Databricksで次世代のアイデンティティセキュリティを導入

アイデンティティセキュリティの未来はパスワードレス、コンテキスト認識、フリクションレスであり、私たちはその未来に向けてDatabricksで引き続き構築しています。我々は、認証を強化し、アイデンティティプロビジョニングを自動化し、安全なプログラムアクセスを可能にする新たな機能をDatabricks Data Intelligence Platformに導入し、現代的でスケーラブルなアイデンティティとアクセス制御を実装するのを容易にしました。

リマインダーとして、Databricks管理のパスワードは2024年7月10日にサポート終了し、UIやAPI認証ではもはやサポートされていません。パスワードレスの未来をさらに支援するために、Databricks管理の多要素認証（MFA）の一般提供を発表します。

ますます多くの顧客がデータとAIのアクセスを民主化するためにDatabricksに依存しているため、プログラムによるアクセスのセキュリティはこれまで以上に重要です。長期的なAPIトークンのリスクを軽減するために、いくつかの新しいコントロールを導入しました：

• 90日間非活動の個人アクセストークン（PATs）の自動失効
• 新規作成のPATには最大2年の寿命が設定され、デフォルトでは資格情報が無期限に保持されなくなりました
• アクセストークンレポートの一般提供が開始され、管理者はトークンの使用状況とリスクをより深く把握できます

これらの更新は、NIST、PCI DSS、ISOなどの進化する業界標準の方向性と一致しており、パスワードの複雑さからよりスマートで適応性のあるアイデンティティフレームワークへと移行しています。

新機能やその最大限の活用方法について詳しく見ていきましょう。

AWSでの統一ログインによるSSO管理の簡素化

すべての顧客を 統一ログインに移行しています。ここでは、SSOを個々のワークスペースで設定する必要はありません。統一ログインは、アカウント内のすべてのDatabricksワークスペースに即座にシングルサインオン（SSO）を提供します。

統一ログインでは、1つのアカウントレベルのSSO設定を管理できます。これは、管理者のオーバーヘッドを減らし、ユーザーに一貫したアクセスポリシーを提供し、全体的なセキュリティ姿勢を強化します。これにMFAを使用したSSO緊急アクセスを組み合わせると、統一ログインはまた、管理者のための安全なフォールバックも提供し、柔軟性を犠牲にすることなく集中制御を確保します。

統一ログインはすでに数千のプロダクションワークスペースで使用されており、お客様は今すぐそれへの移行を計画するべきです。2024年12月以降、すべての新しいアカウントレベルのSSO設定は、デフォルトで統一ログインに自動的に適用されます。これにより、新規ユーザーがAI/BIダッシュボードの共有、ジニースペース、アプリなどの機能を追加設定なしで簡単に使用開始できるようになり、展開が効率化されます。すべてのワークスペースをできるだけ早く統一ログインに移行することをお勧めします。

統一ログインを有効にするためのベストプラクティス

アカウントの単一のSSO設定を使用するには、あなたのアイデンティティプロバイダー（IdP）の設定が、すべてのワークスペースユーザーがDatabricksアカウントに認証することを許可していることを確認してください。完了すると、古いワークスペースを自信を持って再利用し、統一ログインでアカウントレベルのSSOを選択できます。最後に、混乱を避けるために、古いワークスペース固有のIdPタイルを削除してください。

Databricks管理の多要素認証（MFA）でデフォルトで安全に

SSOは、集中型のアイデンティティ管理のためのベストプラクティスのままです。アイデンティティプロバイダー（IdP）でのMFAの有効化は、あなたの会社のセキュリティポリシーに準拠し、全ユーザーベース全体で一貫した、ポリシー準拠のアプローチを保証します。

私たちは紹介することを楽しみにしていますDatabricks管理のMFA、これはまだシングルサインオン（SSO）を設定していないすべてのAWSアカウントで一般に利用可能です。この新機能により、管理者はすべてのユーザーに対して多要素認証（MFA）を強制することができ、組織全体のセキュリティを強化します。人気のある認証アプリとパスキーのサポートがあるため、MFAの設定は迅速かつ簡単です。管理者はアカウントコンソールを通じてこれを有効にすることができます。

自動ID管理を使用して、Azure Databricks上で新規ユーザーを迅速にプロビジョニングします

自動アイデンティティ管理は、Microsoft Entra IDのパブリックプレビューで、ユーザー、グループ、サービスプリンシパルとネイティブに統合することで、リアルタイムのアクセス管理を安全に可能にします。コネクタアプリや手動同期は必要ありません。 さらに、ネストされたグループやサービスプリンシパルを含むグループも考慮し、複雑なアイデンティティ階層全体で一貫したアクセス制御を保証します。

主な使用例の一つは、AI/BIダッシュボードまたはDatabricksアプリの共有を簡素化することで、実践者は組織内の任意のユーザーと共有できます。これにより、ダッシュボードの所有者は、Databricksにまだ存在しないEntra IDアイデンティティを含む、任意のユーザーとAI/BIダッシュボードやアプリを共有できます。新規ユーザーは、共有コンテンツにアクセスしたときにのみ自動的にプロビジョニングされ、付与された特定の権限のみを継承します。これにより、ユーザーは自分が利用することが許可されているものだけを見て使用することができます。 これにより、管理者の時間を節約し、組織がチーム全体にデータの洞察を広げるのを容易にします。詳細は当社のローンチブログをご覧ください。

 

新しい管理ツールを使用して個人のアクセストークンを監視および管理します

新しいトークン監視ツールを使用して、個人アクセストークン（PATs）を制御します。これは現在、AWS、Azure、そしてGCPでパブリックプレビュー中です。PATsの代わりにOAuthアクセストークンを使用することを推奨していますが、これらの監視ツールは、管理者がアクティブなPATsを完全に見ることを可能にし、生存時間（TTL）制限を強制し、侵害されたトークンや未使用のトークンの迅速な失効を可能にすることで、リスクを減らし、アクセス衛生を改善します。

管理者は、新たにトークンレポートタブを通じてこの情報にアクセスできます。ここから、アカウント管理者は特定のユーザーやワークスペースに属するアクティブなトークンを見つけることができます。これを使用して、期限が設定されていない古いトークンや、1ヶ月間活動的に使用されていないまだアクティブなトークンを見つけることができます。特に、ワークスペースの管理者に属する個人アクセストークンを探し、必要ない場合は取り消すことをお勧めします。

OAuthトークン連携を使用したプログラム的なアクセスのセキュリティ強化

APIベースのアクセスを安全にするために、OAuthトークン連携のサポートを追加し、これが近くAWS、Azure、そしてGCPで一般的に利用可能になることを発表します。トークン連携により、アプリケーションは信頼できるIdPからのトークンを使用してDatabricksに認証でき、静的なトークンやパスワードのようなDatabricksの秘密を保存する必要がなくなります。

トークン連携は2つのレベルで設定できます：

1. アカウント全体：アカウント内のすべてのユーザーとサービスプリンシパルにトークン連携を有効にします。すべてのワークロードに対して一貫したコントロールを強制したいセキュリティ意識の高い組織向け
2. 個々のサービスプリンシパルレベル（ワークロードアイデンティティ連携とも呼ばれます）：特定のアプリケーションに対する細かい制御を実装するため

OAuthトークン連携は、大量のサービスプリンシパルを管理している顧客にとって特に強力です。例えば、GitHub Actionsのために100以上のサービスプリンシパルを使用している場合、それらをトークン連携に移行し、100以上の長期間使用されるDatabricks管理の秘密情報を保存し、ローテーションする必要をなくすことができます。

アカウント管理者は、Databricks CLIバージョン0.239.0以上、またはDatabricksのアカウント全体およびサービスプリンシパルトークン連携REST APIを使用して、アカウントレベルの連携ポリシーを設定することができます。

Databricksで認証を強化する方法

新しい製品機能に加えて、私たちは企業環境でも模範となる行動をとっています。Databricksでは、集中型のシングルサインオンに加えて、以下を実装しました：

• FIDO2デバイスを介したハードウェアベースのマルチファクター認証
• デバイス信頼、ジオロケーション、行動パターンを組み込んだコンテキスト認識型認証
• 私たちの脅威情報源からの侵害されたパスワード検出に対する自動的な対応
• パスワードの強制変更を四半期ごとから年1回に変更して、より良いパスワードの使用を促進
• 最小特権のデータセットレベルの認証により、非標準のテーブルにアクセスする必要があるユーザーは、そのテーブルだけに認証でき、他の全体的な役割に認証する必要がありません。

これにより、従業員はリソースへの直接的なアクセスを維持しつつ、強固なセキュリティ姿勢を維持できます。

Databricksでのアイデンティティセキュリティの近代化の旅はここから始まります

MFAを始めたばかりであっても、完全な自動化を採用する準備ができている場合でも、Databricksはあなたが進むたびにサポートするツールと統合を提供しています。

セキュリティリスクを減らし、これらの機能を最大限に活用するために、以下のベストプラクティスを推奨します：

• アカウントレベルでのSSOの有効化
• すべてのユーザーに対してMFAを要求
• APIアクセスにOAuth連携を使用してください
• 異常な活動を検出するための認証ログの監視

すぐに取り組む準備ができている場合、AWS、AzureおよびGCPのアイデンティティベストプラクティスガイドが良いスタート地点となります。

Data + AI Summitで、6月9日から12日までのIdentity and Access Management製品とエンジニアリングチームに参加し、サンフランシスコのモスコーニセンターで開催されます！データとAIガバナンスの最新の革新を初めて見て、私たちのアイデンティティとアクセス管理セッションをチェックしてください：

• Unityカタログを使用したアイデンティティセキュリティで、より速く、より安全なデータアクセス

• アクセスの解放：Databricksを使用したスケールでのアイデンティティ管理の簡素化

• 企業内の全ユーザーに対してAI/BIを安全にデプロイする

 今すぐ登録して、あなたのスポットを確保しましょう！