接続の確立

Microsoft Power BI XMLA への接続

接続するには、Workspace プロパティを有効なPowerBIXMLA ワークスペースに設定します（例：CData）。

Microsoft Power BI XMLA への認証

Azure AD

Azure AD は、Microsoft のマルチテナント、クラウドベースのディレクトリおよびID 管理サービスです。これはユーザーベースの認証で、AuthScheme をAzureAD に設定する必要があります。

デスクトップアプリケーション

CData は、デスクトップでの認証を簡単にする埋め込みOAuth アプリケーションを提供します。

接続の前に、以下の変数を設定します。

InitiateOAuth：GETANDREFRESH。OAuthAccessToken を自動的に取得およびリフレッシュするために使用します。 CData は、デスクトップでの認証を簡単にする埋め込みOAuth アプリケーションを提供します。例えば、ユーザーがインターネットに接続されていないローカルサーバーを使用しているような場合に利用できます。
また、Microsoft Power BI XMLA コンソールで設定および登録するカスタムOAuth アプリケーションを介してデスクトップから認証することもできます。詳しくは、カスタムOAuth アプリの作成を参照してください。
カスタムAzure AD アプリケーションのみ：
- OAuthClientId：カスタムOAuth アプリケーションの登録時に割り当てられたクライアントId。
- OAuthClientSecret：カスタムOAuth アプリケーションの登録時に割り当てられたクライアントシークレット。
- CallbackURL：カスタムOAuth アプリケーションの登録時に定義されたリダイレクトURI。

接続すると、本製品はデフォルトブラウザでMicrosoft Power BI XMLA のOAuth エンドポイントを開きます。ログインして、アプリケーションにアクセス許可を与えます。本製品はこれでOAuth プロセスを完了します。

コールバックURL からアクセストークンを取得し、リクエストを認証します。
古いトークンの期限が切れたときは、新しいアクセストークンを取得します。
OAuth 値をOAuthSettingsLocation に保存します。これらの値は接続間で永続化されます。

アクセストークンの期限が切れたときは、本製品は自動でアクセストークンをリフレッシュします。

Web アプリケーション

Web 経由で認証する場合は、カスタムOAuth アプリの作成で説明するようにMicrosoft Power BI XMLA にカスタムOAuth アプリケーションを作成および登録する必要があります。それから本製品を使用してOAuth トークンの値を取得および管理します。

このセクションでは、OAuth アクセストークンの取得方法、ドライバーにOAuth アクセストークンを自動的に更新させる方法、OAuth アクセストークンを手動で更新する方法について説明します。

OAuth アクセストークンの取得：

OAuthAccessToken を取得するには、次の接続プロパティを設定します。
- クライアントシークレットを使用する認証の場合：
  - OAuthClientId：アプリケーション設定のクライアントId。
  - OAuthClientSecret：アプリケーション設定のクライアントシークレット。
- 証明書を使用する認証の場合：
  - OAuthClientId：アプリケーション設定のクライアントId。
  - OAuthJWTCert：JWT 証明書のストア。
  - OAuthJWTCertType：OAuthJWTCert で指定された証明書ストアの種類。
ストアドプロシージャを呼び出し、OAuth 交換を完了します。
- GetOAuthAuthorizationUrl ストアドプロシージャを呼び出します。AuthMode インプットをWEB に、CallbackURL をアプリケーション設定で指定したリダイレクトURI に設定します。ストアドプロシージャは、OAuth エンドポイントへのURL を返します。
- ステップ1でストアドプロシージャが返したURL に移動します。ログインしてWeb アプリケーションを認可します。コールバックURL にリダイレクトされます。
- GetOAuthAccessToken ストアドプロシージャを呼び出します。AuthMode インプットをWEB に設定します。Verifier インプットを、リダイレクトURI のクエリ文字列のcode パラメータに設定します。

アクセストークンとリフレッシュトークンを取得したのち、データに接続してOAuth アクセストークンを自動的にリフレッシュできます。

OAuth アクセストークンの自動リフレッシュ：

本製品がOAuth アクセストークンを自動的にリフレッシュするようにするには、次のように設定します。

はじめてデータに接続する際、次の接続プロパティを設定します。
- InitiateOAuth：REFRESH。
- OAuthClientId：カスタムOAuth アプリケーション設定のクライアントId。
- OAuthClientSecret：カスタムOAuth アプリケーション設定のクライアントシークレット。
- OAuthAccessToken：GetOAuthAccessToken によって返されたアクセストークン。
- OAuthSettingsLocation：本製品がOAuth 値を保存する場所のパス。これは接続間で維持されます。
その後のデータ接続では、以下を設定します。
- InitiateOAuth
- OAuthSettingsLocation

OAuth アクセストークンの手動リフレッシュ：

OAuth アクセストークンを手動でリフレッシュするために必要な唯一の値は、OAuth リフレッシュトークンです。

ExpiresIn 期間（GetOAuthAccessToken が返す）が経過した後にOAuthAccessToken を手動でリフレッシュするには、RefreshOAuthAccessToken ストアドプロシージャを呼び出します。
次の接続プロパティを設定します。
- OAuthClientId：カスタムOAuth アプリケーション設定のクライアントId。
- OAuthClientSecret：カスタムOAuth アプリケーション設定のクライアントシークレット。
RefreshOAuthAccessToken を呼び出し、OAuthRefreshToken にGetOAuthAccessToken によって返されたOAuth リフレッシュトークンを設定します。
新しいトークンが取得できたら、OAuthAccessToken プロパティにRefreshOAuthAccessToken によって返された値を設定します。これで新規接続が開かれます。

OAuth リフレッシュトークンを保存し、OAuth アクセストークンの有効期限が切れた後に手動でリフレッシュできるようにします。

ヘッドレスマシン

ヘッドレスマシンに置かれているリソースにログインする必要がある場合は、インターネットブラウザに対応した別の端末で認証する必要があります。以下のいずれかの方法で行います。

後述のVerifier code を取得および交換に従い、OAuthVerifier 値を取得します。
別のマシンに本製品をインストールし、通常のブラウザベースのフローで認証した後でOAuth 認証値を転送します。

いずれかのオプションを実行後、ヘッドレスマシンからアクセストークンを自動的にリフレッシュするようにドライバーを設定します。

Verifier code を取得および交換

Verifier code を取得するには、インターネットブラウザがあるマシンからOAuth 認可URL で認証し、OAuthVerifier 接続プロパティを取得する必要があります。

以下のオプションから選択します。
- 埋め込みOAuth アプリケーションを使用する場合は、Microsoft Power BI XMLA OAuth endpoint をクリックし、ブラウザでエンドポイントを開きます。
- カスタムOAuth アプリケーションを使用する場合は、以下のプロパティを設定して認可URL を作成します。
  - InitiateOAuth：OFF。
  - OAuthClientId：アプリケーションの登録時に割り当てられたクライアントId。
  - OAuthClientSecret：アプリケーションの登録時に割り当てられたクライアントシークレット。
  認可URL が確立されたら、適切なCallbackURL を指定してGetOAuthAuthorizationUrl ストアドプロシージャを呼び出します。ストアドプロシージャによって返されたURL をブラウザで開きます。
ログインして、本製品にアクセス許可を与えます。verifier code を含むコールバックURL にリダイレクトされます。
verifier code の値を保存します。後ほどこれをOAuthVerifier 接続プロパティに設定します。

次に、OAuth verifier code をOAuth リフレッシュトークンおよびアクセストークンと交換します。

OAuth 認証値を取得するには次のプロパティを設定します。

InitiateOAuth：REFRESH。
OAuthVerifier：verifier code。
OAuthSettingsLocation：ドライバーがOAuth トークン値を保存するファイルの場所。これは接続間で維持されます。
カスタムアプリケーションのみ：
- OAuthClientId：（カスタムアプリのみ）カスタムOAuth アプリケーション設定のクライアントId に設定。
- OAuthClientSecret：（カスタムアプリのみ）カスタムOAuth アプリケーション設定のクライアントシークレットに設定。

OAuth 設定ファイルが生成されたら、以下のように接続プロパティをリセットします。

InitiateOAuth：REFRESH。
OAuthSettingsLocation：暗号化されたOAuth 認証値が保存される場所。アクセストークンの自動リフレッシュを有効にするために、この場所が本製品に読み書きのアクセス許可を与えることを確認してください。
カスタムアプリケーションのみ：
- OAuthClientId：アプリケーションの登録時に割り当てられたクライアントId。
- OAuthClientSecret：アプリケーションの登録時に割り当てられたクライアントシークレット。

OAuth 設定を転送

ヘッドレスマシンでの接続に先立ち、インターネットブラウザに対応したデバイスでドライバーとの接続を作成し、インストールする必要があります。上述の「デスクトップアプリケーション」の説明に従って、接続プロパティを設定します。

「デスクトップアプリケーション」の手順が完了すると、生成された認証値は、OAuthSettingsLocation で指定された場所に暗号化されて書き込まれます。デフォルトのファイル名はOAuthSettings.txt です。

接続が正常にテストされたら、OAuth 設定ファイルをヘッドレスマシンにコピーします。

ヘッドレスマシンで、次の接続プロパティを設定し、データに接続します。

InitiateOAuth：REFRESH。
OAuthSettingsLocation：OAuth 設定ファイルの場所。アクセストークンの自動リフレッシュを有効にするために、この場所が本製品に読み書きのアクセス許可を与えることを確認してください。
カスタムアプリケーションのみ：
- OAuthClientId：アプリケーションの登録時に割り当てられたクライアントId。
- OAuthClientSecret：アプリケーションの登録時に割り当てられたクライアントシークレット。

Azure サービスプリンシパル

Azure サービスプリンシパルは、ロールに基づいたアプリケーションベースの認証です。これは、認証がユーザーごとではなく、アプリケーションごとに行われることを意味します。アプリで実行されるすべてのタスクは、デフォルトユーザーコンテキストなしで実行されます。リソースへのアプリケーションのアクセスは、割り当てられたロールの権限によって制御されます。

Azure サービスプリンシパル認証を使用するには、以下を行います。

認証アプリケーションにロールを割り当てる機能を設定します。これには、カスタムOAuth アプリの作成で説明するように、カスタムOAuth AD アプリケーションを作成します。
Azure AD テナントにアプリケーションを登録し、ロールベースのアクセス制御で使用できる新しいサービスプリンシパルを作成して、サブスクリプション内のリソースにアクセスします。

以下の手順に従います。

カスタムOAuth アプリの作成での説明のとおりに、カスタムAzure AD アプリケーションを作成します。
アプリケーションへのロールの割り当て：
1. 検索バーを使用してサブスクリプションサービスを検索します。
2. サブスクリプションページを開きます。
3. アプリケーションを割り当てるサブスクリプションを選択します。
4. アクセス制御（IAM）を開きます。
5. 追加 -> ロールの割り当ての追加を選択します。Microsoft Power BI XMLA はロールの割り当ての追加ページを開きます。
6. 作成したカスタムAzure AD アプリケーションに所有者ロールを割り当てます。

管理者の同意

管理者の同意は、Azure Active Directory テナントの管理者が、管理者の同意を明示的に必要とするカスタムアプリケーションに権限を付与する場合に行います。

Azure ポータルで新しいAzure AD アプリケーションを作成する場合には、アプリケーションに必要なアクセス許可を指定する必要があります。一部のアクセス許可には、「管理者の同意が必要」と記載されている場合があります。例えば、すべてのグループのアクセス許可には管理者の同意が必要です。アプリケーションが管理者の同意を必要とする場合、方法は2つあります。

管理者の同意を付与する最も簡単な方法は、管理者がportal.azure.com にログインして、アプリの登録で作成したアプリケーションに移動することです。API のアクセス許可で、 同意の付与をクリックします。これにより、アプリケーションが作成されたテナントにアクセス権限が付与されます。

組織に複数のテナントがある場合、または組織外の他のテナントにアプリのアクセス許可を与える必要がある場合、GetAdminConsentURL ストアドプロシージャを使用してAdmin Authorization URL を生成します。GetOAuthAuthorizationUrl ストアドプロシージャとは異なり、このエンドポイントから返される重要な情報はありません。代わりに、OAuth アプリケーションが正常に認可されると、アクセス権限が付与されたことを示すBoolean 値が返されます。

管理者がOAuth アプリケーションを承認後、認証を続行できます。

クライアントクレデンシャル

クライアント資格情報は、直接ユーザー認証が行われないOAuth のフローを指します。代わりに、クレデンシャルはアプリケーション自体のためだけに作成されます。アプリケーションで実行されるすべてのタスクは、デフォルトユーザーコンテキストなしで実行されます。そのため、認証フローが標準フローとは少し違ったものになります。

クライアントOAuth フローに関連するすべてのアクセス許可には、管理者の同意が必要です。これは、CData ADO.NET Provider for Microsoft Power BI XMLA が埋め込まれたアプリケーションをクライアントOAuth フローでは使用できないことを意味します。クライアント資格情報を使用するには、独自のOAuth アプリケーションの作成が必要になります。詳しくは、カスタムOAuth アプリの作成を参照してください。

portal.azure.com の［アプリの登録］で［API のアクセス許可］に移動し、Microsoft Graph アクセス許可を選択します。アクセス許可には2つの異なるアクセス許可セットがあります。委任されたアクセス許可とアプリケーションの許可です。クライアントの資格情報認証時に使用されるアクセス許可は、［アプリケーションの許可］の下にあります。

インテグレーションに必要なアクセス許可を選択します。その後、次の接続プロパティを設定します。

AuthScheme：AzureServicePrincipal。
InitiateOAuth：GETANDREFRESH。InitiateOAuth を使うと、OAuth 交換の繰り返しや、手動でのOAuthAccessToken 設定を避けられます。
AzureTenant：接続するテナント。
OAuthGrantType：CLIENT。
OAuthClientId：アプリケーション設定のクライアントId。
OAuthClientSecret：アプリケーション設定のクライアントシークレット。

クライアント資格情報での認証は、他の接続同様に自動的に行われますが、ユーザーにプロンプトするウィンドウは表示されません。ユーザーコンテキストがないため、ブラウザのポップアップは必要ないからです。接続が行われ、内部的に処理されます。

Auth Certificate

Auth Certificate は、証明書を使用してサーバー間認証を可能にするOAuth フローを指します。クライアントOAuth フローに関連するすべてのアクセス許可には、管理者の同意が必要です。これは、CData ADO.NET Provider for Microsoft Power BI XMLA が埋め込まれたアプリケーションをクライアントOAuth フローでは使用できないことを意味します。OAuth 証明書を使用するには、独自のOAuth アプリケーションの作成が必要になります。詳しくは、カスタムOAuth アプリの作成を参照してください。

portal.azure.com の［アプリの登録］でAPI のアクセス許可に移動し、クライアントのGraph アクセス許可を選択します。アクセス許可には2つの異なるアクセス許可セットがあります。委任されたアクセス許可とアプリケーションの許可です。証明書認証時に使用されるアクセス許可は、［アプリケーションの許可］の下にあります。

自身のインテグレーションに適用させるアクセス許可を選択します。その後、次の接続プロパティを設定します。

AuthScheme：AzureServicePrincipalCert。
AzureTenant：接続するテナント。
OAuthJWTCert：JWT 証明書のストア。
OAuthJWTIssuer：OAuth クライアントId。
OAuthJWTCertType：OAuthJWTCert で指定された証明書ストアの種類。

証明書の認証は自動で行われます。ユーザーコンテキストがないため、認証が発生したことを知らせるポップアップはありません。接続は内部で行われ、処理されます。