OneLakeは2つの飛行機でセキュリティを厳格に管理しています。
- コントロールプレーンの権限:アイテムの作成、設定、共有、管理など、何 ができるか を管理します。 ワークスペース レベルではワークスペース ロールを使用してコントロール プレーンのアクセス許可を設定し、アイテム レベルでは共有とアイテムの 権限の管理 ページを通じて設定します。
- データプレーン権限:どのデータを見たり変更したりできる か を管理します。 OneLakeにとって、この飛行機はOneLakeのセキュリティです。 アイテムに対してこれらの役割を定義し、フォルダ、テーブル、スキーマ、行、列に絞り込みます。
以下の表は両平面を比較しています。
| 軸 | コントロール プレーン | データ プレーン |
|---|---|---|
| 管理対象 | アイテムに対する管理操作(作成、設定、共有、削除など)があります。 | テーブルやファイルの読み書きなど、データ自体へのアクセス。 |
| 設定箇所 | ワークスペースの役割とアイテム権限について。 | アイテム上で定義され、その後フォルダ、テーブル、行、列にスコープが割り当てられます。 |
| 粒度 | アイテムレベルの能力。 | 個々の行や列まで。 |
| 影響を受ける人 | ワークスペース内の全員 | 主に閲覧者や閲覧許可を持つユーザーです。 管理者、メンバー、貢献者はすでにデータアクセス権を持っています。 |
誰かが何をできるかを制御するには、ワークスペースやアイテムロールのコントロールプレーンを使いましょう。 どの特定のデータを誰かが見るかを制御するには、OneLakeセキュリティ付きのデータプレーンを使いましょう。
OneLake は、Azure Data Lake Storage (ADLS) Gen2 や Windows ファイル システムのような階層型データ レイクです。 この二つの次元は、この階層の異なるレベルで適用されます。
ワークスペース: 項目を作成および管理するための共同作業環境。 このレベルでワークスペースロールを通じてコントロールプレーンのセキュリティを管理します。
項目: 1 つのコンポーネントにまとめられた一連の機能。 Fabricのデータ項目とは、レイクハウス、ウェアハウス、SQLデータベースなど、データをFabricに格納する項目のことです。 アイテムはワークスペースロールから権限を継承しますが、追加のコントロールプレーン権限を持つこともできます。 また、アイテムに対してOneLakeのセキュリティロールも定義します。
フォルダおよび以下:
Tables/やFiles/などのフォルダーは、テーブル、スキーマ、行、列とともに、アイテム内のデータを整理します。 OneLakeのセキュリティはこれらのレベルでのデータプレーンアクセスを監視しています。
アイテムは常にワークスペース内に配置され、ワークスペースは常に OneLake 名前空間のすぐ下に配置されます。
ワークスペースやアイテムロールでコントロールプレーンの権限を管理
OneLakeはワークスペースレベルとアイテムレベルで権限を管理します。 ワークスペースとアイテム権限は、OneLakeの アイテムのコントロールプレーン セキュリティモデルです。
ワークスペースロールでアクセス権を付与する
ワークスペースのアクセス許可は、ユーザーがワークスペースとそのアイテム内で実行できるアクションを定義します。 これらのアクセス許可は、主にコントロール プレーンのアクセス許可です。 これらは、直接データ アクセスではなく、管理およびアイテム管理機能を決定します。 ただし、通常、アイテムとフォルダーは、既定でデータ アクセスを許可するワークスペースのアクセス許可を継承します。 ワークスペース権限はそのワークスペース内のすべてのアイテムに適用されます。
4 つの異なるワークスペース ロールによって、異なる種類のアクセス権が付与されます。 次の表に、各ワークスペース ロールの既定の動作を示します。
| 役割 | 管理者を追加できますか? | メンバーを追加できますか? | OneLake のセキュリティを編集できますか? | データの書き込み、アイテムの作成が可能ですか? | OneLake でデータを読み取ることができますか? | ワークスペースを更新および削除できますか? |
|---|---|---|---|---|---|---|
| 管理者 | はい | はい | はい | はい | はい | はい |
| メンバー | いいえ | はい | はい | はい | はい | いいえ |
| 共同作成者 | いいえ | いいえ | いいえ | はい | はい | いいえ |
| ビューアー | いいえ | いいえ | いいえ | いいえ | いいえ* | いいえ |
* OneLake セキュリティ ロールを使用して、閲覧者にデータへのアクセス権を付与できます。
Fabric のワークスペース内のロールの詳細をご覧ください。
セキュリティ グループに割り当てることで、Fabric ワークスペース ロールの管理を簡略化します。 この方法により、セキュリティ グループに対してメンバーを追加または削除することで、アクセスを制御できます。
アイテム共有やアイテムレベルの権限設定
共有機能を使用すると、ユーザーにアイテムへの直接アクセス権を付与できます。 ユーザーはワークスペース内の他のアイテムを見ることができず、ワークスペースの役割にも属していません。 アイテムのアクセス許可は、そのアイテムとそのユーザーがアクセスできるエンドポイントに接続するためのアクセス権を付与します。
| 権限 | アイテム メタデータを表示しますか? | SQL でデータを表示しますか? | OneLake でデータを表示しますか? |
|---|---|---|---|
| 書き込み | はい | はい | はい |
| お読みください | はい | いいえ | いいえ |
| データを読む | いいえ | 委任モードのみ | いいえ |
| 全て読む | いいえ | いいえ | DefaultReader を介してのみ |
SQL分析エンドポイントへのアクセスもSQL 分析エンドポイントモードに依存します。 モードによっては、ユーザーはアイテムの読み取りアクセスに加えてSQL権限やReadDataのアイテム権限が必要になる場合があります。
また、アイテムの 「権限管理 」ページで権限を設定することもできます。 このページでは、ユーザーやグループごとに個別のアイテム権限を追加または削除できます。 使用できるアクセス許可は、アイテムの種類によって決まります。
OneLakeのセキュリティロールでデータアクセスを管理する
OneLakeのセキュリティは、OneLakeに保存されたデータに対して細かな役割ベースのセキュリティを提供し、Fabric内のすべての計算エンジンでそのセキュリティを一貫して強制します。 OneLake の データ プレーン セキュリティ モデルは、OneLake 内のデータのためのセキュリティです。
管理者またはメンバー ワークスペース ロールのユーザー Fabric、OneLake セキュリティ ロールを作成して、アイテム内のデータへのアクセス権をユーザーに付与できます。 各ロールには 4 つのコンポーネントがあります。
- 権限:ReadやReadWriteなど、ロールがデータに対して付与する権限です。
- タイプ:役割の種類。 OneLakeのセキュリティは、データへのアクセスを提供するGrantロールのみをサポートしています。
- 役割内のデータ: 役割がアクセスを許可するテーブル、フォルダー、またはスキーマ。 また、テーブルに対して行レベルおよびカラムレベルのセキュリティでデータアクセスを定義することもできます。
- 役割のメンバー:役割に割り当てられたMicrosoft Entraのアイデンティティ(ユーザー、グループ、非ユーザーアイデンティティなど)。
OneLake セキュリティ ロールは、 ビューアー ワークスペース ロールまたはアイテムに対する 読み取り アクセス許可を持つユーザーのデータへのアクセスを許可します。 ワークスペース管理者、メンバー、貢献者はすでにワークスペース内のすべてのデータに対して読み書き権限を持っているため、OneLakeのセキュリティロールの影響を受けません。 DefaultReader ロールは、すべてのレイクハウスに存在し、すべてのユーザーに、レイクハウス内のデータへの ReadAll アクセス許可を付与します。 DefaultReader ロールを削除または編集して、そのアクセス権を削除できます。
OneLakeのセキュリティを活用するには、以下のデータアクセス記事をご利用ください:
- OneLakeのセキュリティがどのようにデータアクセスを管理するか 、完全な権限モデル、そしてOneLakeがどのように役割を評価するかについても詳細に説明しています。
- OneLakeセキュリティロールの作成・管理では 、ロールの作成、編集、削除、メンバー割り当て、テーブルやフォルダへの行レベルおよびカラムレベルのセキュリティ適用方法が示されています。
- OneLakeのテーブル、カラム、行レベルのセキュリティは 、それぞれのデータアクセス制御がどのように機能し、OneLakeがどのようにそれを強制するかを説明しています。
- OneLakeセキュリティで保護された読み取りデータは 、どのエンジンが安全データを読み取れるか、それぞれの要件を説明しています。
認可されたサードパーティエンジンでOneLakeのセキュリティを強制する(プレビュー)
サードパーティのエンジンを 認可されたエンジン として設定し、OneLakeのセキュリティロールを強制できるようにします。 外部クエリエンジンは認可エンジンとして登録し、OneLake APIを通じてセキュリティポリシー定義や事前計算された有効アクセスを取得し、クエリ時にテーブル権限、行レベルのセキュリティ(RLS)、カラムレベルのセキュリティ(CLS)を強制できます。 OneLake は、セキュリティ ポリシーの唯一の信頼のソースです。 ポリシーは一度作成され、Fabricエンジンと認可された外部エンジン間で一貫して強制されます。
詳細については、 OneLakeのセキュリティ統合をご覧ください。
ショートカット経由でアクセスされる安全なデータ
OneLake のショートカットを使用すると、データ管理が簡略化されます。 OneLake フォルダーのセキュリティは、データが格納されている lakehouse で定義されているロールに基づくショートカットに適用されます。
ショートカットのセキュリティに関する詳細は、「 OneLake securityがショートカット > データアクセスを制御する方法」をご覧ください。
特定のショートカットのアクセスと認証の詳細については、 OneLake ショートカットの種類を参照してください。
Microsoft Entra IDでOneLakeに認証
OneLake では、認証に Microsoft Entra ID が使用されます。 これを使用して、ユーザー ID とサービス プリンシパルにアクセス許可を付与します。 OneLake は、Microsoft Entra 認証を使用するツールからユーザー ID を自動的に抽出し、Fabric ポータルで設定したアクセス許可にマップします。
注
Fabric テナントでサービス プリンシパルを使用するには、テナント管理者がテナント全体または特定のセキュリティ グループに対してサービス プリンシパル名 (SPN) を有効にする必要があります。 テナント管理者 ポータルの開発者設定でのサービス プリンシパルの有効化の詳細について説明します。
監査ログでOneLakeの活動を追跡
OneLakeのデータアクセスを監査するには、 OneLakeの診断を有効にしてください。 OneLakeの診断は、OneLake APIを通じてのデータアクセスを記録します。 Fabric のワークロードへのアクセスの場合は、そのワークロードへのアクセス権が付与されたことを記録します。 イベントは自分で選んだ湖畔の家に保存されます。
OneLakeのコントロールプレーン活動、例えばセキュリティロールの変更、ショートカット、共有、ライフサイクルポリシー、ストレージ階層などはFabric監査ログを使用します。 手順については「Fabricでのユーザー活動追跡」をご覧ください。
OneLakeでのデータ暗号化と安全なネットワーク
OneLakeは、静止時と輸送中の両方でデータを暗号化し、プライベートリンクでネットワークアクセスを制限できるようにすることでデータを保護します。 以下のセクションでは、これらの安全策について説明します。
Microsoft マネージド キーおよび顧客マネージド キーを使用して保存データを暗号化
OneLake に格納されているデータは、Microsoft マネージド キーを使用して既定で保存時に暗号化されます。 Microsoft マネージド キーは、適切に交換されます。 OneLake はデータを透過的に暗号化および復号化し、FIPS 140-2 に準拠しています。
カスタマー マネージド キーを使用して保存時の暗号化を使用し、所有して制御するキーを使用して別の保護レイヤーを追加できます。 詳細については、「 Fabric ワークスペースのカスタマー マネージド キー」を参照してください。
TLSを用いて転送中のデータを暗号化する
Microsoft サービス間のパブリック インターネット経由で転送中のデータは、常に TLS 1.2 以上を使用して暗号化されます。 ファブリックは可能な限り TLS 1.3 にネゴシエートします。 Microsoft サービス間のトラフィックは、常に Microsoft グローバル ネットワーク経由でルーティングされます。
受信 OneLake 通信では、TLS 1.2 も適用され、可能な限り TLS 1.3 にネゴシエートされます。 お客様が所有するインフラストラクチャへの送信Fabric通信では、セキュリティで保護されたプロトコルが優先されますが、新しいプロトコルがサポートされていない場合は、古い安全でないプロトコル (TLS 1.0 を含む) にフォールバックする可能性があります。
プライベートリンクを使ってOneLakeへのアクセスを安全に保つ
Fabric でプライベート リンクを構成するには、「プライベート リンクを設定して使用する」を参照してください。
Fabric外で動作するアプリがデータにアクセスできるようにする
Fabric環境外のアプリケーションからOneLakeのデータへのアクセスを許可または制限するには、「ユーザーがFabricテナント設定外のアプリでOneLakeに保存されたデータにアクセスできます。」という方法で可能です。 管理者は、 管理ポータルのテナント設定の OneLake セクションでこの設定を見つけることができます。
この設定を有効にすると、ユーザーはすべてのソースのデータにアクセスできます。 例えば、ADLS APIやOneLakeファイルエクスプローラーを使うカスタムアプリケーションがある場合は、この設定をオンにしてください。 この設定をオフにすると、ユーザーは Spark、Data Engineering、Data Warehouse などの内部アプリのデータに引き続きアクセスできますが、Fabric 環境の外部で実行されているアプリケーションからのデータにはアクセスできません。
注
この設定を有効にすると、OneLakeのセキュリティでショートカットを使う必要があります。