Unity Catalog に「アクセスリクエスト」機能の Public Preview 登場！

セキュリティを重視する企業における最大の課題のひとつは、必要なデータにタイムリーにアクセスできること です。
データ所有者は大量のリクエスト対応に追われ、データ利用者は承認を得るまでに数日、時には数週間も待たされることがあり、その結果、分析や意思決定が遅れてしまいます。

Unity Catalog の新機能 「Request for Access」 を利用すれば、Databricks 内からセルフサービスでアクセスリクエストを送信でき、ボトルネックを解消します。
これにより、適切な人が、適切なデータに、より早くアクセスできる ようになり、ガバナンスも損なわれません。

このブログでは以下について解説します：

• 管理者チームがアクセスリクエストの送信先を設定して利用を開始する方法

• ユーザーがアクセスリクエストを送信する方法

• 中央管理者の監督の下で、分散型の承認モデルを運用するためのガイドライン

Unity Catalog における Request for Access の仕組み

Request for Access は、複数の立場のユーザーにとってデータアクセスの付与を効率化します：

• データ利用者（Data Consumers）:
  誰に聞けばいいのか、どこにチケットを送ればいいのかを迷う必要がなくなります。

• データ所有者／スチュワード（Data Owners / Stewards）:
  承認プロセスが効率化され、やりとりが最小限に。ガバナンスも維持できます。

• データ管理者（Data Admins）:
  セルフサービス型の仕組みによってスケールでき、アクセスリクエスト対応に追われる時間を大幅に削減できます。

アクセスリクエストを正しい宛先へルーティング

ユーザーがアクセスをリクエストできるようにする前に、管理者は アクセスリクエストの宛先 を設定する必要があります。
宛先はカタログレベルまたはスキーマレベルで設定でき、その配下のすべてのオブジェクト（テーブル、ビュー、モデルなど）に継承されます。

選べる宛先タイプは以下の3つです：

• メール宛先: アクセスリクエストの詳細を1つ以上のメールアドレスに送信

• 外部宛先: リクエストを Slack、Microsoft Teams、または Jira・ServiceNow などの受信Webhookをサポートするシステムにルーティング

• リダイレクトURL宛先: 製品内フォームではなく、組織の外部アクセスリクエストシステムにユーザーをリダイレクト

💡 ヒント: 管理者はワークスペース管理ページのトグルで、カタログ所有者をすべてのカタログにおけるデフォルトのメール宛先として設定可能です。

Databricks 上から直接アクセスリクエスト

宛先が設定されると、ユーザーは Databricks 内のさまざまな画面からアクセス権をリクエストできます：

• Catalog Explorer: 閲覧可能なオブジェクト（BROWSE権限を持つもの）や直接リンクがあるオブジェクトに対してアクセスをリクエスト

• 作業画面（Authoring surfaces）: 不足している権限によってクエリが失敗した場合、参照しているテーブルへのアクセスをその場でリクエスト

• AI/BI ダッシュボード: 埋め込み認証がないダッシュボードでは、欠けているデータセットへの読み取り権限をパネルから直接リクエスト

ユーザーは自分自身のためだけでなく、他のユーザー、グループ、またはサービスプリンシパル の代理としてアクセスをリクエストすることも可能です。
リクエストは管理者が設定した宛先に自動的に送信されます。

カタログエクスプローラからアクセスを要求するユーザー：

ダッシュボードパネルからアクセスを要求するユーザー：

コントロールを効かせたレビューと承認

リクエストが送信されると、設定された宛先には以下を含むすべての関連情報が届きます：

• リクエスト送信者の名前

• オブジェクト名

• リクエストされた権限

• （代理の場合）リクエスト対象となるユーザーまたはグループ

• リクエスト理由

承認者は 「Open Permission Settings」 をクリックすると承認画面に直接移動し、次の2つの方法を選択できます：

1. Add Principal to Group
   既に権限を持っているグループにリクエスト送信者を追加。
   ※ group-manager ロールが必要。

2. Grant Privileges to Principal
   オブジェクトに対して、リクエストしたユーザーまたはグループに直接権限を付与。
   ※ MANAGE 権限または所有権が必要。

グループ方式を使うことで、Unity Catalog 内のオブジェクトに対して所有権や MANAGE 権限を持たないユーザーでもアクセスリクエストを承認できるようになります。
また、管理者がユーザーに付与できる権限を制御する方法としても利用可能です（例：SELECT のみを持つグループに追加すれば、読み取り専用アクセスのみが付与される）。

アクセスリクエストの開始

Unity Catalogでアクセスリクエストを有効にすることで、データの発見を民主化し、データアクセスの承認を効率化し、チームがデータをより早く扱うことを可能にし、ガバナンスを維持することができます。

利用を開始するには以下の手順を踏みます。

• ガイド（AWS、Azure、GCP）に従ってアクセスリクエストの開始を手助けします。
• Unity Catalogを始めるには、AWS、Azure、GCP用のUnity Catalogガイドを参照してください。