OneLakeのセキュリティを利用することで、管理者は OneLakeを通じた集中型ガバナン スか、SQL分析エンドポイント内で細 かなSQLベースの制御 を選択できます。
SQL 分析エンドポイントのAccess モード
SQL 分析エンドポイントを使用する場合、選択したaccess モードによってデータ セキュリティの適用方法が決まります。 Fabric では、2 つの異なるaccess モデルがサポートされています。各モデルは、運用とコンプライアンスのニーズに応じて異なる利点を提供します。
ユーザー識別モード:OneLakeの役割とポリシーを用いてセキュリティを強制します。 このモードでは、SQL 分析エンドポイントはサインインしているユーザーの ID を OneLake に渡し、 読み取りアクセスは OneLake 内で定義されているセキュリティ規則によって完全に管理されます。 このモードは、ビュー、ストアドプロシージャ、関数などの非データオブジェクトに対してSQLレベルの権限をサポートし、Power BI、ノートブック、レイクハウスなどのツール間で一貫したガバナンスを保証します。
委任された ID モード: SQL を使用してフル コントロールを提供します。 このモードでは、SQL分析エンドポイントはワークスペースやアイテム所有者のIDを使ってOneLakeに接続し、セキュリティはデータベース内で定義された SQL権限のみによって制御 されます。 このモデルは、GRANT、REVOKE、カスタムロール、行レベルのセキュリティ、動的データマスキングなどの従来のセキュリティアプローチをサポートしています。
各モードでは、異なるガバナンス モデルがサポートされます。 それらの影響を理解し、Fabric環境に適したアプローチを選びましょう。
Important
SQL分析エンドポイントを使用するにはアイテムアクセスが必要です。 SQL分析エンドポイントを通じてデータに接続・クエリするには、ユーザーがエンドポイントに関連付けられたアイテムの読み取り権限を持っている必要があります。 ユーザーがアイテムに対するコントロールプレーンアクセス(例えば、ワークスペースロールアクセスや明示的なアイテム権限)を持っていない場合、そのユーザーのSQL権限に関わらず、SQL分析エンドポイントへの接続は拒否されます。
アクセス モードの比較
次の表では、ユーザー ID モードと委任 ID モードのセキュリティを設定する方法と場所を、オブジェクトの種類とデータ アクセス ポリシー別に分類して比較します。
| セキュリティ ターゲット | ユーザー ID モード | 委任された ID モード |
|---|---|---|
| Tables | OneLakeのセキュリティロールはアクセスを制御します。 SQL GRANT/REVOKE は許可されていません。 |
SQL GRANT/REVOKEを使用したフル コントロール。 |
| Views | SQL GRANT/REVOKE を使用してアクセス許可を割り当てます。 |
SQL GRANT/REVOKE を使用してアクセス許可を割り当てます。 |
| ストアド プロシージャ | SQL GRANT EXECUTE を使用してアクセス許可を割り当てます。 |
SQL GRANT EXECUTE を使用してアクセス許可を割り当てます。 |
| 関数 | SQL GRANT EXECUTE を使用してアクセス許可を割り当てます。 |
SQL GRANT EXECUTE を使用してアクセス許可を割り当てます。 |
| 行レベルのセキュリティ (RLS) | OneLakeのセキュリティ役割の一部として定義されています。 | SQL CREATE SECURITY POLICYを使用して定義されます。 |
| カラムレベルセキュリティ(CLS) | OneLakeのセキュリティ役割の一部として定義されています。 | SQL GRANT SELECT と列リストを使用して定義されます。 |
| 動的データ マスク (DDM) | OneLake セキュリティではサポートされていません。 |
ALTER TABLE オプションで SQL MASKEDを使用して定義されます。 |
OneLakeのアクセスモードを変更する
アクセス モードは、SQL 分析エンドポイントを介して OneLake に対してクエリを実行するときに、データ アクセスを認証および適用する方法を決定します。 新たに作成されたSQL分析エンドポイントは、デフォルトで委任されたアイデンティティアクセスモードで始まります。 OneLakeセキュリティをエンドポイントで使用する前に、管理者またはメンバーがユーザーID アクセスモードに切り替える必要があります。
Note
OneLakeのセキュリティを使うには、SQL分析エンドポイントごとにユーザーID アクセスモード に一度だけ切り替えるだけで済みます。 ユーザーのアイデンティティアクセスモードに切り替えないエンドポイントは、権限評価のために委任されたアイデンティティを使い続けます。
SQL分析エンドポイントに行ってください。
SQL 分析エンドポイント エクスペリエンスで、[ セキュリティ ] タブを選択します。
[ データ アクセス モードの表示>データ アクセス モードの設定] を選択します。
サインイン中のユーザーのアイデンティティを使いOneLakeセキュリティロールを強制するには 「ユーザーのアイデンティ ティアクセスモード」を選択し、アイテム所有者のアイデンティティを使いSQL権限のみを強制するには「 委任されたアイデンティ ティアクセスモード」を選択してください。 続いて 適用 を選択します。
[ 続行] を選択して選択を確定します。
Important
セキュリティモードを変更すると、SQL分析エンドポイントはワークスペース全体で一時的に利用できなくなります。 このアクションにより、そのワークスペース内のすべての SQL 分析エンドポイントで実行中およびキューに登録されているすべてのクエリが取り消されます。 必要な場合にのみモードを変更し、ダウンタイムを回避するために業務時間外に変更することをお勧めします。
OneLake セキュリティのユーザー ID モード
ユーザーアイデンティティモードでは、SQL 分析エンドポイントは、パススルー認証メカニズムを使用してデータアクセスを実施します。 ユーザーが SQL 分析エンドポイントに接続すると、その Entra ID ID が OneLake に渡され、アクセス許可チェックが実行されます。 テーブルに対するすべての読み取り操作は、SQL レベルの GRANT または REVOKE ステートメントではなく、OneLake Lakehouse 内で定義されたセキュリティ規則を使用して評価されます。
このモードを使用すると、セキュリティを一元的に管理でき、Power BI、ノートブック、lakehouse、SQL 分析エンドポイントなど、すべての Fabric エクスペリエンスで一貫した適用が保証されます。 これは、accessを OneLake で 1 回定義し、あらゆる場所で自動的に尊重するガバナンス モデル向けに設計されています。
ユーザー ID モードの場合:
テーブルのアクセスは、OneLake セキュリティによって完全に管理されます。 テーブルの SQL
GRANT/REVOKEステートメントは無視されます。OneLakeの経験はRLS(行レベルのセキュリティ)、CLS(列レベルのセキュリティ)、オブジェクトレベルのセキュリティを定義しています。
ビュー、ストアド プロシージャ、関数などのデータ以外のオブジェクトに対する SQL アクセス許可が許可されるため、カスタム ロジックやユーザー向けのデータへのエントリ ポイントを柔軟に定義できます。
SQL 分析エンドポイントでは、書き込み操作はサポートされていません。 すべての書き込みは、Fabric ポータルの [Lakehouse] ページを通じて行う必要があり、ワークスペース ロール (管理者、メンバー、共同作成者) によって管理されます。
Important
プロデューサーとコンシューマー (ハブアンドスポーク) 間の 1 対 1 の ID マッピング。 OneLake セキュリティ ポリシーがプロデューサー (ロールが定義されているソースアイテム) からコンシューマー (ショートカットを介してデータにアクセスする宛先項目) に転送される場合、プロデューサーで OneLake セキュリティ ロールに割り当てられた ID は、コンシューマーで 正確に 1:1 にマップされる必要があります。 ユーザーであれグループであれ、プロデューサーのセキュリティ ロールで参照されているものと同じプリンシパルに、コンシューマー アーティファクトに対する Fabric の読み取り権限を付与する必要があります。 入れ子構造または有効なグループ メンバーシップは、この境界を越えた解決が行われません。
たとえば、プロデューサーの OneLake セキュリティ ロールが user123@microsoft.com を参照する場合、コンシューマー レイクハウスには user123@microsoft.com (その正確なオブジェクト ID) に対して、Fabric の読み取りアクセス許可が必要です。 同様に、プロデューサー ロールがGroup Aを参照している場合は、Group A自身にコンシューマーに対する Fabric の読み取りアクセス許可が付与されている必要があります。グループ A のメンバーにのみそのアクセス許可を付与しても、要件は満たされません。
ユーザー ID モードの権限モデルの詳細については、OneLake のセキュリティによるデータ アクセス制御のしくみをご覧ください。
OneLake と SQL 分析エンドポイント間のセキュリティ同期
ユーザー ID モードの重要なコンポーネントは、 セキュリティ同期サービスです。 このバックグラウンド サービスは、OneLake のセキュリティ ロールに加えられた変更を監視し、それらの変更が SQL 分析エンドポイントに確実に反映されるようにします。
セキュリティ同期サービスは、次の役割を担います。
新しいロール、更新、ユーザーの割り当て、テーブルへの変更など、OneLake ロールへの変更を検出します。
OneLake 定義ポリシー (RLS、CLS、OLS) を同等の SQL 互換データベース ロール構造に変換する。
リモートからアクセスした場合でも、元の OneLake セキュリティ設定が受け入れられるように、 ショートカット オブジェクト (他のレイクハウスからソースされたテーブル) が適切に検証されていることを確認します。
この同期により、OneLake セキュリティ定義が確実に権限を持ち続け、セキュリティ動作をレプリケートするための手動の SQL レベルの介入が不要になります。 セキュリティは一元的に適用されるため、
このモードでは、T-SQL を使用して RLS、CLS、または OLS を直接定義することはできません。
GRANTまたはEXECUTEステートメントを使用して、ビュー、関数、ストアド プロシージャに SQL 権限を適用できます。
セキュリティ同期の再試行バックオフ
セキュリティ同期には、システムの安定性を保護し、不要なコンピューティング消費を回避するための再試行バックオフ メカニズムが含まれています。
OneLake セキュリティ ロールを SQL 分析エンドポイントに適用しているときに繰り返しエラーが発生した場合、システムは自動同期の試行を一時的に一時停止する可能性があります。
既存の OneLake セキュリティ ロールが変更されたとき、または新しい OneLake セキュリティ ロールが作成されると、同期が自動的に再開されます。
セキュリティ同期のエラーと解決
| Scenario | ユーザー ID モードでの動作 | 委任モードでの動作 | 修正アクション | 注記 |
|---|---|---|---|---|
| RLS ポリシーは、削除された列または名前が変更された列を参照します | エラー: 行レベルのセキュリティ ポリシーは、存在しなくなった列を参照します。 ポリシーが修正されるまで、データベースはエラー状態になります。 | エラー: 列名 <列名が無効です> | 影響を受ける 1 つ以上のロールを更新または削除するか、不足している列を復元します。 | 更新は、ロールが作成されたレイクハウスで行う必要があります。 |
| CLS ポリシーが削除または名前変更された列を参照する | エラー: 列レベルのセキュリティ ポリシーは、存在しなくなった列を参照します。 ポリシーが修正されるまで、データベースはエラー状態になります。 | エラー: 列名 <列名が無効です> | 影響を受ける 1 つ以上のロールを更新または削除するか、不足している列を復元します。 | 更新は、ロールが作成されたレイクハウスで行う必要があります。 |
| RLS/CLS ポリシーが削除または名前変更されたテーブルを参照する | エラー: セキュリティ ポリシーは、存在しなくなったテーブルを参照します。 | エラーは表示されません。テーブルがない場合、クエリは自動的に失敗します。 | 影響を受ける 1 つ以上のロールを更新または削除するか、不足しているテーブルを復元します。 | 更新は、ロールが作成されたレイクハウスで行う必要があります。 |
| DDM (動的データ マスク) ポリシーが削除または名前変更された列を参照する | DDM は OneLake セキュリティからサポートされていません。SQL を使用して実装する必要があります。 | エラー: 列名 <列名が無効です> | 影響を受ける 1 つ以上の DDM 規則を更新または削除するか、欠落している列を復元します。 | SQL 分析エンドポイントの DDM ポリシーを更新します。 |
| システム エラー (予期しないエラー) | エラー: 予期しないシステム エラーが発生しました。もう一度やり直すか、サポートにお問い合わせください。 | エラー: SQL へのテーブル変更の適用中に内部エラーが発生しました。 | 操作を再試行します。問題が解決しない場合は、Microsoft サポートにお問い合わせください。 | N/A |
| ユーザー プリンシパルはサポートされていません | エラー: ユーザー プリンシパルはサポートされていません。 | エラー: ユーザー プリンシパルはサポートされていません。 | ロール {username}からユーザー DefaultReaderを削除します。 |
このエラーは、ユーザーが有効なEntra IDでなくなった場合に発生します (たとえば、ユーザーが組織を離れた場合や削除された場合など)。 エラーを解決するには、それらをロールから削除します。 |
セキュリティ同期を使用したショートカットの動作
OneLake セキュリティは正確なデータソースで適用されるため、セキュリティ同期では、ショートカットを含むテーブルとビューの所有権の連鎖が無効になります。 これにより、別のデータベースからのクエリであっても、ソース システムのアクセス許可が常に評価され、受け入れられます。
その結果：
ユーザーは、両方のショートカットソース（現在のLakehouseまたはSQL分析エンドポイント）およびデータが物理的に存在するデスティネーションへアクセスするための有効なアクセス権を持っている必要があります。
ユーザーがどちらの側でもアクセス許可を持たない場合、クエリはアクセス エラーで 失敗します 。
この設計により、湖の境界を越えたセキュリティの整合性を維持しつつ、生産者と消費者のアイテム間でアイデンティティ割り当ての重複を減らします。
OneLake セキュリティでの委任モード
委任された ID モードでは、SQL 分析エンドポイントは従来の SQL セキュリティ モデルとの下位互換性を維持します。 SQL エンジン層でセキュリティを定義し、強制しますが、 OneLakeのセキュリティロールやアクセスポリシーは テーブルレベルのアクセスには引き継がれません。 スキーマやテーブルへのアクセス、行レベルのセキュリティ(RLS)、列レベルのセキュリティ(CLS)、動的データマスキング(DDM)を含むすべてのフィルタリングとアクセス制御は、SQL構造(GRANT/REVOKE、セキュリティポリシーなど)を使って定義しなければなりません。
エンド ユーザーの OneLake セキュリティ ロールは直接適用されないため、OneLake で定義されているセキュリティ規則 (たとえば、Spark または OneLake を介して読み取る他のエンジンによって適用される規則) は、SQL 分析エンドポイントを介して同じデータを照会する場合には適用 されません 。 ワークロードが SQL ネイティブのセキュリティ セマンティクスに依存している場合、または既存の T-SQL ツールで完全な互換性が必要な場合は、このモードを選択します。
ユーザーが SQL 分析エンドポイントに接続し、クエリを発行する場合:
SQL は、SQL レイヤーで定義されているアクセス許可に対してクエリを検証します。
クエリが承認されると、システムは OneLake に格納されているaccessデータに進みます。
このデータ アクセスは、サインインしているユーザーではなく、 Lakehouse または SQL Analytics エンドポイント所有者 ( アイテム アカウントとも呼ばれます) の ID を使用して実行されます。
したがって、 アイテム所有者 は、ワークロードに代わって基になるファイルを読み取るための十分なアクセス許可を OneLake に持つ必要があります。 エンド ユーザーに付与された SQL アクセス許可とアイテム所有者の OneLake アクセスの間で不整合が発生すると、クエリエラーが発生します。
このモードでは、DBA またはアプリケーションで使用される既存の T-SQL ツールとプラクティスがサポートされ、すべてのオブジェクト レベルの SQL GRANT/REVOKE と SQL 定義 RLS、CLS、および DDM との完全な互換性があります。
委任モードでのショートカットの動作
委任モードは アイテム所有者のIDを使ってOneLakeに接続するため、ショートカットは所有者が ソーステーブル全体に無制限にアクセスできる場合にのみ機能します。 ソーステーブルに行レベルのセキュリティ(RLS)やカラムレベルのセキュリティ(CLS)など、OneLakeレベルのセキュリティルールが適用されている場合、SQL分析エンドポイントは そのショートカットへのアクセスをブロックします。
その結果：
データ レベルのセキュリティ規則のないソース テーブルを指すショートカットは、通常、委任モードで動作します。
プロデューサーの OneLake セキュリティで RLS または CLS を持つソース テーブルを指すショートカットは、エンド ユーザーがショートカット オブジェクトに対する SQL アクセス許可を持っている場合でも、委任モードの SQL 分析エンドポイントを介して アクセスできません 。
ソースに OneLake セキュリティ ポリシーがあるショートカットを使用するには、コンシューマー エンドポイントで ユーザー ID モード を使用して、エンド ユーザーの ID がソースの OneLake セキュリティ規則に対して評価されるようにします。
モードを切り替える際の考慮事項
Important
現在、ユーザー ID モードと委任モード (どちらの方向でも) を切り替えると、テーブル値関数 (TVF) やスカラー値関数を含むインライン メタデータ オブジェクトが削除されます。 この動作はメタデータ定義にのみ影響します。OneLake の基になるデータは影響を受けません。
ユーザー ID モードへの切り替え
SQL RLS、CLS、およびテーブル レベルのアクセス許可は無視されます。
OneLake ロールを構成することで、ユーザーはアクセスを維持する必要があります。
ビューアーのアクセス許可または共有読み取り専用アクセス権を持つユーザーのみが、OneLake セキュリティによって管理されます。
既存の SQL ロールは削除され、復旧できません。
委任された ID モードへの切り替え
OneLake ロールとセキュリティ ポリシーは適用されなくなりました。
SQL ロールとセキュリティ ポリシーがアクティブになります。
アイテムの所有者は、有効な OneLake accessを持っている必要があります。または、すべてのクエリが失敗する可能性があります。
注釈
SQL オブジェクトは所有権を継承しません。ショートカットは SQL 分析エンドポイントのテーブルとして機能しますが、統合されたセキュリティ体制を維持するために、標準的な SQL 所有権から意図的に逸脱します。
継承なし規則: 派生 SQL オブジェクト (ビュー、ストアド プロシージャ、または関数) は、オブジェクト所有者からアクセス許可を継承しません。
ランタイム検証: 実行時に呼び出し元の ID に対してアクセス許可が検証され、SQL の抽象化が OneLake レベルのポリシーを回避できないようにします。
コントロールプレーン依存性と効果的なアイデンティティ評価:ユーザーはSQL分析エンドポイントに接続する前に、必要なFabricアーティファクト権限を保持する必要があります。 データ認証は、サインイン済みユーザーと、ユーザーがサポートされるMicrosoft Entraグループへの実質的なメンバーシップを、ソースのOneLakeセキュリティポリシーと比較して評価します。
アクセス許可の評価動作: アクセス許可の評価は、現在の適用モデルに基づいてテーブルの種類によって異なります。
ショートカット テーブル: 必要な承認条件が満たされていない場合、アクセスが拒否される場合があります。 これは制限的な適用結果であり、OneLake セキュリティのロールベースの DENY 機能ではありません。
一般的なルール: 適用がアクセスを明確に検証できない場合、システムは最も制限の厳しい結果を適用します。
カラムレベルのセキュリティ(CLS)設計:CLSは厳格な許可リストのカラムを維持します。
許可されている列の名前を変更または削除すると、セキュリティ規則が無効になります。 ルールはシステム内で保持されますが、元の列の名前付けが復元されるまで、リソースへのすべてのアクセスを拒否して非アクティブなままになります。
同期保護: ポリシーが無効な場合、OneLake セキュリティ パネルでルールが修正されるまで、メタデータ同期は設計によってブロックされます。
スキーマ検証: セキュリティ ポリシーを更新せずに列の名前を変更すると、構成が同期されるまで列が "存在しない" ことを示す UI エラーがトリガーされます。
Note
SQL 分析エンドポイントでは、OneLake セキュリティがデータ アクセスに適用されますが、スキーマ メタデータは引き続き SQL エンジンの動作に従います。 ユーザーはカラムレベルのセキュリティでその列を読むことができなくても、オブジェクト エクスプローラーや
sys.columnsの列を見ることがあります。 この動作は想定され、仕様によって行われます。ロールの伝達と同期 (SLA):
OneLake セキュリティ同期: OneLake セキュリティ ロールがユーザー ID モードで変更された場合、更新はすぐには行われません。 通常は高速ですが、SQL 分析エンドポイントとの同期には最大 5 分 かかることがあります。
自動プレフィックス: OneLake セキュリティ ロールは、
OLS_プレフィックスを使用して SQL 分析エンドポイントに伝達されます。同期の優先順位: セキュリティ同期プロセスでは、
OLS_ロールの状態が定期的に更新されます。 これらのロールに対する手動の変更はサポートされておらず、次の同期サイクル中に上書きされます。 同期する変更がない場合、セキュリティ同期は手動の変更をオーバーライドしません。
ウェアハウスSQLセキュリティとショートカット:行レベルのセキュリティ(RLS)、カラムレベルのセキュリティ(CLS)、オブジェクトレベルのセキュリティ(OLS)など、ウェアハウス内のSQL構造を用いて定義されたセキュリティポリシーは、ウェアハウスのSQL実行コンテキスト内(TDSエンドポイント)でのみ強制されます。
Important
OneLakeのショートカットを通じてウェアハウスからデータにアクセスする場合、これらのSQLセキュリティセマンティクスはOneLakeのセキュリティポリシーに変換されません。 その結果、ショートカットを通じてデータにアクセスするユーザーは、プロデューサーウェアハウスで設定されたSQLセキュリティポリシーに関わらず、完全なウェアハウスデータを見ることがあります。
制限事項
閲覧者にのみ適用: OneLake セキュリティは、主に ビューアー レベルのワークスペースまたはアイテム アクセスを介してデータにアクセスするユーザーに適用されます。 管理者、メンバー、共同作成者などのより広範なワークスペース ロールを持つユーザーは、昇格されたアクセス権を保持し、OneLake セキュリティ適用の主なターゲットではありません。
例外:
ショートカット拒否動作: ショートカットベースのテーブルの場合、特定のケースでは、適用によって管理者、メンバー、または共同作成者へのアクセスを拒否できます。
セキュリティ同期の失敗の場合: セキュリティ同期が特定のテーブルまたはロールに対してセキュリティを正しく適用できない場合、影響を受けるロールのメンバーである管理者、メンバー、または共同作成者ロールのユーザーもアクセスが制限される可能性があります。
ユーザー識別モードでのRLS:ユーザー識別モードで行レベルのセキュリティ(RLS)を設定すると、管理者、メンバー、貢献者の役割を含むすべてのユーザーに定義されたセキュリティルールが適用されます。
オブジェクト メタデータでのスキーマの可視性: SQL 分析エンドポイントは、ユーザーのテーブル レベルのアクセス許可に関係なく、オブジェクト メタデータ 内のすべてのスキーマ名 を常に返します。 ユーザーがアクセス許可を持たないテーブルは除外され、一覧に表示されません。
- その結果、オブジェクト エクスプローラーまたは
INFORMATION_SCHEMA/sysカタログ クエリに表示されるテーブルを含まないスキーマがユーザーに表示される場合があります。
- その結果、オブジェクト エクスプローラーまたは
セキュリティ同期依存性:ユーザーアイデンティティモードでは、セキュリティ同期プロセスがOneLakeのセキュリティロールをSQL分析エンドポイントに同期させます。 同期が完了するまで、SQLは他のアイテムのショートカットテーブルを含むすべてのテーブルに対して既存のSQL権限状態を用いて一時的にアクセスを評価することがあります。 同期が完了すると、SQL分析エンドポイントはOneLakeのセキュリティ構成を反映します。
ショートカットベースのテーブルの所有権の変更: ショートカットベースのテーブルは SQL 分析エンドポイントの SQL オブジェクトとして表されるため、標準の SQL 所有権操作がサポートされます。
ALTER AUTHORIZATIONなどの管理コマンドは、ショートカット を使用したテーブルの所有者を変更できます。 特定のシナリオでは、OneLake セキュリティ ポリシーをバイパスし、基になるデータへの意図しないアクセスを許可する所有権チェーン動作が許可される場合があります。 追加の強制メカニズムが導入されるまで、管理者はショートカット を使用したテーブルの所有権の変更を避ける必要があります。ターゲット検証のダウンタイム: ショートカット ターゲットが変更されると (名前の変更や URL の更新など)、システムが新しいターゲットを検証している間、データベースは一時的に シングル ユーザー モード になります。 この期間中、クエリはブロックされます。 通常、これらの操作は高速ですが、内部プロセスによっては、同期に最大 5 分かかることがあります。
- スキーマ ショートカットを作成すると、検証に影響する既知のエラーが発生し、メタデータの同期が遅れる可能性があります。
委任モード トークン キャッシュ: 委任モードでは、SQL 分析エンドポイントは、所有者 ID に代わって OneLake からデータを取得するために使用されるストレージ アクセス トークンをキャッシュします。 所有者のアクセス許可が変更された場合、以前に発行されたトークンは有効期限が切れるまで有効なままになることがあります。 その結果、所有者 ID に関連付けられているアクセス変更はすぐには有効にならない可能性があり、トークンの有効期限 (通常は最大 30 ~ 60 分) まで保持できます。
OneLake セキュリティ GRANT/DENY ポリシーへの変更は直ちに適用され、ストレージ トークンのキャッシュによって遅延されません。
アクティブなクエリの取り消し: データの整合性とセキュリティを維持するために、実行中にショートカット構成が変更された場合、アクティブなクエリが自動的に取り消されることがあります。
行レベルのセキュリティ(RLS)制約:
単一式テーブルのみがサポートされています。 動的 RLS と複数テーブル RLS は使用できません。
フィルター式で使用される列を削除すると、OneLake セキュリティ パネルで RLS が修正されるまでメタデータの同期がストールします。
ロールの複雑さとメタデータの同期: セキュリティ ロールの複雑さが高い (特に RLS を使用する多数の交差と共用体セマンティクスを含む) と、セキュリティ同期が失敗する可能性があります。 セキュリティ同期に失敗すると、セキュリティ ポリシーが適用されず、メタデータを同期する機能がブロックされます。
スキーマとロールの制約:
名前の変更: OneLake セキュリティ ロールはテーブル名に関連付けられています。 テーブルの名前を変更すると関連付けが解除され、ポリシーは自動的に移行されません。 これにより、ポリシーが再適用されるまで、意図しないデータの公開が発生する可能性があります。
文字制限: OneLake セキュリティ ロール名は 124 文字を超えることはできません。それ以外の場合、SQL 分析エンドポイントでロールの作成または同期が失敗します。
OLS_ロールの変更:OLS_ロールのユーザー変更はサポートされていないため、予期しない動作が発生する可能性があります。
サポートされていない ID: メールが有効なセキュリティ グループと配布リストは現在サポートされていません。
Lakehouse の所有者の要件:
- lakehouse の所有者は、管理者、メンバー、または共同作成者ワークスペース ロールのメンバーである必要があります。それ以外の場合、セキュリティは SQL 分析エンドポイントに適用されません。