Microsoft Fabric ショートカットのアクセス許可: 内部と外部のセキュリティ規則の違い

By Mirko Peters · 2026-10-30

Microsoft Fabric ショートカットのアクセス許可の仕組みを、ユーザー ID を引き継ぐ内部ショートカットと、保存済みの外部接続のセキュリティ規則を比較しながら解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft Fabric のショートカットのアクセス許可は、ファイルをコピーせずに、ワークスペースをまたぐデータやマルチクラウドのデータに、ユーザーがどのようにアクセスするかを決定します。内部ショートカットはユーザー レベルの ID を透過的に引き継ぐことに依存し、外部のクラウド ソースは保存済みの接続 ID を使用します。こうしたセキュリティの境界を理解しておくと、意図しないデータ公開を防げるほか、後続のクエリで発生する厄介なエラーも解消できます。

重要なポイント

• 内部ショートカットは、クエリを実行するユーザーの ID を引き継ぐため、ターゲット パスに対する直接のアクセス権が必要です。
• 外部のクラウド ショートカットは保存済みの接続資格情報を使用するため、レイクハウスを読み取れる人は誰でもアクセスできます。
• ショートカット パスとターゲット パスでアクセス レベルが競合する場合、常に厳しいセキュリティ規則が優先されます。
• 書き込み可能なショートカットは、ターゲットのアクセス許可が誤って構成されていると、データの連鎖的な削除という重大なリスクをもたらします。
• セキュリティの境界を事前に計画しておくと、マルチクラウド アーキテクチャを拡張した際の予期しないアクセス エラーを防げます。

Microsoft Fabric ショートカットのアクセス許可の仕組み

OneLake で異なるデータ ソース間のポインターを実装する場合、セキュリティは「設定して放置」で済むことはほとんどありません。アクセス許可が集中管理され、複製されたテーブルに一律に適用される従来のデータ ウェアハウス モデルとは異なり、Fabric のショートカットでは「スプリットブレイン型」の ID 問題が生じます。クエリを開始するショートカット パスと、実際のデータが存在するターゲット パスの2つがあるためです。Fabric は1行のデータを返す前に両方の終点を評価するため、クラウド管理者にとってセキュリティ アーキテクチャは重要な設計上の前提条件になります。

Fabric のセキュリティの基本原則は最小特権ですが、ショートカットは従来のデータ アクセスのルールを一部崩します。ショートカットを作成してもデータは移動しないため、基になるストレージ アカウント、外部の Amazon S3 バケット、または同階層のレイクハウスに付与されたアクセス許可を慎重に対応付ける必要があります。ショートカットを含むワークスペースへの読み取りアクセス許可があっても、ソース コンテナーへのアクセス許可がなければ、クエリは失敗します。逆に、保存済みの接続 ID に過度に広いアクセス許可を与えると、意図せず権限の強いパワー ユーザーに機密性の高い外部ファイルを公開してしまうおそれがあります。

内部ショートカットとユーザー ID の引き継ぎ

内部ショートカットは、ある Fabric アイテムから別のアイテムを指すもの（たとえば、営業ワークスペースのレイクハウスから共有の顧客テーブルを指すもの）で、お使いの Entra ID をそのまま使用して動作します。内部ショートカットをクエリすると、Fabric はお使いのアカウントがターゲットのワークスペースとアイテムに対して明示的な読み取りアクセス許可を持っているかどうかを確認します。ソース テーブルを表示するアクセス許可がない場合、ショートカットはエラーを返します。

この動作は、従来のアクセスガバナンスを踏襲するように設計されています。パワーユーザーが制限されたデータセットへのショートカットを作成するだけで、ワークスペースの境界を回避することを防ぎます。ただし、レポート作成者には複数のワークスペースに対する適切なアクセス許可を付与する必要があり、共同分析チームを管理する際の管理負荷が高まります。

外部ショートカットと保存された接続ID

外部ショートカットは、セキュリティの前提を根本から変えます。Fabric レイクハウスを Azure Data Lake Storage Gen2 アカウント、Amazon S3、Google Cloud Storage、またはデータ ゲートウェイ経由のオンプレミスのネットワークの場所に向けると、ユーザーの ID の引き継ぎは Fabric の境界で止まります。代わりに、外部ショートカットは保存された接続 ID を使って認証します。

この運用上の違いは、セキュリティに大きな影響を与えます。外部ショートカットを含む Fabric レイクハウスへの読み取りアクセス権を持つ人は、外部のクラウド バケットへの直接の資格情報を持っていなくても、そのショートカットを通じて基になるデータ ソースに対してクエリを実行できます。管理者は、外部ショートカットのあるレイクハウスを機密性の高いゾーンとして扱い、不正なデータの持ち出しを防ぐためにワークスペースのロールを厳格に制限する必要があります。

厳しい方が優先されるセキュリティ ルール

Microsoft Fabric でアクセス エラーをトラブルシューティングする際、管理者はショートカットのアクセス許可を左右する基本ルールによく直面します。それは、2 つのアクセス許可のうち厳しい方が優先されるというルールです。

このルールを評価するには、ポインターの両端を確認する必要があります。

• ショートカット パスのアクセス許可: ショートカットが存在するワークスペースとレイクハウスに割り当てられたロール (管理者、メンバー、共同作成者、閲覧者)。
• ターゲット パスのアクセス許可: ソース ファイルやテーブルに直接適用されたアクセス制御リスト (ACL)、IAM ポリシー、またはデータベースのアクセス許可。

ユーザーがショートカットをホストするワークスペースの共同作成者であっても、ターゲットのストレージ アカウントでは閲覧者のアクセス許可しか持たない場合、そのユーザーはデータを読み取ることしかできません。逆に、ソース データセットに対する完全な管理者権限を持つユーザーでも、ワークスペース ロールが閲覧者に制限されていれば、ショートカットの構成を変更または管理することはできません。この二重の適用により、単一の設定ミスだけで組織のセキュリティ境界が完全に破られることはありません。ただし、別々の IT 部門間で調整する際には、慎重なドキュメント化が必要になります。

書き込み可能なショートカットと連鎖的な削除のリスク

セキュリティのアクセス許可は、誰がデータを読み取れるかを管理するだけではありません。ユーザーが何を削除できるかも決定します。経験の浅い管理者にとって最も危険な落とし穴の一つは、書き込み可能なショートカットと過度に許可的な ID の設定が組み合わさることです。

Fabric のショートカットでは、ショートカット オブジェクト自体を削除しても、基になるデータに対して連鎖的な削除は行われません。ターゲットのデータは完全に安全なままです。しかし、ショートカットが書き込み可能で、ユーザーがターゲット パスに対する削除権限を持っている場合、ショートカットのパスを経由してファイルやフォルダーを削除すると、ソースのデータが完全に消去されます。ショートカットはターゲットのストレージ システムへの直接の入り口として機能するため、不注意なクリーンアップ スクリプトや誤ったユーザー操作によって、従来のデータ パイプラインよりもはるかに速く重要な基盤が崩れかねません。

まとめ

Microsoft Fabric のショートカットのアクセス許可を習得するには、データ アクセスとガバナンスに対する考え方を根本から変える必要があります。社内ワークロードではユーザー ID の引き継ぎを、マルチクラウドのソースでは厳格に管理された保存資格情報を組み合わせることで、セキュリティを損なうことなく、応答性の高いゼロコピーの分析環境を構築できます。より広範なアーキテクチャ戦略、データ形式、トレードオフについては、クラウド データ管理の全体像を解説した エピソード全編を聴いてください。

よくある質問

Microsoft Fabric のショートカットは、ユーザーのアクセス許可を自動的に継承しますか?

内部ショートカットは個人の Entra ID を使用するため、ショートカットのワークスペースとターゲットのワークスペースの両方に明示的な読み取りアクセス許可が必要です。一方、外部ショートカットは保存された接続 ID を使用するため、レイクハウスにアクセスできる人は誰でも外部データを読み取れます。

Microsoft Fabric のショートカットを削除すると、データはどうなりますか?

ショートカットのオブジェクト自体を削除しても、ショートカット先のパスにある基になるデータは削除されません。物理ファイルやテーブルは、ショートカットが書き込み可能に設定されていて、かつ十分なターゲットのアクセス許可を持つユーザーがショートカット経由でファイルを明示的に削除しない限り、完全に安全に残ります。

外部クラウドのショートカットは、AWS S3 や Google Cloud Storage に対してどのように認証を行うのですか。

外部クラウドのショートカットは、ユーザーごとの資格情報を渡すのではなく、セットアップ時に構成された保存済みの接続を使って認証します。そのため、マルチクラウド上の外部データにクエリを実行するユーザーに対しては、ワークスペースのアクセス制御リスト（ACL）が主要なセキュリティの障壁として機能します。

Fabric における「より厳しい方が優先される」セキュリティ ルールとは何ですか。

「より厳しい方が優先」ルールでは、アクセスを評価する際に、Fabric はショートカット パスとターゲット パスの両方に存在する、最も制限の厳しいアクセス許可のセットを適用します。どちらかの場所でアクセスが拒否されたり、機能が制限されたりしている場合、その制限がエンド ユーザーに適用されます。