Databricks の AI/BI ダッシュボードを顧客向けアプリケーションに埋め込む方法

Databricks のAI/BI ダッシュボードは、GTM (go-to-market) チーム向けの販売レポート、サプライチェーンマネージャー向けの運用ダッシュボード、経営陣レビューのための週次 KPI など、社内アナリティクスの強化によく使用されます。しかし、多くの組織では、最も価値のあるアナリティクスとは、顧客、サプライヤー、パートナーと共有する必要があるものです。これらは、製品価値を形成し、関係を強化し、プラットフォームを差別化する知見です。

外部ユーザー向けの埋め込み を使用すると、Databricks に既存のダッシュボードを顧客やパートナー向けのアプリケーション内に直接配置できます。このエクスペリエンスは完全にインタラクティブかつライブです。ユーザーは Databricks アカウントを必要としません。また、Databricks はユーザーごとやセッションごとではなく、コンピュートに基づいて課金するため、 予測不能な料金を発生させることなく、アナリティクスを数千人のビューアーにまで拡張できます 。

このガイドでは、外部埋め込みの仕組みと、認証、権限、行レベルのフィルタリング、監査の可視性など、安全に設定する方法について順を追って説明します。

内部埋め込みと外部埋め込みについて

Databricks AI/BI Dashboardsを埋め込むには、2つの方法があります。

ビューアーが組織内のユーザーで、すでにIDプロバイダーを使用してサインインしている場合は、ダッシュボードを開き、[共有] を選択して[埋め込みコード] を選択し、生成されたiframeをConfluenceやSalesforceなどのツールに貼り付けるだけです。ユーザーが埋め込みダッシュボードを開くと、Databricksの認証情報でサインインし、Unity Catalogがアクセス制御を適用します。これは社内のチーム、部門、事業部門に最適です。これを 基本的なダッシュボードの埋め込み と呼びます。詳細については、 こちらの動画 をご覧ください。

しかし、オーディエンスが外部におり、Databricks アカウントを持っていない場合、この方法は機能しません。その場合は、外部ユーザー向けの埋め込みを使用します。これは、個々のユーザーではなく Service Principalを介して認証します。これにより、アイデンティティ プロバイダー外部のユーザーが、アプリケーションによって発行された、安全で有効期間の短いスコープ付きトークンを使用してダッシュボードを操作できるようになります。

その結果、外部ビューアーにはシームレスな埋め込みエクスペリエンスが提供され、AI/BI ダッシュボードはアプリケーションのインターフェースの自然な延長として表示されます。

外部埋め込みの仕組み

大まかな流れとして、アプリケーションは各外部ビューアーに代わって Databricks で認証を行います。アプリケーションは、ビューアーを識別するスコープ付きトークンを要求します。オプションで、表示を許可するデータを制御するためのフィルター値を含めることもできます。Databricks は、Service Principalの権限を使用してダッシュボードを実行し、そのビューアーに許可されているデータのみを返します。ユーザーアクティビティは追跡され、監査可能です。

この構造により、新しいヒューマンIDをプロビジョニングすることなく、安全で管理された方法でパーソナライズされたデータエクスペリエンスを提供できます。

セットアップ手順

1. ホストアプリケーションのドメインを許可リストに登録する

Databricks で [Workspace 設定] → [セキュリティ] → [外部アクセス] に移動し、ダッシュボードが表示されるアプリケーションの URL を [承認済みドメイン] のリストに追加します。開発環境では、https://localhost を追加するか、開発用 workspace を使用している場合はすべてのドメインを許可することを検討してください。

2. ダッシュボードの作成と公開

通常どおりに AI/BI ダッシュボードを構築します。公開する際は、 認証情報を埋め込まずに 公開することを選択します。これにより、ダッシュボードは常にService Principalを使用してランされるようになり、クエリー可能なデータを完全に制御できます。

3. アプリケーション用のService Principalの作成

[設定] → [ID とアクセス] → [Service Principal] に移動し、外部アプリケーションを表す新しいService Principalを作成します。OAuth シークレットを生成し、安全に保管します。このService Principalは、Databricks がダッシュボードのクエリーを実行する際に使用する ID となります。

ダッシュボードから参照される基になるテーブルまたはビューに対して、Service Principalに SELECT+ 権限を付与します。

4. Service Principal とダッシュボードを共有する

ダッシュボードを開き、共有を選択して、Service Principalにランアクセス権を付与します。これにより、Service Principalは人間のユーザーに代わってダッシュボードを実行できるようになります。

5. アプリケーションで OAuth トークンを生成する

この時点から先に進むには、独自のアプリケーションが必要です。 こちら のサンプル アプリケーションを自由に使用して、手順に沿って進めることもできます。

アプリケーションは、ダッシュボードにアクセスする各ビューアーに対して OAuth トークンを生成する必要があります。このサンプルアプリケーションでは、コードは次のようになります。

6. 行レベルのセキュリティとビューアーのトラッキングを適用する

可観測性を追加し、オプションでデータをパーソナライズするには、ビューアー識別子とオプションのフィルター値の両方を含むスコープ付きトークンを要求します。

• external_viewer_id は各外部ビューアーを一意に識別し、 Databricks logs に自動的に表示されるため、誰が何を表示したかを完全に可視化できます。
• external_value を指定した場合、グローバル変数 __aibi_external_value を介してダッシュボード SQL で参照し、行レベルのセキュリティを動的に適用できます。これはクエリー履歴とトークンにのみ表示されます。

例：

これにより、アプリで各顧客自身のデータを表示できるようになり、重複したダッシュボードやデータセットが不要になります。これらの値は OAuth を介して安全に署名されており、アプリケーションのユーザーが変更することはできません。

7. アプリケーションでダッシュボードをレンダリングする

Databricks クライアントを使用して、ダッシュボードをアプリケーションに安全に埋め込みます:

顧客やパートナーは、Databricks へのログインなしで、ライブでインタラクティブな AI/BI ダッシュボードを閲覧できるようになりました。

シンプルでスケーラブルな価格設定

Databricks では、ユーザーごと、またはビューアー セッションごとに課金されることはありません。料金は、ダッシュボードのクエリーを実行する SQL コンピュートに対してのみ発生します。これは、社内でのアナリティクスの場合と同じです。このため、ユーザー数が多かったり予測できなかったりする顧客向けアナリティクスに適しています。

無料トライアル

独自のアプリケーションにAI/BI Dashboardsの埋め込みを試すには、 こちら のサンプル アプリケーションや Databricksドキュメント をご参照ください。

わずか数行のコードを使用するだけで、他のすべてを実行するのと同じ統合コンピュートおよびガバナンス モデルを利用して、Databricks による知見を安全かつ大規模に、自社の製品や顧客体験に直接拡張できます。