使用 Microsoft Purview DevOps 策略预配对 Azure SQL 数据库中系统元数据的访问权限

项目
11/20/2024

DevOps 策略是一种Microsoft Purview 访问策略。它们允许你管理对已在 Microsoft Purview 中为 数据策略强制 注册的数据源上的系统元数据的访问。这些策略直接从 Microsoft Purview 治理门户进行配置，保存后，会自动发布这些策略，然后由数据源强制实施。 Microsoft Purview 策略仅管理Microsoft Entra主体的访问权限。

本操作指南介绍如何配置 Azure SQL Database 以强制实施 Microsoft Purview 中创建的策略。它介绍了Azure SQL数据库的配置步骤，以及 Microsoft Purview 中的配置步骤，以使用 DevOps 策略操作 SQL 性能监视或 SQL 安全审核来预配对Azure SQL数据库系统元数据 (DMV 和 DMF) 的访问。

先决条件

具有活动订阅的 Azure 帐户。免费创建帐户。
新的或现有的 Microsoft Purview 帐户。按照本快速入门指南创建一个。

在此功能的当前可用区域中，创建新的Azure SQL数据库实例或使用现有实例。可以按照本指南创建Azure SQL数据库实例。

区域支持

支持所有 Microsoft Purview 区域。

Microsoft Purview 策略的强制执行仅在以下区域可用于Azure SQL数据库：

公有云：

美国东部
美国东部 2
美国中南部
美国中西部
美国西部 3
加拿大中部
巴西南部
西欧
北欧
法国中部
英国南部
南非北部
印度中部
东南亚
东亚
澳大利亚东部

主权云：

USGov 弗吉尼亚州
中国北部 3

为来自 Microsoft Purview 的策略配置Azure SQL数据库实例

若要使与 Azure SQL Database 关联的逻辑服务器遵循来自 Microsoft Purview 的策略，需要配置Microsoft Entra管理员。在Azure 门户中，转到托管 Azure SQL 数据库实例的逻辑服务器。在侧边菜单上，选择“Microsoft Entra ID”。将管理员名称设置为你喜欢的任何Microsoft Entra用户或组，然后选择“保存”。

然后，在侧边菜单上，选择“ 标识”。在 “系统分配的托管标识”下，将状态设置为 “打开”，然后选择“ 保存”。

显示系统分配的托管标识分配给与 Azure SQL 数据库关联的逻辑服务器的屏幕截图。

Microsoft Purview 配置

在 Microsoft Purview 中注册数据源

在 Microsoft Purview 中为数据资源创建策略之前，必须在 Purview Studio Microsoft 注册该数据资源。本指南稍后会介绍与注册数据资源相关的说明。

注意

Microsoft Purview 策略依赖于数据资源 ARM 路径。如果数据资源移动到新的资源组或订阅，则需要取消注册，然后在 Microsoft Purview 中再次注册。

配置权限以在数据源上启用数据策略强制实施

注册资源后，但在 Microsoft Purview 中为该资源创建策略之前，必须配置权限。需要一组权限才能启用 数据策略强制实施。这适用于数据源、资源组或订阅。若要启用 数据策略强制实施，必须对资源具有特定的标识和访问管理 (IAM) 特权，以及特定的Microsoft Purview 权限：

必须在资源的 Azure 资源管理器路径上使用以下 IAM 角色组合之一，或者 (的任何父角色组合之一，即使用 IAM 权限继承) ：
- IAM 所有者
- IAM 参与者和 IAM 用户访问管理员
若要配置 Azure 基于角色的访问控制 (RBAC) 权限，请按照本指南操作。以下屏幕截图显示了如何访问数据资源Azure 门户中的“访问控制”部分以添加角色分配。

注意

数据资源的 IAM 所有者 角色可以从父资源组、订阅或订阅管理组继承。检查哪些Microsoft Entra用户、组和服务主体持有或正在继承资源的 IAM 所有者角色。
如果启用了) 继承，则还需要具有集合或父集合的 Microsoft Purview 数据源管理员 角色 (。有关详细信息，请参阅管理 Microsoft Purview 角色分配的指南。

以下屏幕截图显示了如何在根集合级别分配 数据源管理员 角色。

配置 Microsoft Purview 权限以创建、更新或删除访问策略

若要创建、更新或删除策略，需要在根集合级别获取 Microsoft Purview 中的策略作者角色：

策略作者角色可以创建、更新和删除 DevOps 和数据所有者策略。
策略作者角色可以删除自助服务访问策略。

有关管理 Microsoft Purview 角色分配的详细信息，请参阅在Microsoft Purview 数据映射中创建和管理集合。

注意

必须在根集合级别配置策略作者角色。

此外，若要在创建或更新策略的主题时轻松搜索Microsoft Entra用户或组，可以在Microsoft Entra ID中获取目录读取者权限，从而大大受益。这是 Azure 租户中的用户的常见权限。如果没有目录读取者权限，策略作者必须键入数据策略主题中包含的所有主体的完整用户名或电子邮件。

为发布数据所有者策略配置 Microsoft Purview 权限

如果将 Microsoft Purview 策略作者 和 数据源管理员 角色分配给组织中的不同人员，则数据所有者策略允许进行检查和平衡。在数据所有者策略生效之前， (数据源管理员) 的第二个人必须对其进行查看并通过发布来显式批准该策略。这不适用于 DevOps 或自助访问策略，因为创建或更新这些策略时，这些策略会自动发布。

若要发布数据所有者策略，需要在根集合级别获取 Microsoft Purview 中的数据源管理员角色。

有关管理 Microsoft Purview 角色分配的详细信息，请参阅在Microsoft Purview 数据映射中创建和管理集合。

注意

若要发布数据所有者策略，必须在根集合级别配置数据源管理员角色。

将访问预配责任委托给 Microsoft Purview 中的角色

为资源启用 数据策略强制实施后，在根集合级别具有 策略作者 角色的任何Microsoft Purview 用户都可以从 Microsoft Purview 预配对该数据源的访问权限。

注意

任何Microsoft Purview 根 集合管理员可以 将新用户分配到根 策略作者 角色。任何 集合管理员可以 将新用户分配到集合下的 数据源管理员 角色。最小化并仔细审查拥有 Microsoft Purview 集合管理员、 数据源管理员或 策略作者 角色的用户。

如果删除具有已发布策略的 Microsoft Purview 帐户，这些策略将在依赖于特定数据源的一段时间内停止强制实施。此更改可能会影响安全性和数据访问可用性。 IAM 中的“参与者”和“所有者”角色可以删除Microsoft Purview 帐户。可以通过转到 Microsoft Purview 帐户的“访问控制 (IAM) ”部分并选择“角色分配”来检查这些权限。还可以使用锁来防止通过资源管理器锁删除 Microsoft Purview 帐户。

在 Microsoft Purview 中注册数据源

在创建访问策略之前，首先需要向 Microsoft Purview 注册Azure SQL数据库数据源。可以按照以下指南操作：

注册并扫描Azure SQL数据库。

注册资源后，需要启用数据策略强制实施。数据策略强制实施需要某些权限，并且可能会影响数据的安全性，因为它向某些Microsoft Purview 角色委派了管理数据源访问权限的能力。 在本指南：如何启用数据策略强制实施中浏览与数据策略强制实施相关的安全做法

数据源的“ 数据策略强制 ”切换开关 “已启用”后，如下图所示。这样，访问策略就可以与给定数据源一起使用。

屏幕截图显示如何为策略注册数据源。

返回到 Azure SQL 数据库的Azure 门户，验证它现在由 Microsoft Purview 管理：

通过此链接登录到Azure 门户
选择要配置的Azure SQL服务器。
转到左窗格中的Microsoft Entra ID。
向下滚动到 Microsoft Purview 访问策略。
选择“ 检查Microsoft Purview 治理”按钮。等待处理请求。可能需要几分钟时间。
确认 Microsoft Purview 治理状态显示 Governed。请注意，在 Microsoft Purview 中启用数据策略强制实施后，可能需要几分钟才能反映正确的状态。

注意

如果对此Azure SQL数据库数据源禁用数据策略强制实施，则最多可能需要 24 小时，Microsoft Purview 治理状态才会自动更新为 Not Governed。可以通过选择“ 检查Microsoft Purview 治理”来加速此操作。在另一个 Microsoft Purview 帐户中为数据源启用 数据策略强制 实施之前，请确保 Purview 治理状态显示为 Not Governed。然后使用新的 Microsoft Purview 帐户重复上述步骤。