Governance (Microsoft Purview)
De optionele governancelaag voegt een Microsoft Purview-account toe aan de gedeelde subscription, naast de Fabric capacities. Het
biedt data discovery, classificatie en lineage over de Fabric workspaces heen. Deze pagina is voor het platformteam en voor datateams
die de catalog gebruiken.
Wat wordt uitgerold
| Resource |
Opmerkingen |
| Resource group |
rg-<workload>-<env>-<region>-governance, met de omgeving shared |
| Purview-account |
pview-<workload>-<env>-<region>, system-assigned managed identity |
| Diagnostic setting |
Logs ScanStatusLogEvent en DataSensitivityLogEvent, en alle metrics, naar de Log Analytics workspace van de spoke |
| Roltoewijzingen |
Zie hieronder |
| Private endpoints (optioneel) |
Twee: de sub-resources account en portal, in het private endpoint-subnet |
Fabric discovery, classificatie en lineage
- Discovery. Fabric workspaces worden automatisch geregistreerd via de ingebouwde Microsoft 365 tenant-integratie. Nadat het
Purview-account is uitgerold en de connectie op tenantniveau is geactiveerd, verschijnen alle workspaces in de Purview Data Catalog
onder Data Map, Data Catalog, Microsoft Fabric. Handmatige registratie van bronnen is niet nodig voor Fabric-native items.
- Classificatie. Purview scant Lakehouses en Warehouses en classificeert de assets met ingebouwde en eigen regels.
- Lineage. Lineage wordt vastgelegd over Fabric-pipelines heen, van bron tot gebruik.
Toegang
| Principal |
Toegang |
| Managed identity van Purview |
Storage Blob Data Reader op het storage account van de spoke, zodat hij kan scannen |
| Deployende principal |
Contributor op het Purview-account (standaard de huidige aanroeper) |
Groep van het datateam (optioneel, data_team_group_id) |
Reader op het Purview-account, om de catalog te doorzoeken |
Netwerktoegang
public_network_enabled |
Gedrag |
true (standaard) |
Het portal en de API zijn vanaf het internet bereikbaar. Het datateam kan het portal vanaf een laptop zonder VPN gebruiken. |
false |
Private endpoints voor het account en het portal worden aangemaakt. vnet_name en snet_pe_name moeten in de spoke-configuratie staan. Toegang via VPN of ExpressRoute is nodig. |
Deployen
De governancelaag is een eigen Terraform root (infra/deploy/governance). Deploy die na de gedeelde laag, en vóór of
samen met de workloadlaag. De enige harde afhankelijkheden zijn de Log Analytics workspace en het storage account van de spoke.
cd infra/deploy/governance
terraform init
terraform plan -var-file="<governance>.tfvars"
terraform apply -var-file="<governance>.tfvars"
In een pipeline-opzet wordt dezelfde root door de pipeline van je configuratierepository gedraaid.
Variabelen
| Variabele |
Doel |
location, environment, workload_name |
Zoals bij de andere lagen. De omgeving shared wordt verwacht. |
spoke_config |
Subscription, resource group, naam van Log Analytics, naam van het storage account, en voor de private modus de namen van het VNet en subnet |
deployer_principal_id |
Principal die Contributor krijgt. Standaard de aanroeper. |
data_team_group_id |
Optionele Reader-groep |
public_network_enabled |
Zie hierboven |