ワークスペース ID

Fabric ワークスペース ID は、Fabric ワークスペースに関連付けることができる、自動的に管理されるサービス プリンシパルです。 ワークスペース ID を持つFabric ワークスペースは、OneLake ショートカットの信頼されたワークスペース アクセスを通じて、ファイアウォールが有効な Azure Data Lake Storage Gen2 アカウントの読み取りまたは書き込みを安全に行うことができます。 Fabric アイテムは、Microsoft Entra 認証をサポートするリソースに接続するときに、その ID を使用できます。 Fabric では、ワークスペース ID を使用して Microsoft Entra トークンを取得します。お客様が資格情報を管理する必要はありません。

ワークスペース ID は、[マイ ワークスペース] を除く任意のワークスペースの設定で作成できます。

ワークスペース アイデンティティを作成すると、そのアイデンティティを表すサービス プリンシパルが Microsoft Entra ID に作成されます。 付随するアプリの登録も作成されます。 Fabric は、ワークスペース ID に関連付けられている資格情報を自動的に管理するため、資格情報の不適切な処理による資格情報の漏洩とダウンタイムを防ぎます。

Fabric ワークスペース ID は Azure マネージド ID といくつかの点で類似していますが、そのライフサイクル、管理、ガバナンスは異なります。 Fabricはワークスペースのアイデンティティの独立したライフサイクルを管理します。 オプションでFabricワークスペースをアイデンティティに関連付けることも可能です。 ワークスペースを完全に削除すると、Fabricはそのアイデンティティも削除します。 ワークスペース ID の名前は、関連付けられているワークスペースの名前と常に同じです。

ワークスペース ID の作成と管理

ワークスペース ID を作成および管理するには、ワークスペース管理者である必要があります。 ID を作成するワークスペースを [マイ ワークスペース] にすることはできません。

1. Microsoft Fabric ポータルにサインインします。
2. [ ワークスペース] を選択し、ワークスペース ID を作成するワークスペースを選択します。
3. ワークスペースで、 ワークスペース設定 (歯車) アイコンを選択します。
4. [ワークスペース ID] タブを選択します。
5. [ワークスペース ID の追加] ボタンを選択します。

ワークスペース ID が作成されると、ワークスペース ID の詳細、許可されているユーザーの一覧がタブに表示されます。

以降のセクションでは、ワークスペース ID 構成のセクションについて説明します。

身元の詳細

承認されたユーザー

詳細については、「アクセスの制御」を参照してください。

ワークスペース ID を削除する

ID が削除されると、信頼されたワークスペースアクセスまたは認証のためにワークスペース ID に依存する Fabric アイテムは動作しません。 削除されたワークスペース ID は復元できません。

ワークスペース ID の使用方法

ワークスペース ID は現在、次の 2 つの方法で使用できます。

• 認証: OneLake ショートカット、パイプライン、セマンティック モデル、およびデータフロー Gen2 (CI/CD) をデータ ソースに接続するときに、この ID が認証オプションとして表示される方法については、「 ワークスペース ID を使用した認証」を参照してください。

• 信頼されたワークスペース アクセスの場合: ワークスペース ID を持つワークスペース内のショートカットは、信頼されたサービス アクセスに使用できます。 詳細については、「信頼されたワークスペース アクセス」を参照してください。

ワークスペース ID のセキュリティ、管理、ガバナンス

以降のセクションでは、ワークスペース ID を使用できるユーザーと、Microsoft Purview と Azure でワークスペース ID を監視する方法について説明します。

アクセス制御

ワークスペース ID は、ワークスペース管理者が作成および削除できます。 既定では、ワークスペース ID にはワークスペース ロールは付与されません。

ワークスペース ID は、接続内のリソースをターゲットにするための認証でサポートされています。 ワークスペース内で管理者、メンバー、または投稿者ロールを持つユーザーのみが、接続での認証用にワークスペース ID を構成できます。

アプリケーション管理者または、それよりも高いロールを持つユーザーは、Azure のワークスペース ID に関連付けられているサービス プリンシパルとアプリの登録を表示、変更、削除できます。

Fabric でワークスペース ID を管理する

Fabric管理者は、テナント内で作成したワークスペースのアイデンティティを管理できます。 OneLake カタログの Govern セクションにある Configurations の下で、Fabric identities を使用してください。

1. OneLake カタログで、Govern>Configurations>Fabric IDを選択します。
2. ワークスペース ID を選択し、[詳細] を選択します。
3. [詳細] タブでは、ワークスペース ID に関連する追加情報を表示できます。
4. ワークスペース ID を削除することもできます。

   注

   削除後にワークスペース ID を復元することはできません。 「ワークスペース ID を削除する」で説明されているワークスペース ID の削除の影響を確認してください。

Microsoft Purview 監査でワークスペースのアイデンティティイベントをレビューする

ワークスペースのアイデンティティを作成・削除した際に生成される監査イベントは、Microsoft Purview 監査で確認できます。 ログにアクセスするには:

1. Microsoft Purview 監査へ行ってください。
2. 監査検索フォームが表示されたら、[アクティビティ - フレンドリ名] フィールドを使用して Fabric ID を検索し、ワークスペース ID に関連するアクティビティを見つけます。 現在、ワークスペース ID に関連するアクティビティは次のとおりです。
   • ワークスペース用に作成された Fabric ID
   • ワークスペース用のファブリック・アイデンティティが取得された
   • ワークスペース用に削除された Fabric ID
   • ワークスペース用の Fabric ID トークンを取得しました。

Azure でワークスペース ID を管理する

ワークスペース ID に関連付けられているアプリケーションは、Azure portal のエンタープライズ アプリケーションとアプリの登録の両方で表示できます。

エンタープライズ アプリケーション

ワークスペース ID に関連付けられているアプリケーションは、Azure portal の[エンタープライズ アプリケーション]で表示できます。 Fabric Identity Management アプリは、その構成のオーナーです。

この ID の監査ログとサインイン ログを表示するには

1. Azure portal にサインインします。
2. [Microsoft Entra ID] > [エンタープライズ アプリケーション] に移動します。
3. 目的に応じて、[監査ログ] または [サインイン ログ] を選択します。

アプリの登録

ワークスペース ID に関連付けられているアプリケーションは、Azure portal の [アプリの登録] で表示できます。 ワークスペース ID が機能しなくなるため、そこで変更を加える必要はありません。

アプリの登録は、ワークスペースのアイデンティティがFabricに存在している限り、削除されたワークスペースが保持期間中であってもリストに残ります。 詳細は「 同一性の削除」を参照してください。

詳細シナリオ

次のセクションでは、発生する可能性のあるワークスペース ID に関連するシナリオについて説明します。

IDの削除

ワークスペース ID は、ワークスペース設定で削除できます。 ID が削除されると、信頼されたワークスペースアクセスまたは認証のためにワークスペース ID に依存する Fabric アイテムは動作しません。 削除されたワークスペース ID は復元できません。

Fabricはワークスペースのアイデンティティも削除しますが、管理者が復元できるようにワークスペースを保存期間中は削除されたままにします。 保持期間中、Fabricはワークスペースのアイデンティティを解除せず、サービスプリンシパルとアプリ登録はAzureポータル上で確認されたままです。

Fabricはワークスペースを永久に削除すると、そのワークスペースのアイデンティティを解除します。 この永久的な削除は、以下のいずれかの方法で起こります。

• 保持期間が切れると、バックグラウンドジョブがワークスペースを永久に削除します。
• Fabric管理者は保持期間中にワークスペースを永久に削除します。 詳細については、「 保持期間中に削除された共同作業スペースを永久削除」をご覧ください。

永久削除が始まると、ワークスペースのアイデンティティは削除状態に移行し、関連するサービスプリンシパルやアプリ登録がMicrosoft Entra IDに表示されなくなるまでには時間がかかることがあります。

もしワークスペースを定期的に削除して同じ名前で再作成していると、削除されたワークスペースが保持期間中の間に、その名前のアプリ登録がテナント内で複数あるのを見ることがあります。 保存期間が切れるまでワークスペースのアイデンティティを削除するには、以下のいずれかのオプションを使用します。

• ワークスペースを削除する前に、ワークスペース設定の ワークスペース IDタブでワークスペースのアイデンティティを削除してください。
• 保持期間中にワークスペースを永久に削除してもらうようFabric管理者に依頼してください。

削除後にワークスペースを復元しても、ワークスペースのアイデンティティは復元 されません 。 復元されたワークスペースにワークスペース ID を設定する場合は、新しいワークスペースを作成する必要があります。

ワークスペースの名前を変更する

ワークスペースの名前が変更されると、ワークスペース ID もワークスペース名と一致するように名前が変更されます。 ただし、Microsoft Entra アプリケーションとサービス プリンシパルは変更されません。 テナントには、同じ名前の複数のアプリケーションやアプリ登録オブジェクトが存在する可能性があることに注意してください。

考慮事項と制限事項

• ワークスペース ID は、[マイ ワークスペース] を除く任意のワークスペースで作成できます。

• ワークスペースに割り当てられた容量SKUに関係なく、ワークスペースのアイデンティティを作成して使用できます。

• クラウド接続でワークスペースIDを認証情報として使用することは、あらゆる形でサポートされています。

• ファイアウォール対応ストレージアカウントへの信頼されたワークスペースアクセスには、ワークスペースが購入されたMicrosoft Fabric容量(F SKU)に割り当てられている必要があります。

• ワークスペースIDを持つワークスペースを非Fabric容量、非F SKU Fabric容量、またはトライアル容量に移行しても、そのIDは無効化や削除はされませんが、信頼されたワークスペースアクセスに依存するFabricアイテムは動作しなくなります。

• テナントには、既定の 10,000 個のワークスペース ID を作成できます。 テナント設定で独自の最大値を指定することもできます。これは、テナント全体での Fabric ID の作成の上限になります。 詳細については、「 テナント内のファブリック ID の最大数を定義する」を参照してください。

• Fabric では、ワークスペースを削除しても、そのワークスペース ID は削除されません。 Fabricはワークスペースが永久に削除された後にのみ削除します。 その結果、ワークスペースを削除して同じ名前で再作成すると、同じ名前のアプリ登録が複数存在するテナントになることがあります。 詳細は「 同一性の削除」を参照してください。

• ワークスペース ID を持つワークスペース内の Azure Data Lake Storage Gen2 ショートカットは、信頼されたサービス アクセスが可能になります。

• ワークスペース ID は、B2B またはテナント間のシナリオではサポートされていません。

ワークスペース ID の作成に関する問題のトラブルシューティング

• 作成ボタンが無効になっているためにワークスペース ID を作成できない場合は、ワークスペース管理者ロールがあることをご確認ください。

• テナントでワークスペース ID を初めて作成するときに問題が発生した場合は、次の手順を試してください。

  1. ワークスペース ID の状態が失敗である場合は、1 時間待ってから ID を削除してください。
  2. ID が削除されたら、5 分待ってから、もう一度 ID を作成します。

関連するコンテンツ

• ワークスペース ID を使用して認証する
• 信頼されたワークスペース アクセス
• ファブリックアイデンティティ