Merk
Tilgang til denne siden krever autorisasjon. Du kan prøve å logge på eller endre kataloger.
Tilgang til denne siden krever autorisasjon. Du kan prøve å endre kataloger.
Denne artikkelen beskriver hvordan man kan bruke den autoriserte motormodellen for å tillate at enhver motor eller applikasjon kan integreres med OneLake-sikrede data.
OneLake-sikkerhet gir finjustert tilgangskontroll på data i OneLake, og håndhever dette overalt hvor dataene er tilgjengelige. OneLake-sikkerhet er designet rundt en sentralisert policydefinisjon med kontrollert, distribuert håndhevelse. Sikkerhetspolicyer som rollebaserte tillatelser, rad-nivå sikkerhet (RLS) og kolonne-nivå sikkerhet (CLS) utformes og lagres én gang i OneLake. Håndheving skjer under spørringstidspunktet inne i motoren som leser dataene. Men ikke alle motorer forstår hvordan de skal håndheve tilgangskontrollreglene som er definert i OneLake. Som et resultat blokkerer OneLake tilgang til data med RLS- eller CLS-policyer satt dersom brukeren ikke får se all data. For å la din egen motor eller applikasjon håndheve OneLake-sikkerhet, konfigurer den som en autorisert motor.
Hvordan distribuert håndheving fungerer
OneLake gir hver autorisert motor brukerens effektive tilgang, inkludert tabeller, rader og kolonner som brukeren kan få tilgang til. Motoren anvender disse tillatelsene i sitt eget spørringslag. Å håndheve retningslinjer i spørringsmotoren lar motoren bruke sine egne spørringsprosesserings-, cache- og optimaliseringsmuligheter, mens OneLake forblir sannhetskilden for policydefinisjonene. En motor som ikke kan håndheve en brukers RLS- eller CLS-tillatelser kan ikke lese den sikrede tabellen på vegne av brukeren.
Notat
For en dypere diskusjon om designbeslutningene bak sentralisert policydefinisjon og distribuert håndhevelse, se The future of data security is interoperability: A technical look to OneLake security.
Sett opp en autorisert motor
Autoriserte motorer konfigureres av en arbeidsområde-administrator eller medlem ved å gi motoridentiteten nødvendige rettigheter i Fabric. For hver motor du vil godkjenne, bruk følgende steg:
- Konsulter dokumentasjonen for motoren din for å finne identiteten som brukes av motoren til å spørre data fra eksterne kilder. Merk at kun Microsoft Entra-identiteter støttes i Fabric.
- Legg til motoridentiteten i Medlem-rollen via arbeidsplasstillatelser. Autorisert motortilgang er begrenset til spesifikke arbeidsområder. Dette steget gir identiteten nødvendige rettigheter for å lese Metadata for OneLakes sikkerhetsrolle og lese de fysiske datafilene fra OneLake. Du kan tilbakekalle identitetens tilgang når som helst ved å fjerne den fra arbeidsplassrollen.