Azure ストレージ ディスカバリー デプロイの計画

読み進める前に、ストレージ ディスカバリー サービスの概要と、それが生みだす価値についてご確認ください。

サービスがシナリオに対応していることを確認する

現在、Azure ストレージ ディスカバリーでは、Azure Blob Storage サービスのリソースに関する分析情報が表示されます。 対象範囲には、Azure Data Lake Storage を有効にするために階層型名前空間機能を使用して構成されたストレージ アカウントも含まれます。

現在、検出は Azure Files やその他のストレージの種類では機能しません。

デプロイの基本

サービスをデプロイするということは、サブスクリプションの 1 つのリソース グループに "ストレージ ディスカバリー ワークスペース リソース" をデプロイして構成することを意味します。 探索サービスは、Azure Blob Storage 資産に関する分析情報を計算して格納します。 ストレージ ディスカバリー ワークスペース以外に、他のインフラストラクチャをデプロイする必要はありません。

ワークスペースは、デプロイ先の Azure テナント内にまたがる複数のサブスクリプションの分析情報を集計するように構成できます。 Azure Storage に関するインサイトを生成するには、ワークスペースのルート構成に含まれるすべてのサブスクリプション、リソース グループ、またはテナントごとに、RBAC (Role Based Access Control) の Reader ロールのメンバーである必要があります。

サブスクリプションの準備

分析情報を受け取る Azure Storage リソース (ストレージ アカウントなど) と同じ Azure テナントによって管理されるサブスクリプションを選択する必要があります。 ストレージ ディスカバリー ワークスペースの Azure サブスクリプションとリソース グループを決定したら、次のセクションを確認して、サブスクリプションが準備されていることを確かめてください。

リソース プロバイダー名前空間

Azure サブスクリプションでサービスを初めて使用する前に、そのリソース プロバイダーの名前空間を、選択したサブスクリプションに 1 回登録する必要があります。 Azure ストレージ ディスカバリーにも同じ要件があります。 サブスクリプション "所有者" または "共同作成者" は、このアクションを実行できます。 実際にストレージ ディスカバリー ワークスペースをデプロイする前にこの登録アクションを実行しておくことで、権限の少ない管理者でもストレージ ディスカバリー サービスをデプロイして使用できるようになります。

リソース プロバイダーを登録します:

• Azure portal を使用する
• Azure PowerShell を使用する
• Azure CLI を使用する

このリソース プロバイダーの名前空間に対してサブスクリプションが有効になると、手動で登録解除されるまで有効なままになります。 最後のストレージ ディスカバリー ワークスペースを削除しても、サブスクリプションは引き続き有効なままです。 その後のストレージ ディスカバリー ワークスペースのデプロイでは、管理者のアクセス許可を削減する必要があります。次のセクションでは、さまざまな管理シナリオとその必要なアクセス許可の詳細を示します。

必要なワークスペースの数を決定する

ストレージ ディスカバリー ワークスペースは、"スコープ" を使用して構成する必要があります。 管理コンポーネントに関する記事では、ワークスペース スコープに関する詳細を説明します。 スコープは、ストレージ リソースの論理グループです。 たとえば、1 つのスコープで、個別に分析情報を取得する特定のワークロードまたは部署のすべてのストレージ リソースを参照できます。

1 つのワークスペースで構成できるスコープの数は限られているため、分析情報レポートのニーズを満たすために複数のワークスペースを用意する必要がある場合があります。

より俯瞰的な分析情報にワークスペースを使用する場合は、Azure Storage 資産全体に対して 1 つのスコープを持つワークスペースを作成し、各部署のスコープを追加できます。 特定のワークロードの分析情報を提供するようにワークスペースが指定されている場合は、各ワークロードのスコープを含むワークスペースを作成できます。

Azure リソース タグを確認する

ワークスペース スコープに含めるストレージ リソースを選択するには、まず特定のサブスクリプションまたはリソース グループを選択し、その中のストレージ リソースを Azure リソース タグでフィルター処理します。 ストレージ リソースで使用可能なリソース タグを把握しておくことが重要です。 それらが一貫して適用されていることを確認し、その後ワークスペースでスコープを作成するために整理します。 部署、ワークロード、または使用しているその他のグループごとに分析情報を使用できるようにするには、必要なスコープを計画します。

デプロイする Azure リージョンを選択します

ストレージ ディスカバリー ワークスペースをデプロイするときは、リージョンを選択する必要があります。 Discovery workspaceは、他のリージョンにあるAzure Storageリソースのインサイトを収集します。

Storage Discovery ワークスペースは、次のリージョンに作成できます。

• フランス中部
• カナダ中部
• 米国東部 2
• 北ヨーロッパ
• 西ヨーロッパ
• 米国西部 2
• 米国中南部
• オーストラリア東部
• インド中部
• 東日本
• ブラジル南部

Storage Discovery ワークスペースは、任意のパブリック クラウド リージョンにあるストレージ アカウントに対応できます。 新しい Azure パブリック クラウド リージョンが使用可能になると、この新しいリージョンのストレージ リソースが Storage Discovery サービスによってカバーされるまで、遅延が発生する可能性があります。

高度な容量分析情報の地域別提供状況

以下の利用可能範囲の制限は、ストレージ ディスカバリー全体ではなく、容量の詳細機能に適用されます。

プレビュー期間中、以下の地域で高度な容量インサイトが利用可能です。 支援は時間とともにより多くの地域に広がっていくでしょう。

対象範囲は一覧に記載された地域内で部分的となる場合があります。 ストレージアカウントでインサイトが利用できない場合は、数日待ってから問題が続く場合はAzureサポートに連絡してください。

権限

アクセス許可は、使い慣れた Azure ロールベースのアクセス制御 (RBAC) を使用して管理されます。 このセクションでは、次の手順について説明します。

• 探索サービスから分析情報を取得するストレージ リソースへのアクセス許可。
• ワークスペース リソースのアクセス許可に関する考慮事項。

ストレージ リソースへのアクセス許可

Storage Discovery ワークスペースの作成時に、ワークスペース ルートを構成します。 この構成の詳細については、管理コンポーネントに関する記事を参照してください。 ワークスペース ルートには、さまざまな種類の Azure リソースを少なくとも 1 つ、最大で 100 個一覧表示します。

• サブスクリプション
• リソース グループ

ワークスペースをデプロイするユーザーには、ワークスペース ルート内のすべてのリソースに対して、少なくともロール ベースのアクセス制御 (RBAC) ロールの割り当て 閲覧者 が必要です。 "閲覧者" は、必要となる最小のアクセス許可レベルです。 "共同作成者" と "所有者" もサポートされています。

Azure portal に一覧表示されているサブスクリプションの中には、"閲覧者" ロールが直接的に割り当てられていないものが含まれている可能性があります。 ロールの割り当てがないリソースが表示される場合は、そのサブスクリプションのサブ リソースに対するアクセス許可があると考えられます。 この場合、この "親" の存在が示されていますが、サブスクリプション リソース自体に対する権限はありません。 この例は、リソース グループにも当てはまります。 "閲覧者" 以上のロールが直接割り当てられていない場合、Azure リソースがワークスペースの基点 (ルート) になることはできません。

アクセス許可は、ワークスペースが作成されたときにのみ検証されます。 ワークスペースを作成した Azure アカウントのアクセス許可に対する変更 (削除を含む) は、ワークスペースまたは探索サービスの機能には影響しません。

ワークスペース リソースのアクセス許可に関する考慮事項

Azure Storage Discoveryワークスペースは、ストレージ資産に関するインサイトを生成します。 Azureポータルのレポートを通じてこれらのインサイトにアクセスするか、Azure Copilotを通じてこれらのインサイトを利用することができます。 ワークスペースに保存されたインサイトにアクセスするには、ユーザーがワークスペース上で少なくともRBACロール Reader を持っている必要があります。 "共同作成者" ロールと "所有者" ロールの割り当ても機能します。 ワークスペース上で先にリストされた3つのロールのうち1つを他のユーザーに割り当てることで、他のユーザーにインサイトへのアクセスを提供できます。

高度な容量に関する分析の前提条件

高度な容量インサイトを有効にする前に、以下を満たしていることを確認してください:

• 標準料金プラン上の既存のAzure Storage Discoveryワークスペース。 無料プランでは高度な容量インサイトは利用できません。
• ワークスペースのコントリビューターまたはオーナーロール。 また、この役割は設定済みプレフィックスの追加、編集、削除にも必要です。
• ワークスペース ルートに含まれる各テナント、サブスクリプション、またはリソース グループに対する以下のアクセス許可:

Microsoft.Storage/storageAccounts/read
Microsoft.Storage/storageAccounts/blobServices/containers/read
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read

高度な容量に関する分析情報はオプションです。 標準ワークスペースを作成したり、標準プランにアップグレードしても自動的に有効になるわけではありません。 プレビュー中は、ワークスペースの作成後に 「高度な容量インサイトを有効にする」 の手順に従って有効化してください。

高度な容量インサイトには別途の機能料金がかかりません。 標準プラン料金は、ワークスペースで分析されたストレージ資源やオブジェクトに基づいて適用されます。 詳細は、Azure Storage Discovery の価格をご覧ください。

機能を有効にする前に、ストレージアカウント、コンテナ、設定済みプレフィックスの プレビューカバレッジ制限 を確認してください。

次のステップ

• ストレージ ディスカバリー管理コンポーネントを確認する
• ストレージ ディスカバリーの価格について
• Storage Discovery ワークスペースを作成する