分享方式：

在 Microsoft Purview 中連線和管理 Azure SQL 受控執行個體

  • 文章

本文概述如何註冊和 Azure SQL 受控執行個體，以及如何在 Microsoft Purview 中驗證 Azure SQL 受控執行個體 並與之互動。 如需 Microsoft Purview 的詳細資訊，請閱讀 簡介文章。

支援的功能

元數據擷取 完整掃描 增量掃描 限域掃描 分類 加標籤 存取原則 譜系 資料共用 即時檢視
是 是 是 是 是 是 是 有限** 否 否

** 如果在 Data Factory 中使用數據集做為來源/接收器，則支援譜系 複製活動

必要條件

登錄

本節說明如何使用 Microsoft Purview 治理入口網站，在 Microsoft Purview 中註冊 Azure SQL 受控執行個體。

註冊的驗證

如果您需要建立新的驗證，您必須授權數據庫存取 SQL Database SQL 受管理執行個體。 Purview 目前支援三種Microsoft驗證方法：

要註冊的系統或使用者指派受控識別

注意事項

如果您使用私人端點連線到 Microsoft Purview，則不支援受控識別。

您可以使用 Microsoft Purview 系統指派的受控識別 (SAMI) ，或使用 使用者指派的 受控識別 (UAMI) 進行驗證。 這兩個選項都可讓您直接將驗證指派給 Microsoft Purview，就像任何其他使用者、群組或服務主體一樣。 建立帳戶時，會自動建立 Microsoft Purview 系統指派的受控識別，且名稱與您的 Microsoft Purview 帳戶相同。 使用者指派的受控識別是可以獨立建立的資源。 若要建立一個，您可以遵循我們 使用者指派的受控識別指南。

您可以遵循下列步驟，在 Azure 入口網站 中找到受控識別物件識別碼：

針對 Microsoft Purview 帳戶的系統指派受控識別：

  1. 開啟 Azure 入口網站，並流覽至您的 Microsoft Purview 帳戶。
  2. 選取左側選單上的 [ 屬性 ] 索引標籤。
  3. 選取 [ 受控識別物件標識符] 值並複製它。

針對使用者指派的受控識別 (預覽) ：

  1. 開啟 Azure 入口網站，並流覽至您的 Microsoft Purview 帳戶。
  2. 選取左側功能表上的 [受控識別] 索引標籤
  3. 選取使用者指派的受控識別，選取要檢視詳細數據的預定身分識別。
  4. 主體 () 標識符的對象會顯示在 [概觀基本] 區段中。

任一受控識別都需要取得資料庫、架構和數據表元數據的許可權，以及查詢數據表的分類許可權。

要註冊的服務主體

有幾個步驟可讓 Microsoft Purview 使用服務主體來掃描您的 Azure SQL 受控執行個體。

建立或使用現有的服務主體

若要使用服務主體，您可以使用現有的主體或建立新的主體。 如果您要使用現有的服務主體，請跳至下一個步驟。 如果您必須建立新的服務主體，請遵循下列步驟：

  1. 瀏覽至 Azure 入口網站。
  2. 從左側功能表中選取 [Microsoft Entra ID]。
  3. 選取 [應用程式註冊]。
  4. 選 取 [+ 新增應用程式註冊]。
  5. 在服務主體 名稱) ( 輸入應用程式的名稱。
  6. 選取 [僅限此組織目錄中的帳戶]。
  7. 針對 [重新導向 URI]，選取 [Web ]，然後輸入您想要的任何 URL;它不一定為實際或正常運作。
  8. 然後選取 [註冊]。

在資料庫帳戶中設定 Microsoft Entra 驗證

服務主體必須具有取得資料庫、架構和數據表元數據的許可權。 它也必須能夠查詢數據表以進行分類範例。

將服務主體新增至金鑰保存庫，並Microsoft Purview 的認證

必須取得服務主體的應用程式識別碼和秘密：

  1. 在 Azure 入口網站 中流覽至您的服務主體
  2. 從 [概觀] 複製 [應用程式 (用戶端) 標識符] 的值，並從 [憑證 & 秘密複製客戶端密碼] 。
  3. 流覽至您的金鑰保存庫
  4. 選 取 > [設定秘密]
  5. 選取 [+ 產生/匯入]，然後輸入您選擇的 [名稱] 和 [值] 作為服務主體的客戶端密碼
  6. 選 取 [建立 ] 以完成
  7. 如果您的金鑰保存庫尚未連線到 Microsoft Purview，您必須 建立新的金鑰保存庫連線
  8. 最後，使用服務主體建立 新的認證 來設定掃描。

要註冊的 SQL 驗證

注意事項

只有布建程式) 或 master 資料庫中資料庫角色成員 loginmanager 所建立的伺服器層級主體登入 (才能建立新的登入。 授與許可權大約 需要 15 分鐘 ，Microsoft Purview 帳戶應該具有適當的許可權，才能掃描資源 (的) 。

如果您沒有此登入可用，您可以遵循 CREATE LOGIN 中的指示來建立 Azure SQL 受控執行個體 的登入。 在後續步驟中，您將需要 使用者名稱 和 密碼 。

  1. 在 Azure 入口網站 中瀏覽至您的金鑰保存庫
  2. 選 取 > [設定秘密]
  3. 選取 [+ 產生/匯入]，然後輸入[名稱] 和 [值] 作為您 Azure SQL 受控執行個體
  4. 選 取 [建立 ] 以完成
  5. 如果您的金鑰保存庫尚未連線到 Microsoft Purview，您必須 建立新的金鑰保存庫連線
  6. 最後，使用使用者名稱和密碼建立新的認證來設定掃描。

註冊步驟

  1. 開啟 Microsoft Purview 治理入口網站，方法如下：

  2. 流覽至 數據對應。

  3. 選取 [註冊]

  4. 選取 [Azure SQL 受控執行個體]，然後選取 [繼續]。

  5. 選取 [從 Azure 訂用帳戶]，從 [Azure 訂用帳戶] 下拉式方塊中選取適當的訂用帳戶，然後從 [伺服器名稱] 下拉式方塊中選取適當的伺服器。

  6. 提供 公用端點完整功能變數名稱 和 埠號碼。 然後選取 [註冊 ] 以註冊數據源。

    [註冊來源] 畫面的螢幕快照，其中已填寫 [名稱]、[訂用帳戶]、[伺服器名稱] 和 [端點]。

    例如： foobar.public.123.database.windows.net,3342

掃描

請遵循下列步驟來掃描 Azure SQL 受控執行個體，以自動識別資產並分類您的數據。 如需一般掃描的詳細資訊，請參閱 掃描和擷取簡介。

建立和執行掃描

若要建立並執行新的掃描，請完成下列步驟：

  1. 在 Microsoft Purview 治理入口網站的左窗格中，選取 [ 數據對 應] 索引卷標。

  2. 選取您註冊的 Azure SQL 受控執行個體 來源。

  3. 選 取 [新增掃描]

  4. 如果您的來源可公開存取，請選擇 Azure 整合運行時間、使用受控虛擬網路的受控 虛擬網路整合運行時間 ，或如果您的來源位於私人虛擬網路中，則選擇標準或 kubernetes 支援的自我裝載整合運行時間。 如需要使用之整合運行時間的詳細資訊，請參閱 選擇正確的整合運行時間設定一文。

  5. 選取要連線到數據源的認證。

    新掃描視窗的螢幕快照，其中已選取 Purview MSI 作為認證，但服務主體或 SQL 驗證也可供使用。

  6. 您可以選擇清單中的適當專案，將掃描範圍設定為特定資料表。

    掃描視窗範圍的螢幕快照，其中已選取要掃描的數據表子集。

  7. 然後選取掃描規則集。 您可以選擇系統預設值、現有的自訂規則集，或建立內嵌的新規則集。

    掃描規則集視窗的螢幕快照，其中已選取系統默認掃描規則集。

  8. 選擇掃描觸發程式。 您可以設定排程或執行掃描一次。

    [設定掃描觸發程式] 視窗的螢幕快照，其中已選取 [週期性] 索引標籤。

  9. 檢閱您的掃描，然後選取 [儲存並執行]。

如果您無法連線到數據源或執行掃描，請參閱我們的 掃描和連線疑難解答指南。

檢視掃描和掃描執行

若要檢視現有的掃描：

  1. 移至 Microsoft Purview 入口網站。 在左窗格中，選取 [ 數據對應]。
  2. 選取數據源。 您可以在 [最近掃描] 底下檢視該數據源上現有 掃描的清單，也可以在 [掃描] 索引 卷標上 檢視所有掃描。
  3. 選取具有您想要檢視結果的掃描。 此窗格會顯示所有先前的掃描執行，以及每個掃描執行的狀態和計量。
  4. 選取執行標識碼以檢查 掃描執行詳細數據。

管理您的掃描

若要編輯、取消或刪除掃描：

  1. 移至 Microsoft Purview 入口網站。 在左窗格中，選取 [ 數據對應]。

  2. 選取數據源。 您可以在 [最近掃描] 底下檢視該數據源上現有 掃描的清單，也可以在 [掃描] 索引 卷標上 檢視所有掃描。

  3. 選取您要管理的掃描。 然後您可以：

    • 選取 [編輯掃描 ]，以編輯掃描。
    • 選取 [ 取消掃描執行]，以取消進行中的掃描。
    • 選取 [ 刪除掃描]，以刪除掃描。

注意事項

  • 刪除掃描並不會刪除從先前掃描建立的類別目錄資產。

設定存取原則

此資料資源支援下列類型的 Microsoft Purview 原則：

#D2E8564F1D68D444BA17684CAA5026C48 MI上的存取原則必要條件

  • 建立新的 Azure SQL MI，或在這項功能目前可用的其中一個區域中使用現有的 MI。 您可以遵循本指南來建立新的 Azure SQL MI。

區域支援

支援所有 Microsoft Purview 區域 。

Microsoft Purview 原則的強制執行僅適用於 Azure SQL MI 的下列區域：

公用雲端：

  • 美國東部
  • 美國東部 2
  • 美國中南部
  • 美國中西部
  • 美國西部3
  • 加拿大中部
  • 巴西南部
  • 西歐
  • 北歐
  • 法國中部
  • 英國南部
  • 南非北部
  • 印度中部
  • 東南亞
  • 東亞
  • 澳大利亞東部

Azure SQL MI 組態

本節說明如何設定 Azure SQL MI 以接受來自 purview Microsoft的原則。 請先檢查 Azure SQL MI 是否已針對公用或私人端點設定。 本 指南 說明如何這樣做。

SQL MI 公用端點的設定

如果 Azure SQL MI 設定為公用端點，請遵循下列步驟：

  • 設定 Microsoft Entra 管理員。在 Azure 入口網站 流覽至 Azure SQL MI，然後流覽至側邊功能表上的 Microsoft Entra ID， (先前稱為 Active Directory 系統管理員) 。 設定 管理員 名稱，然後選取 [儲存]。

  • 然後流覽至側邊功能表上的 [身分識別]。 在 [系統指派的受控識別] 下，將狀態檢查為 [開啟] ，然後選取 [ 儲存]。 請參閱螢幕快照：

    顯示如何將系統受控識別指派給 Azure SQL MI的螢幕快照。

SQL MI 私人端點的設定

如果 Azure SQL MI 設定為使用私人端點，請執行公用端點設定中所述的相同步驟，此外，請執行下列動作：

  • 流覽至與您的 Azure SQL MI相關聯的NSG ( 網路安全組) 。

  • 新增類似下列螢幕快照中的輸出安全性規則。 Destination = Service Tag， Destination service tag = MicrosoftPurviewPolicyDistribution， Service = HTTPS， Action = Allow. 也請確定此規則的優先順序低於 deny_all_outbound 規則的優先順序。

    顯示如何設定 Purview 輸出安全性規則的螢幕快照

設定原則的 Microsoft Purview 帳戶

在 Purview Microsoft註冊數據源

您必須先在 Purview Studio 中註冊該數據 Microsoft資源，才能在 Microsoft Purview 中為數據資源建立原則。 您稍後會在本指南中找到與註冊數據資源相關的指示。

注意事項

Microsoft Purview 原則依賴數據資源 ARM 路徑。 如果數據資源移至新的資源群組或訂用帳戶，則必須取消註冊，然後在 Microsoft Purview 中重新註冊。

設定許可權以在數據源上啟用數據原則強制執行

註冊資源之後，但在該資源的 Purview Microsoft 建立原則之前，您必須設定許可權。 需要一組許可權，才能強制 執行數據原則。 這適用於數據源、資源群組或訂用帳戶。 若要啟用 數據原則強制執行，您必須 具有 資源的特定身分識別和存取管理 (IAM) 許可權，以及特定Microsoft許可權：

  • 您必須在資源的 Azure Resource Manager 路徑上具有下列其中一個 IAM 角色組合，或是使用 IAM 許可權繼承 (的任何父系) ：

    • IAM 擁有者
    • IAM 參與者和 IAM 使用者存取系統管理員

    若要 (RBAC) 許可權設定 Azure 角色型訪問控制，請遵循 本指南。 下列螢幕快照顯示如何存取數據資源 Azure 入口網站 中的 [存取控制] 區段，以新增角色指派。

    顯示新增角色指派之 Azure 入口網站 區段的螢幕快照。

    注意事項

    數據資源的 IAM 擁有者 角色可以繼承自父資源群組、訂用帳戶或訂用帳戶管理群組。 檢查哪些 Microsoft Entra 使用者、群組和服務主體持有或繼承資源的 IAM 擁有者角色。

  • 如果已啟用繼承) ，您也必須擁有集合的 Microsoft Purview 數據源 管理員角色或父集合 (。 如需詳細資訊，請參閱 管理 purview 角色指派Microsoft指南。

    下列螢幕快照顯示如何在根集合層級指派 數據源系統管理員 角色。

    顯示在根集合層級指派數據源系統管理員角色之選取項目的螢幕快照。

設定 Microsoft Purview 許可權以建立、更新或刪除存取原則

若要建立、更新或刪除原則，您必須在根集合層級的 Microsoft Purview 中取得原則作者角色：

  • 原則 作者 角色可以建立、更新和刪除DevOps和數據擁有者原則。
  • 原則 作者 角色可以刪除自助式存取原則。

如需管理 Microsoft Purview 角色指派的詳細資訊，請參閱在 Microsoft Purview 資料對應 中建立和管理集合。

注意事項

原則作者角色必須在根集合層級設定。

此外，若要在建立或更新原則的主旨時輕鬆搜尋 Microsoft Entra 使用者或群組，您可以從取得 Microsoft Entra ID 中的目錄讀取者許可權獲益。 這是 Azure 租用戶中用戶的常見許可權。 如果沒有目錄讀取者許可權，原則作者就必須輸入數據原則主體中所包含之所有主體的完整用戶名稱或電子郵件。

設定 Microsoft Purview 許可權以發佈數據擁有者原則

如果您將 Microsoft Purview 原則 作者 和 數據源系統管理員 角色指派給組織中的不同人員，數據擁有者原則允許檢查和平衡。 數據擁有者原則生效之前， (數據源系統管理員) 必須檢閱該原則，並透過發佈來明確核准。 這不適用於 DevOps 或自助式存取原則，因為建立或更新這些原則時，會自動發佈這些原則。

若要發佈數據擁有者原則，您必須在根集合層級取得 Microsoft Purview 中的數據源管理員角色。

如需管理 Microsoft Purview 角色指派的詳細資訊，請參閱在 Microsoft Purview 資料對應 中建立和管理集合。

注意事項

若要發佈數據擁有者原則，必須在根集合層級設定數據源系統管理員角色。

將存取布建責任委派給 Microsoft Purview 中的角色

啟用資源以 強制執行數據原則之後，在根集合層級具有原則 作者 角色的任何 Microsoft Purview 使用者都可以從 Microsoft Purview 布建該數據源的存取權。

注意事項

任何Microsoft Purview 根 集合管理員 都可以將新的使用者指派給根 原則作者 角色。 任何 集合管理員 都可以將新的使用者指派給集合下的數據 源系統管理員 角色。 將擔任 Purview 集合系統管理員、 數據源管理員或原則 作者 角色Microsoft使用者最小化並仔細審查。

如果刪除具有已發佈原則的 Microsoft Purview 帳戶，這類原則將會在相依於特定數據源的一段時間內停止強制執行。 這項變更可能會影響安全性和數據存取可用性。 IAM 中的參與者和擁有者角色可以刪除 Microsoft Purview 帳戶。 您可以前往 Microsoft Purview 帳戶的 [ 存取控制 (IAM) ] 區段，然後選取 [ 角色指派]，以檢查這些許可權。 您也可以使用鎖定來防止透過 Resource Manager 鎖定刪除Microsoft Purview 帳戶。

在 Microsoft Purview 中註冊數據源

您必須先向 Microsoft Purview 註冊 Azure SQL 受控執行個體 數據源，才能建立存取原則。 您可以遵循本指南中的和一節：

註冊及掃描MI Azure SQL

註冊資源之後，您必須啟用數據原則強制執行 (先前稱為數據使用管理) 。 數據原則強制執行需要特定許可權，而且可能會影響數據的安全性，因為它會將管理數據源存取權的能力委派給特定Microsoft Purview 角色。 請流覽本指南中與數據原則強制執行相關的安全做法： 如何啟用數據原則強制執行

一旦您的數據源有 [ 數據原則強制執行 ] 切換 [ 已啟用]，它看起來會像這個螢幕快照。 這可讓存取原則與指定的數據源搭配使用 。螢幕快照顯示如何啟用原則強制執行。

返回 Azure SQL Database 的 Azure 入口網站，以確認它現在受到 Microsoft Purview 的控管：

  1. 透過此連結登入 Azure 入口網站

  2. 選取您要設定的 Azure SQL 伺服器。

  3. 移至左窗格上的 [Microsoft Entra ID]。

  4. 向下捲動以 Microsoft Purview 存取原則。

  5. 選取 [ 檢查 Microsoft Purview Governance] 按鈕。 處理要求時等候。 可能需要幾分鐘的時間。

    此螢幕快照顯示 Azure SQL 受到 purview Microsoft控管。

  6. 確認 Microsoft Purview 治理狀態顯示 Governed。 請注意，在 Purview Microsoft啟用數據原則強制執行之後，可能需要幾分鐘的時間，才會反映正確的狀態。

注意事項

如果您停用此 Azure SQL 資料庫資料來源的數據原則強制執行，可能需要 24 小時的時間，Microsoft Purview 治理狀態才會自動更新為 Not Governed。 選取 [ 檢查Microsoft Purview Governance 即可加速此功能。 在另一個 Microsoft Purview 帳戶中啟用資料源的數據原則 強制執行 之前，請確定 Purview 治理狀態會顯示為 Not Governed。 然後使用新的 Microsoft Purview 帳戶重複上述步驟。

建立原則

若要建立 Azure SQL MI 的存取原則，請遵循下列指南：

後續步驟

既然您已註冊來源，請遵循下列指南來深入瞭解 Microsoft Purview 和您的數據。