Microsoft Purview で Azure Arc 対応SQL Serverに接続して管理する

[アーティクル]
08/23/2023

この記事では、Azure Arc 対応SQL Server インスタンスを登録する方法について説明します。また、Microsoft Purview で Azure Arc 対応SQL Serverを認証して操作する方法についても説明します。 Microsoft Purview の詳細については、入門記事を参照してください。

サポートされている機能

メタデータ抽出	フルスキャン	増分スキャン	スコープスキャン	分類	ラベル付け	アクセスポリシー	系統	データ共有	ライブビュー
はい	はい (プレビュー)	はい (プレビュー)	はい (プレビュー)	はい (プレビュー)	不要	○	限られた**	不要	不要

** データセットがAzure Data Factoryコピーアクティビティでソース/シンクとして使用される場合は、系列がサポートされます。

サポートされているSQL Serverバージョンは 2012 以降です。 SQL Server Express LocalDB はサポートされていません。

Azure Arc 対応のSQL Serverをスキャンする場合、Microsoft Purview では次の技術メタデータの抽出がサポートされます。

Instances
Databases
Schemas
列を含むテーブル
列を含むビュー

スキャンを設定するときは、データベース名を指定して 1 つのデータベースをスキャンするように選択できます。必要に応じてテーブルとビューを選択することで、スキャンの範囲をさらに広げることもできます。データベース名を指定しないと、Azure Arc 対応SQL Server インスタンス全体がスキャンされます。

前提条件

アクティブなサブスクリプションを持つ Azure アカウント。無料でアカウントを作成します。
アクティブな Microsoft Purview アカウント。
Microsoft Purview ガバナンスポータルでソースを登録して管理するためのデータソース管理者とデータ閲覧者のアクセス許可。詳細については、 Microsoft Purview ガバナンスポータルのアクセス制御に関するページを参照してください。
最新のセルフホステッド統合ランタイム。詳細については、「セルフホステッド統合ランタイムの作成と管理」を参照してください。

登録

このセクションでは、Microsoft Purview ガバナンスポータルを使用して、Azure Arc 対応SQL Server インスタンスを Microsoft Purview に登録する方法について説明します。

登録の認証

セルフホステッド統合ランタイムを使用して Azure Arc 対応SQL Serverをスキャンするための認証を設定するには、次の 2 つの方法があります。

Windows 認証
SQL Server 認証

SQL Server展開の認証を構成するには:

SQL Server Management Studio (SSMS) で、[サーバーのプロパティ] に移動し、左側のウィンドウで [セキュリティ] を選択します。
[ サーバー認証] で、次の手順を実行します。
- [Windows 認証] で、[Windows 認証モード] または [SQL Server と Windows 認証モード] を選択します。
- SQL Server認証の場合は、[SQL Serverと Windows 認証モード] を選択します。

サーバー認証を変更するには、SQL Server インスタンスとSQL Server エージェントを再起動する必要があります。 SSMS で、SQL Server インスタンスに移動し、右クリックオプションウィンドウで [再起動] を選択します。

新しいログインとユーザーを作成してSQL Server インスタンスをスキャンする場合は、次の手順を使用します。

アカウントはマスターデータベース内にあるため sys.databases 、マスターデータベースにアクセスできる必要があります。サーバー上のすべての SQL データベースを検索するには、Microsoft Purview スキャナーを列挙 sys.databases する必要があります。

注:

このコードを使用して、次のすべての手順を実行できます。

SSMS に移動し、サーバーに接続し、左側のウィンドウで [ セキュリティ ] を選択します。
[ ログイン] を選択して長押し (または右クリック) し、[ 新しいログイン] を選択します。 Windows 認証が適用されている場合は、[Windows 認証] を選択します。 SQL Server認証が適用されている場合は、[SQL Server認証] を選択します。
左側のウィンドウで [ サーバーロール ] を選択し、パブリックロールが割り当てられていることを確認します。
左側のウィンドウで [ ユーザーマッピング ] を選択し、マップ内のすべてのデータベースを選択し、 db_datareader データベースロールを選択します。
[ OK] を選択 して保存します。
認証SQL Server適用される場合は、新しいログインを作成したらすぐにパスワードを変更する必要があります。
1. 作成したユーザーを長押し (または右クリック) し、[ プロパティ] を選択します。
2. 新しいパスワードを入力して確認します。
3. [ 古いパスワードを指定 する] チェックボックスをオンにし、古いパスワードを入力します。
4. [OK] を選択します。

Azure portalでキーコンテナーに移動します。 [設定シークレット] を>選択します。
[ + 生成/インポート] を選択します。 [名前] と [値] に、SQL Server ログインのパスワードを入力します。
[作成] を選択します。
キーコンテナーがまだ Microsoft Purview に接続されていない場合は、新しいキーコンテナー接続を作成します。
ユーザー名とパスワードを使用してスキャンを設定して、新しい資格情報を作成します。

新しい資格情報を作成するときは、必ず適切な認証方法を選択してください。 Windows 認証が適用されている場合は、[Windows 認証] を選択します。 SQL Server認証が適用されている場合は、[SQL Server認証] を選択します。

登録手順

Microsoft Purview アカウントに移動します。
左側のウィンドウの [ ソースとスキャン ] で、[ 統合ランタイム] を選択します。セルフホステッド統合ランタイムが設定されていることを確認します。設定されていない場合は、手順に従って、オンプレミスネットワークにアクセスできるオンプレミスまたは Azure 仮想マシンでスキャンするためのセルフホステッド統合ランタイムを作成します。
左側のウィンドウで [ データマップ ] を選択します。
[登録] を選択します。
[Azure Arc 対応SQL Server] を選択し、[続行] を選択します。
フレンドリ名を指定します。これは、サーバーを識別するために使用できる短い名前です。サーバーエンドポイントも指定します。
[ 完了] を選択 してデータソースを登録します。

スキャン

Azure Arc 対応のSQL Server インスタンスをスキャンして、資産を自動的に識別し、データを分類するには、次の手順に従います。一般的なスキャンの詳細については、「 Microsoft Purview でのスキャンとインジェスト」を参照してください。

新しいスキャンを作成して実行するには:

Microsoft Purview ガバナンスポータルで、左側のウィンドウの [データマップ] タブを選択します。
登録した Azure Arc 対応SQL Server ソースを選択します。
[ 新しいスキャン] を選択します。
資格情報を選択してデータソースに接続します。資格情報はグループ化され、認証方法の下に一覧表示されます。
スキャンの範囲を特定のテーブルに設定するには、一覧で適切な項目を選択します。
スキャンルールセットを選択します。システムの既定値、既存のカスタムルールセット、または新しいルールセットのインライン作成のいずれかを選択できます。
スキャントリガーを選択します。スケジュールを設定することも、スキャンを 1 回実行することもできます。
スキャンを確認し、[保存して 実行] を選択します。

スキャンとスキャンの実行を表示する

既存のスキャンを表示するには:

Microsoft Purview ガバナンスポータルに移動します。左側のウィンドウで、[ データマップ] を選択します。
データソースを選択します。 [最近のスキャン] で、そのデータソースの既存の スキャンの一覧を表示したり、[ スキャン ] タブですべてのスキャンを表示したりできます。
表示する結果を含むスキャンを選択します。このウィンドウには、以前のすべてのスキャン実行と、各スキャン実行の状態とメトリックが表示されます。
実行 ID を選択して、スキャン実行の詳細をチェックします。

スキャンを管理する

スキャンを編集、取り消し、または削除するには:

Microsoft Purview ガバナンスポータルに移動します。左側のウィンドウで、[ データマップ] を選択します。
データソースを選択します。 [最近のスキャン] で、そのデータソースの既存の スキャンの一覧を表示したり、[ スキャン ] タブですべてのスキャンを表示したりできます。
管理するスキャンを選択します。次のことを実行できます。
- [スキャンの編集] を選択して スキャンを編集します。
- [スキャンの実行の取り消し] を選択して、進行中 のスキャンを取り消します。
- [スキャンの削除] を選択して スキャンを削除します。

注:

スキャンを削除しても、以前のスキャンから作成されたカタログ資産は削除されません。
ソーステーブルが変更され、Microsoft Purview の [スキーマ] タブで説明を編集した後にソーステーブルを再スキャンした場合、資産は スキーマ の変更で更新されなくなります。

アクセスポリシー

サポートされているポリシー

Microsoft Purview のこのデータリソースでは、次の種類のポリシーがサポートされています。

DevOps ポリシー
データ所有者ポリシー (プレビュー)

Azure Arc 対応SQL Serverでのアクセスポリシーの前提条件

オンプレミスバージョン 2022 SQL Server取得してインストールします。バージョン 2022 以降は、Windows と Linux の両方でサポートされています。無料の Developer エディションを試すことができます。
アクセス許可を構成し、SQL Server インスタンスを Azure Arc にオンボードするために使用するサブスクリプション内のリソースプロバイダーの一覧を登録します。
前提条件を満たして、SQL Server インスタンスを Azure Arc にオンボードします。Windows SQL Serverの簡単な構成はこちらです。 Linux SQL Serverの別の構成については、こちらを参照してください。
SQL Serverで Azure Active Directory 認証を有効にします。セットアップを簡単に行う場合は、この記事で説明する前提条件とプロセスを完了します。
アプリケーションのアクセス許可を付与し、管理者の同意を付与することを忘れないでください
SQL Server インスタンスの Azure AD 管理者を構成する必要がありますが、他の Azure AD ログインまたはユーザーを設定する必要はありません。これらのユーザーには、Microsoft Purview ポリシーを使用してアクセス権を付与します。

リージョンのサポート

ポリシーの適用は、次を除くすべての Microsoft Purview リージョンで使用できます。

米国西部 2
東アジア
US Gov バージニア
中国北部 3

Azure Arc 対応SQL Serverのセキュリティに関する考慮事項

サーバー管理者は、Microsoft Purview ポリシーの適用をオフにすることができます。
Azure Arc 管理者とサーバー管理者のアクセス許可を使用すると、サーバーの Azure Resource Manager パスを変更できます。 Microsoft Purview のマッピングではResource Managerパスが使用されるため、間違ったポリシーの適用につながる可能性があります。
SQL Server管理者 (データベース管理者) は、サーバー管理者の権限を得ることができ、Microsoft Purview からキャッシュされたポリシーを改ざんする可能性があります。
推奨される構成は、SQL サーバーインスタンスごとに個別のアプリ登録を作成することです。この構成により、2 つ目のSQL Server インスタンスで 2 SQL Server 番目のSQL Server インスタンスの不正な管理者がResource Manager パスを改ざんした場合に備えたポリシーを読み取らないようにします。

前提条件を確認する

このリンクを使用してAzure portalにサインインします
左側のウィンドウで [SQL サーバー ] に移動します。 Azure Arc 上のSQL Server インスタンスの一覧が表示されます。
構成するSQL Server インスタンスを選択します。
左側のウィンドウで [Azure Active Directory ] に移動します。
Azure Active Directory 認証が管理者ログインで構成されていることを確認します。そうでない場合は、このガイドの「アクセスポリシーの前提条件」セクションを参照してください。
SQL Serverが Azure に対して認証するために証明書がに指定されていることを確認します。そうでない場合は、このガイドの「アクセスポリシーの前提条件」セクションを参照してください。
アプリの登録が入力されていることを確認して、SQL Serverと Azure AD の間に信頼関係を作成します。そうでない場合は、このガイドの「アクセスポリシーの前提条件」セクションを参照してください。
変更を加えた場合は、[ 保存 ] ボタンを選択して構成を保存し、操作が正常に完了するまで待ちます。これには数分かかる場合があります。 "正常に保存されました" というメッセージが、ページの上部に緑色の背景で表示されます。表示するには、上にスクロールする必要がある場合があります。

ポリシーの Microsoft Purview アカウントを構成する

Microsoft Purview でデータソースを登録する

データリソースのポリシーを Microsoft Purview で作成するには、そのデータリソースを Microsoft Purview Studio に登録する必要があります。データリソースの登録に関連する手順については、このガイドの後半で説明します。

注:

Microsoft Purview ポリシーは、データリソース ARM パスに依存します。データリソースを新しいリソースグループまたはサブスクリプションに移動する場合は、登録を解除してから、Microsoft Purview に再登録する必要があります。

データソースでデータ使用管理を有効にするアクセス許可を構成する

リソースが登録されたら、そのリソースのポリシーを Microsoft Purview で作成する前に、アクセス許可を構成する必要があります。 データ使用管理を有効にするには、一連のアクセス許可が必要です。これは、データソース、リソースグループ、またはサブスクリプションに適用されます。 データ使用管理を有効にするには、リソースに対する特定の ID とアクセス管理 (IAM) 権限と、特定の Microsoft Purview 権限の両方が必要です。

リソースの Azure Resource Manager パスまたはその親 (つまり、IAM アクセス許可の継承を使用) には、次のいずれかの IAM ロールの組み合わせが必要です。
- IAM 所有者
- IAM 共同作成者と IAM ユーザーアクセス管理者の両方
Azure ロールベースのアクセス制御 (RBAC) アクセス許可を構成するには、このガイドに従います。次のスクリーンショットは、データリソースのAzure portalの [Access Control] セクションにアクセスしてロールの割り当てを追加する方法を示しています。

注:

データリソースの IAM 所有者 ロールは、親リソースグループ、サブスクリプション、またはサブスクリプション管理グループから継承できます。リソースの IAM 所有者 ロールを保持または継承している Azure AD ユーザー、グループ、およびサービスプリンシパルを確認します。
また、コレクションまたは親コレクションの Microsoft Purview データソース管理者 ロールも必要です (継承が有効な場合)。詳細については、 Microsoft Purview ロールの割り当ての管理に関するガイドを参照してください。

次のスクリーンショットは、ルートコレクションレベルで データソース管理者 ロールを割り当てる方法を示しています。

アクセスポリシーを作成、更新、または削除するように Microsoft Purview アクセス許可を構成する

ポリシーを作成、更新、または削除するには、ルートコレクションレベルで Microsoft Purview でポリシー作成者ロールを取得する必要があります。

ポリシー作成者ロールは、DevOps ポリシーとデータ所有者ポリシーを作成、更新、削除できます。
ポリシー作成者ロールは、セルフサービスアクセスポリシーを削除できます。

Microsoft Purview ロールの割り当ての管理の詳細については、Microsoft Purview データマップでのコレクションの作成と管理に関するページを参照してください。

注:

ポリシー作成者ロールは、ルートコレクションレベルで構成する必要があります。

さらに、ポリシーの件名を作成または更新するときに Azure AD ユーザーまたはグループを簡単に検索するには、Azure AD で [ディレクトリ閲覧者 ] アクセス許可を取得することで大きなメリットを得ることができます。これは、Azure テナント内のユーザーに共通のアクセス許可です。ディレクトリ閲覧者のアクセス許可がない場合、ポリシー作成者は、データポリシーの件名に含まれるすべてのプリンシパルの完全なユーザー名または電子メールを入力する必要があります。

データ所有者ポリシーを発行するための Microsoft Purview アクセス許可を構成する

データ所有者ポリシーを使用すると、Microsoft Purview ポリシーの作成者とデータソース管理者ロールをorganization内の別のユーザーに割り当てる場合、チェックと残高が許可されます。データ所有者ポリシーが有効になる前に、2 人目のユーザー (データソース管理者) がそれを確認し、公開して明示的に承認する必要があります。これは、DevOps またはセルフサービスアクセスポリシーには適用されません。公開は、それらのポリシーが作成または更新されるときに自動的に行われます。

データ所有者ポリシーを発行するには、ルートコレクションレベルで Microsoft Purview でデータソース管理者ロールを取得する必要があります。

注:

データ所有者ポリシーを発行するには、ルートコレクションレベルでデータソース管理者ロールを構成する必要があります。

Microsoft Purview のロールにアクセスプロビジョニングの責任を委任する

リソースでデータ使用管理が有効になった後、ルートコレクションレベルでポリシー作成者ロールを持つ Microsoft Purview ユーザーは、Microsoft Purview からそのデータソースへのアクセスをプロビジョニングできます。

注:

Microsoft Purview ルート コレクション管理者 は、ルート ポリシー作成者 ロールに新しいユーザーを割り当てることができます。 コレクション管理者は、コレクションの下のデータソース管理者ロールに新しいユーザーを割り当てることができます。 Microsoft Purview コレクション管理者、 データソース管理者、または ポリシー作成者 ロールを保持するユーザーを最小限に抑え、慎重に確認します。

発行されたポリシーを持つ Microsoft Purview アカウントが削除されると、特定のデータソースに依存する時間内にそのようなポリシーが適用されなくなります。この変更は、セキュリティとデータアクセスの可用性の両方に影響を与える可能性があります。 IAM の共同作成者ロールと所有者ロールは、Microsoft Purview アカウントを削除できます。これらのアクセス許可をチェックするには、Microsoft Purview アカウントの [アクセス制御 (IAM)] セクションに移動し、[ロールの割り当て] を選択します。ロックを使用して、Resource Manager ロックによって Microsoft Purview アカウントが削除されないようにすることもできます。

データソースを登録し、データ使用管理を有効にする

ポリシーを作成する前に、Azure Arc 対応SQL Server データソースを Microsoft Purview に登録する必要があります。

Microsoft Purview Studio にサインインします。
左側のウィンドウで [データマップ ] に移動し、[ ソース] を選択し、[ 登録] を選択します。検索ボックスに「Azure Arc」と入力し、[Azure Arc でSQL Server] を選択します。次に、[続行] を選択します。
[ 名前] に、この登録の名前を入力します。登録の名前を次の手順でサーバー名と同じにすることをお勧めします。
Azure サブスクリプション、サーバー名、およびサーバー エンドポイントの値を選択します。
[ コレクションの選択] で、この登録を入れるコレクションを選択します。
[データ使用管理] を有効にします。 データ使用管理 には特定のアクセス許可が必要であり、データソースへのアクセスを管理するために特定の Microsoft Purview ロールに委任されるため、データのセキュリティに影響を与える可能性があります。このガイドの「Microsoft Purview ソースで データ使用管理 を有効にする」の「データ使用管理」に関連するセキュリティで保護されたプラクティスに関するページを参照してください。
[ 登録] または [ 適用] を選択します。

ポリシーのデータソースを登録するための選択を示すスクリーンショット。

Azure Arc 対応SQL Serverでポリシーを有効にする

このセクションでは、Microsoft Purview を使用するように Azure Arc でSQL Serverを構成する手順について説明します。 Microsoft Purview アカウントでこのデータソースの [データ使用管理 ] オプションを有効にした後、次の手順を実行します。

このリンクを使用してAzure portalにサインインします
左側のウィンドウで [SQL サーバー ] に移動します。 Azure Arc 上のSQL Server インスタンスの一覧が表示されます。
構成するSQL Server インスタンスを選択します。
左側のウィンドウで [Azure Active Directory ] に移動します。
[Microsoft Purview アクセスポリシー] まで下にスクロールします。
[ Microsoft Purview ガバナンスの確認] ボタンを選択します。要求が処理されるまで待ちます。その場合、このメッセージはページの上部に表示されます。表示するには、上にスクロールする必要がある場合があります。
ページの下部で、Microsoft Purview ガバナンスの状態にが表示 Governedされていることを確認します。正しい状態が反映されるまで に最大 30 分かかる場合があることに 注意してください。その場合は、ブラウザーの更新を続行します。
このデータソースを登録し、データ使用管理を有効にした Microsoft Purview エンドポイントが Microsoft Purview アカウントを指していることを確認します

ポリシーを作成する

Azure Arc 対応SQL Serverのアクセスポリシーを作成するには、次のガイドに従います。

リソースグループまたは Azure サブスクリプション内のすべてのデータソースに対応するポリシーを作成するには、「 Microsoft Purview で複数の Azure ソースを検出して管理する」を参照してください。

次の手順

ソースを登録したので、次のガイドを使用して、Microsoft Purview とデータの詳細を確認します。

Microsoft Purview で Azure Arc 対応SQL Serverに接続して管理する

サポートされている機能

前提条件