Conceder permisos de modelo o de cubo (Analysis Services)

Artículo
11/10/2015

Un cubo o modelo tabular es el objeto de consulta principal en un modelo de datos de Analysis Services. Al conectarse a los datos tabulares o multidimensionales de Excel para realizar una exploración de datos ad hoc, los usuarios suelen comenzar seleccionando un determinado modelo tabular o cubo como estructura de datos detrás del objeto de informes dinámicos. En este tema se explica cómo conceder los permisos necesarios para acceder a los datos tabulares o de cubo.

De forma predeterminada, solo un administrador de servidor o administrador de base de datos tiene permiso para consultar los cubos de una base de datos. El acceso a un cubo por parte de un usuario no administrador requiere la pertenencia a un rol creado para la base de datos que contiene el cubo. La pertenencia se admite en las cuentas de grupos o usuarios de Windows, que se define en Active Directory o en el equipo local. Antes de empezar, identifique las cuentas a las que se asignará la pertenencia a los roles que está a punto de crear.

Si tiene acceso de Read a un cubo, también se transmiten los permisos a las dimensiones, grupos de medida y perspectivas dentro de él. La mayoría de los administradores concederán permisos de lectura en el nivel de cubo y, a continuación, restringirán los permisos en objetos concretos, datos asociados o por identidad de usuario.

Para conservar las definiciones de rol mediante implementaciones sucesivas de soluciones, una práctica recomendada es definir roles en SQL Server Data Tools como parte integral del modelo y, posteriormente, que un administrador de base de datos asigne pertenencias a roles en SQL Server Management Studio tras la publicación de la base de datos. No obstante, puede usar cualquier herramienta para ambas tareas. Para simplificar el ejercicio, usaremos SQL Server Management Studio para la pertenencia y la definición de roles.

[!NOTA]

Sólo los administradores de servidor o los administradores de base de datos que tienen los permisos de Control total pueden implementar un cubo desde archivos de origen a un servidor o crear roles y asignar miembros. Vea Conceder permisos de administrador de servidor (Analysis Services) y Conceder permisos de base de datos (Analysis Services) para obtener información detallada acerca de estos niveles de permiso.

Paso 1: Crear el rol

En SSMS, conéctese a Analysis Services. Consulte Conectarse desde aplicaciones cliente (Analysis Services) si necesita ayuda con este paso.
Abra la carpeta Bases de datos en el Explorador de objetos y seleccione una base de datos.
Haga clic con el botón secundario en Roles y seleccione Nuevo rol. Tenga en cuenta que los roles se crean a nivel de la base de datos y se aplican a los objetos que se encuentran dentro de ella. No puede compartir roles entre las bases de datos.
En el panel General, indique un nombre y, de manera opcional, una descripción. Este panel también contiene varios permisos de base de datos, como por ejemplo Control total, Procesar base de datos y Leer definición. No se necesita ninguno de estos permisos para consultar un cubo o modelo tabular. Vea Conceder permisos de base de datos (Analysis Services) para obtener más información acerca de estos permisos.
Continúe con el siguiente paso tras introducir un nombre y una descripción opcional.

Paso 2: Asignar la pertenencia

En el panel Pertenencia, haga clic en Agregar para indicar las cuentas de grupo o usuario de Windows que accederán al cubo con este rol. Analysis Services sólo admite las identidades de seguridad de Windows. Tenga en cuenta que en este paso no está creando ningún inicio de sesión de base de datos. En Analysis Services, los usuarios se conectan con cuentas de Windows.
Continúe con el siguiente paso, Establecer permisos de cubo.

Tenga en cuenta que se está omitiendo el panel Origen de datos. La mayoría los consumidores habituales de datos de Analysis Services no necesitan permisos en el objeto de origen de datos. Vea Conceder permisos en un objeto de origen de datos (Analysis Services) para obtener información detallada sobre cuándo puede establecer este permiso.

Paso 3: Establecer permisos de cubo

En el panel Cubos, seleccione un cubo y haga clic en el acceso Lectura o Lectura y escritura.

El acceso Lectura es suficiente para la mayoría de las operaciones. Lectura y escritura sólo se usa para la reescritura, y no para el procesamiento. Vea Establecer la reescritura de particiones para obtener más información acerca de esta capacidad.

Tenga en cuenta que puede seleccionar varios cubos, así como otros objetos disponibles en el cuadro de diálogo Crear rol. Si concede permisos a un cubo se autorizará el acceso a las dimensiones y a las perspectivas asociadas al cubo. No es necesario agregar de forma manual objetos ya representados en el cubo.

Si tiene que cambiar la autorización por objetos o usuario, por ejemplo para hacer que ciertas medidas no estén disponibles, puede permitir o denegar el acceso atómicamente en objetos específicos, incluso en las celdas. Vea Conceder acceso personalizado a los datos de dimensiones (Analysis Services) y Conceder acceso personalizado a los datos de las celdas (Analysis Services) para obtener información más detallada.
En este punto, tras hacer clic en Aceptar, todos los miembros de este rol tienen acceso a los cubos, en los niveles de permisos que ha especificado.

Observe que en el panel Cubos puede conceder permiso a los usuarios para crear cubos locales desde un cubo del servidor a través de Obtención de detalles y cubo local o permitir únicamente la obtención de detalles a través del permiso Obtención de detalles.

Por último, este panel le permite conceder derechos de Procesar base de datos en el cubo para proporcionar a todos los miembros de este rol la capacidad de procesar los datos de este cubo. Dado que el procesamiento acostumbra a ser una operación restringida, le recomendamos que encomiende esta tarea a los administradores o que defina roles independientes específicos para dicha tarea. Vea Conceder permisos de procesamiento (Analysis Services) para obtener más información acerca de las prácticas recomendadas del permiso de procesamiento.

Paso 4: Probar

Use Excel para probar los permisos de acceso al cubo. También puede usar SQL Server Management Studio, siguiendo la misma técnica que se describe a continuación: ejecutar la aplicación como usuario no administrador.

[!NOTA]

Si es un administrador de Analysis Services, los permisos de administrador se combinarán con roles con menos permisos, lo que dificultará probar los permisos de rol de forma aislada. Para simplificar la prueba, le sugerimos que abra una segunda instancia de SSMS utilizando la cuenta asignada al rol que está probando.
Mantenga presionada la tecla MAYÚS y haga clic con el botón secundario en el acceso directo Excel para tener acceso a la opción Ejecutar como otro usuario. Introduzca una de las cuentas de grupos o usuarios de Windows que tengan la pertenencia en este rol.
Cuando se abra Excel use la pestaña Datos para conectarse a Analysis Services. Está ejecutando Excel como un usuario de Windows distinto; por ello, la opción Usar la autenticación de Windows es el tipo de credencial correcto para probar los roles. Consulte Conectarse desde aplicaciones cliente (Analysis Services) si necesita ayuda con este paso.

Si se producen errores en la conexión, compruebe la configuración del puerto de Analysis Services y verifique que el servidor acepta las conexiones remotas. Vea Configurar Firewall de Windows para permitir el acceso a Analysis Services para obtener la configuración del puerto.

Paso 5: Incluir definiciones y asignaciones de rol

Como paso final, debe generar un script que capture la definición de rol que acaba de crear.

Si vuelve a implementar un proyecto de SQL Server Data Tools se sobrescribirá cualquier rol o pertenencias a roles que no se hayan definido en el proyecto. La forma más rápida de volver a generar roles y pertenencias a roles después de volver a implementar es a través de un script.
En SSMS, navegue hasta la carpeta Roles y haga clic con el botón secundario en un rol existente.
Seleccione Incluir rol como | CREAR PARA | archivo.
Guarde el archivo con la extensión .xmla. Para probar el script, elimine el rol actual, abra el archivo en SSMS y presione F5 para ejecutar el script.