Fabric と Power BI のデータ損失防止ポリシーの概要

[アーティクル]
11/19/2024

この記事では、Fabric のMicrosoft Purview データ損失防止 (DLP) ポリシーについて説明します。対象ユーザーは、Fabric 管理者、セキュリティおよびコンプライアンスチーム、および Fabric データ所有者です。

概要

組織が機密データを検出して保護できるように、Fabric はMicrosoft Purview データ損失防止 (DLP) ポリシーをサポートしています。 Fabric の DLP ポリシーが機密情報を含むサポートされているアイテムの種類を検出すると、機密性の高いコンテンツの性質を説明するアイテムにポリシーヒントを添付し、管理者による監視と管理のために Microsoft Purview ポータルのデータ損失防止 アラート ページにアラートを登録できます。さらに、管理者と指定したユーザーに電子メールアラートを送信できます。

この記事では、ファブリックの DLP のしくみ、考慮事項と制限事項、ライセンスとアクセス許可の要件の一覧、DLP CPU 使用率の測定方法について説明します。詳細については、以下を参照してください:

Fabric の DLP ポリシー違反に応答して、ポリシーヒントから Lakehouse またはセマンティックモデルに DLP ポリシー違反があると通知されたときに応答する方法を確認します。
Fabric の DLP ポリシー違反を監視して、Microsoft Purview ポータルにサインインして DLP 違反アラートの詳細を確認する方法を確認します。

ヒント

Microsoft Security Copilotの使用を開始して、AI の力を使用して、よりスマートかつ迅速に作業するための新しい方法を検討します。 Microsoft Purview のMicrosoft Security Copilotの詳細については、こちらをご覧ください。

考慮事項と制限事項

Fabric の DLP ポリシーは、 Microsoft Purview ポータルで定義されます。
DLP ポリシーはワークスペースに適用されます。サポートされるのは、Fabric または Premium 容量でホストされているワークスペースのみです。詳細については、「 Microsoft Fabric の概念とライセンス」を参照してください。
DLP 評価ワークロードは容量に影響します。現時点では、DLP for Fabric は追加料金なしで利用できますが、これは変更される可能性があります。このドキュメントと Fabric ブログで更新プログラムを確認してください。
DLP ポリシーテンプレートは、Fabric DLP ポリシーではまだサポートされていません。 Fabric の DLP ポリシーを作成する場合は、[カスタムポリシー] オプションを選択します。
現在、ファブリック DLP ポリシールールでは、条件として秘密度ラベルと機密情報の種類がサポートされています。
Fabric の DLP ポリシーは、DirectQuery またはライブ接続を介してデータソースに接続するサンプルセマンティックモデル、ストリーミングデータセット、セマンティックモデルではサポートされていません。これには、一部のデータがインポートモードで取得され、一部が DirectQuery 経由で提供される、混在ストレージを持つセマンティックモデルが含まれます。
Fabric の DLP ポリシーは、Delta 形式で格納されている Lakehouse Tables/ フォルダー内のデータにのみ適用されます。
Fabric の DLP ポリシーでは、timestamp_ntzを除くすべてのプリミティブ Delta 型がサポートされます。
Fabric の DLP ポリシーは、次の Delta Parquet データ型ではサポートされていません。
- Binary、timestamp_ntz、Struct、Array、List、Map、Json、Enum、Interval、Void。
- LZ4、Zstd、Gzip 圧縮コーデックを使用したデータ。
正確なデータ一致 (EDM) 分類子とトレーニング可能な分類子は、DLP for Fabric ではサポートされていません。ポリシーの条件で EDM またはトレーニング可能な分類子を選択した場合、セマンティックモデルまたは lakehouse に実際に EDM またはトレーニング可能な分類子を満たすデータが含まれている場合でも、ポリシーは結果を生成しません。ポリシーで指定された他の分類子は、結果 (存在する場合) を返します。
Fabric の DLP ポリシーは、中国北部リージョンではサポートされていません。 organizationの既定のデータ領域を見つける方法については、「organizationの既定のリージョンを見つける方法」を参照してください。
Azure 容量は、次のクラスターの Fabric の DLP ではサポートされていません。
- WUS3
- WUS2
- SCUS
DLP への新しいテナントのオンボードには、オンボードされているサポートされているワークスペースの数に応じて数時間かかることがあります。

ライセンスとアクセス許可

SKU /サブスクリプションライセンス

Power BI の DLP の使用を開始する前に、Microsoft 365 サブスクリプションを確認する必要があります。完全なライセンシングのガイダンスについては、セキュリティとコンプライアンスに関する Microsoft 365 ガイダンスを参照してください。

アクセス許可

DLP for Fabric からのデータは、アクティビティエクスプローラーで表示できます。アクティビティエクスプローラーにアクセス許可を付与するロールは 4 つあります。データへのアクセスに使用するアカウントは、いずれかのメンバーである必要があります。

アクティビティエクスプローラーを表示するには、データへのアクセスに使用するアカウントが、次のいずれかのロール以上のメンバーである必要があります。

コンプライアンス管理者
セキュリティ管理者
コンプライアンスデータ管理者

重要

Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。これにより、組織のセキュリティが向上します。グローバル管理者は、特権の低いロールを使用できないシナリオでのみ使用する必要がある、高い特権を持つロールです。

サポートされている項目の種類

Fabric の DLP ポリシーでは、現在、次の項目の種類がサポート (プレビュー) されています。

セマンティックモデル
レイクハウーズ

例外に関する考慮事項と制限事項に関するページを参照してください。

Fabric の DLP ポリシーのしくみ

DLP ポリシーは、Microsoft Purview ポータルのデータ損失防止セクションで定義します。ポリシーでは、検出する秘密度ラベルや機密情報の種類を指定します。また、指定した種類の機密データを含むセマンティックモデルまたは lakehouse がポリシーによって検出されたときに発生するアクションも指定します。 Fabric の DLP ポリシーでは、次の 3 つのアクションがサポートされています。

ポリシーヒントによるユーザー向けの通知。
通知。アラートは、管理者とユーザーに電子メールで送信できます。さらに、管理者は Purview ポータルの [アラート] タブで アラート を監視および管理できます。
アクセスを制限します。サポートされている項目の種類が、アクセス制限アクションで構成されたポリシーに違反すると、ポリシーの構成方法に応じて、データ所有者またはorganizationのメンバーへのアイテムへのアクセスが制限されます。他のすべてのユーザーは、アイテムへのアクセスを失います。

注:

アクセスの制限アクションは、セマンティックモデルにのみ適用されます。

セマンティックモデルまたは lakehouse が DLP ポリシーによって評価されると、DLP ポリシーで指定された条件と一致すると、ポリシーで指定されたアクションが実行されます。 DLP ポリシーは、次のアクションによって開始されます。

セマンティックモデル:

セマンティックモデルは、次のいずれかのイベントが発生するたびに DLP ポリシーに対して評価されます。

公開
Republish
オンデマンド更新
計画更新

注:

次のいずれかが当てはまる場合、セマンティックモデルの DLP 評価は行われません。

イベントのイニシエーター (発行、再発行、オンデマンド更新、スケジュールされた更新) は、サービスプリンシパル認証を使用したアカウントです。
セマンティックモデルの所有者はサービスプリンシパルです。

レイクハウス:

レイクハウスは DLP ポリシーに対して評価されます。レイクハウス内のデータが、新しいデータの取得、新しいソースの接続、既存のテーブルの追加または更新など、変更を受けた場合。

ファブリック DLP ポリシーによって項目にフラグが設定された場合の動作

DLP ポリシーで項目に関する問題が検出された場合:

ポリシーで "ユーザー通知" が有効になっている場合、アイテムは Fabric でマークされ、DLP ポリシーによってアイテムに関する問題が検出されたことを示すアイコンが表示されます。アイコンの上にマウスポインターを合わせると、サイドパネルに完全な詳細を表示するオプションを提供するホバーカードが表示されます。サイドパネルに表示される内容の詳細については、「 Fabric での DLP 違反への対応」を参照してください。

セマンティックモデルの場合、詳細ページを開くと、ポリシー違反と検出された機密情報の種類を処理する方法について説明するポリシーヒントが表示されます。 [ すべて表示 ] を選択すると、すべてのポリシーの詳細が表示されたサイドパネルが開きます。

注:

ポリシーヒントを非表示にすると、削除されません。次回、ページにアクセスすると表示されます。

レイクハウスの場合、表示は編集モードでヘッダーに表示され、フライアウトを開くと、レイクハウスに影響を与えるポリシーヒントの詳細を確認できます。 [ すべて表示 ] を選択すると、すべてのポリシーの詳細が表示されたサイドパネルが開きます。
ポリシーでアラートが有効になっている場合は、Microsoft Purview ポータルの [データ損失防止 アラート] ページにアラートが記録され、(構成されている場合)、管理者や指定されたユーザーに電子メールが送信されます。詳細については、「 DLP ポリシー違反の監視と管理」を参照してください。

Power BI/Fabric の DLP ポリシーを構成する

「データ損失防止ポリシーの作成と展開」の手順に従い、カスタムテンプレートを使用します。

重要

Power BI/Fabric の DLP ポリシーの場所を選択する場合は、Power BI/Fabric の場所のみを選択します。他の場所は選択しないでください。この構成はサポートされていません。

次の方法で共有