Microsoft Purview データ所有者ポリシーを使用して Azure Storage への読み取りアクセスをプロビジョニングする (プレビュー)

[アーティクル]
08/30/2023

重要

この機能は現在プレビューの段階です。 Microsoft Azure プレビューの補足使用条件には、ベータ版、プレビュー版、または一般公開されていない Azure 機能に適用される追加の法的条件が含まれています。

データ所有者ポリシーは、Microsoft Purview アクセスポリシーの一種です。これにより、Microsoft Purview のデータ 使用管理 に登録されているソース内のユーザーデータへのアクセスを管理できます。これらのポリシーは、Microsoft Purview ガバナンスポータルで直接作成でき、発行後にデータソースによって適用されます。

このガイドでは、データ所有者が Azure Storage データセットへのアクセスの Microsoft Purview 管理を委任する方法について説明します。現時点では、次の 2 つの Azure Storage ソースがサポートされています。

BLOB ストレージ
Azure Data Lake Storage (ADLS) Gen2

前提条件

アクティブなサブスクリプションを持つ Azure アカウント。無料でアカウントを作成します。
新しいまたは既存の Microsoft Purview アカウント。このクイックスタートガイドに従って作成します。

リージョンのサポート

すべての Microsoft Purview リージョンがサポートされています。
次のリージョンのストレージアカウントは、追加の構成を必要とせずにサポートされます。ただし、ゾーン冗長ストレージ (ZRS) アカウントはサポートされていません。
- 米国東部
- 米国東部 2
- 米国中央南部
- 米国西部 2
- カナダ中部
- 北ヨーロッパ
- 西ヨーロッパ
- フランス中部
- 英国南部
- 東南アジア
- オーストラリア東部
次のセクションで説明するように、機能フラグ AllowPurviewPolicyEnforcement を設定した後、Public Cloud の他のリージョンのストレージアカウントがサポートされます。機能フラグ AllowPurviewPolicyEnforcement を設定した後に作成された場合、新しく作成された ZRS ストレージアカウントがサポートされます。

必要に応じて、このガイドに従って新しいストレージアカウントを作成できます。

Microsoft Purview からのポリシーに対して Azure Storage アカウントが存在するサブスクリプションを構成する

この手順は、特定のリージョンでのみ必要です (前のセクションを参照)。 Microsoft Purview で 1 つ以上の Azure Storage アカウントのポリシーを管理できるようにするには、Azure Storage アカウントをデプロイするサブスクリプションで次の PowerShell コマンドを実行します。これらの PowerShell コマンドを使用すると、Microsoft Purview は、そのサブスクリプション内のすべての Azure Storage アカウントのポリシーを管理できます。

これらのコマンドをローカルで実行する場合は、必ず管理者として PowerShell を実行してください。または、Azure portal で Azure Cloud Shell を使用することもできます。 https://shell.azure.com

# Install the Az module
Install-Module -Name Az -Scope CurrentUser -Repository PSGallery -Force
# Login into the subscription
Connect-AzAccount -Subscription <SubscriptionID>
# Register the feature
Register-AzProviderFeature -FeatureName AllowPurviewPolicyEnforcement -ProviderNamespace Microsoft.Storage

最後のコマンドの出力に RegistrationStateが [登録済み] と表示されている場合、サブスクリプションはアクセスポリシーに対して有効になります。出力が [登録中] の場合は、少なくとも 10 分待ってから、コマンドを再試行します。 RegistrationState に [登録済み] と表示されない限り、続行しないでください。

Microsoft Purview の構成

Microsoft Purview でデータソースを登録する

データリソースのポリシーを Microsoft Purview で作成するには、そのデータリソースを Microsoft Purview Studio に登録する必要があります。データリソースの登録に関連する手順については、このガイドの後半で説明します。

注:

Microsoft Purview ポリシーは、データリソース ARM パスに依存します。データリソースを新しいリソースグループまたはサブスクリプションに移動する場合は、登録を解除してから、Microsoft Purview に再登録する必要があります。

データソースでデータ使用管理を有効にするアクセス許可を構成する

リソースが登録されたら、そのリソースのポリシーを Microsoft Purview で作成する前に、アクセス許可を構成する必要があります。 データ使用管理を有効にするには、一連のアクセス許可が必要です。これは、データソース、リソースグループ、またはサブスクリプションに適用されます。 データ使用管理を有効にするには、リソースに対する特定の ID とアクセス管理 (IAM) 権限と、特定の Microsoft Purview 権限の両方が必要です。

リソースの Azure Resource Manager パスまたはその親 (つまり、IAM アクセス許可の継承を使用) には、次のいずれかの IAM ロールの組み合わせが必要です。
- IAM 所有者
- IAM 共同作成者と IAM ユーザーアクセス管理者の両方
Azure ロールベースのアクセス制御 (RBAC) アクセス許可を構成するには、このガイドに従います。次のスクリーンショットは、データリソースのAzure portalの [Access Control] セクションにアクセスしてロールの割り当てを追加する方法を示しています。

注:

データリソースの IAM 所有者 ロールは、親リソースグループ、サブスクリプション、またはサブスクリプション管理グループから継承できます。リソースの IAM 所有者 ロールを保持または継承している Azure AD ユーザー、グループ、およびサービスプリンシパルを確認します。
また、コレクションまたは親コレクションの Microsoft Purview データソース管理者 ロールも必要です (継承が有効な場合)。詳細については、 Microsoft Purview ロールの割り当ての管理に関するガイドを参照してください。

次のスクリーンショットは、ルートコレクションレベルで データソース管理者 ロールを割り当てる方法を示しています。

アクセスポリシーを作成、更新、または削除するように Microsoft Purview アクセス許可を構成する

ポリシーを作成、更新、または削除するには、ルートコレクションレベルで Microsoft Purview でポリシー作成者ロールを取得する必要があります。

ポリシー作成者ロールは、DevOps ポリシーとデータ所有者ポリシーを作成、更新、削除できます。
ポリシー作成者ロールは、セルフサービスアクセスポリシーを削除できます。

Microsoft Purview ロールの割り当ての管理の詳細については、Microsoft Purview データマップでのコレクションの作成と管理に関するページを参照してください。

注:

ポリシー作成者ロールは、ルートコレクションレベルで構成する必要があります。

さらに、ポリシーの件名を作成または更新するときに Azure AD ユーザーまたはグループを簡単に検索するには、Azure AD で [ディレクトリ閲覧者 ] アクセス許可を取得することで大きなメリットを得ることができます。これは、Azure テナント内のユーザーに共通のアクセス許可です。ディレクトリ閲覧者のアクセス許可がない場合、ポリシー作成者は、データポリシーの件名に含まれるすべてのプリンシパルの完全なユーザー名または電子メールを入力する必要があります。

データ所有者ポリシーを発行するための Microsoft Purview アクセス許可を構成する

データ所有者ポリシーを使用すると、Microsoft Purview ポリシーの作成者とデータソース管理者ロールをorganization内の別のユーザーに割り当てる場合、チェックと残高が許可されます。データ所有者ポリシーが有効になる前に、2 人目のユーザー (データソース管理者) がそれを確認し、公開して明示的に承認する必要があります。これは、DevOps またはセルフサービスアクセスポリシーには適用されません。公開は、それらのポリシーが作成または更新されるときに自動的に行われます。

データ所有者ポリシーを発行するには、ルートコレクションレベルで Microsoft Purview でデータソース管理者ロールを取得する必要があります。

注:

データ所有者ポリシーを発行するには、ルートコレクションレベルでデータソース管理者ロールを構成する必要があります。

Microsoft Purview のロールにアクセスプロビジョニングの責任を委任する

リソースでデータ使用管理が有効になった後、ルートコレクションレベルでポリシー作成者ロールを持つ Microsoft Purview ユーザーは、Microsoft Purview からそのデータソースへのアクセスをプロビジョニングできます。

注:

Microsoft Purview ルート コレクション管理者 は、ルート ポリシー作成者 ロールに新しいユーザーを割り当てることができます。 コレクション管理者は、コレクションの下のデータソース管理者ロールに新しいユーザーを割り当てることができます。 Microsoft Purview コレクション管理者、 データソース管理者、または ポリシー作成者 ロールを保持するユーザーを最小限に抑え、慎重に確認します。

発行されたポリシーを持つ Microsoft Purview アカウントが削除されると、特定のデータソースに依存する時間内にそのようなポリシーが適用されなくなります。この変更は、セキュリティとデータアクセスの可用性の両方に影響を与える可能性があります。 IAM の共同作成者ロールと所有者ロールは、Microsoft Purview アカウントを削除できます。これらのアクセス許可をチェックするには、Microsoft Purview アカウントの [アクセス制御 (IAM)] セクションに移動し、[ロールの割り当て] を選択します。ロックを使用して、Resource Manager ロックによって Microsoft Purview アカウントが削除されないようにすることもできます。

Microsoft Purview for Data Use Management にデータソースを登録する

後でアクセスポリシーを定義するには、まず Azure Storage リソースを Microsoft Purview に登録する必要があります。

リソースを登録するには、次のガイドの 「前提条件 と登録」セクションに従います。

リソースを登録したら、データ使用管理を有効にする必要があります。データ使用管理には特定のアクセス許可が必要であり、データソースへのアクセスを管理するために特定の Microsoft Purview ロールに委任されるため、データのセキュリティに影響を与える可能性があります。 このガイドの「データ使用管理」に関連するセキュリティで保護されたプラクティスに関するページを参照してください。データ使用管理を有効にする方法

データソースの [ データの使用管理 ] トグル が有効になると、次のスクリーンショットのようになります。

リソースエディターで [有効] タブを切り替えて、ポリシーのデータソースを登録する方法を示すスクリーンショット。

データ所有者ポリシーを作成して発行する

データ所有者ポリシー作成チュートリアルの「新しいポリシーの作成」および「ポリシーの発行」セクションの手順を実行します。結果は、イメージに示されている例のようなデータ所有者ポリシーになります。グループ Contoso Team にストレージアカウント marketinglake1 への読み取りアクセスを提供するポリシーです。

Azure Storage アカウントへのアクセスを許可するサンプルデータ所有者ポリシーを示すスクリーンショット。

重要

発行はバックグラウンド操作です。 Azure Storage アカウントには、変更が反映されるまでに最大 2 時間 かかることがあります。

データ所有者ポリシーの発行を解除する

Microsoft Purview でデータ所有者ポリシーを発行解除する手順については、こちらのリンクを参照してください。

データ所有者ポリシーを更新または削除する

Microsoft Purview でデータ所有者ポリシーを更新または削除する手順については、こちらのリンクを参照してください。

データ使用量

データコンシューマーは、Power BI や Azure Synapse Analytics ワークスペースなどのツールを使用して、要求されたデータセットにアクセスできます。
Azure Storage Explorerの [コピー] コマンドと [複製] コマンドでは、[Purview からの変更を許可する] ポリシーに加えて、追加の IAM アクセス許可が必要です。 Iam で Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action アクセス許可を Azure AD プリンシパルに提供します。
サブコンテナーアクセス: ストレージアカウントのコンテナーレベルの下に設定されたポリシーステートメントがサポートされています。ただし、アクセス権が Azure Storage アカウントのファイルまたはフォルダーレベルでのみ付与されている場合、ユーザーはAzure portalのストレージブラウザーまたはMicrosoft Azure Storage Explorer ツールを使用してデータ資産を参照できません。これは、これらのアプリがコンテナーレベルから階層をクロールしようとし、そのレベルでアクセス権が付与されていないために要求が失敗するためです。代わりに、データを要求するアプリは、データオブジェクトに完全修飾名を指定して直接アクセスを実行する必要があります。次のドキュメントでは、直接アクセスを実行する方法の例を示します。このハウツーガイドの 「次の手順 」セクションのブログも参照してください。
- abfs for ADLS Gen2
- blob Storage の az storage BLOB ダウンロード

追加情報

ストレージアカウントレベルでポリシーを作成すると、サブジェクトはシステムコンテナー ( たとえば、$logs) にアクセスできるようになります。これが望ましくない場合は、最初にデータソースをスキャンしてから、(つまりコンテナーレベルまたはサブコンテナレベルで) それぞれの詳細なポリシーを作成します。
コンテナー内のルート BLOB には、Microsoft Purview の許可型 RBAC ポリシーの Azure AD プリンシパルにアクセスできます。そのようなポリシーのスコープがサブスクリプション、リソースグループ、ストレージアカウント、またはストレージアカウント内のコンテナーである場合。
ストレージアカウント内のルートコンテナーには、Microsoft Purview 許可タイプの RBAC ポリシーの Azure AD プリンシパルにアクセス できます (そのようなポリシーのスコープがサブスクリプション、リソースグループ、またはストレージアカウントの場合)。

制限

ストレージアカウントによって適用できる Microsoft Purview ポリシーの制限は、サブスクリプションあたり 100 MB で、約 5000 ポリシーに相当します。

既知の問題

ポリシーの作成に関連する既知の問題

Microsoft Purview リソースセットに基づいてポリシーステートメントを作成しないでください。 Microsoft Purview ポリシー作成 UI に表示された場合でも、まだ適用されません。リソースセットの詳細については、こちらをご覧ください。

ポリシーアクションマッピング

このセクションでは、Microsoft Purview データポリシーのアクションが Azure Storage の特定のアクションにマップされる方法について説明します。

Microsoft Purview ポリシーアクション	データソース固有のアクション

Read	Microsoft.Storage/storageAccounts/blobServices/containers/read
	Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read

Modify	Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read
	Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write
	Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action
	Microsoft.Storage/storageAccounts/blobServices/containers/blobs/move/action
	Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete
	Microsoft.Storage/storageAccounts/blobServices/containers/read
	Microsoft.Storage/storageAccounts/blobServices/containers/write
	Microsoft.Storage/storageAccounts/blobServices/containers/delete

次の手順

ブログ、デモ、および関連するチュートリアルを確認します。

Microsoft Purview データ所有者ポリシーを使用して Azure Storage への読み取りアクセスをプロビジョニングする (プレビュー)