WEB問題集
あなたは新しい Microsoft Fabric ワークスペースを作成し、データエンジニアのチームに対してすべてのアイテム（レイクハウス、ノートブック、パイプライン）を作成・編集・削除できる権限を付与しますが、他のユーザーへの権限の付与（ワークスペースへのアクセス管理）は許可したくありません。割り当てるべきワークスペースロールはどれですか。
解説
【正解: C】の理由
Fabric のワークスペース ロールは、閲覧者 (Viewer)・共同作成者 (Contributor)・メンバー (Member)・管理者 (Admin) の 4 種類があり、権限は段階的に広くなります。共同作成者 (Contributor) は、レイクハウス・ノートブック・パイプラインなどワークスペース内のアイテムを作成・編集・削除し、データの取り込みやパイプラインの実行といった開発・運用作業を一通り行えます。一方で、ワークスペースへ他のユーザーを追加してロールを割り当てる (アクセス権を管理する) 操作はできません。設問の「すべてのアイテムを作成・編集・削除できるが、他ユーザーへの権限付与は許可しない」という条件に過不足なく合致するのは、まさにこの Contributor ロールです。
【他選択肢が違う理由】
- A: Member はアイテム管理に加え他ユーザーを追加してロールを割り当てられるため、権限付与を許可しない要件に反します。
- B: Viewer はアイテムの閲覧と読み取りのみで、作成・編集・削除ができないため開発作業を行う要件を満たせません。
- D: Admin はユーザーの追加削除やワークスペース自体の削除まで可能で権限が広すぎ、最小権限の要件に反します。
【参考】
CREATE SECURITY POLICY SalesFilter
ADD {{BLANK1}} dbo.fn_securitypredicate(Region)
ON dbo.Sales
WITH (STATE = {{BLANK2}});| ステートメント | 選択 |
|---|---|
|
{{BLANK1}} に入る述語の種別
読み取り時に行をフィルターするため FILTER PREDICATE を指定します。 |
|
|
{{BLANK2}} に入るポリシーの状態
ポリシーを有効化するため STATE = ON を指定します。 |
解説
【正解マッチング】
| 判定対象 | 正解 |
|---|---|
| {{BLANK1}} に入る述語の種別 | FILTER PREDICATE |
| {{BLANK2}} に入るポリシーの状態 | ON |
【ポイント】
行レベル セキュリティ (RLS: 行レベル セキュリティ) を実際に効かせるには、述語関数を対象テーブルへ結び付けるセキュリティ ポリシーを CREATE SECURITY POLICY で作成します。読み取り (SELECT) 時に返す行を絞り込む用途では FILTER PREDICATE を指定し、fn_securitypredicate 関数を dbo.Sales に適用します。BLOCK PREDICATE は書き込み操作を阻止する別種の述語、MASK は動的データ マスキングの構文であり、行フィルターの用途には合いません。さらに WITH (STATE = ON) と指定するとポリシーが有効化され、以後すべてのクエリに行フィルターが適用されます。OFF にするとポリシーは定義されたまま無効となり、行の絞り込みは行われません。フィルター述語と有効化状態の両方を正しく指定して初めて RLS が期待どおり機能します。
【参考】
ワークスペースのガバナンス設計において、最小権限の原則に沿ってロールを割り当てます。各ロールの権限に関する正しい説明を 3 つ選んでください。
解説
【正解: A / C / E】の理由
ワークスペースのガバナンス設計では、最小権限の原則に従い、各利用者に必要な操作範囲だけを許可するロールを割り当てます。A のとおり、Admin はワークスペースの削除やユーザー アクセスの管理 (ロール割り当て) を含む、ワークスペースに対するすべての操作が可能な最上位のロールです。E のとおり、Contributor はアイテム (項目) の作成・編集・削除を実行できますが、他ユーザーへのロール割り当てといったアクセス管理は行えず、コンテンツ作成に専念する開発者向けのロールです。C のとおり、Viewer はアイテムの閲覧・読み取りのみが可能で、作成や編集はできない読み取り専用のロールです。このように Admin・Member・Contributor・Viewer の順に権限範囲が段階的に狭まり、利用者の役割に応じて適切なロールを選ぶことで、過剰な権限付与を避けた安全なワークスペース運用を実現できます。
【他選択肢が違う理由】
- B: Viewer はアイテムの閲覧・読み取り専用のロールであり、ワークスペースに新しいアイテムを作成することはできません。
- D: Member はアイテムの管理に加えて閲覧も可能であり、「編集はできるが閲覧はできない」という記述は誤りです。
【参考】
- 組織アカウント (Microsoft Entra ユーザー)
- ワークスペース ID
- サービス プリンシパル
- アカウント キー
解説
【正解マッチング】
| 項目 | 説明 |
|---|---|
| ワークスペース ID | ワークスペースに紐づき、信頼されたアクセスでストレージへ接続する |
| 組織アカウント (Microsoft Entra ユーザー) | 対話的なユーザー操作で個人の権限を使ってアクセスする |
| サービス プリンシパル | アプリ/自動化が非対話で組織リソースへアクセスする |
| アカウント キー | 共有キーで直接ストレージへアクセスする (推奨度低) |
【ポイント】
Fabric からストレージへ接続する際の認証方法は、用途と安全性で使い分けます。ワークスペース ID はワークスペースに紐づく Microsoft Entra のマネージド アイデンティティで、信頼されたアクセスを用いてキーを露出せずにストレージへ接続できるため、その説明に対応します。組織アカウント (Microsoft Entra ユーザー) は対話的なユーザー操作で個人の権限を使ってアクセスする方法で、開発時の手動操作などに向きます。サービス プリンシパルはアプリケーションや自動化処理が、人の介在なく非対話でリソースへアクセスするための ID で、スケジュール実行やパイプラインの認証に結び付きます。アカウント キーは共有キーによって直接ストレージへアクセスする方法ですが、シークレットの漏洩リスクが高く推奨度は低いものとして扱われます。マネージド ID・対話認証・非対話の自動化・共有キーという各方式の性質と適する場面を正しく対応付けることが重要です。
【参考】
- Fabric テナント設定で秘密度ラベルを有効化する
- 下流の派生項目やエクスポート ファイルにラベルが継承されることを確認する
- Lakehouse 項目に秘密度ラベルを適用する
- Microsoft Purview で秘密度ラベルと発行ポリシーを構成する
解説
【正しい順序】
- Microsoft Purview で秘密度ラベルと発行ポリシーを構成する
- Fabric テナント設定で秘密度ラベルを有効化する
- Lakehouse 項目に秘密度ラベルを適用する
- 下流の派生項目やエクスポート ファイルにラベルが継承されることを確認する
【ポイント】
- ステップ 1 Purview でラベルを構成: 秘密度ラベルは Microsoft Purview 情報保護で定義し、ユーザー/グループへ発行するポリシーを設定します。
- ステップ 2 Fabric でラベルを有効化: Fabric の管理ポータルのテナント設定で秘密度ラベルを許可し、項目にラベルを付けられるようにします。
- ステップ 3 項目にラベルを適用: 対象の Lakehouse 等にラベルを適用し、分類を明示します。
- ステップ 4 継承を確認: ラベルは下流の派生項目や Excel/PDF へのエクスポートにも継承され、保護が伝播することを確認します。
【誤った順序の問題点】
- テナント設定で有効化せずラベル適用: 機能が無効のままでは項目にラベルを適用できません。
- Purview 構成を省略: 利用可能なラベルが定義されておらず、Fabric 側で選択できません。