Microsoft Fabric ワークスペース内部のアクセス制御

[目次に戻る](https://qiita.com/taku_tachibana/items/35576a7aa1104182185c)
　
### ■前回の記事
[管理ポータル](https://qiita.com/taku_tachibana/items/256b866613de29717209)

### ■本記事の目的
今回は、ワークスペースおよびFabric項目を含めたアクセス許可について
まとめていきます。

### ■概要
ワークスペースにおけるFabric項目の操作をユーザー・グループに
どのように提供できるかを理解する。

### ■前提
今回は、特にありません。

### ■ワークスペースロールでのアクセス制御
4種類あるため、公式資料からまとめます。

ワークスペースレベルでの制御は、
Fabric項目個別の制御ではないので、ビューアー以上を許可された場合、
内部のFabric項目は、すべて参照することができます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/3ccf37b3-00d2-4cf4-88fe-c83bf10d94a8.png)

ここでは、最小権限原則のポイントとして、
ユーザー制御をさせたくないなら「共同作成者」以下
項目・データ操作をさせたくないなら「ビューアー」以下
にしましょう。

引用：
https://learn.microsoft.com/ja-jp/fabric/security/permission-model
https://learn.microsoft.com/ja-jp/fabric/fundamentals/roles-workspaces#roles-in-workspaces-in-microsoft-fabric

　
### ■Fabric項目個別でのアクセス制御
Fabric項目（PowerBIアイテムを含む）ごとでアクセスを許可します。
項目ごとで、許可できる内容は異なります。


Fabric上での、この個別のFabric項目の許可については「共有」という概念になります。
項目にもよりますが、「リンク」、「直接アクセス」という
共有の手法が二つ存在することをご留意ください。

※この記事では、
　手順以外については、文脈で理解できるため「許可」と表現いたします。

Fabric項目ごとの許可は、一部できない項目があります。
データパイプラインは、実際に確認するとできなかったです。

代表的な項目をピックアップして確認し、表にしてみました。
共有先の役割や目的に応じて許可を検討していく必要があります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/e127bd18-efa1-40b8-8ee0-c4215f7d6691.png)

項目の個別の許可のデメリットとしては、
許可の粒度が細かくなることで管理が煩雑になることと、
許可される当事者にワークスペースが表示されるわけではないため、
アクセス方法がワークスペース許可の場合と異なることになります。
案内などを含めた運用のオーバーヘッドが大きくなる可能性があるため、
このあたりは許可対象の規模なども含めて、
ワークスペース設計を前提とした構成も加味して検討した方が良いでしょう。

特例や例外的な一部の対象に許可するなどの用途であれば、問題はないと思います。

ワークスペースロール権限の取消のオーバーライドはできないため、注意が必要です。



　
　
以下は、実際に手順を記載しておきます。

ワークスペースロールに準拠した上で、
操作できる対象のユーザーでFabricにログインしてください。
### ■ワークスペースロールの付与
アクセス制御を行う対象のワークスペースを展開する。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/581f80b8-cbbf-4693-98b8-509959c75663.png)

　
アクセスの管理をクリックする。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/a74f9a67-8e60-4f2a-a388-19983dcc04b2.png)

　
ユーザーまたはグループの追加をクリックする。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/953aa37c-d515-46aa-80d7-8879e14e4a05.png)

検索欄に、ユーザー・グループの名前またはメールアドレスを入力し、追加する。
※検索できない場合、管理者により検索制限が行われている可能性があります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/e5c270ff-bcd6-40c7-ad75-9c13b80dc926.png)

　
任意のワークスペースロールを選択する。　＞　追加をクリックする。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/30ebf69a-cb9e-49dc-a82d-9c30052ba1dd.png)


　
### ■ワークスペースロールの変更・取消
変更対象のユーザーのロールのプルダウンをクリックする。　＞　変更先のロールをクリックする。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/27200e1a-b820-4d5f-9912-059fd4d23e51.png)

　
削除対象のユーザーのロールのプルダウンをクリックする。　＞　削除をクリックする。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/1080d842-6384-440c-afab-231a74a7a3ef.png)

　
### ■Fabric項目への許可の付与
Fabric項目によって許可内容が異なるため、共通手順だけ記載しておきます。

許可の方法としては、二通りありまして、
「共有ボタン」もしくは「アクセス許可の管理」から行います。

※操作してみると、項目によって許可できる内容が異なるようで、
　「アクセス許可の管理」の方が、許可のオプション選択としては
 　確実にアクセスできるようです。

方法１：共有ボタン
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/4d66a14d-b287-4581-8649-a4349efd8c41.png)

方法２：その他のオプション　＞　アクセス許可の管理　＞　
アクセス設定するタブの選択（リンク、直接アクセス）　＞　ユーザーの追加
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/1db978cc-a79b-49b9-a13d-d7fe275dcf53.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/52f1da91-60cf-43c9-ab5e-659f47956ab1.png)

　
Fabric項目ごとの固有の設定内容ですが、おおまかに
ユーザー・グループを設定　＞　許可項目の選択　＞　通知オプション　＞　許可
の流れになります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/3fead27d-5499-4e52-bdb0-ff360f5132fa.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/0b11a2dd-7e97-453c-bb2c-af46673761de.png)

このあたりの項目ごとの詳細については、
公式ドキュメント見ていただいた方がいいと
思いますので添付しておきます。
https://learn.microsoft.com/ja-jp/fabric/fundamentals/share-items

　
### ■Fabric項目への許可の変更・取消
変更・取消については、対象のFabric項目のその他のオプションの
「アクセス許可の管理」からのみ制御できます。

ユーザー権限のリストを右にスクロールして、対象にカーソルを置くとオプションが出ますのでクリックします。
変更は引き算方式で対象の権限を削除します。
完全に削除する場合は、アクセスの削除を行います。
※ワークスペースレベル権限は、ここで変更・削除できません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2731433/7643647c-5c75-4b59-a317-1ceb58b326dc.png)


### ■参考資料
https://speakerdeck.com/ryomaru0825/microsoft-fabric-kai-fa-gaido?slide=51


　
今回の内容はここまでとなります。
上記の参照資料が、一番詳しくまとめていただいていると思います。
設計思想の考え方、実際の所感、手順として整理しておきたかったので、
拙い内容の本記事となりましたが、ご了承ください。


次回は、データストアについてまとめていきます。

### ■次の記事
[データストアの選択](https://qiita.com/taku_tachibana/items/e98ce17308763d1d2a91)

　　
[目次に戻る](https://qiita.com/taku_tachibana/items/35576a7aa1104182185c)