Bereitstellen des Zugriffs auf Systemmetadaten für ganze Ressourcengruppen oder Abonnements mithilfe von Microsoft Purview DevOps-Richtlinien
DevOps-Richtlinien sind eine Art von Microsoft Purview-Zugriffsrichtlinien. Sie ermöglichen es Ihnen, den Zugriff auf Systemmetadaten für Datenquellen zu verwalten, die für die Erzwingung von Datenrichtlinien in Microsoft Purview registriert wurden. Diese Richtlinien werden direkt im Microsoft Purview-Governanceportal konfiguriert und nach dem Speichern automatisch veröffentlicht und dann von der Datenquelle erzwungen. Microsoft Purview-Richtlinien verwalten nur den Zugriff für Microsoft Entra Prinzipale.
In dieser Schrittanleitung wird beschrieben, wie Sie eine gesamte Ressourcengruppe oder ein abonnement registrieren und dann eine einzelne Richtlinie erstellen, die zugriff auf alle Datenquellen in dieser Ressourcengruppe oder in diesem Abonnement bereitstellt. Diese einzelne Richtlinie deckt alle vorhandenen Datenquellen und alle anschließend erstellten Datenquellen ab. Und die Bereitstellung des Zugriffs auf seine Systemmetadaten (DMVs und DMFs) mithilfe der DevOps-Richtlinienaktionen SQL-Leistungsüberwachung oder SQL-Sicherheitsüberwachung.
Voraussetzungen
Ein Azure-Konto mit einem aktiven Abonnement. Erstellen Sie kostenlos ein Konto.
Ein neues oder vorhandenes Microsoft Purview-Konto. Befolgen Sie diese Schnellstartanleitung, um eine zu erstellen.
Nur diese Datenquellen sind für Zugriffsrichtlinien für eine Ressourcengruppe oder ein Abonnement aktiviert. Befolgen Sie den Abschnitt Voraussetzungen , der für die Datenquellen in diesen Leitfäden spezifisch ist:
- DevOps-Richtlinien für eine Azure SQL-Datenbank
- DevOps-Richtlinien für ein azure Arc-fähiges SQL Server
Microsoft Purview-Konfiguration
Registrieren der Datenquelle in Microsoft Purview
Bevor eine Richtlinie in Microsoft Purview für eine Datenressource erstellt werden kann, müssen Sie diese Datenressource in Microsoft Purview Studio registrieren. Die Anweisungen zum Registrieren der Datenressource finden Sie weiter unten in diesem Leitfaden.
Hinweis
Microsoft Purview-Richtlinien basieren auf dem ARM-Pfad der Datenressource. Wenn eine Datenressource in eine neue Ressourcengruppe oder ein neues Abonnement verschoben wird, muss sie die Registrierung aufheben und dann erneut in Microsoft Purview registriert werden.
Konfigurieren von Berechtigungen zum Aktivieren der Datenrichtlinienerzwingung für die Datenquelle
Sobald eine Ressource registriert wurde, aber bevor eine Richtlinie in Microsoft Purview für diese Ressource erstellt werden kann, müssen Sie Berechtigungen konfigurieren. Zum Aktivieren der Datenrichtlinienerzwingung sind eine Reihe von Berechtigungen erforderlich. Dies gilt für Datenquellen, Ressourcengruppen oder Abonnements. Um die Erzwingung von Datenrichtlinien zu aktivieren, müssen Sie sowohl über bestimmte Identitäts- und Zugriffsverwaltungsberechtigungen (IAM) für die Ressource als auch über bestimmte Microsoft Purview-Berechtigungen verfügen:
Sie müssen entweder eine der folgenden IAM-Rollenkombinationen für den Azure-Resource Manager-Pfad der Ressource oder ein übergeordnetes Element (d. a. die Iam-Berechtigungsvererbung) verwenden:
- IAM-Besitzer
- Sowohl IAM-Mitwirkender als auch IAM-Benutzerzugriffsadministrator
Befolgen Sie diese Anleitung, um Berechtigungen für die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) in Azure zu konfigurieren. Der folgende Screenshot zeigt, wie Sie auf den Abschnitt Access Control in der Azure-Portal zugreifen, damit die Datenressource eine Rollenzuweisung hinzufügen kann.
Hinweis
Die Rolle IAM-Besitzer für eine Datenressource kann von einer übergeordneten Ressourcengruppe, einem Abonnement oder einer Abonnementverwaltungsgruppe geerbt werden. Überprüfen Sie, welche Microsoft Entra Benutzer, Gruppen und Dienstprinzipale die ROLLE IAM-Besitzer für die Ressource besitzen oder erben.
Außerdem müssen Sie über die Microsoft Purview-Rolle Datenquellenadministrator für die Sammlung oder eine übergeordnete Sammlung verfügen (wenn die Vererbung aktiviert ist). Weitere Informationen finden Sie im Leitfaden zum Verwalten von Microsoft Purview-Rollenzuweisungen.
Der folgende Screenshot zeigt, wie Sie die Rolle "Datenquellenadministrator " auf der Stammsammlungsebene zuweisen.
Konfigurieren von Microsoft Purview-Berechtigungen zum Erstellen, Aktualisieren oder Löschen von Zugriffsrichtlinien
Zum Erstellen, Aktualisieren oder Löschen von Richtlinien müssen Sie die Rolle Richtlinienautor in Microsoft Purview auf Stammsammlungsebene abrufen:
- Die Rolle Richtlinienautor kann DevOps- und Datenbesitzerrichtlinien erstellen, aktualisieren und löschen.
- Die Rolle Richtlinienautor kann Self-Service-Zugriffsrichtlinien löschen.
Weitere Informationen zum Verwalten von Microsoft Purview-Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Sammlungen im Microsoft Purview Data Map.
Hinweis
Die Rolle "Richtlinienautor" muss auf der Stammsammlungsebene konfiguriert werden.
Wenn Sie beim Erstellen oder Aktualisieren des Themas einer Richtlinie problemlos Microsoft Entra Benutzer oder Gruppen durchsuchen möchten, können Sie außerdem davon profitieren, dass Sie die Berechtigung Verzeichnisleseberechtigte in Microsoft Entra ID erhalten. Dies ist eine allgemeine Berechtigung für Benutzer in einem Azure-Mandanten. Ohne die Berechtigung Verzeichnisleser muss der Richtlinienautor den vollständigen Benutzernamen oder die E-Mail-Adresse für alle Prinzipale eingeben, die im Betreff einer Datenrichtlinie enthalten sind.
Konfigurieren von Microsoft Purview-Berechtigungen für die Veröffentlichung von Datenbesitzerrichtlinien
Datenbesitzerrichtlinien ermöglichen Überprüfungen und Gleichgewichte, wenn Sie die Microsoft Purview-Richtlinienautor- und Datenquellenadministratorrollen verschiedenen Personen im organization zuweisen. Bevor eine Datenbesitzerrichtlinie wirksam wird, muss sie von einer zweiten Person (Datenquellenadministrator) überprüft und durch Veröffentlichung explizit genehmigt werden. Dies gilt nicht für DevOps- oder Self-Service-Zugriffsrichtlinien, da die Veröffentlichung automatisch erfolgt, wenn diese Richtlinien erstellt oder aktualisiert werden.
Um eine Datenbesitzerrichtlinie zu veröffentlichen, müssen Sie die Rolle Datenquellenadministrator in Microsoft Purview auf Stammsammlungsebene abrufen.
Weitere Informationen zum Verwalten von Microsoft Purview-Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Sammlungen im Microsoft Purview Data Map.
Hinweis
Zum Veröffentlichen von Datenbesitzerrichtlinien muss die Rolle Datenquellenadministrator auf der Stammsammlungsebene konfiguriert werden.
Delegieren der Verantwortung für die Zugriffsbereitstellung an Rollen in Microsoft Purview
Nachdem eine Ressource für die Erzwingung von Datenrichtlinien aktiviert wurde, kann jeder Microsoft Purview-Benutzer mit der Rolle Richtlinienautor auf der Stammsammlungsebene zugriff auf diese Datenquelle aus Microsoft Purview bereitstellen.
Hinweis
Jeder Microsoft Purview-Stammsammlungsadministrator kann neue Benutzer den Stammrollen des Richtlinienautors zuweisen. Jeder Sammlungsadministrator kann neue Benutzer einer Datenquellenadministratorrolle unter der Sammlung zuweisen. Minimieren Sie die Benutzer, die die Rollen Microsoft Purview-Sammlungsadministrator, Datenquellenadministrator oder Richtlinienautor besitzen, und überprüfen Sie sie sorgfältig.
Wenn ein Microsoft Purview-Konto mit veröffentlichten Richtlinien gelöscht wird, werden solche Richtlinien innerhalb eines Zeitraums, der von der jeweiligen Datenquelle abhängt, nicht mehr erzwungen. Diese Änderung kann Auswirkungen auf die Sicherheit und die Verfügbarkeit des Datenzugriffs haben. Die Rollen Mitwirkender und Besitzer in IAM können Microsoft Purview-Konten löschen. Sie können diese Berechtigungen überprüfen, indem Sie zum Abschnitt Zugriffssteuerung (IAM) für Ihr Microsoft Purview-Konto wechseln und Rollenzuweisungen auswählen. Sie können auch eine Sperre verwenden, um zu verhindern, dass das Microsoft Purview-Konto über Resource Manager Sperren gelöscht wird.
Registrieren des Abonnements oder der Ressourcengruppe für die Erzwingung von Datenrichtlinien
Das Abonnement oder die Ressourcengruppe muss bei Microsoft Purview registriert werden, bevor Sie Zugriffsrichtlinien erstellen können. Um Ihr Abonnement oder Ihre Ressourcengruppe zu registrieren, befolgen Sie die Schritte in den Abschnitten Voraussetzungen und Registrieren dieses Leitfadens:
Nachdem Sie Ihre Ressourcen registriert haben, müssen Sie die Option Datenrichtlinienerzwingung aktivieren. Die Erzwingung von Datenrichtlinien erfordert bestimmte Berechtigungen und kann sich auf die Sicherheit Ihrer Daten auswirken, da sie an bestimmte Microsoft Purview-Rollen delegiert wird, um den Zugriff auf die Datenquellen zu verwalten. Gehen Sie die sicheren Methoden im Zusammenhang mit der Erzwingung von Datenrichtlinien in diesem Leitfaden durch: Aktivieren der Datenrichtlinienerzwingung
Am Ende ist für Ihre Ressource die Umschaltfläche Datenrichtlinienerzwingungaktiviert, wie im Screenshot gezeigt:
Erstellen einer neuen DevOps-Richtlinie
Folgen Sie diesem Link, um die Schritte zum Erstellen einer neuen DevOps-Richtlinie in Microsoft Purview anzuzeigen.
Auflisten von DevOps-Richtlinien
Folgen Sie diesem Link, um die Schritte zum Auflisten von DevOps-Richtlinien in Microsoft Purview anzuzeigen.
Aktualisieren einer DevOps-Richtlinie
Folgen Sie diesem Link, um die Schritte zum Aktualisieren einer DevOps-Richtlinien in Microsoft Purview zu erfahren.
Löschen einer DevOps-Richtlinie
Folgen Sie diesem Link, um die Schritte zum Löschen von DevOps-Richtlinien in Microsoft Purview anzuzeigen.
Testen der DevOps-Richtlinie
Erfahren Sie, wie Sie die erstellte Richtlinie testen.
Rollendefinitionsdetails
Weitere Informationen finden Sie unter Zuordnung der DevOps-Rolle zu Datenquellenaktionen.