Microsoft Purview 保護アクセス制御ポリシー (保護ポリシー) を使用すると、組織は秘密度ラベルを使用して Fabric 内の項目へのアクセスを制御できます。
この記事の対象読者は、セキュリティおよびコンプライアンス管理者、Fabric 管理者とユーザー、保護ポリシーが Fabric 内の項目へのアクセスを制御する方法について学習したいその他のユーザーです。 Fabric の保護ポリシーを作成する方法については、「Fabric の保護ポリシーの 作成と管理」を参照してください。
Fabric の保護ポリシーのしくみ
Fabric の各保護ポリシーは、秘密度ラベルに関連付けられます。 このポリシーは、ポリシーで指定されたユーザーとグループに対しては、項目に対するアクセス許可を保持することを許可し、他のすべてのユーザーに対してはアクセスをブロックして、関連付けられたラベルが付いた項目へのアクセスを制御します。
このポリシーでは、指定されたユーザーとグループがラベル付きアイテムを現在持っている場合に、そのアイテムを完全に制御できます。 他のすべてのユーザーとグループは、アイテムへのアクセスをブロックされます。
Note
保護ポリシーは、ラベル発行者には適用されません。 つまり、保護ポリシーに関連付けられたラベルを項目に最後に適用したユーザーは、ポリシーで指定されていない場合でも、項目へのアクセスを拒否されません。 たとえば、保護ポリシーがラベル A に関連付けられており、あるユーザーがラベル A を項目に適用した場合、そのユーザーは、ポリシーで指定されていない場合でも、項目にアクセスできます。
アイテムの制限付きユーザーを表示する
Fabric 管理ポータルでは、OneLake カタログを使用してアイテムのアクセス許可を表示し、アクセスが制限されているユーザーを決定できます。 アイテムを含むワークスペースに管理者またはメンバーのロールがある場合は、アイテムの詳細の [アクセス許可] タブが表示されます。
Fabric 管理ポータルでアイテムのアクセス許可を表示するには、 OneLake カタログを開き、アイテムを見つけて (必要に応じてワークスペースでフィルター処理)、その名前を選択してアイテムの詳細を開きます。 次に、[ アクセス許可 ] タブを選択して、アイテムへのアクセス権を持つユーザーとグループの一覧を表示します。これには、保護ポリシーによって制限されているものも含まれます。
ユース ケース
保護ポリシーは、組織が機密性の高いアイテムへのアクセスを制限する必要があるシナリオで役立ちます。 たとえば、組織は、他のすべてのユーザーのアクセスをブロックしながら、特定の内部ユーザーのみが "社外秘" というラベルの付いたアイテムにアクセスできるようにしたい場合があります。
Fabric の保護ポリシーの作成者
Fabric の保護ポリシーは、通常、組織の Purview セキュリティおよびコンプライアンス チームによって構成されます。 保護ポリシーの作成者には、情報保護管理者以上のロールが必要です。 詳細については、「 Fabric の保護ポリシーの作成と管理」を参照してください。
要件
Microsoft Purview Information Protection の秘密度ラベルには、Microsoft 365 E3/E5 ライセンスが必要です。 詳細については、「Microsoft Purview Information Protection: 秘密度ラベル付け」を参照してください。
テナントには、Microsoft Purview Information Protection からの "適切に構成された" 秘密度ラベルが少なくとも 1 つ存在する必要があります。 Fabric の保護ポリシーのコンテキストで "適切に構成された" とは、ラベルが構成されたときに、そのスコープが[ファイルとその他のデータ資産] に設定され、その保護設定が、[アクセスの制御] を含むように設定されていることを意味します (秘密度ラベルの構成の詳細については、「秘密度ラベルとそのポリシーを作成して構成する」を参照してください)。 Fabric の保護ポリシーを作成するために使用できるのは、このような "適切に構成された" 秘密度ラベルのみです。
Fabric で保護ポリシーを適用するには、Fabric テナント設定の [ユーザーによるコンテンツへの秘密度ラベルの適用を許可する] を有効にする必要があります。 この設定は、Fabric 内の秘密度ラベルに関連するすべてのポリシーの適用に必要であるため、Fabric で秘密度ラベルが既に使用されている場合は、この設定は既に有効になっています。 Fabric で秘密度ラベルを有効にする方法の詳細については、「秘密度ラベルを有効にする」を参照してください。
サポートされていない項目の種類
保護ポリシーは、レイクハウス、ノートブック、パイプライン、その他のコア Fabric 資産など、すべてのネイティブ Fabric 項目の種類でサポートされています。
さらに、保護ポリシーは Power BI セマンティック モデルでサポートされています。 レポートやダッシュボードなど、その他の Power BI 項目の種類は現在サポートされていません。
考慮事項と制限事項
最大 50 個の保護ポリシーを作成できます。
保護ポリシーには、最大 100 のユーザーおよびグループを追加できます。
Fabric の保護ポリシーでは、ゲストおよび外部ユーザーはサポートされません。
保護ポリシーは、Fabric CI/CD ソリューションと統合されません。 デプロイ パイプラインと Git 統合では、保護ポリシー ラベルからの項目レベルのアクセス許可ではなく、ワークスペースのアクセス許可のみが使用されます。
ポリシーが作成されると、ポリシーに関連付けられた秘密度ラベルでラベル付けされた項目の検出と保護が開始されるまでに最大 24 時間かかることがあります。
ネイティブ Fabric 項目の種類の場合、 ダウンストリーム継承の場合など、システムによってラベルが自動的に適用され、指定されたラベル発行者がない場合、成果物を作成したユーザーは保護ポリシーによって制限されません。