
- (ワークスペースで[クラスターアクセスコントロール](https://docs.databricks.com/security/access-control/cluster-acl.html)が有効化されている場合)グループの全メンバーに対するクラスター作成権限の許可及び剥奪
- グループの全メンバーに対するインスタンスプロファイルの追加、削除
- `admins`グループにユーザーを追加、削除することによる管理者権限の管理。[ユーザー管理のインタフェース](https://docs.databricks.com/administration-guide/users-groups/users.html)からもユーザーを`admins`グループに割り当てることもできます。

# グループの追加

1. [管理コンソール](https://docs.databricks.com/administration-guide/admin-console.html)に移動し、**Group**タブをクリックします。
1. **+ Create Group**をクリックします。
1. グループ名を入力し**Confirm**をクリックします。

    グループ名はユニークである必要があります。グループ名を変更することはできません。グループ名を変更したい場合には、グループを削除して新たな名前で再作成しなくてはなりません。

# グループへのユーザーの追加、グループへの子グループの追加

:::note info
**注意**
`admins`グループに子グループを追加することはできません。
:::

1. [管理コンソール](https://docs.databricks.com/administration-guide/admin-console.html)に移動し、**Group**タブをクリックします。
1. 更新したいグループを選択します。
1. **Members**タブで、**+ Add users or groups**をクリックします。
1. **Add users or groups**ダイアログで、ユーザー、グループ一覧を表示するために下向きの矢印をクリックし、追加したいものを選択します。
1. ドロップダウンリストを非表示にするために下向きの矢印をクリックし、**Confirm**をクリックします。

# グループの資格情報の管理

資格情報はユーザー、サービスプリンシパル、グループがDatabricksと特定の方法でやり取りすることを許可するプロパティです。以下の表では、それぞれの資格情報のUIとAPI名を示しています。

| 資格情報名(UI) | 資格情報名(API) | デフォルト | 説明 |
|:--|:--|:--|:--|
|  Workspace access | `workspace_access`  | デフォルトで許可  |  ユーザー、サービスプリンシパルに許可されると、Data Science & Engineering workspaceとDatabricks Machine Learningにアクセスできるようになります。ワークスペース管理者から剥奪することはできません。 |
|  Databricks SQL access |  `databricks_sql_access` | デフォルトで許可  |  ユーザー、サービスプリンシパルに許可されると、Databricks SQLにアクセスできるようになります。 |
| Allow unrestricted cluster creation  |  `allow_cluster_create` |  デフォルトではユーザーとサービスプリンシパルには許可されません | ユーザー、サービスプリンシパルに許可されると、クラスターを作成できるようになります。[クラスターレベルのアクセス権](https://docs.databricks.com/security/access-control/cluster-acl.html)を用いることで既存のクラスターへのアクセスを制限することができます。ワークスペース管理者から剥奪することはできません。  |
| allow-instance-pool-create  |  `allow_instance_pool_create` |  個々のユーザー、サービスプリンシパルに許可することはできません |  グループが許可されると、メンバーはインスタンスプールを作成できるようになります。ワークスペース管理者から剥奪することはできません。 |

## グループへの資格情報の追加、削除

1. [管理コンソール](https://docs.databricks.com/administration-guide/admin-console.html)に移動し、**Group**タブをクリックします。
1. アップデートしたいグループを選択します。
1. **Entitlements**でグループの全ユーザーに許可したい資格情報を選択します。
    - **Allow cluster creation**: グループメンバーは新規クラスターを作成、起動することができます。[クラスターレベルのアクセス権](https://docs.databricks.com/security/access-control/cluster-acl.html)を用いることで既存のクラスターへのアクセスを制限することができます。
    - **allow-instance-pool-create**: グループメンバーは新規インスタンスプールを作成することができます。
    - **Databricks SQL access**: グループメンバーは[Databricks SQL](https://docs.databricks.com/sql/index.html)にアクセスすることができます。
1. グループから資格情報を削除するには、選択状態を解除します。
1. 確認ダイアログで**Confirm**をクリックします。

# グループへのインスタンスプロファイルの追加

Databricksクラスターからユーザーがアクセスする必要があるS3へのアクセスを許可する[インスタンスプロファイル](https://docs.databricks.com/administration-guide/cloud-configurations/aws/instance-profiles.html)をセットアップし、グループを用いて割り当てることができます。

1. [管理コンソール](https://docs.databricks.com/administration-guide/admin-console.html)に移動し、**Group**タブをクリックします。
1. アップデートしたいグループを選択します。
1. **Instance Profiles**タブで、**+ Add Instance Profiles to group**をクリックします。
1. **Add Instance Profiles**ダイアログで、インスタンスプロファイルの一覧を表示するために下向きの矢印をクリックし、追加したいインスタンスプロファイルを選択します。
1. ドロップダウンリストを非表示にするために下向きの矢印をクリックし、**Add**をクリックします。

# 親グループの参照

1. [管理コンソール](https://docs.databricks.com/administration-guide/admin-console.html)に移動し、**Group**タブをクリックします。
1. アップデートしたいグループを選択します。
1. **Parents**タブで、お使いのグループの親グループを参照します。

# ユーザー、子グループの削除

1. [管理コンソール](https://docs.databricks.com/administration-guide/admin-console.html)に移動し、**Group**タブをクリックします。
1. アップデートしたいグループを選択します。
1. **Members**タブで、削除したいユーザー、グループを特定し、**Actions**カラムの**X**をクリックします。
1. 確認して**Remove Member**をクリックします。

ユーザー、子グループは、このグループに属していることで許可されていたグループのメンバーシップ、資格情報、インスタンスプロファイルの全てを失います。しかし、別のグループに属していること、あるいは、ユーザーレベルの許可で得られる資格情報はそのままとなります。

# 資格情報の削除

1. [管理コンソール](https://docs.databricks.com/administration-guide/admin-console.html)に移動し、**Group**タブをクリックします。
1. アップデートしたいグループを選択します。
1. **Entitlements**タブで、グループの全ユーザーから剥奪したい資格情報のチェックボックスをクリアします。
1. 確認ダイアログで**Romove**をクリックします。

ユーザー個別に許可されているか、他のグループメンバーシップによって許可されていない限り、グループのメンバーは資格情報を失います。

# インスタンスプロファイルの削除

グループからインスタンスプロファイルを削除するには、

1. [管理コンソール](https://docs.databricks.com/administration-guide/admin-console.html)に移動し、**Group**タブをクリックします。
1. アップデートしたいグループを選択します。
1. **Instance Profiles**タブで、削除したいインスタンスプロファイルを特定し、**Actions**カラムの**X**をクリックします。
1. 確認ダイアログで**Delete**をクリックします。

ユーザー個別に許可されているか、他のグループメンバーシップによって許可されていない限り、グループのメンバーはインスタンスプロファイルを失います。

# 親グループからのグループの削除

1. [管理コンソール](https://docs.databricks.com/administration-guide/admin-console.html)に移動し、**Group**タブをクリックします。
1. アップデートしたいグループを選択します。
1. **Parents**タブで、切り離したい親グループを特定し、**Actions**カラムの**X**をクリックします。
1. 確認ダイアログで**Remove parent**をクリックします。

親グループに割り当てられているすべての資格情報とインスタンスプロファイルは、グループのメンバーから削除されます。かし、別のグループに属していること、あるいは、ユーザーレベルの許可で得られる資格情報、インスタンスプロファイルはそのままとなります。

### Databricks 無料トライアル

[Databricks 無料トライアル](https://databricks.com/jp/try-databricks)