Microsoft Fabricガバナンスとコンプライアンスの機能は、組織の機密情報の検出可能性を管理、保護、監視、および改善するのに役立ちます。 これらの機能は、顧客の信頼を得て維持し、データ ガバナンスとコンプライアンスの要件と規制を満たすのに役立ちます。 これらの機能の多くは Microsoft Fabric ライセンスにビルドインで付属しており、その他の機能には Microsoft Purview からの追加ライセンスが必要なものもあります。
この記事では、組織のデータ資産を管理するのに役立つ主な機能とコンポーネントについて大まかに説明します。 これには、これらの機能とコンポーネントが提供する機能を利用するためのガイダンスが含まれています。 また、各機能とコンポーネントに関するより詳細な情報へのリンクも記載しています。
*追加のライセンスが必要です
データ資産を管理する
このセクションでは、データ資産の管理に使用できるメイン機能の一部について説明します。
管理ポータル
Microsoft Fabric 管理ポータルは、組織の管理者が Fabric 資産全体を制御できるようにする一元化された場所です。 このコントロールには、Microsoft Fabricを制御する設定が含まれます。 たとえば、テナント設定を変更したり、容量、ドメインおよびワークスペースを管理したり、ユーザーが Microsoft Fabric とやり取りする方法を制御したりできます。 柔軟性を提供するために、管理とガバナンスの一部の側面を容量、ドメイン、ワークスペースに委任して、それぞれの管理者がスコープ内でそれらを管理できるようにします。
管理ポータルの詳細については、「管理ポータルとは」を参照してください。
ガイダンス: プラットフォーム/IT オーナーは、管理者ポータルにアクセスできる必要があります。 組織のニーズに最も適した形でドメインを定義し、ドメインと容量の管理をそのオーナーに委任できます。
テナント、ドメイン、ワークスペースの設定
テナント、ドメイン、ワークスペースの各管理者は、その範囲で、特定の機能にアクセスできるユーザーを様々なレベルで制御できるように構成できる設定を持っています。 一部のテナント レベルの設定をドメイン管理者と容量管理者に委任できます。
詳細については、「テナント設定について」、「ドメイン設定の構成」、「ワークスペースの設定」を参照してください。
Guidance: Fabric管理者はテナント全体の設定を定義し、ドメイン管理者は必要に応じて委任された設定をオーバーライドする必要があります。 個々のチーム (ワークスペース所有者) は、より詳細なワークスペース レベルのコントロールと設定を独自に定義します。
ドメイン
ドメインを使用して、部署など、特定の領域またはフィールドに関連する組織内のすべてのデータを論理的にグループ化します。 ドメインの最も一般的な用途の 1 つは、ビジネス部門別にデータをグループ化することです。そのため、各部門は、特定の規制、制限、およびニーズに従ってデータを管理できます。
データをドメインおよびサブドメインにグループ化することで、検出可能性とガバナンスが向上します。 たとえば、 OneLake カタログでは、ユーザーはドメイン別にコンテンツをフィルター処理して、関連するコンテンツを見つけることができます。 ガバナンスに関しては、データを管理および管理するためのテナント レベルの設定をドメイン レベルに委任できます。これにより、それらの設定のドメイン固有の構成が可能になります。
詳細については、「ドメイン」を参照してください。
ガイダンス: 事業計画立案者は組織のドメインのセットアップを設計する必要があります。一方、Fabric 管理者はドメインとサブドメインを作成し、ドメイン所有者を割り当てることで、この設計を実現する必要があります。 可能ならば、センター オブ エクセレンス (COE) チームがこのディスカッションの一環として、ドメインを組織の全体的な戦略に合わせる必要があります。
ワークスペース
組織のチームは、ワークスペースを使用して Fabric アイテムを作成し、互いに共同作業します。 ガバナンス要件とデータ境界に基づいて、これらのワークスペースをチームまたは部門に割り当てます。 ワークスペースを割り当てる方法は、内部チームの構造と、チームがFabric項目をどのように処理するかによって異なります (たとえば、1 つまたは複数のワークスペースが必要かどうかなど)。
ガイダンス: 開発目的の場合、ベスト プラクティスは、開発者ごとに分離されたワークスペースを用意することです。そのため、各開発者は共有ワークスペースに干渉することなく、独自に作業できます。 Fabric管理者は、ワークスペースを作成するアクセス許可を持つユーザーを定義します。 ワークスペース管理者は、ユーザーが再利用できる Spark 環境を定義します。 ベスト プラクティスの詳細については、「 Fabric のライフサイクル管理に関するベスト プラクティス」を参照してください。
能力
容量は、すべての Fabric ワークロードで使用されるコンピューティング リソースです。 組織の要件に基づいて、コンピューティング、チャージバックなどの分離境界として容量を使用します。
ガイダンス: 開発、テスト、受け入れ、運用 (DTAP) などの環境の要件に基づいて容量を分割します。 このアプローチにより、ワークロードの分離とチャージバックが向上します。
メタデータのスキャン
メタデータ スキャンは、組織のすべてのFabricアイテムのメタデータをカタログ化およびレポートするためのカタログツールを有効にすることで、組織がMicrosoft Fabricデータを管理するのに役立ちます。 スキャナー API と呼ばれる一連の管理者 REST API を使用します。 スキャナー API は、アイテム名、ID、秘密度、保証状態などのメタデータを抽出します。
詳細については、「メタデータ スキャン」を参照してください。
安全、保護、コンプライアンス
データのセキュリティと準拠しているデータ プラットフォームは、データが安全であり、侵害されないようにするために重要です。 ネットワーク セキュリティ、アクセス制御、暗号化の詳細については、「セキュリティの概要」を参照してください。
Fabric では、Microsoft Purview を活用して機密データを保護し、データのプライバシーに関する規制と要件に確実に準拠できるようにします。
プライバシー
あらゆるデータ保護戦略の最初のフェーズは、プライベート データが存在する場所を特定することです。 この手順は、ソースでデータを確実に保護するための最も困難だが重要な手順の 1 つです。 次のセクションでは、組織がこの課題に対応できるように Fabric が提供する機能について説明します。
データのセキュリティ
Fabric内のデータが不正アクセスから保護され、データプライバシー要件に準拠していることを確認するには、組み込みのFabric機能と組み合わせてMicrosoft Purview Information Protectionの秘密度ラベルを使用して、組織のデータに手動または自動的にタグを付けます。 Purview 監査では、Fabric で実行されたアクティビティの監査証跡がキャプチャされます。 このプロセスには、lakehouse アクセス、Power BI アクセス、Spark アクティビティ、データ ファクトリ アクティビティ、サインインなど、Fabric テナント内のユーザー アクティビティのキャプチャが含まれます。
Purview 情報保護
Fabricの情報保護を使用すると、Microsoft Purview Information Protectionの秘密度ラベルを使用して、Fabricデータを検出、分類、保護できます。 Fabric には、既定のラベル付け、ラベルの継承、 プログラムによるラベル付けなど、複数の機能が用意されており、Fabric データ資産全体で最大限の秘密度ラベルカバレッジを実現できます。 ラベル付けされると、サポートされているエクスポート パスを介して Fabric からエクスポートされた場合でも、データは保護されたままになります。 コンプライアンス管理者は、Microsoft Purview の監査機能を使って、秘密度ラベルに関するアクティビティを監視できます。
詳細については、「Microsoft Fabric の 情報保護」を参照してください。
Guidance: 組織レベルで、Microsoft Purview Information Protection の秘密度ラベルとその関連ラベル ポリシーを指定します。 組織全体で有効である必要があります。
Purview データ損失防止
FabricとPower BIの Purview DLP ポリシーは、Fabric テナントでDLP でサポートされるアイテムの種類にアップロードするときに、機密情報を自動的に検出します。 これらは、組織が政府や業界の規制に準拠し続けるために、リスク修復アクションを実行するのに役立ちます。
コンプライアンス管理者とセキュリティ管理者は、DLP 検出ごとに監査ログを受け取ります。 監査ログを使用すると、テナント内のビジネスクリティカルなデータとその場所をさらに可視化できます。 DLP でサポートされているアイテムで機密情報が検出されるたびに自動的に生成されるアラートを設定できます。 また、ユーザーに対しカスタマイズされたメッセージを作成して、機密データの対処方法をユーザーに案内することもできます。 たとえば、管理者は、データ内で独自の情報が検出されるたびに、Fabric データ所有者に送信されるメッセージを構成できます。この情報は内部であり、外部で共有してはならないことを説明します。
詳細については、「Fabric と Power BIのデータ損失防止ポリシーの導入」を参照してください。
ワークスペース内のアイテムの安全確保
組織チームは、さまざまなペルソナが共同作業を行い、コンテンツの生成に取り組む個別のワークスペースを持つことができます。 ワークスペース管理者は、ワークスペース ロールをユーザーに割り当てることで、ワークスペース内のアイテムへのアクセスを制御します。
ガイダンス: データ所有者は、ワークスペース管理者になる可能性のあるユーザーを推奨する必要があります。 たとえば、これらのユーザーは組織内のチーム リーダーである可能性があります。 これらのワークスペース管理者は、ユーザーとアイテムのコンシューマーに適切なワークスペース ロールを割り当てることで、ワークスペース内のアイテムへのアクセスを管理する必要があります。
Fabric アイテム内のデータを保護する
テナントまたはワークスペース レベルで適用される広範なセキュリティに加えて、個々のチームは、個々のテーブル、行、および列へのアクセスを管理するために、他のデータ レベルの制御を展開できます。 現在、SQL 分析エンドポイント、ウェアハウス、Direct Lake、および KQL データベースに対して Fabric からこのようなデータレベルの制御が提供されています。
ガイダンス: 個々のチームは、アイテムとデータ レベルでこれらの追加のコントロールを適用する必要があります。
監査
組織内のFabric管理者とコンプライアンス チームは、Fabric データへの不正アクセスと使用のリスクを軽減するために、Purview コンプライアンス ポータルで利用可能な Purview Audit を使用して、Fabricアイテムのユーザー アクティビティを追跡および調査できます。 多くの会社では、規制要件に対してこれらの監査ログも必要です。多くの場合、フォレンジック調査や潜在的なデータ規制違反の監査ログの保存が義務付けられています。
Guidance: Fabric管理者とコンプライアンス チームは、Fabric項目レベルの監査が Purview Audit に記録され、分析に使用できることを認識する必要があります。
認定資格
Microsoft Fabricには、HIPAA BAA、ISO/IEC 27017、ISO/IEC 27018、ISO/IEC 27001、ISO/IEC 27701 のコンプライアンス認定があります。 詳細については、Fabric コンプライアンス認証に関するページを参照してください。
データ検出を促進し、信頼し、使用する
Fabric は、ユーザーが信頼性の高い高品質のデータを検索して使用するのに役立つビルトイン機能を備えています。
OneLake カタログ
OneLake カタログを使用すると、アクセス権を持つ組織内の Fabric データ項目を簡単に検索、探索、および使用できます。 項目とそれらを操作するためのエントリ ポイントに関する情報が提供されます。 フィルター処理と検索オプションを使用すると、関連データを簡単に取得できます。
詳細については、 OneLake カタログの概要を参照してください。
ガイダンス: カタログで効率的なエクスペリエンスを作成するには、ドメインを慎重に定義して設定することが不可欠です。 慎重に定義されたドメインを使用すると、チームのコンテキストを設定し、境界と所有権をより適切に定義できます。 ドメインへのワークスペースのマッピングは、Fabric でこれを実装する上で重要です。
認定
保証により、信頼できる高品質のデータが見つけやすくなります。 組織は多くの場合、データ、プロセス、コンテンツなど、Fabric ユーザーが共有および再利用できる多数の Microsoft Fabric アイテムを所有しています。 保証は、ユーザーが必要な信頼できる高品質のアイテムを特定して見つけるのに役立ちます。 保証により、アイテム所有者は自分の高品質なアイテムを宣伝でき、組織は自社の品質基準を満たすアイテムを認定できます。 保証されたアイテムにはその後、Fabric と、ユーザーが Fabric アイテムを探す他の場所の両方において、明確にラベルが付けられます。 また、保証されたアイテムは一部の検索では優先され、一部のリストでは保証されたアイテムを探して並べ替えを行うことができます。 OneLake カタログでは、管理者は、ユーザーを質の高いコンテンツに導くために、組織の承認された項目に関する分析情報を取得できます。
詳細については、「保証」を参照してください。
ガイダンス: 認定の有効化は、ドメイン管理者に委任する必要があり、ドメイン管理者は、データ所有者とプロデューサーに作成したアイテムを認定できる権限を与える必要があります。 データ所有者とプロデューサーは、テスト済みで、他のチームが使用できる状態にあるアイテムを常に認定する必要があります。 これにより、低品質の非信頼アイテムを、信頼できるすぐに使用可能な資産から分離できます。 また、これらの信頼できる資産を検索しやすくなります。 さらに、データ コンシューマーは、信頼できる資産を見つける方法について教育を受け、レポートやその他のダウンストリーム処理で認定されたアイテムのみを使用するよう勧める必要があります。
タグ
タグは構成可能なテキスト ラベルであり、Fabric 項目に適用することで、項目の検出可能性と使用を強化できます。 Fabric 管理者は、データ所有者が項目の分類に使用できる一連のタグを定義できます。 タグが項目に適用されると、データ コンシューマーは、さまざまなFabricエクスペリエンス全体で適用されたタグを表示、検索、フィルター処理できます。
詳細については、「Microsoft Fabric のタグ」を参照してください。
データ系列と影響分析
現代のビジネス インテリジェンス プロジェクトでは、データ ソースから宛先へのデータのフローを理解することは複雑なタスクです。 "このデータを変更するとどうなりますか" または "このレポートが最新の状態ではないのはなぜですか" などの質問に答えるのは難しい場合があります。 そのような質問を理解するには、専門家のチームまたは詳細な調査が必要な場合があります。 データラインエージは、ワークスペース内のすべてのアイテム間の関係を表示する視覚化を提供することで、ユーザーがデータのフローを理解するのに役立ちます。 系列ビューの各項目に対して、その項目を変更した場合に影響を受ける下流項目を示すインパクト分析を表示できます。
ガイダンス: 項目に対して適切で一貫性のある名前付け規則を使用します。 この方法は、系列情報を見るときに役立ちます。
組織全体のガバナンスを対象とする Purview
Microsoft Purview には、組織のデータ資産全体でデータを保護および管理するためのソリューションが用意されています。 Purview と Fabric の統合により、Purview の機能の一部を使用して、組織のデータ資産全体において Fabric データを管理および監視できます。
Purview の ライブ ビュー (プレビュー) を介して Fabric で提供されるデータ ガバナンス機能については、次のセクションで説明します。 「Microsoft Purview を使用して Microsoft Fabric を管理する」もご覧ください。
データ キュレーション
組織内のデータ キュレーションには、組織が使用するすべてのソースからメタデータ情報、系列情報、およびその他のデータを収集する必要があります。 これらのソースは、オンプレミス、サードパーティのクラウド、サードパーティの製品とサービス、または CRM システムにすることができます。 この抽出プロセスは、Purview でのスキャンともいわれています。 Purview の組み込みスキャナーは、組織のデータ資産をスキャンすることによってすべての情報を取得します。 Purview では、データ マップによってこのプロセスが実行されます。
Data Map
Purview には、異なるソースからメタデータをスキャンして取得し、Purview の Data Map に埋め込むことができるスキャン エンジンがあります。 Purview は、外部サービスまたは ISV が使用できるように、Atlas API を介してこのメタデータを公開します。 また、Data Map は Fabric と協力して、そのメタデータを内部的に設定することで、ビジネス ユーザーがこれらのデータ製品を検索、発見、使用して分析情報を構築できるようにします。 現在、データ コンシューマーは、ビューアーアクセス権を持つすべてのFabricワークスペースを表示できます。 このビューは ライブ ビューと呼ばれます。 このビューの上で、Purview のすべてのFabric項目に対して手動スキャンを実行できます。ここで、プロセスは項目レベルのメタデータを選択し、Purview で使用できるようにします。 この機能は、エンタープライズ レベルでのみ使用できます。 現時点では、項目レベルで系列を持つことができます。
Purview のデータ検出
データを操作するデータ コンシューマーは、関連データを検索して見つけることができる必要があります。 Purview は、ドメインの概念を提供することで役立ちます。 ビジネスに適した用語とグループ化により、よく知っている用語に基づいて、チームが関心を持つデータをより関連性が高く、検索しやすくなります。 このアプローチは、データ メッシュアーキテクチャ パターンともうまく融合します。 データ カタログは、チームがデータを検索するのに役立つ Purview のアプリケーション レイヤーです。
ガイダンス: エンタープライズ およびビジネス アーキテクチャ チームは、役割と責任を明確にするために、ドメインを定義し、ビジネス プレーヤーと技術プレーヤーの間のペルソナ マッピングも定義する必要があります。 これらの定義は、Fabric の ドメイン定義と一致している必要があります。
Purview のデータ カタログ
Purview のデータ カタログは、データ プラットフォームにフィードされるすべてのソースからキャプチャされたメタデータを公開します。 Data Catalogを使用すると、データを保持しているシステムを把握しなくても、作業に関心のあるデータと項目を検索できます。 すべての Fabric アイテムのメタデータは Purview 内で使用できます。
監視して、明らかにし、分析情報を取得し、行動する
監視ハブ
Microsoft Fabric 監視ハブ を使用すると、中心地から Microsoft Fabric アクティビティを監視できます。 どの Fabric ユーザーでも監視ハブを使用できますが、監視ハブには、ユーザーが表示する権限を持つ Fabric アイテムについてのみアクティビティが表示されます。
詳しくは、「監視ハブの使用」をご覧ください。
ガイダンス: この機能は、スケジュールされたワークロード (データ フローやパイプラインの更新など)、Spark の実行、Data Warehouse クエリなどを監視するために、開発者やチーム メンバーに公開する必要があります。
容量メトリック
ガイダンス: プラットフォーム管理者ロールを持つプラットフォーム オーナーとユーザーは、この機能を認識し、それを使用して使用状況と消費量を監視する必要があります。 詳細については、「Microsoft Fabric Capacity Metrics アプリとは？」を参照してください。
管理者の監視
管理者の監視ワークスペースは、管理者に自分の組織向けの監視機能を備えています。 管理者は、管理者監視ワークスペースのリソースを使用して、監査や使用状況確認など、セキュリティとガバナンスのタスクを実行できます。 詳細については、「管理者の監視ワークスペースとは？」を参照してください。
ガイダンス: プラットフォーム オーナー/Fabric 管理者は、この機能を使用して Fabric プラットフォームの全体像を把握することをお勧めします。