Microsoft Fabric の Cosmos DB は、一般的な開発ニーズに合わせて自動的に構成され、管理エクスペリエンスが簡素化された AI 最適化 NoSQL データベースです。 Fabric は、Fabric の Cosmos DB の組み込みのセキュリティ、アクセス制御、および監視を提供します。 Fabric には、データを保護するための組み込みのセキュリティ機能が用意されていますが、ベスト プラクティスに従って、アカウント、データ、ネットワーク構成のセキュリティをさらに強化することが不可欠です。
この記事では、Fabric デプロイで Cosmos DB を最適にセキュリティで保護する方法に関するガイダンスを提供します。
ID 管理
マネージド ID を使用して他の Azure サービスからアカウントにアクセスする: マネージド ID では、Microsoft Entra ID で自動的にマネージド ID を提供することで、資格情報を管理する必要がなくなります。 マネージド ID を使用して、コードに資格情報を埋め込まずに、他の Azure サービスから Cosmos DB に安全にアクセスします。 Fabric の Cosmos DB では複数の種類の ID の種類 (サービス プリンシパル) がサポートされていますが、資格情報を直接処理するソリューションは必要ないので、マネージド ID をお勧めします。 詳細については、 Azure ホスト サービスからの認証に関するページを参照してください。
Entra 認証を使用して、コンテナー内の項目のクエリ、作成、アクセスを行い、ソリューションを開発します。人間の ID と Microsoft Entra 認証を使用して Cosmos DB コンテナー内の項目にアクセスします。 クエリ、作成、およびその他の操作に対して最小限の特権アクセスを適用します。 この制御は、データ操作をセキュリティで保護するのに役立ちます。 詳細については、「 開発環境から安全に接続する」を参照してください。
データとコントロール プレーンのアクセスに使用される Azure ID を分離する: コントロール プレーンとデータ プレーンの操作に個別の Azure ID を使用して、特権エスカレーションのリスクを軽減し、アクセス制御を強化します。 この分離により、各 ID のスコープを制限することでセキュリティが強化されます。 詳細については、承認の 構成を参照してください。
ユーザーのアクセス許可
- 最小制限のファブリック ワークスペース アクセスを構成する: ユーザーのアクセス許可は、現在のワークスペース アクセス レベルに基づいて適用されます。 ユーザーが Fabric ワークスペースから削除されると、関連付けられている Cosmos DB データベースと基になるデータへのアクセスも自動的に失われます。 詳細については、「 Fabric アクセス許可モデル」を参照してください。
実行コンテキストと ID に関する考慮事項
ノートブックの実行アイデンティティを理解する:Fabricワークスペースでノートブックを扱う際、ノートブックが動作するアイデンティティはトリガーの方法によって決まることに注意してください。 インタラクティブ実行は現在のユーザーのセキュリティコンテキストを利用し、パイプライン活動はパイプラインの最後に修正されたユーザーの下で実行され、スケジュール実行はスケジュールを作成または最後に更新したユーザーの身元を利用します。 データアクセス権限や監査の軌跡はそのアイデンティティを反映しているため、ノートの作成、共有、スケジューリング戦略をそれに応じて計画しましょう。 詳細については、 実行中のノートブックのセキュリティコンテキストを参照してください。
ワークスペースのアイデンティティ制限に備える:現在、FabricはWorkspace Identityで
run-as機能をサポートしていません。 操作は共有ワークスペースの識別ではなく、トリガーユーザーのアイデンティティで実行されます。 マルチユーザーシナリオを設計する際には、適切なユーザーがワークスペース内で共有されるアーティファクトをトリガーするように注意してください。