Restrict-instructie

De beperkingsinstructie beperkt de set tabel-/weergave-entiteiten die zichtbaar zijn voor query-instructies die erop volgen. In een database met twee tabellen (A, B) kan de toepassing bijvoorbeeld voorkomen dat de rest van de query toegang heeft tot B een beperkte vorm van een tabel A met behulp van een weergave.

Het belangrijkste scenario van de beperkingsinstructie is voor toepassingen in de middelste laag die query's van gebruikers accepteren en een beveiligingsmechanisme op rijniveau op die query's willen toepassen. De toepassing in de middelste laag kan de query van de gebruiker vooraf laten gaan door een logisch model, een set let-instructies die weergaven definiëren die de toegang van de gebruiker tot gegevens beperken, bijvoorbeeld ( ). T | where UserId == "..." Omdat de laatste instructie wordt toegevoegd, wordt de toegang van de gebruiker tot het logische model beperkt.

Notitie

De restrict-instructie kan worden gebruikt om de toegang tot entiteiten in een andere database of cluster te beperken (jokertekens worden niet ondersteund in clusternamen).

Syntax

restrictaccessto(EntitySpecifiers)

Meer informatie over syntaxisconventies.

Parameters

Naam	Type	Vereist	Beschrijving
EntitySpecifiers	string	✔️	Een of meer door komma's gescheiden entiteitsaanduidingen. De mogelijke waarden zijn: - Een id die is gedefinieerd door een let-instructie als een tabellaire weergave - Een tabel- of functieverwijzing, vergelijkbaar met een verwijzing die wordt gebruikt door een samenvoegingsinstructie - Een patroon dat is gedefinieerd door een patroondeclaratie

Notitie

• Alle tabellen, tabelweergaven of patronen die niet zijn opgegeven door de instructie beperken, worden 'onzichtbaar' voor de rest van de query.
• Let, set en tabellaire instructies worden aan elkaar gekoppeld/gescheiden door een puntkomma, anders worden ze niet beschouwd als onderdeel van dezelfde query.

Voorbeelden

Let-instructie

In het volgende voorbeeld wordt een let-instructie gebruikt die vóór restrict de instructie wordt weergegeven.

// Limit access to 'Test' let statement only
let Test = () { print x=1 };
restrict access to (Test);

Tabellen of functies

In het volgende voorbeeld worden verwijzingen naar tabellen of functies gebruikt die zijn gedefinieerd in de metagegevens van de database.

// Assuming the database that the query uses has table Table1 and Func1 defined in the metadata, 
// and other database 'DB2' has Table2 defined in the metadata

restrict access to (database().Table1, database().Func1, database('DB2').Table2);

Patronen

In het volgende voorbeeld worden jokertekenpatronen gebruikt die kunnen overeenkomen met veelvouden van let-instructies of tabellen/functies.

let Test1 = () { print x=1 };
let Test2 = () { print y=1 };
restrict access to (*);
// Now access is restricted to Test1, Test2 and no tables/functions are accessible.

// Assuming the database that the query uses has table Table1 and Func1 defined in the metadata.
// Assuming that database 'DB2' has table Table2 and Func2 defined in the metadata
restrict access to (database().*);
// Now access is restricted to all tables/functions of the current database ('DB2' is not accessible).

// Assuming the database that the query uses has table Table1 and Func1 defined in the metadata.
// Assuming that database 'DB2' has table Table2 and Func2 defined in the metadata
restrict access to (database('DB2').*);
// Now access is restricted to all tables/functions of the database 'DB2'

Voorkomen dat de gebruiker query's uitvoert op andere gebruikersgegevens

In het volgende voorbeeld ziet u hoe een toepassing in de middelste laag de query van een gebruiker kan voorbereiden met een logisch model dat voorkomt dat de gebruiker query's uitvoert op gegevens van andere gebruikers.

// Assume the database has a single table, UserData,
// with a column called UserID and other columns that hold
// per-user private information.
//
// The middle-tier application generates the following statements.
// Note that "username@domain.com" is something the middle-tier application
// derives per-user as it authenticates the user.
let RestrictedData = view () { Data | where UserID == "username@domain.com" };
restrict access to (RestrictedData);
// The rest of the query is something that the user types.
// This part can only reference RestrictedData; attempting to reference Data
// will fail.
RestrictedData | summarize MonthlySalary=sum(Salary) by Year, Month

// Restricting access to Table1 in the current database (database() called without parameters)
restrict access to (database().Table1);
Table1 | count

// Restricting access to Table1 in the current database and Table2 in database 'DB2'
restrict access to (database().Table1, database('DB2').Table2);
union 
    (Table1),
    (database('DB2').Table2))
| count

// Restricting access to Test statement only
let Test = () { range x from 1 to 10 step 1 };
restrict access to (Test);
Test

// Assume that there is a table called Table1, Table2 in the database
let View1 = view () { Table1 | project Column1 };
let View2 = view () { Table2 | project Column1, Column2 };
restrict access to (View1, View2);

// When those statements appear before the command - the next works
let View1 = view () { Table1 | project Column1 };
let View2 = view () { Table2 | project Column1, Column2 };
restrict access to (View1, View2);
View1 |  count

// When those statements appear before the command - the next access is not allowed
let View1 = view () { Table1 | project Column1 };
let View2 = view () { Table2 | project Column1, Column2 };
restrict access to (View1, View2);
Table1 |  count

Deze mogelijkheid wordt niet ondersteund in Azure Monitor