変更要約: PL-300 第5章を新規作成し参考書を完結（ドメイン: 管理とセキュリティ）。ワークスペースとアセットの管理（ワークスペース/アプリ・配布方法・ダッシュボード・サブスクリプション/アラート・昇格/認定・オンプレミスデータゲートウェイ・スケジュール更新）、セキュリティとガバナンス（ワークスペースロール Admin/Member/Contributor/Viewer・ビルド権限・行レベルセキュリティ RLS（静的/動的 USERNAME()）・RLS グループ割り当て・機密ラベル）。
5.2セキュリティとガバナンス
ワークスペースロール、アイテムレベルアクセス、セマンティックモデルのビルド権限、行レベルセキュリティ（RLS）、機密ラベルを理解します。
正しい人に正しいデータだけを見せる。アクセス制御と行レベルの絞り込み が Power BI セキュリティの要です。
5.2.1ワークスペースロールとアクセス
ワークスペースロール は開発側の権限で、管理者（Admin） > メンバー（Member） > 共同作成者（Contributor） > ビューアー（Viewer） の順に権限が強い（Admin はアクセス管理まで、Contributor は作成/編集、Viewer は閲覧のみ）。配布後の閲覧者には アイテムレベルアクセス や アプリのアクセス で見せ、セマンティックモデルを他者が再利用するには ビルド権限（Build） を付与します。
5.2.2行レベルセキュリティ（RLS）
行レベルセキュリティ（RLS） はユーザーが見られる 行 を絞ります。Power BI Desktop で ロールを定義し、各テーブルに DAX のフィルター式（例: [Region] = "East"）を書きます。固定条件の 静的 RLS と、USERNAME()/USERPRINCIPALNAME() でログインユーザーに応じて動的に絞る 動的 RLS があります。サービス側で ロールにユーザー/グループを割り当て て適用します。RLS は 行の可視性の制御で、アイテム全体の閲覧可否（アクセス制御）とは別レイヤーです。
5.2.3機密ラベル
機密ラベル（sensitivity labels） は Microsoft Purview と連携し、レポート/データに「社外秘」などの分類を付与して 暗号化やアクセス制限、エクスポート時の保護 を適用します。これはデータ 分類とガバナンス の仕組みで、行を絞る RLS とは目的が異なります。
決め手：「開発権限の強さ」＝Admin>Member>Contributor>Viewer。「モデルを他者が再利用」＝ビルド権限。「ユーザーごとに見える行を絞る」＝RLS(DAXフィルター)。「ログインユーザーで動的に絞る」＝動的RLS(USERNAME())。「社外秘等の分類+暗号化」＝機密ラベル(Purview)。RLS=行の可視性/アクセス制御=アイテムの可否。
混同に注意：
①RLS(行の可視性)とアイテムレベルアクセス(開ける可否)を取り違えない。
②Viewer でも RLS は別途必要(閲覧=全行ではない)。
③静的RLSと動的RLS(USERNAME())を区別。
④機密ラベル(分類/暗号化)とRLS(行フィルター)は目的が別。
⑤ビルド権限がないとモデルを再利用できない。
5.2.4この節のまとめ
- ワークスペースロール=Admin>Member>Contributor>Viewer・モデル再利用はビルド権限
- RLS=ロール+DAXフィルターで行を絞る・動的RLSはUSERNAME()
- 機密ラベル(Purview)=分類+暗号化・RLSとは目的が別
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 営業担当者には自分の地域の行だけを表示し、他地域は見せたくない。最適な機能はどれですか？
Q2. ログインユーザーに応じて自動的に表示行を切り替えたい。最適な手法はどれですか？
Q3. レポートに「社外秘」の分類を付け、暗号化やエクスポート保護を適用したい。最適な機能はどれですか？
Q4. 他の作成者が公開済みセマンティックモデルを使って新しいレポートを作れるようにしたい。付与すべき権限はどれですか？
Q5. ワークスペースロールで、コンテンツの作成/編集はできるがアクセス管理はできないロールはどれですか？