Skydda känsliga data i SQL Database med Microsoft Purview-skyddsprinciper
Gäller för:✅SQL-databas i Microsoft Fabric
Microsoft Purview är en serie datastyrnings-, risk- och efterlevnadslösningar som kan hjälpa din organisation att styra, skydda och hantera dataegendom. Med Microsoft Purview kan du bland annat märka dina SQL-databasobjekt med känslighetsetiketter och definiera skyddsprinciper som styr åtkomsten baserat på känslighetsetiketter.
Den här artikeln beskriver hur Microsoft Purview-skyddsprinciper fungerar tillsammans med Åtkomstkontroller för Microsoft Fabric och SQL-åtkomstkontroller i SQL Database i Microsoft Fabric.
Allmän information om Microsoft Purview-funktioner för Microsoft Fabric, inklusive SQL-databas, finns i artiklarna i Relaterat innehåll.
Så här fungerar skyddsprinciper i SQL Database
Varje skyddsprincip för Microsoft Fabric är associerad med en känslighetsetikett. En skyddsprincip styr åtkomsten till objekt som har den associerade etiketten via två åtkomstkontroller:
Tillåt användare att behålla läsåtkomst – När det är aktiverat kan de angivna användarna (eller de användare som tillhör de angivna grupperna) behålla behörigheten Läs objekt på etiketterade objekt om de angivna användarna redan har behörigheten. Andra behörigheter som de angivna användarna har för objektet tas bort. I SQL-databasen krävs behörigheten Läsa objekt för att en användare ska kunna ansluta till en databas. Om en användare inte har angetts i den här åtkomstkontrollen kan användaren därför inte ansluta till databasen.
Tillåt användare att behålla fullständig kontroll – När det är aktiverat kan de angivna användarna (eller de användare som tillhör de angivna grupperna) behålla fullständig kontroll över det märkta objektet om de angivna användarna redan har det eller andra behörigheter som de kan ha. För SQL-databasobjekt tillåter den här kontrollen användare att behålla behörigheten Skrivobjekt, vilket innebär att användaren behåller fullständig administrativ åtkomst i databasen. Om en användare inte anges i den här åtkomstkontrollen tas behörigheten Skrivobjekt bort från användaren. Den här kontrollen påverkar inte användarens inbyggda SQL-behörigheter i databasen – mer information finns i Exempel 4 och Begränsningar.
Exempel
Exemplen i det här avsnittet delar följande konfiguration:
- En organisation har en Microsoft Fabric-arbetsyta med namnet Produktion.
- Arbetsytan innehåller ett SQL-databasobjekt med namnet Sales som har känslighetsetiketten Konfidentiellt.
- I Microsoft Purview finns det en skyddsprincip som gäller för Microsoft Fabric. Principen är associerad med känslighetsetiketten Konfidentiellt.
Exempel 1
- En användare är medlem i rollen Deltagare för arbetsytan Produktion.
- Behörighetskontrollen Tillåt användare att behålla läsåtkomst är aktiverad, men den innehåller inte användaren.
- Åtkomstkontrollen Tillåt användare att behålla fullständig kontroll är inaktiverad/inaktiv.
Principen tar bort användarens behörighet för läsobjekt, därför kan användaren inte ansluta till databasen Sales. Användaren kan därför inte läsa eller komma åt några data i databasen.
Exempel 2
- En användare har behörigheten Läsa objekt för databasen Försäljning.
- Användaren är medlem i den db_owner inbyggda SQL-databasnivårollen i databasen.
- Behörighetskontrollen Tillåt användare att behålla läsåtkomst är aktiverad, men den innehåller inte användaren.
- Åtkomstkontrollen Tillåt användare att behålla fullständig kontroll är inaktiverad/inaktiv.
Principen tar bort användarens behörighet för läsobjekt, därför kan användaren inte ansluta till försäljningsdatabasen, oavsett användarens interna SQL-behörigheter (beviljas via användarens medlemskap i db_owner roll) i databasen. Användaren kan därför inte läsa eller komma åt några data i databasen.
Exempel 3
- En användare är medlem i rollen Deltagare för arbetsytan Produktion.
- Användaren har inga inbyggda SQL-behörigheter som beviljats i databasen.
- Behörighetskontrollen Tillåt användare att behålla läsåtkomst är aktiverad och den innehåller användaren.
- Åtkomstkontrollen Tillåt användare att behålla fullständig kontroll är aktiverad, men den inkluderar inte användaren.
Som medlem i deltagarrollen har användaren ursprungligen alla behörigheter för databasen Sales, inklusive Read, ReadData och Write. Med behörigheten Tillåt användare att behålla åtkomstkontroll för läsåtkomst i principen kan användaren behålla läs- och läsdatabehörigheterna, men behörigheten Tillåt användare att behålla fullständig åtkomstkontroll tar bort användarens skrivbehörighet. Därför kan användaren ansluta till databasen och läsa data, men användaren förlorar den administrativa åtkomsten till databasen, inklusive möjligheten att skriva/redigera data.
Exempel 4
- En användare har behörigheten Läsa objekt för databasen Försäljning.
- Användaren är medlem i den db_owner inbyggda SQL-databasnivårollen i databasen.
- Behörighetskontrollen Tillåt användare att behålla läsåtkomst är aktiverad och den innehåller användaren.
- Åtkomstkontrollen Tillåt användare att behålla fullständig kontroll är aktiverad, men den inkluderar inte användaren.
Med behörigheten Tillåt användare att behålla åtkomstkontroll för läsåtkomst i principen kan användaren behålla läsbehörigheten. Eftersom användaren inte ursprungligen har fullständig behörighet (behörigheten Skriv objekt) har behörigheten Tillåt användare att behålla fullständig åtkomstkontroll inte någon effekt på användarens behörighet som beviljats i Microsoft Fabric. Åtkomstkontrollen Tillåt användare att behålla fullständig kontroll påverkar inte användarens inbyggda SQL-behörighet i databasen. Som medlem i db_owner roll fortsätter användaren att ha administrativ åtkomst till databasen. Se Begränsningar.
Begränsningar
- Tillåt användare att behålla fullständig åtkomstkontroll i Microsoft Purview-skyddsprinciper påverkar inte inbyggda SQL-behörigheter som beviljas användare i en databas.