概要

この PowerShell スクリプトは、Microsoft Fabric / Power BI の Workspace 一覧を取得し、各 Workspace に設定されているユーザー・グループ・Service Principal のアクセス権限を CSV に出力します。

Workspace の管理者だけを確認したい場合は、-AdminOnly を付けて実行します。

サンプルコード

今回利用する PowerShell スクリプトは、以下の GitHub リポジトリに配置しています。

ExportWorkspaceAccessLists.ps1

このスクリプトでは、Fabric Admin API を利用して Workspace 一覧を取得し、各 Workspace に付与されているユーザー・グループ・Service Principal のアクセス権限を CSV として出力します。

できること

Fabric / Power BI Workspace の一覧を取得
各 Workspace のアクセス権限を取得
Workspace Admin のみを抽出
Personal Workspace を除外
Capacity ID で対象 Workspace を絞り込み
結果を CSV に出力
失敗した Workspace はエラー CSV に出力

前提条件

PowerShell が利用できること
Az.Accounts モジュールがインストールされていること
実行ユーザーに Fabric Admin API を呼び出す権限があること

Az.Accounts が未導入の場合は、以下でインストールします。

Install-Module Az.Accounts -Scope CurrentUser

スクリプト名

ExportWorkspaceAccessLists.ps1

主なパラメーター

パラメーター	説明
`-ExcludePersonalWorkspaces`	Personal Workspace を除外
`-CapacityId`	指定した Capacity 配下の Workspace のみ対象
`-AdminOnly`	Workspace Role が Admin の行のみ出力
`-OutputPath`	通常結果の CSV 出力先
`-ErrorPath`	エラー結果の CSV 出力先
`-PauseSeconds`	API 呼び出し間隔。既定値は 5 秒

実行方法

1. スクリプトのあるフォルダーに移動

cd "D:\Folder"

2. Capacity ID を指定して実行

.\ExportWorkspaceAccessLists.ps1 `
  -ExcludePersonalWorkspaces `
  -AdminOnly `
  -CapacityId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"

Capacity ID は Fabric の管理画面から確認できます。

Fabric 画面右上の歯車アイコン
→ 管理ポータル
→ 容量設定
→ 対象の Capacity を選択
→ 設定 / 歯車アイコン
→ 容量 ID を確認

3. Workspace Admin のみを出力

.\ExportWorkspaceAccessLists.ps1 `
  -ExcludePersonalWorkspaces `
  -AdminOnly `
  -OutputPath ".\workspace_admins.csv" `
  -ErrorPath ".\workspace_errors.csv"

4. API 制限を考慮してゆっくり実行

Workspace 数が多い場合は、-PauseSeconds を大きめに設定します。

.\ExportWorkspaceAccessLists.ps1 `
  -ExcludePersonalWorkspaces `
  -AdminOnly `
  -PauseSeconds 18

実行サンプル

実行後の出力

既定では、以下の CSV が作成されます。

ファイル	内容
`workspace_users.csv`	Workspace のアクセス権限一覧
`workspace_errors.csv`	取得に失敗した Workspace のエラー一覧

-OutputPath や -ErrorPath を指定した場合は、そのパスに出力されます。

出力サンプル

以下はマスキング済みのサンプルです。

"Workspace Name","Workspace ID","Workspace Type","Workspace State","Principal Name","Principal ID","Principal Type","User PrincipalName","Group Type","Access Type","Workspace Role"
"dev-workspace1","xxxxxxxx-xxxx-xxxx-xxxx-000000000001","Workspace","Active","System Administrator","xxxxxxxx-xxxx-xxxx-xxxx-111111111111","User","admin@example.onmicrosoft.com","","Workspace","Admin"
"test-workspace1","xxxxxxxx-xxxx-xxxx-xxxx-000000000002","Workspace","Active","System Administrator","xxxxxxxx-xxxx-xxxx-xxxx-111111111111","User","admin@example.onmicrosoft.com","","Workspace","Admin"
"prod-workspace1","xxxxxxxx-xxxx-xxxx-xxxx-000000000003","Workspace","Active","User A","xxxxxxxx-xxxx-xxxx-xxxx-222222222222","User","user01@example.onmicrosoft.com","","Workspace","Admin"
"analytics-workspace","xxxxxxxx-xxxx-xxxx-xxxx-000000000004","Workspace","Active","System Administrator","xxxxxxxx-xxxx-xxxx-xxxx-111111111111","User","admin@example.onmicrosoft.com","","Workspace","Admin"

補足

-AdminOnly を付けない場合、Admin だけでなく Member、Contributor、Viewer などのロールも出力されます。

グループが Workspace Admin として設定されている場合、このスクリプトではグループ名が出力されます。グループのメンバーを展開する場合は、別途 Microsoft Graph API でグループメンバーを取得する必要があります。