OneLake-sikkerhet for SQL-analyseendepunkter

Med OneLake-sikkerhet utvider Fabric hvordan organisasjoner kan administrere og håndheve datatilgang på tvers av arbeidsbelastninger. Dette sikkerhetsrammeverket gir administratorer større fleksibilitet til å konfigurere tillatelser. Administratorer kan velge mellom sentralisert styring gjennom OneLake eller detaljert SQL-basert kontroll i SQL-analyseendepunktet .

Access-moduser i SQL-analyseendepunkt

Når man bruker SQL analytics endpoint, avgjør den valgte access-modusen hvordan datasikkerhet håndheves. Fabric støtter to distinkte access-modeller, som hver gir ulike fordeler avhengig av dine operative og compliance-behov:

• Brukeridentitetsmodus: Håndhever sikkerhet ved hjelp av OneLake-roller og -policyer. I denne modusen sender SQL-analyseendepunktet den innloggede brukerens identitet til OneLake, og lesetilgangen styres helt av sikkerhetsreglene definert i OneLake. SQL-nivå tillatelser på ikke-dataobjekter (visninger, lagrede prosedyrer, funksjoner) støttes, noe som sikrer konsistent styring på tvers av verktøy som Power BI, notatbøker og lakehouse.

• Delegert identitetsmodus: Gir full kontroll gjennom SQL. I denne modusen kobler SQL-analyseendepunktet til OneLake ved hjelp av identiteten til arbeidsområdet eller elementeieren , og sikkerheten styres utelukkende av SQL-tillatelser som er definert i databasen. Denne modellen støtter tradisjonelle sikkerhetstilnærminger, inkludert GRANT, REVOKE, egendefinerte roller, Row-Level Security og Dynamic Data Maskg.

Hver modus støtter ulike styringsmodeller. Å forstå implikasjonene er avgjørende for å velge riktig tilnærming i Fabric-miljøet ditt.

Sammenligning mellom access-moduser

Tabellen nedenfor sammenligner hvordan og hvor du setter sikkerhet i brukeridentitetsmodus versus delegert identitetsmodus, fordelt etter objekttype og datatilgangspolicyer:

Brukeridentitetsmodus i OneLake-sikkerhet

I brukeridentitetsmodus bruker SQL-analyseendepunktet en passthrough-autentiseringsmekanisme for å håndheve data access. Når en bruker kobler til SQL Analytics-endepunktet, sendes Entra ID-identiteten til OneLake, som utfører tillatelseskontrollen. Alle leseoperasjoner mot tabeller evalueres ved hjelp av sikkerhetsreglene definert i OneLake Lakehouse, ikke ved hjelp av SQL-nivå GRANT eller REVOKE setninger.

Med denne modusen kan du administrere sikkerhet sentralt, noe som sikrer konsekvent håndhevelse på tvers av alle Fabric-opplevelser, inkludert Power BI, notatblokker, lakehouse og SQL-analyseendepunkt. Den er designet for styringsmodeller der access skal defineres én gang i OneLake og automatisk respekteres overalt.

I brukeridentitetsmodus:

• Table access styres helt av OneLake-sikkerheten. SQL-setninger GRANT/REVOKE på tabeller ignoreres.

• RLS (Row-Level Security), CLS (Column-Level Security) og Object-Level Security er alle definert i OneLake-opplevelsen.

• SQL-tillatelser er tillatt for ikke-dataobjekter som visninger, lagrede prosedyrer og funksjoner, noe som gir fleksibilitet for å definere egendefinert logikk eller brukerrettede inngangspunkter til data.

• Skriveoperasjoner støttes ikke på SQL-analyseendepunktet. Alle skrivinger må skje via Lakehouse-siden i Fabric-portalen og styres av arbeidsområdets roller (Admin, Medlem, Bidragsyter).

For mer informasjon om tillatelsesmodellen med brukerens identitetsmodus, se datatilgangskontrollmodellen for OneLake-sikkerhet.

Sikkerhetssynkronisering mellom OneLake og SQL-analyseendepunkt

En kritisk komponent i brukeridentitetsmodus er sikkerhetssynkroniseringstjenesten. Denne bakgrunnstjenesten overvåker endringer som gjøres i sikkerhetsroller i OneLake, og sikrer at disse endringene gjenspeiles i SQL-analyseendepunktet.

Sikkerhetssynkroniseringstjenesten er ansvarlig for følgende:

• Oppdage endringer i OneLake-roller, inkludert nye roller, oppdateringer, brukertilordninger og endringer i tabeller.

• Oversettelse av OneLake-definerte policyer (RLS, CLS, OLS) til tilsvarende SQL-kompatible databaserollestrukturer.

• Sikre at snarveisobjekter (tabeller hentet fra andre innsjøhus) er riktig validert slik at de opprinnelige OneLake-sikkerhetsinnstillingene respekteres, selv når de åpnes eksternt.

Denne synkroniseringen sikrer at OneLake-sikkerhetsdefinisjoner forblir autoritative, noe som eliminerer behovet for manuell intervensjon på SQL-nivå for å replikere sikkerhetsatferd. Fordi sikkerhet håndheves sentralt:

• Du kan ikke definere RLS, CLS eller OLS direkte ved hjelp av T-SQL i denne modusen.

• Du kan fortsatt bruke SQL-tillatelser på visninger, funksjoner og lagrede prosedyrer ved å bruke GRANT våre EXECUTE setninger.

Sikkerhetssynkronisering, tilbakeslag

Sikkerhetssynkronisering inkluderer en retry-backoff-mekanisme for å beskytte systemstabilitet og unngå unødvendig datakraftforbruk:

• Hvis gjentatte feil oppstår under bruk av OneLake-sikkerhetsroller på SQL-analyseendepunktet, kan systemet midlertidig pause automatisk synkroniseringsforsøk.

• Synkronisering gjenopptas automatisk når en eksisterende OneLake-sikkerhetsrolle endres eller en ny opprettes.

Sikkerhetssynkroniseringsfeil og oppløsning

Snarveier med sikkerhetssynkronisering

OneLake-sikkerhet håndheves ved sannhetskilden, så sikkerhetssynkronisering deaktiverer eierskapskjeting for tabeller og visninger som involverer snarveier. Dette sikrer at kildesystemtillatelser alltid evalueres og respekteres, selv for spørringer fra en annen database.

Som et resultat:

• Brukere må ha gyldige access på begge snarveien source (nåværende Lakehouse- eller SQL-analyseendepunkt) ogdestinasjon hvor dataene fysisk befinner seg.

• Hvis brukeren mangler tillatelse på noen av sidene, feiler spørringene med en tilgangsfeil.

Dette designet bevarer sikkerhetsintegriteten på tvers av innsjøhusgrenser samtidig som det reduserer behovet for å duplisere identitetstildelinger mellom produsent- og forbrukervarer.

Delegert modus i OneLake-sikkerhet

I delegert identitetsmodus opprettholder SQL-analyseendepunktet bakoverkompatibilitet med den tradisjonelle SQL-sikkerhetsmodellen. Sikkerhet defineres og håndheves på SQL-motorlaget, og OneLake sikkerhetsroller og tilgangspolicyer overføres ikke til tabellnivå-tilgang. All filtrering og tilgangskontroll—inkludert tilgang til skjemaer og tabeller, Row-Level Security (RLS), Column-Level Security (CLS) og Dynamic Data Masking (DDM)—må defineres ved hjelp av SQL-konstruksjoner (GRANT/REVOKE, sikkerhetspolicyer osv.).

Fordi OneLake-sikkerhetsroller for sluttbrukeren ikke håndheves direkte , vil ikke sikkerhetsregler definert i OneLake (for eksempel regler håndhevet av Spark eller andre motorer som leser gjennom OneLake) gjelde når de samme dataene spørres gjennom SQL-analyse-endepunktet. Velg denne modusen når arbeidsmengden avhenger av SQL-native sikkerhetssemantikk eller når eksisterende T-SQL-verktøy krever full kompatibilitet.

Når en bruker kobler til SQL-analyseendepunktet og utsteder en spørring:

• SQL validerer spørringen mot tillatelsene definert på SQL-laget.

• Hvis spørringen er autorisert, går systemet videre til å access dataene lagret i OneLake.

• Denne datatilgang utføres ved å bruke identiteten til eieren av Lakehouse- eller SQL-analyseendepunktet, også kjent som item-kontoen—ikke den innloggede brukeren.

Elementeieren er derfor ansvarlig for å ha tilstrekkelige tillatelser i OneLake til å lese de underliggende filene på vegne av arbeidsmengden. Enhver feiljustering mellom SQL-tillatelser gitt til sluttbrukere og elementeierens OneLake-tilgang fører til spørringsfeil.

Denne modusen støtter eksisterende T-SQL-verktøy og praksiser brukt av DBA-er eller applikasjoner, med full kompatibilitet for SQL GRANT/REVOKE på alle objektnivåer og SQL-definerte RLS, CLS og DDM.

Snarveiers oppførsel i delegert modus

Fordi delegert modus kobler til OneLake ved hjelp av vareeierens identitet, fungerer snarveier bare når eieren har ubegrenset tilgang til hele kildetabellen. Hvis kildetabellen har en sikkerhetsregel på OneLake-nivå—som Row-Level Security (RLS), Column-Level Security (CLS)—blokkerer SQL-analyseendepunktet tilgangen til den snarveien.

Som et resultat:

• Snarveier som peker til kildetabeller uten sikkerhetsregler på datanivå fungerer normalt i delegert modus.

• Snarveier som peker til kildetabeller med RLS eller CLS i OneLake-sikkerhet på produsenten er ikke tilgjengelige via SQL-analyseendepunktet i delegert modus, selv om sluttbrukeren har SQL-tillatelser på snarveisobjektet.

• For å bruke snarveier hvis kilde har OneLake-sikkerhetspolicyer, bruk brukeridentitetsmodus på forbrukerendepunktet slik at sluttbrukerens identitet vurderes opp mot kildens OneLake-sikkerhetsregler.

Hvordan endre OneLake access-modus

Tilgangsmodusen avgjør hvordan datatilgang autentiseres og håndheves når man spør OneLake via SQL-analyseendepunktet. Du kan bytte mellom brukeridentitetsmodus og delegert identitetsmodus ved hjelp av følgende trinn:

1. Naviger til Fabric-arbeidsområdet og åpne innsjøhuset. Fra øverste høyre hjørne, bytt fra lakehouse til SQL-analyseendepunkt.

2. Fra toppnavigasjonen, gå til fanen Sikkerhet og velg en av følgende OneLake-tilgangsmoduser:

   • Brukeridentitet – Bruker identiteten til den påloggede brukeren. Håndhever OneLake-roller.

   • Delegert identitet – Bruker vareeierens identitet. Håndhever kun SQL-tillatelser.

3. Et popup-vindu åpnes for å bekrefte valget ditt. Velg Ja for å bekrefte endringen.

Hensyn når du bytter mellom moduser

Bytte til brukeridentitetsmodus

• SQL RLS-, CLS- og tabellnivåtillatelser ignoreres.

• OneLake-roller må konfigureres for at brukerne skal kunne opprettholde access.

• Kun brukere med visningstillatelser eller delt skrivebeskyttet tilgang er underlagt OneLake-sikkerhet.

• Eksisterende SQL-roller slettes og kan ikke gjenopprettes.

Bytte til delegert identitetsmodus

• OneLake-roller og sikkerhetspolicyer brukes ikke lenger.

• SQL-roller og sikkerhetspolicyer blir aktive.

• Eieren av varen må ha gyldig OneLake-access, ellers kan alle søk feile.

Merknader

• SQL-objekter arver ikke eierskap: Snarveier fungerer som tabeller i SQL-analyseendepunktet, men avviker bevisst fra standard SQL-eierskapskjeding for å opprettholde en enhetlig sikkerhetsposisjon.

  • Ingen arv: Avledede SQL-objekter (visninger, lagrede prosedyrer eller funksjoner) arver ikke tillatelser fra objekteieren.

  • Kjøretidsvalidering: Tillatelser verifiseres mot anroperens identitet ved kjøring, slik at SQL-abstraksjoner ikke kan omgå OneLake-nivåpolicyer.

• Kontrollplanavhengighet og effektiv identitetsevaluering: Brukere må ha den nødvendige Fabric-artefakttillatelsen før de kan koble til SQL-analyseendepunktet. Dataautorisasjon evaluerer deretter den innloggede brukeren og brukerens effektive medlemskap i støttede Microsoft Entra-grupper opp mot OneLake-sikkerhetspolicyene ved kilden.

• Tillatelsesevalueringsatferd: Tillatelsesevaluering varierer etter tabelltype basert på gjeldende håndhevingsmodell.

  • Snarveitabeller: Tilgang kan nektes når nødvendige autorisasjonsbetingelser ikke er oppfylt. Dette er et restriktivt håndhevelsesresultat, ikke en rollebasert DENY-kapasitet i OneLake-sikkerhet.

  • Generell regel: Når håndhevelse ikke klart kan validere tilgang, anvender systemet det mest restriktive utfallet.

• Column-Level Sikkerhetsdesign (CLS): CLS opprettholder en streng tillatelsesliste over kolonner.

  • Å omdøpe eller fjerne en tillatt kolonne ugyldiggjør sikkerhetsregelen. Selv om regelen vedvarer i systemet, forblir den inaktiv – og nekter all tilgang til ressursen – inntil den opprinnelige kolonnenavngivningen gjenopprettes.

  • Synkroniseringsbeskyttelse: Når en policy er ugyldig, blokkeres metadata-synkronisering med vilje inntil regelen rettes i OneLake-sikkerhetspanelet.

  • Skjemavalidering: Omdøping av kolonner uten å oppdatere sikkerhetspolicyer utløser UI-feil som sier at kolonnen "ikke eksisterer" før konfigurasjonen er synkronisert.

  Obs!

  I SQL-analyse-endepunktet håndheves OneLake-sikkerheten for datatilgang, mens skjemametadata fortsetter å følge SQL-motorens oppførsel. Brukere kan se kolonner i Object Explorer eller sys.columns til og med når Column-Level Security hindrer dem i å lese disse kolonnene. Denne virkemåten forventes og etter utforming.

• Rollepropagasjon og synkronisering (SLA):

  • OneLake-sikkerhetssynkronisering: Når en OneLake-sikkerhetsrolle endres i brukeridentitetsmodus, skjer ikke oppdateringen umiddelbart. Selv om det vanligvis er raskt, kan det ta opptil 5 minutter å synkronisere med SQL-analyse-endepunktet.

  • Automatisk prefiksering: OneLake sikkerhetsroller propageres til SQL-analyseendepunktet med prefikset OLS_ .

  • Synkroniseringsprioritet: Sikkerhetssynkroniseringsprosessen oppdaterer periodisk statusen til OLS_ rollene. Manuelle endringer i disse rollene støttes ikke og overskrives under neste synkroniseringssyklus. Hvis det ikke er endringer i synkroniseringen, overstyrer ikke sikkerhetssynkronisering manuelle endringer.

Begrensninger

• Gjelder kun for lesere: OneLake-sikkerhet håndheves primært for brukere som får tilgang til data via arbeidsområde på visningsnivå eller objekt. Brukere med bredere arbeidsområderoller som administrator, medlem eller bidragsyter beholder forhøyet tilgang og er ikke hovedmålet for OneLake-sikkerhetshåndheving.

  • Unntak:

    • Snarveisnekt-atferd: For snarveisbaserte tabeller kan håndhevelse fortsatt nekte tilgang til administratorer, medlemmer eller bidragsytere i spesifikke tilfeller.

    • Sikkerhetssynkroniseringsfeil: Hvis sikkerhetssynkronisering ikke anvender sikkerheten korrekt for visse tabeller eller roller, kan brukere i Admin-, Medlem- eller Bidragsyterroller som er medlemmer av de berørte rollene også oppleve begrenset tilgang.

    • RLS i brukeridentitetsmodus: Når Row-Level Security (RLS) er konfigurert i brukeridentitetsmodus, håndheves de definerte sikkerhetsreglene for alle brukere, inkludert de som har administrator-, medlems- og bidragsyterroller.

• Skjema-synlighet i objektmetadata: SQL-analyseendepunktet returnerer alltid alle skjemanavn i objektmetadata, uavhengig av brukerens tabellnivå-tillatelser. Tabeller som brukeren ikke har tillatelse for, filtreres ut og vises ikke i oppføringen.

  • Som et resultat kan brukere se skjemaer som ikke inneholder synlige tabeller i objektutforskeren eller i INFORMATION_SCHEMA/sys katalogforespørsler.

• Sikkerhetssynkroniseringsavhengighet: I brukeridentitetsmodus synkroniserer sikkerhetssynkroniseringsprosessen OneLake-sikkerhetsroller til SQL-analyse-endepunktet. Inntil synkroniseringen er fullført, kan SQL midlertidig evaluere tilgangen ved å bruke den eksisterende SQL-tillatelsestilstanden for alle tabeller, inkludert snarveitabeller fra andre elementer. Når synkroniseringen er ferdig, reflekterer SQL-endepunktet OneLake-sikkerhetskonfigurasjonen.

• Eierskapsendringer på snarveistabeller: Snarveistabeller representeres som SQL-objekter i SQL-analyseendepunktet og støtter derfor standard SQL-eierskapsoperasjoner. Administrative kommandoer som ALTER AUTHORIZATION kan endre eieren av en snarveistabell. I visse scenarioer kan dette tillate eierskapskjede-atferd som omgår OneLakes sikkerhetspolicyer og gir utilsiktet tilgang til de underliggende dataene. Inntil ytterligere håndhevingsmekanismer innføres, bør administratorer unngå å endre eierskap på snarveistabeller.

• Målvalideringsnedetid: Når et snarveismål endres (for eksempel omdøping eller URL-oppdatering), går databasen kortvarig inn i enkeltbrukermodus mens systemet validerer det nye målet. I denne perioden blir forespørsler blokkert. Disse operasjonene er vanligvis raske, men avhengig av interne prosesser kan det ta opptil 5 minutter å synkronisere.

  • Oppretting av skjemasnarveier kan føre til en kjent feil som påvirker validering og forsinker metadatasynkronisering.

• Token-caching i delegert modus: I delegert modus cacher SQL-analyseendepunktet lagringstilgangstokenet som brukes til å hente data fra OneLake på vegne av eierens identitet. Hvis eierens tillatelser endres, kan et tidligere utstedt token forbli gyldig til det utløper. Som et resultat kan tilgangsendringer knyttet til eieridentiteten ikke tre i kraft umiddelbart og vedvare til tokenets utløp, vanligvis opptil 30–60 minutter.

• Endringer i OneLakes sikkerhets GRANT/DENY-policyer håndheves umiddelbart og forsinkes ikke av cachelagring av lagringstoken.

• Aktiv spørringskansellering: For å opprettholde dataintegritet og sikkerhet kan aktive spørringer automatisk avbrytes hvis en snarveikonfigurasjon endres under kjøringen.

• Row-Level Sikkerhetsbegrensninger (RLS):

  • Kun enkeltuttrykkstabeller støttes. Dynamisk RLS og Multi-Table RLS er ikke tilgjengelige.

  • Å fjerne en kolonne brukt i et filteruttrykk stopper metadatasynkroniseringen til RLS er fikset i OneLake-sikkerhetspanelet.

• Rollekompleksitet og metadatasynkronisering: Høy kompleksitet i sikkerhetsroller – spesielt de som involverer mange kryss og union-semantikk ved bruk av RLS – kan føre til at sikkerhetssynkroniseringen feiler. En mislykket sikkerhetssynkronisering hindrer at sikkerhetspolicyer kan anvendes og blokkerer muligheten til å synkronisere metadata.

• Skjema- og rollebegrensninger:

  • Omdøpinger: OneLake-sikkerhetsroller er knyttet til bordnavnet. Å omdøpe en tabell bryter assosiasjonen, og policyer migreres ikke automatisk. Dette kan føre til utilsiktet dataeksponering inntil policyer tas i bruk på nytt.

  • Tegnbegrensninger: OneLake sikkerhetsrollenavn kan ikke overstige 124 tegn; ellers feiler rolleopprettelse eller synkronisering på SQL-analyseendepunktet.

  • OLS_ Rolleendringer: Brukerendringer i OLS_ roller støttes ikke og kan føre til uventede atferder.

• Ikke-støttede identiteter: Mail-aktiverte sikkerhetsgrupper og distribusjonslister støttes for øyeblikket ikke.

• Krav til eier av innsjøhus:

  • Eieren av innsjøhuset må være medlem av Admin-, Medlems- eller Bidragsyter-arbeidsplassrollene; ellers anvendes ikke sikkerhet på SQL-analyse-endepunktet.

Relatert innhold

• Beste praksis for å sikre data i OneLake
• OneLake sikkerhetsmodell access control modell