Microsoft Purview のデータ ガバナンス ロールとアクセス許可

Microsoft Purview データ ガバナンスには、Microsoft Purview ポータルにデータ マップと統合カタログという 2 つのソリューションがあります。 これらのソリューションでは、テナント/組織レベルのアクセス許可、既存のデータ アクセス許可、ドメイン/コレクションのアクセス許可を使用して、ガバナンス ツールとデータ資産へのアクセスをユーザーに提供します。

使用できるアクセス許可の種類は、Microsoft Purview アカウントの種類によって異なります。

アカウントの種類を確認する

organizationに無料またはエンタープライズの種類のアカウントがあるかどうかを確認します。 アカウントの種類をチェックするには、Microsoft Purview ポータルに移動し、[設定] カードを選択します。 [ アカウント] で、 アカウントの種類を表示します。

エンタープライズ バージョンのアクセス許可

すべてのユーザーは、少なくとも 既に読み取り アクセス許可を持っている使用可能なソースのデータ資産を表示できます。 所有者であるユーザーは、少なくとも所有者 /書き込み アクセス許可が既にある資産のメタデータを管理できます。 Azure ロールの詳細については、こちらをご覧ください。

アクセス許可の種類

• テナント/organizationアクセス許可: 組織レベルで割り当てられ、一般的なアクセス許可と管理アクセス許可が提供されます。
• 統合カタログアクセス許可: ユーザーが統合カタログを参照し、データ ガバナンス ソリューションを構築できるようにします。
• データ マップ ドメインとコレクション レベルのアクセス許可: Microsoft Purview のデータ資産へのアクセスを許可する Data Map のアクセス許可。

テナント レベルの役割グループ

組織レベルで割り当てられたテナント レベルの役割グループは、Microsoft Purview データ マップと統合カタログの両方に対して一般的なアクセス許可と管理アクセス許可を提供します。 Microsoft Purview アカウントまたはorganizationのデータ ガバナンス戦略を管理する場合は、次の役割グループの 1 つ以上に属している必要があります。

• Purview 管理者
• データ ソース管理者
• データ ガバナンス

これらのロールの説明を表示します。

データ ガバナンスだけでなく、使用可能なすべてのロールと役割グループの完全な一覧については、Microsoft Defender XDRポータルと Microsoft Purview ポータルのロールと役割グループに関するページを参照してください。

役割グループを割り当てて管理する方法

ユーザーまたはグループを Microsoft Purview ロール グループに追加するには、ユーザーがロール管理ロールを保持している必要があります。 Microsoft Purview でのロールの割り当てと管理の手順については、 Microsoft Purview のアクセス許可に関するページを参照してください。

アクセス許可の統合カタログ

ユーザーが統合カタログの情報にアクセスできるようにするためのアクセス許可には、次の 3 つのレベルがあります。

1. データ ガバナンス テナント レベル: データ ガバナンス 管理 ロールを持つテナント/組織レベルの役割グループ。 このロールは、ガバナンス ドメイン作成者の最初のレベルのアクセス権を委任します。 (このロールは統合カタログでは表示されませんが、統合カタログでアクセス許可を割り当てる機能に影響します)。

2. カタログ レベルのアクセス許可: ガバナンス ドメインに所有権を付与し、正常性管理にアクセスするためのアクセス許可。

3. ガバナンス ドメイン レベルのアクセス許可: 特定のガバナンス ドメイン内のリソースにアクセスして管理するためのアクセス許可。

完全な統合カタログを検索するためのアクセス許可

統合カタログで統合カタログを検索できるようにするために、特定のアクセス許可は必要ありません。 ただし、統合カタログを検索すると、Data Map で表示するアクセス許可を持つ関連するデータ資産のみが返されます。 ユーザーは、次の場合に統合カタログでデータ資産を見つけることができます。

• ユーザーは、カタログ 閲覧者のアクセス許可を持つガバナンス ドメイン内の データ製品を検索 します。
• ユーザーは、資産が格納されている Data Map 内のドメインまたはコレクションに対するデータ リーダーのアクセス許可 を持っています。
• ユーザーは、 使用可能な Azure または Microsoft Fabric リソースに対する読み取りアクセス許可を少なくとも持っています。

  重要

  Azure で既に読み取りアクセス許可を持っているユーザーは、自分が持つつもりがなかった統合カタログの資産にアクセスできる可能性があります。 このようなアクセス権を持たせたくない場合は、 アクセス許可を削除する必要があります。

これらの資産に対するアクセス許可は、それぞれリソース レベルとデータ マップ レベルで管理されます。

カタログが適切にキュレーションされている場合、日常のビジネス ユーザーは完全なカタログを検索する必要はありません。 データ製品で必要なデータを見つけることができるはずです。 統合カタログの設定の詳細については、「データ ガバナンスの概要」および「統合カタログの計画」を参照してください。

カタログ レベルのアクセス許可

カタログ レベルのアクセス許可は、統合カタログ内の高レベルのアクセスのみを提供し、次のロールで構成されます。

• ガバナンス ドメイン作成者
• グローバル カタログ リーダー
• データ正常性所有者
• データ正常性リーダー

これらのロールの説明を表示します。

カタログ レベルのロールを割り当てる方法

1. データ ガバナンス ロールが割り当てられている管理者アカウントの資格情報を使用して、Microsoft Purview ポータルにサインインします。
2. [設定] に移動し、[統合カタログ] を選択します。
3. [ ロールとアクセス許可] を選択します。
4. [ ガバナンス ドメインの作成者 ] または別のロールを選択し、[ユーザーの追加] アイコンを選択します。
5. 追加するユーザーを検索し、ユーザーを選択します。
6. [保存] を選択します。

ガバナンス ドメイン レベルのアクセス許可

ガバナンス ドメインのアクセス許可は、特定の ガバナンス ドメイン内でアクセスを提供します。 これらのアクセス許可は、ガバナンス ドメイン内のオブジェクトの読み取りと管理を行うために、データエキスパートとビジネス ユーザーに付与する必要があります。 ガバナンス ドメインのアクセス許可は、 ガバナンス ドメイン所有者 ロールを持つユーザーのみが付与できます。

これらのロールと説明の一覧を表示します。

ガバナンス ドメイン ロールを割り当てる方法

ガバナンス ドメイン ロールを割り当てるには、ユーザーがガバナンス ドメインの所有者である必要があります。 このロールは、データ ガバナンス管理者またはガバナンス ドメイン作成者によって割り当てられます。

ガバナンス ドメインのロールは、ガバナンス ドメインの [ ロール ] タブで割り当てられます。 ロールを割り当てる手順については、 ガバナンス ドメインを管理する方法に関するページを参照してください。

ロールの統合カタログ

*データ資産をデータ製品に追加できるようにするには、Data Product の所有者とデータ スチュワードは、Data Map でこれらのデータ資産を読み取るために Data Map アクセス許可も必要です。

データ マップのアクセス許可

Data Map では、定義済みのロールのセットを使用して、アカウント内の何にアクセスできるかを制御します。 ドメインとコレクション は、Data Map によって、資産、ソース、およびその他の成果物を検出し、データ マップ内のアクセス制御を管理するために階層にグループ化するために使用されるツールです。

各ロールの説明を見つけ、ロールを追加し、コレクションを通じてアクセスを制限する方法について説明します。

コレクションで使用できるロールの詳細については、「どのロールまたはコレクションの例を割り当てる必要があるか」を参照してください。

データ資産ライフサイクルの例

Data Map と 統合カタログ の間のアクセス許可のしくみを理解するには、環境内のAzure SQL テーブルの完全なライフサイクルに関する以下の表を確認してください。