DatabricksでMicrosoft Entra IDを用いたSCIMプロビジョニングを行う際の留意事項

ユーザー管理をシンプルにするために、Identity Provider(IdP)を活用したプロビジョニングはベストプラクティスとなります。

https://docs.databricks.com/ja/admin/users-groups/scim/aad.html

しかし、以下のようなことを気にされるケースは多いかと思います。

- 既存ユーザーと同じメールアドレスのユーザーをSCIMプロビジョニングしたらどうなるのか
- SCIMプロビジョニングを行うエンタープライズアプリケーションからユーザーを削除するとどうなるか
- SCIMプロビジョニング設定を解除すると、過去にSCIMプロビジョニングされたユーザーはどうなるのか

実際に動作確認します。

# 準備

Databricksアカウントコンソールにログインし、**設定 > ユーザプロビジョニング**にアクセスして、**ユーザープロビジョニングを有効化**をクリックします。

SCIMトークンとアカウントSCIM URLが表示されるのでコピーしておきます。
![Screenshot 2024-05-15 at 14.03.57.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/648be524-d02b-b204-6e9d-e8cced8ee4bf.png)

Azureポータルにログインして、Entra IDのエンタープライズアプリケーションを作成します。
![Screenshot 2024-05-15 at 14.13.09.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/aab8bd78-4f11-e5ab-35ae-afb5b7c321f7.png)
![Screenshot 2024-05-15 at 14.13.22.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/c1259e4b-9ba1-ab29-0a39-7e89eeac6e13.png)

上でコピーしたSCIMトークンとアカウントSCIM URLを貼り付けます。
![Screenshot 2024-05-15 at 14.14.28.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/b51e7223-35ee-b319-d9b7-4f79d3ab7862.png)

接続確認します。
![Screenshot 2024-05-15 at 14.14.52.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/0e6c08f2-d9ce-9224-bd59-d42c60ac882e.png)

# 既存ユーザーと同じメールアドレスを持つユーザーのプロビジョニング

**結論**

ユーザー名のような属性のみが更新されます。Databricksのロールは変化しません。

**確認手順**

エンタープライズアプリケーションにユーザーを割り当てます。メールアドレスはお見せできませんがユーザー1のメールアドレスで、すでにDatabricksに登録されています。
![Screenshot 2024-05-15 at 14.16.21.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/9724f803-b896-de92-75de-6ea752fa4f45.png)

以下のスクリーンショットでの1行目です。
![Screenshot 2024-05-15 at 14.45.04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/3e1662eb-575a-3259-a09f-9c9389e03b8c.png)

ユーザーをプロビジョニングします。
![Screenshot 2024-05-15 at 14.20.29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/5a9562ec-84fc-9796-bbf3-e6490a2dd539.png)

Databricksアカウントコンソールを見ると、ユーザー名のみが更新されています。
![Screenshot 2024-05-15 at 14.27.30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/f2f1045f-ff75-482a-38f0-3269c2938c81.png)

# SCIMプロビジョニングを行うエンタープライズアプリケーションからユーザーを削除

**結論**

Databricks上の当該ユーザーは`非アクティブ`になります。

**確認手順**

エンタープライズアプリケーションから上で追加したユーザーを削除します。すると、Databricks上の当該ユーザーが`非アクティブ`になります。
![Screenshot 2024-05-15 at 14.27.30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/50f8b22b-3692-2444-c65a-733a237107df.png)

[こちら](https://docs.databricks.com/ja/admin/users-groups/scim/aad.html#step-3-assign-users-and-groups-to-the-application)にも記載があります。

:::note info
**注：**
アカウント レベルの SCIM アプリケーションからユーザーを削除すると、ID フェデレーションが有効になっているかどうかに関係なく、そのユーザーはアカウントとワークスペースから非アクティブ化されます。
:::

非アクティブされたユーザーを再度アクティブにするにはパスワードリセットを行い、新規のパスワードを設定する必要があります。

# SCIMプロビジョニング設定の解除

**結論**

過去にSCIMプロビジョニングされたユーザーは削除されません。

**確認手順**

こちらのuser6はSCIMプロビジョニングでプロビジョンされたものです。
![Screenshot 2024-05-15 at 15.33.42.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/3324a05e-973b-815e-d6d3-d72fdbade4ab.png)

Databricksアカウントコンソールで**ユーザープロビジョニングの無効化**をクリックします。
![Screenshot 2024-05-15 at 15.00.45.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/d759056b-015a-2010-182e-832634db1473.png)

確認メッセージでも**無効化**をクリックします。
![Screenshot 2024-05-15 at 15.36.59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/d97196ff-e580-1460-ba5c-1a486f98c2b5.png)

Databricksアカウントコンソール上のユーザーには変化はありません。
![Screenshot 2024-05-15 at 15.40.01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1168882/9792c65f-9646-9934-7764-f3bff8505315.png)


### はじめてのDatabricks

[はじめてのDatabricks](https://qiita.com/taka_yayoi/items/8dc72d083edb879a5e5d)

### Databricks無料トライアル

[Databricks無料トライアル](https://databricks.com/jp/try-databricks)