サービスプリンシパル向け OAuth 2.0 Git 認証が一般利用可能に！

一般的に、Databricksは、セキュリティを強化するために、Databricksへの認証にはOAuthをパーソナルアクセストークン（PATs）の代わりに使用することを推奨しています。今回、この推奨をDatabricks Gitの資格情報にも拡大し、Gitプロバイダーとの認証時にはGitプロバイダーのPATsよりもOAuthの使用を奨励します。

本日、我々はService Principals向けのOAuth Git認証サポートの一般公開をGitHubとAzure DevOpsで発表することを嬉しく思います。これにより、自動化されたワークロードのGit接続のセキュリティが向上します。

Databricks Gitの統合は、最初に認証のためのPATsのみをサポートしていました。ユーザーはGitプロバイダーで個人アクセストークンを作成し、Databricksにトークンを保存しました。これには以下のような理由で推奨されなくなりました：

• [長い寿命] PATsは、短命のトークン（数時間/数日）よりも長いアクセス期間（数週間/数ヶ月）を提供します。管理者はPATの寿命を短く設定することができますが、これによりユーザーは頻繁にDatabricks Gitの資格情報を更新しなければならず、操作上の課題が生じます。これは、有効期限が切れた際にワークフローが失敗するのを避けるためです。
• [安全でない保存と転送] ユーザーはPATsを手動でコピーすることが多く、クリップボードやドキュメントに痕跡を残す可能性があります。
• [広範囲なスコープ] 一部のPATs、例えばGitHub Classic PATsは、ユーザーがアクセスできるすべてのリポジトリに適用されます。この挙動は、意図しない権限昇格を容易に引き起こし、横方向の移動を可能にします。
• [サービスプリンシパルのサポートが欠けている] Azure DevOpsなどの一部のGitプロバイダーは、サービスプリンシパル用のPATsを生成することをサポートしていません。

私たちの最も人気のあるGitプロバイダーはPATの使用を勧めていません：GitHubとAzure DevOpsは、長期間にわたる統合にPATを使用することを推奨していません。Bitbucketは、Bitbucket Cloudの統合やアプリ開発者がアクセストークンの代わりにOAuthを使用してユーザー認証を行うことを推奨しています。

Databricksは、 GitHub や Azure DevOps との OAuth 2.0ベースのユーザー認証 を数年間サポートしてきましたが、これまでのサポートは対話型のユーザーセッションに限定されていました。

サービスプリンシパルのサポートが一般的に利用可能になった今、これらのGitプロバイダーとの統合にPATsの代わりにOAuthを使用することをお勧めします。これは、対話型および自動化されたワークフローの両方に適用されます。その利点は何ですか？私たちのGitHub Appの統合を例に取ると：

• OAuthトークンはデフォルトで自動的に更新されます。ユーザーはPATトークンの有効期限が切れたときにエラーに遭遇することはもうありません。
• OAuthは、特に統合されたリポジトリの閲覧とアクセスに関して、管理者のコントロールを強化します。
• OAuthを使用すると、特定のGitHubリポジトリへのアクセスを設定することができます。
• アクセストークンは寿命が短い（この場合、8時間）ため、資格情報の露出リスクが減少します。

一部の顧客からはSSH認証やGPGコミット署名の要求がありました。しかし、私たちはOAuthのサポートに投資を選びました。なぜなら、SSHやGPGを使用すると、ユーザーがDatabricksにプライベートキーをアップロードする必要があり、PATの保存と同様の問題が生じるからです：長期間有効な資格情報と手動でのローテーション。さらに、適切にスコープが設定されていないSSHキーが侵害された場合、攻撃者が直接Gitサーバーホストにアクセスできる可能性があり、悪用のリスクが大幅に増加します。

次のステップ

GitHubの場合、Service Principalの設定ページでService Principal GitHub App接続を設定することができます。これはユーザーの設定と同様のプロセスを経ています。Azure DevOpsの場合、現在、OpenID Connect (OIDC)に基づく連携認証を使用したサービスプリンシパルのためのOAuth接続をサポートしています。OIDCは、ログインしたユーザーに関するログイン情報とプロフィール情報を提供するOAuth 2.0の上に構築された認証プロトコルです。OIDCは、ユーザーが信頼できるIDプロバイダー（この場合はMicrosoft EntraID）で一度認証することで、再度認証情報を入力することなく記憶される、安全でユーザーフレンドリーなログイン体験を可能にします。この新機能は、このブログで説明されている以前のスクリプトベースのアプローチを置き換え、この重要なユーザージャーニーを数時間から数分に大幅に短縮し、簡素化します。

これからの予定

私たちは、GitLabやBitbucketなどの他のGitプロバイダー、およびサポートされているGitプロバイダーからのエンタープライズや自己ホスト型のソリューションに対して、OAuth 2.0の統合を拡大する予定です。

アクションを呼び出す

Databricks Git資格情報のOAuth 2.0サポートについてのウォークスルーは、当社のドキュメンテーションを参照してください。また、Azure EntraIDサービスプリンシパルの新しいフェデレーテッドアイデンティティサポートについてもご覧ください。今日からGitの資格情報をPATsからOAuth 2.0に移行し、Databricks Communityにフィードバックを投稿して意見を共有してください！