Microsoft Purview 網路架構和最佳做法

Microsoft Purview 治理解決方案是用於數據治理的平台即服務 (PaaS) 解決方案。 Microsoft Purview 帳戶具有公用端點，可透過因特網存取以連線到服務。 但是，所有端點都透過Microsoft Entra登入和 RBAC) (角色型存取控制來保護。

如需額外的安全性層，您可以為您的 Microsoft Purview 帳戶建立私人端點。 您會從 Azure 中的虛擬網路取得私人 IP 位址，以取得 Microsoft Purview 帳戶及其受控資源。 此位址會將虛擬網路與 Microsoft Purview 帳戶之間的所有流量限制為私人連結，以供使用者與 API 和 Microsoft Purview 治理入口網站互動，或進行掃描和擷取。

目前，Microsoft Purview 防火牆會提供 Purview 帳戶公用端點的存取控制。 您可以使用防火牆來允許所有存取，或在使用私人端點時封鎖透過公用端點的所有存取。 如需詳細資訊，請參閱 Microsoft Purview 防火牆選項

根據您的網路、連線和安全性需求，您可以設定和維護 Microsoft Purview 帳戶，以存取基礎服務或擷取。 使用此最佳做法指南來定義和準備您的網路環境，以便您可以存取 Microsoft Purview 並從網路或雲端掃描資料來源。

本指南涵蓋下列網路選項：

• 使用 Azure 公用端點。
• 使用 私人端點。
• 使用 私人端點，並允許在相同的 Microsoft Purview 帳戶上進行公用存取。
• 使用 Azure 公用端點來存取 Microsoft Purview 治理入口網站和私人端點以進行擷取。

本指南說明 Microsoft Purview 的一些最常見的網路架構案例。 雖然您不限於這些案例，但當您規劃 Microsoft Purview 帳戶的網路時，請記住服務的 限制 。

必要條件

若要瞭解哪個網路選項最適合您的環境，建議您先執行下列動作：

• 在 Microsoft Purview 中註冊和掃描任何數據源之前，請先檢閱您的網路拓撲和安全性需求。 如需詳細資訊，請參閱： 定義 Azure 網路拓撲。

• 定義 PaaS 服務的網路連線模型。

選項 1：使用公用端點

根據預設，您可以透過可透過因特網存取的公用端點使用 Microsoft Purview 帳戶。 如果您有下列需求，請允許 Microsoft Purview 帳戶中的公用網路：

• 掃描或連線到 Microsoft Purview 端點時，不需要私人連線。
• 所有資料來源都是軟體即服務 (僅) SaaS 應用程式。
• 所有資料來源都有可透過網際網路存取的公用端點。
• 商務使用者需要透過因特網存取 Microsoft Purview 帳戶和 Microsoft Purview 治理入口網站。

整合執行階段選項

若要在 Microsoft Purview 帳戶防火牆設定為允許公用存取時掃描數據源，您可以使用所有整合執行階段類型 - Azure 整合執行階段、 受控 VNet 整合執行階段和 自我裝載整合執行階段。 深入瞭解為您的 案例選擇正確的整合執行階段設定。

以下是一些最佳實踐：

• 在適用的情況下，建議您使用 Azure 整合執行階段或受控 VNet 整合執行階段來掃描資料來源，以降低成本和管理額外負荷。

• 下列步驟會在您使用 Azure 整合執行階段掃描資料來源時，顯示高階的通訊流程：

  

  注意事項

  此圖形僅適用於 2023 年 12 月 15 日之後建立的 Microsoft Purview 帳戶， (使用 API 版本 2023-05-01-preview 以) 部署。

  1. 手動或自動掃描會透過 Azure 整合執行階段從 Microsoft Purview 資料對應起始。

  2. Azure 整合執行階段會連線到資料來源以擷取中繼資料。

  3. 中繼資料會排入佇列在 Microsoft Purview 擷取儲存體帳戶中，並暫時儲存在 Azure Blob 儲存體中。

  4. 中繼資料會傳送至 Microsoft Purview 資料對應。

• 掃描內部部署和 VM 型資料來源一律需要使用自我裝載整合執行階段。 這些資料來源不支援 Azure 整合執行階段。 下列步驟會在您使用自我裝載整合執行階段掃描資料來源時，在高階顯示通訊流程。 第一個圖表顯示資源位於 Azure 內或 Azure 中 VM 上的案例。 第二個圖表顯示具有內部部署資源的案例。 從 Microsoft Purview 的觀點來看，兩者之間的步驟是相同的：

  

  

  1. 觸發手動或自動掃描。 Microsoft Purview 會連線到 Azure 金鑰保存庫，以擷取認證以存取資料來源。

  2. 掃描是透過自我裝載整合執行階段從 Microsoft Purview 資料對應起始。

  3. 來自 VM 或內部部署機器的自我裝載整合執行階段服務會連線到資料來源以擷取中繼資料。

  4. 中繼資料會在電腦記憶體中處理，以取得自我裝載整合執行階段。 中繼資料會排入佇列在 Microsoft Purview 擷取儲存體中，然後暫時儲存在 Azure Blob 儲存體中。 實際資料永遠不會離開網路邊界。

  5. 中繼資料會傳送至 Microsoft Purview 資料對應。

驗證選項

當您掃描 Microsoft Purview 中的資料來源時，您必須提供認證。 然後，Microsoft Purview 可以使用整合執行階段，從資料來源讀取資產的中繼資料。 請參閱每個 資料來源文章 ，以取得支援的驗證型別和所需許可權的詳細資訊。 驗證選項和要求會因下列因素而異：

• 資料來源類型。 例如，如果資料來源是Azure SQL資料庫，則需要使用具有每個資料庫db_datareader存取權的登入。 這可以是使用者指派的受控識別或 Microsoft Purview 受控識別。 或者，它可以是新增至SQL Database Microsoft Entra識別碼中的服務主體，db_datareader。

  如果資料來源是 Azure Blob 儲存體，您可以使用 Microsoft Purview 受控識別，或 Microsoft Entra ID 中的服務主體新增為 Azure 儲存體帳戶上的 Blob 儲存體資料讀取者角色。 或使用儲存體帳戶的金鑰。

• 驗證類型。 建議您盡可能使用 Microsoft Purview 受控識別來掃描 Azure 數據源，以減少系統管理額外負荷。 針對任何其他驗證類型，您必須 在 Microsoft Purview 內設定來源驗證的認證：

  1. 在 Azure 金鑰保存庫內產生秘密。
  2. 在 Microsoft Purview 內註冊金鑰保存庫。
  3. 在 Microsoft Purview 內，使用儲存在金鑰保存庫中的秘密來建立新的認證。

• 掃描中使用的執行階段類型。 目前，您無法將 Microsoft Purview 受控識別與自我裝載整合執行階段搭配使用。

其他考量事項

• 如果您選擇使用公用端點掃描資料來源，您的自我裝載整合執行階段 VM 必須具有資料來源和 Azure 端點的輸出存取權。
• 您的自我裝載整合執行階段 VM 必須具有 Azure 端點的輸出連線。

選項 2：使用私人端點

與其他 PaaS 解決方案類似，Microsoft Purview 不支援直接部署至虛擬網路。 因此，您無法將特定網路功能與供應專案的資源搭配使用，例如網路安全性群組、路由表或其他網路相依設備，例如 Azure 防火牆。 相反地，您可以使用可在虛擬網路上啟用的私人端點。 然後，您可以停用公用因特網存取，以安全地連線到 Microsoft Purview。

如果您有下列任何需求，您必須針對 Microsoft Purview 帳戶使用私人端點：

• 您必須針對 Microsoft Purview 帳戶和數據源進行端對端網路隔離。

• 您必須封鎖 Microsoft Purview 帳戶的 公用存取 。

• 您的平台即服務 (PaaS) 資料來源會使用私人端點進行部署，而且您已封鎖透過公用端點的所有存取。

• 您的內部部署或基礎結構即服務 (IaaS) 資料來源無法連線到公用端點。

設計考量

• 若要以私人且安全地連線到您的 Microsoft Purview 帳戶，您必須部署帳戶和入口網站私人端點。 例如，如果您想要透過 API 連線到 Microsoft Purview 或使用 Microsoft Purview 治理入口網站，則需要此部署。
• 如果您需要使用私人端點連線到 Microsoft Purview 治理入口網站，您必須同時部署帳戶和入口網站私人端點。
• 若要透過私人連線掃描數據源，您必須為 Microsoft Purview 設定至少一個帳戶和一個擷取私人端點。
• 檢閱 DNS 需求。 如果您在網路上使用自定義 DNS 伺服器，用戶端必須能夠將Microsoft Purview 帳戶端點的完整網域名稱 (FQDN) 解析為私人端點的 IP 位址。

整合執行階段選項

若要透過私人連線掃描資料來源，您可以使用 受控 VNet 整合執行階段 或 自我裝載整合執行階段。 深入瞭解為您的 案例選擇正確的整合執行階段設定。

• 在適用的情況下，建議您使用受控 VNet 整合執行階段來掃描資料來源，以降低成本和管理額外負荷。

• 如果使用自我裝載整合執行階段，您必須在部署 Microsoft Purview 擷取私人端點的相同或對等互連虛擬網路內部署的 Windows 虛擬機器上設定並使用自我裝載整合執行階段。

• 若要掃描內部部署資料來源，您也可以在內部部署 Windows 機器或 Azure 虛擬網路內的 VM 上安裝自我裝載整合執行階段。

• 當您搭配 Microsoft Purview 使用私人端點時，您必須允許從資料來源連線到部署 Microsoft Purview 私人端點之 Azure 虛擬網路上的自我裝載整合 VM。

• 建議您允許自動升級自我裝載整合執行階段。 請務必在 Azure 虛擬網路或公司防火牆上開啟必要的輸出規則，以允許自動升級。 如需詳細資訊，請參閱 自我裝載整合執行階段網路需求。

驗證選項

• 請確定您的認證儲存在 Azure 金鑰保存庫中，並在 Microsoft Purview 內註冊。

• 您必須根據您在 Microsoft 金鑰保存庫中建立的每個秘密，在 Microsoft Purview 中建立認證。 您至少需要在 Azure 中的金鑰保存庫資源上指派 Microsoft Purview 秘密的取得和列出存取權。 否則，認證將無法在 Microsoft Purview 帳戶中運作。

目前的限制

• 當您使用私人端點進行擷取時，不支援透過擷取私人端點和自我裝載整合執行階段或受控 VNet 整合執行階段，使用整個訂用帳戶或資源群組來掃描多個 Azure 來源。 相反地，您可以個別註冊和掃描資料來源。

• 如需與 Microsoft Purview 私人端點相關的限制，請參閱 已知限制。

• 如需與 Private Link 服務相關的限制，請參閱 Azure Private Link 限制。

私人端點案例

單一虛擬網路、單一區域

在此案例中，所有 Azure 資料來源、自我裝載整合執行階段 VM 和 Microsoft Purview 私人端點都會部署在 Azure 訂用帳戶中的相同虛擬網路中。

如果內部部署資料來源存在，則會透過站對站 VPN 或 Azure ExpressRoute 連線到部署 Microsoft Purview 私人端點的 Azure 虛擬網路提供連線。

此架構主要適用於小型組織或開發、測試和概念驗證案例。

單一區域、多個虛擬網路

若要將 Azure 中的兩個或多個虛擬網路連線在一起，您可以使用 虛擬網路對等互連。 對等互連虛擬網路之間的網路流量是私人的，並保留在 Azure 骨幹網路上。

許多客戶使用中樞和輪輻網路架構在 Azure 中建置其網路基礎結構，其中：

• 網路共用服務 (，例如網路虛擬設備、ExpressRoute/VPN 閘道或 DNS 伺服器，) 部署在中樞虛擬網路中。
• 輪輻虛擬網路會透過虛擬網路對等互連取用這些共用服務。

在中樞和輪輻網路架構中，您可以為組織的資料控管小組提供包含虛擬網路 (中樞) 的 Azure 訂用帳戶。 所有資料服務都可以位於透過虛擬網路對等互連或站對站 VPN 連線連線到中樞虛擬網路的一些其他訂用帳戶中。

在中樞和輪輻架構中，您可以在中樞訂用帳戶和虛擬網路中部署 Microsoft Purview 和一或多個自我裝載整合執行階段 VM。 您可以從相同區域中的多個訂用帳戶註冊和掃描來自其他虛擬網路的資料來源。

自我裝載整合執行階段 VM 可以部署在相同的 Azure 虛擬網路或部署帳戶和擷取私人端點的對等互連虛擬網路內。

您可以選擇性地在輪輻虛擬網路中部署另一個自我裝載整合執行階段。

多個區域、多個虛擬網路

如果您的資料來源分散在一或多個 Azure 訂用帳戶中的多個 Azure 區域中，您可以使用此案例。

為了將效能和成本優化，我們強烈建議在資料來源所在的每個區域中部署一或多個自我裝載整合執行階段 VM。

使用受控 Vnet 執行階段進行掃描

您可以使用受控 VNet 執行階段來掃描私人網路中的資料來源。 深入瞭解搭配 Microsoft Purview 帳戶使用受控 VNet。

使用受控 VNet 執行階段有助於將管理執行階段的系統管理額外負荷降到最低，並減少整體掃描持續時間。

若要使用受控 VNet 執行階段透過私人網路掃描任何 Azure 資料來源，必須在 Microsoft Purview 受控虛擬網路內部署受控私人端點，即使資料來源已在您的 Azure 訂用帳戶中具有私人網路。

如果您需要掃描受控 VNet 執行階段不支援的內部部署資料來源或 Azure 中其他資料來源，您可以同時部署受控 VNet 執行階段和自我裝載整合執行階段。

如果您的主要區域無法使用 Microsoft Purview

Microsoft Purview 是 Azure 平臺即服務解決方案。 您可以在 任何支援的 Azure 區域的 Azure 訂用帳戶內部署 Microsoft Purview 帳戶。

如果您的主要 Azure 區域無法使用 Microsoft Purview，請在選擇次要區域來部署 Microsoft Purview 帳戶時考慮下列因素：

• 檢閱部署資料來源的主要 Azure 區域與將部署 Microsoft Purview 帳戶的次要 Azure 區域之間的延遲。 如需詳細資訊，請參閱 Azure 網路來回延遲統計資料。
• 檢閱您的資料落地需求。 當您掃描 Microsoft Purview 資料對應中的資料來源時，系統會擷取中繼資料相關的資訊，並將其儲存在部署 Microsoft Purview 帳戶之 Azure 區域的資料對應內。 如需詳細資訊，請參閱中 繼資料的儲存位置。
• 如果需要私人網路連線才能進行使用者存取或中繼資料擷取，請檢閱您的網路和安全需求。 如需詳細資訊，請參閱 如果您的主要區域無法使用 Microsoft Purview。

選項 1：在次要區域中部署 Microsoft Purview 帳戶，並在 Azure 資料來源所在的主要區域中部署所有私人端點。 針對此案例：

• 如果澳洲東南部是所有資料來源的主要區域，而且您在主要區域中部署了所有網路資源，則建議使用此選項。
• 在您的次要區域中部署Microsoft Purview 帳戶 (例如，澳洲東部) 。
• 在您的主要區域 (例如，澳洲東南部) 部署所有Microsoft Purview 私人端點，包括帳戶、入口網站和擷取。
• 部署所有 [Microsoft Purview 自我裝載整合執行階段] (.。/ 主要區域中的 VM data-map-integration-runtime-self-hosted.md) ，例如 (澳洲東南部) 。 這有助於減少跨區域流量，因為數據對應掃描會發生在數據源所在的本機區域中，而且只會在部署 Microsoft Purview 帳戶的次要區域內擷取中繼資料。
• 如果您使用 Microsoft Purview 受控 VNet 進行中繼資料擷取，受控 VNet 執行階段和所有受控私人端點會自動部署在部署 Microsoft Pur (view 的區域中，例如澳洲東部) 。

選項 2：在次要區域中部署您的 Microsoft Purview 帳戶，並在主要和次要區域中部署私人端點。 針對此案例：

• 如果您在主要和次要區域中都有資料來源，且使用者透過主要區域連線，建議使用此選項。
• 在您的次要區域中部署Microsoft Purview 帳戶 (例如，澳洲東部) 。
• 在主要區域 (例如，澳洲東南部) 中部署Microsoft Purview 治理入口網站私人端點，讓使用者存取 Purview 治理入口網站Microsoft。
• 部署Microsoft Purview 帳戶，並在主要區域 (中擷取私人端點，例如澳洲東南) ，以在主要區域中本機掃描資料來源。
• 在次要區域 (例如，澳洲東部) 中部署Microsoft Purview 帳戶和擷取私人端點，以在本機掃描次要區域中的資料來源。
• 部署 [Microsoft Purview 自我裝載整合執行階段] (.。/ 主要和次要區域中的 VM data-map-integration-runtime-self-hosted.md) 。 這將有助於將資料地圖掃描流量保留在本機區域中，並僅將中繼資料傳送至在次要區域中設定的Microsoft Purview 資料對應 (例如澳洲東部) 。
• 如果您使用 Microsoft Purview 受控 VNet 進行中繼資料擷取，受控 VNet 執行階段和所有受控私人端點會自動部署在部署 Microsoft Pur (view 的區域中，例如澳洲東部) 。

使用私人端點的 DNS 設定

多個 Microsoft Purview 帳戶的名稱解析

如果您的組織需要使用私人端點部署和維護多個 Microsoft Purview 帳戶，建議遵循下列建議：

1. 為每個 Microsoft Purview 帳戶部署至少一個 帳戶 私人端點。
2. 為每個 Microsoft Purview 帳戶部署至少一組 擷取 私人端點。
3. 為 Azure 環境中的其中一個 Microsoft Purview 帳戶部署一個 入口網站 私人端點。 建立一個 DNS A 記錄，讓 入口網站 私人端點 web.purview.azure.com解析 。 入口網站私人端點可供相同 Azure 虛擬網路或透過 VNet 對等互連連線的虛擬網路中的所有 Purview 帳戶使用。

如果多個 Microsoft Purview 帳戶部署在多個訂用帳戶和透過 VNet 對等互連連線的多個 VNet 中，則此案例也適用。 入口網站 私人端點主要轉譯與 Microsoft Purview 治理入口網站相關的靜態資產，因此，它與 Microsoft Purview 帳戶無關，因此，如果已連線 VNet，則只需要一個 入口網站 私人端點即可流覽 Azure 環境中的所有 Microsoft Purview 帳戶。

選項 3：同時使用私人和公用端點

您可以選擇一個選項，讓資料來源的子集使用私人端點，同時，您需要掃描下列任一項：

• 使用服務端點配置的其他資料來源
• 具有可透過網際網路存取的公用端點的資料來源

如果您需要使用擷取私人端點掃描某些資料來源，並使用公用端點或服務端點掃描某些資料來源，您可以：

1. 針對您的 Microsoft Purview 帳戶使用私人端點。
2. 將 [公用網路存取] 設定為 [從 Microsoft Purview 帳戶上的所有網路啟用]。

整合執行階段選項

• 若要掃描設定私人端點的 Azure 資料來源，您必須在部署 Microsoft Purview 帳戶和擷取私人端點的相同或對等互連虛擬網路內的 Windows 虛擬機器上設定並使用自我裝載整合執行階段。

  當您搭配 Microsoft Purview 使用私人端點時，您必須允許從數據源連線到部署 Microsoft Purview 私人端點之 Azure 虛擬網路上的自我裝載整合 VM。

• 若要掃描設定為允許公用端點的 Azure 資料來源，您可以使用 Azure 整合執行階段。

• 若要掃描內部部署資料來源，您也可以在內部部署 Windows 機器或 Azure 虛擬網路內的 VM 上安裝自我裝載整合執行階段。

• 建議您允許自我裝載整合執行階段的自動升級。 請務必在 Azure 虛擬網路或公司防火牆上開啟必要的輸出規則，以允許自動升級。 如需詳細資訊，請參閱 自我裝載整合執行階段網路需求。

驗證選項

• 若要掃描設定為允許公用端點的 Azure 資料來源，您可以根據資料來源類型使用任何驗證選項。

• 如果您使用擷取私人端點來掃描已設定私人端點的 Azure 資料來源：

  • 您無法使用 Microsoft Purview 受控識別。 請改為根據資料來源類型使用服務主體、帳戶金鑰或 SQL 驗證。

  • 請確定您的認證儲存在 Azure 金鑰保存庫中，並在 Microsoft Purview 內註冊。

  • 您必須根據您在 Azure 金鑰保存庫中建立的每個秘密，在 Microsoft Purview 中建立認證。 至少，在 Azure 中的金鑰保存庫資源上指派 Microsoft Purview 秘密的取得和清單存取權。 否則，認證將無法在 Microsoft Purview 帳戶中運作。

選項 4：僅使用私人端點進行擷取

如果您需要以下情況，您可以選擇此選項：

• 使用擷取私人端點掃描所有資料來源。
• 必須將受管理資源設定為停用公用網路。
• 透過公用網路啟用 Microsoft Purview 治理入口網站的存取權。

若要啟用此選項：

1. 設定 Microsoft Purview 帳戶的擷取私人端點。
2. 將 [ 公用網路存取 權] 設定為 [僅限擷取] (Microsoft Purview 帳戶上的預覽) 。

整合執行階段選項

遵循選項 2 的建議。

驗證選項

遵循選項 2 的建議。

自我裝載整合執行階段網路和 Proxy 建議

若要掃描內部部署和 Azure 網路的資料來源，您可能需要在 Azure VNet 或內部部署網路內部署和使用一或多個 自我裝載整合執行階段虛擬機器 ，以取得本檔稍早提及的任何案例。

• 若要簡化管理，請盡可能使用 Azure IR 和 Microsoft Purview 受控 VNet IR 來掃描資料來源。

• 自我裝載整合執行階段服務可以透過埠 443 透過公用或私人網路與 Microsoft Purview 通訊。 如需詳細資訊，請參閱自我 裝載整合執行階段網路需求。

• 一個自我裝載整合執行階段 VM 可用來掃描 Microsoft Purview 中的一或多個資料來源，不過，自我裝載整合執行階段必須只註冊 Microsoft Purview，而且不能同時用於 Azure Data Factory 或 Azure Synapse。

• 您可以在一個 Microsoft Purview 帳戶中註冊並使用一或多個自我裝載整合執行階段。 建議您在資料來源所在的每個區域或內部部署網路中放置至少一個自我裝載整合執行階段 VM。

• 建議您定義每個自我裝載整合執行階段 VM 所需容量的基準，並根據需求調整 VM 容量。

• 建議您盡可能透過私人網路，在自我裝載整合執行階段 VM 與 Microsoft Purview 及其受控資源之間設定網路連線。

• 如果已啟用自動更新，則允許輸出連線到 download.microsoft.com。

• 如果自我裝載整合執行階段 VM 部署在 Azure VNet 中，或部署在透過 ExpressRoute 或站對站 VPN 連線連線至 Azure 的內部部署網路中，則自我裝載整合執行階段服務不需要輸出網際網路連線。 在此情況下，掃描和中繼資料擷取程序可以透過專用網路完成。

• 自我裝載整合執行階段可以直接或透過 Proxy 伺服器通訊 Microsoft Purview 及其受控資源。 如果自我裝載整合執行階段 VM 位於 Azure VNet 內，或透過 ExpressRoute 或站對站 VPN 連線連線，請避免使用 Proxy 設定。

• 如果您需要搭配 Proxy 設定使用自我裝載整合執行階段，請檢閱支援的案例。

後續步驟

• 使用私人端點來安全存取 Microsoft Purview