Microsoft Purview アカウントにプライベートで安全に接続する

[アーティクル]
08/23/2023

このガイドでは、Microsoft Purview アカウントのプライベートエンドポイントを展開して、VNet とプライベートネットワークからのみ Microsoft Purview アカウントに接続できるようにする方法について説明します。この目標を達成するには、Microsoft Purview アカウントのアカウント と ポータル のプライベートエンドポイントをデプロイする必要があります。

Microsoft Purview アカウント のプライベートエンドポイントは、仮想ネットワーク内から発信されたクライアント呼び出しのみが Microsoft Purview アカウントへのアクセスを許可されるシナリオを有効にすることで、セキュリティの別の層を追加するために使用されます。このプライベートエンドポイントは、ポータルのプライベートエンドポイントの前提条件でもあります。

プライベートネットワークを使用して Microsoft Purview ガバナンスポータルへの接続を有効にするには、Microsoft Purview ポータルのプライベートエンドポイントが必要です。

注:

アカウントとポータルのプライベートエンドポイントのみを作成した場合、スキャンを実行することはできません。プライベートネットワークでスキャンを有効にするには、インジェストプライベートエンドポイントも作成する必要があります。

Microsoft Purview と Private Link アーキテクチャを示す図。

Azure Private Link サービスの詳細については、プライベートリンクとプライベートエンドポイントに関するページを参照してください。

デプロイのチェックリスト

このガイドの展開オプションのいずれかを使用して、 アカウント と ポータル のプライベートエンドポイントを使用して新しい Microsoft Purview アカウントをデプロイするか、既存の Microsoft Purview アカウントに対してこれらのプライベートエンドポイントをデプロイすることを選択できます。

Microsoft Purview プライベートエンドポイントをデプロイする適切な Azure 仮想ネットワークとサブネットを選択します。以下のいずれかのオプションを選択します。
- Azure サブスクリプションに新しい仮想ネットワークをデプロイします。
- Azure サブスクリプション内の既存の Azure 仮想ネットワークとサブネットを見つけます。
Microsoft Purview アカウントと Web ポータルにプライベート IP アドレスからアクセスできるように、適切な DNS 名前解決方法を定義します。次のいずれかのオプションを使用できます。
- このガイドでさらに説明されている手順を使用して、新しい Azure DNS ゾーンをデプロイします。
- このガイドでさらに説明されている手順を使用して、既存の Azure DNS ゾーンに必要な DNS レコードを追加します。
- このガイドの手順を完了したら、既存の DNS サーバーに必要な DNS A レコードを手動で追加します。
アカウントとポータルのプライベートエンドポイントを使用して新しい Microsoft Purview アカウントをデプロイするか、既存の Microsoft Purview アカウントのアカウントとポータルのプライベートエンドポイントをデプロイします。
プライベートネットワークに、すべてのパブリックインターネットトラフィックに対して拒否に設定されたネットワークセキュリティグループ規則がある場合は、Azure Active Directory へのアクセスを有効にします。
このガイドを完了したら、必要に応じて DNS 構成を調整します。
管理マシンから Microsoft Purview へのネットワークと名前解決を検証します。

オプション 1 - アカウントとポータルのプライベートエンドポイントを使用して新しい Microsoft Purview アカウントをデプロイする

Azure portalに移動し、[Microsoft Purview アカウント] ページに移動します。 [ + 作成] を 選択して、新しい Microsoft Purview アカウントを作成します。
基本情報を入力し、[ ネットワーク ] タブで接続方法を [プライベートエンドポイント] に設定します。 [プライベートエンドポイントの有効化] を [アカウントとポータルのみ] に設定します。
[ アカウントとポータル ] で [ + 追加] を選択して、Microsoft Purview アカウントのプライベートエンドポイントを追加します。
[ プライベートエンドポイントの作成 ] ページで、 Microsoft Purview サブリソースの場所を選択し、 アカウント のプライベートエンドポイントの名前を指定し、[アカウント] を選択 します。 [ネットワーク] で仮想ネットワークとサブネットを選択し、必要に応じて [プライベート DNS ゾーンと統合] を選択して、新しい Azure プライベート DNS ゾーンを作成します。

注:

また、既存の Azure プライベート DNS Zones を使用することも、後で DNS サーバーで DNS レコードを手動で作成することもできます。詳細については、「プライベートエンドポイントの DNS 名前解決を構成する」を参照してください。
[OK] を選択します。
Microsoft Purview アカウントの作成ウィザードで、[+ 追加] をもう一度選択して、ポータルのプライベートエンドポイントを追加します。
[ プライベートエンドポイントの作成 ] ページで、 Microsoft Purview サブリソースの場所を選択し、 ポータル のプライベートエンドポイントの名前を指定し、[ポータル] を選択 します。 [ネットワーク] で仮想ネットワークとサブネットを選択し、必要に応じて [プライベート DNS ゾーンと統合] を選択して、新しい Azure プライベート DNS ゾーンを作成します。

注:

また、既存の Azure プライベート DNS Zones を使用することも、後で DNS サーバーで DNS レコードを手動で作成することもできます。詳細については、「プライベートエンドポイントの DNS 名前解決を構成する」を参照してください。
[OK] を選択します。
[確認および作成] を選択します。 [ 確認と作成 ] ページで、Azure によって構成が検証されます。
"検証に合格しました" というメッセージが表示されたら、[ 作成] を選択します。

オプション 2 - 既存の Microsoft Purview アカウントでアカウントとポータルのプライベートエンドポイントを有効にする

既存の Microsoft Purview アカウントの Microsoft Purview アカウント と ポータル プライベートエンドポイントを追加するには、次の 2 つの方法があります。

Azure portal (Microsoft Purview アカウント) を使用します。
Private Link センターを使用します。

Azure portalを使用する (Microsoft Purview アカウント)

Azure portalに移動し、Microsoft Purview アカウントを選択し、[設定] で [ネットワーク] を選択し、[プライベートエンドポイント接続] を選択します。
[ + プライベートエンドポイント ] を選択して、新しいプライベートエンドポイントを作成します。
基本情報を入力します。
[ リソース ] タブの [ リソースの種類] で、[ Microsoft.Purview/accounts] を選択します。
[ リソース] で Microsoft Purview アカウントを選択し、[ ターゲットサブリソース] で [アカウント] を選択します。
[構成] タブで仮想ネットワークを選択し、必要に応じて [Azure プライベート DNS ゾーン] を選択して新しい Azure DNS ゾーンを作成します。

注:

DNS 構成の場合は、ドロップダウンリストから既存の Azure プライベート DNS Zones を使用するか、後で必要な DNS レコードを DNS サーバーに手動で追加することもできます。詳細については、「プライベートエンドポイントの DNS 名前解決を構成する」を参照してください。
概要ページに移動し、[ 作成 ] を選択してポータルのプライベートエンドポイントを作成します。
[ターゲットサブリソース] にポータルを選択する場合も同じ手順に従います。

Private Link センターを使用する

Azure portal にアクセスします。
ページの上部にある検索バーで、プライベートリンクを検索し、最初のオプションを選択して [Private Link] ウィンドウに移動します。
[ + 追加] を選択し、基本的な詳細を入力します。
[ リソース] で、既に作成されている Microsoft Purview アカウントを選択します。 [ ターゲットサブリソース] で、[ アカウント] を選択します。
[ 構成 ] タブで、仮想ネットワークとプライベート DNS ゾーンを選択します。概要ページに移動し、[ 作成 ] を選択してアカウントのプライベートエンドポイントを作成します。

注:

[ターゲットサブリソース] にポータルを選択する場合も同じ手順に従います。

Azure Active Directory へのアクセスを有効にする

注:

VM、VPN ゲートウェイ、または VNet ピアリングゲートウェイにパブリックインターネットアクセスがある場合は、プライベートエンドポイントで有効になっている Microsoft Purview ポータルと Microsoft Purview アカウントにアクセスできます。このため、残りの手順に従う必要はありません。プライベートネットワークに、すべてのパブリックインターネットトラフィックを拒否するように設定されたネットワークセキュリティグループルールがある場合は、Azure Active Directory (Azure AD) アクセスを有効にするためにいくつかのルールを追加する必要があります。指示に従って実行します。

これらの手順は、Azure VM から Microsoft Purview に安全にアクセスするために提供されます。 VPN またはその他の VNet ピアリングゲートウェイを使用している場合は、同様の手順に従う必要があります。

Azure portalで VM に移動し、[設定] で [ネットワーク] を選択します。次 に、[送信ポート規則]、[ 送信ポート規則の追加] の順に選択します。
[ 送信セキュリティ規則の追加 ] ウィンドウで、次の操作を行います。
1. [ 宛先] で、[ サービスタグ] を選択します。
2. [ 宛先サービスタグ] で、[AzureActiveDirectory] を選択します。
3. [ 宛先ポート範囲] で、[*] を選択します。
4. [ アクション] で、[許可] を選択 します。
5. [ 優先度] の値は、すべてのインターネットトラフィックを拒否したルールよりも大きくする必要があります。
ルールを作成します。
同じ手順に従って、 AzureResourceManager サービスタグを許可する別のルールを作成します。 Azure portalにアクセスする必要がある場合は、AzurePortal サービスタグのルールを追加することもできます。
VM に接続し、ブラウザーを開きます。 Ctrl + Shift + J キーを押してブラウザーコンソールに移動し、[ネットワーク] タブに切り替えてネットワーク要求を監視します。 [URL] ボックスに「web.purview.azure.com」と入力し、Azure AD 資格情報を使用してサインインを試みます。サインインが失敗する可能性があり、コンソールの [ ネットワーク ] タブで、Azure AD が aadcdn.msauth.net にアクセスしようとしているがブロックされているのを確認できます。
この場合は、VM でコマンドプロンプトを開き、aadcdn.msauth.net ping を実行し、その IP を取得し、VM のネットワークセキュリティ規則に IP の送信ポート規則を追加します。 [ 宛先 ] を [IP アドレス] に設定し、[ 宛先 IP アドレス] を aadcdn IP に設定します。 Azure Load Balancerと Azure Traffic Manager により、Azure AD コンテンツ配信ネットワーク IP が動的である可能性があります。 IP を取得したら、VM のホストファイルに追加して、ブラウザーにその IP を強制的にアクセスして Azure AD コンテンツ配信ネットワークを取得することをお勧めします。
新しいルールが作成されたら、VM に戻り、Azure AD 資格情報をもう一度使用してサインインを試みます。サインインに成功すると、Microsoft Purview ポータルを使用する準備が整います。ただし、場合によっては、Azure AD は他のドメインにリダイレクトして、顧客のアカウントの種類に基づいてサインインします。たとえば、live.com アカウントの場合、Azure AD はサインインに live.com にリダイレクトし、それらの要求は再びブロックされます。 Microsoft 従業員アカウントの場合、Azure AD はサインイン情報の msft.sts.microsoft.com にアクセスします。

ブラウザーの [ネットワーク] タブでネットワーク要求を確認して、ブロックされているドメインの要求を確認し、前の手順をやり直して IP を取得し、ネットワークセキュリティグループに送信ポート規則を追加して、その IP の要求を許可します。可能であれば、URL と IP を VM のホストファイルに追加して、DNS 解決を修正します。正確なサインインドメインの IP 範囲がわかっている場合は、ネットワークルールに直接追加することもできます。
これで、Azure AD のサインインが成功します。 Microsoft Purview ポータルは正常に読み込まれますが、特定の Microsoft Purview アカウントにのみアクセスできるため、すべての Microsoft Purview アカウントの一覧表示は機能しません。「」と入力 web.purview.azure.com/resource/{PurviewAccountName} して、プライベートエンドポイントを正常に設定した Microsoft Purview アカウントに直接アクセスします。