Planejamento de implementação do Power BI: planejamento de segurança do criador de conteúdo

Nota

Este artigo faz parte da série de artigos de planejamento de implementação do Power BI. Esta série se concentra principalmente na carga de trabalho do Power BI no Microsoft Fabric. Para obter uma introdução à série, consulte Planejamento de implementação do Power BI.

Este artigo de planejamento de segurança descreve estratégias para criadores de conteúdo responsáveis pela criação de modelos semânticos (anteriormente conhecidos como conjuntos de dados), fluxos de dados, datamarts, relatórios ou painéis. Destina-se principalmente a:

• Administradores do Power BI: os administradores responsáveis por supervisionar o Power BI na organização.
• Equipe do Centro de Excelência, TI e BI: as equipes que também são responsáveis por supervisionar o Power BI. Eles podem precisar colaborar com administradores do Power BI, equipes de segurança da informação e outras equipes relevantes.
• Criadores e proprietários de conteúdo: criadores de BI de autoatendimento que precisam criar, publicar, proteger e gerenciar conteúdo que outras pessoas consomem.

A série de artigos destina-se a expandir o conteúdo do white paper de segurança do Power BI. Embora o white paper de segurança do Power BI se concentre em tópicos técnicos importantes, como autenticação, residência de dados e isolamento de rede, o objetivo principal da série é fornecer considerações e decisões para ajudá-lo a planejar a segurança e a privacidade.

Em uma organização, muitos usuários são criadores de conteúdo. Os criadores de conteúdo produzem e publicam conteúdo visualizado por outras pessoas. Os criadores de conteúdo são o foco deste artigo.

Gorjeta

Recomendamos que você revise primeiro o artigo Relatar planejamento de segurança do consumidor. Ele descreve estratégias para fornecer conteúdo com segurança a consumidores somente leitura, incluindo como reforçar a segurança de dados.

Estratégia para criadores de conteúdo

A base de um sistema de BI de autoatendimento bem governado começa com os criadores e proprietários de conteúdo. Eles criam e validam modelos semânticos e relatórios. Em muitos casos, os criadores de conteúdo também configuram permissões para gerenciar a segurança de seu conteúdo.

Gorjeta

Recomendamos que você promova uma cultura de dados que torne a segurança e a proteção de dados uma parte normal do papel de todos. Para alcançar esse objetivo, a educação, o apoio e a formação dos utilizadores são essenciais.

Para fins de segurança e permissões, considere que existem dois tipos de criadores de conteúdo: criadores de dados e criadores de relatórios. Eles podem ser responsáveis pela criação e gerenciamento de conteúdo de BI corporativo ou de BI de autoatendimento.

Criadores de dados

Um criador de dados é qualquer usuário do Power BI que cria modelos semânticos, fluxos de dados ou datamarts.

Aqui estão alguns cenários comuns do criador de dados.

• Criar um novo modelo semântico: crie e teste um novo modelo de dados no Power BI Desktop. Em seguida, ele é publicado no serviço do Power BI para que possa ser usado como um modelo semântico compartilhado para muitos relatórios. Para obter mais informações sobre como reutilizar modelos semânticos compartilhados, consulte o cenário de uso de BI de autoatendimento gerenciado.
• Estender e personalizar um modelo semântico: crie uma conexão em tempo real com um modelo semântico compartilhado existente no Power BI Desktop. Converta a conexão ao vivo em um modelo local, o que permite estender o design do modelo com novas tabelas ou colunas. Para obter mais informações sobre como estender e personalizar modelos semânticos compartilhados, consulte o cenário de uso de BI de autoatendimento gerenciado personalizável.
• Criar um novo fluxo de dados: no serviço do Power BI, crie um novo fluxo de dados para que ele possa ser usado como fonte por muitos modelos semânticos. Para obter mais informações sobre como reutilizar atividades de preparação de dados, consulte o cenário de uso de preparação de dados de autoatendimento .
• Crie um novo datamart. No serviço Power BI, crie um novo datamart.

Os criadores de dados são frequentemente encontrados em equipes de BI empresariais e no Centro de Excelência (COE). Eles também têm um papel fundamental a desempenhar em unidades de negócios descentralizadas e departamentos que mantêm e gerenciam seus próprios dados.

Para obter outras considerações sobre BI liderado por empresas, BI de autoatendimento gerenciado e BI corporativo, consulte o artigo Propriedade e gerenciamento de conteúdo.

Criadores de relatórios

Os criadores de relatórios criam relatórios e painéis para visualizar dados provenientes de modelos semânticos existentes.

Aqui estão alguns cenários comuns do criador de relatórios.

• Criar um novo relatório, incluindo um modelo de dados: crie e teste um novo relatório e modelo de dados no Power BI Desktop. O arquivo do Power BI Desktop que contém uma ou mais páginas de relatório e inclui um modelo de dados é publicado no serviço do Power BI. Novos criadores de conteúdo geralmente usam esse método antes de perceberem o uso de modelos semânticos compartilhados. Também é apropriado para casos de uso restritos que não têm necessidade de reutilização de dados.
• Criar um relatório de conexão em tempo real: crie um novo relatório do Power BI que se conecte a um modelo semântico compartilhado no serviço do Power BI. Para obter mais informações sobre como reutilizar modelos semânticos compartilhados, consulte o cenário de uso de BI de autoatendimento gerenciado.
• Criar uma pasta de trabalho do Excel conectada: crie um novo relatório do Excel que se conecte a um modelo semântico compartilhado no serviço do Power BI. Experiências conectadas do Excel, em vez de downloads de dados, são altamente incentivadas.
• Criar um relatório DirectQuery: crie um novo relatório do Power BI que se conecte a uma fonte de dados com suporte no modo DirectQuery. Uma situação em que esse método é útil é quando você deseja aproveitar a segurança do usuário implementada pelo sistema de origem.

Os criadores de relatórios são encontrados em todas as unidades de negócios da organização. Normalmente, há muito mais criadores de relatórios em uma organização do que criadores de dados.

Gorjeta

Embora nem todo modelo semântico seja um modelo semântico compartilhado, ainda vale a pena adotar uma estratégia de BI de autoatendimento gerenciado. Esta estratégia reutiliza modelos semânticos partilhados sempre que possível. Dessa forma, a criação de relatórios e a criação de dados são dissociadas. Qualquer criador de conteúdo de qualquer unidade de negócios pode usar efetivamente essa estratégia.

Permissões para criadores

Esta seção descreve as permissões mais comuns para criadores de dados e criadores de relatórios.

Esta secção não se destina a ser uma lista completa de todas as permissões possíveis. Em vez disso, destina-se a ajudar no planeamento da sua estratégia de apoio a diferentes tipos de criadores de conteúdo. Seu objetivo deve ser seguir o princípio do menor privilégio. Esse princípio permite permissões suficientes para que os usuários sejam produtivos, sem excesso de permissões de provisionamento.

Criação de novos conteúdos

As permissões a seguir geralmente são necessárias para criar novo conteúdo.

Permissão	Criador de relatórios	Criador de modelo semântico	Criador de fluxo de dados	Criador do Datamart
Acesso à fonte de dados subjacente
Permissões de leitura e compilação do modelo semântico
permissão de Ler de fluxo de dados (quando um fluxo de dados é usado como fonte, por meio da função Visualizador do espaço de trabalho)
Acesso onde o arquivo original do Power BI Desktop está armazenado
Permissão para usar visuais personalizados

Permissões de publicação de conteúdo

As permissões a seguir geralmente são necessárias para publicar conteúdo.

Permissão	Criador de relatórios	Criador de modelo semântico	Criador de fluxo de dados	Criador do Datamart
Função do espaço de trabalho: Colaborador, Membro ou Administrador
Modelo semântico: permissão de gravação (quando o usuário não pertence a uma função de espaço de trabalho)
Função de pipeline de implantação para publicar itens (opcional)

Atualizando dados

As permissões a seguir geralmente são necessárias para atualizar dados.

Permissão	Criador de relatórios	Criador de modelo semântico	Criador de fluxo de dados	Criador do Datamart
Proprietário atribuído (que configurou as configurações ou assumiu o item)
Acesso à fonte de dados subjacente (quando um gateway não é usado)
Acesso à fonte de dados em um gateway (quando a fonte está no local ou em uma rede virtual)

O restante deste artigo descreve considerações para permissões de criador de conteúdo.

Gorjeta

Para obter permissões relacionadas à exibição de conteúdo, consulte o artigo Relatar planejamento de segurança do consumidor.

Lista de verificação - Ao planejar sua estratégia de segurança para criadores de conteúdo, as principais decisões e ações incluem:

• Determine quem são seus criadores de dados: certifique-se de que você está familiarizado com quem está criando modelos semânticos, fluxos de dados e datamarts. Verifique se você entende quais são as necessidades deles antes de iniciar suas atividades de planejamento de segurança.
• Determine quem são os criadores de relatórios: certifique-se de que está familiarizado com quem está a criar relatórios, dashboards, livros e scorecards. Verifique se você entende quais são as necessidades deles antes de iniciar suas atividades de planejamento de segurança.

Descubra conteúdo para criadores

Os usuários podem confiar na descoberta de dados para encontrar modelos semânticos e datamarts. A descoberta de dados é um recurso do Power BI que permite que os criadores de conteúdo localizem ativos de dados existentes, mesmo quando não têm permissões para esse conteúdo.

A descoberta de dados existentes é útil para:

• Criadores de relatórios que desejam usar um modelo semântico existente para um novo relatório.
• Criadores de relatórios que desejam consultar dados de um datamart existente.
• Criadores de modelos semânticos que desejam usar um modelo semântico existente para um novo modelo composto.

Nota

A descoberta de dados no Power BI não é uma permissão de segurança de dados. É uma configuração que permite que os criadores de relatórios leiam metadados, ajudando-os a descobrir dados e solicitar acesso a eles.

Você pode configurar um modelo semântico ou datamart como detetável quando ele for aprovado (certificado ou promovido). Quando é detetável, os criadores de conteúdo podem encontrá-lo no hub de dados.

Um criador de conteúdo também pode solicitar acesso ao modelo semântico ou datamart. Essencialmente, uma solicitação de acesso solicita a permissão de compilação, que é necessária para criar novo conteúdo com base nela. Ao responder a solicitações de acesso, considere o uso de grupos em vez de usuários individuais. Para obter mais informações sobre como usar grupos para essa finalidade, consulte Solicitar fluxo de trabalho de acesso para consumidores.

Considere os três exemplos a seguir.

• O modelo semântico de Resumo de Vendas é certificado. É a fonte confiável e autorizada para o acompanhamento de vendas. Muitos criadores de relatórios de autoatendimento em toda a organização usam esse modelo semântico. Portanto, existem muitos relatórios existentes e modelos compostos baseados no modelo semântico. Para incentivar outros criadores a encontrar e usar o modelo semântico, ele é definido como detetável.
• O modelo semântico Inventory Stats é certificado. É uma fonte confiável e autorizada para análise de inventário. O modelo semântico e os relatórios relacionados são mantidos e distribuídos pela equipe de BI da empresa. Devido ao design complexo do modelo semântico, apenas a equipe de BI da empresa tem permissão para criar e manter conteúdo de inventário. Como o objetivo é desencorajar os criadores de relatórios de usar o modelo semântico, ele não é definido como detetável.
• O modelo semântico de Bônus Executivos contém informações altamente confidenciais. As permissões para exibir ou atualizar esse modelo semântico são restritas a alguns usuários. Este modelo semântico não está definido como detetável.

A captura de tela a seguir mostra um modelo semântico no hub de dados no serviço do Power BI. Especificamente, ele mostra um exemplo de uma mensagem de acesso de solicitação para um modelo semântico detetável. Esta mensagem é mostrada quando o usuário não tem acesso no momento. A mensagem Solicitar acesso foi personalizada nas configurações do modelo semântico.

A mensagem Solicitar acesso diz: Para relatórios de vendas padrão de MTD/QTD/YTD, este modelo semântico é a fonte autorizada e certificada. Solicite acesso ao modelo semântico preenchendo o formulário localizado em https://COE.contoso.com/RequestAccess. Ser-lhe-á solicitada uma breve justificação comercial e o gestor do Centro de Excelência terá de aprovar também o pedido. O acesso será auditado semestralmente.

Nota

Sua cultura de dados e sua posição sobre a democratização de dados devem influenciar fortemente se você habilita a descoberta de dados. Para obter mais informações sobre a descoberta de dados, consulte o cenário de uso de BI de autoatendimento gerenciado personalizável.

Há três configurações de locatário relacionadas à descoberta.

• A configuração Descobrir locatário de conteúdo permite que os administradores do Power BI definam quais grupos de usuários têm permissão para descobrir dados. Destina-se principalmente a criadores de relatórios que podem precisar localizar modelos semânticos existentes ao criar relatórios. Também é útil para criadores de modelos semânticos que podem procurar dados existentes que possam usar no desenvolvimento de modelos compostos. Embora seja possível defini-lo para grupos de segurança específicos, é uma boa ideia habilitar a configuração para toda a organização. A configuração de descoberta em modelos semânticos individuais e fluxos de dados controlará o que pode ser descoberto. Menos comumente, você pode considerar restringir esse recurso apenas a criadores de conteúdo aprovados.
• A configuração Tornar o locatário detetável de conteúdo certificado permite que os administradores do Power BI definam quais grupos podem definir o conteúdo para ser detetável (quando eles também têm permissão para editar o item, bem como permissão para certificar conteúdo, que é concedida pela configuração Locatário de Certificação ). A capacidade de certificar o conteúdo deve ser rigorosamente controlada. Na maioria dos casos, os mesmos usuários que têm permissão para certificar o conteúdo devem ter permissão para defini-lo como detetável. Em algumas situações, talvez você queira restringir esse recurso apenas a criadores de dados aprovados.
• A configuração Tornar o locatário de conteúdo promovido detetável permite que os administradores do Power BI definam quais grupos podem definir o conteúdo como detetável (quando também tiverem permissões para editar os dados). Como a capacidade de promover conteúdo está aberta a todos os criadores de conteúdo, na maioria dos casos, esse recurso deve estar disponível para todos os usuários. Menos comumente, você pode considerar restringir esse recurso apenas a criadores de conteúdo aprovados.

Lista de verificação - Ao planejar a descoberta de dados para seus criadores de conteúdo, as principais decisões e ações incluem:

• Esclareça as necessidades de descoberta de dados: considere qual é a posição da sua organização em incentivar os criadores de conteúdo a encontrar modelos semânticos e datamarts existentes. Quando apropriado, crie uma política de governança sobre como a descoberta de dados deve ser usada.
• Decidir quem pode descobrir conteúdo: decida se qualquer usuário do Power BI tem permissão para descobrir conteúdo ou se a descoberta deve ser limitada a determinados grupos de usuários (por exemplo, um grupo de criadores de conteúdo aprovados). Defina a configuração Descobrir locatário de conteúdo para alinhar com essa decisão.
• Decidir quem pode definir o conteúdo certificado para ser detetável: decida se qualquer usuário do Power BI (que tem permissão para editar o modelo semântico ou datamart, bem como permissão para certificá-lo) pode defini-lo como detetável. Defina a configuração Tornar o locatário detetável de conteúdo certificado para alinhar com essa decisão.
• Decida quem pode definir o conteúdo promovido para ser detetável: decida se qualquer usuário do Power BI (que tem permissão para editar o modelo semântico ou o datamart) pode defini-lo como detetável. Defina a configuração Tornar o locatário detetável de conteúdo promovido para alinhar com essa decisão.
• Incluir na documentação e no treinamento para criadores de modelos semânticos: inclua orientações para seus criadores de modelos semânticos sobre quando é apropriado usar a descoberta de dados para os modelos semânticos e datamarts que eles possuem e gerenciam.
• Inclua na documentação e no treinamento para criadores de relatórios: inclua orientações para seus criadores de conteúdo sobre como a descoberta de dados funciona e o que eles podem esperar.

Solicitar fluxo de trabalho de acesso para criadores

Um usuário pode solicitar acesso ao conteúdo de duas maneiras.

• Para consumidores de conteúdo: um usuário recebe um link para um relatório ou aplicativo existente no serviço do Power BI. Para visualizar o item, o consumidor pode selecionar o botão Solicitar acesso . Para obter mais informações, consulte o artigo Relatar planejamento de segurança do consumidor.
• Para criadores de conteúdo: o usuário descobre um modelo semântico ou datamart no hub de dados. Para criar um novo relatório ou modelo composto com base nos dados existentes, o criador de conteúdo pode selecionar o botão Solicitar acesso . Esta experiência é o foco desta secção.

Por padrão, uma solicitação de acesso a um modelo semântico ou a um datamart vai para o proprietário. O proprietário é o usuário que agendeu pela última vez a atualização de dados agendada ou as credenciais de entrada. Confiar em um usuário para processar solicitações de acesso pode ser aceitável para modelos semânticos de equipe. No entanto, isso pode não ser prático ou confiável.

Em vez de depender de um proprietário, você pode definir instruções personalizadas que são apresentadas aos usuários quando eles solicitam acesso a um modelo semântico ou datamart. As instruções personalizadas são úteis quando:

• O modelo semântico é definido como detetável.
• A aprovação do pedido de acesso será feita por alguém que não seja o proprietário dos dados.
• Existe um processo em vigor que precisa ser seguido para solicitações de acesso.
• Rastreamento de quem solicitou acesso, quando e por que é necessário por motivos de auditoria ou conformidade.
• É necessária uma explicação sobre como solicitar acesso e definir expectativas.

A captura de tela a seguir mostra um exemplo de configuração de instruções personalizadas que um usuário vê quando solicita a permissão de compilação. As instruções personalizadas dizem: Para relatórios de vendas padrão de MTD/QTD/YTD, este modelo semântico é a fonte autorizada e certificada. Solicite acesso ao modelo semântico preenchendo o formulário localizado em https://COE.contoso.com/RequestAccess. Ser-lhe-á solicitada uma breve justificação comercial e o gestor do Centro de Excelência terá de aprovar também o pedido. O acesso será auditado semestralmente.

Há muitas opções para criar um formulário. O Power Apps e o Microsoft Forms são opções de baixo código e fáceis de usar. Recomendamos que você crie um formulário de forma independente de um único usuário. É crucial que seu formulário seja criado, gerenciado e monitorado pela equipe adequada.

Recomendamos que crie informações úteis para:

• Criadores de conteúdo para que saibam o que esperar quando solicitam acesso.
• Proprietários e administradores de conteúdo para que saibam como gerenciar as solicitações enviadas.

Gorjeta

Para obter mais informações sobre como responder a solicitações de acesso de leitura de consumidores, consulte Fluxo de trabalho de acesso de solicitação para consumidores. Ele também inclui informações sobre o uso de grupos (em vez de usuários individuais).

Lista de verificação - Ao planejar o fluxo de trabalho de acesso de solicitação, as principais decisões e ações incluem:

• Esclarecer preferências sobre como lidar com solicitações de acesso: determine para quais situações é aceitável a aprovação do proprietário e quando um processo diferente deve ser usado. Quando apropriado, crie uma política de governança sobre como as solicitações de acesso devem ser tratadas.
• Inclua na documentação e no treinamento para criadores de modelos semânticos e datamarts: inclua orientações para seus criadores de modelo semântico e datamart sobre como e quando definir instruções personalizadas para solicitações de acesso.
• Incluir na documentação e no treinamento para criadores de relatórios: inclua orientações para os criadores de relatórios sobre o que eles podem esperar ao solicitar permissões de compilação para modelos semânticos e datamarts.

Criar e publicar conteúdo

Esta seção inclui aspetos de segurança que se aplicam aos criadores de conteúdo.

Nota

Para consumidores que visualizam relatórios, painéis e scorecards, consulte o artigo Relatar planejamento de segurança do consumidor. Considerações relacionadas às permissões do aplicativo também são abordadas nesse artigo.

Funções do espaço de trabalho

Você concede acesso ao espaço de trabalho adicionando usuários ou grupos (incluindo grupos de segurança, grupos do Microsoft 365 e listas de distribuição) às funções do espaço de trabalho. A atribuição de usuários a funções de espaço de trabalho permite especificar o que eles podem fazer com o espaço de trabalho e seu conteúdo.

Nota

Para obter mais informações sobre considerações de planejamento de espaço de trabalho, consulte os artigos de planejamento de espaço de trabalho. Para obter mais informações sobre grupos, consulte o artigo Planejamento de segurança em nível de locatário.

Como o objetivo principal de um espaço de trabalho é a colaboração, o acesso ao espaço de trabalho é principalmente relevante para os usuários que possuem e gerenciam seu conteúdo. Ao começar a planejar as funções do espaço de trabalho, é útil fazer a si mesmo as seguintes perguntas.

• Quais são as expectativas de como a colaboração ocorrerá no espaço de trabalho?
• Quem será responsável pela gestão do conteúdo na área de trabalho?
• A intenção é atribuir usuários individuais ou grupos a funções de espaço de trabalho?

Há quatro funções de espaço de trabalho do Power BI: Administrador, Membro, Colaborador e Visualizador. As três primeiras funções são relevantes para os criadores de conteúdo, que criam e publicam conteúdo. A função Visualizador é relevante para consumidores somente leitura.

As quatro permissões de função de espaço de trabalho são aninhadas. Isso significa que os administradores do espaço de trabalho têm todos os recursos disponíveis para membros, colaboradores e visualizadores. Da mesma forma, os membros têm todos os recursos disponíveis para colaboradores e visualizadores. Os colaboradores têm todos os recursos disponíveis para os espectadores.

Gorjeta

Consulte a documentação das funções do espaço de trabalho para obter a referência autoritativa para cada uma das quatro funções.

Administrador do espaço de trabalho

Os usuários atribuídos à função Administrador tornam-se os administradores do espaço de trabalho. Eles podem gerenciar todas as configurações e executar todas as ações, incluindo adicionar ou remover usuários (incluindo outros administradores de espaço de trabalho).

Os administradores de espaço de trabalho podem atualizar ou excluir o aplicativo Power BI (se existir). Eles podem, opcionalmente, permitir que os colaboradores atualizem o aplicativo para o espaço de trabalho. Para obter mais informações, consulte Variações para funções de espaço de trabalho mais adiante neste artigo.

Gorjeta

Ao se referir a um administrador, certifique-se de esclarecer se você está falando sobre um administrador de espaço de trabalho ou um administrador de nível de locatário do Power BI.

Tome cuidado para garantir que apenas indivíduos confiáveis e confiáveis sejam administradores de espaço de trabalho. Um administrador de espaço de trabalho tem altos privilégios. Eles têm acesso para visualizar e gerenciar todo o conteúdo no espaço de trabalho. Eles podem adicionar e remover usuários (incluindo outros administradores) para qualquer função de espaço de trabalho. Eles também podem excluir o espaço de trabalho.

Recomendamos que haja pelo menos dois administradores para que um sirva como backup caso o administrador principal não esteja disponível. Um espaço de trabalho que não tem um administrador é conhecido como um espaço de trabalho órfão. O status órfão ocorre quando um usuário sai da organização e não há nenhum administrador alternativo atribuído ao espaço de trabalho. Para obter mais informações sobre como detetar e corrigir espaços de trabalho órfãos, consulte o artigo Exibir espaços de trabalho.

Idealmente, você deve ser capaz de determinar quem é responsável pelo conteúdo do espaço de trabalho por quem são os administradores e membros do espaço de trabalho (e os contatos especificados para o espaço de trabalho). No entanto, algumas organizações adotam uma estratégia de propriedade e gerenciamento de conteúdo que restringe a criação de espaços de trabalho a usuários ou grupos específicos. Eles normalmente têm um processo de criação de espaço de trabalho estabelecido que é gerenciado pelo departamento de TI. Nesse caso, os administradores do espaço de trabalho seriam o departamento de TI e não os usuários que criam e publicam diretamente o conteúdo.

Membro do espaço de trabalho

Os usuários atribuídos à função Membro podem adicionar outros usuários do espaço de trabalho (mas não administradores). Eles também podem gerenciar permissões para todo o conteúdo no espaço de trabalho.

Os membros do espaço de trabalho podem publicar ou cancelar a publicação do aplicativo para o espaço de trabalho, compartilhar um item de espaço de trabalho ou o aplicativo e permitir que outros usuários compartilhem itens de espaço de trabalho do aplicativo.

Os membros do espaço de trabalho devem ser limitados aos usuários que precisam gerenciar a criação de conteúdo do espaço de trabalho e publicar o aplicativo. Em alguns casos, os administradores do espaço de trabalho cumprem essa finalidade, portanto, talvez não seja necessário atribuir nenhum usuário ou grupo à função Membro. Quando os administradores do espaço de trabalho não estão diretamente relacionados ao conteúdo do espaço de trabalho (por exemplo, porque a TI gerencia o processo de criação do espaço de trabalho), os membros do espaço de trabalho podem ser os verdadeiros proprietários responsáveis pelo conteúdo do espaço de trabalho.

Colaborador do espaço de trabalho

Os usuários atribuídos à função de Colaborador podem criar, editar ou excluir conteúdo do espaço de trabalho.

Os colaboradores não podem atualizar o aplicativo Power BI (quando existe um para o espaço de trabalho), a menos que isso tenha sido permitido pela configuração do espaço de trabalho. Para obter mais informações, consulte Variações para funções de espaço de trabalho mais adiante neste artigo.

A maioria dos criadores de conteúdo na organização são colaboradores do espaço de trabalho.

Visualizador de espaço de trabalho

Os usuários atribuídos à função Visualizador podem exibir e interagir com todo o conteúdo do espaço de trabalho.

A função Visualizador é relevante para consumidores somente leitura para equipes pequenas e cenários informais. Ele está totalmente descrito no artigo Relatório de planejamento de segurança do consumidor.

Considerações sobre a propriedade do espaço de trabalho

Considere um exemplo em que as seguintes ações são executadas para configurar um novo espaço de trabalho.

1. Campeões específicos do Power BI e membros satélites do Centro de Excelência (COE) receberam permissão nas configurações do locatário para criar novos espaços de trabalho. Eles foram treinados em estratégias de organização de conteúdo e padrões de nomenclatura.
2. Você (um criador de conteúdo) envia uma solicitação para criar um espaço de trabalho para um novo projeto que você gerenciará. O espaço de trabalho incluirá relatórios que acompanham o progresso do seu projeto.
3. Um campeão do Power BI para sua unidade de negócios recebe a solicitação. Eles determinam que um novo espaço de trabalho é justificado. Em seguida, eles criam um espaço de trabalho e atribuem o grupo de segurança campeões do Power BI (para sua unidade de negócios) à função de administrador do espaço de trabalho.
4. O campeão do Power BI atribui você (o criador de conteúdo) à função Membro do espaço de trabalho.
5. Você atribui um colega confiável à função Membro do espaço de trabalho para garantir que haja um backup caso você esteja ausente.
6. Você atribui outros colegas à função de Colaborador do espaço de trabalho porque eles serão responsáveis pela criação do conteúdo do espaço de trabalho, incluindo modelos semânticos e relatórios.
7. Você atribui seu gerente à função Visualizador do espaço de trabalho porque ele solicitou acesso para monitorar o progresso do projeto. Seu gerente gostaria de revisar o conteúdo no espaço de trabalho antes de publicar um aplicativo.
8. Você assume a responsabilidade de gerenciar outras propriedades do espaço de trabalho, como descrição e contatos. Você também assume a responsabilidade de gerenciar o acesso ao espaço de trabalho continuamente.

O exemplo anterior mostra uma maneira eficaz de permitir que uma unidade de negócios descentralizada a capacidade de agir de forma independente. Também mostra o princípio do menor privilégio.

Para conteúdo controlado ou conteúdo crítico que é gerenciado com mais rigor, é uma prática recomendada atribuir grupos em vez de contas de usuário individuais a funções de espaço de trabalho. Dessa forma, você pode gerenciar a associação ao grupo separadamente do espaço de trabalho. No entanto, quando você atribui grupos a funções, é possível que os usuários sejam atribuídos a várias funções de espaço de trabalho (porque o usuário pertence a vários grupos). Nesse caso, suas permissões efetivas são baseadas na função mais alta à qual estão atribuídas. Para obter mais considerações, consulte Estratégia para usar grupos.

Quando um espaço de trabalho é propriedade conjunta de vários indivíduos ou equipes, isso pode tornar o gerenciamento do conteúdo complicado. Tente evitar cenários de propriedade de várias equipes separando espaços de trabalho. Dessa forma, as responsabilidades são claras e as atribuições de funções são simples de configurar.

Variações das funções do espaço de trabalho

Há duas variações para as quatro funções do espaço de trabalho (descritas anteriormente).

• Por padrão, apenas administradores e membros do espaço de trabalho podem criar, publicar e atualizar o aplicativo para o espaço de trabalho. A configuração Permitir que os colaboradores atualizem o aplicativo para este espaço de trabalho é uma configuração no nível do espaço de trabalho, que permite que os administradores do espaço de trabalho deleguem aos colaboradores a capacidade de atualizar o aplicativo para o espaço de trabalho. No entanto, os colaboradores não podem publicar um novo aplicativo ou alterar quem tem permissão para editá-lo. Essa configuração é útil quando você deseja que os colaboradores possam atualizar o aplicativo (quando existe um para o espaço de trabalho), mas não concedem as outras permissões disponíveis para os membros.
• A configuração Bloquear, republicar e desabilitar locatário de atualização de pacote permite apenas que os proprietários de modelos semânticos publiquem atualizações. Quando habilitado, os administradores, membros e colaboradores do espaço de trabalho não podem publicar alterações, a menos que primeiro assumam o modelo semântico como seu proprietário. Como essa configuração se aplica a toda a organização, habilite-a com uma certa cautela porque afeta todos os modelos semânticos para o locatário. Certifique-se de comunicar aos criadores do modelo semântico o que esperar, pois isso altera o comportamento normal das funções do espaço de trabalho.

Importante

As permissões por item também podem ser consideradas como uma substituição das funções padrão do espaço de trabalho. Para obter mais informações sobre permissões por item, consulte o artigo Relatar planejamento de segurança do consumidor.

Lista de verificação - Ao planejar funções no espaço de trabalho, as principais decisões e ações incluem:

• Crie uma matriz de responsabilidade: mapeie quem deve lidar com cada função ao criar, manter, publicar, proteger e dar suporte a conteúdo. Use essas informações ao planejar suas funções de espaço de trabalho.
• Decida sua estratégia para atribuir funções de espaço de trabalho para criadores de conteúdo: determine quais usuários devem ser administradores, membros ou colaboradores e em que circunstâncias (como função de trabalho ou área temática). Se houver incompatibilidades que causem um problema de segurança, reconsidere como seus espaços de trabalho poderiam ser melhor organizados.
• Determine como grupos de segurança versus indivíduos devem ser usados para funções de espaço de trabalho: determine os casos de uso e as finalidades necessárias para usar grupos. Seja específico sobre quando a segurança deve ser aplicada usando contas de usuário versus quando um grupo é necessário ou preferido.
• Fornecer orientação aos criadores de conteúdo sobre como gerenciar funções do espaço de trabalho: inclua documentação para criadores de conteúdo sobre como gerenciar funções do espaço de trabalho. Publique essas informações em seu portal centralizado e materiais de treinamento.
• Configurar e testar atribuições de função de espaço de trabalho: verifique se os criadores de conteúdo têm a funcionalidade necessária para editar e publicar conteúdo.

Permissões do criador de aplicativos

Os criadores de conteúdo que são administradores ou membros do espaço de trabalho podem criar e publicar um aplicativo do Power BI.

Um administrador de espaço de trabalho também pode especificar uma configuração no espaço de trabalho que permite que os colaboradores do espaço de trabalho atualizem o aplicativo. É uma variação da segurança da função de espaço de trabalho porque concede aos colaboradores uma outra permissão que eles normalmente não teriam. Essa configuração é definida por espaço de trabalho.

Gorjeta

Para obter mais informações sobre como fornecer conteúdo para consumidores somente leitura, consulte o artigo Relatar planejamento de segurança do consumidor. Este artigo inclui informações sobre permissões de aplicativos para consumidores de aplicativos, incluindo públicos para o aplicativo.

Lista de verificação - Ao planejar permissões de criador de aplicativos, as principais decisões e ações incluem:

• Decida sua estratégia para quem pode criar e publicar aplicativos do Power BI: Esclareça quem deve ter permissão para criar e publicar aplicativos do Power BI.
• Determinar quando os colaboradores podem atualizar aplicativos do Power BI: esclareça as situações em que um colaborador deve ter permissão para atualizar aplicativos do Power BI. Atualize a configuração do espaço de trabalho quando esse recurso for necessário.

Permissões de fonte de dados

Quando um criador de dados inicia um novo projeto, as permissões necessárias para acessar fontes de dados externas são uma de suas primeiras considerações relacionadas à segurança. Eles também podem precisar de orientação sobre outros assuntos relacionados à fonte de dados, incluindo níveis de privacidade, consultas de banco de dados nativo e conectores personalizados.

Acesso à fonte de dados

Quando um criador de dados cria um modelo semântico, fluxo de dados ou datamart, ele deve se autenticar com fontes de dados para recuperar dados. Normalmente, a autenticação envolve credenciais de usuário (conta e senha), que podem ser para uma conta de serviço.

Às vezes, é útil criar contas de serviço específicas para acessar fontes de dados. Consulte o departamento de TI para obter orientação sobre como as contas de serviço devem ser usadas em sua organização. Quando são permitidos, o uso de contas de serviço pode:

• Centralize as permissões necessárias para fontes de dados.
• Reduza o número de usuários individuais que precisam de permissões para uma fonte de dados.
• Evite falhas de atualização de dados quando um usuário sair da organização.

Gorjeta

Se você optar por usar contas de serviço, recomendamos que controle rigorosamente quem tem acesso às credenciais. Alterne senhas regularmente (como a cada três meses) ou quando alguém que tem acesso deixa a organização.

Ao acessar fontes de dados, aplique o princípio do menor privilégio para garantir que os usuários (ou contas de serviço) tenham permissão para ler apenas os dados de que precisam. Eles nunca devem ter permissão para realizar modificações de dados. Os administradores de banco de dados que criam essas contas de serviço devem perguntar sobre consultas e cargas de trabalho esperadas e tomar medidas para garantir otimizações adequadas (como índices) e recursos.

Gorjeta

Se for difícil fornecer acesso direto à fonte de dados para criadores de dados de autoatendimento, considere o uso de uma abordagem indireta. Você pode criar fluxos de dados no serviço do Power BI e permitir que os criadores de dados de autoatendimento originem dados deles. Essa abordagem tem os benefícios adicionais de reduzir a carga de consulta na fonte de dados e fornecer um instantâneo consistente dos dados. Para obter mais informações, consulte os cenários de uso de preparação de dados pessoais e preparação avançada de dados.

As credenciais (conta e senha) podem ser aplicadas de duas maneiras.

• Power BI Desktop: As credenciais são criptografadas e armazenadas localmente na máquina do usuário.
• Serviço do Power BI: as credenciais são criptografadas e armazenadas com segurança para:
  • O modelo semântico (quando um gateway de dados não está em uso para alcançar a fonte de dados).
  • A fonte de dados do gateway (quando um gateway padrão ou um serviço de gateway de rede virtual está em uso para alcançar a fonte de dados).

Gorjeta

Quando você já tiver inserido credenciais para uma fonte de dados de modelo semântico, o serviço do Power BI vinculará automaticamente essas credenciais a outras fontes de dados de modelo semântico quando houver uma correspondência exata de cadeia de conexão e nome de banco de dados. Tanto o serviço do Power BI quanto o Power BI Desktop fazem parecer que você está inserindo credenciais para cada fonte de dados. No entanto, ele pode aplicar as mesmas credenciais a fontes de dados correspondentes que tenham o mesmo proprietário. A esse respeito, as credenciais do modelo semântico são definidas para o proprietário.

As credenciais são criptografadas e armazenadas separadamente do modelo de dados no Power BI Desktop e no serviço do Power BI. Esta separação de dados tem as seguintes vantagens de segurança.

• Ele facilita a reutilização de credenciais para vários modelos semânticos, fluxos de dados e datamarts.
• Quando alguém analisa os metadados de um modelo semântico, não consegue extrair as credenciais.
• No Power BI Desktop, outro usuário não pode se conectar à fonte de dados original para atualizar dados sem primeiro aplicar as credenciais.

Algumas fontes de dados oferecem suporte ao logon único (SSO), que pode ser definido ao inserir credenciais no serviço do Power BI (para fontes de dados de gateway ou modelo semântico). Quando você habilita o SSO, o Power BI envia as credenciais do usuário autenticado para a fonte de dados. Essa opção permite que o Power BI honre as configurações de segurança configuradas na fonte de dados, como segurança em nível de linha. O SSO é especialmente útil quando as tabelas no modelo de dados usam o modo de armazenamento DirectQuery.

Níveis de privacidade

Os níveis de privacidade de dados especificam níveis de isolamento que definem o grau em que uma fonte de dados é isolada de outras fontes de dados. Quando definidos adequadamente, garantem que o Power Query transmite apenas dados compatíveis entre fontes. Quando o Power Query pode transmitir dados entre origens de dados, pode resultar em consultas mais eficientes que reduzem o volume de dados enviados para o Power BI. Quando não é possível transmitir dados entre fontes de dados, isso pode resultar em um desempenho mais lento.

Existem três níveis de privacidade.

• Privado: inclui dados confidenciais que devem ser isolados de todas as outras fontes de dados. Este nível é o mais restritivo. Os dados da fonte de dados privada não podem ser compartilhados com nenhuma outra fonte de dados. Por exemplo, um banco de dados de recursos humanos que contém valores salariais de funcionários deve ser definido para o nível de privacidade privada.
• Organizacional: Isolado de fontes de dados públicas, mas visível para outras fontes de dados organizacionais. Este nível é o mais comum. Os dados da fonte de dados organizacionais podem ser compartilhados com fontes de dados privadas ou outras fontes de dados organizacionais. A maioria dos bancos de dados operacionais internos pode ser definida com o nível de privacidade organizacional.
• Público: dados não confidenciais que podem ser tornados visíveis para qualquer fonte de dados. Este nível é o menos restritivo. Os dados da fonte de dados pública podem ser compartilhados com qualquer outra fonte de dados. Por exemplo, um relatório de censo obtido de um site do governo pode ser definido para o nível de privacidade pública.

Ao combinar consultas de diferentes fontes de dados, é importante definir os níveis de privacidade corretos. Quando os níveis de privacidade são definidos corretamente, há a possibilidade de os dados de uma fonte de dados serem transmitidos para outra fonte de dados para consultar dados de forma eficiente.

Considere um cenário em que um criador de modelo semântico tenha duas fontes de dados: uma pasta de trabalho do Excel e uma tabela em um Banco de Dados SQL do Azure. Eles desejam filtrar os dados na tabela do Banco de Dados SQL do Azure usando um valor proveniente da pasta de trabalho do Excel. A forma mais eficiente de o Power Query gerar uma instrução SQL para a Base de Dados SQL do Azure é aplicar uma cláusula WHERE para executar a filtragem necessária. No entanto, essa instrução SQL conterá um predicado de cláusula WHERE com um valor originado da pasta de trabalho do Excel. Se a pasta de trabalho do Excel contiver dados confidenciais, ela poderá representar uma violação de segurança porque o administrador do banco de dados poderá exibir a instrução SQL usando uma ferramenta de rastreamento. Embora menos eficiente, a alternativa é que o mecanismo de mashup do Power Query baixe todo o conjunto de resultados da tabela do banco de dados e execute a filtragem no próprio serviço do Power BI. Esta abordagem será menos eficiente e lenta, mas segura.

Os níveis de privacidade podem ser definidos para cada fonte de dados:

• Por modeladores de dados no Power BI Desktop.
• Por proprietários de modelos semânticos no serviço Power BI (para fontes de dados na nuvem, que não exigem um gateway).
• Por criadores e proprietários de fonte de dados de gateway no serviço Power BI (para fontes de dados de gateway).

Importante

Os níveis de privacidade definidos no Power BI Desktop não são transferidos para o serviço do Power BI.

Há uma opção de segurança do Power BI Desktop que permite ignorar os níveis de privacidade para melhorar o desempenho. Você pode usar essa opção para melhorar o desempenho da consulta durante o desenvolvimento de um modelo de dados quando não houver risco de violar a segurança dos dados (porque você está trabalhando com dados de desenvolvimento ou teste que não são confidenciais). No entanto, essa configuração não é honrada pelo serviço do Power BI.

Para obter mais informações, consulte Níveis de privacidade do Power BI Desktop.

Consultas de banco de dados nativo

Para criar consultas eficientes do Power Query, pode utilizar uma consulta nativa para aceder a dados. Uma consulta nativa é uma instrução escrita em uma linguagem suportada pela fonte de dados. As consultas nativas são suportadas apenas por fontes de dados específicas, que normalmente são bancos de dados relacionais, como o Banco de Dados SQL do Azure.

As consultas nativas podem representar um risco de segurança porque podem executar uma instrução SQL mal-intencionada. Uma instrução maliciosa pode executar modificações de dados ou excluir registros de banco de dados (quando o usuário tem as permissões necessárias na fonte de dados). Por esse motivo, por padrão, as consultas nativas exigem aprovação do usuário para serem executadas no Power BI Desktop.

Há uma opção de segurança do Power BI Desktop que permite desabilitar o requisito de pré-aprovação. Recomendamos que você deixe a configuração padrão que requer aprovação do usuário, especialmente quando você prevê que o arquivo do Power BI Desktop pode ser atualizado por outros usuários.

Conectores personalizados

Os programadores podem utilizar o SDK do Power Query para criar conectores personalizados. Os conectores personalizados permitem o acesso a fontes de dados proprietárias ou implementam autenticação específica com extensões de dados personalizadas. Alguns conectores personalizados são certificados e distribuídos pela Microsoft como conectores certificados. Os conectores certificados foram auditados e revisados para garantir que atendem a determinados requisitos de código especificados que a Microsoft testou e aprovou.

Há uma opção de segurança de extensão de dados do Power BI Desktop que restringe o uso de conectores não certificados. Por padrão, um erro é gerado quando é feita uma tentativa de carregar um conector não certificado. Ao definir essa opção para permitir conectores não certificados, os conectores personalizados serão carregados sem validação ou aviso.

Recomendamos que você mantenha seu nível de segurança de extensão de dados no nível mais alto, o que impede o carregamento de código não certificado. No entanto, pode haver casos em que você queira carregar conectores específicos, talvez conectores que você desenvolveu ou conectores fornecidos a você por um consultor ou fornecedor confiável fora do caminho de certificação da Microsoft.

Nota

Os desenvolvedores de conectores desenvolvidos internamente podem tomar medidas para assinar um conector com um certificado, permitindo que você use o conector sem a necessidade de alterar suas configurações de segurança. Para obter mais informações, consulte Conectores de terceiros confiáveis.

Lista de verificação - Ao planejar permissões de fonte de dados, as principais decisões e ações incluem:

• Decida quem pode acessar diretamente cada fonte de dados: determine quais criadores de dados têm permissão para acessar uma fonte de dados diretamente. Se houver uma estratégia para reduzir o número de pessoas com acesso direto, esclareça qual é a alternativa preferida (talvez usando fluxos de dados).
• Decida como as fontes de dados devem ser acessadas: determine se as credenciais de usuário individuais serão usadas para acessar uma fonte de dados ou se uma conta de serviço deve ser criada para essa finalidade. Determine quando o logon único é apropriado.
• Fornecer orientação para criadores de modelos semânticos sobre como acessar fontes de dados: inclua documentação para criadores de conteúdo sobre como acessar fontes de dados organizacionais. Publique as informações em seu portal centralizado e materiais de treinamento.
• Fornecer orientação aos criadores de modelos semânticos sobre os níveis de privacidade: fornecer orientação aos criadores de modelos semânticos para torná-los cientes dos níveis de privacidade e suas implicações ao trabalhar com dados confidenciais ou confidenciais. Publique essas informações em seu portal centralizado e materiais de treinamento.
• Fornecer orientação aos criadores de conexões de gateway sobre os níveis de privacidade: forneça orientação aos criadores de modelos semânticos para conscientizá-los sobre os níveis de privacidade e suas implicações ao trabalhar com dados confidenciais. Publique essas informações em seu portal centralizado e materiais de treinamento.
• Decida sobre a estratégia para usar consultas de banco de dados nativas: considere sua estratégia para usar consultas de banco de dados nativas. Instrua os criadores de modelos semânticos sobre como e quando definir a opção de consultas de banco de dados nativas do Power BI Desktop para desabilitar a pré-aprovação quando o Power Query executar consultas nativas.
• Decida sobre a estratégia para usar conectores personalizados: considere sua estratégia para usar conectores personalizados. Determine se o uso de conectores não certificados é justificado, caso em que instrua os criadores de modelos semânticos sobre como e quando definir a opção de extensão de dados do Power BI Desktop.

Permissões do criador do modelo semântico

Você pode atribuir permissão para editar um modelo semântico a um usuário ou grupo de maneiras diferentes.

• Função de espaço de trabalho: a atribuição a qualquer uma das funções de espaço de trabalho fornece acesso a todos os modelos semânticos no espaço de trabalho. A capacidade de exibir ou editar um modelo semântico existente depende da função de espaço de trabalho atribuída. Administradores, membros e colaboradores podem publicar ou editar conteúdo em um espaço de trabalho.
• Links de permissão por item: se um link de compartilhamento tiver sido criado para um relatório, a permissão para ler o modelo semântico (e, opcionalmente, criar, gravar e/ou compartilhar novamente) também será concedida indiretamente pelo link.
• Permissões de acesso direto por item: você pode atribuir a permissão de acesso direto a um modelo semântico específico.

Na captura de tela a seguir, observe as permissões atribuídas ao modelo semântico de Dados do Call Center. Um usuário tem permissão de Ler, que foi concedido usando permissões de acesso direto por item. Os usuários e grupos restantes têm permissões porque são atribuídos a funções de espaço de trabalho.

Gorjeta

O uso de permissões por item (links ou acesso direto) funciona melhor quando a intenção é que um usuário ou grupo exiba ou edite um item específico no espaço de trabalho. É mais adequado quando o usuário não tem permissão para acessar todos os itens no espaço de trabalho. Na maioria dos casos, recomendamos que você projete seus espaços de trabalho para que a segurança seja mais simples de gerenciar com funções de espaço de trabalho. Evite definir permissões por item sempre que possível.

Permissões de modelo semântico

Você pode atribuir as seguintes permissões de modelo semântico.

• Leia: Direcionada principalmente a consumidores de relatório, essa permissão permite que um relatório consulte dados no modelo semântico. Para obter mais informações sobre permissões para exibir conteúdo somente leitura, consulte o artigo Relatar planejamento de segurança do consumidor.
• Compilar: Direcionada a criadores de relatórios, essa permissão permite que os usuários criem novos relatórios com base no modelo semântico compartilhado. Para obter mais informações, consulte a seção Permissões do criador de relatórios mais adiante neste artigo.
• Escrever: Destinada a criadores de modelos semânticos que criam, publicam e gerenciam modelos semânticos, essa permissão permite que os usuários editem o modelo semântico. É descrito mais adiante nesta seção.
• Recompartilhar: Direcionado a qualquer pessoa com permissão existente para o modelo semântico, essa permissão permite que os usuários compartilhem o modelo semântico com outro usuário. É descrito mais adiante nesta seção.

Um administrador ou membro do espaço de trabalho pode editar as permissões para um modelo semântico.

Modelo semântico permissão de Ler

O modelo semântico permissão de Ler destina-se principalmente aos consumidores. Essa permissão é necessária para que os usuários possam visualizar os dados exibidos nos relatórios. Esteja ciente de que os relatórios baseados no modelo semântico também devem ter permissão de Ler; caso contrário, o relatório não será carregado. Para obter mais informações sobre como definir permissões de leitura de relatório, consulte o artigo Planejar a segurança do consumidor de relatório.

Modelo semântico Permissão de compilação

Além do modelo semântico permissão de Ler, os criadores de conteúdo também precisam da permissão Build do modelo semântico. Especificamente, a permissão Build permite que os criadores de relatórios:

• Crie novos relatórios do Power BI com base no modelo semântico.
• Conecte-se ao modelo semântico usando Analisar no Excel.
• Consulte o modelo semântico usando o ponto de extremidade XMLA.
• Exporte dados visuais subjacentes do relatório do Power BI (em vez dos dados resumidos recuperados pelo visual).
• Crie uma conexão DirectQuery com um modelo semântico do Power BI. Nesse caso, o novo modelo semântico se conecta a um ou mais modelos semânticos existentes do Power BI (conhecidos como encadeamento). Para consultar modelos semânticos encadeados, o criador do modelo semântico precisará da permissão Build para todos os modelos semânticos upstream. Para obter mais informações, consulte Modelos semânticos encadeados mais adiante neste artigo.

Você pode conceder permissão de compilação a um usuário ou grupo, direta ou indiretamente, de diferentes maneiras.

• Grant Build diretamente por:
  • Definir permissões de modelo semântico na página de configurações do modelo semântico no serviço Power BI.
  • Definir permissões de modelo semântico usando a API REST do Power BI.
• Grant Build indiretamente por:
  • Compartilhar um relatório ou painel e definir a opção para conceder permissão de compilação de modelo semântico.
  • Publicar um aplicativo Power BI e definir a opção avançada (para uma audiência) para conceder permissão Criar nos modelos semânticos relacionados.
  • Atribuir usuários às funções de espaço de trabalho Administrador, Membro ou Colaborador.

Definir a permissão de compilação diretamente para um modelo semântico é apropriado quando você deseja gerenciar a segurança em uma base granular por item. Definir a permissão de compilação indiretamente é apropriado quando os usuários que visualizarão ou usarão o conteúdo por meio de um dos métodos indiretos também criarão novo conteúdo.

Gorjeta

Frequentemente, os usuários que exibem um relatório ou um aplicativo do Power BI são diferentes dos usuários que criam novo conteúdo usando o(s) modelo(s) semântico(s) subjacente(s). A maioria dos consumidores são apenas espectadores, portanto, eles não precisam criar novos conteúdos. Recomendamos que você eduque seus criadores de conteúdo para conceder o menor número de permissões necessárias.

Modelo semântico Permissão de escrita

Normalmente, a definição de permissões para quem pode editar e gerenciar modelos semânticos será feita atribuindo usuários à função de espaço de trabalho Administrador, Membro ou Colaborador. No entanto, também é possível definir a permissão de gravação para um modelo semântico específico.

Recomendamos que você use funções de espaço de trabalho sempre que possível, pois é a maneira mais simples de gerenciar e auditar permissões. Use o modelo semântico Permissões de gravação por item quando tiver optado por criar menos espaços de trabalho, e um espaço de trabalho contém modelos semânticos para diferentes áreas de assunto que exigem gerenciamento de permissões diferente.

Gorjeta

Para obter orientação sobre como organizar espaços de trabalho, consulte os artigos de planejamento de espaço de trabalho.

Modelo semântico Permissão de recompartilhamento

A permissão Recompartilhar modelo semântico permite que um usuário com permissão existente compartilhe o modelo semântico com outros usuários. Você pode conceder essa permissão quando o conteúdo no modelo semântico puder ser compartilhado livremente, com base na discrição do usuário.

Em muitos casos, recomendamos limitar o uso da permissão Recompartilhar para garantir que as permissões do modelo semântico sejam cuidadosamente controladas. Obtenha a aprovação do(s) proprietário(s) do modelo semântico antes de conceder a permissão Recompartilhar.

Segurança de dados do modelo semântico

Você pode planejar a criação de menos modelos semânticos e relatórios impondo a segurança dos dados. O objetivo é reforçar a segurança dos dados com base na identidade do utilizador que está a visualizar o conteúdo.

Um criador de modelo semântico pode impor a segurança de dados de duas maneiras.

• A segurança em nível de linha (RLS) permite que um modelador de dados restrinja o acesso a um subconjunto de dados.
• A segurança em nível de objeto (OLS) permite que um modelador de dados restrinja o acesso a tabelas e colunas específicas e seus metadados.

A implementação da RLS e do OLS destina-se aos consumidores de relatórios. Para obter mais informações, consulte o artigo Relatar planejamento de segurança do consumidor. Ele descreve como e quando RLS e OLS são impostos para consumidores que têm permissão somente visualização para o modelo semântico.

Para RLS e OLS direcionados a outros criadores de relatórios, consulte Segurança de dados na seção Permissões do criador de relatórios mais adiante neste artigo.

Modelos semânticos encadeados

Os modelos semânticos do Power BI podem se conectar a outros modelos semânticos em um processo conhecido como encadeamento, que são conexões com modelos semânticos upstream. Para obter mais informações, consulte Usando o DirectQuery para modelos semânticos do Power BI e Analysis Services.

A configuração de locatário Permitir conexões DirectQuery a modelos semânticos do Power BI permite que os administradores do Power BI configurem quais grupos de criadores de conteúdo podem criar modelos semânticos encadeados. Se você não quiser restringir os criadores de modelos semânticos de encadear modelos semânticos, poderá deixar essa configuração habilitada para toda a organização e confiar no acesso ao espaço de trabalho e nas permissões do modelo semântico. Em alguns casos, você pode considerar restringir esse recurso a criadores de conteúdo aprovados.

Nota

Como criador de um modelo semântico, você pode restringir o encadeamento ao seu modelo semântico. Isso é feito habilitando a opção Desencorajar a conexão DirectQuery com esse modelo semântico no Power BI Desktop. Para obter mais informações, consulte Gerenciar conexões DirectQuery com um modelo semântico publicado.

Consultas de API de modelo semântico

Em algumas situações, talvez você queira executar uma consulta DAX usando a API REST do Power BI. Por exemplo, talvez você queira executar validações de qualidade de dados. Para obter mais informações, consulte Conjuntos de dados - Executar consultas.

A configuração de locatário da API REST de Executar Consultas de Conjunto de Dados permite que os administradores do Power BI definam quais grupos de usuários podem enviar consultas DAX usando a API REST do Power BI. Na maioria dos casos, você pode deixar essa configuração habilitada para toda a organização e confiar no acesso ao espaço de trabalho e nas permissões do modelo semântico. Em alguns casos, você pode considerar restringir esse recurso a criadores de conteúdo aprovados.

Lista de verificação - Ao planejar permissões de criador de modelo semântico, as principais decisões e ações incluem:

• Decidir sobre a estratégia para permissões de criador de modelo semântico: determine quais preferências e requisitos existem para gerenciar a segurança para criadores de modelos semânticos. Considere a área temática e o nível de sensibilidade dos dados. Considere também quem tem permissão para assumir a responsabilidade pelo gerenciamento de dados e permissões em unidades de negócios centralizadas e descentralizadas.
• Revise como as funções do espaço de trabalho são tratadas para criadores de modelos semânticos: determine qual é o impacto no processo de design do espaço de trabalho. Crie espaços de trabalho de dados separados para cada área de assunto para que você possa gerenciar mais facilmente as funções do espaço de trabalho e a segurança do modelo semântico para cada área de assunto.
• Fornecer orientação para criadores de modelos semânticos sobre como gerenciar permissões: inclua documentação para criadores de modelos semânticos sobre como gerenciar permissões de modelos semânticos. Publique essas informações em seu portal centralizado e materiais de treinamento.
• Decidir quem pode usar conexões DirectQuery para modelos semânticos do Power BI: decida se deve haver limitações para as quais os criadores de modelos semânticos do Power BI (com permissão de compilação existente para um modelo semântico) podem criar uma conexão com um modelo semântico do Power BI. Defina a configuração de locatário Permitir conexões DirectQuery para modelos semânticos do Power BI para alinhar com essa decisão. Se você decidir limitar esse recurso, considere usar um grupo como criadores de modelos semânticos aprovados pelo Power BI.
• Decidir quem pode consultar modelos semânticos do Power BI usando a API REST: decida se deseja restringir os criadores de conteúdo do Power BI de consultar modelos semânticos do Power BI usando a API REST do Power BI. Defina a configuração do locatário da API REST Execute Queries do Conjunto de Dados para alinhar com essa decisão. Se você decidir limitar esse recurso, considere usar um grupo como criadores de relatórios aprovados pelo Power BI.
• Decida sobre a estratégia para o uso de RLS ou OLS para criadores de modelos semânticos: considere quais casos de uso e finalidades você pretende usar RLS ou OLS. Leve em consideração a estratégia de design do espaço de trabalho e quem tem permissões de leitura versus edição quando quiser impor RLS ou OLS para criadores de modelos semânticos.

Permissões do criador de relatórios

Os criadores de relatórios precisam de acesso ao espaço de trabalho para criar relatórios no serviço do Power BI ou publicá-los a partir do Power BI Desktop. Eles devem ser administradores, membros ou colaboradores no espaço de trabalho de destino.

Sempre que possível, os criadores de relatórios devem usar um modelo semântico compartilhado existente (por meio de uma conexão ao vivo ou DirectQuery). Dessa forma, o processo de criação de relatório é dissociado do processo de criação do modelo semântico. Esse tipo de separação oferece muitos benefícios para cenários de segurança e desenvolvimento de equipe.

Um criador de relatório precisa ser um administrador, membro ou colaborador do espaço de trabalho.

Ao contrário dos modelos semânticos, não há uma permissão de gravação para relatórios. Para dar suporte aos criadores de relatórios, as funções do espaço de trabalho devem ser usadas. Por esse motivo, o design ideal do espaço de trabalho é importante para equilibrar a organização do conteúdo e as necessidades de segurança.

Gorjeta

Para obter permissões para dar suporte a consumidores de relatório (incluindo as permissões Ler e Recompartilhar por item), consulte o artigo Planejar a segurança do consumidor Relatório.

Permissões de leitura e compilação para modelo semântico subjacente

Os criadores de relatórios devem ter permissões de Leitura e Criação nos modelos semânticos que seus relatórios usarão, o que inclui modelos semânticos encadeados. Essa permissão pode ser concedida explicitamente nos modelos semânticos individuais ou pode ser concedida implicitamente para modelos semânticos de espaço de trabalho quando o criador do relatório é um administrador, membro ou colaborador do espaço de trabalho.

A configuração de locatário Usar modelos semânticos entre espaços de trabalho permite que os administradores do Power BI configurem quais grupos de usuários podem criar relatórios que usam modelos semânticos localizados em outros espaços de trabalho. Essa configuração é direcionada a criadores de modelos semânticos e relatórios. Normalmente, recomendamos que você deixe essa configuração habilitada para toda a organização e confie nas configurações de acesso ao espaço de trabalho e nas permissões do modelo semântico. Dessa forma, você pode incentivar o uso de modelos semânticos existentes. Em alguns casos, você pode considerar restringir esse recurso apenas a criadores de conteúdo aprovados.

Há também a configuração de locatário Permitir conexões em tempo real, que permite que os administradores do Power BI configurem quais grupos de usuários podem criar conexões em tempo real com modelos semânticos no Power BI Desktop ou no Excel. Ele é direcionado especificamente aos criadores de relatórios e também exige que eles recebam permissão de Leitura e Criação no modelo semântico que o relatório usará. Recomendamos que você deixe essa configuração habilitada para toda a organização e confie no acesso ao espaço de trabalho e nas permissões do modelo semântico. Dessa forma, você pode incentivar o uso de modelos semânticos existentes. Em alguns casos, você pode considerar restringir esse recurso apenas a criadores de conteúdo aprovados.

Segurança de dados para modelo semântico subjacente

RLS e OLS (descritos anteriormente neste artigo) destinam-se a consumidores de relatórios. No entanto, às vezes também precisa ser aplicado para os criadores de relatórios. A criação de espaços de trabalho separados se justifica quando a RLS precisa ser imposta para criadores de relatórios e também consumidores de relatórios.

Considere o seguinte cenário de exemplo.

• Modelos semânticos compartilhados centralizados com RLS: a equipe de BI da empresa publicou modelos semânticos de vendas no espaço de trabalho Dados de vendas. Esses modelos semânticos impõem a RLS para mostrar dados de vendas para a região de vendas atribuída do consumidor do relatório.
• Criadores de relatórios de autoatendimento descentralizados: A unidade de negócios de vendas e marketing tem muitos analistas capazes que criam seus próprios relatórios. Eles publicam seus relatórios no espaço de trabalho do Sales Analytics .
• Permissões de leitura e compilação para modelos semânticos: sempre que possível, os analistas usam os modelos semânticos do espaço de trabalho Dados de vendas para evitar a duplicação desnecessária de dados. Como os analistas só têm permissões de Leitura e Compilação nesses modelos semânticos (sem permissões de gravação ou edição), a RLS é imposta para os criadores de relatórios (e também para os consumidores de relatórios).
• Editar permissões para o espaço de trabalho de relatórios: os analistas têm mais direitos no espaço de trabalho do Sales Analytics . As funções de espaço de trabalho de administrador, membro ou colaborador permitem que eles publiquem e gerenciem seus relatórios.

Para obter mais informações sobre RLS e OLS, consulte o artigo Relatar planejamento de segurança do consumidor. Ele descreve como e quando RLS e OLS são impostos para consumidores que têm permissão somente visualização para o modelo semântico.

Conectando-se a modelos semânticos externos

Quando um criador de relatório se conecta a um modelo semântico compartilhado para seu relatório, ele geralmente se conecta a um modelo semântico compartilhado que foi publicado em seu próprio locatário do Power BI. Quando a permissão é concedida, também é possível conectar-se a um modelo semântico compartilhado em outro locatário. O outro inquilino pode ser um parceiro, cliente ou fornecedor.

Essa funcionalidade é conhecida como compartilhamento de modelo semântico in-loco (também conhecido como compartilhamento de modelo semântico entre locatários). Os relatórios criados pelo criador de relatórios (ou novos modelos compostos criados por um criador de modelo semântico) são armazenados e protegidos em seu locatário do Power BI usando seu processo normal. O modelo semântico compartilhado original permanece em seu locatário original do Power BI e todas as permissões são gerenciadas lá.

Para obter mais informações, consulte o artigo Planejamento de segurança em nível de locatário. Ele inclui informações sobre as configurações do locatário e as configurações do modelo semântico que fazem o compartilhamento externo funcionar.

Mesas em destaque

No Power BI Desktop, os criadores de modelos semânticos podem definir uma tabela de modelo para se tornar uma tabela em destaque. Quando o modelo semântico é publicado no serviço do Power BI, os criadores de relatórios podem usar a Galeria de Tipos de Dados no Excel para localizar a tabela em destaque, permitindo que eles adicionem dados de tabela em destaque para aumentar suas planilhas do Excel.

A configuração de locatário Permitir conexões com tabelas em destaque permite que os administradores do Power BI configurem quais grupos de usuários podem acessar tabelas em destaque. Destina-se a utilizadores do Excel que pretendam aceder a tabelas em destaque do Power BI em tipos de dados de organização do Excel. Recomendamos que você deixe essa configuração habilitada para toda a organização e confie no acesso ao espaço de trabalho e nas permissões do modelo semântico. Dessa forma, você pode incentivar o uso de tabelas em destaque.

Permissões visuais personalizadas

Além dos visuais principais, os criadores de relatórios do Power BI podem usar visuais personalizados. No Power BI Desktop, visuais personalizados podem ser baixados do Microsoft AppSource. Eles também podem ser desenvolvidos internamente usando o SDK do Power BI e instalados abrindo o arquivo visual (.pbviz).

Alguns elementos visuais disponíveis para download no AppSource são visuais certificados. Os visuais certificados atendem a determinados requisitos de código especificados que a equipe do Power BI testou e aprovou. Os testes verificam se os elementos visuais não acessam serviços ou recursos externos.

A configuração Permitir visuais criados pelo locatário do SDK do Power BI permite que os administradores do Power BI controlem quais grupos de usuários podem usar visuais personalizados.

Há também a configuração Adicionar e usar apenas locatários visuais certificados , que permite que os administradores do Power BI bloqueiem o uso de visuais não certificados no serviço do Power BI. Essa configuração pode ser habilitada ou desabilitada para toda a organização.

Nota

Se você bloquear o uso de visuais não certificados, isso só se aplicará ao serviço do Power BI. Se você quiser restringir seu uso no Power BI Desktop, peça aos administradores de sistema que usem uma configuração de política de grupo para bloquear seu uso no Power BI Desktop. Executar esta etapa garantirá que os criadores de relatórios não percam tempo e esforço criando um relatório que não funcionará quando publicado no serviço do Power BI. É altamente recomendável que você configure seus usuários para ter experiências consistentes no serviço do Power BI (com a configuração de locatário) e no Power BI Desktop (com a política de grupo).

O Power BI Desktop tem uma opção para mostrar um aviso de segurança quando um criador de relatório adiciona um visual personalizado ao relatório. Os criadores de relatórios podem desativar essa opção. Esta opção não testa se o visual é certificado.

Os administradores do Power BI podem aprovar e implantar visuais personalizados para sua organização. Os criadores de relatórios podem, então, descobrir, atualizar e usar facilmente esses elementos visuais. Os administradores podem gerenciar esses elementos visuais atualizando versões ou desativando e habilitando visuais personalizados específicos. Essa abordagem é útil quando você deseja disponibilizar um visual desenvolvido internamente para seus criadores de relatório ou quando adquire um visual personalizado de um fornecedor que não está no AppSource. Para obter mais informações, consulte Visuais organizacionais do Power BI.

Considere uma estratégia equilibrada de habilitar apenas visuais personalizados certificados em sua organização (com a configuração de locatário e a política de grupo descritas anteriormente), enquanto implanta visuais organizacionais para lidar com quaisquer exceções.

Lista de verificação - Ao planejar permissões de criador de relatório, as principais decisões e ações incluem:

• Decidir sobre a estratégia para permissões de criador de relatório: determine quais preferências e requisitos existem para gerenciar a segurança dos criadores de relatórios. Considere a área temática e o nível de sensibilidade dos dados. Além disso, considere quem pode assumir a responsabilidade pela criação e gerenciamento de relatórios em unidades de negócios centralizadas e descentralizadas.
• Revise como as funções do espaço de trabalho são tratadas para os criadores de relatórios: determine qual é o impacto no processo de design do espaço de trabalho. Crie espaços de trabalho de dados e espaços de trabalho de relatórios separados para cada área temática, para que as funções de espaço de trabalho (e a segurança do modelo semântico subjacente) sejam simplificadas para a área de assunto.
• Fornecer orientação para criadores de relatórios sobre como gerenciar permissões: inclua documentação para criadores de relatórios sobre como gerenciar permissões para consumidores de relatórios. Publique essas informações em seu portal centralizado e materiais de treinamento.
• Decidir quem pode usar modelos semânticos compartilhados: decida se deve haver limitações para as quais os criadores de relatórios do Power BI (que já têm permissões de Leitura e Criação para um modelo semântico) podem usar modelos semânticos em espaços de trabalho. Defina a configuração Usar modelos semânticos entre locatários de espaços de trabalho para alinhar com essa decisão. Se você decidir limitar esse recurso, considere usar um grupo como criadores de relatórios aprovados pelo Power BI.
• Decida quem pode usar conexões ao vivo: decida se deve haver alguma limitação para quais criadores de relatórios do Power BI (que já têm permissão de Leitura e Criação para um modelo semântico) podem usar conexões em tempo real. Defina a configuração Permitir locatário de conexões em tempo real para alinhar com essa decisão. Se você decidir limitar esse recurso, considere usar um grupo como criadores de relatórios aprovados pelo Power BI.
• Decida sobre a estratégia de uso da RLS para criadores de relatórios: considere quais casos de uso e finalidades você pretende usar a segurança em nível de linha. Considere a estratégia de design do espaço de trabalho para garantir que a RLS seja imposta aos criadores de relatórios.
• Decida a estratégia para o uso de visuais personalizados: considere sua estratégia para a qual os criadores de relatórios podem usar visuais personalizados. Defina a configuração Permitir visuais criados pelo locatário do SDK do Power BI para alinhar com essa decisão. Crie um processo para usar visuais organizacionais, quando apropriado.

Permissões do criador do fluxo de dados

Os fluxos de dados são úteis para centralizar a preparação de dados para que o trabalho realizado no Power Query não se repita em muitos modelos semânticos. Eles são um alicerce para alcançar uma única fonte de verdade, evitando que os analistas exijam acesso direto às fontes, e para ajudar a executar operações de extração, transformação e carregamento (ETL) em escala.

Um criador de fluxo de dados precisa ser um administrador, membro ou colaborador do espaço de trabalho.

Para consumir um fluxo de dados (por exemplo, de um novo modelo de dados criado no Power BI Desktop ou em outro espaço de trabalho), um criador de modelo semântico pode pertencer a qualquer função de espaço de trabalho, incluindo a função Visualizador. Não há conceito de RLS para fluxos de dados.

Além das funções de espaço de trabalho, a configuração de locatário Criar e usar fluxos de dados deve ser habilitada. Esta definição de inquilino aplica-se a toda a organização.

Considere o seguinte cenário de exemplo.

• Muitos modelos semânticos na organização precisam impor RLS dinâmica. Ele requer que os nomes principais do usuário (UPNs) sejam armazenados no modelo semântico (para filtrar pela identidade do consumidor do relatório).
• Um criador de fluxo de dados, que pertence ao departamento de Recursos Humanos, cria um fluxo de dados de detalhes atuais dos funcionários, incluindo seus UPNs. Eles configuram o fluxo de dados para atualizar diariamente.
• Em seguida, os criadores de modelos semânticos consomem o fluxo de dados em seus designs de modelo para configurar a RLS.

Para obter mais informações sobre como usar fluxos de dados, consulte os cenários de uso de preparação de dados pessoais e preparação avançada de dados.

Lista de verificação - Ao planejar permissões de criador de fluxo de dados, as principais decisões e ações incluem:

• Decida sobre a estratégia para permissões de criador de fluxo de dados: determine quais preferências e requisitos existem para gerenciar a segurança para criadores de fluxo de dados. Considere quem tem permissão ou incentivo para assumir a responsabilidade pelo gerenciamento de atividades de preparação de dados em unidades de negócios centralizadas e descentralizadas.
• Decidir quem pode criar fluxos de dados: decida se deve haver alguma limitação para a qual os criadores de dados do Power BI podem criar fluxos de dados. Defina a configuração Criar e usar locatário de fluxos de dados para alinhar com essa decisão.
• Revise como as funções do espaço de trabalho são tratadas para criadores de fluxo de dados: determine qual é o impacto no processo de design do espaço de trabalho. Crie espaços de trabalho de fluxo de dados separados por área de assunto para que você possa manipular funções e permissões de espaço de trabalho separadamente para cada área de assunto, quando apropriado.

Permissões do criador do Datamart

Um datamart é uma solução de análise de autoatendimento que permite aos usuários armazenar e explorar dados carregados em um banco de dados relacional totalmente gerenciado. Também compreende um modelo semântico gerado automaticamente.

Os Datamarts fornecem uma experiência low-code simples para ingerir dados de diferentes fontes de dados e para extrair, transformar e carregar (ETL) os dados usando o Power Query Online. Os dados são carregados em um Banco de Dados SQL do Azure que é totalmente gerenciado e não requer ajuste ou otimização. O modelo semântico gerado automaticamente é sempre sincronizado com o banco de dados gerenciado porque está no modo DirectQuery.

Você pode criar um datamart quando for administrador, membro ou colaborador do espaço de trabalho. As funções de espaço de trabalho também são mapeadas para funções no nível de banco de dados no Banco de Dados SQL do Azure (no entanto, como o banco de dados é totalmente gerenciado, as permissões de usuário não podem ser editadas ou gerenciadas no banco de dados relacional).

A configuração Criar locatário de datamarts permite que os administradores do Power BI configurem quais grupos de usuários podem criar datamarts.

Compartilhamento de Datamart

Para datamarts, o termo compartilhamento assume um significado diferente de outros tipos de conteúdo do Power BI. Normalmente, uma operação de compartilhamento é direcionada a um consumidor porque fornece permissão somente leitura para um item, como um relatório.

O compartilhamento de um datamart é direcionado aos criadores de conteúdo (e não aos consumidores). Ele concede as permissões Ler e Construir, o que permite que os usuários consultem o modelo semântico ou o banco de dados relacional, o que preferirem.

Compartilhar um datamart permite que os criadores de conteúdo:

• Criar conteúdo usando o modelo semântico gerado automaticamente: o modelo semântico é a camada semântica na qual os relatórios do Power BI podem ser criados. A maioria dos criadores de relatórios deve usar o modelo semântico.
• Conectar-se e consultar o Banco de Dados SQL do Azure: o banco de dados relacional é útil para criadores de conteúdo que desejam criar novos modelos semânticos ou relatórios paginados. Eles podem escrever consultas de linguagem de consulta estruturada (SQL) para recuperar dados usando o ponto de extremidade SQL.

Segurança em nível de linha do Datamart

Você pode definir RLS para datamarts para restringir o acesso a dados para usuários especificados. A RLS é configurada no editor de datamart no serviço Power BI e é aplicada automaticamente ao modelo semântico gerado automaticamente e ao Banco de Dados SQL do Azure (como regras de segurança).

Independentemente de como um usuário escolhe se conectar ao datamart (ao modelo semântico ou ao banco de dados), permissões RLS idênticas são impostas.

Lista de verificação - Ao planejar as permissões do criador do datamart, as principais decisões e ações incluem:

• Decida a estratégia para permissões de criador de datamart: determine quais preferências e requisitos existem para gerenciar a segurança dos criadores de datamart. Considere quem tem permissão ou incentivo para assumir a responsabilidade pelo gerenciamento de dados em unidades de negócios centralizadas e descentralizadas.
• Decida quem pode criar datamarts: decida se deve haver alguma limitação para a qual os criadores de dados do Power BI podem criar um datamart. Defina a configuração Criar locatário de datamarts para alinhar com essa decisão. Se você decidir limitar quem pode criar datamarts, considere usar um grupo como criadores de datamart aprovados pelo Power BI.
• Analise como as funções do espaço de trabalho são tratadas para criadores de datamart: determine qual é o impacto no processo de design do seu espaço de trabalho. Crie espaços de trabalho de dados separados por área de assunto para que as funções do espaço de trabalho e a segurança do modelo semântico possam ser simplificadas para a área de assunto.
• Forneça orientação para criadores de datamart sobre como gerenciar permissões: inclua documentação para criadores de datamart sobre como gerenciar permissões de datamart. Publique essas informações em seu portal centralizado e materiais de treinamento.
• Decida sobre a estratégia para usar RLS em datamarts: Considere quais casos de uso e finalidades você pretende usar RLS dentro de um datamart.

Permissões do criador do scorecard

As métricas no Power BI permitem selecionar métricas específicas e rastreá-las em relação aos principais objetivos de negócios. As métricas são adicionadas aos scorecards, que podem ser compartilhados com outros usuários e exibidos em um único painel.

Os scorecards podem ser protegidos com três níveis de permissões:

• Espaço de trabalho.
• Permissões de scorecard (por item).
• Métricas (dentro do scorecard).

Um usuário que cria ou gerencia totalmente um scorecard precisa ser um administrador, membro ou colaborador do espaço de trabalho.

Como as métricas geralmente abrangem várias áreas de assunto, recomendamos que você crie um espaço de trabalho separado para que possa gerenciar de forma independente as permissões para criadores e consumidores.

A configuração Criar e usar métricas de locatário permite que os administradores do Power BI configurem quais grupos de usuários podem criar métricas de scorecard.

Permissões do scorecard

Você pode atribuir as seguintes permissões de scorecard.

• Leia: Essa permissão permite que um usuário visualize o scorecard.
• Recompartilhar: Direcionado a qualquer pessoa com permissão existente para o scorecard, essa permissão permite que os usuários compartilhem o scorecard com outro usuário.

Consistentes com outros tipos de conteúdo no serviço do Power BI, as permissões por item são úteis quando a intenção é compartilhar um item com outro usuário. Recomendamos o uso de funções de espaço de trabalho e permissões de aplicativo sempre que possível.

Permissões de nível métrico

Cada scorecard tem um conjunto de permissões de nível de métrica que você pode configurar nas configurações do scorecard. As permissões de nível de métrica (dentro de um scorecard) podem ser concedidas de forma diferente das permissões do espaço de trabalho ou do scorecard (por item).

As funções de nível métrico permitem definir:

• Quem pode visualizar métricas individuais em um scorecard.
• Quem pode atualizar métricas individuais:
  • Atualização do status durante um check-in.
  • Adicionar notas durante um check-in.
  • Atualização do valor atual durante um check-in.

Para reduzir o nível de manutenção futura, é possível definir permissões padrão que serão herdadas por submétricas criadas no futuro.

Lista de verificação - Ao planejar permissões de criador de métricas, as principais decisões e ações incluem:

• Decida a estratégia para permissões de criador de scorecard: determine quais preferências e requisitos existem para gerenciar a segurança dos criadores de scorecard. Considere quem tem permissão ou incentivo para assumir a responsabilidade pelo gerenciamento de dados em unidades de negócios centralizadas e descentralizadas.
• Decida quem pode criar scorecards: decida se deve haver limitações para as quais os criadores de dados do Power BI podem criar scorecards. Defina a configuração Criar e usar o locatário Métricas para alinhar com essa decisão. Se você decidir limitar quem pode criar scorecards, considere usar um grupo como criadores de scorecards aprovados pelo Power BI.
• Analise como as funções do espaço de trabalho são tratadas para criadores de scorecard: determine qual é o impacto no processo de design do espaço de trabalho. Considere a criação de espaços de trabalho separados para scorecards quando o conteúdo se estender por áreas de assunto.
• Fornecer orientação para criadores de scorecard sobre como gerenciar permissões: inclua documentação para criadores de scorecard sobre como gerenciar permissões de nível de métrica. Publique essas informações em seu portal centralizado e materiais de treinamento.

Publicação de conteúdo

Esta seção inclui tópicos relacionados à publicação de conteúdo que são relevantes para os criadores de conteúdo.

Áreas de Trabalho

Os criadores de conteúdo precisarão de acesso à função de administrador, membro ou colaborador para publicar conteúdo em um espaço de trabalho. Para obter mais informações, consulte as funções de espaço de trabalho descritas anteriormente neste artigo.

Exceto para BI pessoal, os criadores de conteúdo devem ser incentivados a publicar conteúdo em espaços de trabalho padrão, em vez de seu espaço de trabalho pessoal.

A configuração Bloquear, republicar e desabilitar o locatário de atualização de pacote altera o comportamento da publicação de modelos semânticos. Quando habilitado, os administradores, membros ou colaboradores do espaço de trabalho não podem publicar alterações em um modelo semântico. Somente o proprietário do modelo semântico tem permissão para publicar uma atualização (forçando a aquisição de um modelo semântico antes de publicar um modelo semântico atualizado). Como essa configuração de locatário se aplica a toda a organização, habilite-a com uma certa cautela porque afeta todos os modelos semânticos de todo o locatário. Certifique-se de comunicar aos criadores do modelo semântico o que esperar, pois isso altera o comportamento normal das funções do espaço de trabalho.

Sincronização do Power Apps

É possível criar uma solução Power Apps que inclua relatórios do Power BI incorporados. O processo do Power Apps criará automaticamente um espaço de trabalho dedicado do Power BI para armazenar e proteger os relatórios e modelos semânticos do Power BI. Para gerenciar itens que existem no Power Apps e no Power BI, há um processo de sincronização.

O processo sincroniza funções de segurança para garantir que o Power BI herde as mesmas funções que foram inicialmente configuradas no Power Apps. Ele também permite que o criador de conteúdo gerencie permissões para quem pode exibir os relatórios do Power BI (e modelos semânticos relacionados) incorporados em um Power App.

Para obter mais informações sobre como sincronizar funções do Power Apps com funções do espaço de trabalho do Power BI, consulte Sincronização de permissões entre o ambiente do Power Apps e o espaço de trabalho do Power BI.

Acesso ao pipeline de implantação

Os criadores e proprietários de conteúdo podem usar os pipelines de implantação do Power BI para publicação de conteúdo de autoatendimento. Os pipelines de implantação simplificam o processo de publicação e melhoram o nível de controle ao liberar novo conteúdo.

Você gerencia permissões de pipeline (para usuários que podem implantar conteúdo com um pipeline de implantação) separadamente das funções de espaço de trabalho. O acesso ao espaço de trabalho e ao pipeline de implantação é necessário para os usuários que conduzem uma implantação.

Os criadores de conteúdo também podem precisar:

• Permissões de criação de espaço de trabalho (quando os espaços de trabalho precisam ser criados pelo pipeline).
• Permissões de capacidade Premium ou de malha (quando espaços de trabalho são atribuídos pelo pipeline).

Importante

Às vezes, este artigo se refere ao Power BI Premium ou suas assinaturas de capacidade (SKUs P). Lembre-se de que a Microsoft está atualmente consolidando opções de compra e desativando as SKUs do Power BI Premium por capacidade. Em vez disso, os clientes novos e existentes devem considerar a compra de assinaturas de capacidade de malha (SKUs F).

Para obter mais informações, consulte Atualização importante chegando ao licenciamento do Power BI Premium e Perguntas frequentes sobre o Power BI Premium.

Para obter mais informações, consulte Acesso ao pipeline de implantação.

Ponto de extremidade XMLA

O ponto de extremidade XMLA usa o protocolo XMLA para expor todos os recursos de um modelo de dados tabular, incluindo algumas operações de modelagem de dados que não são suportadas pelo Power BI Desktop. Você pode usar a API TOM (Tabular Object Model) para fazer alterações programáticas em um modelo de dados.

O ponto de extremidade XMLA também fornece conectividade. Você só pode se conectar a um modelo semântico quando o espaço de trabalho tiver seu modo de licença definido como Premium por usuário, Premium por capacidade ou Incorporado. Depois que uma conexão é feita, uma ferramenta compatível com XMLA pode operar no modelo de dados para ler ou gravar dados. Para obter mais informações sobre como você pode usar o ponto de extremidade XMLA para gerenciar um modelo semântico, consulte o cenário de uso de gerenciamento avançado de modelo de dados.

O acesso através do ponto de extremidade XMLA honrará as permissões existentes. Os administradores, membros e colaboradores do espaço de trabalho têm implicitamente a permissão de Gravação do modelo semântico, o que significa que eles podem implantar novos modelos semânticos do Visual Studio e executar scripts TMSL (Tabular Modeling Scripting Language) no SQL Server Management Studio (SSMS).

Os usuários com a permissão de compilação do modelo semântico podem usar o ponto de extremidade XMLA para se conectar e procurar modelos semânticos para consumo e visualização de dados. As regras de RLS são respeitadas e os usuários não podem ver os metadados do modelo semântico interno.

A configuração de locatário Permitir pontos de extremidade XMLA e Analisar no Excel com modelos semânticos locais refere-se a dois recursos: Ele controla quais grupos de usuários podem usar o ponto de extremidade XMLA para consultar e/ou manter modelos semânticos no serviço do Power BI. Ele também determina se Analisar no Excel pode ser usado com modelos locais do SQL Server Analysis Services (SSAS).

Nota

O aspeto Analisar no Excel dessa configuração de locatário só se aplica a modelos locais do SQL Server Analysis Services (SSAS). A funcionalidade padrão Analisar no Excel, que se conecta a um modelo semântico do Power BI no serviço do Power BI, é controlada pela configuração de locatário Permitir Conexões em Tempo Real .

Publicar na Web

Publicar na Web é um recurso que fornece acesso a relatórios do Power BI para qualquer pessoa na Internet. Ele não requer autenticação e o acesso não é registrado para fins de auditoria. Como os consumidores de relatórios não precisam pertencer à organização ou ter uma licença do Power BI, essa técnica é adequada para o jornalismo de dados, um processo em que os relatórios são incorporados em postagens de blog, sites, e-mails ou mídias sociais.

Atenção

Publicar na Web tem o potencial de expor dados sensíveis ou confidenciais, seja acidental ou intencionalmente. Por esse motivo, esse recurso está desativado por padrão. Publicar na Web só deve ser usado para relatórios que contenham dados que possam ser visualizados pelo público.

A configuração Publicar no locatário da Web permite que os administradores do Power BI controlem quais grupos de usuários podem publicar relatórios na Web. Para manter um nível mais alto de controle, recomendamos que você não inclua outros grupos nessa configuração de locatário (como administradores do Power BI ou outros tipos de criadores de conteúdo). Em vez disso, imponha acesso de usuário específico usando um grupo de segurança, como a publicação pública do Power BI. Certifique-se de que o grupo de segurança é bem gerido.

Incorporação em aplicações personalizadas

A configuração Incorporar conteúdo em aplicativos permite que os administradores do Power BI controlem quais usuários podem incorporar conteúdo do Power BI fora do serviço do Power BI. Quando você planeja incorporar conteúdo do Power BI em aplicativos personalizados, habilite essa configuração para grupos específicos, como desenvolvedores de aplicativos.

Incorporação no PowerPoint

A configuração Habilitar suplemento do Power BI para locatário do PowerPoint permite que os administradores do Power BI controlem quais usuários podem incorporar páginas de relatório do Power BI em apresentações do PowerPoint. Quando apropriado, habilite essa configuração para grupos específicos, como criadores de relatórios.

Nota

Para que esse recurso funcione, os usuários devem instalar o suplemento Power BI para PowerPoint. Para usar o suplemento, os usuários devem ter acesso ao repositório de suplementos do Office ou o suplemento deve ser disponibilizado para eles como um suplemento gerenciado pelo administrador. Para obter mais informações, consulte Suplemento do Power BI para PowerPoint.

Eduque os criadores de relatórios a serem cautelosos sobre onde guardam as suas apresentações do PowerPoint e com quem as partilham. Isso ocorre porque uma imagem dos visuais de relatório do Power BI é mostrada aos usuários quando eles abrem a apresentação. Essa imagem é capturada da última vez que o arquivo do PowerPoint foi conectado. No entanto, a imagem pode revelar inadvertidamente dados que o usuário recetor não tem permissão para ver.

Nota

A imagem pode ser útil quando o usuário recetor ainda não tem o suplemento ou até que o suplemento se conecte ao serviço do Power BI para recuperar dados. Depois que o usuário se conecta, somente os dados que o usuário pode ver (impondo qualquer RLS) são recuperados do Power BI.

Aplicações de modelo

Os aplicativos de modelo permitem que os parceiros e fornecedores de software do Power BI criem aplicativos do Power BI com pouca ou nenhuma codificação e os implantem em qualquer cliente do Power BI.

A configuração de locatário Publicar aplicativos de modelo permite que os administradores do Power BI controlem quais usuários podem publicar aplicativos de modelo fora da organização, como por meio do Microsoft AppSource. Para a maioria das organizações, essa configuração de locatário deve ser desabilitada ou rigorosamente controlada. Considere usar um grupo de segurança, como criadores de aplicativos de modelo externo do Power BI.

Assinaturas de e-mail

Pode subscrever a si próprio e a outras pessoas relatórios, dashboards e relatórios paginados do Power BI. Em seguida, o Power BI enviará um email em um cronograma que você definiu. O e-mail conterá um instantâneo e um link para o relatório ou painel.

Você pode criar uma assinatura que inclua outros usuários quando for administrador, membro ou colaborador do espaço de trabalho. Se o relatório estiver em um espaço de trabalho Premium, você poderá inscrever grupos (estejam eles no seu domínio ou não) e usuários externos. Ao configurar a assinatura, há também a opção de conceder permissões ao item. As permissões de acesso direto por item são usadas para essa finalidade, descritas no artigo Relatar planejamento de segurança do consumidor.

Atenção

O recurso de assinatura de e-mail tem o potencial de compartilhar conteúdo para públicos internos e externos. Além disso, quando a RLS é imposta no modelo semântico subjacente, anexos e imagens são gerados usando o contexto de segurança do usuário assinante.

A configuração de locatário de assinaturas de email permite que os administradores do Power BI controlem se esse recurso está habilitado ou desabilitado para toda a organização.

Existem algumas limitações relativas a anexos relacionados com restrições de licenciamento e configuração de inquilinos. Para obter mais informações, consulte Assinaturas de email para relatórios e painéis no serviço do Power BI.

Lista de verificação - Ao planejar a publicação de conteúdo, as principais decisões e ações incluem:

• Decida a estratégia para onde o conteúdo deve ser publicado, como e por quem: Determine quais preferências e requisitos existem para onde o conteúdo é publicado.
• Verificar o acesso ao espaço de trabalho: confirme a abordagem de design do espaço de trabalho. Verifique como usar as funções de acesso ao espaço de trabalho para dar suporte à sua estratégia de onde o conteúdo deve ser publicado.
• Determine como lidar com permissões de pipeline de implantação: decida quais usuários têm permissão para publicar conteúdo usando um pipeline de implantação. Defina as permissões do pipeline de implantação de acordo. Certifique-se de que o acesso ao espaço de trabalho também seja fornecido.
• Decidir quem pode se conectar a modelos semânticos usando o ponto de extremidade XMLA: decida quais usuários têm permissão para consultar ou gerenciar modelos semânticos usando o ponto de extremidade XMLA. Defina a configuração de locatário Permitir pontos de extremidade XMLA e Analisar no Excel com modelos semânticos locais para alinhar com essa decisão. Quando você decidir limitar esse recurso, considere usar um grupo como criadores de conteúdo aprovados pelo Power BI.
• Decidir quem pode publicar relatórios publicamente: decida quais usuários têm permissão para publicar relatórios do Power BI publicamente, se houver. Defina a configuração Publicar como locatário da Web para alinhar com essa decisão. Use um grupo como a publicação pública do Power BI.
• Decidir quem pode incorporar conteúdo em aplicativos personalizados: determine quem deve ter permissão para incorporar conteúdo fora do serviço do Power BI. Defina a configuração Incorporar conteúdo no locatário de aplicativos para alinhar com essa decisão.
• Decidir quem pode incorporar conteúdo no PowerPoint: determine quem deve ter permissão para incorporar conteúdo no PowerPoint. Defina a configuração Habilitar suplemento do Power BI para locatário do PowerPoint para alinhar com essa decisão.
• Decida quem pode publicar aplicativos de modelo: determine qual é sua estratégia para usar aplicativos de modelo fora da organização. Defina a configuração Publicar locatário de aplicativos de modelo para alinhar com essa decisão.
• Decida se deseja habilitar assinaturas: confirme qual é sua estratégia para usar assinaturas. Defina a configuração do locatário Assinaturas de Email para alinhar com essa decisão.

Atualizar dados

Uma vez publicados, os criadores de dados devem garantir que seus modelos semânticos e fluxos de dados (que contêm dados importados) sejam atualizados periodicamente. Você também deve decidir sobre estratégias apropriadas para o modelo semântico e os proprietários do fluxo de dados.

Proprietário do modelo semântico

Cada modelo semântico tem um proprietário, que é uma única conta de usuário. O proprietário do modelo semântico é necessário para configurar a atualização do modelo semântico e definir parâmetros do modelo semântico.

Por padrão, o proprietário do modelo semântico também recebe solicitações de acesso de criadores de relatório que desejam permissões de compilação (a menos que as configurações de acesso de solicitação para o modelo semântico estejam definidas para fornecer instruções personalizadas). Para obter mais informações, consulte a seção Solicitar fluxo de trabalho de acesso para criadores neste artigo.

Há duas maneiras pelas quais o Power BI pode obter credenciais para atualizar um modelo semântico.

• O proprietário do modelo semântico armazena credenciais nas configurações do modelo semântico.
• O proprietário do modelo semântico faz referência a um gateway nas configurações do modelo semântico (que contém uma fonte de dados com credenciais armazenadas).

Se um usuário diferente precisar configurar a atualização ou definir parâmetros do modelo semântico, ele deverá assumir a propriedade do modelo semântico. A propriedade do modelo semântico pode ser assumida por um administrador, membro ou colaborador do espaço de trabalho.

Atenção

Assumir a propriedade do modelo semântico remove permanentemente todas as credenciais armazenadas para o modelo semântico. As credenciais devem ser reinseridas para permitir que as operações de atualização de dados sejam retomadas.

Idealmente, o proprietário do modelo semântico é o usuário responsável pelo modelo semântico. Você deve atualizar o proprietário do modelo semântico quando ele sair da organização ou alterar funções. Além disso, esteja ciente de que, quando a conta de usuário do proprietário do modelo semântico é desabilitada no Microsoft Entra ID (anteriormente conhecido como Azure Ative Directory), a atualização de dados é desabilitada automaticamente. Nesse caso, outro usuário deve assumir a propriedade do modelo semântico para permitir que as operações de atualização de dados sejam retomadas.

Proprietário do fluxo de dados

Como os modelos semânticos, os fluxos de dados também têm um proprietário, que é uma única conta de usuário. As informações e orientações fornecidas no tópico anterior sobre proprietários de modelos semânticos também se aplicam a proprietários de fluxo de dados.

Lista de verificação - Ao planejar a segurança relacionada aos processos de atualização de dados, as principais decisões e ações incluem:

• Decidir sobre a estratégia para proprietários de modelos semânticos: determine quais preferências e requisitos existem para gerenciar proprietários de modelos semânticos.
• Decida a estratégia para proprietários de fluxo de dados: determine quais preferências e requisitos existem para gerenciar proprietários de fluxo de dados.
• Incluir na documentação e no treinamento para criadores de modelos semânticos: inclua orientações para seus criadores de dados sobre como gerenciar proprietários para cada tipo de item.

Conteúdos relacionados

Para obter outras considerações, ações, critérios de tomada de decisão e recomendações para ajudá-lo com decisões de implementação do Power BI, consulte as áreas temáticas a serem consideradas.