Microsoft Purview MSI のデータ ソースへのアクセスを大規模に構成する

Microsoft Purview は、データ ソースをスキャンするために、それらへのアクセス権を必要とします。 このチュートリアルは、Azure サブスクリプション所有者と Microsoft Purview データ ソース管理者を対象としています。 これは、必要なアクセスを特定し、Azure データ ソース全体で Microsoft Purview に必要な認証とネットワーク ルールを設定するのに役立ちます。

このチュートリアル シリーズのパート 2 では、次の内容を行います。

前提条件

• Azure サブスクリプションにアクセスできるようになります。 Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。
• Microsoft Purview アカウント。
• Azure SQL Database、Azure Synapse Analytics、Azure SQL Managed Instance などのデータ ソースを持つ各サブスクリプション内のAzure Key Vaultリソース。
• Microsoft Purview MSI 構成スクリプト。

データ ソースの Azure サブスクリプション リストを準備する

スクリプトを実行する前に、次の 4 つの列を持つ .csv ファイル (たとえば、"C:\temp\Subscriptions.csv" など) を作成します。

サンプル .csv ファイル:

スクリプトを実行し、必要な PowerShell モジュールをインストールします

Windows コンピューターからスクリプトを実行するには、次の手順に従います。

1. Microsoft Purview MSI 構成 スクリプトを任意の場所にダウンロードします。

2. お使いのコンピューターで、Windows タスク バーの検索ボックスに「 PowerShell 」と入力します。 検索ボックスの一覧で、[Windows PowerShell] を長押し (または右クリック) して、[管理者として実行] を選択します。

3. [PowerShell] ウィンドウで、次のコマンドを入力します。 ( <path-to-script> を抽出したスクリプト ファイルのフォルダー パスに置き換えます)。

   dir -Path <path-to-script> | Unblock-File
   

4. 次のコマンドを入力して、Azure コマンドレットをインストールします。

   Install-Module -Name Az -AllowClobber -Scope CurrentUser
   

5. 続 行するには NuGet プロバイダーが必要ですというプロンプトが表示されたら、「 Y」と入力し、 Enter キーを押します。

6. [ 信頼できないリポジトリ] プロンプトが表示されたら、「 A」と入力し、[ Enter] を選択します。

7. 前の手順を繰り返して、 Az.Synapse モジュールと AzureAD モジュールをインストールします。

PowerShell が必要なモジュールのインストールには、最大で 1 分かかる場合があります。

スクリプトの実行に必要なその他のデータを収集します

PowerShell スクリプトを実行してデータ ソース サブスクリプションの準備が整っていることを確認する前に、スクリプトで使用する次の引数の値を取得します。

• AzureDataType: データ ソースの種類として、次のいずれかのオプションを選択して、サブスクリプション全体のデータの種類に対する準備状態をチェックします。

  • BlobStorage

  • AzureSQLMI

  • AzureSQLDB

  • ADLSGen2

  • ADLSGen1

  • Synapse

  • All

• PurviewAccount: 既存の Microsoft Purview アカウントのリソース名。

• PurviewSub: Microsoft Purview アカウントが展開されているサブスクリプション ID。

アクセス許可を確認する

ユーザーに次のロールとアクセス許可があることを確認します。

Azure 環境でスクリプトを実行するには、少なくとも次のアクセス許可が必要です。

クライアント側準備スクリプトを実行する

次の手順を実行してスクリプトを実行します。

1. 次のコマンドを使用して、スクリプトのフォルダーに移動します。 <path-to-script>を抽出されたファイルのフォルダー パスに置き換えます。

   cd <path-to-script>
   

2. 次のコマンドを実行して、ローカル コンピューターの実行ポリシーを設定します。 実行ポリシーを変更するように求められたら、[はい] から [すべて] に A を入力します。

   Set-ExecutionPolicy -ExecutionPolicy Unrestricted
   

3. 次のパラメーターを使用してスクリプトを実行します。 DataType、PurviewName、SubscriptionID のプレースホルダーを置き換えます。

   .\purview-msi-configuration.ps1 -AzureDataType <DataType> -PurviewAccount <PurviewName> -PurviewSub <SubscriptionID>
   

   コマンドを実行すると、Azure Entra 資格情報を使用して Azure と Microsoft Entra ID にサインインするように求めるポップアップ ウィンドウが 2 回表示される場合があります。

環境内の Azure サブスクリプションとリソースの数によっては、レポートの作成に数分かかることがあります。

キー コンテナー内の資格情報が一致しない場合、Azure SQL Server インスタンスにサインインするように求められることがあります。 資格情報を指定するか、 Enter キーを押して特定のサーバーをスキップします。

プロセスが完了したら、出力レポートを表示して変更を確認します。

詳細情報

スクリプトはどのようなデータ ソースをサポートしていますか?

現在、スクリプトは次のデータ ソースをサポートしています。

• Azure Blob Storage (BlobStorage)
• Azure Data Lake Storage Gen2 (ADLSGen2)
• Azure Data Lake Storage Gen1 (ADLSGen1)
• Azure SQL Database (AzureSQLDB)
• Azure SQL Managed Instance (AzureSQLMI)
• Azure Synapse (Synapse) 専用プール

スクリプトを実行するときに、これらのデータ ソースのすべてまたは一部を入力パラメーターとして選択できます。

スクリプトにはどのような構成が含まれていますか?

このスクリプトは、次のタスクを自動的に完了するのに役立ちます。

Azure Blob Storage (BlobStorage)

• RBAC です。 選択したスコープの Microsoft Purview MSI に Azure RBAC 閲覧者ロールを割り当てます。 割り当てを確認します。
• RBAC です。 選択したスコープの下にある各サブスクリプションで、Azure RBAC ストレージ BLOB データ閲覧者ロールを Microsoft Purview MSI に割り当てます。 割り当てを確認します。
• ネットワーク。 プライベート エンドポイントがストレージ用に作成され、BLOB ストレージに対して有効になっているかどうかを報告します。
• サービス エンドポイント。 プライベート エンドポイントがオフの場合は、サービス エンドポイントがオンかどうかチェックし、[信頼された Microsoft サービスがこのストレージ アカウントにアクセスすることを許可する] を有効にします。

Azure Data Lake Storage Gen2 (ADLSGen2)

• RBAC です。 選択したスコープの Microsoft Purview MSI に Azure RBAC 閲覧者ロールを割り当てます。 割り当てを確認します。
• RBAC です。 選択したスコープの下にある各サブスクリプションで、Azure RBAC ストレージ BLOB データ閲覧者ロールを Microsoft Purview MSI に割り当てます。 割り当てを確認します。
• ネットワーク。 プライベート エンドポイントがストレージ用に作成され、BLOB ストレージに対して有効になっているかどうかを報告します。
• サービス エンドポイント。 プライベート エンドポイントがオフの場合は、サービス エンドポイントがオンかどうかチェックし、[信頼された Microsoft サービスがこのストレージ アカウントにアクセスすることを許可する] を有効にします。

Azure Data Lake Storage Gen1 (ADLSGen1)

• ネットワーク。 サービス エンドポイントがオンになっていることを確認し、すべての Azure サービスが Data Lake Storage のこの Data Lake Storage Gen1 アカウントにアクセスすることを許可します。
• アクセス許可。 Microsoft Purview MSI への読み取り/実行アクセス権を割り当てます。 アクセスを確認します。

Azure SQL Database (AzureSQLDB)

• SQL Server インスタンス:

  • できます。 パブリック エンドポイントとプライベート エンドポイントのどちらが有効かを報告します。
  • ファイアウォール。 プライベート エンドポイントがオフの場合は、ファイアウォール規則を確認し、[Azure サービスとリソースにこのサーバーへのアクセスを許可する] を有効にします。
  • Microsoft Entra 管理。 Azure SQL Database の Microsoft Entra 認証を有効にします。

• SQL データベース:

  • SQL ロール。 db_datareader ロールを Microsoft Purview MSI に割り当てます。

Azure SQL Managed Instance (AzureSQLMI)

• SQL Managed Instance サーバー:

  • できます。 パブリック エンドポイントまたはプライベート エンドポイントがオンになっていることを確認します。 パブリック エンドポイントがオフの場合は報告します。

  • ProxyOverride。 Azure SQL Managed Instance がプロキシまたはリダイレクトとして構成されていることを確認します。

  • ネットワーク。 NSG 規則を更新して、必要なポート経由で Azure Cloud の SQL Server インスタンスへの受信アクセスを許可します。

    • リダイレクト: 1433 および 11000-11999

    または

    • Proxy: 3342

    このアクセスを検証します。

  • Microsoft Entra 管理。 Azure SQL Managed Instance の Microsoft Entra 認証を有効にします。

• SQL データベース:

  • SQL ロール。 db_datareader ロールを Microsoft Purview MSI に割り当てます。

Azure Synapse (Synapse) 専用プール

• RBAC です。 選択したスコープの Microsoft Purview MSI に Azure RBAC 閲覧者ロールを割り当てます。 割り当てを確認します。

• RBAC です。 選択したスコープの下にある各サブスクリプションで、Azure RBAC ストレージ BLOB データ閲覧者ロールを Microsoft Purview MSI に割り当てます。 割り当てを確認します。

• SQL Server インスタンス (専用プール):

  • できます。 パブリック エンドポイントとプライベート エンドポイントのどちらがオンになっているかを報告します。
  • ファイアウォール。 プライベート エンドポイントがオフの場合は、ファイアウォール規則を確認し、[Azure サービスとリソースにこのサーバーへのアクセスを許可する] を有効にします。
  • Microsoft Entra 管理。 Azure SQL Database の Microsoft Entra 認証を有効にします。

• SQL データベース:

  • SQL ロール。 db_datareader ロールを Microsoft Purview MSI に割り当てます。

次の手順

このチュートリアルでは、次の方法について説明しました。

次のチュートリアルに進み、 Microsoft Purview で複数のソースを登録してスキャンする方法について説明します。