Freigeben über

Bereitstellen des Lesezugriffs auf Azure SQL-Datenbank mithilfe von Microsoft Purview-Datenbesitzerrichtlinien (Vorschau)

  • Artikel

Wichtig

Dieses Feature ist derzeit in der Vorschau. Die zusätzlichen Nutzungsbedingungen für Microsoft Azure Previews enthalten zusätzliche rechtliche Bestimmungen, die für Azure-Features gelten, die sich in der Betaversion, in der Vorschau oder anderweitig noch nicht in der allgemeinen Verfügbarkeit befinden.

Datenbesitzerrichtlinien sind eine Art von Microsoft Purview-Zugriffsrichtlinien. Sie ermöglichen es Ihnen, den Zugriff auf Benutzerdaten in Quellen zu verwalten, die für die Erzwingung von Datenrichtlinien in Microsoft Purview registriert wurden. Diese Richtlinien können direkt im Microsoft Purview-Governanceportal erstellt werden und werden nach der Veröffentlichung von der Datenquelle erzwungen.

In diesem Leitfaden wird beschrieben, wie ein Datenbesitzer Erstellungsrichtlinien in Microsoft Purview delegieren kann, um den Zugriff auf Azure SQL-Datenbank zu ermöglichen. Die folgenden Aktionen sind derzeit aktiviert: Lesen. Ändern wird an diesem Punkt nicht unterstützt.

Voraussetzungen

Regionsunterstützung

Alle Microsoft Purview-Regionen werden unterstützt.

Die Erzwingung von Microsoft Purview-Richtlinien ist nur in den folgenden Regionen für Azure SQL-Datenbank verfügbar:

Öffentliche Cloud:

  • USA (Osten)
  • USA, Osten2
  • USA (Süden, Mitte)
  • USA (Westen, Mitte)
  • USA, Westen3
  • Kanada, Mitte
  • Brasilien Süd
  • Westeuropa
  • Nordeuropa
  • Frankreich, Mitte
  • Vereinigtes Königreich (Süden)
  • Süd-Afrika Nord
  • Indien, Mitte
  • Asien, Südosten
  • Ostasien
  • Australien (Osten)

Sovereign Clouds:

  • USGov Virginia
  • China, Norden 3

Konfigurieren des Azure SQL Database instance für Richtlinien aus Microsoft Purview

Damit der logische Server, der Azure SQL Database zugeordnet ist, Richtlinien von Microsoft Purview berücksichtigt, müssen Sie einen Microsoft Entra-Administrator konfigurieren. Navigieren Sie im Azure-Portal zum logischen Server, auf dem die Azure SQL Database instance gehostet wird. Wählen Sie im seitlichen Menü Microsoft Entra ID aus. Legen Sie einen Administratornamen auf einen beliebigen Microsoft Entra Benutzer oder gruppe fest, den Sie bevorzugen, und wählen Sie dann Speichern aus.

Wählen Sie dann im seitlichen Menü Identität aus. Legen Sie unter Systemseitig zugewiesene verwaltete Identität die status auf Ein fest, und wählen Sie dann Speichern aus.

Screenshot: Zuweisung einer systemseitig zugewiesenen verwalteten Identität zu einem logischen Server, der Azure SQL Datenbank zugeordnet ist

Microsoft Purview-Konfiguration

Registrieren der Datenquelle in Microsoft Purview

Bevor eine Richtlinie in Microsoft Purview für eine Datenressource erstellt werden kann, müssen Sie diese Datenressource in Microsoft Purview Studio registrieren. Die Anweisungen zum Registrieren der Datenressource finden Sie weiter unten in diesem Leitfaden.

Hinweis

Microsoft Purview-Richtlinien basieren auf dem ARM-Pfad der Datenressource. Wenn eine Datenressource in eine neue Ressourcengruppe oder ein neues Abonnement verschoben wird, muss sie die Registrierung aufheben und dann erneut in Microsoft Purview registriert werden.

Konfigurieren von Berechtigungen zum Aktivieren der Datenrichtlinienerzwingung für die Datenquelle

Sobald eine Ressource registriert wurde, aber bevor eine Richtlinie in Microsoft Purview für diese Ressource erstellt werden kann, müssen Sie Berechtigungen konfigurieren. Zum Aktivieren der Datenrichtlinienerzwingung sind eine Reihe von Berechtigungen erforderlich. Dies gilt für Datenquellen, Ressourcengruppen oder Abonnements. Um die Erzwingung von Datenrichtlinien zu aktivieren, müssen Sie sowohl über bestimmte Identitäts- und Zugriffsverwaltungsberechtigungen (IAM) für die Ressource als auch über bestimmte Microsoft Purview-Berechtigungen verfügen:

  • Sie müssen entweder eine der folgenden IAM-Rollenkombinationen für den Azure-Resource Manager-Pfad der Ressource oder ein übergeordnetes Element (d. a. die Iam-Berechtigungsvererbung) verwenden:

    • IAM-Besitzer
    • Sowohl IAM-Mitwirkender als auch IAM-Benutzerzugriffsadministrator

    Befolgen Sie diese Anleitung, um Berechtigungen für die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) in Azure zu konfigurieren. Der folgende Screenshot zeigt, wie Sie auf den Abschnitt Access Control in der Azure-Portal zugreifen, damit die Datenressource eine Rollenzuweisung hinzufügen kann.

    Screenshot: Abschnitt im Azure-Portal zum Hinzufügen einer Rollenzuweisung

    Hinweis

    Die Rolle IAM-Besitzer für eine Datenressource kann von einer übergeordneten Ressourcengruppe, einem Abonnement oder einer Abonnementverwaltungsgruppe geerbt werden. Überprüfen Sie, welche Microsoft Entra Benutzer, Gruppen und Dienstprinzipale die ROLLE IAM-Besitzer für die Ressource besitzen oder erben.

  • Außerdem müssen Sie über die Microsoft Purview-Rolle Datenquellenadministrator für die Sammlung oder eine übergeordnete Sammlung verfügen (wenn die Vererbung aktiviert ist). Weitere Informationen finden Sie im Leitfaden zum Verwalten von Microsoft Purview-Rollenzuweisungen.

    Der folgende Screenshot zeigt, wie Sie die Rolle "Datenquellenadministrator " auf der Stammsammlungsebene zuweisen.

    Screenshot: Auswahl zum Zuweisen der Rolle

Konfigurieren von Microsoft Purview-Berechtigungen zum Erstellen, Aktualisieren oder Löschen von Zugriffsrichtlinien

Zum Erstellen, Aktualisieren oder Löschen von Richtlinien müssen Sie die Rolle Richtlinienautor in Microsoft Purview auf Stammsammlungsebene abrufen:

  • Die Rolle Richtlinienautor kann DevOps- und Datenbesitzerrichtlinien erstellen, aktualisieren und löschen.
  • Die Rolle Richtlinienautor kann Self-Service-Zugriffsrichtlinien löschen.

Weitere Informationen zum Verwalten von Microsoft Purview-Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Sammlungen im Microsoft Purview Data Map.

Hinweis

Die Rolle "Richtlinienautor" muss auf der Stammsammlungsebene konfiguriert werden.

Wenn Sie beim Erstellen oder Aktualisieren des Themas einer Richtlinie problemlos Microsoft Entra Benutzer oder Gruppen durchsuchen möchten, können Sie außerdem davon profitieren, dass Sie die Berechtigung Verzeichnisleseberechtigte in Microsoft Entra ID erhalten. Dies ist eine allgemeine Berechtigung für Benutzer in einem Azure-Mandanten. Ohne die Berechtigung Verzeichnisleser muss der Richtlinienautor den vollständigen Benutzernamen oder die E-Mail-Adresse für alle Prinzipale eingeben, die im Betreff einer Datenrichtlinie enthalten sind.

Konfigurieren von Microsoft Purview-Berechtigungen für die Veröffentlichung von Datenbesitzerrichtlinien

Datenbesitzerrichtlinien ermöglichen Überprüfungen und Gleichgewichte, wenn Sie die Microsoft Purview-Richtlinienautor- und Datenquellenadministratorrollen verschiedenen Personen im organization zuweisen. Bevor eine Datenbesitzerrichtlinie wirksam wird, muss sie von einer zweiten Person (Datenquellenadministrator) überprüft und durch Veröffentlichung explizit genehmigt werden. Dies gilt nicht für DevOps- oder Self-Service-Zugriffsrichtlinien, da die Veröffentlichung automatisch erfolgt, wenn diese Richtlinien erstellt oder aktualisiert werden.

Um eine Datenbesitzerrichtlinie zu veröffentlichen, müssen Sie die Rolle Datenquellenadministrator in Microsoft Purview auf Stammsammlungsebene abrufen.

Weitere Informationen zum Verwalten von Microsoft Purview-Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Sammlungen im Microsoft Purview Data Map.

Hinweis

Zum Veröffentlichen von Datenbesitzerrichtlinien muss die Rolle Datenquellenadministrator auf der Stammsammlungsebene konfiguriert werden.

Delegieren der Verantwortung für die Zugriffsbereitstellung an Rollen in Microsoft Purview

Nachdem eine Ressource für die Erzwingung von Datenrichtlinien aktiviert wurde, kann jeder Microsoft Purview-Benutzer mit der Rolle Richtlinienautor auf der Stammsammlungsebene zugriff auf diese Datenquelle aus Microsoft Purview bereitstellen.

Hinweis

Jeder Microsoft Purview-Stammsammlungsadministrator kann neue Benutzer den Stammrollen des Richtlinienautors zuweisen. Jeder Sammlungsadministrator kann neue Benutzer einer Datenquellenadministratorrolle unter der Sammlung zuweisen. Minimieren Sie die Benutzer, die die Rollen Microsoft Purview-Sammlungsadministrator, Datenquellenadministrator oder Richtlinienautor besitzen, und überprüfen Sie sie sorgfältig.

Wenn ein Microsoft Purview-Konto mit veröffentlichten Richtlinien gelöscht wird, werden solche Richtlinien innerhalb eines Zeitraums, der von der jeweiligen Datenquelle abhängt, nicht mehr erzwungen. Diese Änderung kann Auswirkungen auf die Sicherheit und die Verfügbarkeit des Datenzugriffs haben. Die Rollen Mitwirkender und Besitzer in IAM können Microsoft Purview-Konten löschen. Sie können diese Berechtigungen überprüfen, indem Sie zum Abschnitt Zugriffssteuerung (IAM) für Ihr Microsoft Purview-Konto wechseln und Rollenzuweisungen auswählen. Sie können auch eine Sperre verwenden, um zu verhindern, dass das Microsoft Purview-Konto über Resource Manager Sperren gelöscht wird.

Registrieren der Datenquellen in Microsoft Purview

Die Azure SQL Datenbankdatenquelle muss zuerst bei Microsoft Purview registriert werden, bevor Zugriffsrichtlinien erstellt werden. Sie können die folgenden Anleitungen befolgen:

Registrieren und Überprüfen Azure SQL Datenbank

Nachdem Sie Ihre Ressourcen registriert haben, müssen Sie die Datenrichtlinienerzwingung aktivieren. Die Erzwingung von Datenrichtlinien kann sich auf die Sicherheit Ihrer Daten auswirken, da sie an bestimmte Microsoft Purview-Rollen delegiert wird, um den Zugriff auf die Datenquellen zu verwalten. Gehen Sie die sicheren Methoden im Zusammenhang mit der Erzwingung von Datenrichtlinien in diesem Leitfaden durch: Aktivieren der Datenrichtlinienerzwingung

Sobald für Ihre Datenquelle der Umschalter Datenrichtlinienerzwingungaktiviert ist, sieht dies wie in diesem Screenshot aus. Dadurch können die Zugriffsrichtlinien mit dem angegebenen Azure SQL Server und allen enthaltenen Datenbanken verwendet werden.

Screenshot: Registrieren einer Datenquelle für eine Richtlinie

Kehren Sie zum Azure-Portal für Azure SQL Datenbank zurück, um zu überprüfen, ob sie jetzt von Microsoft Purview gesteuert wird:

  1. Melden Sie sich über diesen Link beim Azure-Portal an.

  2. Wählen Sie den Azure SQL Server aus, den Sie konfigurieren möchten.

  3. Wechseln Sie im linken Bereich zu Microsoft Entra ID.

  4. Scrollen Sie nach unten zu Microsoft Purview-Zugriffsrichtlinien.

  5. Wählen Sie die Schaltfläche "Nach Microsoft Purview-Governance suchen" aus. Warten Sie, während die Anforderung verarbeitet wird. Dies kann einige Minuten dauern.

    Screenshot: Azure SQL von Microsoft Purview gesteuert wird.

  6. Vergewissern Sie sich, dass im Microsoft Purview-Governancestatus angezeigt wird Governed. Beachten Sie, dass es einige Minuten dauern kann, nachdem Sie die Erzwingung von Datenrichtlinien in Microsoft Purview aktiviert haben, bis die richtige status widergespiegelt wird.

Hinweis

Wenn Sie die Erzwingung von Datenrichtlinien für diese Azure SQL Datenbank-Datenquelle deaktivieren, kann es bis zu 24 Stunden dauern, bis der Microsoft Purview-Governancestatus automatisch auf Not Governedaktualisiert wird. Dies kann beschleunigt werden, indem Sie Auf Microsoft Purview-Governance überprüfen auswählen. Bevor Sie die Erzwingung von Datenrichtlinien für die Datenquelle in einem anderen Microsoft Purview-Konto aktivieren, stellen Sie sicher, dass der Purview-Governancestatus als Not Governedangezeigt wird. Wiederholen Sie dann die oben genannten Schritte mit dem neuen Microsoft Purview-Konto.

Erstellen und Veröffentlichen einer Datenbesitzerrichtlinie

Führen Sie die Schritte in den Abschnitten Erstellen einer neuen Richtlinie und Veröffentlichen einer Richtlinie des Tutorials zum Erstellen von Datenbesitzerrichtlinien aus. Das Ergebnis ist eine Datenbesitzerrichtlinie, die dem gezeigten Beispiel ähnelt.

Beispiel: Leserichtlinie. Diese Richtlinie weist die Microsoft Entra Prinzipal "Robert Murphy" der Sql-Datenleseraktion im Bereich von SQL Server relecloud-sql-srv2 zu. Diese Richtlinie wurde auch auf diesem Server veröffentlicht. Beachten Sie, dass Richtlinien im Zusammenhang mit dieser Aktion unterhalb der Serverebene (z. B. Datenbank, Tabelle) unterstützt werden.

Screenshot einer Beispielrichtlinie für Datenbesitzer, die datenleseberechtigten Zugriff auf eine Azure SQL-Datenbank gibt.

Wichtig

  • Veröffentlichen ist ein Hintergrundvorgang. Es kann bis zu 5 Minuten dauern, bis die Änderungen in dieser Datenquelle widerzuspiegeln sind.
  • Zum Ändern einer Richtlinie ist kein neuer Veröffentlichungsvorgang erforderlich. Die Änderungen werden mit dem nächsten Pull übernommen.

Aufheben der Veröffentlichung einer Datenbesitzerrichtlinie

Folgen Sie diesem Link, um die Veröffentlichung einer Datenbesitzerrichtlinie in Microsoft Purview aufzuheben.

Aktualisieren oder Löschen einer Datenbesitzerrichtlinie

Folgen Sie diesem Link, um die Schritte zum Aktualisieren oder Löschen einer Datenbesitzerrichtlinie in Microsoft Purview anzuzeigen.

Testen der Richtlinie

Nachdem Sie die Richtlinie erstellt haben, sollte jeder der Microsoft Entra Benutzer im Betreff nun eine Verbindung mit den Datenquellen im Bereich der Richtlinie herstellen können. Verwenden Sie zum Testen SSMS oder einen beliebigen SQL-Client, und versuchen Sie, eine Abfrage auszuführen. Versuchen Sie, auf eine SQL-Tabelle zuzugreifen, für die Sie Lesezugriff gewährt haben.

Wenn Sie weitere Problembehandlungen benötigen, lesen Sie den Abschnitt Nächste Schritte in diesem Leitfaden.

Rollendefinitionsdetails

Dieser Abschnitt enthält einen Verweis darauf, wie relevante Microsoft Purview-Datenrichtlinienrollen bestimmten Aktionen in SQL-Datenquellen zugeordnet werden.

Microsoft Purview-Richtlinienrollendefinition Datenquellenspezifische Aktionen
Lesen Microsoft.Sql/sqlservers/Connect
Microsoft.Sql/sqlservers/databases/Connect
Microsoft.Sql/Sqlservers/Databases/Schemas/Tables/Rows
Microsoft.Sql/Sqlservers/Databases/Schemas/Views/Rows

Nächste Schritte

Sehen Sie sich Blog, Demo und zugehörige Anleitungen an.