ワークスペース レベルのプライベート リンクを設定して使用する

プライベート リンクは、Azure Private Linkとプライベート エンドポイントを介してトラフィックをルーティングすることでセキュリティを向上させ、パブリック インターネットではなくMicrosoftのプライベート ネットワーク上にデータを維持します。 Microsoft Fabric には、テナント レベルとワークスペース レベルの 2 つのスコープでプライベート リンクが用意されています。 テナント レベルのプライベート リンク はテナント内のすべてのワークスペースをセキュリティで保護しますが、 ワークスペース レベルのプライベート リンク を使用すると、特定のワークスペースのネットワーク アクセスを個別に管理できます。

この記事では、Fabric でワークスペース レベルのプライベート リンクを設定する手順について説明します。

[前提条件]

• ワークスペースは、ファブリック容量 (F SKU) に割り当てる必要があります。 Premium (P SKU) や試用版の容量など、その他の容量はサポートされていません。 割り当てを確認するには、「ワークスペースを別の容量に再割り当てする」の手順 1 で説明されているように、ワークスペースの設定に移動し、[ワークスペースの種類] を選択します。
• ファブリック管理者は、テナント設定の [ワークスペース レベルの受信ネットワーク規則の構成] を有効にする必要があります。 詳細については、「 テナントのワークスペース受信アクセス保護を有効にする」を参照してください。
• ワークスペース ID が必要です。 group後の URL で検索します。
• テナント ID が必要です。 Fabric ポータルで、右上隅にある疑問符を選択し、[ Power BI について] を選択します。 テナント ID は、テナント URL の ctid 部分です。
• ワークスペース管理者であり、Azure でプライベート リンク サービスを設定するのに十分な Azure アクセス許可を持っている必要があります。
• ワークスペース通信ポリシーを構成するには、ワークスペース管理者である必要があります。
• テナントでワークスペース レベルのプライベート リンクを初めて設定する場合は、ワークスペース プライベート リンク リソースとプライベート エンドポイントを含むサブスクリプションに対して 、Azure で Microsoft.Fabric リソース プロバイダーを再登録します。 Azure portal で、[ サブスクリプション>Settings>Resource プロバイダー] に移動し、 Microsoft.Fabric を選択して、[ 再登録] を選択します。

ステップ 1. Fabric でワークスペースを作成する

Fabric でワークスペースを作成します。 ワークスペースが Fabric 容量に割り当てられていることを確認します。 割り当てを確認するには、「ワークスペースを別の容量に再割り当てする」の手順 1 で説明されているように、ワークスペースの設定に移動し、[ライセンス情報] を選択します。

手順 2. Azure でプライベート リンク サービスを作成する

プライベート リンク サービスを作成するには、次の手順に従って ARM テンプレートを Azure にデプロイします。

1. Azure portal にサインインします。

2. Azure portal の検索バーから、 カスタム テンプレートのデプロイを 検索し、使用可能なオプションから選択します。

3. [ カスタム デプロイ ] ページで、 エディターで [独自のテンプレートの作成] を選択します。

4. エディターで、次の ARM テンプレートを使用して Fabric リソースを作成します。

   • <resource-name> は、Fabric リソースに対して選択した名前です。
   • <tenant-object-id> は Microsoft Entra テナント ID です。 Microsoft Entra テナント ID を検索する方法を参照してください。
   • <workspace-id> は、前提条件の一部として指定したワークスペース ID です。

    {
      "$schema": "http://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
      "contentVersion": "1.0.0.0",
      "parameters": {},
      "resources": [
        {
          "type": "Microsoft.Fabric/privateLinkServicesForFabric",
          "apiVersion": "2024-06-01",
          "name": "<resource-name>",
          "location": "global",
          "properties": {
            "tenantId": "<tenant-id>",
            "workspaceId": "<workspace-id>"
          }
        }
      ]
    }

Private Link サービスの詳細については、JSON ファイルを参照してください。

リソース グループにプライベート リンク サービス リソースを見つけることもできますが、[ 非表示のリソースの表示] を選択する必要があります。

手順 3. 仮想ネットワークを作成する

次の手順では、リソース サブネット、Azure Bastion サブネット、Azure Bastion ホストを含む仮想ネットワークを作成します。

今後使用するために、ワークスペース レベルのプライベート エンドポイントごとに少なくとも 10 個の IP アドレスを予約することをお勧めします。 現在、サブネット内のワークスペース レベルのプライベート リンクごとに 5 つの IP アドレスを作成します。

1. Azure portal にサインインします。

2. 検索ボックスに「 仮想ネットワーク 」と入力し、検索結果で選択します。

3. [ 仮想ネットワーク ] ページで、[ + 作成] を選択します。

4. [仮想ネットワークの作成] の [基本] タブで、次の情報を入力または選択します。

   Setting	価値
   Subscription	サブスクリプションを選択します。
   リソース グループ	test-PL など、プライベート リンク サービス用に先ほど作成したリソース グループを選択します。
   名前	仮想ネットワークの名前 ( vnet-1 など) を入力します。
   リージョン	Fabric への接続を開始するリージョンを選択します。

   

5. [ 次へ ] を選択して、[ セキュリティ ] タブに進みます。既定の設定をそのまま使用することも、組織の要件に応じて変更することもできます。

6. [ 次へ ] を選択して、[ IP アドレス] タブに進みます。既定の設定をそのまま使用することも、組織の要件に応じて変更することもできます。

   

7. 保存 を選択します。

8. 画面の下部にある [確認と作成 ] を選択します。 検証に合格したら、[ 作成] を選択します。

手順 4. 仮想マシンを作成する

1. Azure portal にサインインします。

2. [コンピューティング >仮想マシン>リソースの作成] に移動します。

3. [ 基本 ] タブで、次の情報を入力または選択します。

   Setting	価値
   Subscription	Azure サブスクリプションを選択します。
   リソース グループ	プライベート リンク サービスの作成時に前に使用したのと同じリソース グループを選択します。
   仮想マシン名	新しい仮想マシンの名前を入力します。 フィールド名の横にある情報バブルを選択すると、仮想マシン名に関する重要な情報が表示されます。
   リージョン	仮想ネットワークの作成時に以前に使用したのと同じリージョンを選択します。
   可用性オプション	テストの場合は、[インフラストラクチャの冗長性は必要ありません] を選択します
   セキュリティの種類	既定値のままにします。
   画像	目的のイメージを選択します。 たとえば、 Windows Server 2022 を選択します。
   VM アーキテクチャ	既定値の x64 のままにします。
   大きさ	サイズを選択します。
   ユーザー名	選択したユーザー名を入力します。
   パスワード	任意のパスワードを入力します。 パスワードは 12 文字以上で、 定義された複雑さの要件を満たしている必要があります。
   パスワードの確認	パスワードを再入力します。
   パブリックなインバウンドポート	[ なし] を選択します。

   

4. [次へ: ディスク] を選択します。

5. [ ディスク ] タブで、既定値のままにして、[ 次へ: ネットワーク] を選択します。

6. [ネットワーク] タブ で 、次の情報を選択します。

   Setting	価値
   仮想ネットワーク	このデプロイ用に先ほど作成した仮想ネットワークを選択します。
   サブネット	仮想ネットワークのセットアップの一部として前に作成した既定のサブネット (10.0.0.0/24 など) を選択します。

   残りのフィールドでは、既定値のままにします。

   

7. [Review + create](レビュー + 作成) を選択します。 [ 確認と作成 ] ページが表示され、Azure によって構成が検証されます。

8. 検証に合格したメッセージが表示されたら、[作成] を選択します。

ステップ 5. プライベート エンドポイントを作成する

手順 3 で作成した仮想ネットワークにプライベート エンドポイントを作成し、手順 2 で作成したプライベート リンク サービスをポイントします。

1. ポータルの上部にある検索ボックスに、「 プライベート エンドポイント」と入力します。 [ プライベート エンドポイント] を選択します。

2. プライベート エンドポイントで+ 作成を選択します。

3. [プライベート エンドポイントの作成] の [基本] タブで、次の情報を入力または選択します。

   Setting	価値
   Subscription	Azure サブスクリプションを選択します。
   リソース グループ	Azure でプライベート リンク サービスを作成するときに先ほど作成したリソース グループを選択します。
   名前	一意の名前を入力します。
   ネットワーク インターフェイス名	FabricPrivateEndpointNIC と入力します。 この名前を使用する場合は、一意の名前を作成します。
   リージョン	仮想ネットワーク用に先ほど作成したリージョンを選択します。

   

4. [次へ: リソース] を選択します。 [ リソース ] ウィンドウで、次の情報を入力または選択します。

   Setting	価値
   接続方法	[自分のディレクトリ内の Azure リソースに接続する] を選択します。
   Subscription	サブスクリプションを選択します。
   リソースの種類	Microsoft.Fabric/privateLinkServicesForFabric を選択する
   Resource	Azure でプライベート リンク サービスを作成するときに前に作成した Fabric リソースを選択します。
   ターゲット サブリソース	ワークスペース

   次の図は、[ プライベート エンドポイントの作成 - リソース ] ウィンドウを示しています。

   

5. [ 次へ: 仮想ネットワーク] を選択します。 仮想ネットワークで、次の情報を入力または選択します。

   Setting	価値
   仮想ネットワーク	前に作成した仮想ネットワーク名 ( vnet-1 など) を選択します。
   サブネット	前に作成したサブネット名 ( subnet-1 など) を選択します。

6. [次へ: DNS] を選択します。 [ プライベート DNS 統合] で、次の情報を入力または選択します。

   Setting	価値
   プライベート DNS ゾーンとの統合	[はい] を選択します。
   プライベート DNS ゾーン	選ぶ (新規)privatelink.fabric.microsoft.com

   

7. [次へ: タグ]、[次へ: 確認と作成] の順に選択します。

8. を選択してを作成します。

手順 6. 仮想マシンに接続する

Azure Bastion は、パブリック IP アドレスを介して仮想マシンを公開する必要なく、軽量のブラウザー ベースの接続を提供することで、仮想マシンを保護します。 詳細については、「 Azure Bastion とは」を参照してください。

次の手順を使用して VM に接続します。

1. 前に作成した仮想ネットワークで、 AzureBastionSubnet という名前の新しいサブネットを追加します。

   

2. ポータルの検索バーに、先ほど作成した仮想マシンの名前を入力し、検索結果から選択します。

3. [ 接続 ] ボタンを選択し、ドロップダウン メニューから [Bastion 経由で接続 ] を選択します。

   

4. Bastion のデプロイを選択します。

5. [ Bastion ] ページで、必要な認証資格情報を入力し、[ 接続] を選択します。

手順 7. 仮想マシンからプライベートに Fabric にアクセスする

次に、前の手順で作成した仮想マシンから Fabric にプライベートにアクセスします。 この手順では、プライベート エンドポイントが正しく構成されていること、および Fabric ワークスペースの完全修飾ドメイン名 (FQDN) をプライベート IP アドレスに解決できることを確認します。

1. 仮想マシンで、コマンド プロンプトを開きます。

2. 次のコマンドを入力します。

   nslookup {workspaceid}.z{xy}.w.api.fabric.microsoft.com

   workspaceid はダッシュのないワークスペース オブジェクト ID で、xy はワークスペース オブジェクト ID の最初の 2 文字を表します。 z は接続文字列に文字どおり含まれ、角かっこ自体は含まれないため、たとえば zab や z44 になります。

3. プライベート IP アドレスが返されます。

手順 8. ワークスペースへのパブリック アクセスを拒否する

必要に応じて、ワークスペースへのパブリック アクセスを拒否できます。 ワークスペースがパブリック アクセスを拒否するように設定されている場合は、ワークスペースレベルのプライベート リンク経由でのみワークスペースにアクセスできることを意味します。 Fabric ポータルまたは Microsoft Graph API を使用して、パブリック アクセスを拒否するためのアクセス規則を作成できます。

    {
      "inbound": {
        "publicAccessRules": {
          "defaultAction": "Deny"
        }
      }
    }