¿Qué puedo lograr con las directivas DevOps de Microsoft Purview?

Importante

Se retirarán el Catálogo unificado de Microsoft Purview y las funcionalidades de gobierno de datos de Microsoft Purview clásico (anteriormente Azure Purview). Microsoft está consolidando sus capacidades de gobernanza de datos en Microsoft Fabric. Ya no puede crear cuentas nuevas y las funcionalidades existentes permanecerán en modo de mantenimiento hasta el 12 de noviembre de 2027. Para conocer los plazos de retirada, las instrucciones de transición y los próximos pasos recomendados, consulte el anuncio de retirada de la gobernanza de datos de Microsoft Purview.

Nota:

El Catálogo de datos de Microsoft Purview (clásico), Data Health Insights (clásico) y el flujo de trabajo de Purview (clásico) ya no aceptan nuevos clientes y estos servicios, antes Azure Purview, están ahora en modo de soporte técnico al cliente.

En este artículo se describe cómo administrar el acceso a los orígenes de datos en el patrimonio de datos mediante el portal de gobierno de Microsoft Purview. Se centra en conceptos básicos de las políticas de DevOps. Es decir, proporciona información general sobre las directivas de DevOps que debe conocer antes de seguir otros artículos para obtener los pasos de configuración.

Nota:

Esta funcionalidad es diferente del control de acceso interno en el portal de gobierno de Microsoft Purview.

El acceso a los metadatos del sistema es crucial para que el personal de TI y DevOps garantice que los sistemas de bases de datos críticos estén en buen estado, funcionen según las expectativas y sean seguros. Puede conceder y revocar ese acceso de forma eficaz y a escala mediante directivas DevOps de Microsoft Purview.

Cualquier usuario que tenga el rol de autor de directivas en el nivel de colección raíz de Microsoft Purview puede crear, actualizar y eliminar directivas de DevOps. Una vez guardadas las directivas de DevOps, se publican automáticamente.

Directivas de acceso frente a directivas de DevOps

Las directivas de acceso de Microsoft Purview permiten a los clientes administrar el acceso a los sistemas de datos en todo su patrimonio de datos, todo desde una ubicación central en la nube. Puedes considerar estas directivas como concesiones de acceso que se pueden crear a través de Microsoft Purview Studio, lo que evita la necesidad de código. Dictan si se debe permitir o denegar una lista de entidades principales de Microsoft Entra, como usuarios y grupos, un tipo específico de acceso a un origen de datos o un activo dentro de él. Microsoft Purview comunica estas directivas a los orígenes de datos, donde se aplican de forma nativa.

Las directivas de DevOps son un tipo especial de directivas de acceso de Microsoft Purview. Conceden acceso a los metadatos del sistema de base de datos en lugar de a los datos de usuario. Simplifican el aprovisionamiento de acceso para las operaciones de TI y el personal de auditoría de seguridad. Las directivas de DevOps solo conceden acceso. No niegan el acceso.

Elementos de una directiva DevOps

Tres elementos definen una directiva de DevOps:

  • Asunto

    Esta es una lista de usuarios, grupos o entidades de servicio de Microsoft Entra a los que se les concede acceso.

  • Recurso de datos

    Este es el ámbito en el que se aplica la directiva. La ruta de acceso del recurso de datos es la composición del origen de datos del grupo > de recursos de suscripción>.

    Las directivas DevOps de Microsoft Purview admiten actualmente orígenes de datos de tipo SQL. Puede configurarlos en orígenes de datos individuales y en grupos de recursos y suscripciones completos. Solo puede crear directivas DevOps después de registrar el recurso de datos en Microsoft Purview con la opción de aplicación de directivas de datos activada.

  • Rol

    Un rol se asigna a un conjunto de acciones que la directiva permite en el recurso de datos. Las directivas de DevOps admiten los roles Monitor de rendimiento de SQL y Auditor de seguridad de SQL. Ambos roles proporcionan acceso a los metadatos del sistema SQL y, más específicamente, a las vistas de administración dinámica (DMV) y las funciones de administración dinámica (DMF). Sin embargo, el conjunto de DMV y DMF que conceden estas funciones es diferente. Proporcionamos algunos ejemplos populares más adelante en este artículo.

    En el artículo Crear, enumerar, actualizar y eliminar directivas DevOps de Microsoft Purview se detalla la definición de roles para cada tipo de origen de datos. Es decir, proporciona una asignación de roles en Microsoft Purview a las acciones que se permiten en ese tipo de origen de datos. Por ejemplo, la definición de roles para el Monitor de rendimiento de SQL y el Auditor de seguridad de SQL incluye acciones de conexión en el nivel de servidor y de base de datos en el lado del origen de datos.

En esencia, la directiva de DevOps asigna los permisos relacionados con el rol al sujeto y se aplica en el ámbito de la ruta de acceso del recurso de datos.

Aplicación jerárquica de directivas

Una directiva DevOps en un recurso de datos se aplica al propio recurso de datos y a todos los recursos secundarios que contenga. Por ejemplo, una directiva DevOps en una suscripción de Azure se aplica a todos los grupos de recursos, a todos los orígenes de datos habilitados para directivas dentro de cada grupo de recursos y a todas las bases de datos dentro de cada origen de datos.

Escenario de ejemplo para demostrar el concepto y las ventajas

Bob y Alice están involucrados en el proceso DevOps en su empresa. Necesitan iniciar sesión en docenas de instancias de SQL Server locales y en servidores lógicos de Azure SQL para supervisar su rendimiento y evitar que se interrumpan los procesos críticos de DevOps. Su administrador, Mateo, coloca todos estos orígenes de datos SQL en el grupo de recursos 1. Luego crea un grupo de Microsoft Entra e incluye a Alice y Bob. A continuación, usa las directivas DevOps de Microsoft Purview (directiva 1 en el siguiente diagrama) para conceder a este grupo de Microsoft Entra acceso al grupo de recursos 1, que hospeda los servidores lógicos.

Diagrama que muestra un ejemplo de directivas DevOps en un grupo de recursos.

Estas son las ventajas:

  • Mateo no tiene que crear inicios de sesión locales en cada servidor.
  • Las directivas de Microsoft Purview mejoran la seguridad al limitar el acceso local con privilegios. Apoyan el principio del privilegio mínimo. En el escenario, Mateo concede solo el acceso mínimo que Bob y Alice necesitan para realizar la tarea de supervisar el estado y el rendimiento del sistema.
  • Cuando se agregan nuevos servidores al grupo de recursos, Mateo no necesita actualizar la directiva en Microsoft Purview para que se aplique en los nuevos servidores.
  • Si Alice o Bob dejan la organización y se repone el trabajo, Mateo simplemente actualiza el grupo de Microsoft Entra. No tiene que realizar cambios en los servidores ni en las directivas que creó en Microsoft Purview.
  • En cualquier momento, Mateo o el auditor de la empresa pueden ver todos los permisos que se concedieron directamente en Microsoft Purview Studio.
Principio Ventajas
Simplificar Las definiciones de roles SQL Monitor de rendimiento y SQL Security Auditor capturan los permisos que los roles típicos de TI y DevOps necesitan para ejecutar su trabajo.
Hay menos necesidad de experiencia en permisos en cada tipo de origen de datos.
Reducir el esfuerzo Una interfaz gráfica le permite moverse rápidamente por la jerarquía de objetos de datos.
Microsoft Purview admite directivas en suscripciones y grupos de recursos de Azure completos.
Mejore la seguridad El acceso se concede de forma centralizada y se puede revisar y revocar fácilmente.
Hay menos necesidad de cuentas con privilegios para configurar el acceso directamente en el origen de datos.
Las directivas de DevOps admiten el principio de privilegios mínimos a través de ámbitos de recursos de datos y definiciones de roles.

API de directivas de DevOps

Muchos clientes sofisticados prefieren interactuar con Microsoft Purview a través de scripts en lugar de a través de la interfaz de usuario. Las directivas de Microsoft Purview DevOps ahora admiten una API de REST que ofrece capacidad completa de creación, lectura, actualización y eliminación (CRUD). Esta funcionalidad incluye la enumeración, las directivas para el Monitor de rendimiento de SQL y las directivas para el Auditor de seguridad de SQL. Para obtener más información, consulte la especificación de la API.

Captura de pantalla que muestra dónde encontrar la API de DevOps en el menú de la API de REST de Azure.

Los metadatos dinámicos de SQL incluyen una lista de más de 700 DMV y DMF. La siguiente tabla ilustra algunos de los más populares. La tabla asigna las DMV y DMF a sus definiciones de roles en las directivas DevOps de Microsoft Purview. También proporciona vínculos a contenido de referencia.

Rol de DevOps Categoría Ejemplo de DMV o DMF
Monitor de rendimiento de SQL Consulte los parámetros del sistema para comprender su sistema sys.configurations
sys.dm_os_sys_info
Identificar cuellos de botella de rendimiento sys.dm_os_wait_stats
Analizar las consultas que se están ejecutando actualmente sys.dm_exec_query_stats
Analizar los problemas de bloqueo sys.dm_tran_locks
sys.dm_exec_requests
sys.dm_os_waiting_tasks
Analizar el uso de la memoria sys.dm_os_memory_clerks
Analizar el uso y el rendimiento de los archivos sys.master_files
sys.dm_io_virtual_file_stats
Análisis de la fragmentación y el uso de índices sys.indexes
sys.dm_db_index_usage_stats
sys.dm_db_index_physical_stats
Administrar conexiones de usuario activas y tareas internas sys.dm_exec_sessions
Obtener estadísticas de ejecución de procedimientos sys.dm_exec_procedure_stats
Usar la tienda de consultas sys.query_store_plan
sys.query_store_query
sys.query_store_query_text
Obtener registro de errores (aún no compatible) sys.sp_readerrorlog
Auditor de seguridad de SQL Obtener detalles de auditoría sys.dm_server_audit_status
Monitor de rendimiento de SQL y Auditor de seguridad de SQL sys.dm_audit_actions
sys.dm_audit_class_type_map

Para obtener más información sobre lo que puede hacer el personal de soporte técnico de TI al concederles acceso a través de los roles de Microsoft Purview, consulte los siguientes recursos:

Pasos siguientes

Para empezar a usar las directivas de DevOps, consulte los siguientes recursos:

  • Darrera actualització el