信頼されたワークスペースアクセス

[アーティクル]
08/01/2024

Fabric では、ファイアウォールが有効な Azure Data Lake Storage (ADLS) Gen 2 アカウントに安全な方法でアクセスできます。ワークスペース ID を持つ Fabric ワークスペースは、選択した仮想ネットワークと IP アドレスから、パブリックネットワークアクセスが有効になっている ADLS Gen2 アカウントに安全にアクセスできます。 ADLS Gen2 のアクセスを特定の Fabric ワークスペースに制限できます。

信頼されたワークスペースアクセスを持つストレージアカウントにアクセスする Fabric ワークスペースには、要求に対する適切な承認が必要です。承認は、組織アカウントまたはサービスプリンシパルの Microsoft Entra 資格情報でサポートされています。リソースインスタンスルールの詳細については、「Azure リソースインスタンスからのアクセスを許可する」を参照してください。

特定の Fabric ワークスペースからファイアウォールが有効なストレージアカウントへのアクセスを制限および保護するには、特定の Fabric ワークスペースからのアクセスを許可するようにリソースインスタンスルールを設定します。

Note

信頼されたワークスペースアクセスは一般提供されていますが、F SKU 容量でのみ使用できます。 Fabric サブスクリプションの購入の詳細については、「Microsoft Fabric サブスクリプションの購入」を参照してください。評価版容量では、信頼されたワークスペースアクセスはサポートされていません。

この記事では、次の方法について説明します:

ADLS Gen2 ストレージアカウントで信頼されたワークスペースアクセスを構成します。
Fabric レイクハウスに、信頼されたワークスペースアクセスが有効な ADLS Gen2 ストレージアカウントに接続する OneLake ショートカットを作成します。
信頼されたワークスペースアクセスが有効になっている、ファイアウォールが有効な ADLS Gen2 アカウントに直接接続するためのデータパイプラインを作成します。
T-SQL COPY ステートメントを使用して、信頼されたワークスペースアクセスが有効になっているファイアウォールが有効な ADLS Gen2 アカウントから倉庫にデータを取り込みます。

ADLS Gen2 で信頼されたワークスペースアクセスを構成する

リソースインスタンスのルール

ワークスペース ID に基づいてストレージアカウントにアクセスするように、特定の Fabric ワークスペースを構成できます。リソースインスタンスルールを作成するには、リソースインスタンスルールを使用して ARM テンプレートをデプロイします。リソースインスタンスルールを作成するには:

Azure portal にサインインし、[カスタムデプロイ] に移動します。
[Build your own template in the editor](エディターで独自のテンプレートを作成する) を選択します。リソースインスタンスルールを作成するサンプル ARM テンプレートについては、「ARM テンプレートのサンプル」を参照してください。
エディターでリソースインスタンスルールを作成します。完了したら、[確認と作成] を選択します。
表示される [基本] タブで、必要なプロジェクトとインスタンスの詳細を指定します。完了したら、[確認と作成] を選択します。
表示された [確認と作成] タブで、概要を確認し、[作成] を選びます。ルールはデプロイ用に送信されます。
デプロイが完了したら、リソースに移動できます。

Note

Fabric ワークスペースのリソースインスタンスルールは、ARM テンプレートを使用してのみ作成できます。 Azure portal を使用した作成はサポートされていません。
Fabric ワークスペース resourceId には、subscriptionId "00000000-0000-0000-0000-000000000000" を使用する必要があります。
Fabric ワークスペースのワークスペース ID は、アドレスバーの URL を使用して取得できます。

ARM テンプレートを使用して作成できるリソースインスタンスルールの例を次に示します。完全実例については、「ARM テンプレートのサンプル」を参照してください。

"resourceAccessRules": [

       { "tenantId": " df96360b-9e69-4951-92da-f418a97a85eb",

          "resourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourcegroups/Fabric/providers/Microsoft.Fabric/workspaces/b2788a72-eef5-4258-a609-9b1c3e454624"
       }
]

信頼されたサービスの例外

選択した仮想ネットワークと IP アドレスからパブリックネットワークアクセスが有効になっている ADLS Gen2 アカウントに対して信頼されたサービス例外を選択した場合、ワークスペース ID を持つ Fabric ワークスペースはストレージアカウントにアクセスできます。信頼されたサービス例外チェックボックスがオンの場合、ワークスペース ID を持つテナントの Fabric 容量内のすべてのワークスペースは、ストレージアカウントに格納されているデータにアクセスできます。

この構成は推奨されるものではなく、サポートは今後廃止される可能性があります。特定のリソースにアクセスを許可するには、リソースインスタンスルールを使用することをお勧めします。

ストレージアカウントを信頼されたサービスアクセス用に構成できるのは誰ですか?

ストレージアカウント (Azure RBAC ロール) の共同作成者は、リソースインスタンスルールまたは信頼されたサービス例外を構成できます。

Fabric で信頼されたワークスペースアクセスを使用する方法

現在、信頼されたワークスペースアクセスを使用して、セキュリティで保護された方法で Fabric からデータにアクセスするには、次の 3 通りの方法があります:

Fabric レイクハウスに新しい ADLS ショートカットを作成すると、Spark、SQL、および Power BI でデータの分析を開始できます。
ファイアウォールが有効な ADLS Gen2 アカウントに直接アクセスするための、信頼されたワークスペースアクセスを活用するデータパイプラインを作成できます。
T-SQL Copy ステートメントを使用して、信頼されたワークスペースアクセスを利用して、Fabric ウェアハウスにデータを取り込むことができます。

次のセクションでは、これらの方法を使用する方法について説明します。

信頼されたワークスペースアクセスを持つストレージアカウントへの OneLake ショートカットを作成する

Fabric でワークスペース ID を構成し、ADLS Gen2 ストレージアカウントで信頼されたアクセスを有効にすると、Fabric からデータにアクセスするための OneLake ショートカットを作成できます。 Fabric レイクハウスに新しい ADLS ショートカットを作成するだけで、Spark、SQL、Power BI を使用してデータの分析を開始できます。

前提条件

Fabric 容量に関連付けられている Fabric ワークスペース。「ワークスペース ID」を参照してください。
Fabric ワークスペースに関連付けられているワークスペース ID を作成します。
ショートカットの作成に使用されるユーザーアカウントまたはサービスプリンシパルには、ストレージアカウントに対する Azure RBAC ロールが必要です。プリンシパルには、ストレージアカウントスコープのストレージ BLOB データ共同作成者、ストレージ BLOB データ所有者、ストレージ BLOB データ閲覧者ロール、またはストレージアカウントスコープの Storage BLOB デリゲータロールのいずれかに加え、コンテナースコープでのストレージ BLOB データ閲覧者ロールが必要です。
ストレージアカウントのリソースインスタンスルールを構成します。

Note

前提条件を満たすワークスペース内の既存のショートカットは、信頼されたサービスアクセスのサポートを自動的に開始します。
ストレージアカウントには DFS URL ID を使用する必要があります。以下に例を示します: https://StorageAccountName.dfs.core.windows.net

手順

まず、レイクハウスに新しいショートカットを作成します。

新しいショートカット ウィザードが開きます。
[外部ソース] で、[Azure Data Lake Storage Gen2] を選択します。
信頼されたワークスペースアクセスで構成されているストレージアカウントの URL を指定し、接続の名前を選択します。 [認証の種類] で、[組織アカウント] または [サービスプリンシパル] を選択します。

終わったら、 [次へ] を選択します。
ショートカット名とサブパスを指定します。

完了したら、 [作成] を選択します。
レイクハウスショートカットが作成され、ショートカットでストレージデータをプレビューできます。

Fabric アイテムで信頼されたワークスペースアクセスを持つストレージアカウントへの OneLake ショートカットを使用する

Fabric の OneCopy を使用すると、すべての Fabric ワークロードからの信頼されたアクセス権を持つ OneLake ショートカットにアクセスできます。

Spark: Spark を使用すると、OneLake ショートカットからデータにアクセスできます。 Spark でショートカットを使用すると、OneLake でフォルダーとして表示されます。フォルダー名を参照するだけでデータにアクセスできます。 Spark ノートブックで信頼されたワークスペースアクセスを持つストレージアカウントへの OneLake ショートカットを使用できます。
SQL 分析エンドポイント: レイクハウスの [テーブル] セクションで作成されたショートカットは、SQL 分析エンドポイントでも使用できます。 SQL 分析エンドポイントを開き、他のテーブルと同様にデータのクエリを実行できます。
パイプライン: データパイプラインでは、信頼されたワークスペースアクセスを持つストレージアウントへのマネージドショートカットにアクセスできます。データパイプラインを使用して、OneLake ショートカット経由でストレージアカウントの読み取りまたは書き込みを行えます。
Dataflows v2: Dataflows Gen2 を使用して、信頼されたワークスペースアクセスを持つストレージアカウントへのマネージドショートカットにアクセスできます。 Dataflows Gen2 では、OneLake ショートカット経由でストレージアカウントの読み取りまたは書き込みを行えます。
セマンティックモデルとレポート: レイクハウスの SQL 分析エンドポイントに関連付けられている既定のセマンティックモデルでは、信頼されたワークスペースアクセスを持つストレージアカウントへのマネージドショートカットを読み取ることができます。既定のセマンティックモデルのマネージドテーブルを表示するには、SQL 分析エンドポイント項目に移動し、[レポート] を選択して、[セマンティックモデルの自動更新] を選択します。

信頼されたワークスペースアクセスを持つストレージアカウントへのテーブルショートカットを参照する新しいセマンティックモデルを作成することもできます。 SQL 分析エンドポイントに移動し、[レポート] を選択し、[新しいセマンティックモデル] を選択します。

既定のセマンティックモデルとカスタムセマンティックモデルの上にレポートを作成できます。
KQL データベース: KQL データベースで ADLS Gen2 への OneLake ショートカットを作成することもできます。信頼されたワークスペースアクセスを使用してマネージドショートカットを作成する手順も同じです。

信頼されたワークスペースアクセスを持つストレージアカウントへのデータパイプラインを作成する

Fabric でワークスペース ID を構成し、ADLS Gen2 ストレージアカウントで信頼されたアクセスを有効にすると、Fabric からデータにアクセスするためのデータパイプラインを作成できます。新しいデータパイプラインを作成してデータを Fabric レイクハウスにコピーすると、Spark、SQL、および Power BI でデータの分析を開始できます。

前提条件

Fabric 容量に関連付けられている Fabric ワークスペース。「ワークスペース ID」を参照してください。
Fabric ワークスペースに関連付けられているワークスペース ID を作成します。
接続の作成に使用するユーザーアカウントまたはサービスプリンシパルには、ストレージアカウントに対する Azure RBAC の役割が必要です。プリンシパルには、ストレージアカウントスコープでのストレージ BLOB データ共同作成者、ストレージ BLOB データ所有者、またはストレージ BLOB データ閲覧者の役割が必要です。
ストレージアカウントのリソースインスタンスルールを構成します。

手順

まず、レイクハウスで [データの取得] を選択します。
[新しいデータパイプライン] を選択します。パイプラインの名前を入力して、[作成] を選択します。
データソースとして [Azure Data Lake Gen 2] を選びます。
信頼されたワークスペースアクセスで構成されているストレージアカウントの URL を指定し、接続の名前を選択します。 [認証の種類] で、[組織アカウント] または [サービスプリンシパル] を選択します。

終わったら、 [次へ] を選択します。
レイクハウスにコピーする必要があるファイルを選択します。

終わったら、 [次へ] を選択します。
[レビューと保存] 画面で、[データ転送をすぐに開始する] を選択します。操作が完了したら、[保存と実行] を選択します。
パイプラインの状態が [キューに登録済み] から [成功] に変わったら、レイクハウスに移動し、データテーブルが作成されたことを確認します。

T-SQL COPY ステートメントを使用して、データを倉庫にインジェストします

Fabric でワークスペース ID を構成し、ADLS Gen2 ストレージアカウントで信頼されたアクセスを有効にすると、COPY T-SQL ステートメントを使用して、Fabric ウェアハウスにデータをインジェストできます。データが倉庫に取り込まれたら、SQL と Power BI を使用してデータの分析を開始できます。

制限事項と考慮事項

信頼されたワークスペースアクセスは、あらゆる Fabric F SKU 容量のワークスペースでサポートされています。
信頼されたワークスペースアクセスは、OneLake ショートカット、データパイプライン、および T-SQL COPY ステートメントでのみ使用できます。 Fabric Spark からストレージアカウントに安全にアクセスするには、「Fabric のマネージドプライベートエンドポイント」を参照してください。
ワークスペース ID を持つワークスペースが非 Fabric 容量または非 F SKU Fabric 容量に移行された場合、信頼されたワークスペースアクセスは 1 時間後に機能しなくなります。
2023 年 10 月 10 日より前に作成された既存のショートカットは、信頼されたワークスペースアクセスをサポートしていません。
信頼されたワークスペースアクセスの接続は、[接続とゲートウェイの管理] では作成または変更することができません。
ファイアウォールが有効なストレージアカウントへの接続は、 [接続とゲートウェイの管理] で [オフライン] の状態になります。
ショートカットやパイプライン以外の Fabric 項目または他のワークスペースで、信頼されたワークスペースアクセスをサポートする接続を再利用すると、それらの接続が機能しない可能性があります。
信頼されたワークスペースアクセスのストレージアカウントに対する認証には、組織アカウントまたはサービスプリンシパルのみを使用する必要があります。
パイプラインは、信頼されたワークスペースアクセスを持つストレージアカウントの OneLake テーブルショートカットに書き込むことはありません。これは一時的な制限です。
最大 200 個のリソースインスタンスルールを構成できます。詳細については、「Azure サブスクリプションの制限とクォータ - Azure Resource Manager」を参照してください。
信頼されたワークスペースアクセスは、選択した仮想ネットワークと IP アドレスからのパブリックアクセスが有効になっている場合にのみ機能します。
Fabric ワークスペースのリソースインスタンスルールは、ARM テンプレートを使用して作成する必要があります。 Azure portal UI を使用して作成されたリソースインスタンスルールはサポートされていません。
前提条件を満たすワークスペース内の既存のショートカットは、信頼されたサービスアクセスのサポートを自動的に開始します。
組織に、すべてのサービスプリンシパルを含むワークロード ID での Entra 条件付きアクセスポリシーがある場合、信頼されたワークスペースアクセスは機能しません。このようなインスタンスでは、ワークロード ID の条件付きアクセスポリシーから特定のファブリックワークスペース ID を除外する必要があります。

信頼されたワークスペースアクセスに関する問題のトラブルシューティング

ファイアウォールで保護された ADLS Gen2 ストレージアカウントを対象とするレイクハウス内のショートカットにアクセスできなくなった場合は、レイクハウスが存在するワークスペースで管理者、メンバー、または共同作成者のロールを持たないユーザーとレイクハウスが共有されていることが原因である可能性があります。これは既知の問題です。この解決策は、ワークスペースで管理者、メンバー、または共同作成者のロールを持たないユーザーとレイクハウスを共有してはいけません。

ARM テンプレートのサンプル

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Storage/storageAccounts",
            "apiVersion": "2023-01-01",
            "name": "<storage account name>",
            "id": "/subscriptions/<subscription id of storage account>/resourceGroups/<resource group name>/providers/Microsoft.Storage/storageAccounts/<storage account name>",
            "location": "<region>",
            "kind": "StorageV2",
            "properties": {
                "networkAcls": {
                    "resourceAccessRules": [
                        {
                            "tenantId": "<tenantid>",
                            "resourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourcegroups/Fabric/providers/Microsoft.Fabric/workspaces/<workspace-id>"
                        }]
                }
            }
        }
    ]
}

次の方法で共有

信頼されたワークスペースアクセス