Aprovisionamiento del acceso a grupos de recursos completos o suscripciones mediante directivas de propietario de datos de Microsoft Purview (versión preliminar)
Importante
Esta característica está actualmente en versión preliminar. Los Términos de uso complementarios para las versiones preliminares de Microsoft Azure incluyen términos legales adicionales que se aplican a las características de Azure que están en versión beta, en versión preliminar o que aún no se han publicado en disponibilidad general.
Las directivas de propietario de datos son un tipo de directivas de acceso de Microsoft Purview. Permiten administrar el acceso a los datos de usuario en los orígenes que se han registrado para la aplicación de directivas de datos en Microsoft Purview. Estas directivas se pueden crear directamente en el portal de gobernanza de Microsoft Purview y, después de publicarlas, el origen de datos las aplica.
En esta guía se explica cómo registrar un grupo de recursos completo o una suscripción y, a continuación, crear una única directiva que administrará el acceso a todos los orígenes de datos de ese grupo de recursos o suscripción. Esa única directiva cubrirá todos los orígenes de datos existentes y los orígenes de datos que se creen posteriormente.
Requisitos previos
Una cuenta de Azure con una suscripción activa. Cree una cuenta de forma gratuita.
Una cuenta de Microsoft Purview nueva o existente. Siga esta guía de inicio rápido para crear una.
Solo estos orígenes de datos están habilitados para las directivas de acceso en el grupo de recursos o la suscripción. Siga la sección Requisitos previos que es específica de los orígenes de datos de estas guías:
- Directivas de propietario de datos en una cuenta de Azure Storage
- Directivas de propietario de datos en una base de datos de Azure SQL(*)
- Directivas de propietario de datos en una SQL Server habilitada para Azure Arc(*)
(*) La acción Modificar no se admite actualmente para orígenes de datos de tipo SQL.
Configuración de Microsoft Purview
Registro del origen de datos en Microsoft Purview
Para poder crear una directiva en Microsoft Purview para un recurso de datos, debe registrar ese recurso de datos en Microsoft Purview Studio. Encontrará las instrucciones relacionadas con el registro del recurso de datos más adelante en esta guía.
Nota:
Las directivas de Microsoft Purview se basan en la ruta de acceso de ARM del recurso de datos. Si un recurso de datos se mueve a un nuevo grupo de recursos o una suscripción, deberá anular su registro y volver a registrarse en Microsoft Purview.
Configuración de permisos para habilitar la aplicación de directivas de datos en el origen de datos
Una vez registrado un recurso, pero antes de que se pueda crear una directiva en Microsoft Purview para ese recurso, debe configurar los permisos. Se necesita un conjunto de permisos para habilitar la aplicación de directivas de datos. Esto se aplica a orígenes de datos, grupos de recursos o suscripciones. Para habilitar la aplicación de directivas de datos, debe tener privilegios específicos de Administración de identidades y acceso (IAM) en el recurso, así como privilegios específicos de Microsoft Purview:
Debe tener una de las siguientes combinaciones de roles de IAM en la ruta de acceso de Azure Resource Manager del recurso o en cualquier elemento primario del mismo (es decir, mediante la herencia de permisos de IAM):
- Propietario de IAM
- Colaborador de IAM y administrador de acceso de usuarios de IAM
Para configurar permisos de control de acceso basado en rol (RBAC) de Azure, siga esta guía. En la captura de pantalla siguiente se muestra cómo acceder a la sección Access Control de la Azure Portal para que el recurso de datos agregue una asignación de roles.
Nota:
El rol Propietario de IAM para un recurso de datos se puede heredar de un grupo de recursos primario, una suscripción o un grupo de administración de suscripciones. Compruebe qué Microsoft Entra usuarios, grupos y entidades de servicio contienen o heredan el rol propietario de IAM para el recurso.
También debe tener el rol de administrador de origen de datos de Microsoft Purview para la colección o una colección primaria (si la herencia está habilitada). Para obtener más información, consulte la guía sobre la administración de asignaciones de roles de Microsoft Purview.
En la captura de pantalla siguiente se muestra cómo asignar el rol de administrador de origen de datos en el nivel de colección raíz.
Configuración de permisos de Microsoft Purview para crear, actualizar o eliminar directivas de acceso
Para crear, actualizar o eliminar directivas, debe obtener el rol de autor de directivas en Microsoft Purview en el nivel de colección raíz:
- El rol de autor de directivas puede crear, actualizar y eliminar directivas de DevOps y propietario de datos.
- El rol de autor de directivas puede eliminar directivas de acceso de autoservicio.
Para obtener más información sobre cómo administrar asignaciones de roles de Microsoft Purview, consulte Creación y administración de colecciones en el Mapa de datos de Microsoft Purview.
Nota:
El rol de autor de directiva debe configurarse en el nivel de colección raíz.
Además, para buscar fácilmente Microsoft Entra usuarios o grupos al crear o actualizar el asunto de una directiva, puede beneficiarse en gran medida de obtener el permiso Lectores de directorio en Microsoft Entra ID. Se trata de un permiso común para los usuarios de un inquilino de Azure. Sin el permiso Lector de directorios, el autor de la directiva tendrá que escribir el nombre de usuario completo o el correo electrónico de todas las entidades de seguridad incluidas en el asunto de una directiva de datos.
Configuración de permisos de Microsoft Purview para publicar directivas de propietario de datos
Las directivas de propietario de datos permiten comprobaciones y saldos si asigna los roles de autor de directiva de Microsoft Purview y Administrador de origen de datos a diferentes personas de la organización. Antes de que se aplique una directiva de propietario de datos, una segunda persona (administrador del origen de datos) debe revisarla y aprobarla explícitamente publicándola. Esto no se aplica a las directivas de acceso de DevOps o autoservicio, ya que la publicación es automática para ellas cuando se crean o actualizan esas directivas.
Para publicar una directiva de propietario de datos, debe obtener el rol Administrador del origen de datos en Microsoft Purview en el nivel de recopilación raíz.
Para obtener más información sobre cómo administrar asignaciones de roles de Microsoft Purview, consulte Creación y administración de colecciones en el Mapa de datos de Microsoft Purview.
Nota:
Para publicar directivas de propietario de datos, el rol de administrador del origen de datos debe configurarse en el nivel de recopilación raíz.
Delegar la responsabilidad de aprovisionamiento de acceso a roles en Microsoft Purview
Una vez habilitado un recurso para la aplicación de directivas de datos, cualquier usuario de Microsoft Purview con el rol De autor de directivas en el nivel de recopilación raíz puede aprovisionar el acceso a ese origen de datos desde Microsoft Purview.
Nota:
Cualquier administrador de colección raíz de Microsoft Purview puede asignar nuevos usuarios a roles de autor de directiva raíz. Cualquier administrador de recopilación puede asignar nuevos usuarios a un rol de administrador de origen de datos en la colección. Minimice y examine cuidadosamente a los usuarios que tienen roles de administrador de Microsoft Purview Collection, administrador de origen de datos o autor de directivas .
Si se elimina una cuenta de Microsoft Purview con directivas publicadas, dichas directivas dejarán de aplicarse en un período de tiempo que depende del origen de datos específico. Este cambio puede tener implicaciones en la disponibilidad de acceso a datos y seguridad. Los roles Colaborador y Propietario de IAM pueden eliminar cuentas de Microsoft Purview. Para comprobar estos permisos, vaya a la sección Control de acceso (IAM) de su cuenta de Microsoft Purview y seleccione Asignaciones de roles. También puede usar un bloqueo para evitar que la cuenta de Microsoft Purview se elimine mediante bloqueos de Resource Manager.
Registro de la suscripción o el grupo de recursos para la aplicación de directivas de datos
La suscripción o el grupo de recursos deben registrarse en Microsoft Purview para poder crear directivas de acceso. Para registrar la suscripción o el grupo de recursos, siga las secciones Requisitos previos y registro de esta guía:
Una vez que haya registrado los recursos, tendrá que habilitar la aplicación de directivas de datos. La aplicación de directivas de datos necesita ciertos permisos y puede afectar a la seguridad de los datos, ya que delega a determinados roles de Microsoft Purview para administrar el acceso a los orígenes de datos. Consulte las prácticas seguras relacionadas con el cumplimiento de directivas de datos en esta guía: Habilitación del cumplimiento de directivas de datos
Al final, el recurso tendrá habilitado el botón de alternancia Cumplimiento de directivas de datos, como se muestra en la captura de pantalla:
Creación y publicación de una directiva de propietario de datos
Ejecute los pasos descritos en las secciones Crear una nueva directiva y Publicar una directiva del tutorial de creación de directivas de propietario de datos. El resultado será una directiva de propietario de datos similar al ejemplo que se muestra en la imagen: una directiva que proporciona al grupo de seguridad sg-Financemodificar el acceso al grupo de recursos finance-rg. Use el cuadro Origen de datos en la experiencia del usuario de directiva.
Importante
- Publicar es una operación en segundo plano. Por ejemplo, las cuentas de Azure Storage pueden tardar hasta 2 horas en reflejar los cambios.
- Cambiar una directiva no requiere una nueva operación de publicación. Los cambios se recogerán con la siguiente extracción.
Anular publicación de una directiva de propietario de datos
Siga este vínculo para ver los pasos para anular la publicación de una directiva de propietario de datos en Microsoft Purview.
Actualización o eliminación de una directiva de propietario de datos
Siga este vínculo para ver los pasos para actualizar o eliminar una directiva de propietario de datos en Microsoft Purview.
Información adicional
- La creación de una directiva en el nivel de suscripción o grupo de recursos permitirá a los sujetos acceder a los contenedores del sistema de Azure Storage, por ejemplo, $logs. Si no se desea, primero examine el origen de datos y, a continuación, cree directivas más detalladas para cada una de ellas (es decir, en el nivel de contenedor o subcontecer).
Límites
El límite para las directivas de Microsoft Purview que las cuentas de almacenamiento pueden aplicar es de 100 MB por suscripción, lo que equivale aproximadamente a 5000 directivas.
Pasos siguientes
Consulte el blog, la demostración y los tutoriales relacionados:
- Documento: Conceptos de las directivas de propietario de datos de Microsoft Purview
- Blog: La gobernanza de nivel de grupo de recursos puede reducir significativamente el esfuerzo
- Vídeo: Demostración de las directivas de acceso del propietario de datos para Azure Storage
- Blog: Conceder a los usuarios acceso a los recursos de datos de la empresa a través de la API