Governance (Microsoft Purview)

Die optionale Governance-Stufe fügt der gemeinsamen subscription einen Microsoft-Purview-Account hinzu, neben den Fabric capacities. Sie bietet Data Discovery, Klassifizierung und Lineage über die Fabric-workspaces hinweg. Diese Seite richtet sich an das Plattform-Team und an Daten- Teams, die den Katalog nutzen.

Was deployt wird

Ressource	Hinweise
Resource group	rg-<workload>-<env>-<region>-governance, mit der Umgebung shared
Purview account	pview-<workload>-<env>-<region>, system-assigned managed identity
Diagnoseeinstellung	Logs ScanStatusLogEvent und DataSensitivityLogEvent und alle Metriken an den Log-Analytics-workspace des spokes
Rollenzuweisungen	Siehe unten
Private endpoints (optional)	Zwei: die Sub-Resources account und portal, im Subnet für private endpoints

Fabric Discovery, Klassifizierung und Lineage

• Discovery. Fabric-workspaces werden automatisch über die integrierte Microsoft-365-Tenant-Integration registriert. Nachdem der Purview account deployt und die Verbindung auf Tenant-Ebene aktiviert ist, erscheinen alle workspaces im Purview Data Catalog unter Data Map, Data Catalog, Microsoft Fabric. Für Fabric-native Items ist keine manuelle Registrierung von Quellen nötig.
• Klassifizierung. Purview scannt Lakehouses und Warehouses und klassifiziert die Assets mit integrierten und eigenen Regeln.
• Lineage. Die Lineage wird über Fabric-pipelines hinweg erfasst, von der Quelle bis zum Verbrauch.

Zugriff

Principal	Zugriff
Managed identity von Purview	Storage Blob Data Reader auf dem Storage Account des spokes, damit sie scannen kann
Deployender Principal	Contributor auf dem Purview account (Standard ist der aktuelle Aufrufer)
Gruppe des Data-Teams (optional, data_team_group_id)	Reader auf dem Purview account, um den Katalog zu durchsuchen

Netzwerkzugriff

public_network_enabled	Verhalten
true (Standard)	Das Portal und die API sind aus dem Internet erreichbar. Das Data-Team kann das Portal ohne VPN vom Laptop aus nutzen.
false	Private endpoints für den Account und das Portal werden angelegt. vnet_name und snet_pe_name müssen in der spoke-Konfiguration gesetzt sein. VPN- oder ExpressRoute-Zugriff ist nötig.

Deployen

Die Governance-Stufe ist ein eigenes Terraform-Root (infra/deploy/governance). Deploye sie nach der Shared-Stufe und vor oder zusammen mit der Workload-Stufe. Ihre einzigen harten Abhängigkeiten sind der Log-Analytics-workspace und der Storage Account des spokes.

cd infra/deploy/governance
terraform init
terraform plan  -var-file="<governance>.tfvars"
terraform apply -var-file="<governance>.tfvars"

In einem pipeline-Setup führt die pipeline deines Konfigurations-Repositorys dasselbe Root aus.

Variablen

Variable	Zweck
location, environment, workload_name	Wie bei den anderen Stufen. Die Umgebung shared wird erwartet.
spoke_config	Subscription, resource group, Log-Analytics-Name, Name des Storage Accounts und für den privaten Modus die Namen von VNet und Subnet
deployer_principal_id	Principal, der Contributor bekommt. Standard ist der Aufrufer.
data_team_group_id	Optionale Reader-Gruppe
public_network_enabled	Siehe oben

Verwandt

• Architektur
• Plattformkonfiguration