Microsoft Purview DevOps ポリシーの作成、一覧表示、更新、削除

DevOps ポリシー は、Microsoft Purview アクセス ポリシーの一種です。 これらを使用して、Microsoft Purview でデータ ポリシーの適用 に登録されているデータ ソースのシステム メタデータへのアクセスを管理できます。

DevOps ポリシーは、Microsoft Purview ガバナンス ポータルから直接構成できます。 保存されると、データ ソースによって自動的に発行され、適用されます。 Microsoft Purview ポリシーは、Microsoft Entra プリンシパルのアクセスのみを管理します。

このガイドでは、SQL パフォーマンス モニター ロールと SQL Security Auditor ロールの DevOps ポリシー アクションを使用して、データベース システム メタデータへのアクセスをプロビジョニングするための Microsoft Purview の構成手順について説明します。 DevOps ポリシーを作成、一覧表示、更新、削除する方法を示します。

前提条件

• アクティブなサブスクリプションを持つ Azure アカウント。 無料でアカウントを作成します。

• 新しいまたは既存の Microsoft Purview アカウント。 このクイック スタート ガイドに従って作成します。

構成

Microsoft Purview ポリシー ポータルでポリシーを作成する前に、これらのポリシーを適用できるようにデータ ソースを構成する必要があります。

1. ソースのポリシー固有の前提条件に従います。 Microsoft Purview でサポートされているデータ ソースの表を確認し、アクセス ポリシーが使用可能なソースの [アクセス ポリシー] 列のリンクを選択します。 「アクセス ポリシー」および「前提条件」セクションに記載されている手順に従います。
2. Microsoft Purview でデータ ソースを登録します。 リソースの ソース ページ の [前提条件] セクションと [登録] セクションに従います。
3. データ ソースの登録で [データ ポリシーの適用 ] トグルをオンにします。 この手順に必要な追加のアクセス許可など、詳細については、「 Microsoft Purview ソースでデータ ポリシーの適用を有効にする」を参照してください。

新しい DevOps ポリシーを作成する

DevOps ポリシーを作成するには、まず、ルート コレクション レベルで Microsoft Purview ポリシー作成者ロールがあることを確認します。 このガイドの「Microsoft Purview ロールの割り当ての管理」のセクションを確認してください。 その後、次の手順に従います。

1. Microsoft Purview ガバナンス ポータルにサインインします。

2. 左側のウィンドウで、[ データ ポリシー] を選択します。 次に、[ DevOps ポリシー] を選択します。

3. [ 新しいポリシー ] ボタンを選択します。

   

   ポリシーの詳細パネルが開きます。

4. [ データ ソースの種類] で、データ ソースを選択します。 [ データ ソース名] で、一覧表示されているデータ ソースのいずれかを選択します。 次に、[ 選択 ] をクリックして [ 新しいポリシー ] ウィンドウに戻ります。

   

5. パフォーマンス監視またはセキュリティ監査の 2 つのロールのいずれかを選択します。 次に、[ 件名の追加と削除 ] を選択して、[ 件名 ] パネルを開きます。

   [サブジェクトの選択] ボックスに、Microsoft Entra プリンシパル (ユーザー、グループ、またはサービス プリンシパル) の名前を入力します。 Microsoft 365 グループはサポートされていますが、グループ メンバーシップの更新は、Microsoft Entra IDに反映されるまでに最大 1 時間かかります。 問題が発生するまで件名を追加または削除し、[保存] を選択 します。

   

6. [ 保存] を 選択してポリシーを保存します。 ポリシーは自動的に発行されます。 適用は、5 分以内にデータ ソースから開始されます。

DevOps ポリシーを一覧表示する

DevOps ポリシーを一覧表示するには、まず、ルート コレクション レベルで次のいずれかの Microsoft Purview ロールがあることを確認します。ポリシー作成者、データ ソース 管理、データ キュレーター、またはデータ 閲覧者。 このガイドの「Microsoft Purview ロールの割り当ての管理」のセクションを確認してください。 その後、次の手順に従います。

1. Microsoft Purview ガバナンス ポータルにサインインします。

2. 左側のウィンドウで、[ データ ポリシー] を選択します。 次に、[ DevOps ポリシー] を選択します。

   [ DevOps ポリシー] ウィンドウには、作成されたすべてのポリシーが一覧表示されます。

   

DevOps ポリシーを更新する

DevOps ポリシーを更新するには、まず、ルート コレクション レベルで Microsoft Purview ポリシー作成者ロールがあることを確認します。 このガイドの「Microsoft Purview ロールの割り当ての管理」のセクションを確認してください。 その後、次の手順に従います。

1. Microsoft Purview ガバナンス ポータルにサインインします。

2. 左側のウィンドウで、[ データ ポリシー] を選択します。 次に、[ DevOps ポリシー] を選択します。

3. [ DevOps ポリシー] ウィンドウで、データ リソース パスからポリシーを選択して、いずれかのポリシーのポリシーの詳細を開きます。

   

4. ポリシーの詳細については、ウィンドウで [ 編集] を選択します。

5. 変更を加え、[保存] を選択 します。

DevOps ポリシーを削除する

DevOps ポリシーを削除するには、まず、ルート コレクション レベルで Microsoft Purview ポリシー作成者ロールがあることを確認します。 このガイドの「Microsoft Purview ロールの割り当ての管理」のセクションを確認してください。 その後、次の手順に従います。

1. Microsoft Purview ガバナンス ポータルにサインインします。

2. 左側のウィンドウで、[ データ ポリシー] を選択します。 次に、[ DevOps ポリシー] を選択します。

3. いずれかのポリシーのチェック ボックスをオンにし、[削除] を選択 します。

   

DevOps ポリシーをテストする

ポリシーを作成した後、サブジェクトとして選択したMicrosoft Entraユーザーは、ポリシーのスコープ内のデータ ソースに接続できるようになりました。 テストするには、SQL Server Management Studio (SSMS) または任意の SQL クライアントを使用し、一部の動的管理ビュー (DMV) と動的管理機能 (DMF) のクエリを実行します。 次のセクションでは、いくつかの例を示します。 その他の例については、「 Microsoft Purview DevOps ポリシーで実行できる内容」の一般的な DMV と DMF のマッピングに関するページを参照してください。

さらにトラブルシューティングが必要な場合は、このガイドの 「次の手順 」セクションを参照してください。

SQL パフォーマンス モニター アクセスをテストする

SQL パフォーマンス モニター ロールのポリシーのサブジェクトを指定した場合は、次のコマンドを発行できます。

-- Returns I/O statistics for data and log files
SELECT * FROM sys.dm_io_virtual_file_stats(DB_ID(N'testdb'), 2)
-- Waits encountered by threads that executed. Used to diagnose performance issues
SELECT wait_type, wait_time_ms FROM sys.dm_os_wait_stats

SQL セキュリティ監査者のアクセスをテストする

SQL セキュリティ監査者ロールのポリシーのサブジェクトを指定した場合は、SSMS または任意の SQL クライアントから次のコマンドを発行できます。

-- Returns the current state of the audit
SELECT * FROM sys.dm_server_audit_status
-- Returns information about the encryption state of a database and its associated database encryption keys
SELECT * FROM sys.dm_database_encryption_keys

ユーザー データにアクセスできないようにする

次のコマンドを使用して、いずれかのデータベース内のテーブルにアクセスしてみてください。

-- Test access to user data
SELECT * FROM [databaseName].schemaName.tableName

テスト対象のMicrosoft Entra プリンシパルは拒否する必要があります。つまり、データはインサイダーの脅威から保護されます。

ロール定義の詳細

次の表は、Microsoft Purview データ ポリシー ロールを SQL データ ソース内の特定のアクションにマップします。

次の手順

次のブログ、ビデオ、および関連記事を確認してください。

• ブログ: Azure SQL Database の Microsoft Purview DevOps ポリシーが一般公開されました
• ブログ: SQL の正常性、パフォーマンス、およびセキュリティ情報へのアクセスを管理するための安価なソリューション
• ブログ: Microsoft Purview DevOps ポリシーにより、IT 運用の大規模なアクセス プロビジョニングが有効になります
• ブログ: Microsoft Purview DevOps ポリシー API がパブリックになりました
• ビデオ: ポリシーの前提条件: [データ ポリシーの適用] オプション
• ビデオ: DevOps ポリシーの概要
• ビデオ: DevOps ポリシーの詳細
• 記事: Microsoft Purview DevOps ポリシーの概念ガイド
• 記事: Azure Arc 対応SQL Serverの Microsoft Purview DevOps ポリシー
• 記事: Azure SQL Database の Microsoft Purview DevOps ポリシー
• 記事: リソース グループまたはサブスクリプション全体に対する Microsoft Purview DevOps ポリシー
• 記事: SQL データ ソースの Microsoft Purview ポリシーのトラブルシューティング