SQL-detaljerte tillatelser i Microsoft Fabric

  • Artikkel

Gjelder for: SQL Analytics-endepunkt og Warehouse i Microsoft Fabric

Når standardtillatelsene gitt av tildeling til arbeidsområderoller eller gitt gjennom elementtillatelser er utilstrekkelige, er standard SQL-konstruksjoner tilgjengelige for mer detaljert kontroll.

For SQL Analytics-endepunkt og Lager:

  • Objektnivåsikkerhet kan administreres ved hjelp av GRANT, REVOKE og DENY T-SQL-syntaks.
  • Brukere kan tilordnes SQL-roller, både egendefinerte og innebygde databaseroller.

Detaljerte tillatelser for bruker

  • For at en bruker skal kunne koble til databasen, må brukeren tilordnes en arbeidsområderolle eller tilordnet lesetillatelsen for elementet. Uten lesetillatelsen mislykkes tilkoblingen som et minimum.
  • Hvis du vil konfigurere en brukers detaljerte tillatelser før du tillater at de kobler til lageret, kan tillatelser først konfigureres i SQL. Deretter kan de få tilgang ved å tilordne dem til en arbeidsområderolle eller gi elementtillatelser.

Begrensninger

  • CREATE USER kan ikke utføres eksplisitt for øyeblikket. Når GRANT eller DENY kjøres, opprettes brukeren automatisk. Brukeren kan ikke koble til før det er gitt tilstrekkelige rettigheter på arbeidsområdenivå.

Vis mine tillatelser

Når en bruker kobler til SQL-tilkoblingsstreng, kan de vise tillatelsene som er tilgjengelige for dem ved hjelp av sys.fn_my_permissions-funksjonen.

Tillatelser for brukerdatabaseomfang:

SELECT *
FROM sys.fn_my_permissions(NULL, 'Database');

Brukerens tillatelser for skjemaomfang:

SELECT *
FROM sys.fn_my_permissions('<schema-name>', 'Schema');

Brukerens tillatelser for objektomfang:

SELECT *
FROM sys.fn_my_permissions('<schema-name>.<object-name>', 'Object');

Vis tillatelser gitt eksplisitt til brukere

Når den er koblet til via SQL-tilkoblingsstreng, kan en bruker med utvidede tillatelser spørre etter gitte tillatelser ved hjelp av systemvisninger. Dette viser ikke brukere eller brukertillatelser som gis til brukere, ved å bli tilordnet til arbeidsområderoller eller tilordnede elementtillatelser.

SELECT DISTINCT pr.principal_id, pr.name, pr.type_desc, 
 pr.authentication_type_desc, pe.state_desc, pe.permission_name
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe
 ON pe.grantee_principal_id = pr.principal_id;

Databeskyttelsesfunksjoner

Du kan sikre kolonnefiltre og predikatbaserte radfiltre på tabeller i Lager- eller SQL-analyseendepunkt til roller og brukere i Microsoft Fabric. Du kan også maskere sensitive data fra ikke-administratorer ved hjelp av dynamisk datamaskering.

Relatert innhold