Provisionar acesso de leitura ao Banco de Dados SQL do Azure usando o Microsoft Purview Políticas de proprietário de dados (versão prévia)

As políticas de proprietário de dados são um tipo de políticas de acesso do Microsoft Purview. Eles permitem que você gerencie o acesso aos dados do usuário em fontes que foram registradas para Imposição de Política de Dados no Microsoft Purview. Essas políticas podem ser criadas diretamente no portal de governança do Microsoft Purview e, após a publicação, são impostas pela fonte de dados.

Este guia aborda como um proprietário de dados pode delegar políticas de criação no Microsoft Purview para habilitar o acesso ao Banco de Dados SQL do Azure. As seguintes ações estão ativadas no momento: Ler. Não há suporte para Modificar no momento.

Pré-requisitos

• Uma conta do Azure com uma assinatura ativa. Crie uma conta gratuitamente.

• Uma conta nova ou existente do Microsoft Purview. Siga este guia de início rápido para criar um.

• Crie uma nova instância do Banco de Dados SQL do Azure ou use uma existente em uma das regiões atualmente disponíveis para esse recurso. Você pode seguir este guia para criar uma instância do Banco de Dados SQL do Azure.

Suporte regional

Todas as regiões do Microsoft Purview têm suporte.

A imposição de políticas do Microsoft Purview está disponível somente nas seguintes regiões para o Banco de Dados SQL do Azure:

Nuvem pública:

• Leste dos EUA
• Leste dos EUA 2
• Centro-Sul dos EUA
• Centro-Oeste dos EUA
• Oeste dos EUA 3
• Canadá Central
• Sul do Brasil
• Europa Ocidental
• Norte da Europa
• França Central
• Sul do Reino Unido
• Norte da África do Sul
• Índia Central
• Sudeste Asiático
• Leste da Ásia
• Leste da Austrália

Nuvens soberanas:

• USGov Virgínia
• China Norte 3

Configure a instância do Banco de Dados SQL do Azure para políticas do Microsoft Purview

Para o servidor lógico associado ao Banco de Dados SQL do Azure respeitar as políticas do Microsoft Purview, você precisa configurar um administrador do Microsoft Entra. No portal do Azure, acesse o servidor lógico que hospeda a instância do Banco de Dados SQL do Azure. No menu lateral, selecione Microsoft Entra ID. Defina um nome de administrador para qualquer usuário ou grupo do Microsoft Entra de sua preferência e selecione Salvar.

Em seguida, no menu lateral, selecione Identidade. Em Identidade gerenciada atribuída pelo sistema, defina o status para Ativado e selecione Salvar.

Configuração do Microsoft Purview

Registrar a fonte de dados no Microsoft Purview

Antes que uma política possa ser criada no Microsoft Purview para um recurso de dados, você deve registrar esse recurso de dados no Microsoft Purview Studio. Você encontrará as instruções relacionadas ao registro do recurso de dados posteriormente neste guia.

Configurar permissões para habilitar a imposição da política de dados na fonte de dados

Depois que um recurso é registrado, mas antes que uma política possa ser criada no Microsoft Purview para esse recurso, você deve configurar permissões. Um conjunto de permissões é necessário para habilitar a imposição da política de dados. Isso se aplica a fontes de dados, grupos de recursos ou assinaturas. Para habilitar a imposição da política de dados, você deve ter privilégios específicos de Gerenciamento de Identidade e de Acesso (IAM) no recurso, bem como privilégios específicos do Microsoft Purview:

• Você deve ter uma das seguintes combinações de funções do IAM no caminho Azure Resource Manager do recurso ou qualquer pai dele (ou seja, usando a herança de permissão do IAM):

  • Proprietário do IAM
  • Colaborador do IAM e Administrador de acesso de usuários do IAM

  Para configurar permissões de RBAC (controle de acesso baseado em função) do Azure, siga este guia. A captura de tela a seguir mostra como acessar a seção de Controle de Acesso no portal do Azure para que o recurso de dados adicione uma atribuição de função.

  

  Observação

  A função de proprietário do IAM para um recurso de dados pode ser herdada de um grupo de recursos pai, de uma assinatura ou de um grupo de gerenciamento de assinaturas. Verifique quais usuários, grupos e entidades de serviço do Microsoft Entra possuem ou estão herdando a função de proprietário do IAM para o recurso.

• Você também precisa ter a função de administrador da fonte de dados do Microsoft Purview para a coleção ou uma coleção pai (se a herança estiver habilitada). Para obter mais informações, consulte o guia sobre como gerenciar atribuições de função do Microsoft Purview.

  A captura de tela a seguir mostra como atribuir a função de administrador da fonte de dados no nível da coleção raiz.

  

Configurar permissões do Microsoft Purview para criar, atualizar ou excluir políticas de acesso

Para criar, atualizar ou excluir políticas, você precisa obter a função de autor da política no Microsoft Purview no nível da coleção raiz:

• A função de autor da política pode criar, atualizar e excluir políticas de DevOps e de proprietário de dados.
• A função de autor da política pode excluir políticas de acesso de autoatendimento.

Para obter mais informações sobre como gerenciar atribuições de função do Microsoft Purview, consulte Criar e gerenciar coleções no Mapa de Dados do Microsoft Purview.

Além disso, para pesquisar facilmente usuários ou grupos do Microsoft Entra ao criar ou atualizar o assunto de uma política, você pode se beneficiar muito da obtenção da permissão Leitores de Diretório no Microsoft Entra ID. Essa é uma permissão comum para usuários em um locatário do Azure. Sem a permissão de Leitor de Diretório, o Autor da Política terá que digitar o nome de usuário ou email completo para todas as entidades de segurança incluídas no assunto de uma política de dados.

Configurar permissões do Microsoft Purview para publicação de políticas de Proprietário de Dados

As políticas de Proprietário de Dados permitem verificações e equilíbrios se você atribuir as funções de autor de Política do Microsoft Purview e Administrador da Fonte de Dados a diferentes pessoas na organização. Antes que uma política de proprietário de dados entre em vigor, uma segunda pessoa (administrador da fonte de dados) deve examiná-la e aprová-la explicitamente publicando-a. Isso não se aplica a DevOps ou a políticas de acesso de autoatendimento, pois a publicação é automática para eles quando essas políticas são criadas ou atualizadas.

Para publicar uma política de proprietário de dados, você precisa obter a função de administrador da fonte de dados no Microsoft Purview no nível da coleção raiz.

Para obter mais informações sobre como gerenciar atribuições de função do Microsoft Purview, consulte Criar e gerenciar coleções no Mapa de Dados do Microsoft Purview.

Delegar responsabilidade de provisionamento de acesso a funções no Microsoft Purview

Depois que um recurso tiver sido habilitado para a imposição da política de dados, qualquer usuário do Microsoft Purview com a função de autor da política no nível da coleção raiz poderá provisionar o acesso a essa fonte de dados do Microsoft Purview.

Se uma conta do Microsoft Purview com políticas publicadas for excluída, essas políticas deixarão de ser aplicadas dentro de um período de tempo que depende da fonte de dados específica. Essa alteração pode ter implicações na segurança e na disponibilidade de acesso a dados. As funções de Colaborador e Proprietário no IAM podem excluir contas do Microsoft Purview. Você pode marcar essas permissões acessando a seção Controle de acesso (IAM) da sua conta do Microsoft Purview e selecionando Atribuições de Função. Você também pode usar um bloqueio para impedir que a conta do Microsoft Purview seja excluída por meio de bloqueios do Resource Manager.

Registrar as fontes de dados no Microsoft Purview

A fonte de dados do Banco de Dados SQL do Azure precisa ser registrada primeiro no Microsoft Purview antes de criar políticas de acesso. Você pode seguir estes guias:

Registrar e examinar o Banco de Dados SQL do Azure

Depois de registrar seus recursos, você precisará habilitar a Imposição da Política de Dados. A Imposição da Política de Dados pode afetar a segurança dos seus dados, pois delega a determinadas funções do Microsoft Purview o gerenciamento do acesso às fontes de dados. Siga as práticas seguras relacionadas à Imposição de Política de Dados neste guia: Como habilitar a Imposição de Política de Dados

Depois que sua fonte de dados tiver o botão de alternância de imposição da política de dadoshabilitado, ela terá esta captura de tela. Isso permitirá que as políticas de acesso sejam usadas com o servidor SQL do Azure fornecido e todos os seus bancos de dados contidos.

Retorne ao portal do Azure do Banco de Dados SQL do Azure para verificar se ele agora é regido pelo Microsoft Purview:

1. Entre no portal do Azure por meio deste link.

2. Selecione o Servidor SQL do Azure que você deseja configurar.

3. Vá para o Microsoft Entra ID no painel esquerdo.

4. Role para baixo até políticas de acesso do Microsoft Purview.

5. Selecione o botão para Verificar a Governança do Microsoft Purview. Aguarde enquanto a solicitação é processada, o que pode levar alguns minutos.

   

6. Confirme se o Status de Governança do Microsoft Purview mostra Governado. Observe que pode levar alguns minutos depois de habilitar a imposição da política de dados no Microsoft Purview para que o status correto seja refletido.

Criar e publicar uma política de proprietário dos dados

Execute as etapas nas seções Criar uma nova política e Publicar uma política do tutorial de criação de política do proprietário dos dados. O resultado será uma política de proprietário de dados semelhante ao exemplo mostrado.

Exemplo: política de leitura. Essa política atribui a entidade de segurança do Microsoft Entra "Robert Murphy" à ação do leitor de dados do SQL, no escopo do SQL server relecloud-sql-srv2. Essa política também foi publicada nesse servidor. Observe que as políticas relacionadas a essa ação têm suporte abaixo do nível do servidor (por exemplo, banco de dados, tabela).

Cancelar a publicação de uma política de proprietário dos dados

Siga este link para obter as etapas para cancelar a publicação de uma política de proprietário de dados no Microsoft Purview.

Atualizar ou excluir uma política de proprietário dos dados

Siga este link para obter as etapas para atualizar ou excluir uma política de proprietário de dados no Microsoft Purview.

Testar a política

Depois de criar a política, qualquer um dos usuários do Microsoft Entra no Assunto agora deve ser capaz de se conectar às fontes de dados no escopo da política. Para testar, use o SSMS ou qualquer cliente SQL e tente consultar. Tente acessar uma tabela SQL à qual você forneceu acesso de leitura.

Se você precisar de mais solução de problemas, consulte a seção Próximas etapas neste guia.

Detalhe da definição de função

Esta seção contém uma referência de como as funções relevantes da política de dados do Microsoft Purview são mapeadas para ações específicas em fontes de dados SQL.

Próximas etapas

Verifique o blog, a demonstração e os guias de instruções relacionados.

• Doc: Conceitos das políticas de proprietário de dados do Microsoft Purview
• Doc: políticas de proprietário de dados do Microsoft Purview em todas as fontes de dados em uma assinatura ou grupo de recursos
• Doc: as políticas de proprietário de dados do Microsoft Purview em um SQL Server habilitado para Azure Arc
• Doc: Solucionar problemas de políticas do Microsoft Purview para fontes de dados SQL
• Blog: Conceder aos usuários acesso a ativos de dados em sua empresa por meio da API