変更要約: DP-700 第1章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）
1.3ワークスペースのセキュリティとガバナンス
Fabric の ワークスペースロール（Admin/Member/Contributor/Viewer）、項目/行レベルのアクセス制御、機密ラベル と Purview による ガバナンス、デプロイパイプラインを理解します。分析基盤を安全に運用します。
データ基盤では「誰がどのデータに何ができるか」の制御と、組織的なガバナンスが欠かせません。Fabric はロールとラベル、Purview 連携で対応します。
1.3.1セキュリティとガバナンス
- ワークスペースロール：Admin / Member / Contributor / Viewer の階層で権限を付与する。
- データレベルの制御：行レベルセキュリティ（RLS）・列レベル・オブジェクト権限で細かく制御する。
- 機密ラベル/ガバナンス：機密ラベルでデータを分類し、Microsoft Purviewで監査・系列（リネージ）を把握する。
- デプロイパイプライン：開発→テスト→本番のステージ間で成果物を昇格させ、安全にリリースする。
「ワークスペース権限＝4 つのロール（Admin/Member/Contributor/Viewer）」「ユーザーごとに見える行を絞る＝RLS」「データ分類＝機密ラベル」「監査/リネージ＝Microsoft Purview」「開発→テスト→本番の昇格＝デプロイパイプライン」 は DP-700 で頻出です。最小権限の原則で適切なロールを割り当てます。
アクセス制御は層で重ねます。ワークスペースロール は粗い単位で、Admin（全管理）＞Member（共有・ほぼ全操作）＞Contributor（作成/編集）＞Viewer（閲覧のみ）。さらに アイテム権限（特定の Lakehouse/Warehouse/レポートだけ共有）と、データ単位の RLS（行レベル）・列レベル/オブジェクト権限 で絞ります（Viewer に最小限のデータだけ見せる設計）。ガバナンスは Microsoft Purview と Purview ハブ でデータの 分類（機密ラベル＝Information Protection で暗号化/透かしも適用）・系列（リネージ）・監査・データカタログ/検索 を行い、規制対応とデータ発見性を高めます。リリースは デプロイパイプライン（開発→テスト→本番の 3 ステージで成果物を昇格・差分比較）と Git 統合（ワークスペースをリポジトリに接続し CI/CD）で管理。テナント全体の機能可否は 管理ポータルのテナント設定 で統制します。「粗い＝ワークスペースロール、細かい＝アイテム権限/RLS、組織統制＝Purview/テナント設定、リリース＝パイプライン/Git」と整理します。
| ロール | 主な権限 | 用途 |
|---|---|---|
| Admin | ワークスペース全管理・権限付与 | 管理者 |
| Member | 共有・再共有・ほぼ全操作 | チームリード |
| Contributor | アイテムの作成/編集 | 開発者 |
| Viewer | 閲覧のみ（RLS で行も制限可） | 消費者/閲覧者 |
シナリオ： レポートは全社で見せたいが、各部門は自部門の行だけ、機密列は一部の人だけに見せたい。→ 閲覧者には Viewer ロールを付与し、RLS で部門別に行を制限、機密列は列レベル権限で絞ります。データは機密ラベルで分類し、Purview で監査・リネージを把握。リリースはデプロイパイプラインで本番へ昇格します。
FAQ： Q. ワークスペースロールと RLS の違いは？ → A. ロールは「ワークスペース内で何ができるか」の粗い制御、RLS は「どの行を見られるか」のデータ単位の制御。併用します。Q. 開発→本番の安全なリリースは？ → A. デプロイパイプラインで 3 ステージを昇格、または Git 統合で CI/CD を組みます。
ひっかけ： 「Viewer ロールにすればユーザーごとに見える行も自動で制限される」は誤りです。行の制限は RLS（別途設定）。ロールは粗い操作権限。また「機密ラベルはアクセスをブロックする主たる手段」も誤り（分類・追跡・保護の補助で、アクセス制御はロール/RLS が主）。
1.3.2この節のまとめ
- 権限＝ワークスペースロール＋RLS/列/オブジェクト
- ガバナンス＝機密ラベル・Purview、リリース＝デプロイパイプライン
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Fabric のワークスペースで権限を付与する役割（ロール）として正しいものはどれですか？
Q2. ユーザーに応じて見える行を制限したい。何を使いますか？
Q3. 組織のデータ分類・監査・系列（リネージ）の把握に使う Microsoft のガバナンス基盤はどれですか？