Microsoft Fabricのワークスペース レベルのプライベート リンク

プライベート リンクは、仮想ネットワークとMicrosoft Fabricの間にセキュリティで保護されたプライベート接続を提供します。 データへのパブリック インターネット アクセスをブロックし、不正アクセスやデータ侵害のリスクを軽減します。 Azure Private LinkとAzure ネットワーク プライベート エンドポイントを使用して、インターネット経由ではなく、Microsoftのバックボーン ネットワーク インフラストラクチャ経由でデータ トラフィックをプライベートに送信します。

Fabric では、テナント レベルとワークスペース レベルの両方でプライベート リンクがサポートされています。 テナント レベルのプライベート リンク は、テナント全体にネットワーク制限を適用し、すべてのワークスペースとリソースをセキュリティで保護します。 ワークスペース レベルのプライベート リンクは、テナント全体の変更を必要とせず、またはFabric環境内の他のワークスペースに影響を与えることなく、特定のワークスペース内の機密データまたはリソースへのアクセスをセキュリティで保護します。

この記事では、Microsoft Fabricのワークスペース レベルのプライベート リンクの概要について説明します。 詳細なセットアップ手順については、「 ワークスペース レベルのプライベート リンクを設定して使用する」を参照してください。

ワークスペース レベルのプライベート リンクの概要

ワークスペース レベルのプライベート リンクは、Azure Private Link サービスを使用して、ワークスペースを特定の仮想ネットワークにマップします。 プライベート リンクを有効にすると、ワークスペースへのパブリック インターネット アクセスを制限できるため、承認された仮想ネットワーク内のリソース (プライベート エンドポイント経由) のみがワークスペースにアクセスできます。 次の図は、ワークスペース レベルのプライベート リンクのさまざまな実装を示しています。

この図では、次の操作を行います。

• ワークスペース 1 では、受信パブリック アクセスが制限されます。 VNet A と VNet B のマシンは、ワークスペース レベルのプライベート リンクを使用してアクセスできます。

• ワークスペース 2 では 、受信パブリック アクセスが制限されます。 VNet B 内のマシンは、ワークスペース レベルのプライベート リンクを介してアクセスできます。

• ワークスペース 3 には、制限付きの受信通信規則が構成されていないため、パブリック インターネットからアクセスできます。 VNet B 内のマシンは、ワークスペース レベルのプライベート リンクを介してアクセスすることもできます。 この構成では、パブリック アクセスとプライベート アクセスの両方が許可されます。運用環境では推奨されません。 このセットアップは、ワークスペースをパブリック インターネットに公開し、完全な受信ネットワーク保護を提供しないため、テスト目的でのみ使用します。

• ワークスペース 4 には、制限付きの受信通信規則が構成されていないため、パブリック インターネットからアクセスできます。

この図は、ワークスペース レベルのプライベート リンクに関する次の重要なポイントを示しています。

• 受信パブリック アクセスを制限するようにワークスペースを構成すると、パブリック インターネットからはアクセスできません。 アクセスできるのは、ワークスペース レベルのプライベート リンクのみです。

• プライベート リンク サービスには、ワークスペースとの 1 対 1 のリレーションシップがあります。 図に示すように、各ワークスペースには独自のプライベート リンク サービスがあります。

• ワークスペースのプライベート リンク サービスには、複数のプライベート エンドポイントを含めることができます。 たとえば、VNet A と VNet B の両方が、個別のプライベート エンドポイントを介してワークスペース 1 に接続します。 プライベート エンドポイントの数の制限については、「 サポートされているシナリオ」とワークスペース レベルのプライベート リンクの制限を確認できます。

• 仮想ネットワークは、それぞれに個別のプライベート エンドポイントを作成することで、複数のワークスペースに接続できます。 たとえば、VNet B は、3 つのプライベート エンドポイントを使用してワークスペース 1、2、3 に接続します。

• プライベート リンクの有無にかかわらず、ワークスペースへのパブリック アクセスを制限できます。 パブリック アクセスを制限し、プライベート リンクを作成しない場合、ワークスペースはすべてのネットワークからアクセスできなくなります。 ただし、ワークスペース管理者は、通信ポリシー API を使用して受信アクセス規則を変更できます。

• ワークスペース レベルのプライベート リンクを使用して、特定のワークスペースへのプライベート リンク接続を確立します。 これを使用して別のワークスペースに接続することはできません。 図に示されている構成では、VNet A からワークスペース 2 への接続は許可されていません。 一方、VNet A でクライアント ネットワーク設定で送信パブリック アクセスが許可されている場合は、VNet A からワークスペース 3 および 4 への接続が可能です。

ワークスペースへの接続

プライベート リンクを使用してワークスペースに接続するには、ワークスペースの完全修飾ドメイン名 (FQDN) を使用します。

ワークスペース ID からワークスペースの FQDN を構築します。

• https://{workspaceId}.z{xy}.w.api.fabric.microsoft.com
• https://{workspaceId}.z{xy}.c.fabric.microsoft.com
• https://{workspaceId}.z{xy}.onelake.fabric.microsoft.com
• https://{workspaceId}.z{xy}.dfs.fabric.microsoft.com
• https://{workspaceId}.z{xy}.blob.fabric.microsoft.com

Where:

• {workspaceId} は、ダッシュのないワークスペース ID です
• z は接続文字列に文字どおり含まれています
• {xy} は、ワークスペース ID の最初の 2 文字です

Example:

https://1234567890abcdef1234567890abcdef.z12.w.api.fabric.microsoft.com

この例は次のとおりです。

• 1234567890abcdef1234567890abcdef はワークスペース ID (ダッシュなし) です
• 12 は、ワークスペース ID の最初の 2 文字に対応します

データ ウェアハウスに接続する方法

データ ウェアハウスに接続する場合、接続文字列形式は若干異なります。 SQL 接続文字列の下にある通常のウェアハウス接続文字列に z{xy} を追加する必要があります。 データ ウェアハウス接続の FQDN は次のとおりです。

• https://{GUID}-{GUID}.z{xy}.datawarehouse.fabric.microsoft.com

Where:

• GUID はそれぞれテナント GUID とワークスペース GUID に対応します。

この FQDN は、プライベート エンドポイントの DNS 構成の一部として使用できません。

ワークスペース ID を検索する方法

ワークスペース ID は、次のいずれかの方法で確認できます。

• Fabric ポータルでワークスペースを開き、URL の group= の後に値をコピーします
• [ワークスペースの一覧表示] または [ワークスペースの取得] API を使用する

異なる環境でのワークスペース FQDN の解決方法

ワークスペースの FQDN は、次の表に示すように、環境とプライベート リンクの構成に基づいて異なる IP アドレスに解決されます。

ワークスペース FQDN は、ダッシュのないワークスペース オブジェクト ID と正しい xy プレフィックス (ワークスペース オブジェクト ID の最初の 2 文字) を使用して正しく構築する必要があります。 FQDN が正しく書式設定されていない場合、目的のプライベート IP アドレスに解決されず、ワークスペース レベルのプライベート リンク接続は失敗します。

関連コンテンツ

• ワークスペース レベルのプライベート リンクでサポートされるシナリオと制限事項
• プライベート リンクについて