注意点

2021/10/6時点の情報です

はじめに

Purviewのネットワークアクセス制御を理解するためにいろいろ動かした備忘録です。

参考

https://docs.microsoft.com/en-us/azure/purview/catalog-private-link-faqs
https://docs.microsoft.com/en-us/azure/purview/catalog-private-link

結論

いくつかのパターンで、それぞれの動作を確認したところ、以下の整理となった。

ファイアウォールによる、パブリックネットワークアクセス拒否→インジェストプライベートエンドポイントが必要となる。
- 参考のリンクでは、パブリックネットワークアクセス許可の動作がいまいちわかりにくかったがはっきりした。マネージドストレージとEvent Hubsが閉域化するとは書いてあるが、Accountにもきっちりアクセスできなくなる。
- 注意しないといけないのは、パブリックネットワークアクセス許可をオフにして、アカウントとポータルのエンドポイントは構成して、インジェストエンドポイントを構成しない状態。これはスキャンができず、カタログ自体にはアクセスできる謎サービスとなる（手動でカタログ情報作れるかはためしていない
ポータル、アカウントのPrivate Endpointは同じDNSゾーンを使うので、名前解決の方式にもよるが、基本的にセットでデプロイする（SynapseのようにWebエンドポイントは設置しない、という方式はとらない
バランスがよさそうなのは、パブリックネットワークアクセス許可して、インジェストエンドポイントも利用する。
- →SHIRからはインジェストエンドポイントが利用されるため、スキャン情報はproxyの例外としてインジェストエンドポイントを指定すればインターネット越しとならないが、Azure IRは併用可能
  - ただし、インターネット越しにPurviewのカタログなどが見えるようになるため、これを気にする場合には不適。Azure IRが使えなくなることによるスケーラビリティの欠如とバランスをとる必要がある。
試して気づいたが、SHIRを利用＝パブリックネットワークアクセス許可をオフにすると、MSIによるデータソーススキャンができない（AKVでサービスプリンシパルなど情報を入れないといけない）ため、キー管理が必要となる

結果詳細

シナリオ 1 - ご利用の Azure Purview に接続して、プライベートかつ安全にデータソースをスキャンする
- account、portalのプライベートエンドポイントを設置
シナリオ 2 - ご利用の Purview アカウントにプライベートかつ安全に接続する
- account、portal、ingestのプライベートエンドポイントを設置

これらに対して、パブリックネットワークアクセス許可を組み合わせて検証した。
なお、スキャン対象にはファイアウォールをかけておらず、Azure IRが成功したらSHIRは試していない（ハイフンの結果）。

シナリオ 1 ＋パブリック許可

設定

パブリックネットワークアクセス許可	accountのプライベートエンドポイント	portalのプライベートエンドポイント	インジェストプライベートエンドポイント
〇	〇	〇	×

結果

ユースケース	アクセス元条件	結果
Studio利用	Vnet外	OK
Studio利用	Vnet内	OK
スキャン（パブリックリソース）	Azure IR	OK
スキャン（パブリックリソース）	SHIR	-

シナリオ 1 ＋パブリック不許可

設定

パブリックネットワークアクセス許可	accountのプライベートエンドポイント	portalのプライベートエンドポイント	インジェストプライベートエンドポイント
×	〇	〇	×

結果

ユースケース	アクセス元条件	結果
Studio利用	Vnet外	NG
Studio利用	Vnet内	OK
スキャン（パブリックリソース）	Azure IR	NG
スキャン（パブリックリソース）	SHIR	NG

シナリオ 2 ＋パブリック許可

設定

パブリックネットワークアクセス許可	accountのプライベートエンドポイント	portalのプライベートエンドポイント	インジェストプライベートエンドポイント
〇	〇	〇	〇

結果

ユースケース	アクセス元条件	結果
Studio利用	Vnet外	OK
Studio利用	Vnet内	OK
スキャン（パブリックリソース）	Azure IR	OK
スキャン（パブリックリソース）	SHIR	-

シナリオ 2 ＋パブリック不許可

設定

パブリックネットワークアクセス許可	accountのプライベートエンドポイント	portalのプライベートエンドポイント	インジェストプライベートエンドポイント
×	〇	〇	〇

結果

ユースケース	アクセス元条件	結果
Studio利用	Vnet外	NG
Studio利用	Vnet内	OK
スキャン（パブリックリソース）	Azure IR	NG
スキャン（パブリックリソース）	SHIR	OK

おまけ

synapseのようにwebプライベートエンドポイントは不要なのかと思ったが、DNSZoneが同一であるため、accout側のプライベートエンドポイントを作成したら同じoneで解決が必要なPortalにもプライベートエンドポイントが必要だった

設定

パブリックネットワークアクセス許可	accountのプライベートエンドポイント	portalのプライベートエンドポイント	インジェストプライベートエンドポイント
〇	〇	×	×

結果

ユースケース	アクセス元条件	結果
Studio利用	Vnet外	OK
Studio利用	Vnet内（DNSゾーンとリンク）	NG
スキャン（パブリックリソース）	Azure IR	-
スキャン（パブリックリソース）	SHIR	-