Provisionner l’accès en lecture à Azure SQL Database à l’aide de stratégies de propriétaire de données Microsoft Purview (préversion)

Importante

Cette fonctionnalité est actuellement en préversion. Les conditions d’utilisation supplémentaires pour les préversions de Microsoft Azure incluent des conditions juridiques supplémentaires qui s’appliquent aux fonctionnalités Azure qui sont en version bêta, en préversion ou qui ne sont pas encore publiées en disponibilité générale.

Les stratégies de propriétaire de données sont un type de stratégies d’accès Microsoft Purview. Ils vous permettent de gérer l’accès aux données utilisateur dans les sources qui ont été inscrites pour la gestion de l’utilisation des données dans Microsoft Purview. Ces stratégies peuvent être créées directement dans le portail de gouvernance Microsoft Purview et, après la publication, elles sont appliquées par la source de données.

Ce guide explique comment un propriétaire de données peut déléguer des stratégies de création dans Microsoft Purview pour permettre l’accès à Azure SQL Database. Les actions suivantes sont actuellement activées : Lecture. La modification n’est pas prise en charge à ce stade.

Configuration requise

• Un compte Azure avec un abonnement actif. Créez un compte gratuitement.

• Un compte Microsoft Purview nouveau ou existant. Suivez ce guide de démarrage rapide pour en créer un.

• Créez un instance de base de données Azure SQL ou utilisez-en un existant dans l’une des régions actuellement disponibles pour cette fonctionnalité. Vous pouvez suivre ce guide pour créer un Azure SQL Database instance.

Prise en charge des régions

Toutes les régions Microsoft Purview sont prises en charge.

L’application des stratégies Microsoft Purview est disponible uniquement dans les régions suivantes pour Azure SQL Database :

Cloud public :

• USA Est
• USA Est2
• USA Centre Sud
• USA Centre Ouest
• USA Ouest3
• Canada Centre
• Brésil Sud
• Europe Ouest
• Europe Nord
• France Centre
• Sud du Royaume-Uni
• Afrique du Sud Nord
• Inde Centre
• Asie Du Sud-Est
• Asie Est
• Australie Est

Clouds souverains :

• USGov Virginie
• Chine Nord 3

Configurer le instance de base de données Azure SQL pour les stratégies à partir de Microsoft Purview

Pour que le serveur logique associé à Azure SQL Database respecte les stratégies de Microsoft Purview, vous devez configurer un administrateur Azure Active Directory. Dans le Portail Azure, accédez au serveur logique qui héberge le Azure SQL Database instance. Dans le menu latéral, sélectionnez Azure Active Directory. Définissez un nom d’administrateur sur n’importe quel utilisateur ou groupe Azure Active Directory que vous préférez, puis sélectionnez Enregistrer.

Ensuite, dans le menu latéral, sélectionnez Identité. Sous Identité managée affectée par le système, définissez le status sur Activé, puis sélectionnez Enregistrer.

Configuration de Microsoft Purview

Inscrire la source de données dans Microsoft Purview

Avant de pouvoir créer une stratégie dans Microsoft Purview pour une ressource de données, vous devez inscrire cette ressource de données dans Microsoft Purview Studio. Vous trouverez les instructions relatives à l’inscription de la ressource de données plus loin dans ce guide.

Remarque

Les stratégies Microsoft Purview s’appuient sur le chemin d’accès ARM de la ressource de données. Si une ressource de données est déplacée vers un nouveau groupe de ressources ou un nouvel abonnement, elle doit être désinscrit, puis ré-inscrite dans Microsoft Purview.

Configurer les autorisations pour activer la gestion de l’utilisation des données sur la source de données

Une fois qu’une ressource est inscrite, mais avant qu’une stratégie puisse être créée dans Microsoft Purview pour cette ressource, vous devez configurer les autorisations. Un ensemble d’autorisations est nécessaire pour activer la gestion de l’utilisation des données. Cela s’applique aux sources de données, aux groupes de ressources ou aux abonnements. Pour activer la gestion de l’utilisation des données, vous devez disposer de privilèges iam (Identity and Access Management) spécifiques sur la ressource, ainsi que des privilèges Microsoft Purview spécifiques :

• Vous devez disposer de l’une des combinaisons de rôles IAM suivantes sur le chemin d’accès azure Resource Manager de la ressource ou sur n’importe quel parent de celui-ci (c’est-à-dire, en utilisant l’héritage d’autorisation IAM) :

  • Propriétaire IAM
  • Contributeur IAM et Administrateur de l’accès utilisateur IAM

  Pour configurer les autorisations de contrôle d’accès en fonction du rôle (RBAC) Azure, suivez ce guide. La capture d’écran suivante montre comment accéder à la section Access Control dans la Portail Azure de la ressource de données pour ajouter une attribution de rôle.

  

  Remarque

  Le rôle Propriétaire IAM pour une ressource de données peut être hérité d’un groupe de ressources parent, d’un abonnement ou d’un groupe d’administration d’abonnement. Vérifiez quels utilisateurs, groupes et principaux de service Azure AD détiennent ou héritent du rôle Propriétaire IAM pour la ressource.

• Vous devez également disposer du rôle d’administrateur de source de données Microsoft Purview pour la collection ou une collection parente (si l’héritage est activé). Pour plus d’informations, consultez le guide sur la gestion des attributions de rôles Microsoft Purview.

  La capture d’écran suivante montre comment attribuer le rôle d’administrateur de source de données au niveau de la collection racine.

  

Configurer des autorisations Microsoft Purview pour créer, mettre à jour ou supprimer des stratégies d’accès

Pour créer, mettre à jour ou supprimer des stratégies, vous devez obtenir le rôle auteur de stratégie dans Microsoft Purview au niveau de la collection racine :

• Le rôle Auteur de stratégie peut créer, mettre à jour et supprimer des stratégies DevOps et Propriétaire des données.
• Le rôle Auteur de stratégie peut supprimer des stratégies d’accès en libre-service.

Pour plus d’informations sur la gestion des attributions de rôles Microsoft Purview, consultez Créer et gérer des regroupements dans le Mappage de données Microsoft Purview.

Remarque

Le rôle d’auteur de stratégie doit être configuré au niveau de la collection racine.

En outre, pour rechercher facilement des utilisateurs ou des groupes Azure AD lors de la création ou de la mise à jour de l’objet d’une stratégie, vous pouvez grandement tirer parti de l’obtention de l’autorisation Lecteurs d’annuaire dans Azure AD. Il s’agit d’une autorisation courante pour les utilisateurs d’un locataire Azure. Sans l’autorisation Lecteur d’annuaire, l’auteur de la stratégie doit taper le nom d’utilisateur ou l’e-mail complet pour tous les principaux inclus dans l’objet d’une stratégie de données.

Configurer des autorisations Microsoft Purview pour publier des stratégies de propriétaire des données

Les stratégies de propriétaire des données permettent des vérifications et des équilibres si vous attribuez les rôles d’auteur de stratégie Microsoft Purview et d’administrateur de source de données à différentes personnes dans le organization. Avant qu’une stratégie de propriétaire de données ne prenne effet, une deuxième personne (administrateur de source de données) doit l’examiner et l’approuver explicitement en la publiant. Cela ne s’applique pas aux stratégies d’accès DevOps ou libre-service, car la publication est automatique pour ces stratégies lors de la création ou de la mise à jour de ces stratégies.

Pour publier une stratégie de propriétaire de données, vous devez obtenir le rôle Administrateur de source de données dans Microsoft Purview au niveau de la collection racine.

Pour plus d’informations sur la gestion des attributions de rôles Microsoft Purview, consultez Créer et gérer des regroupements dans le Mappage de données Microsoft Purview.

Remarque

Pour publier des stratégies de propriétaire de données, le rôle d’administrateur de source de données doit être configuré au niveau de la collection racine.

Déléguer la responsabilité du provisionnement de l’accès aux rôles dans Microsoft Purview

Une fois qu’une ressource a été activée pour la gestion de l’utilisation des données, tout utilisateur Microsoft Purview disposant du rôle d’auteur de stratégie au niveau de la collection racine peut provisionner l’accès à cette source de données à partir de Microsoft Purview.

Remarque

Tout administrateur de collection racine Microsoft Purview peut attribuer de nouveaux utilisateurs aux rôles d’auteur de stratégie racine. Tout administrateur de collection peut affecter de nouveaux utilisateurs à un rôle d’administrateur de source de données sous le regroupement. Réduisez et vérifiez soigneusement les utilisateurs qui détiennent les rôles d’administrateur de collection Microsoft Purview, d’administrateur de source de données ou d’auteur de stratégie .

Si un compte Microsoft Purview avec des stratégies publiées est supprimé, ces stratégies cesseront d’être appliquées dans un délai qui dépend de la source de données spécifique. Cette modification peut avoir des implications sur la sécurité et la disponibilité de l’accès aux données. Les rôles Contributeur et Propriétaire dans IAM peuvent supprimer des comptes Microsoft Purview. Vous pouvez case activée ces autorisations en accédant à la section Contrôle d’accès (IAM) de votre compte Microsoft Purview et en sélectionnant Attributions de rôles. Vous pouvez également utiliser un verrou pour empêcher la suppression du compte Microsoft Purview via des verrous Resource Manager.

Inscrire les sources de données dans Microsoft Purview

La source de données Azure SQL Database doit d’abord être inscrite auprès de Microsoft Purview avant de créer des stratégies d’accès. Vous pouvez suivre ces guides :

Inscrire et analyser Azure SQL Base de données

Une fois que vous avez inscrit vos ressources, vous devez activer la gestion de l’utilisation des données. La gestion de l’utilisation des données peut affecter la sécurité de vos données, car elle délègue à certains rôles Microsoft Purview pour gérer l’accès aux sources de données. Passez en revue les pratiques sécurisées liées à la gestion de l’utilisation des données dans ce guide : Comment activer la gestion de l’utilisation des données

Une fois que le bouton bascule Gestion de l’utilisation des donnéesest activé pour votre source de données, il ressemble à cette capture d’écran. Cela permet d’utiliser les stratégies d’accès avec le serveur Azure SQL donné et toutes ses bases de données contenues.

Revenez à la Portail Azure pour Azure SQL Database afin de vérifier qu’elle est désormais régie par Microsoft Purview :

1. Connectez-vous au Portail Azure via ce lien

2. Sélectionnez le serveur Azure SQL que vous souhaitez configurer.

3. Accédez à Azure Active Directory dans le volet gauche.

4. Faites défiler jusqu’à Stratégies d’accès Microsoft Purview.

5. Sélectionnez le bouton Pour vérifier la gouvernance Microsoft Purview. Patientez pendant le traitement de la demande. Cela peut prendre quelques minutes.

   

6. Vérifiez que l’état de gouvernance De Microsoft Purview affiche Governed. Notez que l’activation de la gestion de l’utilisation des données dans Microsoft Purview peut prendre quelques minutes pour que les status appropriées soient reflétées.

Remarque

Si vous désactivez la gestion de l’utilisation des données pour cette source de données de base de données Azure SQL, la mise à jour automatique Not Governedde l’état de gouvernance Microsoft Purview peut prendre jusqu’à 24 heures. Cette opération peut être accélérée en sélectionnant Vérifier la gouvernance Microsoft Purview. Avant d’activer la gestion de l’utilisation des données pour la source de données dans un autre compte Microsoft Purview, vérifiez que l’état de gouvernance Purview s’affiche sous la forme Not Governed. Répétez ensuite les étapes ci-dessus avec le nouveau compte Microsoft Purview.

Créer et publier une stratégie de propriétaire des données

Exécutez les étapes décrites dans les sections Créer une stratégie et Publier une stratégie du didacticiel de création de stratégie de propriétaire de données. Le résultat est une stratégie de propriétaire de données similaire à l’exemple présenté.

Exemple : Stratégie de lecture. Cette stratégie affecte le principal Azure AD « Robert Murphy » à l’action lecteur de données SQL , dans l’étendue de SQL Server relecloud-sql-srv2. Cette stratégie a également été publiée sur ce serveur. Notez que les stratégies associées à cette action sont prises en charge au niveau du serveur (par exemple, base de données, table)

Importante

• La publication est une opération en arrière-plan. Jusqu’à 5 minutes peuvent être nécessaires pour que les modifications soient reflétées dans cette source de données.
• La modification d’une stratégie ne nécessite pas de nouvelle opération de publication. Les modifications seront récupérées lors de la prochaine extraction.

Annuler la publication d’une stratégie de propriétaire de données

Suivez ce lien pour connaître les étapes permettant d’annuler la publication d’une stratégie de propriétaire de données dans Microsoft Purview.

Mettre à jour ou supprimer une stratégie de propriétaire de données

Suivez ce lien pour connaître les étapes de mise à jour ou de suppression d’une stratégie de propriétaire de données dans Microsoft Purview.

Tester la stratégie

Après avoir créé la stratégie, tous les utilisateurs Azure AD dans l’objet doivent maintenant être en mesure de se connecter aux sources de données dans l’étendue de la stratégie. Pour tester, utilisez SSMS ou n’importe quel client SQL et essayez d’interroger. Essayez d’accéder à une table SQL à laquelle vous avez fourni un accès en lecture.

Si vous avez besoin d’un dépannage supplémentaire, consultez la section Étapes suivantes de ce guide.

Détails de la définition de rôle

Cette section contient une référence sur la façon dont les rôles de stratégie de données Microsoft Purview pertinents sont mappés à des actions spécifiques dans des sources de données SQL.

Définition de rôle de stratégie Microsoft Purview	Actions spécifiques à la source de données
Read	Microsoft.Sql/sqlservers/Connect
	Microsoft.Sql/sqlservers/databases/Connect
	Microsoft.Sql/Sqlservers/Databases/Schemas/Tables/Rows
	Microsoft.Sql/Sqlservers/Databases/Schemas/Views/Rows

Prochaines étapes

Consultez le blog, la démonstration et les guides pratiques associés

• Doc : Concepts pour les stratégies de propriétaire de données Microsoft Purview
• Doc : Stratégies de propriétaire des données Microsoft Purview sur toutes les sources de données d’un abonnement ou d’un groupe de ressources
• Doc : Stratégies de propriétaire de données Microsoft Purview sur un SQL Server avec Azure Arc
• Doc : Résoudre les problèmes liés aux stratégies Microsoft Purview pour les sources de données SQL
• Blog : Accorder aux utilisateurs l’accès aux ressources de données de votre entreprise via l’API