この記事では、運用環境のデプロイでMicrosoft Purview データ マップを使用するデータ ガバナンス管理者向けのバックアップと回復のガイダンスを提供します。 これは、手動のビジネス継続性とディザスター リカバリー (BCDR) メソッドについて説明します。 開始する前に、この記事で最初に説明した前提条件を確認してください。 統合カタログの BCDR の詳細な手順については、「統合カタログのディザスター リカバリー (手動)」を参照してください。
前提条件
手順 1. エンタープライズ層アカウントを作成する
Enterprise レベルでPurview データ ガバナンス アカウントを作成します。 これは、完全なガバナンス機能を備えた プライマリ アカウント として機能します。
手順 2. セカンダリ リージョンでクラシック Purview プロビジョニングを要求する
BCDR を目的とした セカンダリ (ペア) リージョン でのクラシック Purview アカウント プロビジョニングの有効化を要求するカスタマー サポート チャネルを通じてサポート チケットを作成します。 このリージョンは、プライマリ リージョンと同じにしないでください。
手順 3. クラシック Purview アカウントを作成する
セカンダリ リージョンでクラシック プロビジョニングが有効になった後、 クラシック Purview アカウントを作成します。 このアカウントは、機能が制限された セカンダリ (バックアップ) アカウント として機能します。
注:
最初の 3 つの手順は、Data Map と 統合カタログ BCDR の両方に共通です。
手順 4. MSI ID を書き留める
プライマリ アカウントのマネージド ID オブジェクト ID (ID A) とセカンダリ アカウントのマネージド ID オブジェクト ID (ID B) をCaptureします。
手順 5. DR の準備Key Vault確認する
セカンダリリージョンのキー コンテナーが同じシークレット名を保持しているか、キー コンテナーがペアになっているセカンダリ リージョンとの geo 回復性を持っていることを確認します。
手順 6. データ ソース DR の準備状況を確認する
Microsoft Purview で登録およびスキャンされる各データ ソースに、セカンダリ リージョンまたはその近くに到達可能なコピーを提供するソース側 DR (geo レプリケーション/RA-GRS、SQL フェールオーバー グループなど) があることを確認します。
セカンダリ アカウントとネットワークを設定する
プライマリ アカウントをミラーするようにセカンダリ アカウントを設定し、ネットワークを構成します。
- プライマリ アカウント (同じ名前) と一致するように、セカンダリ アカウントのコレクション階層を再作成します。
- セカンダリ アカウント コレクション (コレクション 管理、データ ソース 管理、データ キュレーター、データ 閲覧者) のロールベースのアクセス制御 (RBAC) ロールをプライマリ アカウントと同じプリンシパルに割り当てます。
- プライマリ アカウントに一致するセカンダリ アカウント (マネージド仮想ネットワーク (VNet) IR、Azure IR、またはその両方) に統合ランタイム (IR) を作成します。 統合ランタイムが存在し、 実行中であることを確認します。
- セルフホステッド統合ランタイム (SHIR) が使用されている場合は、新しい SHIR ノードをインストールし、セカンダリ アカウントの認証キーを使用してセカンダリ アカウントに登録します。
- セカンダリ リージョンでマネージド仮想ネットワークとマネージド プライベート エンドポイントを再作成します。
- ターゲット リソース側で各マネージド プライベート エンドポイントを承認します。
- セカンダリ アカウントのプライベート エンドポイント (アカウント/ポータル/インジェスト) とプライベート DNS レコードを作成します。
データ ソースで ID とアクセスを構成する
セカンダリ アカウントの ID に、プライマリ アカウントの ID が持つ各データ ソースに対して同じアクセス権を付与します。
- 各データ ソースに対して、Identity B に、ID A が持つのと同じデータ プレーン ロール (たとえば、ストレージ BLOB データ 閲覧者、SQL
db_datareaderなど) を付与します。 - セカンダリ アカウントの統合ランタイムまたはアカウント (IP 範囲、サービス エンドポイント、プライベート エンドポイント、 信頼できる Microsoft サービスを許可する) のデータ ソース ファイアウォールとネットワーク規則を開きます。 このアクセスは、セカンダリ アカウントがネットワーク経由でソースに到達するために必要です。
- セカンダリ アカウントにキー コンテナー接続を登録し、Id B にキー コンテナーに対するシークレットの取得/一覧表示アクセス許可を付与します。 同じシークレット名を保持する DR 対応またはセカンダリリージョンのキー コンテナーを使用します。
セカンダリ アカウントへのスキャン構成のミラー化
セカンダリ アカウントでプライマリ アカウントのスキャン構成をレプリケートします。
- 一致するコレクションの下のセカンダリ アカウントに同じデータ ソースを登録します。
- セカンダリ アカウントに同じ資格情報を作成します (セカンダリ アカウントのキー コンテナー接続と同じシークレット名を参照)。
- セカンダリ アカウント (同じ名前) でカスタム分類規則を再作成します。
- プライマリ アカウントと一致するセカンダリ アカウント (システムとカスタム) でスキャン ルール セットを再作成します。
- スコープの選択、ルールセット、統合ランタイム バインドが一致するセカンダリ アカウントで同じスキャンを作成します。
- セカンダリ アカウントで同じトリガーとスケジュールを作成します。
定期的に検証する
安定した状態で、プライマリ アカウントとセカンダリ アカウントに対して次をチェックします。
- セカンダリ アカウントで手動でトリガーまたはスケジュールされたスキャンの場合は、各スキャンが 成功 状態 ( 失敗 または エラーで完了していない) に達していることを確認します。
- 同じソースのスキャンが完了した後、プライマリ アカウントとセカンダリ アカウントの間で検出された資産数を比較します。 カウントと資産修飾名は、互いの 1 つのスキャン間隔内で一致する必要があります。
- プライマリ アカウントとセカンダリ アカウントの同じ資産に対してルールセットによって適用されるスポットチェック分類。 セカンダリ アカウントには、同じ分類が存在する必要があります。
- 代表的な表形式資産のスキーマ パリティを確認します。 列名と型は一致する必要があります。
ディザスター リカバリー イベント中のフェールオーバー
ディザスター リカバリー イベントが発生した場合は、次のアクションを要求するサポート チケットを作成します。
- セカンダリ (クラシック) アカウントを Enterprise レベルに昇格します。
- プライマリ (エンタープライズ) アカウントを セカンダリに降格します。
サポート チケットのプライマリ アカウントとセカンダリ アカウントの両方のテナント ID、アカウント名、リージョンを共有します。
フェールオーバーが完了し、以前のセカンダリ アカウントが完全な Enterprise 機能を備えた新しいプライマリになります。
一般的なエラーを解決する
| 現象 | 最も可能性の高い原因 | 修正プログラム |
|---|---|---|
| 認証時にセカンダリ アカウント スキャンが失敗する | データ ソースに ID B が付与されない | ID B にデータ プレーン ロールを付与します。 |
| セカンダリ アカウント スキャンがネットワークまたはタイムアウト エラーで失敗する | セカンダリ アカウントに対してデータ ソース ファイアウォールが開かないか、マネージド プライベート エンドポイントが承認されていない | ファイアウォールを開くか、マネージド プライベート エンドポイントを承認します。 |
| セカンダリ アカウントで資格情報 テスト接続 が失敗する | キー コンテナーの接続が見つからないか、ID B にシークレット アクセスがありません | キー コンテナー接続を登録し、シークレットの取得/一覧アクセス許可を付与します。 |
| プライマリ アカウントに存在するが、セカンダリ アカウントに存在しない資産 | 構成ドリフト - ソースまたはスキャンがミラー化されていない | 構成をミラー化し、調整を実行します。 |
| セカンダリ アカウントを作成できません | テナントごとの単一インスタンス、またはクラシック プロビジョニングが有効になっていない | サポート チケットを発行します。 |