Planejamento da implementação do Power BI: planejamento de segurança do consumidor de relatório

Observação

Este artigo faz parte da série de artigos sobre o Planejamento de implantação do Power BI. Esta série se concentra principalmente na carga de trabalho do Power BI dentro do Microsoft Fabric. Para ter uma introdução a essa série, confira Planejamento de implementação do Power BI.

Este artigo de planejamento de segurança descreve estratégias para consumidores somente leitura. O foco está nas permissões do visualizador para relatórios e aplicativos e em como impor a segurança de dados. Ele é voltado principalmente para:

• Administradores do Power BI: os administradores responsáveis por supervisionar o Power BI na organização.
• Equipe do Centro de Excelência, de TI e de BI: as equipes que também são responsáveis por supervisionar o Power BI. Talvez seja necessário colaborar com administradores do Power BI, equipes de segurança da informação e outras equipes relevantes.
• Criadores e proprietários de conteúdo: criadores de BI de autoatendimento que precisam criar, publicar, proteger e gerenciar conteúdo que outras pessoas consomem.

A série de artigos tem a finalidade de expandir o conteúdo no white paper sobre segurança do Power BI. Embora o white paper de segurança do Power BI se concentre em tópicos técnicos importantes, como autenticação, residência de dados e isolamento de rede, o objetivo principal da série é fornecer considerações e decisões para ajudá-lo a planejar a segurança e a privacidade.

Em uma organização, muitos usuários são classificados como consumidores. Os consumidores exibem o conteúdo que outros usuários criaram e publicaram. Os consumidores são o foco deste artigo. Para planejamento de segurança focado em criadores e proprietários de conteúdo, consulte o artigo Planejamento de segurança do criador de conteúdo.

Para obter o máximo deste artigo, é útil entender o significado dos termos compartilhamento e distribuição no contexto do Power BI.

O compartilhamento ocorre quando um usuário dá a outro usuário, ou grupo de usuários, acesso a uma parte específica do conteúdo. O recurso de compartilhamento no serviço do Power BI tem como escopo um item. Em geral, o compartilhamento ocorre entre indivíduos que conhecem uns aos outros e que trabalham juntos.

Adistribuição ocorre quando o conteúdo é entregue a outros usuários, que são conhecidos como destinatários. Geralmente, isso envolve um número maior de usuários em várias equipes. Os destinatários podem não ter solicitado explicitamente o conteúdo, mas é reconhecido que eles precisam dele para executar sua função. Os destinatários que consomem conteúdo distribuído podem ou não conhecer o criador original do conteúdo. Dessa forma, a distribuição como conceito é mais formal do que o compartilhamento.

Quando você conversa com outras pessoas, determine se elas estão usando o termo compartilhamento de maneira geral ou literalmente. O uso do termo compartilhamento pode ser interpretado de duas maneiras.

• O termo compartilhamento é frequentemente usado de forma geral e refere-se ao compartilhamento de conteúdo com colegas. Há várias técnicas para fornecer conteúdo somente leitura, que são descritas neste artigo.
• Ocompartilhamento também é um recurso específico no Power BI. É uma funcionalidade em que um usuário ou grupo recebe acesso a um único item. Os links de compartilhamento e o compartilhamento de acesso direto são descritos neste artigo.

Importante

A função de administrador do Power BI foi renomeada. O novo nome da função é Administrador do Fabric.

Estratégia para consumidores somente leitura

No serviço do Power BI, os consumidores podem exibir um relatório ou painel quando têm permissão para ambos:

• Exiba o item do Power BI que contém as visualizações (como um relatório ou painel).
• Leia os dados subjacentes (modelo semântico — anteriormente conhecido como modelo semântico — ou outra fonte qualquer).

Você pode fornecer acesso somente leitura aos consumidores usando técnicas diferentes. As técnicas comuns usadas pelos criadores de conteúdo de autoatendimento incluem:

• Conceder acesso a usuários e grupos a um aplicativo do Power BI.
• Adicionar usuários e grupos a uma função de visualizador de workspace do Power BI.
• Fornecer permissões de usuários e grupos por item por meio de um link de compartilhamento.
• Fornecer permissões de usuários e grupos por item por meio de acesso direto.

As opções de função de Visualizador do workspace do Power BI e do aplicativo Power BI envolvem o gerenciamento de permissões para um conjunto de itens. As duas técnicas de permissões por item envolvem o gerenciamento de permissões para um item individual.

Dica

Geralmente, é uma prática recomendada usar um aplicativo do Power BI para a maioria dos consumidores. Ocasionalmente, a função visualizador do espaço de trabalho também pode ser apropriada. Os aplicativos do Power BI e a função de visualizador do workspace permitem o gerenciamento de permissões para muitos itens e devem ser usados sempre que possível. O gerenciamento de permissões para itens individuais pode ser entediante, demorado e propenso a erros. Por outro lado, o gerenciamento de um conjunto de itens reduz a necessidade de manutenção e melhora a precisão.

Ao revisar as configurações de segurança de um item, você pode ver que suas permissões são:

• Herdadas do workspace ou de um aplicativo.
• Aplicadas diretamente ao item.

Na captura de tela a seguir, as permissões de Acesso direto são mostradas para um relatório. Nesse caso, as funções de Administração e de Membro do workspace são atribuídas a um grupo. Essas funções são mostradas para o relatório porque o acesso no nível do relatório é herdado do workspace. Há também um usuário que tem permissões de leitura aplicadas diretamente ao relatório.

A estratégia escolhida para consumidores somente leitura pode ser diferente. Ela deve ser baseada na solução individual, nas preferências de quem gerencia a solução ou nas necessidades do consumidor. O restante desta seção descreve quando considerar o uso de cada uma das técnicas disponíveis.

Lista de verificação: Ao criar sua estratégia para fornecer conteúdo para consumidores somente leitura, as principais decisões e ações incluem:

• Avaliar a estratégia existente para consumidores somente leitura: verifique como o conteúdo é distribuído e compartilhado para os consumidores no momento. Identifique se há oportunidades de melhoria.
• Decidir sobre sua estratégia para consumidores somente leitura: considere quais são suas preferências para usar permissões de aplicativo, funções de workspace ou permissões por item. Se forem necessárias alterações para atender a essas preferências, crie um plano para fazer melhorias.

Permissões do aplicativo do Power BI

Um aplicativo do Power BI fornece uma coleção de relatórios, painéis e pastas de trabalho aos consumidores. Um aplicativo fornece a melhor experiência do usuário para os consumidores porque:

• O painel de navegação do aplicativo fornece uma experiência de usuário simples e intuitiva. É uma experiência mais agradável do que acessar conteúdo diretamente em um workspace.
• O conteúdo pode ser organizado logicamente em seções (que são como pastas) no painel de navegação do aplicativo.
• Os consumidores só têm acesso a itens específicos que foram explicitamente incluídos no aplicativo para seu público-alvo.
• Links para informações adicionais, documentação ou outro conteúdo podem ser adicionados ao painel de navegação para seu público-alvo.
• Há um fluxo de trabalho de Acesso de solicitação interno.

Observação

Todas as referências a um aplicativo neste artigo referem-se a um aplicativo do Power BI. É um conceito diferente do Power Apps. Também é um conceito diferente dos aplicativos móveis do Power BI. Nesta seção, o foco está em aplicativos organizacionais em vez de aplicativos de modelo.

Você pode criar um aplicativo para cada workspace como uma maneira formal de distribuir algum ou todo o conteúdo do workspace. Os aplicativos são uma boa maneira de distribuir conteúdo amplamente dentro de uma organização, especialmente para usuários com os quais você não conhece ou não colabora de perto.

Dica

Para obter mais informações sobre como usar um aplicativo do Power BI para distribuição ampla de conteúdo, consulte o cenário de uso do BI corporativo . Recomendamos que os criadores de conteúdo que precisam distribuir conteúdo considerem a criação de um aplicativo como primeira opção.

Você gerencia permissões de aplicativo separadamente das funções de workspace. A separação de permissões tem duas vantagens. Ela incentiva:

• A concessão de acesso ao workspace aos criadores de conteúdo. Isso inclui usuários que estão colaborando ativamente no conteúdo, como criadores de modelo semântico, criadores de relatórios e testadores.
• A concessão de permissões de aplicativo aos consumidores. Ao contrário das permissões de workspace, as permissões de aplicativo sempre são somente leitura (ou nenhuma).

Todos os usuários com acesso ao espaço de trabalho podem exibir automaticamente o aplicativo (quando um aplicativo do Power BI tiver sido publicado para o espaço de trabalho). Devido a esse comportamento, você pode conceitualmente considerar as funções de workspace herdadas por cada público do aplicativo. Alguns usuários com acesso ao workspace também podem atualizar o aplicativo do Power BI, dependendo da função de workspace atribuída.

Dica

Para obter mais informações sobre funções do workspace, consulte o artigo Planejamento de segurança do criador de conteúdo.

Usar um aplicativo para distribuir conteúdo para consumidores somente leitura é a melhor opção quando:

• Você deseja que os usuários possam exibir apenas itens específicos visíveis para esse público-alvo (em vez de todos os itens dentro do workspace subjacente).
• Você deseja gerenciar permissões somente leitura para o aplicativo separadamente do workspace.
• Você deseja um gerenciamento de permissões mais simples para usuários somente leitura do que para permissões por item.
• Você vai querer garantir que a segurança em nível de linha seja implementada para os consumidores (quando tiverem permissão ”somente ler” no modelo semântico subjacente).
• Você deseja garantir que os consumidores não possam exibir relatórios novos e alterados até que o aplicativo seja republicado.

Embora seja verdade que as alterações em relatórios e painéis não são visíveis para os usuários do aplicativo até que o aplicativo seja republicado, há duas considerações que exigem cautela.

• Alterações imediatas no modelo semântico: as alterações de modelo semântico sempre entram em vigor imediatamente. Por exemplo, se você introduzir alterações interruptivas em um modelo semântico no workspace, isso poderá inadvertidamente fazer com que os relatórios se tornem instáveis (mesmo que não tenham sido republicados no aplicativo). Há duas maneiras de atenuar esse risco: primeiro, faça todo o trabalho de desenvolvimento no Power BI Desktop (separado do workspace). Em segundo lugar, isole o aplicativo de produção usando workspaces separados para desenvolvimento e teste. (Opcionalmente, você pode obter um nível mais alto de controle sobre a implantação de conteúdo do workspace do desenvolvimento para o teste e a produção por meio de pipelines de implantação.)
• O conteúdo e as permissões são publicados juntos: Quando você publica um aplicativo, suas permissões são publicadas ao mesmo tempo que o conteúdo. Por exemplo, você pode ter alterações de relatório em um workspace que ainda não foram concluídas, totalmente testadas ou aprovadas. Portanto, você não pode republicar o aplicativo apenas para atualizar as permissões. Para atenuar esse risco, atribua permissões de aplicativo a grupos de segurança e use associações de grupo de segurança (em vez de usuários individuais) ao conceder permissões de aplicativo. Evite republicar um aplicativo apenas para aplicar alterações de permissão.

Público-alco do aplicativo

Cada workspace no serviço do Power BI pode ter apenas um aplicativo do Power BI. No entanto, dentro do aplicativo, você pode criar um ou mais públicos-alvo. Considere este cenário.

• Você tem cinco relatórios de vendas distribuídos para muitos usuários em toda a sua organização global de vendas.
• Um público-alvo é definido no aplicativo para os representantes de vendas. Esse público-alvo pode exibir três dos cinco relatórios.
• Outro público-alvo é definido no aplicativo para a equipe de liderança de vendas. Esse público pode exibir todos os cinco relatórios, incluindo os dois relatórios que não estão disponíveis para representantes de vendas.

Essa capacidade de combinar conteúdo e públicos-alvo tem as seguintes vantagens.

• Determinados relatórios podem estar disponíveis para exibição por vários públicos. Portanto, a criação de vários públicos-alvo elimina a necessidade de duplicar o conteúdo em diferentes workspaces.
• Determinados relatórios devem estar disponíveis para apenas uma audiência. Portanto, o conteúdo para esse público-alvo pode residir no mesmo workspace que outro conteúdo relacionado.

A captura de tela a seguir mostra um aplicativo com dois públicos: Liderança de Vendas e Representantes de Vendas. O painel Gerenciar Acesso ao Público-alvo fornece acesso ao grupo de audiência Liderança de Vendas para dois grupos de segurança: Liderança de Vendas-América do Norte e Liderança em Vendas-Europa. O relatório Análise de Margem Bruta mostrado na captura de tela do grupo de audiência Liderança de Vendas não está disponível para o grupo de público-alvo do Representantes de Vendas .

Observação

Às vezes, o termo grupo de público-alvo é usado. Não é uma referência direta ao uso de grupos de segurança. Ele inclui membros do público-alvo que verão a coleção de conteúdo em um aplicativo do Power BI. Embora você possa atribuir usuários individuais a um público-alvo, é uma prática recomendada atribuir grupos de segurança, grupos do Microsoft 365 ou grupos de distribuição sempre que for prático. Para obter mais informações, consulte a estratégia para usar grupos no artigo Planejamento de segurança no nível do locatário.

Ao gerenciar permissões para um aplicativo, na página Acesso Direto, você pode exibir os membros de cada público-alvo. Você também pode ver usuários com uma função de workspace listada no público-alvo Todos . Não é possível atualizar as permissões do aplicativo na página Acesso Direto . Em vez disso, você deve republicar o aplicativo. No entanto, você pode atualizar as permissões de aplicativo da página Pendente quando houver solicitações de acesso abertas para o aplicativo.

Dica

O principal caso de uso para usar o público-alvo do aplicativo é definir permissões específicas para diferentes conjuntos de usuários. No entanto, você pode ser um pouco criativo ao usar audiências. Um usuário pode ser membro de vários públicos e cada público é mostrado aos visualizadores do aplicativo como um conjunto secundário de menus. Por exemplo, você pode criar um público-alvo chamado Comece por Aqui que contém informações sobre como usar o aplicativo, quem contatar, como fornecer comentários e como obter ajuda. Ou você pode criar um público-alvo chamado Definições de KPI que inclui um dicionário de dados. Fornecer esse tipo de informação ajuda novos usuários e aprimora os esforços de adoção de solução .

Opções de permissão de aplicativo

Quando você cria (ou republica) um aplicativo, cada público-alvo tem um painel Gerenciar Acesso ao Público-alvo . Nesse painel, as permissões a seguir estão disponíveis.

• Conceder acesso a: para cada público-alvo, você pode conceder acesso a usuários e grupos individuais. É possível publicar o aplicativo em toda a organização quando ele é habilitado pela configuração do locatário Publicar aplicativos em toda organização, e o aplicativo não é instalado automaticamente. Sempre que possível, recomendamos que você atribua grupos a públicos-alvo porque adicionar ou remover usuários envolve republicar o aplicativo. Todos com acesso ao workspace têm permissão para exibir ou atualizar o aplicativo automaticamente, dependendo de sua função de workspace.
• Permissões de modelo semântico: dois tipos de permissões de modelo semântico podem ser concedidos quando você publica um aplicativo:
  • Recompartilhamento de modelo semântico: quando habilitada, a permissão Recompartilhar com outras pessoas é concedida aos usuários do aplicativo no que se refere aos modelos semânticos subjacentes. Faz sentido habilitar essa opção quando os modelos semânticos subjacentes podem ser prontamente recompartilhados com qualquer pessoa. Recomendamos que você obtenha a aprovação dos proprietários do modelo semântico antes de conceder a permissão Recompartilhar ao público de um aplicativo.
  • Compilação de um modelo semântico: quando habilitada, a permissão Compilar é concedida aos usuários do aplicativo no que se refere aos modelos semânticos. A permissão Compilar permite que os usuários criem novos relatórios, exportem dados subjacentes de relatórios e muito mais. Recomendamos que você obtenha a aprovação dos proprietários do modelo semântico antes de conceder a permissão Compilar a um público de aplicativo.

A capacidade de adicionar as permissões Recompartilhar ou Compilar do modelo semântico durante a publicação de um aplicativo é conveniente. No entanto, recomendamos que você pense em gerenciar as permissões de aplicativo e as permissões de modelo semântico separadamente. Os motivos para isso estão a seguir.

• O modelo semântico compartilhado pode estar em um workspace separado: se o modelo semântico for publicado em um workspace separado do aplicativo, você precisará gerenciar as respectivas permissões diretamente. A capacidade de adicionar as permissões Ler, Compilar ou Recompartilhar ao publicar um aplicativo só funciona para modelos semânticos que estão no mesmo workspace que o aplicativo. Por esse motivo, recomendamos que você adote o hábito de gerenciar permissões de modelo semântico de forma independente.
• As permissões de modelo semântico são gerenciadas separadamente: se você remover ou alterar permissões para um aplicativo, essa ação afetará apenas o aplicativo. Não irá remover automaticamente nenhuma permissão de modelo semântico que tenha sido atribuída anteriormente. Assim, você pode considerar as permissões de aplicativo e as permissões de modelo semântico como estando dissociadas. Você precisará gerenciar o modelo semântico diretamente, separadamente do aplicativo, quando as permissões do modelo semântico forem alteradas ou precisarem ser removidas.
• As permissões de modelo semântico devem ser controladas: a concessão de permissões do modelo semântico por meio de um aplicativo remove o controle do proprietário do modelo semântico. A concessão da permissão Recompartilhar depende do bom senso dos usuários que estão optando por recompartilhar os modelos semânticos. Suas diretrizes internas de governança ou segurança podem se tornar mais difíceis de gerenciar quando o recompartilhamento é permitido.
• Consumidores e criadores têm objetivos diferentes: normalmente, há muito mais consumidores fo que criadores de conteúdo em uma organização. De acordo com o princípio do menor privilégio, consumidores só precisam da permissão Ler para o modelo semântico subjacente. Eles não precisam da permissão Compilar, a menos que pretendam criar novos relatórios.

Dica

Para obter mais informações sobre quando usar workspaces de dados separados e workspaces de relatório, consulte o artigo Planejamento no nível do workspace .

Direitos de pré-instalação do aplicativo

Depois de publicar um aplicativo do Power BI, um usuário normalmente precisa instalá-lo para que ele possa abri-lo. Um usuário pode instalar um aplicativo na página Aplicativos no serviço do Power BI ou por meio de um link que recebeu de outro usuário. Eles poderão encontrar (e instalar) um aplicativo quando forem incluídos em pelo menos um público do aplicativo.

Uma abordagem alternativa para instalar um aplicativo é enviá-lo por push para os consumidores de aplicativos. Isso resulta na pré-instalação do aplicativo para que ele apareça automaticamente na página Aplicativos no serviço do Power BI. Essa abordagem é conveniente para os consumidores porque eles não precisam encontrar e instalar o aplicativo. No entanto, aplicativos pré-instalados podem se tornar um incômodo para os usuários porque eles podem ficar sobrecarregados com muitos aplicativos que não são relevantes para eles.

A configuração de locatário Enviar aplicativos por push para usuários finais controla quem tem permissão para instalar aplicativos automaticamente. Recomendamos que você use esse recurso porque ele é conveniente para os usuários. No entanto, também recomendamos que você instrua seus criadores de conteúdo sobre quando usá-lo para que ele não seja usado em excesso.

Dica

Ao publicar um aplicativo, se você selecionar a opção de instalar o aplicativo automaticamente, não poderá definir o público-alvo como toda a organização (se habilitado pela configuração de locatário Enviar aplicativos por push para os usuários finais ).

Lista de verificação: ao criar sua estratégia para usar aplicativos para visualizadores de conteúdo, as principais decisões e ações incluem:

• Decidir a estratégia de uso de aplicativos: defina suas preferências de como usar aplicativos. Verifique se ela está alinhado com sua estratégia geral para consumidores somente leitura.
• Decidir quem pode publicar aplicativos em toda a organização: decida quais criadores de relatório podem publicar em toda a organização. Defina a configuração do locatário Publicar aplicativos em toda organização para se alinhar a essa decisão.
• Decidir quem pode enviar aplicativos por push para os usuários finais: decida quais criadores de relatórios do Power BI podem pré-instalar aplicativos. Defina a configuração de locatário Publicar aplicativos de modelo de maneira alinhada a essa decisão.
• Criar e publicar diretrizes para criadores de conteúdo: forneça documentação e treinamento para criadores de conteúdo. Inclua requisitos e preferências de como usar aplicativos com mais eficiência.
• Determinar como lidar com solicitações de acesso do aplicativo: verifique se um processo para atribuir contatos e lidar com solicitações de acesso de aplicativo em tempo hábil está em vigor.

Função Visualizador de workspace

Conforme descrito nos artigos de Planejamento do workspace, a principal finalidade de um workspace é a colaboração. Aos colaboradores do workspace, como os criadores de modelo semântico, criadores de relatórios e testadores, deve ser atribuída uma das seguintes três funções: Colaborador, Membro ou Administrador. Essas funções estão descritas no artigo Planejamento de segurança do criador de conteúdo.

Você pode atribuir a função Visualizador do workspace aos consumidores. Permitir que os consumidores acessem o conteúdo diretamente em um workspace pode fazer sentido para equipes pequenas e equipes informais que trabalham em conjunto.

Permitir que os consumidores acessem o conteúdo do workspace diretamente é uma boa opção quando:

• A formalidade de um aplicativo, com suas permissões separadas, não é necessária.
• Os visualizadores têm permissão para exibir todos os itens armazenados no workspace.
• Você deseja um gerenciamento de permissões mais simples do que as permissões por item.
• Os usuários do workspace também podem exibir um aplicativo (quando um aplicativo é publicado para o workspace).
• A intenção é que os visualizadores revisem o conteúdo antes de ele ser publicado em um aplicativo.

Aqui estão algumas sugestões para dar suporte aos visualizadores de workspace.

• Organize o conteúdo em cada workspace para que os itens sejam facilmente localizados pelos consumidores do relatório para que estejam em conformidade com a segurança. A organização do workspace por área de assunto ou projeto geralmente funciona bem.
• Separe o conteúdo de desenvolvimento e teste do conteúdo de produção para que os itens de trabalho em andamento não possam ser acessados pelos visualizadores.
• Use aplicativos (ou permissões por item quando apropriado) quando você espera ter muitas solicitações de acesso para processar. Não há um fluxo de trabalho Solicitar acesso para workspaces.

Lista de verificação: ao criar sua estratégia para usar aplicativos para visualizadores de conteúdo, as principais decisões e ações incluem:

• Decidir uma estratégia para usar a função visualizador do workspace: defina quais são suas preferências para usar workspaces para consumidores. Verifique se ela está alinhado com sua estratégia geral para consumidores somente leitura.
• Criar e publicar diretrizes para criadores de conteúdo: forneça documentação e treinamento para criadores de conteúdo. Inclua requisitos e preferências de como usar permissões de workspace com mais eficiência.

Permissões por item

O compartilhamento de itens individuais concede permissão a um único item. Criadores de conteúdo menos experientes geralmente usam essa técnica como a técnica de compartilhamento principal porque os comandos de compartilhamento são exibidos com destaque no serviço do Power BI. Por esse motivo, é importante instruir seus criadores de conteúdo sobre as diferentes opções de compartilhamento, incluindo quando usar permissões de aplicativo em vez de funções de workspace.

As permissões por item são uma boa opção quando:

• Você deseja fornecer acesso somente leitura a um item (relatório ou painel).
• Você não quer que o consumidor visualize todo o conteúdo publicado em um workspace.
• Você não quer que o consumidor visualize todo o conteúdo publicado em um público do aplicativo.

Use as permissões por item com moderação porque o compartilhamento concede permissão de leitura a um único item. De certa forma, você pode considerar as permissões por item como uma substituição de funções de workspace ou permissões de aplicativo.

Dica

É recomendável usar fontes de dados compartilhadas sempre que possível. Em seguida, considere usar funções de workspace para habilitar o acesso direto ao workspace. Por fim, use permissões por item quando atenderem aos critérios acima. As permissões de aplicativo e as funções de workspace especificam segurança para uma coleção de conteúdo (em vez de itens individuais), o que é uma prática de segurança melhor.

Compartilhar muitos itens usando permissões por item pode ser entediante e propenso a erros, especialmente ao compartilhar com usuários individuais em vez de com grupos. Considere esse cenário: você tem 40 relatórios compartilhados com colegas usando suas contas de usuário individuais. Quando um colega for transferido para um departamento diferente, você precisará revogar seu acesso, o que envolverá a edição de permissões para todos os 40 relatórios.

Importante

O compartilhamento de conteúdo de um workspace pessoal deve ser feito com pouca frequência. Workspaces pessoais são mais adequados para conteúdo não crítico, informal ou temporário. Se você tiver uma situação em que os criadores de conteúdo frequentemente compartilham conteúdo importante ou crítico de seus workspaces pessoais, você deve tomar as medidas apropriadas para mover esse conteúdo para um workspace padrão. Para obter mais informações, consulte o cenário de uso do BI empresarial.

Ao compartilhar um item individual, você tem várias opções de permissão.

• Permissão Recompartilhar: quando habilitada, os usuários podem compartilhar o item com outros usuários, incluindo os respectivos modelos semânticos subjacentes. Faz sentido conceder essa permissão quando o item pode ser prontamente compartilhado com qualquer pessoa. Isso remove o controle da pessoa ou da equipe que gerencia o item. Portanto, depende do bom senso dos usuários que recebem a permissão Recompartilhar. No entanto, suas diretrizes internas de governança ou segurança podem se tornar mais difíceis de gerenciar quando o recompartilhamento é permitido.
• Permissão Compilar: quando habilitada, a permissão Compilar é concedida aos usuários para o modelo semântico subjacente. A permissão Compilar permite que os usuários criem um novo conteúdo que seja baseado no modelo semântico. Ela também permite que eles exportem dados subjacentes de relatórios e muito mais. Considerações sobre como conceder permissão Compilar são descritas no artigo Planejamento de segurança do criador de conteúdo.

As permissões por item para relatórios e painéis podem fazer sentido para cenários informais quando o conteúdo é compartilhado com alguns usuários. É uma boa ideia instruir os usuários sobre como gerenciar permissões com aplicativos e workspaces, especialmente quando eles estão compartilhando conteúdo para um grande número de usuários ou usuários fora de sua equipe. É importante enfatizar os pontos a seguir.

• Torna-se mais difícil determinar qual conteúdo foi compartilhado com quais usuários, pois as permissões em cada relatório e dashboard devem ser examinadas individualmente.
• Em muitas instâncias, a permissão Recompartilhar é definida porque a experiência do usuário habilita essa opção por padrão. Portanto, há o risco de que o conteúdo seja compartilhado com um conjunto mais amplo de usuários do que o pretendido. Esse resultado pode ser evitado desmarcando a opção Permitir que os destinatários compartilhem esse relatório ao compartilhar. Minimizar o compartilhamento excessivo dessa forma é um problema de treinamento do usuário. O criador de conteúdo que está definindo as permissões de compartilhamento deve considerar essa escolha todas as vezes.
• Todas as alterações em relatórios e dashboards podem ser visualizadas por outras pessoas imediatamente, o que pode confundir os usuários quando as modificações de conteúdo estão em andamento. Essa preocupação pode ser atenuada distribuindo conteúdo em um aplicativo ou usando workspaces separados para separar o conteúdo de desenvolvimento, teste e produção. Para obter mais informações, consulte o cenário de uso da publicação de conteúdo de autoatendimento .
• Quando um usuário compartilha conteúdo de seu workspace pessoal e sai da organização, o departamento de TI geralmente desabilita sua conta de usuário. Nesse caso, todos os destinatários do conteúdo compartilhado perderão imediatamente o acesso ao conteúdo.

Há três tipos específicos de compartilhamento: compartilhamento de links: compartilhamento de acesso direto e exibições compartilhadas.

Links de permissão por item

Quando você compartilha um item individual, a experiência padrão resulta em um link de compartilhamento. Há três tipos de links de compartilhamento.

• Pessoas em sua organização: quando habilitado em suas configurações de locatário do Power BI, esse tipo de link de compartilhamento é uma maneira simples de fornecer acesso somente leitura a todos dentro da organização. No entanto, o link de compartilhamento não funcionará para usuários externos. Essa opção é mais adequada para quando qualquer pessoa pode exibir o conteúdo e o link pode ser compartilhado livremente em toda a organização. A menos que esteja desabilitado pela configuração de locatário Permitir que links compartilháveis concedam acesso a todos na configuração sua organização, esse tipo de compartilhamento é o padrão.
• Pessoas com acesso existente: essa opção não cria um novo link de compartilhamento. Em vez disso, ele permite que você recupere a URL para que você possa enviá-la para alguém que já tenha acesso.
• Pessoas específicas: essa opção produz um link de compartilhamento para usuários ou grupos específicos. Recomendamos que você use essa opção na maioria das vezes porque ela fornece acesso específico. Se você costuma trabalhar com usuários externos, pode usar esse tipo de link para usuários convidados que já existem no Microsoft Entra ID (anteriormente conhecido como Azure Active Directory). Para obter mais informações sobre o processo de convite planejado para criar usuários convidados, consulte o artigo Planejamento de segurança no nível do locatário.

Importante

Recomendamos que você considere restringir a configuração de locatárioPermitir que links compartilháveis concedam acesso a todos na configuração da sua organização aos membros de um grupo. Você pode criar um nome de grupo como Compartilhar o Power BI para Toda a Organização e, em seguida, adicionar um pequeno número de usuários que entendem as implicações do compartilhamento em toda a organização. Se você estiver preocupado com os links existentes em toda a organização, poderá usar a API de administrador para localizar todos os itens que foram compartilhados com toda a organização.

Um link de compartilhamento adiciona permissão de leitura ao item. A permissão Recompartilhar é selecionada por padrão. Também é possível adicionar a permissão Compilar ao modelo semântico subjacente ao mesmo tempo que o link de compartilhamento é criado.

Dica

Recomendamos que você ensine os criadores de conteúdo a habilitar a opção da permissão Compilar somente quando o consumidor do relatório também for um criador de conteúdo que talvez precise criar relatórios, exportar dados ou criar um modelo composto a partir do modelo semântico subjacente.

Os links de compartilhamento são mais fáceis de manter do que o compartilhamento de acesso direto, especialmente quando você precisa fazer alterações em massa. É uma vantagem significativa quando usuários individuais recebem permissões de compartilhamento, mais do que grupos (o que geralmente ocorre quando usuários de autoatendimento são responsáveis por gerenciar permissões). Considere as comparações a seguir.

• Link de compartilhamento: 20 usuários individuais recebem acesso por meio de um link de compartilhamento. Uma única alteração no link afeta todos os 20 usuários.
• Acesso direto: 20 pessoas recebem acesso direto a um item. Para fazer uma alteração, todas as 20 permissões de usuário devem ser modificadas.

Permissões de acesso direto por item

Você também pode obter permissões por item por meio de acesso direto. O acesso direto envolve a configuração das permissões para um único item. Você também pode determinar quaisquer permissões herdadas derivadas de funções de workspace.

Quando você concede acesso direto a um usuário, ele recebe permissão de leitura para o item. A permissão Recompartilhar é selecionada por padrão, assim como a permissão Compilar para o modelo semântico subjacente. Recomendamos que você ensine os criadores de conteúdo a habilitar a permissão Compilar somente quando o consumidor do relatório em questão também for um criador de conteúdo que talvez precise criar relatórios, exportar dados ou criar modelos compostos a partir do modelo semântico subjacente.

Dica

A experiência do usuário torna a concessão de permissões Recompartilhar e Compilar muito simples, mas o usuário que está fazendo o compartilhamento deve sempre verificar se essas permissões são necessárias.

Exibições compartilhadas

Use um modo de exibição compartilhada para compartilhar uma perspectiva filtrada de um relatório com outro usuário. Você pode publicar um modo de exibição compartilhada usando um link de compartilhamento ou acesso direto.

Os modos de exibição compartilhadas são um conceito temporário. Eles expiram automaticamente após 180 dias. Por esse motivo, os modos de exibição compartilhadas são mais adequadas para cenários de compartilhamento informal e temporário. Verifique se os usuários estão cientes dessa limitação.

Lista de verificação: ao criar sua estratégia para usar aplicativos para visualizadores de conteúdo, as principais decisões e ações incluem:

• Decidir a estratégia de uso do recurso de compartilhamento: defina quais são suas preferências para usar permissões por item. Verifique se ela está alinhado com sua estratégia geral para consumidores somente leitura.
• Decidir quem pode publicar aplicativos em toda a organização: decida quais criadores de relatório podem publicar em toda a organização. Defina a configuração de locatárioPermitir links compartilháveis para conceder acesso a todos na organização para estar alinhada a essa decisão.
• Criar e publicar diretrizes para criadores de conteúdo: forneça documentação e treinamento para criadores de conteúdo que incluem requisitos e preferências de como usar permissões por item com mais eficiência. Verifique se eles estão cientes das vantagens e desvantagens das permissões por item. Inclua diretrizes para quando usar links de compartilhamento e quando usar o compartilhamento de acesso direto.

Outras técnicas de consulta do consumidor

As maneiras mais comuns de os consumidores interagirem com o Power BI são por meio de aplicativos, workspaces e permissões por item (descrito anteriormente neste artigo).

Há outras técnicas que os consumidores podem usar para consultar dados do Power BI. Cada uma das técnicas de consulta a seguir requer a permissão Compilar para modelo semântico ou datamart.

• Analisar no Excel: os consumidores que preferem usar o Excel podem consultar um modelo semântico do Power BI usando Analisar no Excel. Essa funcionalidade é uma ótima alternativa para exportar dados para o Excel porque os dados não são duplicados. Com uma conexão dinâmica com o modelo semântico, os usuários podem criar Tabelas Dinâmicas, gráficos e segmentações. Em seguida, eles podem publicar a pasta de trabalho em um workspace no serviço do Power BI que permite que os consumidores a abram e interajam com ela.
• Ponto de extremidade XMLA: os consumidores podem consultar um modelo semântico conectando-se ao ponto de extremidade XMLA. Um aplicativo que seja compatível com XMLA pode se conectar, consultar e consumir um modelo semântico que esteja armazenado em um workspace Premium. Essa funcionalidade é útil quando os consumidores querem usar um modelo semântico do Power BI como sua fonte de dados para uma ferramenta de visualização de dados fora do ecossistema da Microsoft.
• Editor do Datamart: os consumidores podem consultar um datamart do Power BI por meio do editor de datamart. É um editor de consultas visuais baseado na Web para criar consultas sem código. Há também um editor de SQL baseado na Web para quando os consumidores preferem escrever consultas SQL. Ambos os editores consultam o Banco de Dados SQL do Azure gerenciado que está por trás do datamart do Power BI (em vez do modelo semântico integrado).
• Ponto de extremidade do SQL: os consumidores podem consultar um datamart do Power BI por meio do ponto de extremidade do SQL. Eles podem usar ferramentas como o Azure Data Studio ou o SQL Server Management Studio (SSMS) para executar consultas SQL. O ponto de extremidade SQL direciona consultas para o Banco de Dados SQL do Azure gerenciado que está por trás do datamart do Power BI (em vez do modelo semântico integrado).

Para obter mais informações sobre funções do workspace, consulte o artigo Planejamento de segurança do criador de conteúdo.

Lista de verificação: ao planejar quais técnicas de consulta os consumidores usarão, as principais decisões e ações incluem:

• Criar para os usuários diretrizes sobre como usar o recurso Analisar no Excel: forneça uma documentação e treinamento para os consumidores sobre a melhor maneira de reutilizar modelos semânticos existentes com o Excel.
• Criar para os usuários diretrizes sobre como usar o recurso Analisar no Excel: forneça uma documentação e treinamento para os consumidores sobre a melhor maneira de reutilizar modelos semânticos existentes com o ponto de extremidade XMLA.
• Criar diretrizes para usuários em consultas datamart: forneça documentação e treinamento para os consumidores sobre as técnicas disponíveis para consultar datamarts do Power BI.

Solicite fluxo de trabalho de acesso para consumidores

Ao compartilhar conteúdo, é comum que um usuário encaminhe um link (URL) para outro usuário. Quando o destinatário tenta exibir o conteúdo e descobre que não tem acesso a ele, ele pode selecionar o botão Solicitar acesso . Essa ação inicia o fluxo de trabalho Solicitar acesso . Em seguida, o usuário é solicitado a fornecer uma mensagem para explicar por que deseja acessar.

Existe um fluxo de trabalho Solicitar acesso para:

• Acesso a um aplicativo do Power BI.
• Acesso a um item, como um relatório ou painel.
• Acesso a um modelo semântico. Para obter mais informações sobre o fluxo de trabalho Solicitar acesso quando um modelo semântico for detectável, confira o artigo Planejamento de segurança do criador de conteúdo.

Solicitações de acesso ao aplicativo

Há duas maneiras de saber mais sobre solicitações de acesso pendentes que foram enviadas para um aplicativo.

• Email: os contatos do aplicativo recebem uma notificação por email. Por padrão, esse contato é o editor do aplicativo. Para fornecer melhor suporte para aplicativos críticos, recomendamos que você defina o contato para um grupo que possa responder rapidamente às solicitações de acesso.
• Menu Gerenciar permissões: Os administradores e membros do workspace podem exibir, aprovar ou recusar solicitações de acesso. A página Gerenciar permissões está disponível na página Aplicativos e pode ser aberta para cada aplicativo. Essa funcionalidade também está disponível para colaboradores do workspace quando a configuração Permitir que os colaboradores atualizem o aplicativo para esse workspace está habilitada.

As solicitações de acesso pendentes para um aplicativo mostram a mensagem fornecida pelo usuário. Cada solicitação pendente pode ser aprovada ou recusada. Ao optar por aprovar uma solicitação, um público-alvo do aplicativo deve ser selecionado.

A captura de tela a seguir mostra uma solicitação de acesso pendente de um usuário. Para aprová-lo, um dos dois públicos-alvo do aplicativo, Representantes de Vendas ou Liderança de Vendas, deve ser selecionado.

Quando você publica um aplicativo, o conteúdo e as permissões são publicados ao mesmo tempo. Conforme descrito anteriormente, não é possível publicar apenas as permissões do aplicativo sem alterações de conteúdo também. No entanto, há uma exceção: quando você aprova uma solicitação de acesso pendente (como a mostrada na captura de tela anterior), a alteração de permissão ocorre sem publicar o conteúdo mais recente no workspace.

Solicitações de acesso ao workspace

O acesso ao workspace é concedido por usuários que pertencem à função Administrador ou à função Membro.

Um usuário que está tentando exibir um workspace recebe uma mensagem deacesso negado quando não é membro de uma função de workspace. Como não há um fluxo de trabalho interno de solicitação de acesso para workspaces, eles são melhor usados para equipes pequenas e equipes informais que trabalham em conjunto. Esse é um dos motivos pelos quais um aplicativo do Power BI é mais adequado para equipes maiores e cenários de distribuição de conteúdo mais amplos.

Solicitações de acesso por item

Há duas maneiras de saber mais sobre solicitações de acesso pendentes que foram enviadas para um item individual, como um relatório.

• Email: os contatos do aplicativo recebem uma notificação por email. Para fornecer melhor suporte para relatórios críticos, recomendamos que você defina o contato para um grupo capaz de responder rapidamente às solicitações de acesso.
• Menu Gerenciar permissões: os administradores e membros do workspace podem acessar a página Gerenciar permissões para cada item. Eles podem exibir, aprovar ou recusar solicitações pendentes de acesso.

Gerenciar solicitações de acesso com grupos

Quando um usuário envia o formulário Solicitar acesso para um item do Power BI (como um relatório ou um modelo semântico) ou um aplicativo do Power BI, a solicitação é enviada para um usuário individual. No entanto, muitas organizações grandes precisam usar grupos para cumprir suas políticas de segurança internas.

Recomendamos que você use grupos, em vez de indivíduos, para proteger o conteúdo sempre que for prático. Para saber mais sobre grupos, consulte o artigo Planejamento de segurança no nível do locatário.

Se você pretende fornecer acesso a grupos em vez de usuários individuais, o proprietário ou administrador de conteúdo que está processando a solicitação de acesso precisará concluir a solicitação em várias etapas:

1. Recuse a solicitação pendente no Power BI (porque ela está associada a um usuário individual).
2. Adicione o solicitante ao grupo correto de acordo com o processo atual.
3. Notifique o solicitante de que ele agora tem acesso.

Dica

Consulte Solicitar fluxo de trabalho de acesso para criadores para obter informações sobre como responder a solicitações de acesso de build de criadores de conteúdo. Isso também inclui recomendações sobre como usar um formulário para solicitações de acesso.

Lista de verificação – ao planejar o fluxo de trabalho Solicitar acesso, as principais decisões e ações incluem:

• Determinar como lidar com solicitações de acesso do aplicativo: verifique se um processo para atribuir contatos e lidar com solicitações de acesso de aplicativo em tempo hábil está em vigor. Verifique se os contatos do aplicativo estão atribuídos para dar suporte ao processo.
• Determinar como lidar com solicitações de acesso do aplicativo: verifique se um processo para atribuir contatos e lidar com solicitações de acesso de aplicativo em tempo hábil está em vigor. Verifique se os contatos estão atribuídos a cada item para dar suporte ao processo.
• Incluir na documentação e no treinamento para criadores de conteúdo: verifique se os criadores de conteúdo entendem como lidar com solicitações de acesso em tempo hábil. Lembre-os de como lidar com solicitações quando um grupo deve ser usado em vez de um usuário individual.
• Incluir na documentação e no treinamento: inclua diretrizes para seus criadores de conteúdo sobre como gerenciar solicitações de acesso com eficiência. Inclua também diretrizes para os consumidores sobre quais informações incluir em sua mensagem de solicitação de acesso.

Impor segurança de dados com base na identidade do consumidor

Você pode planejar criar menos modelos semânticos e relatórios ao implementar a segurança de dados. O objetivo é impor a segurança de dados com base na identidade do usuário que está exibindo o conteúdo.

Por exemplo, considere que você pode compartilhar um único relatório de vendas com todos os vendedores (consumidores), sabendo que cada vendedor verá apenas os resultados de vendas para sua região. Essa abordagem permite evitar a complexidade de criar relatórios separados por região que precisariam ser compartilhados com os vendedores dessa região de vendas.

Algumas organizações têm requisitos específicos para modelos semânticos ou datamarts endossados (certificados ou promovidos). Para dados que serão amplamente usados, pode haver um requisito para usar a segurança de dados.

Você pode realizar a segurança de dados de várias maneiras.

• Modelo semântico do Power BI: como um criador de dados do Power BI, você pode implementar a segurança no nível da linha (RLS) e a segurança no nível do objeto (OLS). A RLS envolve a definição de funções e regras que filtram linhas do modelo de dados, enquanto a OLS restringe o acesso a tabelas ou colunas específicas. Essas regras de RLS e OLS definidas não se aplicam a referências armazenadas fora do modelo semântico, como seleções de segmentação e filtro. As técnicas de RLS e OLS são descritas mais adiante nesta seção.
• Analysis Services: um modelo semântico de conexão dinâmica pode se conectar a um modelo de dados remoto que é hospedado pelo Azure Analysis Services (AAS) ou pelo SQL Server Analysis Services (SSAS). O modelo remoto pode impor RLS ou OLS com base na identidade do consumidor.
• Fonte de dados: algumas fontes de dados, como o Banco SQL do Azure, podem impor RLS. Nesse caso, o modelo do Power BI pode aproveitar a segurança existente em vez de redefini-la. Essa abordagem pode ser uma vantagem significativa quando a RLS definida na origem é complexa. Você pode desenvolver e publicar um modelo DirectQuery e definir as credenciais de fonte de dados do modelo semântico no serviço do Power BI para habilitar o Logon único (SSO). Quando um consumidor de relatório abre um relatório, o Power BI passa sua identidade para a fonte de dados. Em seguida, a fonte de dados impõe a RLS com base na identidade do consumidor do relatório. Para obter mais informações sobre o Banco de Dados SQL do Azure SQL, consulte este artigo.

Observação

Sistemas de origem, como o Banco de Dados SQL do Azure, também podem usar técnicas como modos de exibição para restringir o que o usuário pode ver. Embora essa seja uma técnica válida, ela não é relevante para o foco desta seção.

Segurança em nível de linha

A RLS (segurança no nível da linha) permite que um modelador de dados restrinja o acesso a um subconjunto de dados. Normalmente, ela é usada para garantir que alguns consumidores de relatório não possam ver dados específicos, como resultados de vendas de outras regiões de vendas.

Dica

Se você notou alguém criando vários modelos de dados para dar suporte a diferentes grupos de consumidores, marcar se a RLS atenderá às suas necessidades. Normalmente, é melhor criar, testar e manter um modelo de dados em vez de vários modelos de dados.

Tome cuidado porque, se um relatório do Power BI fizer referência a uma linha com o RLS configurado, será exibida a mesma mensagem usada para um campo excluído ou não existente. Para esses usuários, parece que o relatório está incorreto.

Há duas etapas para configurar a RLS: regras e mapeamentos de função.

Regras RLS

Para modelos semânticos, um modelador de dados pode configurar a RLS no Power BI Desktop ao criar uma ou mais funções. Uma função tem um nome exclusivo no modelo e geralmente inclui uma ou mais regras. As regras impõem filtros em tabelas do modelo usando expressões de filtro DAX (Data Analysis Expressions). Por padrão, um modelo de dados não tem funções.

Importante

Um modelo de dados sem funções significa que os usuários (que têm permissão para consultar o modelo de dados) têm acesso a todos os dados do modelo.

As expressões de regras são avaliadas dentro do contexto de linha. O contexto de linha significa que a expressão é avaliada para cada linha usando os valores de coluna dessa linha. Quando a expressão retorna TRUE, o usuário consegue ver a linha. Você pode definir regras que sejam estáticas ou dinâmicas.

• Regras estáticas: use expressões DAX que se referem a constantes, como [Region] = "Midwest".
• Regras dinâmicas: usam funções DAX específicas que retornam valores ambientais (em vez de constantes). Os valores ambientais são retornados de três funções DAX específicas: USERNAME, USERPRINCIPALNAME e CUSTOMDATA. A definição de regras dinâmicas é simples e eficaz quando uma tabela de modelo armazena valores de nome de usuário. Elas permitem que você imponha um design de RLS controlado por dados.

Mapeamentos de função RLS

Depois de publicar o modelo no serviço do Power BI, você deve configurar mapeamentos de função antes de os usuários acessarem relatórios relacionados. O mapeamento de função envolve atribuir objetos de segurança do Microsoft Entra a funções. Os objetos de segurança podem ser contas de usuário ou grupos de segurança.

Sempre que possível, uma prática recomendada é mapear funções de acordo com grupos de segurança. Dessa forma, haverá menos mapeamentos e o gerenciamento de associação de grupo poderá ser tratado pelo proprietário do grupo.

Recomendamos que você disponibilize as informações de conta de segurança do Microsoft Entra para os criadores de conteúdo. Uma opção é criar um fluxo de dados com dados que são mantidos em sincronia com o Microsoft Entra ID. Assim, os criadores de conteúdo podem integrar os dados de fluxo de dados para produzir um modelo semântico orientado por dados.

Dica

É possível definir uma função que não inclua regras. Nesse caso, a função fornece acesso a todas as linhas de todas as tabelas de modelo. Configurar esse tipo de função é adequado quando um administrador ou usuário tem permissão para exibir todos os dados no modelo.

Experiência do usuário RLS

Algumas organizações optam por usar intencionalmente o RLS como uma camada secundária de segurança, além das permissões padrão do Power BI. Considere o seguinte cenário: você compartilha um link para um relatório com toda a organização. Qualquer usuário que exibe o relatório deve ser mapeado para uma função RLS para poder ver os dados no relatório. Se eles não forem mapeados para uma função RLS, eles não verão nenhum dado.

A presença de RLS altera a experiência padrão para os consumidores.

• Quando a RLS não estiver definida para o modelo semântico: criadores e consumidores com no mínimo uma permissão Ler no modelo semântico podem visualizar todos os dados no modelo semântico.
• Quando a RLS estiver definida para o modelo semântico: criadores e consumidores apenas com a permissão Ler no modelo semântico só serão capazes de visualizar os dados que tiverem permissão para ver (com base no mapeamento de sua função de RLS).

Observação

Algumas organizações impõem a RLS como uma camada adicional de segurança, especialmente quando dados confidenciais estão envolvidos. Por esse motivo, você poderia optar por requerer a RLS para modelos semânticos certificados. Esse requisito pode ser cumprido com um processo interno de revisão e aprovação antes da certificação do modelo semântico.

Quando um usuário vê um relatório em um workspace ou em um aplicativo, a RLS pode ou não ser implementada, dependendo das respectivas permissões do modelo semântico. Por esse motivo, é fundamental que os consumidores e criadores de conteúdo tenham apenas a permissão Ler no modelo semântico subjacente quando a RLS precisar ser implementada.

A seguir estão as regras de permissão que determinam se a RLS é imposta.

• O usuário tem a permissão Ler no modelo semântico: a RLS é implementada para o usuário.
• O usuário tem as permissões Ler e Compilar no modelo semântico: a RLS é implementada para o usuário.
• O usuário tem permissão Gravar no modelo semântico: a RLS não é implementada para o usuário, o que significa que ele pode ver todos os dados no modelo semântico. A permissão Gravar fornece a capacidade de editar um modelo semântico. Ela pode ser concedida de duas formas:
  • Com as funções de workspace Colaborador, Membro ou Administrador (para o workspace no qual o modelo semântico estiver armazenado).
  • Com uma permissão Gravação de modelo semântico por item.

Dica

Para obter mais informações sobre como usar workspaces separados para que a RLS funcione para criadores de conteúdo, consulte o cenário de uso do BI de autoatendimento gerenciado .

Para obter mais informações sobre a RLS, consulte Restringir o acesso aos dados do modelo do Power BI.

RLS para datamarts

Os datamarts do Power BI também podem impor RLS. No entanto, a implementação é diferente.

A principal diferença é que a RLS para datamarts é configurada no serviço do Power BI, em vez de no Power BI Desktop.

Outra diferença é que os datamarts implementam a RLS tanto no modelo semântico quanto no Banco de Dados SQL do Azure gerenciado que estiver associado ao datamart. A imposição de RLS em ambas as camadas fornece consistência e flexibilidade. Os mesmos filtros de RLS são aplicados, independentemente de como o usuário consulta os dados: seja se conectando ao modelo semântico ou ao Banco de Dados SQL do Azure gerenciado.

Para obter mais informações, consulte RLS para datamarts.

Segurança em nível de objeto

A OLS (segurança no nível do objeto) permite que um modelador de dados restrinja o acesso a tabelas e colunas específicas, bem como aos respectivos metadados. Normalmente, você usa a OLS para garantir que colunas confidenciais, como o salário do funcionário, não sejam visíveis para determinados usuários. Embora não seja possível restringir o acesso a medidas, qualquer medida que faça referência a uma coluna restrita será restrita.

Considere um exemplo de uma tabela de funcionários. Ele contém colunas que armazenam o nome do funcionário e o número de telefone e também o salário. Você pode usar a OLS para garantir que apenas determinados usuários, como a equipe sênior de Recursos Humanos, possam ver valores salariais. Para os usuários que não podem ver valores salariais, é como se essa coluna não existisse.

Tome cuidado, pois se um visual de relatório do Power BI incluir salário, os usuários que não tiverem acesso a esse campo receberão uma mensagem de erro. A mensagem informará a ele que o objeto não existe. Para esses usuários, parece que o relatório está incorreto.

Observação

Você também pode definir perspectivas em um modelo de dados. Uma perspectiva define subconjuntos de objetos de modelo que podem ser exibidos para ajudar a fornecer um foco específico para os autores do relatório. As perspectivas não se destinam a restringir o acesso a objetos de modelo. Um usuário ainda pode consultar uma tabela ou coluna que não esteja visível para ele. Portanto, considere as perspectivas como uma conveniência do usuário em vez de um recurso de segurança.

Atualmente, não há uma interface no Power BI Desktop para configurar a OLS. Você pode usar o Editor tabular, que é uma ferramenta de terceiros para criar, manter e gerenciar modelos. Para obter mais informações, confira o cenário de uso do gerenciamento de modelo de dados avançados.

Para obter mais informações sobre a RLS, consulte Restringir o acesso aos dados do modelo do Power BI.

Lista de verificação: ao planejar as funções do workspace, as principais decisões e ações incluem:

• Decidir sobre a estratégia para o uso de RLS para criadores de relatórios: considere em quais casos de uso e para quais finalidades você pretende usar a segurança no nível da linha.
• Decidir sobre a estratégia para o uso de RLS para criadores de relatórios: considere em quais casos de uso e para quais finalidades você pretende usar a segurança no nível da linha.
• Levar em conta os requisitos para o conteúdo certificado: se tiver um processo relativo aos requisitos para certificar um modelo semântico, você deve decidir se quer incluir requisitos específicos para usar RLS ou OLS.
• Criar e publicar diretrizes do usuário: crie documentação para usuários que incluam requisitos e preferências para usar RLS e OLS. Descreva como obter informações de mapeamento do usuário se elas existirem em um local centralizado.
• Atualizar materiais de treinamento: inclua informações importantes sobre requisitos e preferências para RLS e OLS em materiais de treinamento do usuário. Forneça exemplos para que os usuários entendam quando é apropriado usar qualquer técnica de segurança de dados.

Conteúdo relacionado

Nopróximo artigo dessa série, saiba mais sobre planejamento de segurança para criadores de conteúdo que são responsáveis por criar modelos semânticos, fluxos de dados, datamarts, relatórios ou painéis de controle.