Microsoft Purview 数据所有者策略的概念 (预览版)

项目
09/03/2023

重要

此功能目前处于预览阶段。 Microsoft Azure 预览版补充使用条款包括适用于 Beta 版、预览版或其他尚未正式发布的 Azure 功能的其他法律条款。

本文讨论与在 Microsoft Purview 治理门户中管理对数据资产中资产的读取或修改访问相关的概念。

注意

此功能不为 Microsoft Purview 本身提供访问控制。 Microsoft Purview 中的访问控制中介绍了授予对 Microsoft Purview 内部角色的访问权限。此功能用于授予数据平面访问权限，即在 Azure 存储等数据系统中访问数据本身。它不允许授予控制平面访问权限。控制平面访问提供管理订阅中的资源的可见性和能力。可以通过标识和访问管理 (IAM) 管理控制平面访问

概述

Microsoft Purview 中的访问策略使你能够管理对整个数据资产中不同数据系统的访问。例如：

用户需要对已在 Microsoft Purview 中注册的 Azure 存储帐户的读取访问权限。可以通过 Microsoft Purview 治理门户中的数据策略应用创建数据访问策略，直接在 Microsoft Purview 中授予此访问权限。

数据所有者策略只能在已在 Microsoft Purview 中启用策略实施的数据系统上强制实施，即在数据源注册中启用 策略强制选项 。

概念

数据所有者策略

数据所有者策略是一组命名的策略语句。在 Microsoft Purview 治理下将策略发布到一个或多个数据系统时，这些系统随后会强制实施该策略。策略定义包括策略名称、说明以及一个或多个策略语句的列表。

策略声明

策略语句是一种可读指令，指示数据源应如何处理特定的数据访问操作。策略语句包括 Effect、 Action、Data Resource 和 Subject。

操作

操作是允许或拒绝作为此策略的一部分的操作。例如：读取或修改。这些高级逻辑操作映射到强制执行这些操作的数据系统中的一 (个或多个) 数据操作。

效果

该效果指示在策略语句的数据资源和 Subject 上存在匹配项时应得到的结果。目前，唯一受支持的值为 Allow。

数据资源

数据资源是策略语句所应用对象的完全限定数据资产路径。它符合以下格式：

/subscription/<subscription-id>/resourcegroups/<resource-group-name>/providers/<provider-name>/<data-asset-path>

Azure 存储 data-asset-path 格式：

Microsoft.Storage/storageAccounts/<account-name>/blobservice/default/containers/<container-name>

Azure SQL DB data-asset-path 格式：

Microsoft.Sql/servers/<server-name>

主题

它是 Azure Active Directory 中适用于此策略声明的最终用户标识的列表。每个标识可以是服务主体、单个用户、组或托管服务标识 (MSI) 。

示例

允许对数据资产进行读取： /subscription/finance/resourcegroups/prod/providers/Microsoft.Storage/storageAccounts/finDataLake/blobservice/default/containers/FinData 以组 Finance-analyst

在上述策略语句中，效果为 Allow，操作为 Read，数据资源为 Azure 存储容器 FinData，主题为 Azure Active Directory 组 Finance-analyst。如果属于此组的任何用户尝试从存储容器 FinData 读取数据，将允许请求。

分层实施策略

默认情况下，策略语句中指定的数据资源是分层的。这意味着策略语句应用于数据对象本身以及数据对象包含 的所有 子对象。例如，Azure 存储容器上的策略语句适用于其中包含的所有 Blob。

策略组合算法

数据源将所有适用的本地策略与 Microsoft Purview 中的所有策略组合在一起，并在用户尝试访问资产时提供合并决策。组合策略选择限制性最高的策略。

例如，假设 Azure 存储容器 FinData 上有两个不同的策略，如下所示：

策略 1 - 允许对数据资产 /subscription/..../containers/FinData 进行读取以将 Finance-analyst 分组

策略 2 - 拒绝对数据资产 /subscription/..../containers/FinData 进行分组的读取

然后，假设用户“user1”属于两个组（ 财务分析师 和 财务承包商）执行对 Blob 读取 API 的调用。由于这两种策略都适用，因此 Azure 存储将选择限制性最高的策略，即拒绝读取。因此，访问请求将被拒绝。

策略发布

新创建的策略处于草稿模式状态，仅在 Microsoft Purview 中可见。发布行为启动在指定数据系统中强制执行策略。这是一个异步操作，可能需要 5 分钟到 2 小时才能生效，具体取决于数据源类型。有关详细信息，请参阅与每种数据源类型相关的数据所有者策略操作指南。

发布到数据源的策略可能包含引用不同数据源的策略语句。此类引用将被忽略，因为有问题的资产不存在于应用策略的数据源中。

后续步骤

查看有关如何在 Microsoft Purview 中创建在特定数据系统中强制实施的策略的指南。在 UI 之外，现在可以尝试数据所有者策略 API。