分析とレポートをセキュリティで保護する

Azure DevOps Services |Azure DevOps Server |Azure DevOps Server 2022

Azure DevOps の分析とレポートは、開発プロセスに関する強力な分析情報を提供します。 この機能により、機密データを保護し、組織のメトリックへのアクセスを制御する責任が生まれます。 この記事では、セキュリティの概念、アクセス制御、および分析とレポートの実装をセキュリティで保護するためのベスト プラクティスについて説明します。

セキュリティ モデルの概要

分析とレポートのセキュリティでは、次を含む多層アプローチが使用されます。

• データの可視性を制御する: 分析データを表示できるユーザーと、アクセスできるプロジェクトを管理します。
• ダッシュボードのアクセス許可を実装する: ダッシュボードとその基になるデータへのアクセスを制御します。 詳細については、「ダッシュボードの アクセス許可を設定する」を参照してください。
• プロジェクト レベルのアクセスを構成する: プロジェクト メンバーシップに基づいて分析アクセスを制限します。 詳細については、 レポートの既定のアクセス許可とアクセスを参照してください。
• Power BI 統合の管理: Azure DevOps と Power BI の間の接続をセキュリティで保護します。 詳細については、「 Power BI Data Connector への接続」を参照してください。
• 監査とコンプライアンスを有効にする: データ アクセスを追跡し、コンプライアンス要件を維持します。 詳細については、「アクセス、エクスポート、およびフィルター監査ログ」を参照してください。

ID およびアクセス管理

レポートのアクセス レベル

分析機能とレポート機能は、アクセス レベルによって異なります。 各アクセス レベルの既定のアクセス許可に関する包括的な情報については、 レポートの既定のアクセス許可とアクセスを参照してください。

詳細については、「アクセス レベルについて」を参照してください。

外部ツールの認証

外部レポート ツールを Azure DevOps に接続する場合、セキュリティで保護された認証が不可欠です。

アナリティクスのセキュリティ

データ アクセス許可

分析のセキュリティは、ソース プロジェクトからのデータ可視性の継承の原則に基づいています。

• プロジェクトベースのアクセス: ユーザーは、アクセス権を持つプロジェクトの分析データのみを表示できます。 詳細については、「プロジェクトレベルの権限の変更」を参照してください。
• 作業項目の可視性: Analytics では、作業項目領域のパスのアクセス許可が考慮されます。 詳細については、「作業追跡権限を設定する」を参照してください。
• リポジトリ アクセス: コード メトリックは、リポジトリのアクセス許可に基づいてフィルター処理されます。 詳細については、「Git リポジトリのアクセス許可を設定する」を参照してください。
• パイプラインの可視性: ビルドとリリースの分析は、パイプラインのセキュリティ設定に従います。 詳細については、「 パイプラインのアクセス許可を設定する」を参照してください。

Analytics ビュー

Analytics ビューを使用して、特定のデータ セットへのアクセスを制御します。 Analytics ビューの作成と管理の詳細については、「Analytics ビューの作成」を参照してください。

データのフィルター処理とプライバシー

機密情報を保護するためのデータ フィルター処理を実装します。

• エリア パスの制限を構成する: 分析データを特定の作業項目領域に制限します。 詳細については、「作業追跡権限を設定する」を参照してください。
• フィールド レベルのセキュリティを適用する: 機密性の高い作業項目フィールドを分析から非表示にします。 詳細については、「 フィールドの追加と変更」を参照してください。
• プロジェクト間アクセスの管理: 複数のプロジェクト間の可視性を制御します。

ダッシュボードのセキュリティ

ダッシュボードのアクセス許可

ダッシュボードを表示、編集、管理できるユーザーを制御します。 ダッシュボードのアクセス許可を構成する手順については、「ダッシュボードのアクセス 許可を設定する」を参照してください。

ウィジェットのセキュリティに関する考慮事項

ウィジェットが異なると、セキュリティにさまざまな影響があります。

• クエリベースのウィジェット: 基になる作業項目クエリからセキュリティを継承します。 詳細については、「クエリのアクセス許可を設定する」を参照してください。
• 分析ウィジェット: 分析ビューのアクセス許可とプロジェクト アクセスに従います。
• 外部ウィジェット: 他の認証とデータ共有に関する考慮事項が必要な場合があります。 詳細については、「セキュリティの ベスト プラクティス」を参照してください。
• カスタム ウィジェット: セキュリティは実装とデータ ソースによって異なります。 詳細については、「ダッシュボードの 追加、名前変更、削除」を参照してください。

チームとプロジェクトのダッシュボード

さまざまな組織レベルでダッシュボード アクセスを管理します。

• チーム ダッシュボード: チーム メンバーとプロジェクトの関係者は、これらのダッシュボードにアクセスできます。 詳細については、「 チームの追加、1 つの既定のチームから複数のチームへの移行」を参照してください。
• プロジェクト ダッシュボード: すべてのプロジェクト共同作成者がこれらのダッシュボードにアクセスできます。 詳細については、「プロジェクトレベルの権限の変更」を参照してください。
• 個人用ダッシュボード: 個々のユーザーは、これらのダッシュボードを非公開のままにします。
• 組織ダッシュボード: 組織全体でこれらのダッシュボードを表示できます。 詳細については、「 組織レベルまたはコレクション レベルでのアクセス許可の変更」を参照してください。

ダッシュボードの種類とアクセスの詳細については、「ダッシュボードの 追加、名前変更、削除」を参照してください。

Power BI 統合のセキュリティ

データ コネクタのセキュリティ

Azure DevOps で Power BI を使用する場合は、これらのセキュリティ対策を実装します。 詳細なセットアップ手順については、「 Power BI Data Connector への接続」を参照してください。

• Microsoft Entra ID でサービス プリンシパルを使用する: 一元化された ID 管理を使用した自動更新にアプリケーション ベースの認証を実装します。 詳細については、「 Microsoft Entra トークンを使用する」を参照してください。
• 行レベルのセキュリティを構成する: ユーザー ID に基づいて Power BI データをフィルター処理します。
• 更新資格情報の管理: Microsoft Entra ID 認証を使用して、データ ソースの資格情報を安全に格納およびローテーションします。
• ワークスペースのアクセス許可を適用する: Azure DevOps データを含む Power BI ワークスペースへのアクセスを制御します。

Power BI のデータ プライバシー

Power BI レポートを共有するときに機密データを保護する:

• データ秘密度ラベルを構成する: レポートとデータセットに適切な分類を適用します。
• 共有の制限を実装する: Power BI コンテンツにアクセスして共有できるユーザーを制御します。
• データ使用状況の監視: アクセス パターンを追跡し、潜在的なセキュリティの問題を特定します。
• エクスポート制限の適用: 組織のポリシーに基づいてデータ エクスポート機能を制限します。

Power BI セキュリティのベスト プラクティスの詳細については、「 Power BI セキュリティ ベースライン」を参照してください。

コンプライアンスと監査

監査ログ記録

データの保持とコンプライアンス

適切なデータ保持ポリシーを実装します。

• 分析データの保持を構成する: 履歴データの適切な保持期間を設定します。
• ダッシュボードのライフサイクルの管理: ダッシュボードのアーカイブと削除のプロセスを確立します。
• ドキュメント データ系列: データ ソースと変換のレコードを保持します。
• コンプライアンス レポートの実装: 規制要件のレポートを生成します。

データ保護の詳細については、「データ 保護の概要」を参照してください。

分析とレポートのセキュリティに関するベスト プラクティス

アクセス管理

• 最小限の特権の原則を適用する: 分析とレポートのニーズに最低限必要なアクセス権を付与します。
• 定期的なアクセス レビューの実施: ダッシュボードと分析のアクセス許可を定期的に監査します。
• グループベースの管理を使用する: 個々の割り当てではなく、セキュリティ グループを使用してアクセス許可を管理します。
• ロールベースのアクセスを実装する: さまざまなレポートのニーズに合わせて標準ロールを定義します。

データ保護

• データの機密性を分類する: 機密性の高いメトリックとレポートを識別して保護します。 詳細については、「 データ保護の概要」を参照してください。
• データ マスクを実装する: 共有レポートの機密情報を非表示または難読化します。 詳細については、「 フィールドの追加と変更」を参照してください。
• データ エクスポートの制御: ユーザー ロールに基づいて一括データ エクスポート機能を制限します。 詳細については、「 アクセス レベルの変更」を参照してください。
• 異常なアクセスを監視する: データ アクセスとレポートの異常なパターンを監視します。 詳細については、「アクセス、エクスポート、およびフィルター監査ログ」を参照してください。

統合セキュリティ

• 外部接続をセキュリティで保護する: すべての外部レポート ツールに暗号化された接続を使用します。 詳細については、「 Microsoft Entra トークンを使用する」を参照してください。
• サード パーティ製ツールの検証: 外部分析ツールがセキュリティ要件を満たしていることを確認します。 詳細については、「セキュリティの ベスト プラクティス」を参照してください。
• Microsoft Entra 認証の管理: 個々のトークンではなく、外部統合に組織の ID 管理を使用します。 詳細については、「 Microsoft Entra トークンを使用する」を参照してください。
• 統合の使用状況を監視する: API と外部接続を使用してデータ アクセスを追跡します。 詳細については、「アクセス、エクスポート、およびフィルター監査ログ」を参照してください。

組織のガバナンス

• レポート標準を確立する: 組織レポートの承認済みのツールとプラクティスを定義します。 詳細については、「セキュリティの ベスト プラクティス」を参照してください。
• データ ガバナンス ポリシーの作成: データの正確性、プライバシー、および使用に関するポリシーを実装します。 詳細については、「 データ保護の概要」を参照してください。
• セキュリティに関するユーザーのトレーニング: セキュリティで保護されたレポートのプラクティスと潜在的なリスクについてチームを教育します。 詳細については、「セキュリティの ベスト プラクティス」を参照してください。
• セキュリティ手順のドキュメント: セキュリティの構成とプロセスに関する最新の文書を維持します。 詳細については、「 アクセス許可とセキュリティ グループについて」を参照してください。

一般的なセキュリティ シナリオ

マルチプロジェクト分析

複数のプロジェクトにわたって分析を実装する場合は、明確なセキュリティ境界を確立します。

シナリオの例: 複数の製品チームを持つ組織では、プロジェクトの分離を維持しながら統合レポートが必要です。

Organization: TechCorp
├── Project: ProductA (Team A access only)
├── Project: ProductB (Team B access only)
├── Project: Shared Services (All teams access)
└── Project: Executive Dashboard (Managers only)

この構成では、次の操作を行います。

• チーム メンバー は、割り当てられたプロジェクトについてのみ分析にアクセスできます。 詳細については、「プロジェクトレベルの権限の変更」を参照してください。
• 共有サービスメトリック は、依存関係の追跡のためにすべてのチームに表示されます。
• エグゼクティブ ダッシュボード は、機密性の高いプロジェクトの詳細を公開することなく、高レベルのメトリックを提供します。 詳細については、「ダッシュボードの アクセス許可を設定する」を参照してください。
• プロジェクト間クエリ は、ユーザーのアクセス許可に基づいて制限されます。 詳細については、「 Analytics ビューの作成」を参照してください。

外部関係者レポート

外部関係者とレポートを共有するときにセキュリティを管理する:

• 利害関係者固有のダッシュボードを作成する: 機密性の高い詳細を含まない関連メトリックを表示するデザイン ビュー。
• 読み取り専用アクセスを使用する: 外部ユーザーに対してビューのみのアクセス許可を提供します。
• 制限付きアクセスを実装する: 外部ユーザー アクセスの有効期限を設定します。
• データ フィルター処理を適用する: 外部ユーザーに承認済みの情報のみが表示されるようにします。

外部ユーザーの管理に関するガイダンスについては、「 組織に外部ユーザーを追加する」を参照してください。

規制コンプライアンス レポート

コンプライアンス要件を持つ組織の場合:

• 監査証跡を実装する: すべてのデータ アクセスと変更の詳細なログを保持します。 詳細については、「アクセス、エクスポート、およびフィルター監査ログ」を参照してください。
• データ保持ポリシーを適用する: 分析データが規制の保持要件を満たしていることを確認します。 詳細については、「 データ保護の概要」を参照してください。
• データの場所を制御する: クラウド インスタンスの場合は、分析データが格納される場所を理解します。 詳細については、「Azure DevOps のデータの場所」を参照してください。
• コンプライアンス レポートを生成する: 規制申請用の標準化されたレポートを作成します。 詳細については、「 アクセス レベルを使用したユーザー リストのエクスポート」を参照してください。

セキュリティ構成チェックリスト

初期セットアップ

• [ ] 分析ユーザーに適切なアクセス レベルを構成します。
• [ ] レポートのニーズに合わせてセキュリティ グループを設定します。
• [ ] 分析アクセス用にプロジェクトのアクセス許可を構成します。
• [ ] チーム ダッシュボードとプロジェクト ダッシュボードのアクセス許可を設定します。
• [ ] 適切なアクセス制御を使用して Analytics ビューを構成 します。
• [ ] 作業追跡のアクセス許可を設定 して、データの可視性を制御します。

外部統合

• [ ] 外部レポート ツール用 に Microsoft Entra 認証を構成 します。
• [ ] Microsoft Entra ID 認証を使用して Power BI 接続を構成します 。
• [ ] マルチテナント シナリオ用に Power BI で行レベルのセキュリティを設定します。
• [ ] すべての外部ツール接続を文書化して承認します。

継続的な管理

• [ ] 分析とダッシュボードアクセスのための 定期的なアクセス許可監査を実施 します。
• [ ] 異常な分析アクティビティの 監査ログを監視 します。
• [ ] チームの変更に合ったダッシュボードのアクセス許可を確認および更新します。
• [ ] Microsoft Entra 認証を管理 し、外部統合の資格情報をローテーションします。
• [ ] 分析データのフィルター処理が正しく機能していることを検証します。