エンタープライズ OAuth で Genie をどこでも使用

概要

データの民主化は、知見に簡単かつ安全にアクセスできるようにすることから始まります。Databricks Genieを使用すると、ユーザーはTeams、Slack、Confluence、またはカスタムWebアプリなど、すでに使用しているツールから直接データと対話できるようになります。ネイティブのCopilot Studio/Foundry統合を使用している場合でも、Genie Conversation APIs/SDKで構築している場合でも、Genieは自然言語アナリティクスを日常のワークフローにもたらすことができます。バックグラウンドでOAuthを適用して、各ユーザーを安全に認証し、データアクセス許可を適用できます。

以前は、The AAやCasas Bahiaなどの顧客が、Microsoft Teamsや社内アプリに独自のGenie統合を個別に構築していました。Databricksの堅牢な拡張機能スイートにより、このエクスペリエンスがより簡単に、より速く、よりスケーラブルになりました。

このブログでは、組織全体でエンタープライズOAuthを使用してGenieを展開するための2つの一般的な方法について説明します。

• Copilot Studio統合を使用して、GenieをMicrosoft Teamsに導入する
• Genie Conversation API を使用して、カスタムウェブアプリに Genie を埋め込みます

GenieをMicrosoft Teamsに導入する

グループでの会話中には、アドホックなデータに関する質問が常に発生します。Databricks Genie のネイティブ Copilot Studio 統合により、ユーザーは Microsoft Teams で直接、質問が発生したその瞬間に回答を得られるようになります。この統合を活用するには、以下のステップに従ってください。

前提条件

• 最高品質を提供するために、ターゲットのGenieスペースがベストプラクティスに従ってキュレートされていることを確認してください。
• エンドユーザー/サービスプリンシパルは、ターゲットのGenieスペースへのアクセス権（少なくともCAN VIEW）、スペースのUnity Catalogデータに対するSELECT権限、およびスペースのSQLコンピュートに対するCAN USE権限を持っている必要があります。エンドユーザーには、効率的な「読み取り専用」エクスペリエンスのためにConsumer Accessエンタイトルメントをオプションで割り当てることができます。

ステップ 1: Azure Databricks を Power Platform に接続する

Microsoft TeamsでGenieを有効にするための最初のステップは、Azure DatabricksをPower Platformに接続することです（ドキュメント）。Microsoft Power Appsで、[接続]をクリックし、Azure Databricksを選択します（AWS/GCPを使用している場合はDatabricks）。以下のフィールドを設定します：

• 各エンドユーザーが自身の ID を使用して Databricks に認証されるようにするには、認証タイプとして OAuth を選択してください。
• サーバーのホスト名と HTTP パスについては、ターゲットの Genie space があるワークスペースに移動してください。SQL ウェアハウスを選択して [接続の詳細] を開き、この情報を取得します (Genie スペースにアタッチされているものと同じ SQL ウェアハウスである必要はありません)。

ステップ 2: Genie spaces を Copilot Studio エージェントに接続する

次に、Genie スペースを Copilot Studio に接続します (ドキュメント)。この統合によりすべての API および MCP ロジックが処理されるため、わずか数クリックで接続を確立できます。

Copilot Studioで、[エージェント]をクリックします。「空白のエージェントを作成」を選択して、Genieスペース用の新しいスタンドアロンエージェントを構築します。既存のエージェントフレームワークにGenieを導入したい場合は、既存のCopilot Studioエージェントを選択してGenieスペースを追加することもできます。

新しいエージェントで、[ツール]をクリックし、「ツールを追加」をクリックします。MCPセクションでAzure Databricks Genie（AWS/GCPの場合はDatabricks Genie）を選択します。

これで、目的の Genie スペースを選択して、接続の詳細を設定できます。

• 使用する認証情報: 各アプリケーションユーザーが自身の ID とデータアクセス権限でサインインするように、「エンドユーザーの認証情報」を選択します。これにより、アプリケーションユーザーが Genie スペースまたはテーブルにアクセスできない場合、Genie からデータ知見を取得できなくなります。
• エンドユーザーに単一の共有ID（service principal（推奨）または独自のID）を使用して認証させたい場合は、「Maker provided credentials」を選択します。
• 重要: ターゲットの Genie スペースに、そのコンテキスト、主要な概念、制限事項の概要を記載した分かりやすいタイトルと説明が設定されていることを確認してください。これにより、Copilot Studio エージェントがリクエストを効果的にオーケストレーションできるようになります。

ステップ3：接続パラメーター共有の有効化

「エンドユーザーの認証情報」を選択すると、各ユーザーは自分のアカウントを使用してDatabricksにサインインする必要があります。これを簡単にするために、Microsoftのドキュメントに記載されているように接続パラメーターを共有することをお勧めします。そうすることで、ユーザーは自分でその情報を提供する必要がなくなります。実際には、これはサーバーのGenie spaceとHTTPパスを提供することを意味します。これにより、ユーザーはCopilot Studioエージェントに接続されているGenie spaceにリンクされた、まさにそのDatabricksワークスペースに認証されることが保証されます。

• Copilot Studio Agentの「設定」ページを開きます。
• 接続設定を開き、Azure Databricks が「接続済み」ステータスになっていることを確認します。
  
• 次に「詳細を表示」をクリックし、「接続パラメータ」タブでパラメータを共有する権限を許可します。
  

ステップ4：エージェントをTeamsに導入する

Genieスペースに接続されたCopilot Studioエージェントが完成したので、Teamsに公開できます。

• エージェントに明確な「名前」と「説明」が設定されていることを確認してください。
• 以下も推奨されます。
  • Genieの効果的なポーリングと使用のために、推論モデル（例：GPT-5 Reasoning、Claude Sonnet 4.5）を選択する。
  • カスタムエージェントの指示を追加してエクスペリエンスをカスタマイズします (例:回答のフォーマットやレイテンシーの優先設定など)。
    
• Copilot Studio エージェントを確認したら、[公開] をクリックします。次に [チャネル] で、目的のチャネルとして Teams を選択します。
  

これで準備完了です。GenieがMicrosoft Teamsで利用可能になり、質問が発生した瞬間に管理されたデータ知見を提供します。

エンドユーザーが Microsoft Teams で Genie をどのように活用しているかを確認するには、当社の顧客事例をご覧ください。

カスタムWebアプリケーションへのGenieの導入

多くの組織は、Genie をカスタムウェブアプリに直接埋め込むことも望んでいます。これにより、ユーザーはすでに使用しているツールで質問できるようになります。たとえば、店舗のマネージャーは、既存の販売端末で在庫に関するアドホックな質問を直接行うことができます。Genie Conversation APIs と Databricks OAuth を使用することで、これが可能になりました。

WebアプリとGenieのインテグレーションを構築する前に、User-to-Machine (U2M)、Machine-to-Machine (M2M)、またはOn-Behalf-Of (OBO)モデルといった、どのOAuthパターンを使用するかを決定することが重要です。それぞれのアプローチは、異なるタイプのアプリケーションのユースケースに対応しています。

• ユーザー対マシン (U2M) - 各エンドユーザーが、管理されたパーソナライズ済みのデータアクセスを必要とする場合に最適です。このモデルでは、ユーザーは自身の企業ID（例: を使用してサインインします。SSO)、Genie はユーザー固有の OAuth トークンを受け取り、そのユーザーの権限でクエリーが実行されます。使用例: 営業担当者が単一の基盤となる Genie space とチャットし、自身の取引からのデータ知見のみを表示する必要がある Sales Copilot。
• マシンツーマシン（M2M） - すべてのユーザーが同じデータアクセス権を持ち、よりシンプルなガバナンスを求めるユースケースに最適です。このモデルでは、サービスプリンシパルが認証を行い、関連するOAuthトークンをGenieに発行します。このトークンは、サービスプリンシパルの権限下でクエリーを実行するために使用されます。使用例：「全社KPI」チャットボット。従業員は誰でも全社的なKPIメトリクスについて質問し、同じ共有知見を受け取ることができます。
• On-Behalf-Of (OBO) - ユーザーごとのデータガバナンスが必要でありながら、中央のバックエンドを介して処理を行うアプリに最適です。このモデルでは、アプリケーションはまずDatabricksに認証し、その後、エンドユーザーのデータ権限を適用した上で、そのユーザーに「代わって」Genie APIを呼び出します。ユースケースの例: ユーザーがGenieを活用した統合チャットボットと対話する財務アナリティクス ポータル。各ユーザーは、自分が閲覧を許可されているデータのみを閲覧できます。

このブログの残りの部分では、Genieとの統合における最初のパターン、すなわちDatabricksの組み込みOAuthサポートを使用したOAuth U2Mフローに焦点を当てます。

注: Databricks は OAuth トークンのフェデレーションもサポートしています。これを使用して、独自の ID プロバイダーによって発行されたトークンを取り込み、上記のいずれかの方法と組み合わせて Genie にアクセスできます。

前提条件

• 最高品質を提供するために、ターゲットのGenieスペースがベストプラクティスに従ってキュレートされていることを確認してください。
• エンドユーザー/サービスプリンシパルには、ターゲットのGenieスペースへのアクセス権（少なくともCAN VIEW）、スペースのUnity Catalogデータに対するSELECT権限、およびスペースのSQLコンピュートに対するCAN USE権限が必要です。エンドユーザーは、合理化された「読み取り専用」エクスペリエンスのために、オプションで コンシューマーアクセス 資格を割り当てることができます。
  

ステップ 1: OAuth アプリケーションを登録する

カスタムWebアプリをGenieに安全に接続するには、まずDatabricksアカウントにアプリを登録します。このステップにより、Databricksは後のステップでアプリのユーザースコープトークンを安全に発行できるようになります。詳細については、製品ドキュメントをご覧ください。

Databricks アカウント コンソールで、新しい OAuth 接続を追加し、以下のように設定します。

• アプリケーション名: サインイン時にユーザーに表示される、わかりやすい名前
• リダイレクトURL：認証後にDatabricksがユーザーを送信することを許可されている1つ以上のURL。これらは、後のステップでアプリが使用するURLと完全に一致する必要があります。
• アクセススコープ: アプリがユーザーに代わってGenie Conversation APIを呼び出せるように、「すべてのAPI」へのアクセスを許可します。
  

この接続を保存すると、Databricksによって次のものが生成されます。

• クライアントID: アプリの公開識別子
• クライアントシークレット: バックエンド用のプライベートな認証情報

これらの認証情報をバックエンドに安全に保管してください。これらは、認可コードをアクセストークンと交換し、Genie Conversation API への呼び出しを認証するために必要になります。

ステップ2：ユーザーをDatabricksに誘導して認証し、アクセスを許可する

次のステップは、アプリがエンドユーザーをDatabricksに誘導するように設定することです。これにより、ユーザーはサインインしてアプリを承認し、自身の代わりにGenieと通信できるようになります。ログインと承認が成功すると、Databricksは有効期間の短い認可コードとともにユーザーをアプリにリダイレクトします。

この認証コードは、ユーザーがDatabricksに正常に認証され、アプリが要求したアクセスを承認したことの証明です。アプリのバックエンドは、次のステップでこの認証コードを使用してアクセストークンを取得します。

まず、Webアプリケーションを保護するために、サインインのたびにPKCEとstate値を生成します：

• OAuth PKCE 標準 に従い、SHA-256 と Base64 URL エンコーディングを使用して、 code_verifier とそれに一致する code_challenge を生成します。このステップにより、認可コードが盗まれたり再利用されたりするのを防ぎます（コード例については、ドキュメントを参照してください）。
• ランダムなstate文字列を作成し、Cookieまたはセッションに保存するようにしてください。これにより、実際の エンドユーザーセッションに対して認可コードが生成されるようになります。

次に、フロントエンドでDatabricks OAuthエンドポイントを使用して認証URLを構築する必要があります。

ユーザーに対してアプリケーションを識別するには、次のフォームパラメーターを含めます。

• <databricks-instance>: ワークスペースのインスタンス名を持つDatabricksインスタンス (例:dbc-a1b2345c-d6e7.cloud.databricks.com)
• <client_id>：前のステップで登録したOAuthアプリケーションのクライアントID
• <redirect-url>: 前のステップで指定したものと同じリダイレクト URL
• <state>: - レスポンスを検証するための任意のプレーンテキスト文字列
• <code-challenge>: code_verifierから派生したPKCEコードチャレンジ

ユーザーがDatabricksアカウントにサインインすると、次のクエリーパラメーター付きでredirect_urlにリダイレクトされます: https://<redirect_url>/oauth/callback?code=<authorization_code>&state=<state>

コールバック ハンドラは、クエリ文字列から authorization_code と state を読み取る必要があります。state の値が Cookie またはウェブセッションに保存されたものと一致することを検証してください。authorization_code を破棄しない場合。返された authorization_code を使用して、アプリケーションはそれをアクセス トークンと交換できるようになります。

ステップ3：認証コードをトークンと交換し、安全に管理する

前のステップで取得した認可コードは、APIを直接呼び出すためには使用できません。Genieと安全に通信するために、バックエンドでアクセストークンと交換する必要があります。詳細については、製品ドキュメントを参照してください）。

以下は、認可コードをアクセストークンおよび更新トークンと交換するためのPythonの例です（詳細はOAuth SDKドキュメントを参照してください）。

以下のパラメータを含めます。

• <databricks-instance>: ワークスペース インスタンス名を持つ Databricks インスタンス
• <client_id>：前のステップで登録したOAuthアプリケーションのクライアントID
• <client_secret>: ステップ 1 で生成されたアプリのクライアントシークレット
• <redirect-url>: ステップ 1 で指定されたものと同じリダイレクト URL
• <code-verifier>: ステップ 2 で生成されたベリファイア

result オブジェクトから次の値をアプリのデータベースに保存することが重要です。

• access_token: Genie Conversation APIsの呼び出しに使用されます
• refresh_token：ユーザーに再ログインを強制することなく、新しいアクセストークンを取得するために使用されます
• expires_in: アクセストークンの有効期限
• expires_at: アクセストークンが無効になる日時のタイムスタンプ

アクセス トークンを安全に管理するには、アプリが有効期限を追跡し、必要に応じて更新 トークンを使用して新しいアクセス トークンを取得することも重要です。以下のコード例では、更新ロジックを抽象化して、常に有効なユーザー アクセス トークンを返すようにしています。

ステップ 4: ユーザープロンプトを Genie Conversation APIs にルーティングする

アプリケーションにユーザー スコープのDatabricksアクセストークンができたので、サインインしたユーザーに代わってGenieスペースにプロンプトを送信できます。Webアプリケーション用のバックエンドAPIルーターを作成して、ブラウザからDatabricksアクセストークンを保護し、オブザーバビリティ、エラー処理、レート制限を一元化することをお勧めします。以下のコード例では、FastAPIとGenieのSDKを活用して、ロジックを簡素化しています。

• まず、ユーザーのアクセス トークンを使用して スコープ付き WorkspaceClient を作成します。この WorkspaceClient は、Genie SDK を呼び出すことができるようになります。コードの例

• 次に、バックエンドでGenie SDK呼び出しに変換される、アプリケーション所有のHTTPエンドポイントを公開します。これにより、すべてのGenie SDK呼び出しがサーバー内で行われ、アクセストークンがブラウザに送信されることはありません。
  • たとえば、新しい Genie 会話を開始するための HTTP エンドポイントを構築する方法は次のとおりです。

• アプリでサポートしたい Genie アクション用に、引き続き API ルーターを追加します。含めるべき主な機能は次のとおりです。
  • フォローアップ メッセージを送信 - 既存の会話へのフォローアップ メッセージ
    • create_message_and_wait(space_id: str, conversation_id: str, content: str, timeout: datetime.timedelta = 0:20:00) → GenieMessage
  • Retrieve query results - retrieves SQL results if the message has a query attachment
    • get_message_attachment_query_result(space_id: str, conversation_id: str, message_id: str, attachment_id: str) → GenieGetMessageQueryResultResponse
  • メッセージの取得 - 特定のメッセージのステータスと結果を取得します
    • get_message(space_id: str, conversation_id: str, message_id: str) → GenieMessage
  • 会話内のメッセージを一覧表示 - 会話の過去のメッセージをすべて一覧表示します
    • list_conversation_messages(space_id: str, conversation_id: str [, page_size: Optional[int], page_token: Optional[str]]) → GenieListConversationMessagesResponse
  • 利用可能なすべての機能については、Genie SDK ドキュメントを参照してください。

これらのステップの後、カスタムWebアプリはGenieと安全に統合され、ユーザーは普段使用しているツールで直接、自然言語で質問し、ガバナンスの効いた知見を取得できるようになります。

どこからでも Genie にアクセス

Genieは、ユーザーが作業する場所に合わせて利用できるよう設計されています。このブログでは、OAuth认証を使用して、組織がGenieの会話型アナリティクス機能をMicrosoft Teamsやカスタムアプリに安全に組み込む方法についてご紹介しました。

チームが質問するあらゆる場所にGenieを導入することで、質問から知見へ、そして知見からアクションへの道のりが短縮されます。今すぐGenieスペースの構築を始め、ユーザーに提供しましょう。ご質問やフィードバックがございましたら、Databricksのアカウントチームまでお気軽にお問い合わせください。

(このブログ記事はAI翻訳ツールを使用して翻訳されています) 原文記事