Microsoft Purview DevOps ポリシーを使用して、SQL Server 2022 (Azure Arc 対応) でシステム メタデータへのアクセスをプロビジョニングする

  • [アーティクル]

DevOps ポリシー は、Microsoft Purview アクセス ポリシーの一種です。 これにより、Microsoft Purview のデータ 使用管理 に登録されているデータ ソースのシステム メタデータへのアクセスを管理できます。 これらのポリシーは Microsoft Purview ガバナンス ポータルから直接構成され、保存された後、データ ソースによって自動的に発行され、適用されます。 Microsoft Purview ポリシーは、Azure AD プリンシパルのアクセスのみを管理します。

このハウツー ガイドでは、Microsoft Purview で作成されたポリシーを適用するように SQL Server 2022 を構成する方法について説明します。 Azure Arc でのオンボード、SQL Serverでの Azure AD の有効化、DevOps ポリシー アクション SQL パフォーマンス監視または SQL セキュリティ監査を使用したシステム メタデータ (DMV と DMF) へのアクセスのプロビジョニングについて説明します。

前提条件

リージョンのサポート

ポリシーの適用は、次を除くすべての Microsoft Purview リージョンで使用できます。

  • 米国西部 2
  • 東アジア
  • US Gov バージニア
  • 中国北部 3

Azure Arc 対応SQL Serverのセキュリティに関する考慮事項

  • サーバー管理者は、Microsoft Purview ポリシーの適用をオフにすることができます。
  • Azure Arc 管理者とサーバー管理者のアクセス許可を使用すると、サーバーの Azure Resource Manager パスを変更できます。 Microsoft Purview のマッピングではResource Managerパスが使用されるため、間違ったポリシーの適用につながる可能性があります。
  • SQL Server管理者 (データベース管理者) は、サーバー管理者の権限を得ることができ、Microsoft Purview からキャッシュされたポリシーを改ざんする可能性があります。
  • 推奨される構成は、SQL サーバー インスタンスごとに個別のアプリ登録を作成することです。 この構成により、2 つ目のSQL Server インスタンスで 2 SQL Server 番目のSQL Server インスタンスの不正な管理者がResource Manager パスを改ざんした場合に備えたポリシーを読み取らないようにします。

前提条件を確認する

  1. このリンクを使用してAzure portalにサインインします

  2. 左側のウィンドウで [SQL サーバー ] に移動します。 Azure Arc 上のSQL Server インスタンスの一覧が表示されます。

  3. 構成するSQL Server インスタンスを選択します。

  4. 左側のウィンドウで [Azure Active Directory ] に移動します。

  5. Azure Active Directory 認証が管理者ログインで構成されていることを確認します。 そうでない場合は、このガイドの「アクセス ポリシーの前提条件」セクションを参照してください。

  6. SQL Serverが Azure に対して認証するために 証明書が に指定されていることを確認します。 そうでない場合は、このガイドの「アクセス ポリシーの前提条件」セクションを参照してください。

  7. アプリの登録が入力されていることを確認して、SQL Serverと Azure AD の間に信頼関係を作成します。 そうでない場合は、このガイドの「アクセス ポリシーの前提条件」セクションを参照してください。

  8. 変更を加えた場合は、[ 保存 ] ボタンを選択して構成を保存し、操作が正常に完了するまで待ちます。 これには数分かかる場合があります。 "正常に保存されました" というメッセージが、ページの上部に緑色の背景で表示されます。 表示するには、上にスクロールする必要がある場合があります。

    [Azure Active Directory] セクションで Microsoft Purview エンドポイントを構成するための前提条件を示すスクリーンショット。

Microsoft Purview の構成

Microsoft Purview でデータ ソースを登録する

データ リソースのポリシーを Microsoft Purview で作成するには、そのデータ リソースを Microsoft Purview Studio に登録する必要があります。 データ リソースの登録に関連する手順については、このガイドの後半で説明します。

注:

Microsoft Purview ポリシーは、データ リソース ARM パスに依存します。 データ リソースを新しいリソース グループまたはサブスクリプションに移動する場合は、登録を解除してから、Microsoft Purview に再登録する必要があります。

データ ソースでデータ使用管理を有効にするアクセス許可を構成する

リソースが登録されたら、そのリソースのポリシーを Microsoft Purview で作成する前に、アクセス許可を構成する必要があります。 データ使用管理を有効にするには、一連のアクセス許可が必要です。 これは、データ ソース、リソース グループ、またはサブスクリプションに適用されます。 データ使用管理を有効にするには、リソースに対する特定の ID とアクセス管理 (IAM) 権限と、特定の Microsoft Purview 権限の両方が必要です。

  • リソースの Azure Resource Manager パスまたはその親 (つまり、IAM アクセス許可の継承を使用) には、次のいずれかの IAM ロールの組み合わせが必要です。

    • IAM 所有者
    • IAM 共同作成者と IAM ユーザー アクセス管理者の両方

    Azure ロールベースのアクセス制御 (RBAC) アクセス許可を構成するには、 このガイドに従います。 次のスクリーンショットは、データ リソースのAzure portalの [Access Control] セクションにアクセスしてロールの割り当てを追加する方法を示しています。

    ロールの割り当てを追加するためのAzure portalのセクションを示すスクリーンショット。

    注:

    データ リソースの IAM 所有者 ロールは、親リソース グループ、サブスクリプション、またはサブスクリプション管理グループから継承できます。 リソースの IAM 所有者 ロールを保持または継承している Azure AD ユーザー、グループ、およびサービス プリンシパルを確認します。

  • また、コレクションまたは親コレクションの Microsoft Purview データ ソース管理者 ロールも必要です (継承が有効な場合)。 詳細については、 Microsoft Purview ロールの割り当ての管理に関するガイドを参照してください。

    次のスクリーンショットは、ルート コレクション レベルで データ ソース管理者 ロールを割り当てる方法を示しています。

    ルート コレクション レベルでデータ ソース管理者ロールを割り当てるための選択を示すスクリーンショット。

アクセス ポリシーを作成、更新、または削除するように Microsoft Purview アクセス許可を構成する

ポリシーを作成、更新、または削除するには、ルート コレクション レベルで Microsoft Purview でポリシー作成者ロールを取得する必要があります。

  • ポリシー作成者ロールは、DevOps ポリシーとデータ所有者ポリシーを作成、更新、削除できます。
  • ポリシー作成者ロールは、セルフサービス アクセス ポリシーを削除できます。

Microsoft Purview ロールの割り当ての管理の詳細については、Microsoft Purview データ マップでのコレクションの作成と管理に関するページを参照してください。

注:

ポリシー作成者ロールは、ルート コレクション レベルで構成する必要があります。

さらに、ポリシーの件名を作成または更新するときに Azure AD ユーザーまたはグループを簡単に検索するには、Azure AD で [ディレクトリ閲覧者 ] アクセス許可を取得することで大きなメリットを得ることができます。 これは、Azure テナント内のユーザーに共通のアクセス許可です。 ディレクトリ閲覧者のアクセス許可がない場合、ポリシー作成者は、データ ポリシーの件名に含まれるすべてのプリンシパルの完全なユーザー名または電子メールを入力する必要があります。

データ所有者ポリシーを発行するための Microsoft Purview アクセス許可を構成する

データ所有者ポリシーを使用すると、Microsoft Purview ポリシーの作成者とデータ ソース管理者ロールをorganization内の別のユーザーに割り当てる場合、チェックと残高が許可されます。 データ所有者ポリシーが有効になる前に、2 人目のユーザー (データ ソース管理者) がそれを確認し、公開して明示的に承認する必要があります。 これは、DevOps またはセルフサービス アクセス ポリシーには適用されません。公開は、それらのポリシーが作成または更新されるときに自動的に行われます。

データ所有者ポリシーを発行するには、ルート コレクション レベルで Microsoft Purview でデータ ソース管理者ロールを取得する必要があります。

Microsoft Purview ロールの割り当ての管理の詳細については、Microsoft Purview データ マップでのコレクションの作成と管理に関するページを参照してください。

注:

データ所有者ポリシーを発行するには、ルート コレクション レベルでデータ ソース管理者ロールを構成する必要があります。

Microsoft Purview のロールにアクセス プロビジョニングの責任を委任する

リソースでデータ使用管理が有効になった後、ルート コレクション レベルでポリシー作成者ロールを持つ Microsoft Purview ユーザーは、Microsoft Purview からそのデータ ソースへのアクセスをプロビジョニングできます。

注:

Microsoft Purview ルート コレクション管理者 は、ルート ポリシー作成者 ロールに新しいユーザーを割り当てることができます。 コレクション管理者は、コレクションの下のデータ ソース管理者ロールに新しいユーザーを割り当てることができます。 Microsoft Purview コレクション管理者、 データ ソース管理者、または ポリシー作成者 ロールを保持するユーザーを最小限に抑え、慎重に確認します。

発行されたポリシーを持つ Microsoft Purview アカウントが削除されると、特定のデータ ソースに依存する時間内にそのようなポリシーが適用されなくなります。 この変更は、セキュリティとデータ アクセスの可用性の両方に影響を与える可能性があります。 IAM の共同作成者ロールと所有者ロールは、Microsoft Purview アカウントを削除できます。 これらのアクセス許可をチェックするには、Microsoft Purview アカウントの [アクセス制御 (IAM)] セクションに移動し、[ロールの割り当て] を選択します。 ロックを使用して、Resource Manager ロックによって Microsoft Purview アカウントが削除されないようにすることもできます。

Microsoft Purview でデータ ソースを登録する

Azure Arc 対応SQL Server データ ソースは、ポリシーを作成する前に、まず Microsoft Purview に登録する必要があります。

  1. Microsoft Purview Studio にサインインします。

  2. 左側のウィンドウの [データ マップ ] 機能に移動し、[ ソース] を選択し、[ 登録] を選択します。 検索ボックスに「Azure Arc」と入力し、Azure Arc で [SQL Server] を選択します。次に、[続行] を選択します。

登録するソースを選択する方法を示すスクリーンショット。

  1. この登録の名前を入力 します 。 登録の名前を次の手順でサーバー名と同じにすることをお勧めします。

  2. Azure サブスクリプション、サーバー名、サーバー エンドポイントを選択します。

  3. この登録を配置するコレクションを選択します。

  4. データ使用管理を有効にします。 データ使用管理には特定のアクセス許可が必要であり、データ ソースへのアクセスを管理するために特定の Microsoft Purview ロールに委任されるため、データのセキュリティに影響を与える可能性があります。 このガイドの「データ使用管理」に関連するセキュリティで保護されたプラクティスに関するページを参照してください。データ使用管理を有効にする方法

  5. 下部にある [ 登録 ] または [ 適用] を選択します。

データ ソースの [ データの使用管理 ] トグル が有効になると、この図のようになります。

スクリーンショットは、ポリシーのデータ ソースを登録する方法を示しています。

Azure Arc 対応SQL Serverでポリシーを有効にする

このセクションでは、Microsoft Purview を使用するように Azure Arc でSQL Serverを構成する手順について説明します。 Microsoft Purview アカウントでこのデータ ソースの [データ使用管理 ] オプションを有効にした後、次の手順を実行します。

  1. このリンクを使用してAzure portalにサインインします

  2. 左側のウィンドウで [SQL サーバー ] に移動します。 Azure Arc 上のSQL Server インスタンスの一覧が表示されます。

  3. 構成するSQL Server インスタンスを選択します。

  4. 左側のウィンドウで [Azure Active Directory ] に移動します。

  5. [Microsoft Purview アクセス ポリシー] まで下にスクロールします。

  6. [ Microsoft Purview ガバナンスの確認] ボタンを選択します。 要求が処理されるまで待ちます。 その場合、このメッセージはページの上部に表示されます。 表示するには、上にスクロールする必要がある場合があります。

    Arc-SQL エージェントが要求を処理していることを示すスクリーンショット

  7. ページの下部で、Microsoft Purview ガバナンスの状態に が表示 Governedされていることを確認します。 正しい状態が反映されるまで に最大 30 分かかる場合があることに 注意してください。 その場合は、ブラウザーの更新を続行します。

    [Azure Active Directory] セクションの Microsoft Purview エンドポイントの状態を示すスクリーンショット。

  8. このデータ ソースを登録し、データ使用管理を有効にした Microsoft Purview エンドポイントが Microsoft Purview アカウントを指していることを確認します

新しい DevOps ポリシーを作成する

Microsoft Purview で新しい DevOps ポリシーを作成する手順については、こちらのリンクを参照してください。

DevOps ポリシーを一覧表示する

Microsoft Purview で DevOps ポリシーを一覧表示する手順については、こちらのリンクを参照してください。

DevOps ポリシーを更新する

Microsoft Purview で DevOps ポリシーを更新する手順については、こちらのリンクを参照してください。

DevOps ポリシーを削除する

Microsoft Purview で DevOps ポリシーを削除する手順については、こちらのリンクを参照してください。

重要

DevOps ポリシーは自動発行され、変更がデータ ソースによって適用されるまでに最大 5 分 かかる場合があります。

DevOps ポリシーをテストする

作成したポリシーをテストする方法を確認する

ロール定義の詳細

DevOps ロールとデータ ソース アクションのマッピングを確認する

次の手順

関連するビデオ、ブログ、ドキュメントを参照する