Bereitstellen des Lesezugriffs auf Azure Arc-fähige SQL Server 2022 mithilfe von Microsoft Purview-Datenbesitzerrichtlinien (Vorschau)

  • Artikel

Wichtig

Dieses Feature ist derzeit in der Vorschau. Die zusätzlichen Nutzungsbedingungen für Microsoft Azure Previews enthalten zusätzliche rechtliche Bestimmungen, die für Azure-Features gelten, die sich in der Betaversion, in der Vorschau oder anderweitig noch nicht in der allgemeinen Verfügbarkeit befinden.

Datenbesitzerrichtlinien sind eine Art von Microsoft Purview-Zugriffsrichtlinien. Sie ermöglichen es Ihnen, den Zugriff auf Benutzerdaten in Quellen zu verwalten, die für die Datennutzungsverwaltung in Microsoft Purview registriert wurden. Diese Richtlinien können direkt im Microsoft Purview-Governanceportal erstellt werden und werden nach der Veröffentlichung von der Datenquelle erzwungen.

In diesem Leitfaden wird beschrieben, wie ein Datenbesitzer Erstellungsrichtlinien in Microsoft Purview delegieren kann, um den Zugriff auf azure Arc-fähige SQL Server zu ermöglichen. Die folgenden Aktionen sind derzeit aktiviert: Lesen. Diese Aktion wird nur für Richtlinien auf Serverebene unterstützt. Ändern wird zu diesem Zeitpunkt nicht unterstützt.

Voraussetzungen

Regionsunterstützung

Die Richtlinienerzwingung ist in allen Microsoft Purview-Regionen verfügbar, außer:

  • USA, Westen2
  • Ostasien
  • US Gov Virginia
  • China, Norden 3

Sicherheitsüberlegungen für azure Arc-fähige SQL Server

  • Der Serveradministrator kann die Microsoft Purview-Richtlinienerzwingung deaktivieren.
  • Azure Arc-Administrator- und Serveradministratorberechtigungen bieten die Möglichkeit, den Azure Resource Manager Pfad des Servers zu ändern. Da Zuordnungen in Microsoft Purview Resource Manager Pfade verwenden, kann dies zu falschen Richtlinienerzwingungen führen.
  • Ein SQL Server-Administrator (Datenbankadministrator) kann die Leistungsfähigkeit eines Serveradministrators erlangen und die zwischengespeicherten Richtlinien von Microsoft Purview manipulieren.
  • Die empfohlene Konfiguration besteht darin, für jede SQL Server-instance eine separate App-Registrierung zu erstellen. Diese Konfiguration verhindert, dass der zweite SQL Server instance die Richtlinien für den ersten SQL Server instance liest, falls ein nicht autorisierter Administrator im zweiten SQL Server instance den Resource Manager Pfad manipuliert.

Überprüfen der Voraussetzungen

  1. Melden Sie sich über diesen Link beim Azure-Portal an.

  2. Navigieren Sie im linken Bereich zu SQL Server . Es wird eine Liste der SQL Server-Instanzen in Azure Arc angezeigt.

  3. Wählen Sie die SQL Server instance aus, die Sie konfigurieren möchten.

  4. Wechseln Sie im linken Bereich zu Azure Active Directory .

  5. Stellen Sie sicher, dass die Azure Active Directory-Authentifizierung mit einer Administratoranmeldung konfiguriert ist. Wenn dies nicht der Fall ist, lesen Sie den Abschnitt Voraussetzungen für Zugriffsrichtlinien in diesem Leitfaden.

  6. Stellen Sie sicher, dass ein Zertifikat für bereitgestellt wurde, damit SQL Server sich bei Azure authentifizieren können. Wenn dies nicht der Fall ist, lesen Sie den Abschnitt Voraussetzungen für Zugriffsrichtlinien in diesem Leitfaden.

  7. Stellen Sie sicher, dass eine App-Registrierung eingegeben wurde, um eine Vertrauensstellung zwischen SQL Server und Azure AD zu erstellen. Wenn dies nicht der Fall ist, lesen Sie den Abschnitt Voraussetzungen für Zugriffsrichtlinien in diesem Leitfaden.

  8. Wenn Sie Änderungen vorgenommen haben, wählen Sie die Schaltfläche Speichern aus, um die Konfiguration zu speichern und zu warten, bis der Vorgang erfolgreich abgeschlossen wurde. Dies kann einige Minuten dauern. Die Meldung "Saved successfully" (Erfolgreich gespeichert) wird oben auf der Seite in grünem Hintergrund angezeigt. Möglicherweise müssen Sie nach oben scrollen, um es anzuzeigen.

    Screenshot: Voraussetzungen zum Konfigurieren eines Microsoft Purview-Endpunkts im Abschnitt

Microsoft Purview-Konfiguration

Registrieren der Datenquelle in Microsoft Purview

Bevor eine Richtlinie in Microsoft Purview für eine Datenressource erstellt werden kann, müssen Sie diese Datenressource in Microsoft Purview Studio registrieren. Die Anweisungen zum Registrieren der Datenressource finden Sie weiter unten in diesem Leitfaden.

Hinweis

Microsoft Purview-Richtlinien basieren auf dem ARM-Pfad der Datenressource. Wenn eine Datenressource in eine neue Ressourcengruppe oder ein neues Abonnement verschoben wird, muss sie die Registrierung aufheben und dann erneut in Microsoft Purview registriert werden.

Konfigurieren von Berechtigungen zum Aktivieren der Verwaltung der Datennutzung für die Datenquelle

Sobald eine Ressource registriert wurde, aber bevor eine Richtlinie in Microsoft Purview für diese Ressource erstellt werden kann, müssen Sie Berechtigungen konfigurieren. Zum Aktivieren der Datennutzungsverwaltung sind eine Reihe von Berechtigungen erforderlich. Dies gilt für Datenquellen, Ressourcengruppen oder Abonnements. Um die Verwaltung der Datennutzung zu aktivieren, müssen Sie sowohl über bestimmte Berechtigungen für die Identitäts- und Zugriffsverwaltung (IAM) für die Ressource als auch über bestimmte Microsoft Purview-Berechtigungen verfügen:

  • Sie müssen entweder eine der folgenden IAM-Rollenkombinationen für den Azure-Resource Manager-Pfad der Ressource oder ein übergeordnetes Element (d. a. die Iam-Berechtigungsvererbung) verwenden:

    • IAM-Besitzer
    • Sowohl IAM-Mitwirkender als auch IAM-Benutzerzugriffsadministrator

    Befolgen Sie diese Anleitung, um Berechtigungen für die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) in Azure zu konfigurieren. Der folgende Screenshot zeigt, wie Sie auf den Abschnitt Access Control in der Azure-Portal zugreifen, damit die Datenressource eine Rollenzuweisung hinzufügen kann.

    Screenshot: Abschnitt im Azure-Portal zum Hinzufügen einer Rollenzuweisung

    Hinweis

    Die Rolle IAM-Besitzer für eine Datenressource kann von einer übergeordneten Ressourcengruppe, einem Abonnement oder einer Abonnementverwaltungsgruppe geerbt werden. Überprüfen Sie, welche Azure AD-Benutzer, -Gruppen und -Dienstprinzipale die Rolle IAM-Besitzer für die Ressource besitzen oder erben.

  • Außerdem müssen Sie über die Microsoft Purview-Rolle Datenquellenadministrator für die Sammlung oder eine übergeordnete Sammlung verfügen (wenn die Vererbung aktiviert ist). Weitere Informationen finden Sie im Leitfaden zum Verwalten von Microsoft Purview-Rollenzuweisungen.

    Der folgende Screenshot zeigt, wie Sie die Rolle "Datenquellenadministrator " auf der Stammsammlungsebene zuweisen.

    Screenshot: Auswahl zum Zuweisen der Rolle

Konfigurieren von Microsoft Purview-Berechtigungen zum Erstellen, Aktualisieren oder Löschen von Zugriffsrichtlinien

Zum Erstellen, Aktualisieren oder Löschen von Richtlinien müssen Sie die Rolle Richtlinienautor in Microsoft Purview auf Stammsammlungsebene abrufen:

  • Die Rolle Richtlinienautor kann DevOps- und Datenbesitzerrichtlinien erstellen, aktualisieren und löschen.
  • Die Rolle Richtlinienautor kann Self-Service-Zugriffsrichtlinien löschen.

Weitere Informationen zum Verwalten von Microsoft Purview-Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Sammlungen im Microsoft Purview Data Map.

Hinweis

Die Rolle "Richtlinienautor" muss auf der Stammsammlungsebene konfiguriert werden.

Darüber hinaus können Sie beim Erstellen oder Aktualisieren des Themas einer Richtlinie sehr gut durch Azure AD-Benutzer oder -Gruppen suchen, indem Sie die Berechtigung Verzeichnisleseberechtigte in Azure AD erhalten. Dies ist eine allgemeine Berechtigung für Benutzer in einem Azure-Mandanten. Ohne die Berechtigung Verzeichnisleser muss der Richtlinienautor den vollständigen Benutzernamen oder die E-Mail-Adresse für alle Prinzipale eingeben, die im Betreff einer Datenrichtlinie enthalten sind.

Konfigurieren von Microsoft Purview-Berechtigungen für die Veröffentlichung von Datenbesitzerrichtlinien

Datenbesitzerrichtlinien ermöglichen Überprüfungen und Gleichgewichte, wenn Sie die Microsoft Purview-Richtlinienautor- und Datenquellenadministratorrollen verschiedenen Personen im organization zuweisen. Bevor eine Datenbesitzerrichtlinie wirksam wird, muss sie von einer zweiten Person (Datenquellenadministrator) überprüft und durch Veröffentlichung explizit genehmigt werden. Dies gilt nicht für DevOps- oder Self-Service-Zugriffsrichtlinien, da die Veröffentlichung automatisch erfolgt, wenn diese Richtlinien erstellt oder aktualisiert werden.

Um eine Datenbesitzerrichtlinie zu veröffentlichen, müssen Sie die Rolle Datenquellenadministrator in Microsoft Purview auf Stammsammlungsebene abrufen.

Weitere Informationen zum Verwalten von Microsoft Purview-Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Sammlungen im Microsoft Purview Data Map.

Hinweis

Zum Veröffentlichen von Datenbesitzerrichtlinien muss die Rolle Datenquellenadministrator auf der Stammsammlungsebene konfiguriert werden.

Delegieren der Verantwortung für die Zugriffsbereitstellung an Rollen in Microsoft Purview

Nachdem eine Ressource für die Verwaltung der Datennutzung aktiviert wurde, kann jeder Microsoft Purview-Benutzer mit der Rolle Richtlinienautor auf der Stammsammlungsebene zugriff auf diese Datenquelle aus Microsoft Purview bereitstellen.

Hinweis

Jeder Microsoft Purview-Stammsammlungsadministrator kann neue Benutzer den Stammrollen des Richtlinienautors zuweisen. Jeder Sammlungsadministrator kann neue Benutzer einer Datenquellenadministratorrolle unter der Sammlung zuweisen. Minimieren Sie die Benutzer, die die Rollen Microsoft Purview-Sammlungsadministrator, Datenquellenadministrator oder Richtlinienautor besitzen, und überprüfen Sie sie sorgfältig.

Wenn ein Microsoft Purview-Konto mit veröffentlichten Richtlinien gelöscht wird, werden solche Richtlinien innerhalb eines Zeitraums, der von der jeweiligen Datenquelle abhängt, nicht mehr erzwungen. Diese Änderung kann Auswirkungen auf die Sicherheit und die Verfügbarkeit des Datenzugriffs haben. Die Rollen Mitwirkender und Besitzer in IAM können Microsoft Purview-Konten löschen. Sie können diese Berechtigungen überprüfen, indem Sie zum Abschnitt Zugriffssteuerung (IAM) für Ihr Microsoft Purview-Konto wechseln und Rollenzuweisungen auswählen. Sie können auch eine Sperre verwenden, um zu verhindern, dass das Microsoft Purview-Konto über Resource Manager Sperren gelöscht wird.

Registrieren von Datenquellen in Microsoft Purview

Registrieren Sie jede Datenquelle bei Microsoft Purview, um später Zugriffsrichtlinien zu definieren.

  1. Melden Sie sich bei Microsoft Purview Studio an.

  2. Navigieren Sie im linken Bereich zum Feature Data Map , wählen Sie Quellen und dann Registrieren aus. Geben Sie "Azure Arc" in das Suchfeld ein, und wählen Sie SQL Server in Azure Arc aus. Wählen Sie dann Weiter aus.

    Screenshot: Auswählen einer Quelle für die Registrierung

  3. Geben Sie einen Namen für diese Registrierung ein. Es empfiehlt sich, den Namen der Registrierung im nächsten Schritt mit dem Servernamen zu identisch zu machen.

  4. Wählen Sie ein Azure-Abonnement, einen Servernamen und einen Serverendpunkt aus.

  5. Wählen Sie eine Sammlung aus, in der diese Registrierung abgelegt werden soll.

  6. Aktivieren Sie die Verwaltung der Datennutzung. Die Verwaltung der Datennutzung benötigt bestimmte Berechtigungen und kann sich auf die Sicherheit Ihrer Daten auswirken, da sie an bestimmte Microsoft Purview-Rollen delegiert wird, um den Zugriff auf die Datenquellen zu verwalten. Gehen Sie die sicheren Methoden im Zusammenhang mit der Datennutzungsverwaltung in diesem Leitfaden durch: Aktivieren der Datennutzungsverwaltung

  7. Wählen Sie unten Registrieren oder Übernehmen aus.

Sobald die Umschaltfläche Datennutzungsverwaltung für Ihre Datenquelle aktiviert ist, sieht sie wie in dieser Abbildung aus.

Screenshot: Registrieren einer Datenquelle für eine Richtlinie

Aktivieren von Richtlinien in azure Arc-fähigen SQL Server

In diesem Abschnitt werden die Schritte zum Konfigurieren von SQL Server in Azure Arc für die Verwendung von Microsoft Purview beschrieben. Führen Sie diese Schritte aus, nachdem Sie die Verwaltungsoption Datennutzung für diese Datenquelle im Microsoft Purview-Konto aktiviert haben.

  1. Melden Sie sich über diesen Link beim Azure-Portal an.

  2. Navigieren Sie im linken Bereich zu SQL Server . Es wird eine Liste der SQL Server-Instanzen in Azure Arc angezeigt.

  3. Wählen Sie die SQL Server instance aus, die Sie konfigurieren möchten.

  4. Wechseln Sie im linken Bereich zu Azure Active Directory .

  5. Scrollen Sie nach unten zu Microsoft Purview-Zugriffsrichtlinien.

  6. Wählen Sie die Schaltfläche "Nach Microsoft Purview-Governance suchen" aus. Warten Sie, während die Anforderung verarbeitet wird. In diesem Fall wird diese Meldung oben auf der Seite angezeigt. Möglicherweise müssen Sie nach oben scrollen, um es anzuzeigen.

    Screenshot, der zeigt, dass der Arc-SQL-Agent eine Anforderung verarbeitet

  7. Vergewissern Sie sich unten auf der Seite, dass im Microsoft Purview-Governancestatus angezeigt wird Governed. Beachten Sie, dass es bis zu 30 Minuten dauern kann, bis die richtige status widerzuspiegeln ist. Fahren Sie mit einer Browseraktualisierung fort, bis dies geschieht.

    Screenshot: Microsoft Purview-Endpunkt status im Abschnitt

  8. Vergewissern Sie sich, dass der Microsoft Purview-Endpunkt auf das Microsoft Purview-Konto verweist, in dem Sie diese Datenquelle registriert und die Verwaltung der Datennutzung aktiviert haben.

Erstellen und Veröffentlichen einer Datenbesitzerrichtlinie

Führen Sie die Schritte in den Abschnitten Erstellen einer neuen Richtlinie und Veröffentlichen einer Richtlinie des Tutorials zum Erstellen von Datenbesitzerrichtlinien aus. Das Ergebnis ist eine Datenbesitzerrichtlinie ähnlich wie im Beispiel:

Beispiel: Leserichtlinie. Diese Richtlinie weist den Azure AD-Prinzipal "sg-Finance" der SQL-Datenleseraktion im Bereich von SQL Server DESKTOP-xxx zu. Diese Richtlinie wurde auch auf diesem Server veröffentlicht. Beachten Sie, dass Richtlinien im Zusammenhang mit dieser Aktion unterhalb der Serverebene nicht unterstützt werden.

Screenshot einer Beispielrichtlinie für Datenbesitzer, die datenleseberechtigten Zugriff auf eine Azure SQL-Datenbank gibt.

Hinweis

  • Da die Überprüfung für diese Datenquelle derzeit nicht verfügbar ist, können Datenleserichtlinien nur auf Serverebene erstellt werden. Verwenden Sie das Feld Datenquellen anstelle des Felds Medienobjekt, wenn Sie die Datenressourcen erstellen, die Teil der Richtlinie sind.
  • Es gibt ein bekanntes Problem mit SQL Server Management Studio, das verhindert, dass mit der rechten Maustaste auf eine Tabelle geklickt und die Option "Top 1000 Zeilen auswählen" ausgewählt wird.

Wichtig

  • Veröffentlichen ist ein Hintergrundvorgang. Es kann bis zu 5 Minuten dauern, bis die Änderungen in dieser Datenquelle widerzuspiegeln sind.
  • Zum Ändern einer Richtlinie ist kein neuer Veröffentlichungsvorgang erforderlich. Die Änderungen werden mit dem nächsten Pull übernommen.

Aufheben der Veröffentlichung einer Datenbesitzerrichtlinie

Folgen Sie diesem Link, um die Veröffentlichung einer Datenbesitzerrichtlinie in Microsoft Purview aufzuheben.

Aktualisieren oder Löschen einer Datenbesitzerrichtlinie

Folgen Sie diesem Link, um die Schritte zum Aktualisieren oder Löschen einer Datenbesitzerrichtlinie in Microsoft Purview anzuzeigen.

Testen der Richtlinie

Nachdem die Richtlinie veröffentlicht und der Datenquelle mitgeteilt wurde, sollte jeder der Azure AD-Benutzer im Betreff in der Lage sein, eine Verbindung herzustellen und eine Abfrage auszuführen, die auf die Ressourcen abzielt, auf die die Richtlinie Zugriff gewährt hat. Verwenden Sie zum Testen SSMS oder einen beliebigen SQL-Client, und versuchen Sie, eine Abfrage auszuführen. Versuchen Sie beispielsweise, auf eine SQL-Tabelle zuzugreifen, für die Sie Lesezugriff gewährt haben.

Wenn Sie eine zusätzliche Problembehandlung benötigen, lesen Sie den Abschnitt Nächste Schritte in diesem Leitfaden.

Rollendefinitionsdetails

Dieser Abschnitt enthält einen Verweis darauf, wie relevante Microsoft Purview-Datenrichtlinienrollen bestimmten Aktionen in SQL-Datenquellen zugeordnet werden.

Microsoft Purview-Richtlinienrollendefinition Datenquellenspezifische Aktionen
Lesen Microsoft.Sql/sqlservers/Connect
Microsoft.Sql/sqlservers/databases/Connect
Microsoft.Sql/Sqlservers/Databases/Schemas/Tables/Rows
Microsoft.Sql/Sqlservers/Databases/Schemas/Views/Rows

Nächste Schritte

Sehen Sie sich Blog, Demo und zugehörige Anleitungen an