Azure SQL データベースのセルフサービスポリシー (プレビュー)

[アーティクル]
11/20/2024

重要

この機能は現在プレビューの段階です。 Microsoft Azure プレビューの補足使用条件には、ベータ版、プレビュー版、または一般公開されていない Azure 機能に適用される追加の法的条件が含まれています。

セルフサービスポリシーを使用すると、Microsoft Purview からデータ ポリシー適用に登録されているデータソースへのアクセスを管理できます。

このハウツーガイドでは、Microsoft Purview でセルフサービスポリシーを作成して、Azure SQL Database へのアクセスを有効にする方法について説明します。現在有効になっているアクションは、読み取りテーブルと読み取りビューです。

注意

データベース ビューで select を機能させるには、所有権チェーンAzure SQL存在する必要があります。

前提条件

アクティブなサブスクリプションを持つ Azure アカウント。無料でアカウントを作成します。
新しいまたは既存の Microsoft Purview アカウント。このクイックスタートガイドに従って作成します。

新しい Azure SQL Database インスタンスを作成するか、この機能で現在使用可能なリージョンのいずれかに既存のインスタンスを使用します。このガイドに従って、Azure SQL Database インスタンスを作成できます。

リージョンのサポート

すべての Microsoft Purview リージョンがサポートされています。

Microsoft Purview ポリシーの適用は、Azure SQL Database の次のリージョンでのみ使用できます。

パブリッククラウド:

米国東部
米国東部 2
米国中央南部
米国中央西部
米国西部 3
カナダ中部
ブラジル南部
西ヨーロッパ
北ヨーロッパ
フランス中部
英国南部
南アフリカ北部
インド中部
東南アジア
東アジア
オーストラリア東部

ソブリンクラウド:

USGov バージニア
中国北部 3

Microsoft Purview からのポリシーの Azure SQL Database インスタンスを構成する

Azure SQL Database に関連付けられている論理サーバーが Microsoft Purview のポリシーを遵守するには、Microsoft Entra管理者を構成する必要があります。Azure portalで、Azure SQL Database インスタンスをホストする論理サーバーに移動します。サイドメニューで、[Microsoft Entra ID] を選択します。管理者名を任意のMicrosoft Entraユーザーまたはグループに設定し、[保存] を選択します。

次に、サイドメニューで [ ID] を選択します。 [ システム割り当てマネージド ID] で、状態を [オン] にし、[保存] を選択 します。

Azure SQL Database に関連付けられている論理サーバーへのシステム割り当てマネージド ID の割り当てを示すスクリーンショット。

Microsoft Purview 構成

Microsoft Purview でデータソースを登録する

データリソースのポリシーを Microsoft Purview で作成するには、そのデータリソースを Microsoft Purview Studio に登録する必要があります。データリソースの登録に関連する手順については、このガイドの後半で説明します。

注:

Microsoft Purview ポリシーは、データリソース ARM パスに依存します。データリソースを新しいリソースグループまたはサブスクリプションに移動する場合は、登録を解除してから、Microsoft Purview に再登録する必要があります。

データソースに対してデータポリシーの適用を有効にするアクセス許可を構成する

リソースが登録されたら、そのリソースのポリシーを Microsoft Purview で作成する前に、アクセス許可を構成する必要があります。 データポリシーの適用を有効にするには、一連のアクセス許可が必要です。これは、データソース、リソースグループ、またはサブスクリプションに適用されます。 データポリシーの適用を有効にするには、リソースに対する特定の ID とアクセス管理 (IAM) 特権と、特定の Microsoft Purview 権限の両方が必要です。

リソースの Azure Resource Manager パスまたはその親 (つまり、IAM アクセス許可の継承を使用) には、次のいずれかの IAM ロールの組み合わせが必要です。
- IAM 所有者
- IAM 共同作成者と IAM ユーザーアクセス管理者の両方
Azure ロールベースのアクセス制御 (RBAC) アクセス許可を構成するには、このガイドに従います。次のスクリーンショットは、データリソースのAzure portalの [Access Control] セクションにアクセスしてロールの割り当てを追加する方法を示しています。

注:

データリソースの IAM 所有者 ロールは、親リソースグループ、サブスクリプション、またはサブスクリプション管理グループから継承できます。ユーザー、グループ、およびサービスプリンシパルがリソースの IAM 所有者ロールを保持しているか、継承しているMicrosoft Entraを確認します。
また、コレクションまたは親コレクションの Microsoft Purview データソース管理者 ロールも必要です (継承が有効な場合)。詳細については、 Microsoft Purview ロールの割り当ての管理に関するガイドを参照してください。

次のスクリーンショットは、ルートコレクションレベルで データソース管理者 ロールを割り当てる方法を示しています。

アクセスポリシーを作成、更新、または削除するように Microsoft Purview アクセス許可を構成する

ポリシーを作成、更新、または削除するには、ルートコレクションレベルで Microsoft Purview でポリシー作成者ロールを取得する必要があります。

ポリシー作成者ロールは、DevOps ポリシーとデータ所有者ポリシーを作成、更新、削除できます。
ポリシー作成者ロールは、セルフサービスアクセスポリシーを削除できます。

Microsoft Purview ロールの割り当ての管理の詳細については、Microsoft Purview データマップでのコレクションの作成と管理に関するページを参照してください。

注:

ポリシー作成者ロールは、ルートコレクションレベルで構成する必要があります。

さらに、ポリシーの件名を作成または更新するときに、Microsoft Entraユーザーまたはグループを簡単に検索するには、Microsoft Entra IDで [ディレクトリ閲覧者] アクセス許可を取得することで大きなメリットを得ることができます。これは、Azure テナント内のユーザーに共通のアクセス許可です。ディレクトリ閲覧者のアクセス許可がない場合、ポリシー作成者は、データポリシーの件名に含まれるすべてのプリンシパルの完全なユーザー名または電子メールを入力する必要があります。

データ所有者ポリシーを発行するための Microsoft Purview アクセス許可を構成する

データ所有者ポリシーを使用すると、Microsoft Purview ポリシーの作成者とデータソース管理者ロールをorganization内の別のユーザーに割り当てる場合、チェックと残高が許可されます。データ所有者ポリシーが有効になる前に、2 人目のユーザー (データソース管理者) がそれを確認し、公開して明示的に承認する必要があります。これは、DevOps またはセルフサービスアクセスポリシーには適用されません。公開は、それらのポリシーが作成または更新されるときに自動的に行われます。

データ所有者ポリシーを発行するには、ルートコレクションレベルで Microsoft Purview でデータソース管理者ロールを取得する必要があります。

注:

データ所有者ポリシーを発行するには、ルートコレクションレベルでデータソース管理者ロールを構成する必要があります。

Microsoft Purview のロールにアクセスプロビジョニングの責任を委任する

データポリシーの適用に対してリソースが有効になった後、ルートコレクションレベルでポリシー作成者ロールを持つ Microsoft Purview ユーザーは、Microsoft Purview からそのデータソースへのアクセスをプロビジョニングできます。

注:

Microsoft Purview ルート コレクション管理者 は、ルート ポリシー作成者 ロールに新しいユーザーを割り当てることができます。 コレクション管理者は、コレクションの下のデータソース管理者ロールに新しいユーザーを割り当てることができます。 Microsoft Purview コレクション管理者、 データソース管理者、または ポリシー作成者 ロールを保持するユーザーを最小限に抑え、慎重に確認します。

発行されたポリシーを持つ Microsoft Purview アカウントが削除されると、特定のデータソースに依存する時間内にそのようなポリシーが適用されなくなります。この変更は、セキュリティとデータアクセスの可用性の両方に影響を与える可能性があります。 IAM の共同作成者ロールと所有者ロールは、Microsoft Purview アカウントを削除できます。これらのアクセス許可をチェックするには、Microsoft Purview アカウントの [アクセス制御 (IAM)] セクションに移動し、[ロールの割り当て] を選択します。ロックを使用して、Resource Manager ロックによって Microsoft Purview アカウントが削除されないようにすることもできます。

Microsoft Purview でデータソースを登録する

後でアクセスポリシーを定義するには、Azure SQLデータベースリソースを最初に Microsoft Purview に登録する必要があります。次のガイドに従うことができます。

DB の登録とスキャンAzure SQL

リソースを登録したら、データポリシーの適用を有効にする必要があります。データポリシーの適用は、データソースへのアクセスを管理するために特定の Microsoft Purview ロールに委任されるため、データのセキュリティに影響を与える可能性があります。 このガイドでは、データポリシーの適用に関連するセキュリティで保護されたプラクティスを確認します。

データポリシーの適用を有効にする方法

データソースに [データポリシーの適用 ] トグル [有効] が設定されると、この図のようになります。これにより、特定の SQL サーバーとそのすべての包含データベースでアクセスポリシーを使用できるようになります。

スクリーンショットは、ポリシーのデータソースを登録する方法を示しています。

セルフサービスデータアクセス要求を作成する

データ資産を検索するには、Microsoft Purview の検索機能または参照機能を使用します。
資産を選択して、資産の詳細に移動します。
[ アクセスの要求] を選択します。

注:

このオプションを使用できない場合、セルフサービスアクセスワークフローは作成されていないか、リソースが登録されているコレクションに割り当てられません。詳細については、コレクション管理者、データソース管理者、またはコレクションのワークフロー管理者に問い合わせてください。または、セルフサービスアクセスワークフローを作成する方法については、セルフサービスアクセスワークフローのドキュメントを参照してください。
[ アクセスの要求] ウィンドウが開きます。データアクセスが要求される理由に関するコメントを提供できます。
[ 送信] を選択して、セルフサービスデータアクセスワークフローをトリガーします。

注:

別のユーザーに代わってアクセスを要求する場合は、[他のユーザーに 対して要求 ] チェックボックスをオンにし、そのユーザーのメール ID を設定します。

注:

リソースセットへのアクセス要求は、実際には、これらのすべてのリソースセットファイルを含む 1 レベル上のフォルダーのデータアクセス要求を送信します。
データ所有者には要求が通知され、要求が承認または拒否されます。

重要

発行はバックグラウンド操作です。変更がこのデータソースに反映されるまでに最大 5 分 かかる場合があります。
ポリシーを変更しても、新しい発行操作は必要ありません。変更は次のプルで取得されます。

セルフサービスポリシーを表示する

作成したポリシーを表示するには、記事に従ってセルフサービスポリシーを表示します。

ポリシーをテストする

セルフサービスポリシーが作成されたMicrosoft Entra アカウント、グループ、MSI、または SPN は、サーバー上のデータベースに接続し、要求されたテーブルまたはビューに対して選択クエリを実行できるようになりました。

ポリシーのダウンロードを強制する

次のコマンドを実行して、最新の発行済みポリシーを現在の SQL データベースに強制的に即時にダウンロードできます。コマンドの実行に必要な最小限のアクセス許可は、##MS_ServerStateManager##-server ロールのメンバーシップです。

-- Force immediate download of latest published policies
exec sp_external_policy_refresh reload

SQL からダウンロードしたポリシーの状態を分析する

次の DMV を使用して、ダウンロードされ、現在Microsoft Entra アカウントに割り当てられているポリシーを分析できます。それらを実行するために必要な最小限のアクセス許可は、VIEW DATABASE SECURITY STATE または割り当てられたアクショングループ SQL セキュリティ監査者です。


-- Lists generally supported actions
SELECT * FROM sys.dm_server_external_policy_actions

-- Lists the roles that are part of a policy published to this server
SELECT * FROM sys.dm_server_external_policy_roles

-- Lists the links between the roles and actions, could be used to join the two
SELECT * FROM sys.dm_server_external_policy_role_actions

-- Lists all Azure AD principals that were given connect permissions  
SELECT * FROM sys.dm_server_external_policy_principals

-- Lists Azure AD principals assigned to a given role on a given resource scope
SELECT * FROM sys.dm_server_external_policy_role_members

-- Lists Azure AD principals, joined with roles, joined with their data actions
SELECT * FROM sys.dm_server_external_policy_principal_assigned_actions

追加情報

ポリシーアクションマッピング

このセクションでは、Microsoft Purview データポリシーのアクションが、Azure SQL Database 内の特定のアクションにどのようにマップされるかについて説明します。

Microsoft Purview ポリシーアクション	データソース固有のアクション

Read	Microsoft.Sql/sqlservers/Connect
	Microsoft.Sql/sqlservers/databases/Connect
	Microsoft.Sql/Sqlservers/Databases/Schemas/Tables/Rows
	Microsoft.Sql/Sqlservers/Databases/Schemas/Views/Rows

次の手順

ブログ、デモ、関連するハウツーガイドを確認する

次の方法で共有

Azure SQL データベースのセルフサービスポリシー (プレビュー)