Microsoft Purview で Power BI テナントに接続して管理する (同じテナント)
この記事では、 同じテナント シナリオで Power BI テナントを登録する方法と、Microsoft Purview でテナントを認証して操作する方法について説明します。 Microsoft Purview の詳細については、 入門記事を参照してください。
注:
2023 年 9 月 18 日以降、Microsoft Purview の Power BI データ ソースは、すべてのリージョンで Fabric に名前が変更されます。 "Power BI" をキーワード (keyword)として引き続き使用して、ソースをすばやく見つけて Power BI テナントを登録し、スキャンを設定できます。 データ ソース名の変更と共に、それに応じて Power BI 容量と Power BI ワークスペースの名前が [ファブリック容量] と [ファブリック ワークスペース] に変更されます。 UI での関連する変更の名前変更に加えて、データ ソースの登録やスキャンの設定に関する既存の機能とユーザー エクスペリエンスに変更はありません。 Power BI のすべての既存のソースまたはスキャンは、変更を必要とせず引き続き機能し、現在、Fabric テナントでスキャンできるのは Power BI 項目のみです。
サポートされている機能
| メタデータ抽出 | フル スキャン | 増分スキャン | スコープスキャン | 分類 | ラベル付け | アクセス ポリシー | 系統 | データ共有 | ライブ ビュー |
|---|---|---|---|---|---|---|---|---|---|
| ○ | ○ | はい | 不要 | 不要 | 不要 | 不要 | はい | いいえ | 不要 |
Power BI ソースをスキャンする場合、Microsoft Purview では次の機能がサポートされます。
以下を含む技術的なメタデータの抽出:
- ワークスペース
- ダッシュボード
- レポート
- テーブルと列を含むデータセット
- データフロー
- データマート
上記の Power BI 成果物と外部データ ソース資産間の資産関係に関する静的系列をフェッチする。 詳細については、 Power BI 系列に関するページを参照してください。
Power BI で使用できるメタデータの一覧については、 使用可能なメタデータに関するドキュメントを参照してください。
Power BI スキャンでサポートされるシナリオ
| Scenarios | Microsoft Purview パブリック アクセスの許可/拒否 | Power BI パブリック アクセスの許可/拒否 | ランタイム オプション | 認証オプション | デプロイのチェックリスト |
|---|---|---|---|---|---|
| Azure IR を使用したパブリック アクセス | 可 | 可 | Azure Runtime | Microsoft Purview マネージド ID | デプロイのチェックリストを確認する |
| セルフホステッド IR を使用したパブリック アクセス | 可 | 可 | セルフホステッド ランタイム | 委任された認証/サービス プリンシパル | デプロイのチェックリストを確認する |
| プライベート アクセス | 可 | Denied | セルフホステッド ランタイム | 委任された認証/サービス プリンシパル | デプロイのチェックリストを確認する |
| プライベート アクセス | Denied | 可 | セルフホステッド ランタイム | 委任された認証/サービス プリンシパル | デプロイのチェックリストを確認する |
| プライベート アクセス | Denied | Denied | セルフホステッド ランタイム | 委任された認証/サービス プリンシパル | デプロイのチェックリストを確認する |
既知の制限
- Microsoft Purview または Power BI テナントがプライベート エンドポイントの背後で保護されている場合、スキャンする唯一のオプションはセルフホステッド ランタイムです。
- 委任された認証とサービス プリンシパルは、スキャン中にセルフホステッド統合ランタイムを使用する場合にサポートされる唯一の認証オプションです。
- Microsoft Purview アカウントに登録されている Power BI データ ソースのスキャンは 1 つだけ作成できます。
- スキャン後に Power BI データセット スキーマが表示されない場合は、 Power BI メタデータ スキャナーの現在の制限の 1 つが原因です。
- 空のワークスペースはスキップされます。
- 現在、ペイロードは、資産のスキャン時に 2 MB と 800 列に制限されています。
前提条件
開始する前に、次の前提条件があることを確認してください。
アクティブなサブスクリプションを持つ Azure アカウント。 無料でアカウントを作成します。
アクティブな Microsoft Purview アカウント。
認証オプション
- マネージド ID
- 委任された認証
- サービス プリンシパル
デプロイのチェックリスト
セットアップ中またはトラブルシューティングの目的で、シナリオに基づいて、次のいずれかのデプロイ チェックリストを使用します。
パブリック ネットワークで Azure IR とマネージド ID を使用して同じテナントの Power BI をスキャンする
Power BI アカウントと Microsoft Purview アカウントが同じテナントにあることを確認します。
登録中に Power BI テナント ID が正しく入力されていることを確認します。
Azure portalから、Microsoft Purview アカウントネットワークがパブリック アクセスに設定されているかどうかを検証します。
Power BI テナント管理ポータルから、パブリック ネットワークを許可するように Power BI テナントが構成されていることを確認します。
Azure Active Directory テナントで、セキュリティ グループを作成します。
Azure Active Directory テナントから、 Microsoft Purview アカウント MSI が新しいセキュリティ グループのメンバーであることを確認します。
Power BI テナント 管理 ポータルで、新しいセキュリティ グループに対して読み取り専用の Power BI 管理者 API の使用をサービス プリンシパルに許可するかどうかを検証します。
Power BI テナントを登録する
このセクションでは、同じテナント シナリオ用に Microsoft Purview に Power BI テナントを登録する方法について説明します。
左側のナビゲーションで [データ マップ ] を選択します。
その後、[登録] を選択します。
データ ソースとして [Power BI ] を選択します。
Power BI インスタンスにフレンドリ名を付けます。
名前の長さは 3 から 63 文字で、文字、数字、アンダースコア、ハイフンのみを含める必要があります。 スペースは使用できません。
既定では、システムは同じ Azure Active Directory テナントに存在する Power BI テナントを見つけます。
同じテナントの Power BI をスキャンする
ヒント
スキャンに関する問題のトラブルシューティングを行うには:
- シナリオのデプロイ チェックリストが完了したことを確認します。
- スキャンのトラブルシューティングに関するドキュメントを確認してください。
Power BI テナントに対する認証
Power BI テナントが配置されている Azure Active Directory テナント:
Azure portalで、Azure Active Directory を検索します。
「基本的なグループを 作成し、Azure Active Directory を使用してメンバーを追加する」に従って、Azure Active Directory に新しいセキュリティ グループを作成します。
ヒント
使用するセキュリティ グループが既にある場合は、この手順をスキップできます。
[グループの種類] として [セキュリティ] を選択します。
関連するユーザーをセキュリティ グループに追加します。
認証方法として マネージド ID を 使用している場合は、Microsoft Purview マネージド ID をこのセキュリティ グループに追加します。 [ メンバー] を選択し、[ + メンバーの追加] を選択します。
認証方法として 委任された認証 または サービス プリンシパル を使用している場合は、このセキュリティ グループに サービス プリンシパル を追加します。 [ メンバー] を選択し、[ + メンバーの追加] を選択します。
Microsoft Purview マネージド ID またはサービス プリンシパルを検索して選択します。
追加されたことを示す成功通知が表示されます。
セキュリティ グループを Power BI テナントに関連付ける
Power BI 管理ポータルにログインします。
[ テナント 設定] ページを選択します。
重要
テナント設定ページを表示するには、Power BI 管理である必要があります。
[管理 API 設定>] を選択します。サービス プリンシパルが読み取り専用の Power BI 管理者 API (プレビュー) を使用することを許可します。
[ 特定のセキュリティ グループ] を選択します。
[管理 API 設定>] [詳細なメタデータを使用した管理者 API 応答の強化] と [DAX とマッシュアップ式>を使用した管理者 API 応答の強化] を選択します。このトグルを有効にすると、スキャンの一部として Power BI データセットの詳細なメタデータMicrosoft Purview データ マップ自動的に検出できるようになります。
重要
power bi テナントの 管理 API 設定を更新した後、約 15 分待ってからスキャンとテストの接続を登録します。
注意
作成したセキュリティ グループ (Microsoft Purview マネージド ID がメンバーである) に読み取り専用の Power BI 管理者 API の使用を許可すると、このテナント内のすべての Power BI 成果物のメタデータ (ダッシュボードやレポート名、所有者、説明など) へのアクセスも許可されます。 メタデータが Microsoft Purview に取り込まれたら、Power BI アクセス許可ではなく Microsoft Purview のアクセス許可で、そのメタデータを表示できるユーザーを決定します。
注:
セキュリティ グループは開発者設定から削除できますが、以前に抽出したメタデータは Microsoft Purview アカウントから削除されません。 必要に応じて、個別に削除できます。
Azure IR とマネージド ID を使用して同じテナント Power BI のスキャンを作成する
これは、ネットワーク設定でパブリック アクセスを許可するように Microsoft Purview テナントと Power BI テナントの両方が構成されている場合に適したシナリオです。
新しいスキャンを作成して実行するには、次の操作を行います。
Microsoft Purview Studio で、左側のメニューの [データ マップ ] に移動します。
[ ソース] に移動します。
登録済みの Power BI ソースを選択します。
[ + 新しいスキャン] を選択します。
スキャンに名前を付けます。 次に、個人用ワークスペースを含めるか除外するオプションを選択します。
注:
個人用ワークスペースを含めるか除外するようにスキャンの構成を切り替えると、Power BI ソースのフル スキャンがトリガーされます。
次の手順に進む前に、[ テスト接続] を選択します。 テスト接続に失敗した場合は、[レポートの表示] を選択して詳細な状態を確認し、問題のトラブルシューティングを行います。
- アクセス - 失敗した状態は、ユーザー認証が失敗したことを意味します。 ユーザー認証が必要ないため、マネージド ID を使用したスキャンは常に成功します。
- 資産 (+ 系列) - 失敗状態は、Microsoft Purview - Power BI 承認が失敗したことを意味します。 Power BI 管理ポータルで関連付けられているセキュリティ グループに Microsoft Purview マネージド ID が追加されていることを確認します。
- 詳細なメタデータ (拡張) - 失敗した状態は、次の設定で Power BI 管理ポータルが無効になっていることを意味します - 詳細なメタデータを使用して管理者 API の応答を強化する
スキャン トリガーを設定します。 オプションは [ 定期的] と [1 回] です。
[ 新しいスキャンの確認] で、[ 保存して実行] を選択してスキャンを起動します。
サービス プリンシパルを使用してセルフホステッド IR を使用して同じテナントのスキャンを作成する
このシナリオは、Microsoft Purview テナントと Power BI テナント、またはその両方がプライベート エンドポイントを使用してパブリック アクセスを拒否するように構成されている場合に使用できます。 さらに、このオプションは、Microsoft Purview テナントと Power BI テナントがパブリック アクセスを許可するように構成されている場合にも適用されます。
Power BI ネットワークに関連する詳細については、「 Power BI にアクセスするためのプライベート エンドポイントを構成する方法」を参照してください。
Microsoft Purview ネットワーク設定の詳細については、「 Microsoft Purview アカウントにプライベート エンドポイントを使用する」を参照してください。
新しいスキャンを作成して実行するには、次の操作を行います。
Azure portalで、[Azure Active Directory] を選択し、テナントにアプリ登録を作成します。 リダイレクト URI に Web URL を指定します。 リダイレクト URI の詳細については、Azure Active Directory からのこのドキュメントを参照してください。
クライアント ID (アプリ ID) を書き留めます。
Azure Active Directory ダッシュボードで、新しく作成されたアプリケーションを選択し、[ アプリの登録] を選択します。 [API アクセス許可] から、次の委任されたアクセス許可をアプリケーションに割り当てます。
- Microsoft Graph openid
- Microsoft Graph User.Read
[ 詳細設定] で、[ パブリック クライアント フローを許可する] を有効にします。
[証明書シークレット] &で、新しいシークレットを作成し、次の手順で安全に保存します。
Azure portalで、Azure キー コンテナーに移動します。
[設定シークレット]> を選択し、[+ 生成/インポート] を選択します。
シークレットの名前を入力し、[ 値] に、アプリ登録用に新しく作成したシークレットを入力します。 [ 作成] を 選択して完了します。
キー コンテナーがまだ Microsoft Purview に接続されていない場合は、新しいキー コンテナー接続を作成する必要があります
Microsoft Purview Studio で、左側のメニューの [データ マップ ] に移動します。
[ ソース] に移動します。
登録済みの Power BI ソースを選択します。
[ + 新しいスキャン] を選択します。
スキャンに名前を付けます。 次に、個人用ワークスペースを含めるか除外するオプションを選択します。
注:
個人用ワークスペースを含めるか除外するようにスキャンの構成を切り替えると、Power BI ソースのフル スキャンがトリガーされます。
ドロップダウン リストからセルフホステッド統合ランタイムを選択します。
[資格情報] で[サービス プリンシパル] を選択し、[+ 新規] を選択して新しい資格情報を作成します。
新しい資格情報を作成し、必要なパラメーターを指定します。
- 名前: 資格情報の一意の名前を指定します
- 認証方法: サービス プリンシパル
- テナント ID: Power BI テナント ID
- クライアント ID: 前に作成したサービス プリンシパル クライアント ID (アプリ ID) を使用する
次の手順に進む前に、[ テスト接続] を選択します。 テスト接続に失敗した場合は、[レポートの表示] を選択して詳細な状態を確認し、問題のトラブルシューティングを行います
- アクセス - 失敗した状態は、ユーザー認証が失敗したことを意味します。 ユーザー認証が必要ないため、マネージド ID を使用したスキャンは常に成功します。
- 資産 (+ 系列) - 失敗状態は、Microsoft Purview - Power BI 承認が失敗したことを意味します。 Power BI 管理ポータルで関連付けられているセキュリティ グループに Microsoft Purview マネージド ID が追加されていることを確認します。
- 詳細なメタデータ (拡張) - 失敗した状態は、次の設定で Power BI 管理ポータルが無効になっていることを意味します - 詳細なメタデータを使用して管理者 API の応答を強化する
スキャン トリガーを設定します。 オプションは [ 定期的] と [1 回] です。
[ 新しいスキャンの確認] で、[ 保存して実行] を選択してスキャンを起動します。
委任された認証を使用してセルフホステッド IR を使用して同じテナントのスキャンを作成する
このシナリオは、Microsoft Purview テナントと Power BI テナント、またはその両方がプライベート エンドポイントを使用してパブリック アクセスを拒否するように構成されている場合に使用できます。 さらに、このオプションは、Microsoft Purview テナントと Power BI テナントがパブリック アクセスを許可するように構成されている場合にも適用されます。
Power BI ネットワークに関連する詳細については、「 Power BI にアクセスするためのプライベート エンドポイントを構成する方法」を参照してください。
Microsoft Purview ネットワーク設定の詳細については、「 Microsoft Purview アカウントにプライベート エンドポイントを使用する」を参照してください。
新しいスキャンを作成して実行するには、次の操作を行います。
Azure Active Directory テナントにユーザー アカウントを作成し、ユーザーを Azure Active Directory ロール である Power BI Administrator に割り当てます。 ユーザー名をメモし、サインインしてパスワードを変更します。
適切な Power BI ライセンスをユーザーに割り当てます。
Azure キー コンテナーに移動します。
[設定シークレット]> を選択し、[+ 生成/インポート] を選択します。
シークレットの名前を入力し、[ 値] に Azure AD ユーザーの新しく作成したパスワードを入力します。 [ 作成] を 選択して完了します。
キー コンテナーがまだ Microsoft Purview に接続されていない場合は、新しいキー コンテナー接続を作成する必要があります
Azure Active Directory テナントにアプリ登録を作成します。 リダイレクト URI に Web URL を指定します。
クライアント ID (アプリ ID) を書き留めます。
Azure Active Directory ダッシュボードで、新しく作成されたアプリケーションを選択し、[ アプリの登録] を選択します。 次の委任されたアクセス許可をアプリケーションに割り当て、テナントの管理者の同意を付与します。
- Power BI Service Tenant.Read.All
- Microsoft Graph openid
- Microsoft Graph User.Read
[ 詳細設定] で、[ パブリック クライアント フローを許可する] を有効にします。
Microsoft Purview Studio で、左側のメニューの [データ マップ ] に移動します。
[ ソース] に移動します。
登録済みの Power BI ソースを選択します。
[ + 新しいスキャン] を選択します。
スキャンに名前を付けます。 次に、個人用ワークスペースを含めるか除外するオプションを選択します。
注:
個人用ワークスペースを含めるか除外するようにスキャンの構成を切り替えると、Power BI ソースのフル スキャンがトリガーされます。
ドロップダウン リストからセルフホステッド統合ランタイムを選択します。
[資格情報] で [委任された認証] を選択し、[+ 新規] を選択して新しい資格情報を作成します。
新しい資格情報を作成し、必要なパラメーターを指定します。
- 名前: 資格情報の一意の名前を指定します
- 認証方法: 委任された認証
- クライアント ID: 前に作成したサービス プリンシパル クライアント ID (アプリ ID) を使用する
- ユーザー名: 前に作成した Power BI 管理者のユーザー名を指定します
- パスワード: 適切な Key Vault 接続と、Power BI アカウントのパスワードが以前に保存された シークレット名 を選択します。
次の手順に進む前に、[ テスト接続] を選択します。 テスト接続に失敗した場合は、[レポートの表示] を選択して詳細な状態を確認し、問題のトラブルシューティングを行います
- アクセス - 失敗した状態は、ユーザー認証が失敗したことを意味します。 ユーザー認証が必要ないため、マネージド ID を使用したスキャンは常に成功します。
- 資産 (+ 系列) - 失敗状態は、Microsoft Purview - Power BI 承認が失敗したことを意味します。 Power BI 管理ポータルで関連付けられているセキュリティ グループに Microsoft Purview マネージド ID が追加されていることを確認します。
- 詳細なメタデータ (拡張) - 失敗した状態は、次の設定で Power BI 管理ポータルが無効になっていることを意味します - 詳細なメタデータを使用して管理者 API の応答を強化する
スキャン トリガーを設定します。 オプションは [ 定期的] と [1 回] です。
[ 新しいスキャンの確認] で、[ 保存して実行] を選択してスキャンを起動します。
次の手順
ソースを登録したので、次のガイドに従って、Microsoft Purview とデータの詳細を確認してください。