Настройка границы данных

В этой документации содержатся сведения о том, как клиенты могут настроить Azure Resource Manager для использования в границе данных. Единственная конфигурация границы данных, поддерживаемая в настоящее время, помимо глобальной конфигурации по умолчанию, предназначена для Европейского союза (ЕС). Граница данных ЕС — это географически определяемая граница, в которой корпорация Майкрософт стремится хранить и обрабатывать данные клиента и псевдонимизированные персональные данные, а также хранить данные профессиональных служб для корпоративных веб-службы Майкрософт, включая Azure, Dynamics 365, Power Platform и Microsoft 365, при условии, что персональные данные продолжают передаваться за пределы границы данных ЕС. Дополнительные сведения см. в разделе "Обзор границы данных ЕС".

Важно!

Чтобы сохранить данные профессиональных служб в границе данных ЕС для Azure, клиенты должны настроить Azure Resource Manager на границе данных ЕС. В этой документации содержатся сведения о том, как клиенты могут настроить Azure Resource Manager для использования в границе данных ЕС.

Границу данных можно установить только в новых клиентах, у которых нет существующих подписок или развернутых ресурсов. После того как клиент выберет границу данных, конфигурация границы данных не может быть удалена или изменена. Подписки и ресурсы, созданные в клиенте с границей данных, не могут быть перемещены из этого клиента. Существующие подписки и ресурсы нельзя переместить в клиент с границой данных. Каждый клиент ограничен одной границей данных, и после настройки границы данных Azure Resource Manager ограничивает развертывание ресурсов регионами в пределах этой границы. Глобальная граница данных не имеет ограничений на регионы, в которые может развернуться ресурс. Клиенты могут выбрать своих клиентов в границу данных, развернув Microsoft.Resources/dataBoundaries ресурс на уровне клиента.

Встроенная DataBoundaryTenantAdministrator роль необходима для настройки границы данных. Дополнительные сведения см. в разделе "Необходимые разрешения".

Чтобы выбрать клиент в границе данных ЕС Azure, выполните приведенные действия.

1. Создайте новый клиент в стране или регионе ЕС, чтобы настроить границу данных ЕС Microsoft Entra. Дополнительные сведения о создании нового клиента в стране или регионе ЕС см. в разделе "Создание нового клиента в идентификаторе Microsoft Entra".
2. Перед созданием новых подписок или ресурсов разверните ресурс Microsoft.Resources/dataBoundaries с конфигурацией ЕС.
3. Создайте подписку и разверните ресурсы Azure.

Требуемые разрешения

Чтобы настроить границу данных, DataBoundaryTenantAdministrator встроенная роль требуется в области клиента. Чтобы назначить роль, выполните следующие действия.

1. Расширьте доступ для управления всеми подписками Azure и группами управления. Дополнительные сведения см. в статье Повышение прав доступа для управления всеми подписками Azure и группами управления.
2. С правами администратора доступа пользователей предоставьте себе DataBoundaryTenantAdministrator роль в области клиента (/) с помощью Azure CLI или Azure PowerShell или REST API.

Azure CLI

Azure CLI

DATA_BOUNDARY_TENANT_ADMINISTRATOR_ROLE_ID="d1a38570-4b05-4d70-b8e4-1100bcf76d12"

az role assignment create --assignee "{assignee}" --role DATA_BOUNDARY_TENANT_ADMINISTRATOR_ROLE_ID --scope "/"

PowerShell

Azure PowerShell

$dataBoundaryTenantAdministratorRoleDefinitionId = "d1a38570-4b05-4d70-b8e4-1100bcf76d12"

New-AzRoleAssignment -ObjectId <objectId> -RoleDefinitionId $dataBoundaryTenantAdministratorRoleDefinitionId -Scope "/"

REST API

HTTP

PUT https://management.azure.com/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentName}?api-version=2020-04-01-preview

Текст запроса:

JSON

{
  "properties": {
    "roleDefinitionId": "/providers/Microsoft.Authorization/roleDefinitions/d1a38570-4b05-4d70-b8e4-1100bcf76d12",
    "principalId": "{assignee}"
  }
}

Текст ответа

JSON

{
  "id": "/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentName}",
  "type": "Microsoft.Authorization/roleAssignments",
  "name": "{roleAssignmentName}",
  "properties": {
    "roleDefinitionId": "/providers/Microsoft.Authorization/roleDefinitions/d1a38570-4b05-4d70-b8e4-1100bcf76d12",
    "principalId": "{assignee}",
    "principalType": "User", // Could also be "Group", "ServicePrincipal", etc.
  }
}

Дополнительные сведения см. в статье Назначение ролей Azure.

Создание границы данных

Геограничная граница данных в настоящее время имеет два варианта:

Геограничная граница данных	Description
Глобальный	По умолчанию все клиенты имеют глобальную границу данных.
ЕС	Установите границу данных ЕС.

Чтобы выбрать клиент на границу данных, используйте следующие команды.

Azure CLI

Azure CLI

az data-boundary create --data-boundary <data-boundary-geo> --default default

В --default настоящее время этот параметр является обязательным, но будет прекращен в будущем.

Дополнительные сведения см . в справочнике по Azure CLI.

PowerShell

Azure PowerShell

Set-AzDataBoundary -DataBoundary <data-boundary-geo>

Дополнительные сведения см . в справочнике по Azure PowerShell.

REST API

HTTP

PUT https://management.azure.com/providers/Microsoft.Resources/dataBoundaries/default?api-version=2024-08-01 

Текст запроса:

JSON

{ 
  "properties": { 
    "dataBoundary": "<data-boundary-geo>" 
  } 
} 

Response

```json
{ 
  "name": "{tenantId}", 
  "id": " /providers/Microsoft.Resources/dataBoundaries/{tenantId}",   
  "properties": { 
    "dataBoundary": "{dataBoundaryGeo}", 
    "provisioningState": "Created" 
  } 
} 

Дополнительные сведения см. в справочнике по REST API Azure.

Чтение границ данных

Чтобы получить границу данных по указанным областям. К ним относятся следующие области:

Область	Значение
Клиент	(пусто)
Отток подписок	subscriptions/{subscriptionId}
Группа ресурсов	subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}

Azure CLI

Azure CLI

az data-boundary show --scope <scope-path> --default default

Получение границы данных клиента:

Azure CLI

az data-boundary show-tenant --default default

В --default настоящее время этот параметр является обязательным, но будет прекращен в будущем.

Дополнительные сведения см . в справочнике по Azure CLI.

PowerShell

Azure PowerShell

Get-AzDataBoundaryScope -Scope <scope-path>

Получение границы данных клиента:

Azure PowerShell

Get-AzDataBoundaryTenant

Дополнительные сведения см . в справочнике по Azure PowerShell.

REST API

HTTP

GET https://management.azure.com/{scope}/providers/Microsoft.Resources/dataBoundaries/default?api-version=2024-08-01 

Текст ответа

JSON

{ 
  "name": "{tenantId}", 
  "id": " /providers/Microsoft.Resources/dataBoundaries/{tenantId}",   
  "properties": { 
    "dataBoundary": "{dataBoundaryGeo}", 
    "provisioningState": "Succeeded" 
  } 
} 

Дополнительные сведения см. в справочнике по REST API Azure.

Устранение неполадок

В следующей таблице перечислены связанные с данными сообщения об ошибках:

Код ошибки	Сообщение об ошибке	Описание
NonEmptyTenantCannotChangeDataBoundary	Имя> клиента <уже содержит подписки. Обновление границ данных для непустых клиентов не поддерживается.	Клиенты могут применять только границу данных Azure к новому клиенту без групп управления, подписок или ресурсов.
AuthorizationFailed	<Клиентское имя> клиента с идентификатором объекта object-id><не имеет авторизации для выполнения действий Microsoft.Resources/dataBoundaries/write над <именем> области или область недопустима. Если доступ был предоставлен недавно, обновите учетные данные.	Убедитесь, что у вас есть роль администратора границ данных в области клиента. См . необходимые разрешения.
InvalidResourceLocation InvalidResourceGroupLocation	Недопустимое имя <>региона группы ресурсов. Идентификатор клиента для данной подписки выбирается для <границы данных с геограничной> данными. Расположение группы ресурсов ограничено границой данных. Список регионов в границе данных: <список> регионов.	После применения границы данных к клиенту пользователи могут создавать ресурсы только в регионах в пределах границы данных. Например, пользователи не могут создавать ресурсы в WestUS , если граница данных ЕС применяется к клиенту. Чтобы устранить эту ошибку, выберите регион из списка, возвращенного в сообщении об ошибке.
InvalidSubscriptionMoveDataBoundary	Сбой действия передачи. Передача этой подписки запрещена из-за ограничений границ данных для клиента.	Невозможно переместить подписку, если у источника или целевого клиента есть граница, не связанная с глобальными данными. Перемещение подписки блокируется, даже если исходные и целевые клиенты имеют ту же границу данных.

Следующие шаги

Дополнительные сведения см. в разделе "Обзор границы данных ЕС".