Microsoft Purview データ マップでのソース認証の資格情報

重要

Microsoft Purview 統合カタログと従来の Microsoft Purview データ ガバナンス機能 (旧称 Azure Purview) は廃止されます。 Microsoft は、Microsoft Fabric のデータ ガバナンス機能を統合しています。 新しいアカウントは作成できなくなり、既存の機能は 2027 年 11 月 12 日までメンテナンス モードのままになります。 廃止のタイムライン、移行ガイダンス、推奨される次の手順については、 Microsoft Purview データ ガバナンスの廃止のお知らせを参照してください。

この記事では、Microsoft Purview データ マップで資格情報を作成する方法について説明します。 これらの保存された資格情報を使用すると、保存された認証情報を迅速に再利用し、データ ソース スキャンに適用できます。

前提条件

• Microsoft Azure Key Vault。 作成方法については、「クイック スタート: Azure portal を使用してキー コンテナーを作成する」を参照してください。

概要

資格情報は、Microsoft Purview が登録済みのデータ ソースに対する認証に使用できる認証情報です。 資格情報オブジェクトは、ユーザー名/パスワードを必要とする基本認証など、さまざまな種類の認証シナリオ用に作成できます。 資格情報は、選択した認証方法の種類に基づいて、認証に必要な特定の情報をキャプチャします。 資格情報では、資格情報の作成プロセス中に機密性の高い認証情報を取得するために、既存の Key Vault シークレットが使用されます。

Microsoft Purview には、データ ソースをスキャンするための認証方法として、次のオプションなど、いくつかのオプションがあります。 サポートされている認証については、各 データ ソースの記事 を参照してください。

• Microsoft Purview システム割り当てマネージド ID
• ユーザー割り当てマネージド ID (プレビュー)
• アカウント キー (Key Vault の使用)
• SQL 認証 (Key Vault を使用)
• サービス プリンシパル (Key Vault を使用)
• コンシューマー キー (Key Vault を使用)
• その他

資格情報を作成する前に、データ ソースの種類とネットワーク要件を考慮して、シナリオに必要な認証方法を決定してください。

Microsoft Purview システム割り当てマネージド ID を使用してスキャンを設定する

Microsoft Purview システム割り当てマネージド ID (SAMI) を使用してスキャンを設定している場合は、資格情報を作成し、キー コンテナーを Microsoft Purview にリンクして保存する必要はありません。 Microsoft Purview SAMI を追加してデータ ソースをスキャンするためのアクセス許可を与える詳細な手順については、以下のデータ ソース固有の認証に関するセクションを参照してください。

• Azure Blob ストレージ
• Azure Data Lake Storage Gen1
• Azure Data Lake Storage Gen2
• Azure SQL データベース
• Azure SQL Managed Instance
• Azure Synapse ワークスペース
• Azure Synapse 専用 SQL プール (旧称 SQL DW)

Microsoft Purview にAzure Key Vaultへのアクセス権を付与する

Microsoft Purview にAzure Key Vaultへのアクセス権を付与するには、次の 2 つの点を確認する必要があります。

• Azure Key Vaultへのファイアウォール アクセス
• Azure Key Vault に対する Microsoft Purview のアクセス許可

Azure Key Vaultへのファイアウォール アクセス

Azure Key Vaultでパブリック ネットワーク アクセスが無効になっている場合、Microsoft Purview へのアクセスを許可するには 2 つのオプションがあります。

• 信頼できる Microsoft サービス
• プライベート エンドポイント接続

信頼できる Microsoft サービス

Microsoft Purview は Azure Key Vault の信頼できるサービスの 1 つとして一覧表示されているため、Azure Key Vaultでパブリック ネットワーク アクセスが無効になっている場合は、信頼できる Microsoft サービスにのみアクセスを有効にすることができ、Microsoft Purview が含まれます。

この設定は、Azure Key Vaultの [ネットワーク] タブで有効にできます。

ページの下部にある [例外] で、[ 信頼された Microsoft サービスがこのファイアウォール機能をバイパスすることを許可する ] を有効にします。

プライベート エンドポイント接続

プライベート エンドポイントを使用して Azure Key Vault に接続するには、Azure Key Vault のプライベート エンドポイントのドキュメントを参照してください。

注:

プライベート エンドポイント接続オプションは、マネージド仮想ネットワークで Azure Integration Runtime を使用してデータ ソースをスキャンする場合にサポートされています。 セルフホステッド統合ランタイムの場合は、 信頼できる Microsoft サービスを有効にする必要があります。

Azure Key Vault に対する Microsoft Purview のアクセス許可

現在、Azure Key Vault では、次の 2 つのアクセス許可モデルがサポートされています。

• オプション 1 - アクセス ポリシー
• オプション 2 - Role-based Access Control

Microsoft Purview システム割り当てマネージド ID (SAMI) へのアクセス権を割り当てる前に、まずメニューの Key Vault リソース アクセス ポリシーからAzure Key Vaultアクセス許可モデルを特定します。 関連するアクセス許可モデルに基づいて、次の手順に従います。

オプション 1 - Key Vault アクセス ポリシーを使用してアクセス権を割り当てる

Azure Key Vault リソースのアクセス許可モデルが [ボールト アクセス ポリシー] に設定されている場合にのみ、次の手順を実行します。

1. Azure Key Vault に移動します。

2. [ アクセス ポリシー ] ページを選択します。

3. [ アクセス ポリシーの追加] を選択します。

   

4. [ シークレットのアクセス許可 ] ドロップダウンで、[ アクセス許可の取得 と 一覧表示 ] を選択します。

5. [ プリンシパルの選択] で、Microsoft Purview システム マネージド ID を選択します。 Microsoft Purview SAMI は、Microsoft Purview インスタンス名 または マネージド ID アプリケーション ID のいずれかを使用して検索できます。 現在、複合 ID (マネージド ID 名 + アプリケーション ID) はサポートされていません。

   

6. [追加] を選択します。

7. [ 保存] を選択して、アクセス ポリシーを保存します。

   

オプション 2 - Key Vault Azure ロールベースのアクセス制御を使用してアクセス権を割り当てる

Azure Key Vault リソースのアクセス許可モデルが [Azure ロールベースのアクセス制御] に設定されている場合にのみ、次の手順を実行します。

1. Azure Key Vault に移動します。

2. 左側のナビゲーション メニューから [Access Control (IAM)] を選択します。

3. [+ 追加] を選択します。

4. ロールを[Key Vault シークレット ユーザー] に設定し、[入力ボックスの選択] に Microsoft Purview アカウント名を入力します。 次に、[保存] を選択して、このロールの割り当てを Microsoft Purview アカウントに付与します。

   

Microsoft Purview アカウントに Azure Key Vault 接続を作成する

資格情報を作成する前に、まず 1 つ以上の既存の Azure Key Vault インスタンスを Microsoft Purview アカウントに関連付けます。

1. 従来の Microsoft Purview ポータルを使用している場合は、スタジオ内の管理センターに移動し、[資格情報] に移動します。 新しい Microsoft Purview ポータルを使用している場合は、[ データ マップ] を開き、[ ソース管理]、[ 資格情報] の順に選択します。

2. [資格情報] ページで、[Key Vault 接続の管理] を選択します。

   

3. [Manage Key Vault connections] (Key Vault 接続の管理) ページで [+ 新規] を選択します。

4. 必要な情報を指定してから、[ 作成] を選択します。

5. 次の例に示すように、Key Vault が Microsoft Purview アカウントに正常に関連付けられていることを確認します。

   

新しい資格情報を作成する

Microsoft Purview では、次の種類の資格情報がサポートされています。

• 基本認証: キー コンテナーにシークレットとして パスワード を追加します。
• サービス プリンシパル: サービス プリンシパル キー をシークレットとしてキー コンテナーに追加します。
• SQL 認証: キー コンテナーにシークレットとして パスワード を追加します。
• Windows 認証: キー コンテナーにシークレットとしてパスワードを追加します。
• アカウント キー: アカウント キー をキー コンテナーにシークレットとして追加します。
• ロール ARN: Amazon S3 データソースの場合は、AWS に ロール ARN を追加します。
• コンシューマー キー: Salesforce データ ソースの場合は、キー コンテナーに パスワード と コンシューマー シークレット を追加できます。
• ユーザー割り当てマネージド ID (プレビュー): ユーザー割り当てマネージド ID 資格情報を追加できます。 詳細については、以下の 「ユーザー割り当てマネージド ID の作成」セクション を参照してください。

詳細については、「シークレットを Key Vault に追加する」と「Microsoft Purview の新しい AWS ロールを作成する」を参照してください。

キー コンテナーにシークレットを格納したら、次の手順を実行します。

1. Azure サブスクリプション レベルでユーザーに「閲覧者アクセス」を付与します。

2. Microsoft Purview で、[資格情報] ページに移動します。

3. [ + 新規] を選択して、新しい資格情報を作成します。

4. 必要な情報を入力します。 認証方法と、シークレットを選択する Key Vault 接続を選択します。

5. すべての詳細を入力したら、[ 作成] を選択します。

6. 新しい資格情報がリスト ビューに表示され、使用する準備ができていることを確認します。

   

キー コンテナー接続の管理

1. 検索ボックスに名前を入力して、Key Vault 接続を検索します。

2. Key Vault の名前の横にあるチェック ボックスをオンにしてから [削除] を選択して、1 つ以上の Key Vault 接続を削除します。

資格情報の管理

1. 名前で資格情報を検索する.

2. 既存の資格情報を選択して更新します。

3. 1 つ以上の資格情報を削除します。

ユーザーが割り当てた管理対象 ID

ユーザー割り当てマネージド ID (UAMI) を使用すると、Azure リソースは、資格情報を管理することなく、Microsoft Entra 認証を使用して他のリソースと直接認証できます。 これらを使用すると、システム割り当てマネージド ID、Microsoft Entra ユーザー、Microsoft Entra グループ、またはサービス プリンシパルの場合と同様に、認証してアクセスを割り当てることができます。 ユーザー割り当てマネージド ID は、(既存のリソースに接続されるのではなく) 独自のリソースとして作成されます。 マネージド ID の詳細については、Azure リソースのマネージド ID のドキュメントを参照してください。

次の手順では、Microsoft Purview で使用する UAMI を作成する方法について説明します。

UAMI でサポートされているデータ ソース

• Azure Data Lake Gen 1
• Azure Data Lake Gen 2
• Azure SQL データベース
• Azure SQL Managed Instance
• Azure SQL 専用 SQL プール
• Azure Blob ストレージ

ユーザーが割り当てた管理対象 ID

1. Azure portal で、Microsoft Purview アカウントに移動します。

2. 左側のメニューの [マネージド ID ] セクションで、[ + 追加 ] ボタンを選択して、ユーザー割り当てマネージド ID を追加します。

   

3. セットアップが完了したら、Azure portal で Microsoft Purview アカウントに戻ります。 マネージド ID が正常にデプロイされると、Microsoft Purview アカウントの状態が [成功] と表示されます。

   

4. マネージド ID が正常にデプロイされたら、[Microsoft Purview ガバナンス ポータルを開く] を選択して、従来の Microsoft Purview ガバナンス ポータルに移動します。

5. 従来の Microsoft Purview ガバナンス ポータルで、スタジオの Management Center に移動し、[資格情報] セクションに移動します。

6. [ +新規] を選択して、ユーザー割り当てマネージド ID を作成します。

7. [ 認証方法] ドロップダウン リストから [マネージド ID 認証方法] を選択し、[ ユーザー割り当てマネージド ID] ドロップダウン リストから選択します。

   注:

   ユーザー割り当てマネージド ID の作成中にポータルが開いていた場合は、Microsoft Purview ポータルを更新して、Azure portal で完了した設定を読み込む必要があります。

8. すべての情報を入力したら、[ 作成] を選択します。

ユーザー割り当てマネージド ID の削除

1. Azure portal で、Microsoft Purview アカウントに移動します。

2. 左側のメニューの [ マネージド ID ] セクションで、削除する ID を選択します。

3. [ 削除] ボタンを選択します。

4. マネージド ID が正常に削除されたら、[Microsoft Purview ガバナンス ポータルを開く] を選択して、従来の Microsoft Purview ガバナンス ポータルに移動します。

5. スタジオの Management Center に移動し、[資格情報] セクションに移動します。

6. 削除する ID を選択し、[ 削除] ボタンを選択します。

注:

Azure portal でユーザー割り当てマネージド ID を削除した場合は、元の ID を削除し、Microsoft Purview ポータルで新しい ID を作成する必要があります。

次の手順

スキャン ルール セットを作成します。