Microsoft Purview で Azure SQL Managed Instance に接続して管理する

重要

Microsoft Purview 統合カタログと従来の Microsoft Purview データ ガバナンス機能 (旧称 Azure Purview) は廃止されます。 Microsoft は、Microsoft Fabric のデータ ガバナンス機能を統合しています。 新しいアカウントは作成できなくなり、既存の機能は 2027 年 11 月 12 日までメンテナンス モードのままになります。 廃止のタイムライン、移行ガイダンス、推奨される次の手順については、 Microsoft Purview データ ガバナンスの廃止のお知らせを参照してください。

この記事では、Azure SQL Managed Instance を登録する方法と、Microsoft Purview で Azure SQL Managed Instance を認証して操作する方法について説明します。 Microsoft Purview の詳細については、 概要の記事を参照してください。

サポートされている機能

スキャン機能

メタデータ抽出 フル スキャン 増分スキャン スコープ付きスキャン
○ ○ ○ はい

その他の機能

分類、秘密度ラベル、ポリシー、データ系列、ライブ ビューについては、サポートされている機能の一覧を参照してください。

前提条件

登録

このセクションでは、 Microsoft Purview ガバナンス ポータルを使用して、Microsoft Purview に Azure SQL Managed Instance を登録する方法について説明します。

登録の認証

新しい認証を作成する必要がある場合は、 SQL Database SQL Managed Instance へのデータベース アクセスを承認する必要があります。 現在、Microsoft Purview でサポートされている認証方法には次の 3 つがあります。

登録するシステムまたはユーザー割り当てマネージド ID

注:

プライベート エンドポイントを使用して Microsoft Purview に接続している場合、マネージド ID はサポートされていません。

認証には、Microsoft Purview システム割り当てマネージド ID (SAMI) または ユーザー割り当てマネージド ID (UAMI) のいずれかを使用できます。 どちらのオプションでも、他のユーザー、グループ、サービス プリンシパルの場合と同様に、認証を Microsoft Purview に直接割り当てることができます。 Microsoft Purview システム割り当てマネージド ID は、アカウントが作成されると自動的に作成され、Microsoft Purview アカウントと同じ名前になります。 ユーザー割り当てマネージド ID は、個別に作成できるリソースです。 作成するには、 ユーザー割り当てマネージド ID ガイドに従います。

マネージド ID オブジェクト ID は、次の手順に従って Azure portal で確認できます。

Microsoft Purview アカウントのシステム割り当てマネージド ID の場合:

  1. Azure portal を開き、Microsoft Purview アカウントに移動します。
  2. 左側のメニューの [プロパティ] タブを選択します。
  3. マネージド ID オブジェクト ID の値を選択し、コピーします。

ユーザー割り当てマネージド ID の場合 (プレビュー):

  1. Azure portal を開き、Microsoft Purview アカウントに移動します。
  2. 左側のメニューの [マネージド ID] タブを選択します
  3. ユーザー割り当てマネージド ID を選択し、目的の ID を選択して詳細を表示します。
  4. オブジェクト (プリンシパル) ID は、「概要の基本」セクションに表示されます。

どちらのマネージド ID にも、データベース、スキーマ、テーブルのメタデータを取得し、テーブルをクエリして分類するためのアクセス許可が必要です。

登録するサービス プリンシパル

Microsoft Purview でサービス プリンシパルを使用して Azure SQL Managed Instance をスキャンできるようにするには、いくつかの手順があります。

既存のサービス プリンシパルを作成または使用する

サービス プリンシパルを使用するには、既存のサービス プリンシパルを使用するか、新しいサービス プリンシパルを作成します。 既存のサービス プリンシパルを使用する場合は、次の手順に進みます。 新しいサービス プリンシパルを作成する必要がある場合は、次の手順に従います。

  1. Azure Portal に移動します。
  2. 左側のメニューから [Microsoft Entra ID ] を選択します。
  3. [アプリの登録] を選択します。
  4. [ + 新しいアプリケーション登録] を選択します。
  5. アプリケーションの名前 (サービス プリンシパル名) を入力します。
  6. [この組織ディレクトリ内のアカウント] のみを選択します。
  7. [リダイレクト URI] で [Web ] を選択し、必要な URL を入力します。それは本物である必要も、機能していなくてもかまいません。
  8. その後、[登録] を選択します。

データベース アカウントで Microsoft Entra 認証を構成する

サービス プリンシパルには、データベース、スキーマ、およびテーブルのメタデータを取得するためのアクセス許可が必要です。 また、分類のためにサンプリングするテーブルに対してクエリを実行できる必要もあります。

キー コンテナーと Microsoft Purview の資格情報にサービス プリンシパルを追加する

サービス プリンシパルのアプリケーション ID とシークレットを取得する必要があります。

  1. Azure portal でサービス プリンシパルに移動します
  2. [概要] から [アプリケーション (クライアント) ID] の値を、 [証明書] から [クライアント シークレット] & 値をコピーします。
  3. キー コンテナーに移動する
  4. [設定] > [シークレット] を選択します
  5. [+ 生成/インポート] を選択し、サービス プリンシパルのクライアント シークレットとして選択した名前と値を入力します
  6. [ 作成] を選択して完了
  7. キー コンテナーがまだ Microsoft Purview に接続されていない場合は、新しいキー コンテナー接続を作成する必要があります
  8. 最後に、サービス プリンシパルを使用して 新しい資格情報を作成し 、スキャンをセットアップします。

登録する SQL 認証

注:

新しいログインを作成できるのは、(プロビジョニング プロセスによって作成された) サーバー レベルのプリンシパル ログインか、マスター データベース内の loginmanager データベース ロールのメンバーのみです。 アクセス許可を付与してから約 15 分 かかります。Microsoft Purview アカウントには、リソースをスキャンできる適切なアクセス許可が必要です。

このログインが利用できない場合は、「 ログインの作成 」の指示に従って、Azure SQL Managed Instance のログインを作成できます。 次の手順では、 ユーザー名 と パスワード が必要です。

  1. Azure portal でキー コンテナーに移動する
  2. [設定] > [シークレット] を選択します
  3. [+ 生成/インポート] を選択し、Azure SQL Managed Instance からのパスワードとして名前と値を入力します
  4. [ 作成] を選択して完了
  5. キー コンテナーがまだ Microsoft Purview に接続されていない場合は、新しいキー コンテナー接続を作成する必要があります
  6. 最後に、ユーザー名とパスワードを使用して新しい資格情報を作成し、スキャンを設定します。

登録の手順

  1. 次の方法で Microsoft Purview ガバナンス ポータルを開きます:

  2. データ マップに移動します。

  3. [登録] を選択する

  4. [Azure SQL Managed Instance]、[続行] の順に選択します。

  5. [ Azure サブスクリプションから] を選択し、[ Azure サブスクリプション ] ドロップダウン ボックスから適切なサブスクリプションを選択し、[ サーバー名 ] ドロップダウン ボックスから適切なサーバーを選択します。

  6. パブリック エンドポイントの完全修飾ドメイン名とポート番号を指定します。 次に 、[登録] を選択してデータ ソースを登録します。

    [名前]、[サブスクリプション]、[サーバー名]、および [エンドポイント] が入力された [ソースの登録] 画面のスクリーンショット。

    次に例を示します。 foobar.public.123.database.windows.net,3342

スキャン

次の手順に従って Azure SQL Managed Instance をスキャンし、資産を自動的に識別してデータを分類します。 スキャン全般の詳細については、 スキャンと取り込みの概要を参照してください。

スキャンを作成して実行する

新しいスキャンを作成して実行するには、次の手順を実行します。

  1. Microsoft Purview ガバナンス ポータルの左側のウィンドウで [ データ マップ ] タブを選択します。

  2. 登録した Azure SQL Managed Instance ソースを選択します。

  3. [新しいスキャン] を選択する

  4. ソースがパブリックにアクセスできる場合は Azure Integration Runtime、マネージド 仮想ネットワークを使用している場合はマネージド仮想ネットワーク統合ランタイム 、ソースがプライベート仮想ネットワーク内にある場合は標準または Kubernetes がサポートするセルフホステッド Integration Runtime のいずれかを選択します。 使用する統合ランタイムの詳細については、 適切な統合ランタイム構成を選択するに関する記事を参照してください。

  5. 資格情報を選択して、データ ソースに接続します。

    資格情報として Purview MSI が選択されていますが、サービス プリンシパルまたは SQL 認証も使用できる新しいスキャン ウィンドウのスクリーンショット。

  6. 一覧から適切なアイテムを選択して、スキャンの範囲を特定のテーブルにすることができます。

    スキャン対象として選択されているテーブルのサブセットを含む、スキャン ウィンドウの範囲のスクリーンショット。

  7. 次に、スキャン ルール セットを選択します。 システムのデフォルトまたは既存のカスタムルールセットから選択するか、新しいルールセットをインラインで作成することができます。

    システム既定のスキャン ルール セットが選択されたスキャン ルール セット ウィンドウのスクリーンショット。

  8. スキャン トリガーを選択します。 スケジュールを設定するか、スキャンを 1 回実行できます。

    [繰り返し] タブが選択されている、スキャン トリガーの設定ウィンドウのスクリーンショット。

  9. スキャンを確認し、[ 保存して実行] を選択します。

データ ソースへの接続またはスキャンの実行に問題がある場合は、 スキャンと接続に関するトラブルシューティング ガイドを参照してください。

スキャンとスキャンの実行を表示する

既存のスキャンを表示するには:

  1. Microsoft Purview ポータルに移動します。 左側のウィンドウで、 データ マップ を選択します。
  2. データ ソースを選択します。 そのデータソースの既存のスキャンのリストを[ 最近のスキャン]で表示するか、[ スキャン] タブですべてのスキャンを表示できます。
  3. 表示する結果があるスキャンを選択します。 ウィンドウには、以前のすべてのスキャン実行と、各スキャン実行の状態とメトリックが表示されます。
  4. 実行 ID を選択して 、スキャン実行の詳細を確認します。

スキャンを管理する

スキャンを編集、キャンセル、または削除するには:

  1. Microsoft Purview ポータルに移動します。 左側のウィンドウで、[ データ マップ] を選択します。

  2. データ ソースを選択します。 そのデータソースの既存のスキャンのリストを[ 最近のスキャン]で表示するか、[ スキャン] タブですべてのスキャンを表示できます。

  3. 管理するスキャンを選択します。 次のことを実行できます。

    • [ スキャンの編集] を選択してスキャンを編集します。
    • [ スキャンの実行のキャンセル] を選択して、進行中のスキャンを取り消します。
    • [ スキャンの削除] を選択してスキャンを削除します。

注:

  • スキャンを削除しても、以前のスキャンから作成されたカタログアセットは削除されません。

アクセス ポリシーの設定

このデータ リソースでは、次の種類の Microsoft Purview ポリシーがサポートされています:

Azure SQL MI でのアクセス ポリシーの前提条件

  • 新しい Azure SQL MI を作成するか、この機能に現在利用可能なリージョンのいずれかで既存のものを使用します。 このガイドに従って、新しい Azure SQL MI を作成できます。

リージョンのサポート

すべての Microsoft Purview リージョン がサポートされています。

Microsoft Purview ポリシーの適用は、Azure SQL MI の次のリージョンでのみ利用できます。

パブリック クラウド:

  • 米国東部
  • 米国東部2
  • 米国中央南部
  • 米国中央西部
  • 米国西部 3
  • カナダ中部
  • ブラジル南部
  • 西ヨーロッパ
  • 北ヨーロッパ
  • フランス中部
  • 英国南部
  • 南アフリカ北部
  • インド中部
  • 東南アジア
  • 東アジア
  • オーストラリア東部

Azure SQL MI の構成

このセクションでは、Microsoft Purview のポリシーを適用するように Azure SQL MI を設定する方法について説明します。 Azure SQL MI がパブリック エンドポイントとプライベート エンドポイントのどちらに対して構成されているかを最初に確認します。 この ガイド では、その方法について説明します。

SQL MI パブリック エンドポイントの構成

パブリック エンドポイント用に Azure SQL MI が構成されている場合は、次の手順を実行します。

  • Microsoft Entra 管理者を構成します。Azure portal で Azure SQL MI に移動し、サイド メニューで Microsoft Entra ID (旧称 Active Directory 管理者) に移動します。 管理者名を設定し、[ 保存] を選択します。

  • 次に、サイド メニューの [ID] に移動します。 [システム割り当てマネージド ID] で状態を [オン ] にチェックし、[ 保存] を選択します。 スクリーンショットを参照してください:

    スクリーンショットは、システム マネージド ID を Azure SQL MI に割り当てる方法を示しています。

SQL MI プライベート エンドポイントの構成

プライベート エンドポイントを使用するように Azure SQL MI が構成されている場合は、パブリック エンドポイントの構成で説明されているのと同じ手順を実行し、さらに次の手順を実行します。

  • Azure SQL MI に関連付けられている ネットワーク セキュリティ グループ (NSG) に移動します。

  • 次のスクリーンショットのような送信セキュリティ規則を追加します。 宛先 = サービス タグ、宛先サービス タグ = MicrosoftPurviewPolicyDistribution、サービス = HTTPS、アクション = 許可。 また、このルールの優先度が deny_all_outbound ルールの優先度よりも低いことを確認します。

    Purview への送信セキュリティ規則を構成する方法を示すスクリーンショット

ポリシーの Microsoft Purview アカウントを構成する

Microsoft Purview にデータ ソースを登録する

Microsoft Purview でデータ リソースのポリシーを作成するには、そのデータ リソースを Microsoft Purview Studio に登録する必要があります。 データ リソースの登録に関連する手順については、このガイドの後半で説明します。

注:

Microsoft Purview ポリシーは、データ リソースの ARM パスに依存します。 データ リソースを新しいリソース グループまたはサブスクリプションに移動する場合は、登録を解除し、Microsoft Purview に再度登録する必要があります。

データ ソースに対するデータ ポリシーの適用を有効にするアクセス許可を構成します

リソースが登録されたら、Microsoft Purview でそのリソースのポリシーを作成する前に、アクセス許可を構成する必要があります。 データ ポリシーの適用を有効にするには、一連のアクセス許可が必要です。 これは、データ ソース、リソース グループ、またはサブスクリプションに適用されます。 データ ポリシーの適用を有効にするには、リソースに対する特定の ID とアクセス管理 (IAM) 権限と、特定の Microsoft Purview 権限の両方が必要です。

  • リソースの Azure Resource Manager パスまたはその親のいずれかに、 次のいずれかの IAM ロールの組み合わせが必要です (つまり、IAM アクセス許可の継承を使用します)。

    • IAM 所有者
    • IAM コントリビューターと IAM ユーザー アクセス管理者の両方

    Azure ロールベースのアクセス制御 (RBAC) のアクセス許可を構成するには、 このガイドに従います。 次のスクリーンショットは、データ リソースの Azure portal の [ アクセス制御 ] セクションにアクセスしてロールの割り当てを追加する方法を示しています。

    Azure portal でロールの割り当てを追加するためのセクションを示すスクリーンショット。

    注:

    データリソースの IAM所有者 ロールは、親リソースグループ、サブスクリプション、またはサブスクリプション管理グループから継承できます。 どの Microsoft Entra ユーザー、グループ、サービス プリンシパルがリソースの IAM 所有者 ロールを保持しているか、継承しているかを確認します。

  • また、コレクションまたは親コレクション (継承が有効な場合) に対して Microsoft Purview データ ソース管理者 ロールも必要です。 詳細については、 Microsoft Purview ロールの割り当ての管理に関するガイドを参照してください。

    次のスクリーンショットは、ルート コレクション レベルで データ ソース管理者 ロールを割り当てる方法を示しています。

    ルート コレクション レベルでデータ ソース管理者ロールを割り当てるための選択を示すスクリーンショット。

アクセス ポリシーを作成、更新、または削除するための Microsoft Purview アクセス許可を構成する

ポリシーを作成、更新、または削除するには、ルート コレクション レベルで Microsoft Purview のポリシー作成者ロールを取得する必要があります。

  • ポリシー作成者ロールは、DevOpsポリシーとデータ所有者ポリシーを作成、更新、削除できます。
  • ポリシー作成者ロールは、セルフサービス アクセス ポリシーを削除できます。

Microsoft Purview ロールの割り当ての管理の詳細については、「 Microsoft Purview データ マップでのコレクションの作成と管理」を参照してください。

注:

ポリシー作成者ロールは、ルート コレクション レベルで構成する必要があります。

さらに、ポリシーのサブジェクトを作成または更新するときに Microsoft Entra ユーザーまたはグループを簡単に検索するには、Microsoft Entra ID で ディレクトリ閲覧者 アクセス許可を取得すると大きなメリットが得られます。 これは、Azure テナント内のユーザーに共通するアクセス許可です。 ディレクトリ閲覧者のアクセス許可がない場合、ポリシー作成者は、データ ポリシーの件名に含まれるすべてのプリンシパルの完全なユーザー名またはメール アドレスを入力する必要があります。

データ所有者ポリシーを発行するための Microsoft Purview アクセス許可を構成する

データ所有者ポリシーでは、Microsoft Purview ポリシーの作成者 ロールと データ ソース管理者 ロールを組織内のさまざまなユーザーに割り当てた場合、抑制と均衡が可能になります。 データ所有者ポリシーを有効になる前に、2 番目のユーザー (データ ソース管理者) がポリシーを確認し、公開することで明示的に承認する必要があります。 これは、DevOps またはセルフサービス アクセス ポリシーには適用されません。これらのポリシーの作成または更新時に発行が自動的に行われるからです。

データ所有者ポリシーを発行するには、ルート コレクション レベルで Microsoft Purview のデータ ソース管理者ロールを取得する必要があります。

Microsoft Purview ロールの割り当ての管理の詳細については、「 Microsoft Purview データ マップでのコレクションの作成と管理」を参照してください。

注:

データ所有者ポリシーを発行するには、データ ソース管理者ロールをルート コレクション レベルで構成する必要があります。

Microsoft Purview のロールにアクセス プロビジョニングの責任を委任する

リソースで データ ポリシーの適用を有効にすると、ルート コレクション レベルで ポリシー作成者 ロールを持つ Microsoft Purview ユーザーは、Microsoft Purview からそのデータ ソースへのアクセスをプロビジョニングできます。

注:

Microsoft Purview ルート コレクション管理者 は、新しいユーザーをルート ポリシー作成者 ロールに割り当てることができます。 コレクション管理者は、コレクションの下のデータ ソース管理者ロールに新しいユーザーを割り当てることができます。 Microsoft Purview コレクション管理者、 データ ソース管理者、または ポリシー作成者 の役割を持つユーザーを最小限に抑え、慎重に検査します。

ポリシーが公開されている Microsoft Purview アカウントが削除された場合、そのようなポリシーは、特定のデータ ソースに依存する一定の時間で適用されなくなります。 この変更は、セキュリティとデータ アクセスの可用性の両方に影響を与える可能性があります。 IAM の共同作成者ロールと所有者ロールは、Microsoft Purview アカウントを削除できます。 これらのアクセス許可を確認するには、Microsoft Purview アカウントの アクセス制御 (IAM) セクションに移動し、[ ロールの割り当て] を選択します。 また、ロックを使用して Microsoft Purview アカウントが Resource Manager ロックによって削除されないようにすることもできます。

Microsoft Purview にデータ ソースを登録する

アクセス ポリシーを作成する前に、まず Azure SQL Managed Instance データ ソースを Microsoft Purview に登録する必要があります。 このガイドの「前提条件」および「データ ソースの登録」セクションに従うことができます。

Azure SQL MI を登録してスキャンする

リソースを登録したら、データ ポリシーの適用 (以前のデータ使用管理) を有効にする必要があります。 データ ポリシーの適用には特定のアクセス許可が必要であり、データ ソースへのアクセスを管理する権限を特定の Microsoft Purview ロールに委任するため、データのセキュリティに影響を与える可能性があります。 このガイドでは、データ ポリシーの適用に関連する安全なプラクティスについて説明します: データ ポリシーの適用を有効にする方法

データ ソースで データ ポリシーの適用 トグルが 有効になっていると、このスクリーンショットのようになります。 これにより、特定のデータ ソースでアクセス ポリシーを使用できるようになります 。スクリーンショットは、ポリシーの適用を有効にする方法を示しています。

Azure SQL Database の Azure portal に戻り、Microsoft Purview によって管理されていることを確認します。

  1. このリンクから Azure portal にサインインします。

  2. 構成する Azure SQL Server を選択します。

  3. 左側のウィンドウで [Microsoft Entra ID ] に移動します。

  4. Microsoft Purview アクセス ポリシーまで下にスクロールします。

  5. Microsoft Purview ガバナンスを確認するボタンを選択します。 要求が処理されるまでお待ちください。処理には数分かかることがあります。

    Azure SQL が Microsoft Purview によって管理されていることを示すスクリーンショット。

  6. Microsoft Purview ガバナンスの状態が [ 管理対象] と表示されていることを確認します。 Microsoft Purview でデータ ポリシーの適用を有効にしてから、正しい状態が反映されるまでに数分かかる場合があることに注意してください。

注:

Microsoft Purview でこの Azure SQL Database データ ソースに対するデータ ポリシーの適用を無効にする場合は、[ Microsoft Purview ガバナンスの確認 ] を選択して、Microsoft Purview ガバナンスの状態を 管理外に更新します。 この手順は、Microsoft Purview の既存または新しいアクセス ポリシーのデータ ポリシーの適用状態が変更されるたびに、影響を受けるデータ ソースに対して実行する必要があります。 別の Microsoft Purview アカウントのデータ ソースに対する データ ポリシーの適用 を有効にする前に、Purview ガバナンスの状態が [管理 されていない] と表示されていることを確認します。 次に、新しい Microsoft Purview アカウントで上記の手順を繰り返します。

ポリシーを作成する

Azure SQL MI のアクセス ポリシーを作成するには、次のガイドに従います。

次の手順

ソースを登録したので、以下のガイドに従って、Microsoft Purview とデータの詳細を確認します。

  • 最終更新: