こんにちは、株式会社エーティーエルシステムズ鍋島です。
今回はの投稿はPowerBI サービスとサーバーサイドの行レベルセキュリティを検証した記録です。

検証の目的

目的は次の３つの要件を満たすPowerBI レポートの作成することです。

PowerBIサービスのレポートで、Azureの仮想ネットワーク(VNET)内のSQL Databaseデータを表示したい。
SQL Databaseの認証は Azure AD認証としたい。
PowerBI実行ユーザーによる行レベルのセキュリティ(RLS,Row Level Security)をAzure SQL Database側でやりたい。

検証してみたら、手順が長くなりましたので、記事にまとめてみました。
何かの参考になると幸いです。

今回はAzure ADユーザーによる行レベルセキュリティを実現するために「仮想ネットワークデータゲートウェイ」というプレビュー機能を利用します。

PowerBI Premium Per User ライセンスが必要です。検証では60日間の試用版を利用しています。

本投稿の内容は、2022年1月時点の情報です。

全体の流れ

全体の流れは次のとおりです。

Azure SQL Databaseで Azure Active Directory認証を有効にして、グループで認証できるようにする。
データベースを準備して、行レベルのセキュリティを構成する
Power Platform 管理センターで仮想ネットワークデータゲートウェイを追加する
PowerBIサービスにプレミアムワークスペースを作成、レポートを作成して発行する
PowerBIサービスでVNETデータゲートウェイのデータソースを作成して、マップする
レポートから最終確認。行レベルのセキュリティで、ログインユーザーでフィルターされているのを確認する

参考情報

今回の投稿は以下の2つの記事を参考にしています。とても分かりやすい投稿で感謝しています。

#1. Azure SQL Databaseで Azure Active Directoryの設定

Azure Active Directoryで認証を許可する

SQL DatabaseでAzure ADによるに認証を許可するには、SQL Server リソースで Azure Active Directory認証をするように設定します。
Azureの分かりにくいところですが、SQL データベース側ではなくSQL Server側での設定になりますので、ご注意下さい。

Azure ADにグループを追加する。

AADにグループを追加して、データベースにアクセス許可したい検証用ユーザを追加します。

今回、作成したセキュリティグループ PowerBI-AAD-RLS-TEST に、検証用のユーザーとして太郎 testtaro@foobarboo.onmicrosoft.com と花子
testhanako@foobarboo.onmicrosoft.com を追加してます。

2. 行レベルのセキュリティの構成

SSMSでデータベースに接続する際は、SQL ServerでAzure Active Directory 管理者に設定したユーザーで接続します。
データベース test-db を事前に準備しています。

検証用テーブルとデータの登録

検証用のUsersテーブルを作成し、検証用のデータを突っ込みます。

CREATE TABLE [dbo].[Users](
	[Id] [int] NOT NULL,
	[UserName] [varchar](50) NULL,
 CONSTRAINT [PK_Users] PRIMARY KEY CLUSTERED 
(
	[Id] ASC
)WITH (STATISTICS_NORECOMPUTE = OFF, IGNORE_DUP_KEY = OFF, OPTIMIZE_FOR_SEQUENTIAL_KEY = OFF) ON [PRIMARY]
) ON [PRIMARY]

データを登録します。PowerBIで接続する予定のユーザー（ここでは、太郎と花子）を追加し、それ以外にも検証用にダミーデータを登録します。

INSERT [dbo].[Users] ([Id], [UserName]) VALUES (1, N'testtaro@foobarboo.onmicrosoft.com')
INSERT [dbo].[Users] ([Id], [UserName]) VALUES (2, N'testhanako@foobarboo.onmicrosoft.com')
INSERT [dbo].[Users] ([Id], [UserName]) VALUES (3, N'foo@example.com')
INSERT [dbo].[Users] ([Id], [UserName]) VALUES (4, N'bar@example.com')
INSERT [dbo].[Users] ([Id], [UserName]) VALUES (5, N'boo@example.com')

グループに選択権限の付与

AzureADのグループ PowerBI-AAD-RLS-TEST をデータベース test-db のユーザーとして追加し、さらにUsersテーブルに対しセレクト権限を付与します。

テーブルへのアクセス権限の許可

USE [test-db]
--AzureADのセキュリティグループをユーザーとして追加
CREATE USER [PowerBI-AAD-RLS-TEST] FROM EXTERNAL PROVIDER
-- 選択権限をセキュリティーグループに付与
GRANT SELECT ON Users TO [PowerBI-AAD-RLS-TEST];

セキュリティポリシーを設定

スキーマを作成し、セキュリティーポリシーで利用する関数を作成

-- Securityという名前のスキーマを作成
CREATE SCHEMA Security; 
-- Usersテーブル用の関数を作成
-- 
CREATE FUNCTION Security.fn_secpredicate_user(@Name AS sysname)  
RETURNS TABLE  
WITH SCHEMABINDING  
AS  
    RETURN
    SELECT
        1 AS fn_secpredicate_user
    WHERE
        @Name = USER_NAME() OR USER_NAME() = 'dbo';

USER_NAME関数は、AzureActiveDirectory認証の場合、基本的にはAzureADのメールアドレスが返ってきます。ただし、sysadmin 固定サーバーロールのメンバーの場合 USER_NAME関数は dbo という文字列を返すので、別途許可しています。

作成した関数を使ってポリシーを作成します。

ポリシーを作成

CREATE SECURITY POLICY Security.Users_Filter  
ADD FILTER PREDICATE Security.fn_secpredicate_user(UserName) ON dbo.Users
WITH (STATE = ON);

RLSの完成！SSMSから確認します。
Usersテーブルには4レコード追加していますが、ログインした自分自身の行しか出力されません。

3. 仮想ネットワークデータゲートウェイの追加

公式はMicrosoftのこちらのドキュメントを参照してください。
https://docs.microsoft.com/ja-jp/data-integration/vnet/use-data-gateways-sources-power-bi

Power BI Premium アカウントの準備

まず、Power BI Premium アカウントを用意します。
VNET データゲートウェイは Power BI プレミアムワークスペースと Premium Per User (PPU) ライセンスが必要になります。
本記事ではPPUは60日間の試用版を使用しています。

仮想ネットワークデータゲートウェイはプレミアムのみの機能で、Power BI プレミアムワークスペースと Premium Per User (PPU) でのみパブリックプレビューが可能となります。ただし、VNet データゲートウェイが一般的に利用できるようになった時点で、ライセンス要件が変更される可能性があります。

VNET データゲートウェイを作成する

公式ドキュメントに沿って進めます。手順は、以下のドキュメントが良く書かれていますので、割愛します。
https://docs.microsoft.com/ja-jp/data-integration/vnet/create-data-gateways

手順１：サブスクリプションにサービスプロバイダの登録します。

手順 2: サブネットを Microsoft Power Platform に関連付けます。

手順 3: VNet データゲートウェイを作成します。
その前に準備としてPPUのあるユーザーに「ネットワーク共同作成者」のロールを割り当てます。
以下の操作はAzurePortalでサブスクリプションに対して行います。

Power Platform 管理センターにアクセスして、仮想ネットワークデータゲートウェイを新規作成します。

Power Platform 管理センターに戻って仮想ネットワークデータゲートウェイを新規作成します。

仮想ネットワークデータゲートウェイが作成できました。

PowerBIサービス側から確認します。

4. PowerBIレポートを作成して発行

テーブルを挿入してUsersテーブルのIDとUserNameを表示します。レポートができたら、Premium ワークスペースに発行します。

5. VNETデータゲートウェイにデータソースの追加

発行が完了するとPowerBIサービスでデータセットの設定を行います。

データセットの設定を開いた直後は、「資格情報が正しくないため、データソースを更新できません。資格情報を更新して、もう一度お試しください。」と表示されています。これはPowerBIサービスからVNET内のSQLDatabaseに接続できないためです。

データゲートウェイ接続を展開し、アクションの横▼をクリックします。

[VNETに追加]をクリックして、VNETにデータソース「SQL」を追加します。

データソースの情報を入力します。その際「DirectQuery クエリに Azure AD 経由で SSO を使用する」にチェックを入れることでAzure ADのユーザーとしてSQL Databaseに接続するようになります。

作成したデータソース「SQL」をこのデータセットに含まれているデータソースのマップ先にセットして、「適用」します。

適用後、資格情報のエラーがなくなります。

6. レポートから最終確認

最後に発行したレポートを確認すると、ログインしているアカウントのレコードだけが表示されていることを確認できます。

最後に

仮想ネットワークデータゲートウェイというプレビュー機能と PowerBI Premium Per User という有償ライセンスを使うことで目的が達成できました。また、仮想ネットワークデータゲートウェイはオンプレミスデータゲートウェイと違い設定が楽な上に、Azure ADによるセキュリティの設定ができるようになります。価格が気になるところですが、GAされるのが楽しみですね。