Aprovisionar o acesso aos metadados do sistema no Instância Gerenciada de SQL do Azure com as políticas de DevOps do Microsoft Purview
As políticas de DevOps são um tipo de políticas de acesso do Microsoft Purview. Permitem-lhe gerir o acesso aos metadados do sistema em origens de dados que foram registadas para a aplicação da política de dados no Microsoft Purview. Estas políticas são configuradas diretamente a partir do portal de governação do Microsoft Purview e, após serem guardadas, são publicadas automaticamente e, em seguida, impostas pela origem de dados. As políticas do Microsoft Purview só gerem o acesso para Microsoft Entra principais.
Este guia de procedimentos aborda como configurar Instância Gerenciada de SQL do Azure para impor políticas criadas no Microsoft Purview. Abrange os passos de configuração para SQL do Azure MI e os do Microsoft Purview para aprovisionar o acesso aos metadados do sistema mi SQL do Azure (DMVs e DMFs) através das ações de políticas de DevOps Monitorização do Desempenho do SQL ou Auditoria de Segurança do SQL.
Pré-requisitos
Uma conta do Azure com uma subscrição ativa. Crie uma conta gratuitamente.
Uma conta do Microsoft Purview nova ou existente. Siga este guia de início rápido para criar um.
- Crie uma nova SQL do Azure MI ou utilize uma existente numa das regiões atualmente disponíveis para esta funcionalidade. Pode seguir este guia para criar um novo SQL do Azure MI.
Suporte de região
Todas as regiões do Microsoft Purview são suportadas.
A imposição de políticas do Microsoft Purview só está disponível nas seguintes regiões para SQL do Azure MI:
Cloud pública:
- Leste dos EUA
- E.U.A. Leste2
- Centro-Sul dos EUA
- Centro-Oeste dos EUA
- E.U.A. Oeste3
- Canadá Central
- Sul do Brasil
- Europa Ocidental
- Norte da Europa
- França Central
- Sul do Reino Unido
- Norte da África do Sul
- Índia Central
- Sudeste Asiático
- Leste da Ásia
- Leste da Austrália
configuração SQL do Azure MI
Esta secção explica como pode configurar SQL do Azure MI para respeitar as políticas do Microsoft Purview. Verifique primeiro se SQL do Azure MI está configurado para o ponto final público ou privado. Este guia explica como fazê-lo.
Configuração para o ponto final público mi do SQL
Se SQL do Azure MI estiver configurado para o ponto final público, siga estes passos:
Configure um Microsoft Entra Administração. No portal do Azure navegue para o SQL do Azure MI e, em seguida, navegue para Microsoft Entra ID no menu lateral (anteriormente denominado administrador do Active Directory). Defina um nome de Administração e, em seguida, selecione Guardar.
Em seguida, navegue para Identidade no menu lateral. Em Identidade gerida atribuída pelo sistema marcar status a Ativado e, em seguida, selecione Guardar. Veja captura de ecrã:
Configuração do ponto final privado mi do SQL
Se SQL do Azure MI estiver configurado para utilizar o ponto final privado, execute os mesmos passos descritos na configuração para o ponto final público e, além disso, faça o seguinte:
Navegue para o Grupo de Segurança de Rede (NSG) associado à sua SQL do Azure MI.
Adicione uma regra de segurança de saída semelhante à da captura de ecrã seguinte. Destination = Service Tag, Destination service tag = MicrosoftPurviewPolicyDistribution, Service = HTTPS, Action = Allow. Certifique-se também de que a prioridade desta regra é inferior à da regra de deny_all_outbound .
Configuração do Microsoft Purview
Registar a origem de dados no Microsoft Purview
Antes de uma política poder ser criada no Microsoft Purview para um recurso de dados, tem de registar esse recurso de dados no Microsoft Purview Studio. Encontrará as instruções relacionadas com o registo do recurso de dados mais adiante neste guia.
Observação
As políticas do Microsoft Purview dependem do caminho arm do recurso de dados. Se um recurso de dados for movido para um novo grupo de recursos ou subscrição, terá de ser desativado e registado novamente no Microsoft Purview.
Configurar permissões para ativar a imposição de políticas de dados na origem de dados
Assim que um recurso for registado, mas antes de poder criar uma política no Microsoft Purview para esse recurso, tem de configurar as permissões. É necessário um conjunto de permissões para ativar a imposição da política de dados. Isto aplica-se a origens de dados, grupos de recursos ou subscrições. Para ativar a imposição da política de dados, tem de ter privilégios específicos de Gestão de Identidades e Acessos (IAM) no recurso, bem como privilégios específicos do Microsoft Purview:
Tem de ter uma das seguintes combinações de funções IAM no caminho de Resource Manager do Azure do recurso ou qualquer elemento principal do mesmo (ou seja, através da herança de permissões IAM):
- Proprietário do IAM
- Contribuidor de IAM e Administrador de Acesso de Utilizador do IAM
Para configurar permissões de controlo de acesso baseado em funções (RBAC) do Azure, siga este guia. A seguinte captura de ecrã mostra como aceder à secção Controle de Acesso no portal do Azure para o recurso de dados adicionar uma atribuição de função.
Observação
A função Proprietário de IAM para um recurso de dados pode ser herdada de um grupo de recursos principal, de uma subscrição ou de um grupo de gestão de subscrições. Verifique que Microsoft Entra utilizadores, grupos e principais de serviço têm ou estão a herdar a função Proprietário do IAM do recurso.
Também tem de ter a função de administrador da origem de dados do Microsoft Purview para a coleção ou uma coleção principal (se a herança estiver ativada). Para obter mais informações, veja o guia sobre como gerir atribuições de funções do Microsoft Purview.
A captura de ecrã seguinte mostra como atribuir a função de administrador da Origem de dados ao nível da coleção de raiz.
Configurar permissões do Microsoft Purview para criar, atualizar ou eliminar políticas de acesso
Para criar, atualizar ou eliminar políticas, tem de obter a função de Autor de políticas no Microsoft Purview ao nível da coleção de raiz:
- A função de autor da Política pode criar, atualizar e eliminar políticas de DevOps e Proprietário de Dados.
- A função de autor da Política pode eliminar políticas de acesso self-service.
Para obter mais informações sobre como gerir atribuições de funções do Microsoft Purview, consulte Criar e gerir coleções no Mapa de Dados do Microsoft Purview.
Observação
A função de autor da política tem de ser configurada ao nível da coleção de raiz.
Além disso, para procurar facilmente Microsoft Entra utilizadores ou grupos ao criar ou atualizar o assunto de uma política, pode beneficiar bastante da obtenção da permissão Leitores de Diretórios no Microsoft Entra ID. Esta é uma permissão comum para utilizadores num inquilino do Azure. Sem a permissão Leitor de Diretórios, o Autor da Política terá de escrever o nome de utilizador ou e-mail completo para todos os principais incluídos no assunto de uma política de dados.
Configurar permissões do Microsoft Purview para publicar políticas de Proprietário de Dados
As políticas de Proprietário de Dados permitem verificações e saldos se atribuir o autor da Política do Microsoft Purview e as funções de administrador da origem de dados a diferentes pessoas na organização. Antes de uma política de Proprietário de dados ter efeito, uma segunda pessoa (administrador da origem de dados) tem de revê-la e aprová-la explicitamente ao publicá-la. Isto não se aplica às políticas de acesso DevOps ou Self-service, uma vez que a publicação é automática para as mesmas quando essas políticas são criadas ou atualizadas.
Para publicar uma política de Proprietário de dados, tem de obter a função de Administrador da origem de dados no Microsoft Purview ao nível da coleção de raiz.
Para obter mais informações sobre como gerir atribuições de funções do Microsoft Purview, consulte Criar e gerir coleções no Mapa de Dados do Microsoft Purview.
Observação
Para publicar políticas de Proprietário de dados, a função de administrador da origem de dados tem de ser configurada ao nível da coleção de raiz.
Delegar a responsabilidade de aprovisionamento de acesso a funções no Microsoft Purview
Depois de um recurso ter sido ativado para a imposição da política de dados, qualquer utilizador do Microsoft Purview com a função de Autor de políticas ao nível da coleção de raiz pode aprovisionar o acesso a essa origem de dados a partir do Microsoft Purview.
Observação
Qualquer administrador da Coleção de raiz do Microsoft Purview pode atribuir novos utilizadores às funções de autor da Política de raiz. Qualquer administrador da Coleção pode atribuir novos utilizadores a uma função de administrador de Origem de dados na coleção. Minimize e analise cuidadosamente os utilizadores que detêm funções de administrador da Coleção do Microsoft Purview, Administrador da origem de dados ou Autor de políticas .
Se uma conta do Microsoft Purview com políticas publicadas for eliminada, essas políticas deixarão de ser impostas num período de tempo que dependa da origem de dados específica. Esta alteração pode ter implicações na disponibilidade de acesso a dados e segurança. As funções Contribuidor e Proprietário no IAM podem eliminar contas do Microsoft Purview. Pode marcar estas permissões ao aceder à secção Controlo de acesso (IAM) da sua conta do Microsoft Purview e selecionar Atribuições de Funções. Também pode utilizar um bloqueio para impedir que a conta do Microsoft Purview seja eliminada através de bloqueios de Resource Manager.
Registar as origens de dados no Microsoft Purview
A Instância Gerenciada de SQL do Azure origem de dados tem de ser registada primeiro no Microsoft Purview, antes de poder criar políticas de acesso. Pode seguir as secções "Pré-requisitos" e "Registar a origem de dados" neste guia: Registar e analisar SQL do Azure MI.
Depois de registar os recursos, terá de ativar a imposição da política de dados (anteriormente Gestão de Utilização de Dados). A imposição da política de dados precisa de determinadas permissões e pode afetar a segurança dos seus dados, uma vez que delega a determinadas funções do Microsoft Purview a capacidade de gerir o acesso a origens de dados. Veja as práticas seguras relacionadas com a imposição de políticas de dados neste guia: Como ativar a imposição de políticas
Assim que a origem de dados tiver o botão de ativar a imposição da política de dadosAtivado, terá o aspeto desta captura de ecrã. Isto permitirá que as políticas de acesso sejam utilizadas com a origem de dados especificada.
Regresse ao portal do Azure da Base de Dados do SQL do Azure para verificar se está agora regido pelo Microsoft Purview:
Inicie sessão no portal do Azure através desta ligação
Selecione o servidor SQL do Azure que pretende configurar.
Aceda a Microsoft Entra ID no painel esquerdo.
Desloque-se para baixo até às políticas de acesso do Microsoft Purview.
Selecione o botão para Procurar Governação do Microsoft Purview. Aguarde enquanto o pedido é processado. Pode demorar alguns minutos.
Confirme que o Estado de Governação do Microsoft Purview mostra
Governed. Tenha em atenção que poderá demorar alguns minutos após ativar a imposição da política de dados no Microsoft Purview para que a status correta seja refletida.
Observação
Se desativar a Imposição da política de dados para este SQL do Azure origem de dados da Base de Dados, poderá demorar até 24 horas para que o Estado de Governação do Microsoft Purview seja atualizado automaticamente para Not Governedo . Isto pode ser acelerado ao selecionar Verificar Governação do Microsoft Purview. Antes de ativar a Imposição da política de dados para a origem de dados noutra conta do Microsoft Purview, certifique-se de que o Estado de Governação do Purview é apresentado como Not Governed. Em seguida, repita os passos acima com a nova conta do Microsoft Purview.
Criar uma nova política de DevOps
Siga esta ligação para obter os passos para criar uma nova política de DevOps no Microsoft Purview.
Listar políticas de DevOps
Siga esta ligação para obter os passos para listar políticas de DevOps no Microsoft Purview.
Atualizar uma política de DevOps
Siga esta ligação para obter os passos para atualizar políticas de DevOps no Microsoft Purview.
Eliminar uma política de DevOps
Siga esta ligação para obter os passos para eliminar políticas de DevOps no Microsoft Purview.
Importante
As políticas de DevOps são publicadas automaticamente e as alterações podem demorar até 5 minutos a serem impostas pela origem de dados.
Testar a política de DevOps
Veja como testar a política que criou.
Detalhes da definição da função
Veja o mapeamento da função de DevOps para ações de origem de dados.