Compartilhar via

Aprovisionar o acesso de leitura ao Armazenamento do Microsoft Purview com políticas de proprietário de Dados do Microsoft Purview (pré-visualização)

  • Artigo

Importante

Este recurso está atualmente no modo de visualização. Os Termos de Utilização Suplementares das Pré-visualizações do Microsoft Azure incluem termos legais adicionais que se aplicam às funcionalidades do Azure que estão em versão beta, em pré-visualização ou que ainda não foram lançadas para disponibilidade geral.

As políticas de proprietário de dados são um tipo de políticas de acesso do Microsoft Purview. Permitem-lhe gerir o acesso aos dados dos utilizadores em origens que foram registadas para a Imposição de Políticas de Dados no Microsoft Purview. Estas políticas podem ser criadas diretamente no portal de governação do Microsoft Purview e, após a publicação, são impostas pela origem de dados.

Este guia aborda como um proprietário de dados pode delegar na gestão do Microsoft Purview o acesso aos conjuntos de dados do Armazenamento do Azure. Atualmente, estas duas origens de Armazenamento do Azure são suportadas:

  • Armazenamento de blobs
  • Azure Data Lake Storage (ADLS) Gen2

Pré-requisitos

Suporte de região

  • Todas as regiões do Microsoft Purview são suportadas.
  • As contas de armazenamento nas seguintes regiões são suportadas sem a necessidade de configuração adicional. No entanto, as contas de armazenamento com redundância entre zonas (ZRS) não são suportadas.
    • Austrália Central
    • Leste da Austrália
    • Sudeste da Austrália
    • Sul do Brasil
    • Canadá Central
    • Leste do Canadá
    • Índia Central
    • EUA Central
    • Leste da Ásia
    • Leste 2 dos EUA
    • Leste dos EUA
    • França Central
    • Centro-Oeste da Alemanha
    • Leste do Japão
    • Oeste do Japão
    • Coréia Central
    • Centro-Norte dos EUA
    • Norte da Europa
    • Noruega Leste
    • Polônia Central
    • Catar Central
    • Centro-Sul dos EUA
    • Norte da África do Sul
    • Sudeste da Ásia
    • Sul da Índia
    • Suécia Central
    • Suíça (Norte)
    • Centro-Oeste dos EUA
    • Europa Ocidental
    • Oeste dos EUA
    • Oeste 2 dos EUA
    • E.U.A. Oeste 3
    • Emirados Árabes Unidos Norte
    • Sul do Reino Unido
    • Oeste do Reino Unido do Reino Unido
  • As contas de armazenamento noutras regiões na Cloud Pública são suportadas após definir o sinalizador de funcionalidade AllowPurviewPolicyEnforcement, conforme descrito na secção seguinte. As contas de Armazenamento ZRS recentemente criadas são suportadas, se forem criadas depois de definir o sinalizador de funcionalidade AllowPurviewPolicyEnforcement.

Se necessário, pode criar uma nova conta de Armazenamento ao seguir este guia.

Configurar a subscrição onde reside a conta de Armazenamento do Azure para políticas do Microsoft Purview

Este passo só é necessário em determinadas regiões (ver secção anterior). Para permitir que o Microsoft Purview faça a gestão de políticas para uma ou mais contas de Armazenamento do Azure, execute os seguintes comandos do PowerShell na subscrição onde irá implementar a sua conta de Armazenamento do Azure. Estes comandos do PowerShell permitirão ao Microsoft Purview gerir políticas em todas as contas de Armazenamento do Azure nessa subscrição.

Se estiver a executar estes comandos localmente, certifique-se de que executa o PowerShell como administrador. Em alternativa, pode utilizar a Cloud Shell do Azure no portal do Azure: https://shell.azure.com.

# Install the Az module
Install-Module -Name Az -Scope CurrentUser -Repository PSGallery -Force
# Login into the subscription
Connect-AzAccount -Subscription <SubscriptionID>
# Register the feature
Register-AzProviderFeature -FeatureName AllowPurviewPolicyEnforcement -ProviderNamespace Microsoft.Storage

Se o resultado do último comando mostrar RegistrationState como Registado, a subscrição estará ativada para políticas de acesso. Se o resultado for Registar, aguarde pelo menos 10 minutos e, em seguida, repita o comando. Não continue, a menos que RegistrationState seja apresentado como Registado.

Configuração do Microsoft Purview

Registar a origem de dados no Microsoft Purview

Antes de uma política poder ser criada no Microsoft Purview para um recurso de dados, tem de registar esse recurso de dados no Microsoft Purview Studio. Encontrará as instruções relacionadas com o registo do recurso de dados mais adiante neste guia.

Observação

As políticas do Microsoft Purview dependem do caminho arm do recurso de dados. Se um recurso de dados for movido para um novo grupo de recursos ou subscrição, terá de ser desativado e registado novamente no Microsoft Purview.

Configurar permissões para ativar a imposição de políticas de dados na origem de dados

Assim que um recurso for registado, mas antes de poder criar uma política no Microsoft Purview para esse recurso, tem de configurar as permissões. É necessário um conjunto de permissões para ativar a imposição da política de dados. Isto aplica-se a origens de dados, grupos de recursos ou subscrições. Para ativar a imposição da política de dados, tem de ter privilégios específicos de Gestão de Identidades e Acessos (IAM) no recurso, bem como privilégios específicos do Microsoft Purview:

  • Tem de ter uma das seguintes combinações de funções IAM no caminho de Resource Manager do Azure do recurso ou qualquer elemento principal do mesmo (ou seja, através da herança de permissões IAM):

    • Proprietário do IAM
    • Contribuidor de IAM e Administrador de Acesso de Utilizador do IAM

    Para configurar permissões de controlo de acesso baseado em funções (RBAC) do Azure, siga este guia. A seguinte captura de ecrã mostra como aceder à secção Controle de Acesso no portal do Azure para o recurso de dados adicionar uma atribuição de função.

    Captura de ecrã a mostrar a secção no portal do Azure para adicionar uma atribuição de função.

    Observação

    A função Proprietário de IAM para um recurso de dados pode ser herdada de um grupo de recursos principal, de uma subscrição ou de um grupo de gestão de subscrições. Verifique que Microsoft Entra utilizadores, grupos e principais de serviço têm ou estão a herdar a função Proprietário do IAM do recurso.

  • Também tem de ter a função de administrador da origem de dados do Microsoft Purview para a coleção ou uma coleção principal (se a herança estiver ativada). Para obter mais informações, veja o guia sobre como gerir atribuições de funções do Microsoft Purview.

    A captura de ecrã seguinte mostra como atribuir a função de administrador da Origem de dados ao nível da coleção de raiz.

    Captura de ecrã que mostra as seleções para atribuir a função de administrador da origem de dados ao nível da coleção de raiz.

Configurar permissões do Microsoft Purview para criar, atualizar ou eliminar políticas de acesso

Para criar, atualizar ou eliminar políticas, tem de obter a função de Autor de políticas no Microsoft Purview ao nível da coleção de raiz:

  • A função de autor da Política pode criar, atualizar e eliminar políticas de DevOps e Proprietário de Dados.
  • A função de autor da Política pode eliminar políticas de acesso self-service.

Para obter mais informações sobre como gerir atribuições de funções do Microsoft Purview, consulte Criar e gerir coleções no Mapa de Dados do Microsoft Purview.

Observação

A função de autor da política tem de ser configurada ao nível da coleção de raiz.

Além disso, para procurar facilmente Microsoft Entra utilizadores ou grupos ao criar ou atualizar o assunto de uma política, pode beneficiar bastante da obtenção da permissão Leitores de Diretórios no Microsoft Entra ID. Esta é uma permissão comum para utilizadores num inquilino do Azure. Sem a permissão Leitor de Diretórios, o Autor da Política terá de escrever o nome de utilizador ou e-mail completo para todos os principais incluídos no assunto de uma política de dados.

Configurar permissões do Microsoft Purview para publicar políticas de Proprietário de Dados

As políticas de Proprietário de Dados permitem verificações e saldos se atribuir o autor da Política do Microsoft Purview e as funções de administrador da origem de dados a diferentes pessoas na organização. Antes de uma política de Proprietário de dados ter efeito, uma segunda pessoa (administrador da origem de dados) tem de revê-la e aprová-la explicitamente ao publicá-la. Isto não se aplica às políticas de acesso DevOps ou Self-service, uma vez que a publicação é automática para as mesmas quando essas políticas são criadas ou atualizadas.

Para publicar uma política de Proprietário de dados, tem de obter a função de Administrador da origem de dados no Microsoft Purview ao nível da coleção de raiz.

Para obter mais informações sobre como gerir atribuições de funções do Microsoft Purview, consulte Criar e gerir coleções no Mapa de Dados do Microsoft Purview.

Observação

Para publicar políticas de Proprietário de dados, a função de administrador da origem de dados tem de ser configurada ao nível da coleção de raiz.

Delegar a responsabilidade de aprovisionamento de acesso a funções no Microsoft Purview

Depois de um recurso ter sido ativado para a imposição da política de dados, qualquer utilizador do Microsoft Purview com a função de Autor de políticas ao nível da coleção de raiz pode aprovisionar o acesso a essa origem de dados a partir do Microsoft Purview.

Observação

Qualquer administrador da Coleção de raiz do Microsoft Purview pode atribuir novos utilizadores às funções de autor da Política de raiz. Qualquer administrador da Coleção pode atribuir novos utilizadores a uma função de administrador de Origem de dados na coleção. Minimize e analise cuidadosamente os utilizadores que detêm funções de administrador da Coleção do Microsoft Purview, Administrador da origem de dados ou Autor de políticas .

Se uma conta do Microsoft Purview com políticas publicadas for eliminada, essas políticas deixarão de ser impostas num período de tempo que dependa da origem de dados específica. Esta alteração pode ter implicações na disponibilidade de acesso a dados e segurança. As funções Contribuidor e Proprietário no IAM podem eliminar contas do Microsoft Purview. Pode marcar estas permissões ao aceder à secção Controlo de acesso (IAM) da sua conta do Microsoft Purview e selecionar Atribuições de Funções. Também pode utilizar um bloqueio para impedir que a conta do Microsoft Purview seja eliminada através de bloqueios de Resource Manager.

Registar as origens de dados no Microsoft Purview para imposição de políticas de dados

Os recursos do Armazenamento do Azure têm de ser registados primeiro no Microsoft Purview para definir políticas de acesso posteriormente.

Para registar os seus recursos, siga as secções Pré-requisitos e Registar destes guias:

Depois de registar os recursos, terá de ativar a Imposição da Política de Dados. A Imposição da Política de Dados precisa de determinadas permissões e pode afetar a segurança dos seus dados, uma vez que delega a determinadas funções do Microsoft Purview para gerir o acesso às origens de dados. Veja as práticas seguras relacionadas com a Imposição de Políticas de Dados neste guia: Como ativar a Imposição de Políticas de Dados

Assim que a origem de dados tiver o botão de alternar Imposição da Política de DadosAtivado, terá o seguinte aspeto:

Captura de ecrã que mostra como registar uma origem de dados para a política ao alternar o separador Ativar no editor de recursos.

Criar e publicar uma política de proprietário de dados

Execute os passos nas secções Criar uma nova política e Publicar uma política do tutorial de criação de políticas de proprietário de dados. O resultado será uma política de proprietário de dados semelhante ao exemplo mostrado na imagem: uma política que fornece ao grupo Acesso de leitura da Equipa Contoso ao Marketinglake1 da conta de armazenamento:

Captura de ecrã que mostra uma política de proprietário de dados de exemplo que dá acesso a uma conta de Armazenamento do Azure.

Importante

  • Publicar é uma operação em segundo plano. As contas de Armazenamento do Azure podem demorar até 2 horas a refletir as alterações.

Anular a publicação de uma política de proprietário de dados

Siga esta ligação para obter os passos para anular a publicação de uma política de proprietário de dados no Microsoft Purview.

Atualizar ou eliminar uma política de proprietário de dados

Siga esta ligação para obter os passos para atualizar ou eliminar uma política de proprietário de dados no Microsoft Purview.

Consumo de Dados

  • O consumidor de dados pode aceder ao conjunto de dados pedido através de ferramentas como o Power BI ou a área de trabalho do Azure Synapse Analytics.
  • Os comandos Copiar e Clonar no Gerenciador de Armazenamento do Azure requerem outras permissões de IAM para funcionar, além da política Permitir Modificação do Purview. Forneça a permissão Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action no IAM para o principal Microsoft Entra.
  • Acesso de subcontentor: as instruções de política definidas abaixo do nível do contentor numa conta de Armazenamento são suportadas. No entanto, os utilizadores não poderão navegar para o recurso de dados com o Browser de Armazenamento ou a ferramenta Gerenciador de Armazenamento do Microsoft Azure do portal do Azure se o acesso for concedido apenas ao nível do ficheiro ou da pasta da conta de Armazenamento do Azure. Isto acontece porque estas aplicações tentam pesquisar pela hierarquia a partir do nível do contentor e o pedido falha porque não foi concedido acesso a esse nível. Em vez disso, a Aplicação que pede os dados tem de executar um acesso direto ao fornecer um nome completamente qualificado ao objeto de dados. Os documentos seguintes mostram exemplos de como efetuar um acesso direto. Veja também os blogues na secção Passos seguintes deste manual de instruções.

Informações adicionais

  • Criar uma política ao nível da Conta de armazenamento permite que os Requerentes acedam aos contentores do sistema, por exemplo , $logs. Se isto não for desejado, analise primeiro as origens de dados e, em seguida, crie políticas mais detalhadas para cada uma (ou seja, ao nível do contentor ou do subcontentor).
  • O blob de raiz num contentor estará acessível aos principais de Microsoft Entra numa política RBAC do tipo de permissão do Microsoft Purview se o âmbito dessa política for subscrição, grupo de recursos, Conta de armazenamento ou contentor na Conta de armazenamento.
  • O contentor de raiz numa conta de Armazenamento estará acessível aos principais Microsoft Entra numa política RBAC do tipo de permissão do Microsoft Purview se o âmbito dessa política for subscrição, grupo de recursos ou Conta de armazenamento.

Limites

  • O limite das políticas do Microsoft Purview que podem ser impostas pelas Contas de armazenamento é de 100 MB por subscrição, o que equivale aproximadamente a 5000 políticas.

Problemas conhecidos

Problemas conhecidos relacionados com a criação de Políticas

  • Não crie declarações de política com base nos conjuntos de recursos do Microsoft Purview. Mesmo que sejam apresentados na IU de criação de políticas do Microsoft Purview, ainda não são impostas. Saiba mais sobre os conjuntos de recursos.

Mapeamento de ações de política

Esta secção contém uma referência de como as ações nas políticas de dados do Microsoft Purview mapeiam a ações específicas no Armazenamento do Azure.

Ação de política do Microsoft Purview Ações específicas da origem de dados
Leitura Microsoft.Storage/storageAccounts/blobServices/containers/read
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read
Modificar Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/move/action
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete
Microsoft.Storage/storageAccounts/blobServices/containers/read
Microsoft.Storage/storageAccounts/blobServices/containers/write
Microsoft.Storage/storageAccounts/blobServices/containers/delete

Próximas etapas

Veja o blogue, a demonstração e os tutoriais relacionados: