Herstellen einer Verbindung mit und Verwalten eines Power BI-Mandanten in Microsoft Purview (mandantenübergreifend)
In diesem Artikel wird beschrieben, wie Sie einen Power BI-Mandanten in einem mandantenübergreifenden Szenario registrieren und wie Sie den Mandanten in Microsoft Purview authentifizieren und mit diesem interagieren. Wenn Sie mit dem Dienst nicht vertraut sind, lesen Sie Was ist Microsoft Purview?.
Unterstützte Funktionen
| Metadatenextraktion | Vollständiger Scan | Inkrementelle Überprüfung | Bereichsbezogene Überprüfung | Klassifizierung | Bezeichnen | Zugriffsrichtlinie | Linie | Datenfreigabe | Liveansicht |
|---|---|---|---|---|---|---|---|---|---|
| Ja | Ja | Ja | Nein | Nein | Nein | Nein | Ja | Nein | Nein |
Beim Überprüfen der Power BI-Quelle unterstützt Microsoft Purview Folgendes:
Extrahieren von technischen Metadaten, einschließlich:
- Arbeitsbereiche
- Dashboards
- Berichte
- Datasets einschließlich der Tabellen und Spalten
- Dataflows
- Datamarts
Abrufen der statischen Herkunft für Ressourcenbeziehungen zwischen den oben genannten Power BI-Artefakten und externen Datenquellenressourcen. Weitere Informationen finden Sie unter Power BI-Herkunft.
Unterstützte Szenarien für Power BI-Überprüfungen
| Szenario | Öffentlicher Microsoft Purview-Zugriff | Öffentlicher Power BI-Zugriff | Laufzeitoption | Authentifizierungsoption | Prüfliste für die Bereitstellung |
|---|---|---|---|---|---|
| Öffentlicher Zugriff mit Azure Integration Runtime | Allowed | Allowed | Azure-Runtime | Delegierte Authentifizierung | Prüfliste für die Bereitstellung |
| Öffentlicher Zugriff mit selbstgehostetem Integration Runtime | Allowed | Zulässig | Selbstgehostete Runtime | Delegierte Authentifizierung/Dienstprinzipal | Prüfliste für die Bereitstellung |
Bekannte Einschränkungen
- Für das mandantenübergreifende Szenario sind delegierte Authentifizierung und Dienstprinzipal die einzigen unterstützten Authentifizierungsoptionen für die Überprüfung.
- Sie können nur eine Überprüfung für eine Power BI-Datenquelle erstellen, die in Ihrem Microsoft Purview-Konto registriert ist.
- Wenn das Power BI-Datasetschema nach der Überprüfung nicht angezeigt wird, liegt dies an einer der aktuellen Einschränkungen beim Power BI-Metadatenscanner.
- Leere Arbeitsbereiche werden übersprungen.
Voraussetzungen
Bevor Sie beginnen, stellen Sie sicher, dass Sie über Folgendes verfügen:
Ein Azure-Konto mit einem aktiven Abonnement. Erstellen Sie kostenlos ein Konto.
Ein aktives Microsoft Purview-Konto.
Registrieren des Power BI-Mandanten
Wählen Sie in den Optionen auf der linken Seite Data Map aus.
Wählen Sie Registrieren und dann Power BI als Datenquelle aus.
Geben Sie Ihrem Power BI-instance einen Anzeigenamen. Der Name muss 3 bis 63 Zeichen lang sein und darf nur Buchstaben, Zahlen, Unterstriche und Bindestriche enthalten. Leerzeichen sind nicht zulässig.
Bearbeiten Sie das Feld Mandanten-ID , um durch den Mandanten für die mandantenübergreifende Power BI-Instanz zu ersetzen, die Sie registrieren und überprüfen möchten. Standardmäßig wird die Mandanten-ID von Microsoft Purview aufgefüllt.
Authentifizieren beim Power BI-Mandanten
In Azure Active Directory-Mandant, wo sich der Power BI-Mandant befindet:
Suchen Sie im Azure-Portal nach Azure Active Directory.
Erstellen Sie eine neue Sicherheitsgruppe in Ihrer Azure Active Directory-Instanz, indem Sie erstellen einer einfachen Gruppe und Hinzufügen von Mitgliedern mithilfe von Azure Active Directory folgen.
Tipp
Sie können diesen Schritt überspringen, wenn Sie bereits über eine Sicherheitsgruppe verfügen, die Sie verwenden möchten.
Wählen Sie Sicherheit als Gruppentyp aus.
Wählen Sie Mitglieder und dann + Mitglieder hinzufügen aus.
Suchen Sie nach Ihrer verwalteten Microsoft Purview-Identität oder Ihrem Dienstprinzipal, und wählen Sie sie aus.
Es sollte eine Erfolgsbenachrichtigung angezeigt werden, die anzeigt, dass sie hinzugefügt wurde.
Zuordnen der Sicherheitsgruppe zum Power BI-Mandanten
Melden Sie sich beim Power BI-Verwaltungsportal an.
Wählen Sie die Seite Mandanteneinstellungen aus.
Wichtig
Sie müssen ein Power BI-Admin sein, um die Seite mit den Mandanteneinstellungen anzuzeigen.
Wählen Sie Admin API-Einstellungen>Dienstprinzipale die Verwendung schreibgeschützter Power BI-Administrator-APIs (Vorschau) erlauben aus.
Wählen Sie Bestimmte Sicherheitsgruppen aus.
Wählen Sie Admin API-Einstellungen>Administrator-APIs-Antworten mit detaillierten Metadaten verbessern und Admin-APIs-Antworten mit DAX- und Mashupausdrücken> verbessern Aktivieren Sie die Umschaltfläche, damit Microsoft Purview Data Map die detaillierten Metadaten von Power BI-Datasets im Rahmen der Überprüfungen automatisch ermitteln können.
Wichtig
Nachdem Sie die Admin API-Einstellungen auf Ihrem Power Bi-Mandanten aktualisiert haben, warten Sie etwa 15 Minuten, bevor Sie eine Überprüfungs- und Testverbindung registrieren.
Achtung
Wenn Sie der von Ihnen erstellten Sicherheitsgruppe (die Über Ihre verwaltete Microsoft Purview-Identität als Mitglied verfügt) die Verwendung schreibgeschützter Power BI-Administrator-APIs gestatten, gewähren Sie ihr auch den Zugriff auf die Metadaten (z. B. Dashboard- und Berichtsnamen, Besitzer, Beschreibungen usw.) für alle Power BI-Artefakte in diesem Mandanten. Nachdem die Metadaten in Microsoft Purview abgerufen wurden, bestimmen die Berechtigungen von Microsoft Purview und nicht die Power BI-Berechtigungen, wer diese Metadaten sehen kann.
Hinweis
Sie können die Sicherheitsgruppe aus Ihren Entwicklereinstellungen entfernen, aber die zuvor extrahierten Metadaten werden nicht aus dem Microsoft Purview-Konto entfernt. Sie können es separat löschen, wenn Sie möchten.
Überprüfen von mandantenübergreifendem Power BI
Delegierte Authentifizierung und Dienstprinzipale sind die einzigen unterstützten Optionen für mandantenübergreifende Überprüfungen. Sie können die Überprüfung mit einer der folgenden Optionen durchführen:
Erstellen einer Überprüfung für mandantenübergreifende Verwendung von Azure IR mit delegierter Authentifizierung
Führen Sie die folgenden Schritte aus, um eine neue Überprüfung mithilfe der Azure-Runtime zu erstellen und auszuführen:
Erstellen Sie ein Benutzerkonto im Azure AD-Mandanten, in dem sich der Power BI-Mandant befindet, und weisen Sie den Benutzer dieser Rolle zu: Power BI-Administrator. Notieren Sie sich den Benutzernamen, und melden Sie sich an, um das Kennwort zu ändern.
Wechseln Sie zum instance von Azure Key Vault in dem Mandanten, in dem Microsoft Purview erstellt wird.
Wählen Sie Einstellungen>Geheimnisse und dann + Generieren/Importieren aus.
Geben Sie einen Namen für das Geheimnis ein. Geben Sie unter Wert das neu erstellte Kennwort für den Azure AD-Benutzer ein. Wählen Sie Erstellen aus, um den Vorgang abzuschließen.
Wenn Ihr Schlüsseltresor noch nicht mit Microsoft Purview verbunden ist, müssen Sie eine neue Key Vault-Verbindung erstellen.
Erstellen Sie eine App-Registrierung in Ihrem Azure AD-Mandanten, in dem sich Power BI befindet. Geben Sie eine Web-URL im Umleitungs-URI an.
Notieren Sie sich die Client-ID (App-ID).
Wählen Sie im Azure AD-Dashboard die neu erstellte Anwendung und dann App-Berechtigungen aus. Weisen Sie der Anwendung die folgenden delegierten Berechtigungen zu, und erteilen Sie dem Mandanten die Administratoreinwilligung:
- Power BI-Dienstmandant.Read.All
- Microsoft Graph openid
- Microsoft Graph User.Read
Wählen Sie im Azure AD-Dashboard die neu erstellte Anwendung und dann Authentifizierung aus. Wählen Sie unter Unterstützte Kontotypen die Option Konten in einem beliebigen Organisationsverzeichnis (Beliebiges Azure AD-Verzeichnis – Mehrinstanzenfähig) aus.
Wählen Sie unter Implizite Genehmigung und Hybridflowsdie Option ID-Token (für implizite und hybride Flows verwendet) aus.
Aktivieren Sie unter Erweiterte Einstellungendie Option Öffentliche Clientflows zulassen.
Navigieren Sie in Microsoft Purview Studio im linken Menü zur Datenzuordnung . Wechseln Sie zu Quellen.
Wählen Sie die registrierte Power BI-Quelle aus mandantenübergreifend aus.
Wählen Sie + Neuer Scan aus.
Geben Sie Ihrem Scan einen Namen. Wählen Sie dann die Option zum Einschließen oder Ausschließen der persönlichen Arbeitsbereiche aus.
Hinweis
Wenn Sie die Konfiguration einer Überprüfung so ändern, dass ein persönlicher Arbeitsbereich eingeschlossen oder ausgeschlossen wird, lösen Sie eine vollständige Überprüfung der Power BI-Quelle aus.
Wählen Sie in der Dropdownliste Azure AutoResolveIntegrationRuntime aus.
Wählen Sie unter Anmeldeinformationen die Option Delegierte Authentifizierung und dann + Neu aus, um neue Anmeldeinformationen zu erstellen.
Erstellen Sie neue Anmeldeinformationen, und geben Sie die folgenden erforderlichen Parameter an:
Name: Geben Sie einen eindeutigen Namen für die Anmeldeinformationen an.
Client-ID: Verwenden Sie die Dienstprinzipalclient-ID (App-ID), die Sie zuvor erstellt haben.
Benutzername: Geben Sie den Benutzernamen des Power BI-Administrators an, den Sie zuvor erstellt haben.
Kennwort: Wählen Sie die entsprechende Key Vault Verbindung und den Geheimen Namen aus, in dem das Kennwort des Power BI-Kontos zuvor gespeichert wurde.
Wählen Sie Verbindung testen aus, bevor Sie mit den nächsten Schritten fortfahren.
Wenn der Test fehlschlägt, wählen Sie Bericht anzeigen aus, um die detaillierte status anzuzeigen und das Problem zu beheben:
- Zugriff: Fehler status bedeutet, dass bei der Benutzerauthentifizierung ein Fehler aufgetreten ist. Überprüfen Sie, ob Benutzername und Kennwort korrekt sind. Überprüfen Sie, ob die Anmeldeinformationen die richtige Client-ID (App) aus der App-Registrierung enthalten.
- Ressourcen (+ Herkunft): Fehler status bedeutet, dass die Autorisierung zwischen Microsoft Purview und Power BI fehlgeschlagen ist. Stellen Sie sicher, dass dem Benutzer die Power BI-Administratorrolle hinzugefügt wird und die richtige Power BI-Lizenz zugewiesen ist.
- Detaillierte Metadaten (erweitert): Fehler status bedeutet, dass das Power BI-Verwaltungsportal für die folgende Einstellung deaktiviert ist: Verbessern von Administrator-APIs-Antworten mit detaillierten Metadaten.
Richten Sie einen Scantrigger ein. Ihre Optionen sind "Recurring" oder "Once".
Wählen Sie unter Neue Überprüfung überprüfendie Option Speichern und ausführen aus, um die Überprüfung zu starten.
Tipp
So beheben Sie Probleme mit der Überprüfung:
- Vergewissern Sie sich, dass Sie die Bereitstellungsprüfliste für Ihr Szenario abgeschlossen haben.
- Lesen Sie unsere Dokumentation zur Problembehandlung bei Der Überprüfung.
Erstellen einer mandantenübergreifenden Überprüfung mithilfe der selbstgehosteten IR mit Dienstprinzipal
Führen Sie die folgenden Schritte aus, um eine neue Überprüfung mithilfe der selbstgehosteten Integration Runtime zu erstellen und auszuführen:
Erstellen Sie eine App-Registrierung in Ihrem Azure AD-Mandanten, in dem sich Power BI befindet. Geben Sie eine Web-URL im Umleitungs-URI an.
Notieren Sie sich die Client-ID (App-ID).
Wählen Sie im Azure AD-Dashboard die neu erstellte Anwendung und dann App-Berechtigungen aus. Weisen Sie der Anwendung die folgenden delegierten Berechtigungen zu:
- Microsoft Graph openid
- Microsoft Graph User.Read
Wählen Sie im Azure AD-Dashboard die neu erstellte Anwendung und dann Authentifizierung aus. Wählen Sie unter Unterstützte Kontotypen die Option Konten in einem beliebigen Organisationsverzeichnis (Beliebiges Azure AD-Verzeichnis – Mehrinstanzenfähig) aus.
Wählen Sie unter Implizite Genehmigung und Hybridflowsdie Option ID-Token (für implizite und hybride Flows verwendet) aus.
Aktivieren Sie unter Erweiterte Einstellungendie Option Öffentliche Clientflows zulassen.
Navigieren Sie in dem Mandanten, in dem Microsoft Purview erstellt wird, zum instance von Azure Key Vault.
Wählen Sie Einstellungen>Geheimnisse und dann + Generieren/Importieren aus.
Geben Sie einen Namen für das Geheimnis ein. Geben Sie unter Wert das neu erstellte Geheimnis für die App-Registrierung ein. Wählen Sie Erstellen aus, um den Vorgang abzuschließen.
Erstellen Sie unter Zertifikate & geheimnisse ein neues Geheimnis, und speichern Sie es sicher für die nächsten Schritte.
Navigieren Sie Azure-Portal zu Ihrem Azure-Schlüsseltresor.
Wählen Sie Einstellungen>Geheimnisse und dann + Generieren/Importieren aus.
Geben Sie einen Namen für das Geheimnis und unter Wert das neu erstellte Geheimnis für die App-Registrierung ein. Wählen Sie Erstellen aus, um den Vorgang abzuschließen.
Wenn Ihr Schlüsseltresor noch nicht mit Microsoft Purview verbunden ist, müssen Sie eine neue Key Vault-Verbindung erstellen.
Navigieren Sie in Microsoft Purview Studio im linken Menü zur Datenzuordnung . Wechseln Sie zu Quellen.
Wählen Sie die registrierte Power BI-Quelle aus mandantenübergreifend aus.
Wählen Sie + Neuer Scan aus.
Geben Sie Ihrem Scan einen Namen. Wählen Sie dann die Option zum Einschließen oder Ausschließen der persönlichen Arbeitsbereiche aus.
Hinweis
Wenn Sie die Konfiguration einer Überprüfung so ändern, dass ein persönlicher Arbeitsbereich eingeschlossen oder ausgeschlossen wird, lösen Sie eine vollständige Überprüfung der Power BI-Quelle aus.
Wählen Sie in der Dropdownliste Ihre selbstgehostete Integration Runtime aus.
Wählen Sie unter Anmeldeinformationendie Option Dienstprinzipal und dann + Neu aus, um neue Anmeldeinformationen zu erstellen.
Erstellen Sie neue Anmeldeinformationen, und geben Sie die folgenden erforderlichen Parameter an:
- Name: Geben Sie einen eindeutigen Namen für Anmeldeinformationen an.
- Authentifizierungsmethode: Dienstprinzipal
- Mandanten-ID: Ihre Power BI-Mandanten-ID
- Client-ID: Verwenden Sie die zuvor erstellte Dienstprinzipalclient-ID (App-ID).
Wählen Sie Verbindung testen aus, bevor Sie mit den nächsten Schritten fortfahren.
Wenn der Test fehlschlägt, wählen Sie Bericht anzeigen aus, um die detaillierte status anzuzeigen und das Problem zu beheben:
- Zugriff: Fehler status bedeutet, dass bei der Benutzerauthentifizierung ein Fehler aufgetreten ist. Überprüfen Sie, ob die App-ID und das Geheimnis korrekt sind. Überprüfen Sie, ob die Anmeldeinformationen die richtige Client-ID (App) aus der App-Registrierung enthalten.
- Ressourcen (+ Herkunft): Fehler status bedeutet, dass die Autorisierung zwischen Microsoft Purview und Power BI fehlgeschlagen ist. Stellen Sie sicher, dass dem Benutzer die Power BI-Administratorrolle hinzugefügt wird und die richtige Power BI-Lizenz zugewiesen ist.
- Detaillierte Metadaten (erweitert): Fehler status bedeutet, dass das Power BI-Verwaltungsportal für die folgende Einstellung deaktiviert ist: Verbessern von Administrator-APIs-Antworten mit detaillierten Metadaten.
Richten Sie einen Scantrigger ein. Ihre Optionen sind "Recurring" oder "Once".
Wählen Sie unter Neue Überprüfung überprüfendie Option Speichern und ausführen aus, um die Überprüfung zu starten.
Tipp
So beheben Sie Probleme mit der Überprüfung:
- Vergewissern Sie sich, dass Sie die Bereitstellungsprüfliste für Ihr Szenario abgeschlossen haben.
- Lesen Sie unsere Dokumentation zur Problembehandlung bei Der Überprüfung.
Prüfliste für die Bereitstellung
Die Bereitstellungsprüfliste enthält eine Zusammenfassung aller Schritte, die Sie zum Einrichten einer mandantenübergreifenden Power BI-Quelle ausführen müssen. Sie können es während des Setups oder für die Problembehandlung verwenden, um zu bestätigen, dass Sie alle erforderlichen Schritte zum Herstellen einer Verbindung ausgeführt haben.
- Öffentlicher Zugriff mit Azure Integration Runtime
- Öffentlicher Zugriff mit selbstgehostetem Integration Runtime
Überprüfen von mandantenübergreifendem Power BI mithilfe der delegierten Authentifizierung in einem öffentlichen Netzwerk
Stellen Sie sicher, dass die Power BI-Mandanten-ID während der Registrierung richtig eingegeben wurde. Standardmäßig wird die Power BI-Mandanten-ID, die im gleichen Azure Active Directory (Azure AD)-instance wie Microsoft Purview vorhanden ist, aufgefüllt.
Stellen Sie sicher, dass Ihr Power BI-Metadatenmodell auf dem neuesten Stand ist, indem Sie die Metadatenüberprüfung aktivieren.
Überprüfen Sie im Azure-Portal, ob das Microsoft Purview-Kontonetzwerk auf öffentlichen Zugriff festgelegt ist.
Stellen Sie im Power BI-Mandantenverwaltungsportal sicher, dass der Power BI-Mandant so konfiguriert ist, dass ein öffentliches Netzwerk zugelassen wird.
Überprüfen Sie Ihre instance von Azure Key Vault, um Folgendes sicherzustellen:
- Das Kennwort oder geheimnis enthält keine Tippfehler.
- Die verwaltete Microsoft Purview-Identität verfügt über Zugriff auf Geheimnisse und Listen .
Überprüfen Sie Ihre Anmeldeinformationen, um folgendes zu überprüfen:
- Die Client-ID entspricht der Anwendungs-ID (Client) der App-Registrierung.
- Bei delegierter Authentifizierung enthält der Benutzername den Benutzerprinzipalnamen, z
johndoe@contoso.com. B. .
Überprüfen Sie im Azure AD-Mandanten von Power BI die folgenden Power BI-Administratorbenutzereinstellungen:
- Der Benutzer wird der Power BI-Administratorrolle zugewiesen.
- Dem Benutzer wird mindestens eine Power BI-Lizenz zugewiesen.
- Wenn der Benutzer kürzlich erstellt wurde, melden Sie sich mindestens einmal mit dem Benutzer an, um sicherzustellen, dass das Kennwort erfolgreich zurückgesetzt wurde und der Benutzer die Sitzung erfolgreich initiieren kann.
- Es werden keine Richtlinien für mehrstufige Authentifizierung oder bedingten Zugriff für den Benutzer erzwungen.
Überprüfen Sie im Azure AD-Mandanten von Power BI die folgenden App-Registrierungseinstellungen:
- Die App-Registrierung ist in Ihrem Azure AD-Mandanten vorhanden, in dem sich der Power BI-Mandant befindet.
- Wenn dienstprinzipal verwendet wird, werden unter API-Berechtigungen die folgenden delegierten Berechtigungen mit Lesezugriff für die folgenden APIs zugewiesen:
- Microsoft Graph openid
- Microsoft Graph User.Read
- Wenn delegierte Authentifizierung verwendet wird, werden unter API-Berechtigungen die folgenden delegierten Berechtigungen und das Erteilen der Administratoreinwilligung für den Mandanten mit lesen für die folgenden APIs eingerichtet:
- Power BI-Dienstmandant.Read.All
- Microsoft Graph openid
- Microsoft Graph User.Read
- Unter Authentifizierung:
- Unterstützte Kontotypen>Konten in einem beliebigen Organisationsverzeichnis (Beliebiges Azure AD-Verzeichnis – mehrinstanzenfähig) ist ausgewählt.
- Implizite Genehmigung und Hybridflows>ID-Token (die für implizite und hybride Flows verwendet werden) ist ausgewählt.
- Öffentliche Clientflows zulassen ist aktiviert.
Stellen Sie im Power BI-Mandanten aus dem Azure Active Directory-Mandanten sicher, dass der Dienstprinzipal Mitglied der neuen Sicherheitsgruppe ist.
Überprüfen Sie im Power BI-Mandantenportal Admin, ob Dienstprinzipale die Verwendung schreibgeschützter Power BI-Administrator-APIs zulassen für die neue Sicherheitsgruppe aktiviert ist.
Nächste Schritte
Nachdem Sie Ihre Quelle registriert haben, lesen Sie die folgenden Leitfäden, um mehr über Microsoft Purview und Ihre Daten zu erfahren.