メインコンテンツまでスキップ

service account の概要

service account を使うと、アプリケーション、pipeline、スケジュール実行の job が、個人のアカウントとは別の専用アカウントで Lakehouse に接続できます。ユーザー名とパスワードはポータルが生成するため、チームのメンバーが変わっても job はそのまま動き続けます。

service account を使う場面​

service account を使うユーザーアカウントを使う
ETL の job やデータ pipeline。ポータルで作業する人。
スケジュールで更新される BI ツールや Dashboard。Query Editor で手動でクエリを実行する場合。
データを読み取る、または取り込むサードパーティのアプリケーション。Data Explorer でデータを閲覧する場合。

アプリケーションや job ごとに service account を 1 つ作成します。不要になったときやパスワードが漏れたときに、その service account だけを変更すれば済みます。

service account がアクセスできるもの​

新しい service account は Lakehouse に接続できますが、データは読み取れません。データへのアクセス権は、ユーザーやグループと同じように、Data Security の policy に追加したときにだけ付与されます。service account にデータアクセス権を付与するを参照してください。

パスワードは一度だけ表示される​

ポータルは、service account の作成時と認証情報のローテーション時にパスワードを生成します。パスワードが表示されるのは Credential Generated ウィンドウでの一度だけです。後から管理者を含め誰も確認できません。パスワードを紛失した場合は、認証情報をローテーションして新しいパスワードを取得します。

ステータスと操作​

service account は常に 3 つのステータスのいずれかです。

ステータス接続データへのアクセス可能な操作
Activeできるできる (割り当てられた policy に従う)Rotate Secret、Disable、Delete
DisabledできないできないEnable、Delete
DeletedできないできないRestore
  • Disable は、job を一時停止するときなど、service account を一時的にブロックします。policy はそのまま残ります。Enable で以前のアクセス権が戻ります。
  • Delete は service account をブロックし、Deleted に移します。削除した service account はデフォルトの一覧に表示されません。表示するには、ステータスフィルターで Deleted を選択します。
  • Restore は、削除した service account を新しいパスワードで Active に戻します。ID と policy はそのまま残ります。service account を復元するを参照してください。

操作が失敗した場合、service account は現在のステータスのままです。途中までの変更は残りません。

一覧には、Lakehouse 自身が使うシステム管理の service account も表示されます (Lakehouse Janitor 用など)。これらは削除できません。ローテーションしても、ポータルに新しいパスワードは表示されません。

変更が反映されるタイミング​

新しい service account、新しいパスワード、ステータスの変更は、約 1 分以内に新しい接続に反映されます。再起動は必要ありません。

警告

service account を無効化、削除、またはローテーションした後も、約 1 分間は古いパスワードが使える場合があります。

service account を管理できるユーザー​

権限できることこの権限を持つ role
service-accounts:readservice account の一覧と詳細を表示する。portal_admin、policy_manager
service-accounts:manageservice account を作成、ローテーション、無効化、有効化、削除、復元する。portal_admin

ポータルの role と権限を参照してください。

次のステップ​