Microsoft PurviewのSQLアクセスポリシーの廃止

対象:Azure SQL DatabaseAzure SQL Managed InstanceAzure Arc 対応 SQL Server

DevOpsポリシー、データオーナーポリシー、セルフサービスポリシーを含むSQLのMicrosoft Purviewアクセスポリシーは、2027年10月30日に廃止されます。 この記事では、どのような変更が行われるのか、自分が影響を受けるかどうかを確認する方法、これらのポリシーによって付与されているアクセス権を SQL のネイティブ ロールやアクセス許可に移行する方法について説明します。

このリタイアメントはAzure SQL Database、Azure SQL Managed Instance、Azure Arc対応SQL Server 2022に適用されます。

何が変わっているのか

Microsoft PurviewのSQLアクセスポリシーは2027年10月30日に廃止されます。

Microsoft Purviewのアクセスポリシーの代わりに、SQLのネイティブ認可モデルを使用し、Microsoft EntraのユーザーやグループにSQLの役割と権限を割り当てます。

2027年10月30日までは、既存のDevOps、データオーナー、セルフサービスポリシーは現在通りに機能します。 その日以降、SQLはそれらを強制せず、それらを通じて付与されたアクセス権も削除します。

影響を受けるユーザー

御社がMicrosoft Purview DevOps、データオーナー、またはセルフサービスポリシーを使ってSQLリソースへのアクセスを許可する場合、2027年10月30日以降、SQLネイティブ認証で同等の権限を設定しない限り、ユーザーはアクセス権を失います。

影響を受けた資源の特定方法

どちらの方法でも使用できます。 Purviewポータルはポリシー自体を表示します。 Azure Resource Graphは外部ガバナンスがオンになっているSQLリソースを表示し、多くのサブスクリプションを管理する際に便利です。

Microsoft Purview ポータルでポリシーを確認する

ポリシーをリストアップするには、ルートコレクションレベルでポリシー作成者、データソース管理者、データキュレーター、またはデータリーダーの役割が必要です。

  1. Microsoft Purview ガバナンス ポータルにサインインします。
  2. 左側のペインで 「データポリシー」を選択し、その後「 DevOps ポリシー 」を選択してDevOpsポリシーを確認してください。
  3. データ ポリシーを選択して、データ所有者ポリシーを確認してください。
  4. Purviewが承認されたアクセスリクエストから作成したセルフサービスポリシーを確認するには 、「セルフサービスアクセスポリシー 」を選択してください。
  5. Azure SQL Database、Azure SQL Managed Instance、またはAzure Arc-enabled SQL Server 2022にスコープされたポリシーを特定してください。

これらのMicrosoft Purview記事は、各プラットフォームのポリシー設定を説明しています:Azure SQL Database、Azure SQL Managed Instance、そしてAzure Arc-enabled SQL Server 2022。 ポリシーの背景については、Microsoft Purview DevOps ポリシーの概念を参照してください。

Azure Resource Graphを使用する

以下のクエリは、現在Purviewアクセスポリシーが有効になっているSQLリソースを特定します。

Azure SQL Database の場合:

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Azure SQL Managed Instanceの場合:

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Azure Arc 対応 SQL Server 2022 の場合:

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

SQLネイティブのロールと権限への移行

各Purviewポリシーアクションを、同じMicrosoft Entraユーザーおよびグループに割り当てられた固定サーバーレベルの役割に置き換えます。 以下のロールはAzure SQL Database、Azure SQL Managed Instance、Azure Arc対応SQL Server 2022で利用可能です。

Purview ポリシー アクション 同等の SQL Server ロール
SQLパフォーマンス監視 ##MS_ServerPerformanceStateReader##、##MS_PerformanceDefinitionReader##
SQLセキュリティ監査 ##MS_ServerSecurityStateReader##、##MS_SecurityDefinitionReader##
データベースユーザーなしでデータベースに接続する ##MS_DatabaseConnector##

その職務に必要なロールのみを割り当ててください。 4 つの閲覧者ロールは、それぞれ ##MS_ServerStateReader## および ##MS_DefinitionReader## よりも権限が限定されており、これにより最小権限の原則を遵守しやすくなります。

ロールの全リストとそれぞれが付与する権限については、サーバーレベルのロールと権限管理のための Azure SQL Database サーバー ロールを参照してください。

Note

Azure SQL Databaseでは、仮想ALTER SERVER ROLEデータベースに接続した状態でmasterとCREATE LOGINを実行してください。

SQL パフォーマンス監視へのアクセス権限の置き換え

Microsoft Entraセキュリティグループのログインを作成し、シナリオに必要なパフォーマンス重視の固定サーバーロールに追加してください。

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

SQL セキュリティ監査アクセスを置き換える

Microsoft Entra セキュリティ グループのログインを作成し、維持する監査の責任範囲に合わせて、「セキュリティ状態」と「セキュリティ定義リーダー」のロールを割り当てます。

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

データベースユーザーなしで接続を許可する

Purviewポリシーでそのデータベースにユーザーがプロビジョニングされていないプリンシパルでもデータベースに接続できる場合は、##MS_DatabaseConnector## 固定サーバー ロールを使用します。

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];
  • SQLパフォーマンスモニター、SQLセキュリティ監査人、SQLオペレーション、SQLデータ所有者など、職務機能を表現するMicrosoft Entraセキュリティグループを作成しましょう。
  • 各Microsoft Entraグループから対応するSQLログインまたはデータベースユーザーを作成します。
  • ジョブ関数が必要とする固定サーバーロール、データベースロール、または明示的な権限のみを割り当ててください。
  • まずは非本番環境でスクリプトをテストし、Purviewポリシーが付与したアクセス権と有効権限を比較してください。
  • Purviewポリシーへの依存を解除する前に、代表的なユーザーでアクセスを検証してください。
  • ロールバックプランを保持し、検証が完了した後にのみレガシー割り当てを削除してください。

必要なアクション

アクセス権を失わないために:

  1. Microsoft Purview DevOps のポリシー、データ所有者のポリシー、またはセルフサービス ポリシーによって管理される SQL リソースを特定しましょう。
  2. これらのポリシーを通じてアクセスを受けるユーザーやグループを確認しましょう。
  3. Microsoft Entraのユーザーやグループに割り当てられたSQLネイティブの役割と権限を使ってアクセスを再作成してください。
  4. 2027 年 10 月 30 日までに新しいアクセス権を検証してください。
  5. SQLリソースのPurviewアクセスポリシーに残っている依存を解除してください。

よく寄せられる質問

何が廃止されますか？

Azure SQL Database、Azure SQL Managed Instance、Azure Arc 対応 SQL Server 2022 向けの、DevOps ポリシー、データ オーナー ポリシー、セルフサービス ポリシーを含む SQL の Microsoft Purview アクセス ポリシー。

現在、私の既存のポリシーに影響はありますか？

No. 既存の保険は2027年10月30日まで有効です。

2027年10月30日以降はどうなるのでしょうか?

SQL は、Purview のアクセス ポリシーの適用を停止します。 それらのポリシーによって付与されていたアクセスは、現在は利用できません。

代わりに何を使うべきでしょうか?

SQL に搭載されている認証機能で、Microsoft Entra のユーザーとグループに、サーバー レベルの固定されたロールとアクセス許可を割り当てます。 「 SQLネイティブの役割と権限への移行」を参照してください。

自分が影響を受けているかどうかはどうやってわかりますか?

Microsoft Purview ポータルでDevOps、データオーナー、セルフサービスポリシーを確認し、影響を受けるリソースを識別する方法でAzure Resource Graphクエリを実行してください。

関連するコンテンツ

  • 最終更新: