Unity Catalog に「アクセスリクエスト」機能の Public Preview 登場！
Databricks で実現するセルフサービス型データ探索とスムーズなアクセス付与
によって Murt Neemuchwala 、 ケリー・アルバーノ による投稿
- Request for Accessは、自己サービスのデータ探索と権限リクエストを直接Unity Catalogにもたらします。
- 管理者はアクセス要求の宛先を設定して、ユーザーが権限を要求したときに適切なデータ所有者が自動的に通知されるようにすることができます。
- データ所有者はUIでリクエストを承認し、ガバナンスを維持しながらアクセスの提供をスピードアップできます。
セキュリティを重視する企業における最大の課題のひとつは、必要なデータにタイムリーにアクセスできること です。
データ所有者は大量のリクエスト対応に追われ、データ利用者は承認を得るまでに数日、時には数週間も待たされることがあり、その結果、分析や意思決定が遅れてしまいます。
Unity Catalog の新機能 「Request for Access」 を利用すれば、Databricks 内からセルフサービスでアクセスリクエストを送信でき、ボトルネックを解消します。
これにより、適切な人が、適切なデータに、より早くアクセスできる ようになり、ガバナンスも損なわれません。
このブログでは以下について解説します：
管理者チームがアクセスリクエストの送信先を設定して利用を開始する方法
ユーザーがアクセスリクエストを送信する方法
中央管理者の監督の下で、分散型の承認モデルを運用するためのガイドライン
Unity Catalog における Request for Access の仕組み
Request for Access は、複数の立場のユーザーにとってデータアクセスの付与を効率化します：
データ利用者（Data Consumers）:
誰に聞けばいいのか、どこにチケットを送ればいいのかを迷う必要がなくなります。データ所有者／スチュワード（Data Owners / Stewards）:
承認プロセスが効率化され、やりとりが最小限に。ガバナンスも維持できます。データ管理者（Data Admins）:
セルフサービス型の仕組みによってスケールでき、アクセスリクエスト対応に追われる時間を大幅に削減できます。
アクセスリクエストを正しい宛先へルーティング
ユーザーがアクセスをリクエストできるようにする前に、管理者は アクセスリクエストの宛先 を設定する必要があります。
宛先はカタログレベルまたはスキーマレベルで設定でき、その配下のすべてのオブジェクト（テーブル、ビュー、モデルなど）に継承されます。
選べる宛先タイプは以下の3つです：
メール宛先: アクセスリクエストの詳細を1つ以上のメールアドレスに送信
外部宛先: リクエストを Slack、Microsoft Teams、または Jira・ServiceNow などの受信Webhookをサポートするシステムにルーティング
リダイレクトURL宛先: 製品内フォームではなく、組織の外部アクセスリクエストシステムにユーザーをリダイレクト
💡 ヒント: 管理者はワークスペース管理ページのトグルで、カタログ所有者をすべてのカタログにおけるデフォルトのメール宛先として設定可能です。
Databricks 上から直接アクセスリクエスト
宛先が設定されると、ユーザーは Databricks 内のさまざまな画面からアクセス権をリクエストできます：
Catalog Explorer: 閲覧可能なオブジェクト（BROWSE権限を持つもの）や直接リンクがあるオブジェクトに対してアクセスをリクエスト
作業画面（Authoring surfaces）: 不足している権限によってクエリが失敗した場合、参照しているテーブルへのアクセスをその場でリクエスト
AI/BI ダッシュボード: 埋め込み認証がないダッシュボードでは、欠けているデータセットへの読み取り権限をパネルから直接リクエスト
ユーザーは自分自身のためだけでなく、他のユーザー、グループ、またはサービスプリンシパル の代理としてアクセスをリクエストすることも可能です。
リクエストは管理者が設定した宛先に自動的に送信されます。
カタログエクスプローラからアクセスを要求するユーザー：
ダッシュボードパネルからアクセスを要求するユーザー：
コントロールを効かせたレビューと承認
リクエストが送信されると、設定された宛先には以下を含むすべての関連情報が届きます：
リクエスト送信者の名前
オブジェクト名
リクエストされた権限
（代理の場合）リクエスト対象となるユーザーまたはグループ
リクエスト理由
承認者は 「Open Permission Settings」 をクリックすると承認画面に直接移動し、次の2つの方法を選択できます：
Add Principal to Group
既に権限を持っているグループにリクエスト送信者を追加。
※ group-manager ロールが必要。Grant Privileges to Principal
オブジェクトに対して、リクエストしたユーザーまたはグループに直接権限を付与。
※ MANAGE 権限または所有権が必要。
グループ方式を使うことで、Unity Catalog 内のオブジェクトに対して所有権や MANAGE 権限を持たないユーザーでもアクセスリクエストを承認できるようになります。
また、管理者がユーザーに付与できる権限を制御する方法としても利用可能です（例：SELECT のみを持つグループに追加すれば、読み取り専用アクセスのみが付与される）。
アクセスリクエストの開始
Unity Catalogでアクセスリクエストを有効にすることで、データの発見を民主化し、デ ータアクセスの承認を効率化し、チームがデータをより早く扱うことを可能にし、ガバナンスを維持することができます。
利用を開始するには以下の手順を踏みます。
最新の投稿を受信トレイで受け取る
ブログを購読して、最新の投稿を受信トレイにお届けします。