Sicurezza dei dati in OneLake

OneLake garantisce la sicurezza su due aerei:

  • Permessi del piano di controllo: Determina cosa puoi fare a un elemento, come crearlo, configurarlo, condividerlo o gestirlo. Imposta i permessi del piano di controllo a livello di workspace con i ruoli dello spazio di lavoro e a livello di elemento tramite la condivisione e la pagina dei permessi di gestione dell'elemento.
  • Permessi del piano dati: Regola quali dati puoi vedere o modificare. Per OneLake, questo aereo è la sicurezza di OneLake. Definisci questi ruoli su un elemento e riscalali in cartelle, tabelle, schemi, righe e colonne.

La tabella seguente confronta i due piani:

Asse Piano di controllo Piano di dati
Che cosa governa Azioni di gestione sugli elementi, come creare, configurare, condividere ed eliminare. L'accesso ai dati stessi, come la lettura e la scrittura su tabelle e file.
Dove è ambientato Ruoli nello spazio di lavoro e permessi degli oggetti. Definiti su un elemento, poi portati a cartelle, tabelle, righe e colonne.
Granularità Funzionalità a livello di elemento. Fino a righe e colonne singole.
Chi riguarda Tutti nello spazio di lavoro. Principalmente visualizzatori o utenti con autorizzazione di lettura. Amministratori, Membri e Contributori hanno già accesso ai dati.

Per controllare cosa può fare una persona, usa il piano di controllo con ruoli di spazio di lavoro e oggetti. Per controllare quali dati specifici una persona vede, usa il piano dati con la sicurezza OneLake.

OneLake è un data lake gerarchico, come Azure Data Lake Storage (ADLS) Gen2 o il file system Windows. I due piani si applicano a livelli diversi di questa gerarchia:

  • Area di lavoro: ambiente collaborativo per la creazione e la gestione degli elementi. Gestisci la sicurezza del control plane tramite i ruoli dell'area di lavoro a questo livello.

  • Elemento: un set di funzionalità raggruppate in un singolo componente. Un elemento dati in Fabric è quello che memorizza dati, come una casa sul lago, un magazzino o un database SQL in Fabric. Gli elementi ereditano i permessi dai ruoli dello spazio di lavoro ma possono avere permessi aggiuntivi per il piano di controllo. Definisci anche i ruoli di sicurezza OneLake su un oggetto.

  • Cartelle e inferiori: Cartelle, come Tables/ o Files/, insieme a tabelle, schemi, righe e colonne, organizzano i dati all'interno di un elemento. La sicurezza di OneLake definisce l'accesso al piano dati a questi livelli.

Gli elementi si trovano sempre all'interno delle aree di lavoro e le aree di lavoro si trovano sempre direttamente nello spazio dei nomi OneLake.

Diagramma che mostra la natura gerarchica di OneLake come struttura di cartelle. OneLake/Area di lavoro/Elemento come esempio.

Gestire i permessi del piano di controllo con ruoli di workspace e di elemento

OneLake gestisce i permessi a livello di workspace e di oggetto. Le autorizzazioni dell'area di lavoro e degli elementi costituiscono il modello di sicurezza del control plane per gli elementi in OneLake.

Concedi l'accesso con ruoli dell'area di lavoro

Le autorizzazioni dell'area di lavoro definiscono le azioni che gli utenti possono eseguire all'interno di un'area di lavoro e dei relativi elementi. Queste autorizzazioni sono principalmente autorizzazioni del control plane. Determinano funzionalità amministrative e di gestione degli elementi, non l'accesso diretto ai dati. Tuttavia, gli elementi e le cartelle in genere ereditano le autorizzazioni dell'area di lavoro per concedere l'accesso ai dati per impostazione predefinita. I permessi dello spazio di lavoro si applicano a tutti gli elementi all'interno di quell'area di lavoro.

I quattro diversi ruoli dell'area di lavoro concedono diversi tipi di accesso. La tabella seguente elenca i comportamenti predefiniti di ogni ruolo dell'area di lavoro:

Ruolo È possibile aggiungere amministratori? È possibile aggiungere membri? È possibile modificare la sicurezza di OneLake? È possibile scrivere dati e creare elementi? È possibile leggere i dati in OneLake? È possibile aggiornare ed eliminare l'area di lavoro?
Amministratore Sì Sì Sì Sì Sì Sì
Membro NO Sì Sì Sì Sì NO
Contributore NO NO NO Sì Sì NO
Visualizzatore NO NO NO NO No* NO

* È possibile concedere ai visualizzatori l'accesso ai dati usando i ruoli di sicurezza di OneLake.

Altre informazioni sui ruoli nelle aree di lavoro in Fabric.

Semplifica la gestione dei ruoli di workspace di Fabric assegnandoli ai gruppi di sicurezza. Questo metodo consente di controllare l'accesso aggiungendo o rimuovendo membri dal gruppo di sicurezza.

Condividi gli elementi e imposta i permessi a livello di oggetto

Usando la funzionalità di condivisione , è possibile concedere a un utente l'accesso diretto a un elemento. L'utente non può vedere altri elementi nello spazio di lavoro e non fa parte di nessun ruolo di spazio di lavoro. Le autorizzazioni degli elementi concedono l'accesso per connettersi a tale elemento e a qualsiasi endpoint a cui l'utente può accedere.

Autorizzazione È possibile vedere i metadati di un elemento? È possibile vedere i dati in SQL? È possibile vedere i dati in OneLake?
Scrittura Sì Sì Sì
Leggi Sì NO NO
LeggiDati NO Solo in modalità delegata NO
LeggiTutto NO NO Solo tramite DefaultReader

L'accesso tramite l'endpoint di analisi SQL dipende anche dalla modalità dell'endpoint di analisi SQL. A seconda della modalità, gli utenti potrebbero aver bisogno delle autorizzazioni SQL o dell'autorizzazione dell'elemento ReadData, oltre all'accesso in lettura all'elemento.

Puoi anche configurare i permessi nella pagina Gestione dei permessi di un elemento. In questa pagina puoi aggiungere o rimuovere il permesso di singoli elementi per utenti o gruppi. Il tipo di elemento determina le autorizzazioni disponibili.

Gestire l'accesso ai dati con i ruoli di sicurezza OneLake

La sicurezza OneLake fornisce una sicurezza granulare basata sui ruoli per i dati memorizzati in OneLake e garantisce questa sicurezza in modo coerente su tutti i motori di calcolo in Fabric. La sicurezza di OneLake è il modello di sicurezza del piano dati per i dati in OneLake.

Gli utenti di Fabric nei ruoli dell'area di lavoro Amministratore o Membro possono creare ruoli di sicurezza di OneLake per concedere agli utenti l'accesso ai dati all'interno di una risorsa. Ogni ruolo è costituito da quattro componenti:

  • Permessi: I permessi che il ruolo concede sui dati, come Read o ReadWrite.
  • Tipo: Il tipo di ruolo. La sicurezza OneLake supporta solo i ruoli Grant, che permettono di accedere ai dati.
  • Dati nel ruolo: Le tabelle, cartelle o schemi a cui il ruolo concede accesso. Puoi anche definire l'accesso ai dati con la sicurezza a livello di riga e colonna su tabelle.
  • Membri nel ruolo: Le identità Microsoft Entra assegnate al ruolo, come utenti, gruppi o identità non utente.

I ruoli di sicurezza di OneLake concedono l'accesso ai dati per gli utenti nel ruolo di area di lavoro Visualizzatore o con autorizzazione di lettura per l'elemento. Gli amministratori dello spazio di lavoro, i membri e i contributori hanno già permessi di lettura e scrittura su tutti i dati presenti in uno spazio di lavoro, quindi non sono influenzati dai ruoli di sicurezza di OneLake. Il ruolo DefaultReader esiste in tutti i lakehouse e concede a qualsiasi utente con il permesso ReadAll l'accesso ai dati nel lakehouse. È possibile eliminare o modificare il ruolo DefaultReader per rimuovere tale accesso.

Per lavorare con la sicurezza di OneLake, utilizza questi articoli sull'accesso ai dati:

Applicare la sicurezza OneLake nei motori autorizzati di terze parti (anteprima)

Configura i tuoi motori di terze parti come motori autorizzati in modo che possano far rispettare i ruoli di sicurezza di OneLake. I motori di query esterni possono registrarsi come motori autorizzati, recuperare definizioni di policy di sicurezza e accesso effettivo precalcolato tramite le API OneLake, e far rispettare i permessi di tabella, la sicurezza a livello di riga (RLS) e la sicurezza a livello di colonna (CLS) al momento della consulta. OneLake rimane l'unica fonte di verità per i criteri di sicurezza. Le politiche vengono redatte una sola volta e applicate in modo coerente sia nei motori Fabric che nei motori esterni autorizzati.

Per maggiori informazioni, consulta le integrazioni di sicurezza di OneLake.

Dati sicuri accessibili tramite scorciatoie

I collegamenti in OneLake semplificano la gestione dei dati. La sicurezza delle cartelle di OneLake si applica ai collegamenti in funzione dei ruoli definiti nella lakehouse in cui sono archiviati i dati.

Per altre informazioni sulle considerazioni sulla sicurezza delle scorciatoie, vedere In che modo la sicurezza di OneLake controlla l'accesso ai dati > Scorciatoie.

Per informazioni sull'accesso e sull'autenticazione per collegamenti specifici, vedere tipi di collegamenti a OneLake.

Autentica su OneLake con Microsoft Entra ID

OneLake usa l'ID Microsoft Entra per l'autenticazione. Usarlo per concedere le autorizzazioni alle identità utente e ai principali del servizio. OneLake estrae automaticamente l'identità utente dagli strumenti che usano l'autenticazione di Microsoft Entra e ne esegue il mapping alle autorizzazioni impostate nel portale di Fabric.

Nota

Per usare le entità servizio in un tenant di Fabric, un amministratore del tenant deve abilitare i nomi delle entità servizio (SPN) per l'intero tenant o specifici gruppi di sicurezza. Scopri di più su come abilitare le entità servizio nelle Impostazioni sviluppatore del portale di amministrazione del tenant.

Monitorare l'attività OneLake con i log di audit

Per visualizzare i log di controllo di OneLake, seguire le istruzioni riportate in Tenere traccia delle attività utente in Fabric. I nomi delle operazioni di OneLake corrispondono alle API ADLS, ad esempio, CreateFile o DeleteFile. I log di controllo di OneLake non includono richieste di lettura o richieste effettuate a OneLake tramite carichi di lavoro di Fabric.

Crittografia dati e rete sicura in OneLake

OneLake protegge i tuoi dati criptandoli sia a riposo che durante il transito, e permettendoti di limitare l'accesso alla rete con link privati. Le sezioni seguenti descrivono ciascuna di queste salvaguardie.

Cripta i dati a riposo con chiavi gestite da Microsoft e gestite dal cliente

I dati archiviati in OneLake vengono crittografati a riposo per impostazione predefinita usando chiavi gestite da Microsoft. Le chiavi gestite da Microsoft vengono ruotate in modo appropriato. OneLake crittografa e decrittografa i dati in modo trasparente ed è conforme a FIPS 140-2.

È possibile utilizzare la crittografia per i dati inattivi con chiavi gestite dal cliente, aggiungendo così un ulteriore livello di protezione grazie alle chiavi che si possiedono e controllano direttamente. Per altre informazioni, vedere Chiavi gestite dal cliente per le aree di lavoro di Fabric.

Crittografiare i dati durante il transito usando TLS

I dati in transito attraverso la rete Internet pubblica tra i servizi Microsoft vengono sempre crittografati usando almeno TLS 1.2. Fabric cerca di negoziare TLS 1.3 ogni volta che è possibile. Il traffico tra i servizi Microsoft viene sempre instradato attraverso la rete globale Microsoft.

La comunicazione in entrata di OneLake applica anche TLS 1.2 e negozia con TLS 1.3, quando possibile. La comunicazione di Fabric in uscita all'infrastruttura di proprietà del cliente preferisce protocolli sicuri, ma potrebbe eseguire il fallback a protocolli meno recenti e non sicuri (incluso TLS 1.0) quando i protocolli più recenti non sono supportati.

Per configurare i collegamenti privati in Fabric, vedere Configurare e usare i collegamenti privati.

Consentire alle app che girano al di fuori di Fabric di accedere ai dati

È possibile consentire o limitare l'accesso ai dati di OneLake dalle applicazioni esterne all'ambiente Fabric. Gli amministratori possono trovare questa impostazione nella sezione OneLake delle impostazioni del tenant del portale di amministrazione.

Quando si attiva questa impostazione, gli utenti possono accedere ai dati da tutte le origini. Ad esempio, attiva questa impostazione se hai applicazioni personalizzate che utilizzano API ADLS o OneLake file explorer. Quando si disattiva questa impostazione, gli utenti possono comunque accedere ai dati da app interne come Spark, Data Engineering e Data Warehouse, ma non possono accedere ai dati dalle applicazioni in esecuzione all'esterno degli ambienti fabric.

Contenuto correlato

  • Last updated on