Analytics 従量課金ゾーンにおけるエンタイトルメントのエクスポート (プレビュー)

重要

ACZ エンタイトルメントのエクスポートは現在プレビュー段階です。 ベータ版、プレビュー版、または一般公開されていないAzure機能に適用される法的条件については、「Microsoft Azure プレビューの補足使用条件」を参照してください。

アナリティクス消費ゾーン(ACZ)は、OSDUカタログデータとともにエンタイトルメントメンバーシップデータをエクスポートできます。 Microsoft Fabric、Azure Databricks、Snowflake などの Delta Parquet をサポートするデータと AI プラットフォームは、このデータを取り込むことができます。 エクスポートされたメンバーシップやOSDUのレコードアクセス制御リストを使い、プラットフォームのセキュリティ機能を利用して権限を考慮したフィルタリングを実装できます。

エンタイトルメントのエクスポートを有効にする

Entitlementsのエクスポートはプレビュー中で、デフォルトで無効になっています。 Azure Data Manager for Energyのインスタンスで有効にするには、サポートリクエストを作成してください。 機能やテーブルスキーマは一般公開前に変更される可能性があります。

ACZの設定に関する情報はAnalytics Consumption Zoneを有効にするをご覧ください。

エンタイトルメントのエクスポートの仕組み

OSDU のエンタイトルメント情報は、プリンシパル、グループ、メンバーシップのグラフとして維持されています。 エンタイトルメントのエクスポートが有効な場合、ACZ:

  1. OSDU エンタイトルメント サービスからプリンシパルとそのグループ関係を読み取ります。
  2. 親グループにおける直接および継承メンバーシップの両方を解決します。
  3. データパーティションごとに結果をフィルタリングします。
  4. 関係を各プリンシパルとグループ間のメンバーシップごとに1行にフラット化します。
  5. パーティション内のすべてのアクティブなACZに結果をDelta Lakeテーブルとして書き込みます。

権利データは、既存のentitlementsテーブルの隣にあるosducatalogフォルダーに格納されています。

<acz-base-path>/
|-- osducatalog/
|   `-- _delta_log/
`-- entitlements/
    `-- _delta_log/

エンタイトルメントのエクスポートは、以前のエンタイトルメント スナップショットに置き換わります。 これはOSDUレコードの履歴および増分同期とは別に動作します。

権利テーブルスキーマ

各行は、1つのMicrosoft Entraプリンシパルが1つのOSDUグループに属していることを表しています。

フィールド タイプ Description
OSDUGroupName String OSDUグループの表示名。
OSDUGroupId String OSDUグループ識別子、通常は権利グラフに保存されるグループメールです。
AADOid String Microsoft Entra ユーザーまたはアプリケーションプリンシパルのオブジェクトID。

複数のグループに属するプリンシパルは、解決された各グループメンバーシップに対して1行ずつ割り当てられます。

エクスポートしたエンタイトルメントを使用する

ACZは権限対応フィルタリングを実装するために必要なデータをエクスポートしますが、下流のデータやAIプラットフォームで行レベルのセキュリティを設定・強制することはありません。 エクスポートされた権利メンバーシップとカタログレコードのアクセス制御リストを組み合わせて、プラットフォームのセキュリティ機能を活用してフィルタリングを実装しましょう。

Azureの役割ベースのアクセス制御とData Lake Storage Gen2の権限を使って、エクスポートされたデータへのアクセスを安全にしてください。

データの鮮度

ACZ は定期的なスケジュールでエンタイトルメント テーブルを更新し、以前のスナップショットに置き換わります。 ユーザー、グループ、またはメンバーシップの変更は、次のリフレッシュ後にテーブルに表示されます。 権利テーブルはリアルタイムの認可エンドポイントではありません。

関連するコンテンツ

  • 最終更新: